Privatlivspolitik
Senest opdateret 23. oktober 2026
Denne privatlivspolitik forklarer, hvilke personoplysninger DPP Host behandler, hvorfor og hvor længe: når du besøger dpphost.eu, åbner et produktpas på id.dpphost.eu, skriver til os, bruger dashboardet på app.dpphost.eu, API’et eller MCP-serveren eller besvarer en leverandøranmodning på forms.dpphost.eu. For nogle af oplysningerne er det brandet, som bruger DPP Host, der er ansvarligt, og vi behandler dem på brandets vegne; afsnittene nedenfor angiver, hvor det gælder.
Hvem er dataansvarlig
Den dataansvarlige er Qubites ApS, Ulsøparken 49, 2. 2660 Brøndby Strand, Danmark (CVR 37061026), som driver DPP Host. Skriv til privacy@dpphost.eu om dine personoplysninger og til hello@dpphost.eu om alt andet.
Når et brand er ansvarligt
Brands, dvs. de virksomheder, der bruger DPP Host, udgiver produktpas med tjenesten, beder deres leverandører om produktdata og tilbyder med Premium service til ejerne af deres produkter. For de personoplysninger, der behandles i den forbindelse, er brandet dataansvarligt, og DPP Host er brandets databehandler: det, brandet lægger i sine produktpas og sider, leverandørernes kontaktoplysninger og svar samt oplysningerne i brandets ejerservice. Vi bruger kun disse oplysninger efter brandets instruks. Spørgsmål om dem og anmodninger om indsigt, berigtigelse eller sletning skal rettes til brandet. Sender du dem til os, videresender vi dem til brandet.
Tekniske oplysninger
Når du åbner en af vores sider eller bruger API’et, behandler Cloudflare, som leverer dem, din IP-adresse og tekniske oplysninger om hver forespørgsel, fx den adresse, der hentes, tidspunktet og din browser, for at levere tjenesten og beskytte den mod misbrug. Forespørgsler, der når vores database, logges desuden af Supabase. API’et, MCP-serveren og leverandørformularerne begrænser, hvor mange forespørgsler én IP-adresse kan sende i minuttet; Cloudflare tæller dem kun for det igangværende minut, og vi gemmer ikke adressen. Udbyderne sletter disse logfiler efter kort tid. Retsgrundlaget er vores legitime interesse i at drive en sikker tjeneste (databeskyttelsesforordningens artikel 6, stk. 1, litra f).
På de sider i dashboardet, hvor du logger ind, opretter en konto eller nulstiller en adgangskode, også når du logger ind på et brands ejerservice, og når du logger ind igen før en følsom handling, kontrollerer Cloudflare Turnstile, at det er et menneske og ikke et automatiseret program, der sender forespørgslen. De fleste ser intet til kontrollen. Til den behandler Cloudflare som vores databehandler din IP-adresse og tekniske signaler fra din browser og din enhed. Retsgrundlaget er vores legitime interesse i at beskytte konti og login mod automatiseret misbrug (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Den samme kontrol beskytter formularen til at skrive til ejeren af et produkt, du har fundet.
Produktpas
Hvert produktpas på id.dpphost.eu udgives af det brand, der er ansvarligt for produktet, og brandet bestemmer, hvad passet viser. Hver ny version af et produktpas viser desuden brandets verificerede juridiske navn, brandets land og, for et selskab, dets verificerede momsnummer eller registreringsnummer. For en enkeltmandsvirksomhed er det juridiske navn ejerens eget navn. Viser et produktpas personoplysninger, er brandet ansvarligt for dem, og vi udgiver dem på brandets vegne. Udgivne produktpas forbliver online i den periode, EU-reglerne kræver, hvilket kan være mange år. Vil du have personoplysninger fjernet fra et produktpas, så kontakt det brand, der står i passet, eller os. Det kræver ingen konto at åbne et produktpas. Vi tæller, hvor ofte produktpas åbnes, uden personoplysninger: pr. dag, produkt (uden serienummer), sprog, land og efter, om den aktuelle eller en tidligere version blev åbnet. Vi registrerer ikke IP-adresser, oplysninger om din browser, cookies eller den side, du kom fra. Brands med Premium kan se disse daglige totaler for deres egne produkter. Cloudflare opbevarer optællingerne i 3 måneder; vores database opbevarer de daglige totaler i 25 måneder.
Viser et brand en video fra YouTube eller Vimeo på sin passide, viser siden først et stillbillede fra vores egne servere, og intet hentes fra YouTube eller Vimeo, før du trykker på afspil. Når du gør det, afspilles videoen fra YouTube (Google) i dens udvidede privatlivstilstand eller fra Vimeo med indstillingen »Do Not Track«, og den udbyder modtager din IP-adresse og oplysninger om din browser og kan gemme oplysninger i din browser efter sine egne privatlivsvilkår. Links på en passide, fx til dokumenter eller til kontrol af et certifikat, åbner først andre websites, når du klikker på dem.
