Privatlivspolitik

1. Dataansvarlig

Dataansvarlig for behandlingen af dine personoplysninger er:

qlim8 ApS
[UDFYLDES INDEN GO-LIVE — selskabsadresse]
CVR: DK46033736
E-mail: privacy@qlim8.com
Telefon: +45 93 90 13 84

Spørgsmål om denne politik eller dine rettigheder kan rettes til ovenstående kontaktoplysninger.

2. Hvornår gælder politikken

Denne politik beskriver, hvordan vi behandler personoplysninger, når du:

• Besøger vores marketingsite eller blog.
• Tilmelder dig vores nyhedsbrev.
• Opretter en konto og bruger vores ESG-platform som bruger hos en kunde.
• Kontakter os via e-mail, formularer eller telefon.

Når en virksomhedskunde uploader ESG-data til platformen, og disse data indeholder personoplysninger (fx om medarbejdere eller leverandører), er kunden dataansvarlig og vi databehandler. Forholdet reguleres af en særskilt databehandleraftale. Se afsnit 7.

3. Hvilke personoplysninger behandler vi

3.1 Besøgende på marketingsitet

• IP-adresse, browsertype, enhedstype, operativsystem.
• Besøgte sider, klikadfærd, henvisningskilde.
• Oplysninger, du selv indtaster i kontaktformularer (navn, e-mail, virksomhed, besked).

3.2 Nyhedsbrevsmodtagere

• Navn og e-mail.
• Eventuelt virksomhed og jobtitel.
• Statistik over åbninger, klik og afmeldinger (leveret via Resend).

3.3 Brugere af ESG-platformen

• Kontaktoplysninger: navn, arbejds-e-mail, jobtitel, telefon, arbejdsgiver.
• Login-oplysninger: brugernavn, krypteret password, MFA-data.
• Aktivitetslogs: log-ins, handlinger i platformen, IP-adresse, tidsstempler.
• Supportkorrespondance: beskeder og bilag, du sender til support.

3.4 Betalings- og fakturaoplysninger (administratorer hos kunder)

• Navn, fakturerings-e-mail, fakturaadresse.
• Betalingen håndteres af Stripe. Vi modtager ikke fulde kortoplysninger.

3.5 Energidata hentet via Eloverblik (Energinet DataHub)

Når en kunde giver fuldmagt via Eloverblik, henter vi elforbrugs- og solcelleproduktionsdata for kundens målepunkter. Vi modtager:

• Stamdata for målepunkter (målepunkts-ID, adresse, installationstype, netvirksomhed).
• Tidsserier for forbrug og produktion (kWh pr. interval).
• Eventuelle prisstrukturer og tariffer knyttet til målepunktet.

Energinet er kilde til disse data. Vi opbevarer dataene på vores egne servere hos Hetzner. Selve adgangen sker via et token, som kunden kan trække tilbage til enhver tid via Eloverblik.

3.6 Regnskabsdata hentet fra kundens regnskabssystem

Når en kunde giver os adgang via OAuth til deres regnskabssystem (Dinero, Billy eller e-conomic), henter vi bogføringsdata med henblik på at kategorisere posteringer korrekt til brug for ESG-beregninger (særligt Scope 3-emissioner og leverandørkortlægning). Vi modtager:

• Kontoplan og posteringer med beløb, datoer, kontonumre og bilagstekst.
• Leverandør- og kundeoplysninger fra fakturaer, herunder navne, adresser og CVR-numre. Bemærk, at oplysninger om enkeltmandsvirksomheder og personligt ejede selskaber anses som personoplysninger efter GDPR.
• Fakturaspecifikationer og bilag i det omfang, de er nødvendige for kategoriseringen.

For lønposteringer henter vi alene beløb og dato. Vi henter ikke navne, CPR-numre eller andre oplysninger om medarbejdere, der modtager løn.

Vi vurderer løbende, om enkelte felter kan udelades uden at forringe kategoriseringen, og fjerner dem fra dataudtrækket, så snart det er muligt. Kunden kan til enhver tid trække adgangen tilbage i sit regnskabssystem.

