1. Hvem der er ansvarlig
Den dataansvarlige for de personoplysninger, der beskrives her, er Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034. Skriv til privacy@gelex.eu om alt i denne politik.
Databeskyttelsesrådgiver. Vores korpus omfatter retsafgørelser, nogle af dem om strafbare forhold (art. 10 i GDPR). At offentliggøre dem i stor skala er en kerneaktivitet, så vi behandler art. 37(1)(c) som et krav om en databeskyttelsesrådgiver. Vi er i gang med at udpege en; vedkommendes navn og kontakt offentliggøres her. Indtil da når privacy@gelex.eu den person, der har ansvaret for databeskyttelse.
Når din organisation bruger Gelex, behandles de spørgsmål, dokumenter, sager, udkast og udskrifter, dets medlemmer lægger i tjenesten, på organisationens vegne. For dem er organisationen den dataansvarlige, og vi er dens databehandler, efter databehandleraftalen.
Personer, der er nævnt i de retsafgørelser, vi offentliggør: se den særskilte meddelelse om personoplysninger i afgørelser.
2. Hvad vi behandler, hvorfor og på hvilket grundlag
| Oplysninger | Formål | Retsgrundlag |
|---|---|---|
| Konto: navn, e-mail, sprog, organisation og rolle samt dine loginmetoder (adgangsnøgle, adgangskodens hash, autentificeringsapp) | At give dig en konto og logge dig sikkert ind | Kontrakt, art. 6(1)(b) |
| Login med Google eller Microsoft, hvis du vælger det: dit navn, din e-mailadresse og den pågældende udbyders konto-id | At logge dig ind. Bruges til intet andet. | Kontrakt, art. 6(1)(b) |
| Brugsmetadata pr. anmodning: hvem, hvornår, hvilken type værktøj, hvilke korpusdokumenter der blev læst, jurisdiktioner, timing, tokental, resultat | At tælle brugen mod din plan, drive tjenesten og vise din organisation dens forbrug | Kontrakt, art. 6(1)(b) |
| Revisionslog: sikkerhedsrelevante hændelser (medlemskab, rolle- og nøgleændringer, "et spørgsmål blev stillet" uden dets tekst, personales supportadgang), med en hashet IP-adresse | At holde tjenesten og din organisations konto sikker og ansvarlig | Legitim interesse i sikkerhed, art. 6(1)(f) |
| Fakturering: organisationens navn, faktureringsadresse, momsnummer og dets kontrol mod EU's VIES-register, fakturaer, og overforbrug for en forbrugsperiode, der lukkede, før et faktureringsland var angivet | At opkræve for betalte planer, anvende moms korrekt og føre regnskab | Kontrakt og retlig forpligtelse, art. 6(1)(b) og (c) |
| Henvisninger: hvem der henviste hvilken organisation, og om den blev en betalende kunde | At give henvisningskreditten | Kontrakt, art. 6(1)(b) |
| Tilbudsanmodninger: navn, e-mail, organisation og din besked | At svare og udarbejde et tilbud | Skridt før en kontrakt, art. 6(1)(b) |
| Anmodninger om annullering og fortrydelse (forbrugere) | At udføre dem og bevise, at vi gjorde det | Retlig forpligtelse, art. 6(1)(c) |
| Anmeldelser om indhold (anmodninger om fjernelse eller rettelse, indsigelser): anmelderens navn, e-mail og udtalelse | At behandle anmeldelsen og besvare den, som loven om digitale tjenester kræver | Retlig forpligtelse, art. 6(1)(c) |
| E-mail, du sender os | At svare dig | Legitim interesse, art. 6(1)(f) |
| Kundeindhold: udskrifter (kun hvis din organisation slår dem til), sager, udkast, uploadede dokumenter, elektroniske underskrifter på udkast, dokumenter sendt til underskrift med hver underskrivers navn, e-mail, svar og den netadresse, de underskrev fra, organisationens egne skabeloner og hvem der skrev og godkendte dem, hvilke lovændringer der blev mailet til hvilket medlem om en sag, og nøglerne, der forbinder pladsholderne for personers navne i en sag med disse navne, holdt adskilt fra AI'en | At levere de funktioner, din organisation bruger | Behandlet for din organisation efter databehandleraftalen |
Hvad vi ikke gemmer. Medmindre din organisation slår udskrifter til, gemmer vi aldrig teksten af et spørgsmål eller et svar. Den forbundne AI-model modtager spørgsmålet og de kildetekster, den har brug for for at svare; vi gemmer kun metadataene ovenfor.
Vi træner ikke AI-modeller på dine data. Vi har ingen egen AI-model. Svar kommer fra den model, din organisation forbinder.
Google- og Microsoft-brugerdata. Når du logger ind med Google eller Microsoft, modtager vi kun de data, der står i tabelrækken ovenfor. Vi bruger dem kun til at oprette og logge dig ind på din konto. Vi deler dem ikke, bruger dem ikke til reklame og ikke til at træne modeller. Google og Microsoft er uafhængige dataansvarlige for deres eget login.
3. Den AI, du forbinder
Du vælger den AI-model, der svarer. Hvis du forbinder en med en API-nøgle, sendes dine spørgsmål og kildeteksterne til den udbyder under din egen aftale med den. Udbyderen er din databehandler, ikke vores, og dens egne privatlivsvilkår gælder. Hvis du bruger vores MCP-konnektor i din egen assistent, modtager assistentens udbyder det, du skriver dér, under dens vilkår. Se AI-gennemsigtighed.