Hvis du skriver til os
Hvis du skriver til os på hello@dpphost.eu eller privacy@dpphost.eu, fx for at sende dokumenter til en verificering af virksomheden, behandler vi din e-mailadresse, dit navn og det, du skriver, for at svare dig og følge op. Retsgrundlaget er vores legitime interesse i at svare dem, der kontakter os (databeskyttelsesforordningens artikel 6, stk. 1, litra f), og, for anmodninger om dine rettigheder, vores retlige forpligtelse til at besvare dem (databeskyttelsesforordningens artikel 6, stk. 1, litra c). Vi opbevarer disse e-mails, så længe vi har brug for dem til at svare dig og følge op, dog højst 2 år efter vores seneste korrespondance.
Hvis du tilmelder dig besked om EU-regler
Hvis du på dpphost.eu tilmelder dig besked om EU-regler for produkter, gemmer vi din e-mailadresse, den webadresse for virksomheden eller produktet, du angiver, sidens sprog, og hvornår du tilmeldte dig og bekræftede. Vi sender først en e-mail, hvor du bekræfter tilmeldingen, og sender kun beskeder, når du har bekræftet: når et krav om produktpas for produkter som dine får en dato, og igen, før det gælder; aldrig reklame. Hver e-mail har et link, så du kan afmelde beskederne. Retsgrundlaget er dit samtykke (databeskyttelsesforordningens artikel 6, stk. 1, litra a), som du trækker tilbage med det link. En adresse, der ikke er bekræftet inden for 7 dage, slettes, og din registrering slettes 30 dage efter, at du har afmeldt beskederne. Vores registrering af hver e-mail, vi sender dig, slettes efter 30 dage. For at begrænse misbrug af formularen gemmer vi i vores tællere en nøglebaseret hash af din IP-adresse i højst en dag, aldrig selve adressen.
Konti i dashboardet
Når du opretter en konto på app.dpphost.eu, behandler vi dit navn, din e-mailadresse, en sikkert hashet adgangskode, hvis du opretter en, dit sprog, de organisationer, du tilhører, med din rolle i hver af dem samt en log over de handlinger, du foretager i dem. Supabase, som driver vores login, registrerer desuden dine sessioner og logins med din IP-adresse og din browser. Vi har brug for oplysningerne for at levere den tjeneste, som du eller din organisation har tilmeldt sig (databeskyttelsesforordningens artikel 6, stk. 1, litra b); uden navn og e-mailadresse kan du ikke have en konto. Du forbliver logget ind i højst 90 dage og i højst 30 dage uden brug. Vi opbevarer din konto, indtil du sletter den på siden Konto eller beder os om at slette den. Sletningen fjerner straks dine medlemskaber, dit login og loggen over dine logins; posterne i dine organisationers handlingslogge om det, du har gjort dér, bliver stående under en identifikator, der ikke længere fører til din konto. Før du kan slette kontoen, skal du gøre et andet medlem til ejer af enhver organisation, hvor du er eneste ejer, og som har andre medlemmer, skrive til os, så vi lukker enhver organisation, hvor du er eneste medlem, og slette enhver ejerkonto, du har hos et brand. En organisations handlingslog opbevares, så længe organisationens udgivne produktpas er tilgængelige, fordi den dokumenterer, hvem der har udgivet og ændret dem.
Du kan også logge ind med Google, Apple eller Microsoft. Gør du det, bekræfter udbyderen, hvem du er, efter sine egne privatlivsvilkår og deler efter din anmodning din e-mailadresse, dit bruger-id hos udbyderen og, hvis udbyderen sender dem med, dit navn og andre grundlæggende profiloplysninger med os. Vi gemmer dem sammen med din konto, så du kan logge ind på samme måde igen, og udbyderen får at vide, at du logger ind hos DPP Host. Vi modtager aldrig din adgangskode til udbyderen. Vælger du Apples funktion »Skjul min e-mail«, modtager vi en adresse hos Apple, der videresender vores e-mails til dig. Slår du login i to trin til, gemmes en hemmelig nøgle til din authenticator-app sammen med din konto (hos Supabase i Frankfurt), og tidspunkterne, hvor du bruger den, logges; du kan slå det fra på siden Konto. Retsgrundlaget for begge dele er aftalen med dig eller din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b).