4. Formål og retsgrundlag

Vi behandler personoplysninger til følgende formål med følgende retsgrundlag efter databeskyttelsesforordningen (GDPR):

4.1 Levering af platformen og kundeforholdet

Formål: At give Brugere adgang, levere funktionalitet, drift, support og fakturering.
Retsgrundlag: Opfyldelse af aftale (GDPR art. 6, stk. 1, litra b) for kundens kontaktpersoner, og legitim interesse (art. 6, stk. 1, litra f) for de øvrige Brugere — idet det er nødvendigt for at kunne levere tjenesten til kunden.

4.2 Sikkerhed og logning

Formål: At forebygge misbrug, opdage sikkerhedshændelser og overholde forpligtelser.
Retsgrundlag: Legitim interesse (art. 6, stk. 1, litra f) i at sikre platformens og kundernes data.

4.3 Nyhedsbrev og markedsføring

Formål: At sende nyhedsbreve, produktnyheder og invitationer.
Retsgrundlag: Samtykke (art. 6, stk. 1, litra a) og markedsføringslovens § 10. Du kan til enhver tid afmelde dig via linket i nyhedsbrevet.

4.4 Marketing og analyse på hjemmesiden

Formål: At forbedre hjemmesiden, måle effekt af markedsføring og vise relevant indhold.
Retsgrundlag: Samtykke til ikke-nødvendige cookies (cookiebekendtgørelsen) og legitim interesse for grundlæggende, anonymiseret statistik.

4.5 Opfyldelse af lovkrav

Formål: At opbevare regnskabsmateriale og dokumentation.
Retsgrundlag: Retlig forpligtelse (art. 6, stk. 1, litra c), herunder bogføringsloven.

5. Cookies

Vi anvender cookies og lignende teknologier på vores marketingsite til drift, analyse og markedsføring. Nødvendige cookies sættes uden samtykke. Øvrige cookies, herunder statistik- og marketingcookies, sættes først, når du giver samtykke i vores cookiebanner.

En detaljeret oversigt over de enkelte cookies, formål og opbevaringstid findes i vores cookieerklæring. Du kan til enhver tid ændre eller trække dit samtykke tilbage via cookieindstillingerne på sitet.

6. Nyhedsbrev

Tilmelding sker via dobbelt opt-in (du modtager en bekræftelses-e-mail). Vi registrerer tidspunkt for samtykke samt indholdet af det samtykke, du har givet.

Du kan til enhver tid afmelde dig via linket i bunden af hvert nyhedsbrev. Vi kan herefter opbevare dokumentation for tidligere samtykke i op til 2 år efter afmelding for at kunne dokumentere overholdelse af markedsføringsloven.

7. Behandling af kundens ESG-data (vi er databehandler)

Når en virksomhedskunde bruger platformen, kan kunden uploade eller indtaste data — herunder ESG-data — der i nogle tilfælde indeholder personoplysninger om f.eks. medarbejdere, leverandører eller andre tredjeparter.

For sådanne oplysninger er kunden dataansvarlig, og vi handler som databehandler. Det betyder, at vi alene behandler oplysningerne efter dokumenteret instruks fra kunden i henhold til den databehandleraftale, der er indgået med kunden.

Hvis du er medarbejder hos eller registreret i en kundes brug af platformen, skal henvendelser om dine rettigheder rettes til den pågældende kunde som dataansvarlig.

8. Modtagere, databehandlere og kilder

Vi har bevidst valgt en EU-baseret kerneinfrastruktur for at minimere overførsel af personoplysninger til tredjelande. Vi videregiver eller deler personoplysninger med følgende kategorier af modtagere:

• Hosting og infrastruktur: Hetzner Online GmbH (Tyskland) til drift af platformens servere.
• Domæner og webhotel: Simply.com A/S (Danmark) til drift af marketingsitet og domæner.
• AI- og sprogtjenester: Ordbogen.ai (Danmark) til sprogbehandling i platformens funktioner.
• E-mail-udsendelse: Resend, Inc. (USA) til transaktionelle e-mails og nyhedsbrev.
• Betalingsleverandør: Stripe, Inc. (USA) til abonnementsbetalinger.
• Analyseværktøjer på marketingsitet, i det omfang du har givet samtykke.
• Eksterne rådgivere (revisor, advokat) under deres lovbestemte tavshedspligt.
• Offentlige myndigheder, hvis vi er retligt forpligtet hertil.

