Privatlivspolitik

## 1. Dataansvarlig PriceFolk er dataansvarlig for behandlingen af dine personoplysninger. Hvis du har spørgsmål om, hvordan vi håndterer dine data, eller ønsker at udøve dine rettigheder, kan du kontakte os på: PriceFolk E-mail: GDPR@pricefolk.dk Vi er underlagt dansk databeskyttelseslovgivning og er under tilsyn af Datatilsynet. ## 2. Personoplysninger vi indsamler Vi indsamler og behandler følgende kategorier af personoplysninger: Kontooplysninger: Dit navn og din e-mailadresse, som indsamles ved registrering via vores autentificeringsudbyder Clerk. Profiloplysninger: Fødselsdato, køn, by og land, som du frivilligt angiver, når du udfylder din profil. Præferencedata: Produktinteresser, prispræferencer og kategorivalg, som du foretager under brug af platformen. Tekniske data: Sprogpræference og cookiesamtykkevalg, som gemmes lokalt på din enhed. Engagementsdata: Hvis du deltager i det daglige Ping-spørgsmål, gemmer vi dit svar (udelukkende som en multiple choice-svarmulighed, aldrig fritekst), din Folk-point-historik samt din streak- og aktivitetshistorik. Henvisnings- og svindelforebyggelsesdata: Hvis du tilmelder dig via et invitationslink, registrerer vi forbindelsen til det medlem, der inviterede dig, sammen med din IP-adresse og browsertype, udelukkende for at forhindre svindel med henvisninger. Vi indsamler personoplysninger direkte fra dig, når du opretter en konto, udfylder din profil, viser interesse for produkter, besvarer Ping-spørgsmål eller justerer dine indstillinger. Bortset fra det navn og den e-mailadresse, som videregives af din valgte login-udbyder (f.eks. Google, via Clerk), indsamler vi ikke data fra tredjepartskilder. ## 3. Formål og behandlingsgrundlag Vi behandler dine personoplysninger til følgende formål, hver med et specifikt behandlingsgrundlag i henhold til GDPR artikel 6, stk. 1: Kontooprettelse og levering af tjenesten: Vi behandler dit navn, din e-mail og dine profiloplysninger for at give dig adgang til PriceFolk-platformen og dens funktioner. Behandlingsgrundlag: Opfyldelse af kontrakt (art. 6, stk. 1, litra b). Anonymiseret efterspørgselsaggregering: Vi anonymiserer og aggregerer dine produktinteresser og prispræferencer for at forhandle gruppeaftaler med leverandører. Når vi henvender os til leverandører, deler vi udelukkende aggregerede, anonymiserede data, f.eks. hvor mange brugere der ønsker et bestemt produkt, og hvilken gennemsnitspris de er villige til at betale. Dit navn, din e-mail eller andre personhenførbare oplysninger indgår aldrig i disse forhandlinger. Behandlingsgrundlag: Legitim interesse (art. 6, stk. 1, litra f). Vores legitime interesse er at muliggøre kollektiv købskraft for vores brugere. Cookie- og præferencehåndtering: Vi gemmer dine cookiesamtykkevalg og sprogpræference på din enhed for at sikre, at hjemmesiden fungerer korrekt og respekterer dine valg. Behandlingsgrundlag: Samtykke for ikke-nødvendige cookies (art. 6, stk. 1, litra a); legitim interesse for strengt nødvendige cookies (art. 6, stk. 1, litra f). Valgfri kommunikation: Hvis du tilmelder dig tilbudsnotifikationer, nyhedsbreve eller fællesskabsopdateringer, behandler vi din e-mailadresse for at sende disse meddelelser. Behandlingsgrundlag: Samtykke (art. 6, stk. 1, litra a). Du kan til enhver tid trække dit samtykke tilbage i dine profilindstillinger. Daglige Ping-spørgsmål og Folk-point: Hvis du vælger at besvare det daglige spørgsmål, behandler vi dine svar for at personalisere tjenesten og tildele Folk-point. Det er altid frivilligt at svare. Du kan springe et spørgsmål over og stadig beholde din streak. Behandlingsgrundlag: Samtykke (art. 6, stk. 