Privatlivspolitik & GDPR

Denne privatlivspolitik forklarer, hvordan 360 Sprint indsamler, bruger og beskytter dine personlige data i overensstemmelse med GDPR (EU-forordning 2016/679).

0. Hvem er dataansvarlig?

360 Sprint ApS, CVR 27700489, Akademigrunden 30C, 4180 Sorø, Danmark er dataansvarlig for behandlingen af dine personoplysninger. Databeskyttelseskontakt: Daniel Wegener, privacy@360sprint.dk.

1. Data vi indsamler

Vi indsamler oplysninger du giver os direkte og oplysninger, der genereres gennem din brug af platformen. Kategorierne af personoplysninger vi behandler er:

• Identitetsdata: navn, e-mailadresse og profiloplysninger via Clerk-autentificering.
• Strategiske virksomhedsdata: oplysninger du indtaster i boards, noder og strategiprojekter.
• Brugsdata: sidevisninger, funktionsinteraktioner, tidsstempler og sessionsmetadata.
• AI-interaktionsdata: hvilke AI-modeller der blev brugt, hvilke datafelter der blev sendt, og revisionslogfiler for hver AI-anmodning.
• Tekniske data: hashede IP-adresser (SHA-256), browsertype og sprogpræference.
• Stemmedata: lydoptagelser sendt til tale-til-tekst-transskription, tekst-til-tale-syntese og podcastproduktion via ElevenLabs og, hvis du deltager i betaversionen af live stemmefacilitering, lyd, udskrifter af sessioner og gemt indhold fra canvas sendt til OpenAI. Optaget lyd behandles i realtid og gemmes ikke; genereret podcastlyd gemmes i projektet, indtil den slettes.
• Push-notifikationsdata: enhedstokens (iOS/Android) og metadata om notifikationslevering. Tokens gemmes krypteret og bruges udelukkende til at levere app-notifikationer.
• Mobilappdata: billeder du vælger fra dit fotobibliotek (bruges udelukkende som podcast-coverbilleder), og data gemt lokalt på din enhed: login-oplysninger i iOS Keychain og en lokal cache af dine samtaler. Lokale data fjernes, når du logger ud eller sletter appen.

2. Hvordan vi bruger dine data

Dine data bruges udelukkende til at levere og forbedre 360 Sprint-tjenesten. Vi sælger eller deler aldrig dine personlige data med tredjeparter til markedsføringsformål.

Nedenfor er en oversigt over vores behandlingsformål og deres retsgrundlag under GDPR:

3. Datasikkerhed

Alle data er krypteret under overførsel (HTTPS/TLS) og beskyttet i hvile via infrastruktur-kryptering hos vores hostingudbyder. På hver strategianalyse anvender vi feltbaseret datamaskering via vores Data Guardian-system, før dataene når en AI-udbyder. Følsomme felter (som personnumre, finansielle detaljer og adgangskoder) opdages og blokeres automatisk.

En detaljeret oversigt over vores tekniske og organisatoriske foranstaltninger (TOMs) er tilgængelig på vores Trust Center: trust.360sprint.dk

4. Dine rettigheder (GDPR)

Under GDPR har du følgende rettigheder vedrørende dine personoplysninger. For at udøve dine rettigheder, kontakt privacy@360sprint.dk.

• Ret til indsigt (art. 15) — få en kopi af alle personoplysninger vi behandler om dig.
• Ret til berigtigelse (art. 16) — ret unøjagtige eller ufuldstændige personoplysninger.
• Ret til sletning (art. 17) — anmod om sletning af dine personoplysninger.
• Ret til begrænsning (art. 18) — begræns hvordan vi behandler dine data i visse situationer.
• Ret til dataportabilitet (art. 20) — modtag dine data i et struktureret, maskinlæsbart format.
• Ret til indsigelse (art. 21) — gør indsigelse mod behandling baseret på legitim interesse.
• Ret til ikke at være genstand for automatiserede afgørelser (art. 22) — se afsnit 7 for detaljer om AI-behandling.

Du har også ret til at indgive en klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, dt@datatilsynet.dk, hvis du mener, at dine data behandles i strid med GDPR.

5. Dataopbevaring

Vi opbevarer personoplysninger kun så længe det er nødvendigt for de formål, der er beskrevet i denne politik. Specifikke opbevaringsperioder er:

6. Kontakt os

For dataanmodninger (adgang, eksport, sletning), kontakt: privacy@360sprint.dk

7. AI-databehandling

360 Sprint bruger AI til at drive strategiske analysefunktioner. Dette afsnit forklarer præcis, hvilke data der behandles, hvordan de beskyttes, og dine rettigheder vedrørende AI-behandling.

AI-udbydere

Vi bruger AWS Bedrock (Anthropic Claude-modeller) som vores primære AI-udbyder. Al data behandles inden for AWS-infrastruktur i EU (Irland, eu-west-1). Hverken AWS eller Anthropic bruger dine data til modeltræning. En komplet liste over underdatabehandlere er tilgængelig på vores DPA-side.

Hvilke data sendes til AI

Kun data klassificeret som PUBLIC eller INTERNAL sendes til AI-udbydere. Vores Data Guardian-system scanner automatisk alle udgående strategianalyse-data og blokerer RESTRICTED-felter (personnumre, adgangskoder, kreditkortnumre, lønoplysninger, API-nøgler). CONFIDENTIAL-felter (som præcise omsætningstal og personnavne) anonymiseres før behandling.

Hvad der aldrig sendes

Følgende data sendes aldrig til en AI-udbyder fra dine strategianalyser: CPR-numre, personnumre, kreditkortnumre, bankkontooplysninger, adgangskoder eller API-nøgler, løn- eller kompensationsoplysninger og SSH-nøgler. Disse felter opdages og blokeres automatisk af vores Data Guardian-system, uanset hvor de optræder i dine strategidata.