Organisationer, verificering af virksomheder og GTIN’er
En organisation skal bestå en verificering af virksomheden, før den kan udgive produktpas. Et momsnummer fra et EU-land kontrolleres automatisk i EU’s system til udveksling af momsoplysninger (VIES), som Europa-Kommissionen driver sammen med de nationale skattemyndigheder, og som kan returnere det registrerede navn og den registrerede adresse; bekræfter VIES ikke nummeret, afvises verificeringen, og organisationen kan starte en ny verificering, som vores medarbejdere foretager manuelt. Andre registre, fx det danske CVR, kontrollerer vores medarbejdere manuelt. Kan intet register bekræfte virksomheden, fx for mange enkeltmandsvirksomheder og virksomheder uden for EU, beder vores medarbejdere pr. e-mail om dokumenter som en registerudskrift eller en erhvervstilladelse og sletter den e-mail, så snart der er truffet afgørelse om verificeringen. Vi gemmer landet, nummeret, det juridiske navn og, hvis et register oplyser den, adressen, en eventuel note fra organisationen, resultatet samt hvem der anmodede, og hvem der traf afgørelsen. Vores medarbejdere kontrollerer også det juridiske navn mod EU’s sanktionslister. For en enkeltmandsvirksomhed er disse registreringer personoplysninger. Vi bruger dem til at sikre, at kun rigtige virksomheder kan udgive, og at hver virksomhed kun har én verificeret organisation, til at vise de verificerede oplysninger i dens produktpas (se »Produktpas«; et nummer, der er kontrolleret via proceduren for enkeltmandsvirksomheder, vises aldrig) og til at holde produktpas troværdige. Retsgrundlagene er aftalen med din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b), vores legitime interesse i at forhindre misbrug (artikel 6, stk. 1, litra f) og, for sanktionskontrollen, vores retlige forpligtelse (artikel 6, stk. 1, litra c). Vi opbevarer disse registreringer, så længe organisationen findes i DPP Host, fordi de viser, hvorfor den fik lov til at udgive.
For at udgive produktpas for et GTIN (et stregkodenummer) skal en organisation have et krav på det eller tilladelse fra den organisation, der har kravet. Et krav ledsages af dokumentation, fx navnet på GS1-licenshaveren, et bevis på organisationens webdomæne eller en GS1 Digital Link-adresse, som vores medarbejdere kontrollerer manuelt. Vi gemmer kravet, licenshaverens navn, dokumentationen, en eventuel note eller indsigelse samt hvem der anmodede, og hvem der traf afgørelsen. Disse registreringer er kun personoplysninger, hvis de nævner en person, fx ejeren af en enkeltmandsvirksomhed. Vi opbevarer dem, så længe organisationen findes, af samme grunde og på samme retsgrundlag som verificeringen af virksomheden. For at bevise, at den kontrollerer et webdomæne, tilføjer en organisation en kode i domænets DNS-poster, som vi slår op via Cloudflare.
Teams, invitationer og partnere
Medlemmer af en organisation ser hinandens navne, e-mailadresser og roller, hvornår de blev medlemmer, og om de bruger login i to trin; administratorer ser desuden organisationens handlingslog. En administrator inviterer nogen ved at oprette et link og dele det; vi sender ingen invitation pr. e-mail. Vi opbevarer den inviterede e-mailadresse sammen med organisationen og rollen, indtil invitationen accepteres; accepteres den ikke, sletter vi adressen inden for 30 dage efter, at invitationen er udløbet eller trukket tilbage. Retsgrundlaget er den inviterende organisations legitime interesse i at tilføje sit team (databeskyttelsesforordningens artikel 6, stk. 1, litra f). En organisation kan også lade en anden virksomhed, fx et bureau, arbejde i den som partner. Partnerens medarbejdere ser så det, medlemmer med samme rolle ser, organisationens medlemmer ser deres navne og e-mailadresser, og handlingsloggen registrerer, hvad de gør. Registreringen af, hvilken partner der blev tilknyttet, af hvem og hvornår, opbevarer vi sammen med organisationens registreringer, lige så længe som dens handlingslog. Retsgrundlaget er aftalen med din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b). En partner kan også forberede en organisation for et brand, der endnu ikke er med, og angive e-mailadressen på en kontaktperson hos brandet, som vi sender partnerens anmodninger om at godkende pas til. Vi opbevarer adressen og sproget i dens e-mails, indtil kontaktpersonen overtager organisationen; sker det aldrig, sletter vi begge dele 90 dage efter, at adressen blev angivet, eller den seneste anmodning udløb, alt efter hvad der er senest. Partnerens medarbejdere, der sender anmodninger dér, ser adressen. Hver