1, litra a) for dine svar; opfyldelse af kontrakt (art. 6, stk. 1, litra b) for din pointsaldo og belønninger. Forebyggelse af henvisningssvindel: Vi behandler den IP-adresse og browsertype, der registreres, når du tilmelder dig via et invitationslink, for at opdage misbrug af invitationsprogrammet. Oplysningerne bruges ikke til andre formål. Behandlingsgrundlag: Legitim interesse (art. 6, stk. 1, litra f): at holde belønningerne retfærdige og forebygge svindel. ## 4. Vores centrale privatlivsløfte PriceFolk vil aldrig sælge dine individuelle personoplysninger. Dette er et grundlæggende princip for vores platform. Vores arkitektur er designet, så dine personhenførbare oplysninger (navn, e-mail, kontooplysninger) holdes adskilt fra dine adfærds- og præferencedata (produktinteresser, prispræferencer). Når vi forhandler med leverandører, anvendes udelukkende anonymiserede, aggregerede data. Ingen leverandør eller kommerciel partner modtager nogensinde oplysninger, der kan identificere dig som enkeltperson. De teknologileverandører, der driver vores platform (se afsnit 6), behandler personoplysninger på vores vegne og er kontraktligt forpligtet til kun at bruge dem efter vores instruktioner og aldrig til egne formål. ## 5. Sådan anonymiserer vi data Før data deles med leverandører til forhandling af aftaler, anvender vi følgende sikkerhedsforanstaltninger: Aggregering: Individuelle præferencer samles til gruppestatistikker (f.eks. samlet antal interesserede, gennemsnitlig målpris, geografisk fordeling pr. region). Afidentificering: Alle personlige identifikatorer (navn, e-mail, bruger-ID) fjernes fra data, før de anvendes i forhandlinger eller deles eksternt. Minimumstærskler: Vi deler ikke aggregerede data for produktgrupper med færre brugere end vores minimumstærskel for at forhindre muligheden for genidentificering. Resultatet er, at leverandører ser markedsefterspørgselssignaler, ikke individuelle brugerprofiler. ## 6. Modtagere af data og tredjepartsdatabehandlere Vi deler kun personoplysninger med følgende kategorier af modtagere: Clerk (autentificeringsudbyder): Clerk Inc. behandler dit navn, din e-mail og dine loginoplysninger for at administrere dit kontologin. Clerk fungerer som databehandler på vores vegne. For yderligere information, se Clerks privatlivspolitik på clerk.com/legal/privacy. Supabase (databasehosting): Vores applikationsdatabase, som indeholder de data, der er beskrevet i afsnit 2, hostes af Supabase på servere inden for Den Europæiske Union. Supabase behandler kun data efter vores instruktioner. Vercel (applikationshosting): Vores applikation kører på Vercels infrastruktur i EU (Dublin). Som hostinglag behandler Vercel teknisk set din IP-adresse og de data, du sender til siden, mens de er undervejs. Upstash (caching og rate limiting): Vi bruger Upstash Redis til at cache aggregerede statistikker og til at beskytte platformen mod misbrug via rate limiting, hvilket indebærer kortlivede tekniske registreringer knyttet til dit bruger-ID eller din IP-adresse. Alle ovenstående leverandører fungerer som databehandlere: De er kontraktligt forpligtet til kun at behandle dine data efter vores instruktioner og må aldrig bruge dem til egne formål. Leverandører og partnere: Modtager udelukkende anonymiserede, aggregerede data som beskrevet i afsnit 4 og 5 ovenfor. De modtager aldrig personoplysninger. Vi sælger, udlejer eller deler ikke dine personoplysninger med annoncører, datamæglere eller andre tredjeparter. ## 7. Internationale dataoverførsler Dine primære kontodata (produktinteresser, profiloplysninger, præferencer) opbevares på servere inden for Den Europæiske Union. Clerk, vores