Revisionsspor

Hver AI-interaktion i chat, strategianalyse, stemmefunktioner og podcastproduktion logges i et omfattende revisionsspor. Loggen registrerer: hvilke felter der blev sendt, hvilke felter der blev udeladt, hvilken AI-udbyder og model der blev brugt, og tidsstemplet. Tale-til-tekst i realtid og betaversionen af live stemmefacilitering sender lyd direkte fra din browser til udbyderen, så for dem registrerer loggen hvornår et token til en realtidssession udstedes (og for betaversionen hvornår hver session oprettes og afsluttes), ikke hvad der blev sagt. Oplæsning og podcastafsnit i Academy er endnu ikke omfattet af loggen. Du kan til enhver tid anmode om en kopi af dine AI-revisionslogfiler.

Modeltræning

Dine data bruges ikke til at træne AI-modeller. Hverken AWS eller Anthropic bruger kundedata til modeltræning. Dine strategiske data forbliver dine.

Retsgrundlag

AI-databehandling er baseret på GDPR artikel 6(1)(b) — kontraktopfyldelse. AI-drevet analyse er en kernefunktion i 360 Sprint-platformen og nødvendig for at levere den tjeneste, du har tilmeldt dig.

Automatiserede afgørelser

360 Sprint bruger AI til at generere strategiske analyser, anbefalinger og resuméer. Disse resultater er rådgivende og præsenteres altid til menneskelig gennemgang. Der træffes ingen automatiserede afgørelser med retlige eller tilsvarende væsentlige virkninger udelukkende af AI. Du beholder altid fuld kontrol over handlinger baseret på AI-resultater.

Stemmebehandling

Når du bruger stemmefunktioner, sendes lyd og tekst til ElevenLabs, Inc. (USA) til tale-til-tekst-transskription, tekst-til-tale-syntese og podcastproduktion. ElevenLabs tilbyder dataopbevaring i EU; indtil den er bekræftet for vores konto, er overførsler til USA dækket af EU’s standardkontraktbestemmelser, og den aktuelle behandlingsplacering fremgår af vores liste over underdatabehandlere. Hvis du deltager i betaversionen af live stemmefacilitering (en personlig indstilling for betadeltagere), sendes mikrofonlyd, udskriften af sessionen og det gemte indhold fra canvas til OpenAI, LLC (USA); databehandleraftalen med OpenAI er ved at blive færdiggjort, og dens status fremgår af vores liste over underdatabehandlere. Optaget lyd gemmes ikke; genereret podcastlyd gemmes i projektet, indtil den slettes. Stemmebehandling kræver udtrykkeligt samtykke (GDPR art. 6(1)(a)) og kan deaktiveres når som helst i dine indstillinger.

Push-notifikationer

Hvis du aktiverer push-notifikationer i mobilappen, gemmes din enhedstoken krypteret på vores servere og sendes til Expo (notifikationsrelæ), som videresender til Apple APNs (iOS) eller Google FCM (Android) til levering. Notifikationsindhold er forbigående og gemmes ikke af relætjenester efter levering. Push-notifikationer kræver udtrykkeligt samtykke og kan deaktiveres når som helst i dine enheds- eller appindstillinger. Notifikationsleveringslogfiler opbevares i 90 dage.

8. Underdatabehandlere

En komplet og opdateret liste over vores underdatabehandlere, herunder AI-udbydere, hosting og autentificeringstjenester, er tilgængelig på vores databehandleraftale-side.

9. Cookies og tracking

Hos 360 Sprint tror vi på radikal gennemsigtighed. Her er præcis hvilke cookies vi bruger og hvorfor.

Session Cookie (strengt nødvendig)

Vi bruger en enkelt session cookie (connect.sid) til at holde dig logget ind. Denne cookie er httpOnly, secure og udløber efter 7 dage. Den indeholder kun et tilfældigt session-ID, ingen personlige oplysninger.

Denne cookie er strengt nødvendig for at appen kan fungere og kræver ikke samtykke under EU's ePrivacy-direktiv.

Hvad vi ikke bruger

Vi bruger ikke Google Analytics, Facebook Pixel eller andre tredjeparts tracking-cookies. Vi sælger eller deler ikke dine data med annoncører. Vi tracker dig ikke på tværs af andre hjemmesider.

Privacy-first analytics

Vi bruger Plausible Analytics til statistik på sideniveau. Plausible er cookiefri, indsamler ingen personoplysninger og gemmer intet på din enhed. Plausible behandler disse data i EU på vores vegne som databehandler og står i vores underdatabehandlerliste. Vi bruger ingen annonce- eller sporingsværktøjer på tværs af websites.

Browser storage (ikke cookies)

Vi gemmer din temapræference (lys/mørk) og sprogvalg (dansk/engelsk) i din browsers localStorage. Disse data forlader aldrig din enhed og er ikke en cookie.

10. Internationale overførsler

Dine applikationsdata hostes i EU. Chat og strategianalyse kører på AWS Bedrock i Irland og forlader ikke EU. Stemme- og podcastfunktioner bruger ElevenLabs, Inc. (USA) under EU’s standardkontraktbestemmelser, indtil dataopbevaring i EU er bekræftet for vores konto, og betaversionen af live stemmefacilitering bruger OpenAI, LLC (USA), hvor databehandleraftalen er ved at blive færdiggjort. Til autentificering behandler Clerk data i USA under EU-US Data Privacy Framework og Standard Contractual Clauses. En komplet oversigt over underdatabehandlere er tilgængelig på vores DPA-side.