Vi henter desuden data fra følgende kilder:

• Energinet DataHub via Eloverblik — elforbrugs- og produktionsdata på baggrund af kundens elektroniske fuldmagt, jf. afsnit 3.5.
• Kundens regnskabssystem (Dinero, Billy eller e-conomic) — bogføringsdata på baggrund af kundens OAuth-autorisation, jf. afsnit 3.6.

En opdateret liste over underdatabehandlere udleveres til kunder på anmodning og fremgår af databehandleraftalen.

9. Overførsel til tredjelande

Vores kerneinfrastruktur — hosting (Hetzner, Tyskland), webhotel (Simply, Danmark) og AI-behandling (Ordbogen.ai, Danmark) — er placeret inden for EU/EØS, og data behandlet af disse leverandører forlader ikke EU/EØS.

Visse leverandører er dog etableret i USA, herunder Stripe (betaling) og Resend (e-mail-udsendelse). For så vidt angår Resend gælder det, at selvom udsendelse kan ske via en EU-region, opbevarer Resend account-data, logs og e-mail-metadata i USA.

Når personoplysninger overføres til tredjelande, sikrer vi et lovligt overførselsgrundlag, fx:

• EU-US Data Privacy Framework, hvis modtageren er certificeret.
• EU-Kommissionens standardkontraktbestemmelser (SCC) suppleret med tekniske og organisatoriske foranstaltninger.

Du kan få en kopi af det relevante overførselsgrundlag ved at kontakte os.

10. Opbevaringstid

Vi opbevarer personoplysninger, så længe det er nødvendigt for de formål, de er indsamlet til:

• Brugerkonti og platformdata: I hele aftaleperioden plus op til 90 dage efter ophør (eksport- og afviklingsperiode).
• Regnskabs- og fakturamateriale: 5 år fra udgangen af det regnskabsår, materialet vedrører, jf. bogføringsloven.
• Nyhedsbrev: Indtil du afmelder dig, samt dokumentation for samtykke i op til 2 år herefter.
• Kontaktformularer og support: Op til 2 år efter sidste kontakt, medmindre længere opbevaring er nødvendig.
• Cookies: Som angivet i cookieerklæringen.

11. Dine rettigheder

Du har efter databeskyttelsesforordningen følgende rettigheder:

• Indsigt: Du har ret til at få oplyst, hvilke personoplysninger vi behandler om dig.
• Berigtigelse: Du har ret til at få urigtige oplysninger rettet.
• Sletning: Du har i visse tilfælde ret til at få oplysninger slettet.
• Begrænsning: Du har i visse tilfælde ret til at få behandlingen begrænset.
• Dataportabilitet: Du har i visse tilfælde ret til at modtage dine oplysninger i et struktureret, almindeligt anvendt format.
• Indsigelse: Du har ret til at gøre indsigelse mod behandling baseret på legitim interesse, herunder direkte markedsføring.
• Tilbagekaldelse af samtykke: Du kan til enhver tid trække et givet samtykke tilbage. Tilbagekaldelse påvirker ikke lovligheden af den behandling, der er sket før tilbagekaldelsen.

Henvendelser om dine rettigheder kan ske til privacy@qlim8.com. Vi besvarer henvendelsen uden ugrundet ophold og senest inden for én måned.

12. Sikkerhed

Vi har implementeret passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, tab, ændring og uautoriseret videregivelse eller adgang. Dette omfatter blandt andet adgangsstyring, kryptering under transport, logning, backup og medarbejderuddannelse.

I tilfælde af et sikkerhedsbrud, der indebærer høj risiko for de registrerede, underretter vi de berørte og Datatilsynet i overensstemmelse med GDPR art. 33-34.

13. Klage til Datatilsynet

Du har ret til at indgive en klage til Datatilsynet, hvis du er utilfreds med vores behandling af dine personoplysninger.

Datatilsynet
Carl Jacobsens Vej 35, 2500 Valby
Telefon: 33 19 32 00
E-mail: dt@datatilsynet.dk
Web: www.datatilsynet.dk

14. Ændringer i politikken

Vi kan opdatere denne privatlivspolitik fra tid til anden. Den til enhver tid gældende version er tilgængelig på vores hjemmeside med angivelse af versionsnummer og opdateringsdato. Ved væsentlige ændringer informerer vi via e-mail eller i platformen.

Kontakt: qlim8 ApS · CVR DK46033736 · [UDFYLDES INDEN GO-LIVE — adresse] · privacy@qlim8.com