autentificeringsudbyder, er baseret i USA. Clerk er certificeret under EU-US Data Privacy Framework (DPF), som Europa-Kommissionen har anerkendt som tilstrækkeligt beskyttelsesniveau (tilstrækkelighedsafgørelse af 10. juli 2023). Det betyder, at Clerks behandling af dine autentificeringsdata (navn, e-mail, loginoplysninger) i USA er dækket af passende garantier i henhold til GDPR artikel 46. Hvis vi i fremtiden indfører yderligere internationale overførsler, vil vi sikre passende garantier (såsom standardkontraktbestemmelser eller tilstrækkelighedsafgørelser) og opdatere denne politik i overensstemmelse hermed. ## 8. Opbevaring af data Vi opbevarer dine personoplysninger, så længe din konto er aktiv, og du fortsat bruger PriceFolk-platformen. Konto- og profiloplysninger: Opbevares, indtil du sletter din konto. Når du sletter din konto, anonymiserer vi den øjeblikkeligt og uigenkaldeligt: Din e-mailadresse, dit navn og dine login-identifikatorer slettes, dine profiloplysninger (fulde navn, fødselsdato, køn, by, land) slettes i samme handling, og din login-konto hos vores autentificeringsudbyder slettes. Interesser og Ping-aktivitet: Dine produktinteresser, Ping-svar og pointhistorik opbevares efter kontosletning udelukkende i anonymiseret form, permanent afkoblet fra din identitet, så gruppestatistikker over efterspørgsel forbliver retvisende. Svindelforebyggelses- og sikkerhedsregistreringer: Den IP-adresse og browsertype, der registreres ved tilmelding via invitationslink, opbevares i op til 12 måneder; interne administrative revisionslogfiler opbevares i op til 24 måneder. Derefter slettes eller anonymiseres de. Anonymiserede aggregerede data: Da disse data ikke kan henføres til dig, kan de opbevares på ubestemt tid til statistiske formål og forhandlingsformål. Cookiedata: Cookiesamtykkepræferencer (pf-consent) og sprogpræferencer (pf-locale) gemmes på din enhed i op til 1 år. Autentificerings-sessionscookies udløber ved afslutningen af din browsersession. Kommunikationspræferencer: Opbevares, indtil du trækker dit samtykke tilbage eller sletter din konto. Hvis vi i henhold til lovgivningen er forpligtet til at opbevare visse data i en længere periode (f.eks. af hensyn til skat eller juridisk overholdelse), gør vi det kun i den minimalt nødvendige periode. ## 9. Den registreredes rettigheder i henhold til GDPR Som registreret har du følgende rettigheder i henhold til GDPR artikel 15 til 22: Ret til indsigt (art. 15): Du kan anmode om en kopi af de personoplysninger, vi har om dig. Du kan se størstedelen af dine data direkte i dine profilindstillinger. Ret til berigtigelse (art. 16): Du kan rette unøjagtige personoplysninger når som helst via dine profilindstillinger eller ved at kontakte os. Ret til sletning (art. 17): Du kan slette din konto via sektionen "Privatliv & data" i dine profilindstillinger; dette fjerner øjeblikkeligt og permanent din identitet som beskrevet i afsnit 8. Du kan også kontakte os for at anmode om sletning. Ret til begrænsning af behandling (art. 18): Du kan anmode om, at vi begrænser behandlingen af dine data under visse omstændigheder. Ret til dataportabilitet (art. 20): Du kan anmode om at modtage dine personoplysninger i et struktureret, almindeligt anvendt og maskinlæsbart format. Ret til indsigelse (art. 21): Du kan gøre indsigelse mod behandling baseret på vores legitime interesser. Hvis du gør indsigelse, vil vi ophøre med behandlingen, medmindre vi har tvingende legitime grunde. Rettigheder vedrørende automatiseret beslutningstagning (art. 22): Vi bruger dine angivne præferencer og svar til at personalisere, hvad du ser (f.eks. hvilke tilbud eller