Privatlivspolitik

Senest opdateret: 10. juli 2026

⚠️ UDKAST — må ikke offentliggøres som den er. Teksten beskriver, hvad systemet faktisk gør i dag, men de gule felter mangler svar, og hele politikken skal gennemgås af en jurist eller GDPR-rådgiver, før tjenesten sælges kommercielt.

1. Dataansvarlig

Fieldnotes ("vi") stilles til rådighed for virksomheder ("kunden"), der bruger systemet til at planlægge og udføre opgaver. For persondata om slutkunder og om kundens egne ansatte er kunden dataansvarlig, og vi er databehandler. For data, vi selv indsamler via denne hjemmeside — f.eks. tilmelding til en demo — er vi dataansvarlige.

Vores oplysninger: juridisk navn, CVR-nr. og adresse udfyldes. Kontakt: kontakt@fieldnotes.dk.

2. Hvilke oplysninger behandles?

Slutkunder: navn, telefonnummer, e-mail og adresse. Indtastes af kundens medarbejdere eller af slutkunden selv via et bookinglink.
Aftaler: tidspunkt, opgavetype, adresse, noter og hvem aftalen hører til.
Besigtigelser: svar på de skemaer, kunden selv bygger, samt fotos uploadet fra mobilen og markeringer sat på et skråfoto af ejendommen.
Tilbud, opgaver og fakturering: materialer, timer, priser og fakturagrundlag knyttet til den enkelte slutkunde.
Brugere hos kunden: navn, e-mail, rolle, timesats, valgfrit profilbillede og adgangskode gemt som bcrypt-hash — aldrig i klartekst.
Sikkerheds- og handlingslog: logins, mislykkede loginforsøg, ændringer i systemet samt IP-adresse og browserens user-agent ved loginhændelser. Loggen kan ikke redigeres eller slettes indefra — det er hele pointen med den.
Demotilmeldinger: navn, virksomhed, e-mail, telefonnummer og en eventuel besked.

3. Databehandlere — hvor data ligger

Vi bruger disse underleverandører. De behandler kun data efter vores instruks og kun til det, der står her.

Leverandør	Hvad de behandler	Hvor
Supabase database og filer	Hovedparten af det hele: slutkunder, aftaler, besigtigelsessvar og fotos, tilbud, opgaver, timer, brugere og logs.	region udfyldes
Vercel Inc. hosting	Kører selve applikationen. Data passerer igennem ved hver forespørgsel, og tekniske serverlogs opstår her.	EU (Stockholm)
Google Calendar	Aftaler skrives som begivenheder i en kalender, vi driver: titel med opgavetype og slutkundens navn, adresse og note.	Google Ireland Ltd., EU
Google Maps Distance Matrix	Kun når køretidstjek er slået til: adresser sendes til beregning af køretid mellem to aftaler.	Google Ireland Ltd., EU
Resend e-mail	Bekræftelser, påmindelser, skemalinks, kvitteringer og brugerinvitationer: modtagerens e-mail og beskedens indhold.	region udfyldes
Visma / Dinero regnskab	Kun hvis kunden selv forbinder sit regnskab: slutkundens navn, adresse, telefon, e-mail og CVR samt fakturalinjer sendes til kundens eget Dinero.	EU
Dataforsyningen SDFI, dansk myndighed	Adresseopslag og skråfotos til besigtigelse. Kun adressen eller koordinaterne sendes — ikke navn, telefon eller e-mail. Adresseforslag kaldes direkte fra browseren.	Danmark

Bekræft at der er indgået databehandleraftale med hver af dem, og at overførsler uden for EU/EØS er dækket af EU-Kommissionens standardkontraktbestemmelser.

4. Formål og retsgrundlag

Planlægning og udførelse af aftalte opgaver — opfyldelse af aftale, GDPR art. 6, stk. 1, litra b. Aftalen er mellem slutkunden og virksomheden; vi behandler data på virksomhedens vegne.
Drift, fejlfinding og sikkerhed, herunder loggen over logins og ændringer — legitim interesse, art. 6, stk. 1, litra f, i at kunne opdage misbrug og dokumentere, hvem der gjorde hvad.
Kontakt til virksomheder, der beder om en demo — samtykke eller legitim interesse, art. 6, stk. 1, litra a eller f.

Vi bruger ikke data til markedsføring over for slutkunder, til profilering eller til automatiske afgørelser, og vi videresælger ikke data.

5. Opbevaring og sletning

Kunden bestemmer, hvor længe data lever i systemet, og kan selv slette slutkunder, aftaler og besvarelser. Når en virksomheds konto lukkes, slettes deres data hos os, også uploadede fotos — angiv frist, fx 30 eller 90 dage.

Sikkerheds- og handlingsloggen kan ikke slettes indefra, fordi den skal kunne dokumentere hændelser bagudrettet. Angiv hvor længe loggen gemmes.

Er du slutkunde og vil have indsigt i eller slettet dine oplysninger, skal du kontakte den virksomhed, du har aftalen med — de er dataansvarlige. Vi hjælper dem med at efterkomme det.

Demotilmeldinger sendes til vores egen indbakke og slettes på anmodning eller efter … måneder.

6. Sikkerhed

Adgangskoder gemmes som bcrypt-hash, aldrig i klartekst.
Adgangstokens til Google og Dinero gemmes krypteret.
Databasen er låst, så kun serveren kan læse og skrive (row level security).
Hver virksomheds data er adskilt, og en bruger ser kun sit eget firmas.
Booking- og skemalinks er signerede og tidsbegrænsede, og fotos udleveres kun via midlertidige links.
Loginsessionen ligger i en httpOnly-cookie, som JavaScript ikke kan læse.

7. Cookies

Vi bruger ingen cookies til statistik, markedsføring eller sporing — hverken på hjemmesiden eller i systemet. Der sættes kun det nødvendige for at være logget ind: en httpOnly-sessionscookie, der slettes, når du logger ud. Dit valg af sprog huskes lokalt i browseren og forlader den aldrig.

8. Dine rettigheder

Du har ret til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet efter GDPR. Er du slutkunde, går henvendelsen til den virksomhed, du har aftalen med. Ellers kontakt os på kontakt@fieldnotes.dk. Du kan altid klage til Datatilsynet.

9. Ændringer

Ændrer vi politikken væsentligt — f.eks. ved at tage en ny databehandler i brug — opdaterer vi datoen øverst og giver vores kunder besked.