4. Hvem modtager data
Et lille antal databehandlere hjælper os med at drive tjenesten. De er opført, med deres placeringer, på siden underleverandører. Vi sælger ikke personoplysninger og deler dem ikke til reklame. Vi udleverer kun data til myndigheder, hvor loven kræver det.
Vores personale. Personale kan kun åbne en organisations konto i personaleconsollen efter et login med en anden faktor. For at hjælpe i en supportsag kan et personalemedlem se tjenesten som et af dine medlemmer. Den visning er skrivebeskyttet, varer 15 minutter som standard og højst 30, kræver en angivet grund og registreres i din organisations egen revisionslog.
5. Hvor data opbevares
Tjenesten og dens sikkerhedskopier på server hostes af Hetzner i deres datacenter i Nürnberg i Tyskland; placeringen af en kopi uden for huset angives her, når den er oprettet. Transaktionel e-mail sendes via Migadu, et schweizisk selskab. Schweiz er af EU-Kommissionen anerkendt som et land med tilstrækkeligt beskyttelsesniveau. Vi bruger ingen amerikansk ejet cloududbyder, og vi overfører ikke personoplysninger uden for EU/EØS, undtagen til et land med en sådan afgørelse.
6. Hvor længe vi gemmer dem
- Spørgsmål, svar og kildetekst: gemmes aldrig, hverken i databasen eller i logge, medmindre din organisation slår udskrifter til.
- Udskrifter: gemmes kun, mens din organisation har dem slået til. De gemmes i den periode, den fastsætter, og slettes derefter; hvis den ikke fastsætter nogen periode, bliver de, til den eller du sletter dem. Hvis udskrifter slås fra, stopper nye fra at blive gemt; tidligere forbliver, til deres periode udløber, eller de slettes.
- Kontodata: så længe kontoen findes. Når du sletter din konto, slettes dit login, og det resterende i brugs- og revisionsdata pseudonymiseres.
- Nøgler til AI-udbydere: slettes, når forbindelsen eller organisationen fjernes; en udskiftet nøgle slettes med det samme.
- Dataudtræk: genereres, når du beder om dem, og gemmes aldrig.
- Brugsmetadata: 24 måneder.
- Lukkede organisationer: deres indhold (sager, udkast, dokumenter, udskrifter, invitationer, sessioner og medlemsforbindelser) slettes 30 dage efter, organisationen lukker. Det samme gælder kontoen for hvert medlem, der ikke hører til nogen anden organisation: deres navn, e-mail og login. Dens fakturaer og revisionslog bliver, som angivet her.
- Revisionslog: 5 år efter organisationen er lukket. Den gemmes for at bevise, hvad der skete på kontoen, og slettes ikke sammen med organisationens øvrige data.
- Ufuldendte loginforsøg: 24 timer. De indeholder ingen personoplysninger ud over en returadresse i appen.
- Udløbne sessioner og invitationer: 90 dage.
- Tilbudsanmodninger: 2 år. Indholdsanmeldelser: 3 år efter afgørelsen. Forbrugeres anmodninger om annullering og fortrydelse: 5 år.
- Serverlogge: 30 dage. De indeholder aldrig spørgsmålstekst, og webserveren fører ingen adgangslog.
- Fakturaer: 5 år efter udgangen af regnskabsåret, som bogføringsloven kræver.
- Udgående post sendt i virksomhedens navn: den adresse, den gik til, dens emne og tekst, og hvorfor den blev sendt, gemmes i vores udbakke i 2 år efter, den blev sendt, afvist eller mislykkedes; vores e-mailudbyder gemmer leveringslogge efter sin egen politik.
- Sikkerhedskopier: daglige sikkerhedskopier gemmes i 30 dage, og sikkerhedskopier ved månedens udgang i 12 måneder. Data, der slettes fra tjenesten, forsvinder derfor fra sikkerhedskopier inden for højst 12 måneder. Sikkerhedskopierne gemmes på vores server i Tyskland og gendannes kun for at genoprette tjenesten; kopien uden for huset, når den er lavet, er krypteret.
7. Dine rettigheder
Du har ret til at få adgang til dine data, til at få dem rettet eller slettet, til at begrænse eller gøre indsigelse mod behandlingen og til at få dem udleveret i et bærbart format. To af disse kan du selv gøre i appen, under Indstillinger → Dine data: hent dine data og slet din konto. For alt andet skriver du til privacy@gelex.eu. Vi svarer inden for en måned.
Hvor vi bygger på legitim interesse, kan du gøre indsigelse når som helst. Du kan klage til Datatilsynet (datatilsynet.dk) eller til myndigheden, hvor du bor.
8. Skal du give os oplysninger?
En konto kræver et navn og en e-mailadresse; uden dem kan vi ikke levere tjenesten. Faktureringsdata kræves ved lov for betalte planer. Vi træffer ingen afgørelser om dig alene på grundlag af automatisk behandling, som har retsvirkninger eller tilsvarende væsentlige virkninger.
9. Sikkerhed
Login understøtter adgangsnøgler og autentificeringsapps. Forbindelser er krypterede. AI-udbyder-nøgler, som din organisation gemmer, er krypteret og vises aldrig igen. Udskrifter er krypteret under en nøgle, der er specifik for din organisation. Revisionsloggen kan kun tilføjes til, og dens eksport er signeret, så den kan verificeres. Indberet en sårbarhed til security@gelex.eu (se vores retningslinjer for videregivelse).
10. Ændringer
Vi opdaterer denne politik, når det, vi gør, ændrer sig, og vi giver kontoindehavere besked pr. e-mail, før en væsentlig ændring træder i kraft.
Ændringslog
- , version 1: Første version.