anmodning gemmes sammen med organisationens registreringer: hvem der sendte hvilke pas og hvornår, brandets beslutning, hvem der traf den, og en eventuel begrundelse, som partnerens medarbejdere, der arbejder dér, ser. Retsgrundlaget er den legitime interesse i at lade et brand godkende de pas, en partner har forberedt for det (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Et brand, der bruger ejerservice, kan også invitere en butik pr. e-mail til at registrere brandets produkter til butikkens kunder. Vi opbevarer den inviterede adresse og dens sprog, indtil invitationen accepteres eller trækkes tilbage, ellers indtil 29 dage efter, at den er udløbet; den, der åbner invitationen, ser brandets navn og adressen. Retsgrundlaget er brandets legitime interesse i at tilføje de butikker, der sælger dets produkter (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Når en butik accepterer, opbevarer vi, hvilken organisation der accepterede hvilken version af Forhandlerbetingelserne, hvem der accepterede dem, og hvornår, på grundlag af aftalen med den organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b). Et brand kan også tilknytte en distributør for de lande, den betjener; distributøren kan så invitere en butik pr. e-mail til brandets produkter. Den invitation opbevarer vi som et brands, sammen med den distributør, der sendte den; den, der åbner den, ser også distributørens navn, og brandet ser hver butik, en distributør tilføjer. Retsgrundlaget er distributørens og brandets legitime interesse i at tilføje de butikker, der sælger brandets produkter (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Når en virksomhed sender et brands produkter til en anden virksomhed via DPP Host eller markerer produkter på sit lager som bortkommet eller stjålet, registrerer vi, hvilket medlem der gjorde det, sammen med de berørte virksomheders og brandets registreringer, så længe brandets organisation findes, eller indtil medlemmets konto slettes, på grundlag af aftalen med de organisationer (databeskyttelsesforordningens artikel 6, stk. 1, litra b). Lader en butik sit fakturasystem sende en kopi af hver faktura til sin DPP Host-adresse, læser vi stelnumre, fakturanummer og dato ud af kopien, gemmer dem sammen med butikkens salgsregistreringer i 24 måneder og kasserer kopien med det samme (den kan indeholde køberens navn og adresse; en kopi, vi ikke kan læse, noteres i 7 dage uden sit indhold), som butikkens databehandler i henhold til Forhandlerbetingelserne.
API-nøgler, AI-apps og webshops
Når en administrator opretter en API-nøgle, gemmer vi dens navn, hvem der oprettede den, dens tilladelser og udløbsdato, dens første tegn, hvornår den sidst blev brugt, og en nøglebaseret hash af den; den fulde nøgle vises én gang og gemmes aldrig. Vi tæller hver organisations forespørgsler pr. dag og opbevarer optællingerne i 400 dage. Du kan forbinde en AI-app, fx en AI-assistent, til DPP Host via vores MCP-server på mcp.dpphost.eu: Du logger ind og giver den lov til at arbejde i én organisation i en periode, du vælger, på højst 365 dage. Vi gemmer forbindelsen: dit bruger-id, organisationen, appens navn og webadresse, tilladelserne, hvornår du gav lov, og hvor meget den bruges hver dag; det daglige forbrug opbevarer vi i 400 dage. Forbindelsen gemmes også, delvis krypteret, i Cloudflare Workers KV, som ikke er begrænset til EU. En adgang gælder 1 time ad gangen, og en forbindelse ophører desuden efter 30 dage uden brug, eller når du afslutter den i dashboardet. Organisationens administratorer kan se, hvem der har forbundet hvilken app. Appen modtager de oplysninger om produktpas, produkter og kladder, den beder om inden for de tilladelser, du har givet, aldrig oplysninger om medlemmer eller ejere, og dens udbyder behandler disse oplysninger efter sine egne vilkår. En AI-app kan ikke udgive: Et menneske godkender hver ændring. Apps, der registrerer sig hos vores MCP-server, giver os deres navn, webadresse og, hvis de vil, kontaktadresser; dem opbevarer vi i op til 90 dage efter, at appen sidst blev brugt. Når en administrator forbinder en Shopify- eller WooCommerce-webshop, gemmer vi, hvem der forbandt og godkendte den, og webshoppens webadresse, og vi giver organisationens administratorer besked pr. e-mail; webshoppen sender os kun produktdata, aldrig oplysninger om kunder, ordrer eller besøgende. Registreringer om nøgler, forbindelser og webshops bliver stående i organisationens registreringer, efter at de er ophørt. Retsgrundlaget er aftalen med din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b).