daglige spørgsmål der er mest relevante for dig). Det er en let form for profilering. Vi træffer ingen automatiserede beslutninger med retsvirkning eller tilsvarende væsentlig betydning for dig, og vores aggregeringsproces bruges udelukkende til kollektiv forhandling, aldrig til individuelle beslutninger om dig. For at udøve nogen af disse rettigheder kan du kontakte os på GDPR@pricefolk.dk. Vi besvarer din henvendelse inden for 30 dage. Hvis din anmodning er kompleks, kan vi forlænge denne frist med op til to yderligere måneder, og i så fald informerer vi dig om forlængelsen. ## 10. Ret til at indgive klage Hvis du mener, at vores behandling af dine personoplysninger er i strid med GDPR, har du ret til at indgive en klage til Datatilsynet: Datatilsynet Carl Jacobsens Vej 35 2500 Valby, Danmark E-mail: dt@datatilsynet.dk Hjemmeside: datatilsynet.dk Du har også ret til at indgive en klage til tilsynsmyndigheden i det EU/EØS-land, hvor du bor eller arbejder. ## 11. Cookies Vi bruger et begrænset antal cookies, primært til autentificering og essentiel sitefunktionalitet. Vi bruger i øjeblikket ikke analyse- eller marketingcookies. Med dit samtykke husker én funktionel cookie (pf_ref) i 30 dage, hvilket medlem der inviterede dig, så vi kan kreditere dem for henvisningen. For en komplet liste over cookies, deres formål og hvordan du administrerer dem, se venligst vores Cookiepolitik på pricefolk.dk/cookie-policy. Du kan administrere dine cookiepræferencer når som helst ved at klikke på "Cookieindstillinger" i bunden af vores hjemmeside. ## 12. Datasikkerhed Vi implementerer passende tekniske og organisatoriske foranstaltninger til at beskytte dine personoplysninger, herunder: Krypteret dataoverførsel (HTTPS/TLS) for alle forbindelser til vores platform. Autentificering administreret af Clerk, en branchestandardudbyder af identitetstjenester med robuste sikkerhedsprocedurer. Arkitektonisk adskillelse af personhenførbare oplysninger fra adfærds-/præferencedata. Adgangskontroller, der begrænser, hvem inden for PriceFolk der kan tilgå personoplysninger, på et need-to-know-grundlag. Regelmæssig gennemgang af vores sikkerhedspraksis og databehandlingsprocedurer. Ingen sikkerhedsforanstaltning er absolut. Hvis vi bliver opmærksomme på et databrud, der udgør en risiko for dine rettigheder og friheder, underretter vi dig og den relevante tilsynsmyndighed i overensstemmelse med GDPR artikel 33 og 34. ## 13. Børns data PriceFolk er ikke beregnet til børn under 16 år. Vi indsamler ikke bevidst personoplysninger fra børn under 16 år. Hvis vi bliver opmærksomme på, at vi har indsamlet data fra et barn under 16 år, vil vi tage skridt til at slette disse data omgående. Hvis du mener, at et barn under 16 år har givet os personoplysninger, bedes du kontakte os på GDPR@pricefolk.dk. ## 14. Ændringer af denne politik Vi kan opdatere denne privatlivspolitik fra tid til anden for at afspejle ændringer i vores praksis, teknologi, juridiske krav eller andre faktorer. Når vi foretager væsentlige ændringer, vil vi: Offentliggøre den opdaterede politik på denne side med en ny "Sidst opdateret"-dato. Underrette dig via platformen (f.eks. et banner eller en notifikation), hvis ændringerne er væsentlige. Vi opfordrer dig til at gennemgå denne politik regelmæssigt. Din fortsatte brug af PriceFolk, efter ændringer er offentliggjort, udgør din anerkendelse af den opdaterede politik. ## 15. Kontakt For spørgsmål, bekymringer eller henvendelser vedrørende denne privatlivspolitik eller dine personoplysninger kan du kontakte os på: PriceFolk E-mail: GDPR@pricefolk.dk Vi bestræber os på at besvare alle henvendelser inden for 30 dage.