Under »Nyt pas« kan du trække filer om et produkt ind (PDF-filer eller fotos) eller indsætte et link til produktets side. Vi sender dem én gang til Anthropic, hvis AI-model Claude læser dem for at finde de værdier, passet skal bruge, og hvor hver enkelt står; fotos sender vi uden deres placerings- og kameraoplysninger. Hver værdi forbliver et forslag, indtil en person bekræfter den. Når en administrator tilføjer et licenscertifikat eller en medlemsfaktura fra GS1 til et GTIN-krav, sender vi dokumentet én gang til Anthropic på samme måde for at læse de virksomhedsoplysninger, det viser (hvem der har udstedt det, licenstageren, virksomhedspræfikserne og datoerne); vi gemmer kun disse oplysninger sammen med kravet, ikke filen, og bruger dem til at afgøre kravet. Vi gemmer ikke filerne eller siden: De læses i hukommelsen og kasseres sammen med forespørgslen. Vi gemmer de fundne værdier, hver med filens navn og et kort citat, der viser, hvor værdien blev fundet, og i 400 dage en optælling af hver organisations læsninger (hvem, hvornår og hvor mange filer, uden deres indhold), så månedens grænse kan overholdes. Anthropic behandler filerne i USA eller i et andet land, hvor virksomheden driver sin tjeneste, på grundlag af EU’s standardkontraktbestemmelser. Anthropic sletter filerne og svaret inden for 30 dage og bruger dem ikke til at træne modeller; kun indhold, som Anthropics automatiske kontroller markerer som et brud på virksomhedens brugspolitik, kan blive gemt længere, i op til 2 år. I dashboardet hjælper guiden, en AI-assistent, organisationens redaktører med at lave deres pas. Når du skriver til guiden, sender vi din besked, de tidligere beskeder i samtalen og de oplysninger om organisationens konto, der skal til for at svare (abonnement, kladder og hvad de mangler, priser og AI-kreditter), til Anthropic, hvis Claude-model skriver svaret; en fil, du tilføjer i guiden, bliver læst som under »Nyt pas«. De værdier, guiden foreslår, forbliver forslag i kladden, indtil en person bekræfter dem. Vi gemmer samtalen, som kun du kan se, i 30 dage efter den seneste besked, og en optælling af hver persons beskeder (hvem, hvornår og hvor mange, uden indhold) i 400 dage til timegrænsen og AI-kreditterne. Anthropic behandler dem som beskrevet ovenfor, sletter dem inden for 30 dage og bruger dem ikke til at træne modeller. Ud over dette bruger DPP Host ikke AI-modeller på dine oplysninger. Retsgrundlaget er aftalen med din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b).
E-mails, vi sender
Vi sender e-mails fra noreply@dpphost.eu via Resend, vores databehandler: login-koder og -links, bekræftelser af e-mailadresse og nulstilling af adgangskode samt e-mails om din organisations brug af DPP Host, fx om betalinger og mislykkede betalinger, abonnementsskift, afgørelser om verificering af virksomheder og GTIN-krav, certifikater, der snart udløber, eksporter, der er klar, en påmindelse om en gemt import, når du beder om en, svar på leverandøranmodninger, ejeres anmodninger om reparation, et brands eller en distributørs invitation til en butik, det link, en butik beder os sende til sin kunde, leveringer, en virksomhed modtager, eller som trækkes tilbage, et brands tilbagekaldelser og sikkerhedsadvarsler om produkter, en virksomhed har på lager, og problemer med webhooks eller webshopforbindelser. De går til den person, det handler om, eller som regel til organisationens ejere og administratorer; dem om leveringer, tilbagekaldelser og sikkerhedsadvarsler også til dens redaktører. Vi sender ingen nyhedsbreve eller reklamer, og vi sporer ikke, om du åbner vores e-mails eller klikker på linkene i dem. Resend sender dem fra EU (Irland) og opbevarer en kopi af hver e-mail og dens afsendelseslog i USA i 30 dage. Vi registrerer hver e-mail, vi sender, med den adresse, den gik til, for at kunne vise, hvad der blev sendt, og for ikke at sende den to gange; registreringerne af e-mails til dig slettes sammen med din konto, og de øvrige opbevares, så længe den organisation, de vedrører, findes. Retsgrundlaget er aftalen med dig eller din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b). Svar ikke på disse e-mails. Skriv i stedet til hello@dpphost.eu. Når en finder sender en besked om et produkt, som ejeren har markeret som bortkommet eller stjålet, giver vi ejeren besked pr. e-mail om, at der er kommet en besked, uden det, finderen skrev. Når du beder os om hjælp til en gemt import, opbevarer vi din anmodning (din besked, hvis du skriver en, tallene for importen og hvem der spurgte) og sender den til vores medarbejdere sammen med din e-mailadresse, så vi kan svare dig; din organisations medlemmer kan se, at du har spurgt, og vi sletter anmodningen 2 år efter, at vi har lukket den.
Betalinger
Når en organisation betaler for DPP Host, går betalingen gennem Stripe. Vi sender Stripe organisationens navn, dens e-mailadresse til fakturaer (eller køberens e-mailadresse) og dens sprog. Stripe indsamler faktureringsadressen, et eventuelt momsnummer, som Stripe kontrollerer, og betalingsoplysningerne; vi modtager aldrig fulde kort- eller kontonumre. Stripe beregner momsen, udsteder fakturaerne og driver kundeportalen, hvor administratorer ser fakturaer og ændrer betalingsoplysninger. Vi gemmer kundereferencen hos Stripe, e-mailadressen til fakturaer, landet, momsnummeret og dets status samt Stripes meddelelser om betalinger. Stripe behandler betalingen som vores databehandler; for at forhindre svindel og opfylde sine egne retlige forpligtelser, fx reglerne om hvidvask, er Stripe selvstændig dataansvarlig efter sin egen privatlivspolitik. Retsgrundlagene er aftalen med din organisation (databeskyttelsesforordningens artikel 6, stk. 1, litra b) og vores pligt til at føre regnskab (artikel 6, stk. 1, litra c). Stripes meddelelser slettes 400 dage efter modtagelsen, når vi har behandlet dem. Faktureringsoplysningerne opbevarer vi, så længe organisationen findes, og fakturaer og andet regnskabsmateriale så længe, bogføringsloven kræver det, dvs. 5 år fra udgangen af det regnskabsår, materialet vedrører. Stripe kan behandle oplysninger i USA; den overførsel er omfattet af EU-USA-databeskyttelsesrammen (EU-U.S. Data Privacy Framework) og Europa-Kommissionens standardkontraktbestemmelser.
Hvis du besvarer en leverandøranmodning
Et brand kan bede sine leverandører om produktdata med et link til en formular på forms.dpphost.eu, som brandet selv sender, eller som vi sender pr. e-mail i brandets navn, med højst to påmindelser. Brandet er dataansvarligt, og vi er brandets databehandler. Brandet giver os dine kontaktoplysninger, fx dit navn, din e-mailadresse, dit land og dit sprog, og modtager dine svar og de filer, du uploader, fx certifikater eller fotos; vi fjerner placerings- og kameraoplysninger fra fotos, før vi gemmer dem. Brandet bestemmer, hvor længe det opbevarer dine kontaktoplysninger og svar. Filer, som brandet ikke har brugt i et produktpas, slettes 90 dage efter, at anmodningen er afsluttet, dvs. når den er trukket tilbage, eller dens link er udløbet. Formularen kræver ingen konto og sætter ingen cookies. Spørgsmål om dine oplysninger dér skal rettes til det brand, der sendte anmodningen. Bruger du »Anmeld denne anmodning«, gemmer vi en hash af din e-mailadresse, så vi ikke sender dig flere anmodninger fra det brand. Til det er vi dataansvarlige på grundlag af vores legitime interesse i at forhindre misbrug (databeskyttelsesforordningens artikel 6, stk. 1, litra f), og vi opbevarer hashen, indtil du beder os om at fjerne den.
Hvis du bruger et brands ejerservice
Nogle brands lader ejerne af deres produkter registrere dem på app.dpphost.eu/owner/…. I ejerområdet er brandet dataansvarligt, og DPP Host behandler dine data på brandets vegne; brandets egne oplysninger om databeskyttelse vises dér, og spørgsmål om dine varer, anmodninger eller data dér skal stilles til brandet. DPP Host er ansvarlig for dit login (din e-mailadresse og hvornår du bekræftede den), som du kan bruge hos flere brands; vi har brug for det for at give dig det login, du har bedt om (databeskyttelsesforordningens artikel 6, stk. 1, litra b). Du kan også logge ind i et ejerområde med Apple eller Google; hvad udbyderen deler, og hvad vi gemmer af det, er beskrevet under »Konti i dashboardet«. Et navn, som en ejer angiver til sit kort, eller som Apple eller Google deler ved login, vises på ejerens eget kort og egen produktside; den anden part i en overdragelse ser kun fornavnet og forbogstavet i efternavnet, og det samme gør den tidligere ejers kort bagefter; et registreringsbevis, som en ejer deler, viser produktet, dets serienummer, siden hvornår det har været registreret, og ejerens initialer eller det fulde navn, hvis ejeren vælger det; produktpasset viser aldrig navnet, og intet af dette viser en e-mailadresse, et telefonnummer eller en adresse. Hvis en butik, som brandet har tilknyttet, overdrager et produkt til dig, bliver butikkens navn og salgsdatoen en del af din registrering og din garanti, og dit kort og din produktside viser »Købt hos« med butikkens navn; butikken ser dit fornavn og forbogstavet i dit efternavn indtil 30 dage efter overdragelsen og intet andet om dig. Hvis butikken beder os sende dig linket pr. e-mail, bruges din adresse kun til den e-mail. Når et registreringsbevis åbnes, tælles visningen, og intet om dig gemmes. Vi gemmer dit login, så længe du har en ejerkonto hos et brand eller en konto i dashboardet. Hvis du beder om et login-link, men aldrig opretter en ejerkonto, eller hvis din sidste ejerkonto slettes, sletter vi dit login efter 30 dage uden brug. Spørgsmål om dit login: privacy@dpphost.eu.
Sikkerhedsadvarsler: Fra et produkts passide kan du uden en ejerkonto bede om sikkerhedsadvarsler om produktet. Brandet gemmer så din e-mailadresse, dens sprog og produktet og bruger dem kun til at fortælle dig om sikkerhedsadvarsler og tilbagekaldelser (artikel 35 i forordning (EU) 2023/988), aldrig til markedsføring; brandet ser kun, hvor mange der har bedt om dem. Registrerede ejere får advarslerne på deres kontos adresse eller på en separat adresse, de angiver. Hver advarsel har et link, så du kan afmelde advarslerne, og adressen slettes derefter; en separat adresse, der ikke bekræftes inden for 7 dage, slettes også. Det login, du bekræfter adressen med, slettes lige bagefter, medmindre du har en ejerkonto eller en konto i dashboardet.
Kvitteringer: Hvis en butik, som brandet har tilknyttet, tilføjede din kvittering, da du købte et produkt, og du beholdt den, da du overtog produktet, opbevares den sammen med din registrering, og kun du kan se eller downloade den. Brandet ser den kun, hvis du vedhæfter den til en anmodning om reparation eller garanti, og kun mens anmodningen er åben. Den slettes, når din registrering ophører, for eksempel når du overdrager produktet, eller når du fjerner den; den næste ejer ser den aldrig. Den opbevares i EU hos Cloudflare og indgår ikke i nogen sikkerhedskopi.
Cykler og batterier: Hvis en cykel og dens batteri begge er registreret til dig, registrerer vi også, hvilket batteri der er monteret på hvilken cykel, så hvert kort nævner den anden del, og et salg kan omfatte begge; brandet ser det ikke, og koblingen ophører, når en del sælges, markeres som bortkommet eller stjålet eller genanvendes for sig selv.
Bortkommet eller stjålet: Hvis du markerer et produkt som bortkommet eller stjålet og lader findere skrive til dig, står der på dets passide, at ejeren leder efter det, med en knap til at sende dig en besked; siden viser aldrig dit navn, eller hvordan du kan kontaktes. Det, en finder sender, når kun dig: på din produktside, på dit Wallet-kort og i en e-mail, der fortæller, at der er kommet en besked. Brandet ser det ikke. Hver besked slettes efter 30 dage, når du anmelder den, eller når din registrering ophører.
Hvis du skriver til ejeren af et produkt, du har fundet
Når ejeren af et produkt har markeret det som bortkommet eller stjålet og lader findere skrive, har produktets passide en knap til at sende ejeren en besked. Formularen på app.dpphost.eu spørger, hvor produktet er; du kan også tilføje din placering (kun hvis du vil, og din browser spørger dig først), en måde, ejeren kan kontakte dig på, og en kort besked. Vi giver det kun videre til produktets registrerede ejer: det hele på ejerens produktside og det sted, du skrev, på ejerens Wallet-kort; ejerens e-mail siger kun, at der er kommet en besked. Brandet ser aldrig din besked, og den bruges ikke til andet. Brandet er dataansvarligt for sin ejerservice, og DPP Host behandler din besked på brandets vegne (se »Hvis du bruger et brands ejerservice«); retsgrundlaget er ejerens og din legitime interesse i, at produktet kommer tilbage til ejeren (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Din besked slettes efter 30 dage eller tidligere, hvis ejeren anmelder den, eller ejerens registrering ophører.
For at beskytte ejere mod misbrug kontrollerer DPP Host som dataansvarlig med Cloudflare Turnstile, at det er et menneske, der sender formularen, og begrænser, hvor mange beskeder én netværksadresse kan sende. Til disse grænser gemmer vi en nøglebaseret hash af din IP-adresse, aldrig selve adressen: i vores tællere i højst en dag og sammen med din besked, så længe den opbevares. Hvis ejeren anmelder din besked, slettes den, og beskeder fra samme hashede adresse afvises i 7 dage. Links er ikke tilladt i beskeder. Formularen sætter ingen cookies og gemmer intet i din browser. Retsgrundlaget er vores legitime interesse i en sikker tjeneste (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Vil du have din besked slettet tidligere, så skriv til privacy@dpphost.eu, og oplys produktet og tidspunktet, hvor du sendte den.
Anmeldelser af indhold
Hvis du anmelder indhold med formularen på siden om anmeldelse af indhold, gemmer vi det, du skriver, den webadresse, du anmelder, dit navn og din e-mailadresse, hvis du oplyser dem, og en nøglebaseret hash af din IP-adresse. Vi bruger anmeldelsen til at behandle den og opfylde vores pligter efter forordningen om digitale tjenester (databeskyttelsesforordningens artikel 6, stk. 1, litra c). Den berørte organisation får aldrig at vide, hvem der sendte anmeldelsen. IP-hashen bruger vi kun til at begrænse misbrug af formularen, hvilket er vores legitime interesse i, at den kan bruges af alle (artikel 6, stk. 1, litra f). Vi sletter IP-hashen efter 30 dage. Når der er gået 3 år efter vores afgørelse, sletter vi dit navn, din e-mailadresse og det, du skrev; vi gemmer kun referencen, datoerne, kategorien, den anmeldte webadresse og afgørelsen som dokumentation for, hvordan vi behandlede anmeldelsen.
Hvor data opbevares, og hvem der modtager dem
Vores database, vores login og vores serverfunktioner kører hos Supabase i Frankfurt, Tyskland. Cloudflare leverer vores sider via sit globale netværk fra det datacenter, der ligger nærmest dig, opbevarer vores gemte filer i EU og videresender e-mails til hello@dpphost.eu og privacy@dpphost.eu til vores postkasser hos Microsoft (Microsoft 365) og Google (Gmail). Resend sender vores e-mails. Anthropic læser de filer og sider, du tilføjer under »Nyt pas«, og de GS1-dokumenter, du tilføjer til GTIN-krav, og skriver guidens svar. Supabase, Cloudflare, Microsoft, Resend og Anthropic er vores databehandlere. Stripe håndterer betalinger som beskrevet ovenfor. De er alle amerikanske virksomheder eller en del af amerikanske koncerner. Når personoplysninger overføres til USA eller tilgås uden for EU, er overførslen til vores databehandlere og til Stripe omfattet af Europa-Kommissionens standardkontraktbestemmelser i hver udbyders databehandleraftale og, for Cloudflare, Resend og Stripe, desuden af EU-USA-databeskyttelsesrammen. Du kan få en kopi af disse garantier ved at skrive til privacy@dpphost.eu. Listen over vores underdatabehandlere, med den dato, hvor hver ny begynder, findes på dpphost.eu/sub-processors (på engelsk).
Andre modtagere: EU’s VIES-register modtager momsnummeret for en organisation, der verificeres; Google, Apple og Microsoft deltager som selvstændige dataansvarlige i de logins, du starter hos dem; udbyderne af de AI-apps, du forbinder, modtager det, appen læser for dig; brands modtager det, som denne privatlivspolitik siger, de ser; og myndigheder modtager oplysninger, når loven kræver det, fx politiet efter forordningen om digitale tjenester. Vi sælger ikke personoplysninger.
Sikkerhedskopier og eksporter
Hver nat kopierer vi hvert udgivet produktpas til et separat lager hos Cloudflare i EU, så produktpassene kan genskabes; kopien indeholder kun det, passiderne viser. Vi opbevarer hver natlig kopi i 35 dage og én kopi pr. måned i 400 dage. En organisations administratorer kan downloade organisationens produktpas, kladder, leverandørfiler, medier og sider som ZIP-filer, som vi sletter efter 7 dage; en sådan eksport indeholder ingen oplysninger om medlemmer eller ejere, ingen nøgler og ingen faktureringsoplysninger. Slettede data kan forblive i databasens krypterede sikkerhedskopier i op til 7 dage, før de overskrives.
Dine rettigheder
Du kan anmode om indsigt i dine oplysninger, om at få dem berigtiget eller slettet, om at få behandlingen af dem begrænset eller om at få en kopi i et maskinlæsbart format, og du kan gøre indsigelse mod behandling, der bygger på vores legitime interesse. Skriv til privacy@dpphost.eu. Vi svarer inden for en måned og kan bede dig bekræfte din identitet. Er et brand ansvarligt for dine oplysninger (se »Når et brand er ansvarligt«), så kontakt brandet, eller skriv til os, så videresender vi din anmodning. Bortset fra den automatiske kontrol i VIES (se »Organisationer, verificering af virksomheder og GTIN’er«) træffer vi ingen afgørelser om dig, der alene er baseret på automatisk behandling, og som har retsvirkning for dig eller på tilsvarende vis betydeligt påvirker dig. Du kan også klage til Datatilsynet, som er den danske tilsynsmyndighed for databeskyttelse (datatilsynet.dk), eller til tilsynsmyndigheden i det land, hvor du bor eller arbejder.
Ændringer af denne privatlivspolitik
Vi opdaterer denne privatlivspolitik, når det, vi gør med personoplysninger, ændrer sig. Datoen øverst viser, hvornår vi sidst ændrede den.