1. Roller og dataansvar
For konto-, kontakt-, købs-, fakturerings-, sikkerheds- og brugsoplysninger er udbyderen dataansvarlig:
Når en erhvervskunde vælger at gemme en kladde med personoplysninger om eksempelvis medarbejdere, kunder eller leverandører alene for at få leveret Årsklar, vil erhvervskunden normalt være dataansvarlig, mens udbyderen behandler oplysningerne som databehandler efter kundens instruks.
2. Regnskabsdata i motoren
Saldobalance og øvrige regnskabsfelter behandles i browseren, mens du arbejder. Du kan vælge mellem at gemme en lokal JSON-fil eller gemme kladden på din konto.
Vælger du “Gem på konto”, sendes kladden via HTTPS til Årsklars serverfunktion og videre til en privat bucket i Supabase Storage. Kladden knyttes til det konkrete regnskabsår og kan kun hentes eller slettes gennem en serverkontrolleret forespørgsel fra en bruger med aktiv adgang til regnskabsåret. Bucket og serverfunktioner er konfigureret til Frankfurt.
En lokal JSON-fil sendes ikke til Årsklar. Filen er ukrypteret, og du er selv ansvarlig for at beskytte og slette den.
3. Hvilke oplysninger behandler vi?
| Situation | Oplysninger | Formål |
|---|---|---|
| Besøg på hjemmesiden | IP-adresse, tidspunkt, sideanmodning, browseroplysninger og sikkerhedslogs hos hostingudbyderen. | Levere hjemmesiden, forebygge misbrug, fejlsøge og dokumentere sikkerhedshændelser. |
| Kontakt og support | Navn, e-mail, telefon, virksomhed, besked og den korrespondance, du sender. | Besvare henvendelser og yde support. |
| Konto og årsarkiv | E-mail, bruger-id, virksomhedsnavn, CVR-nummer, regnskabsår, sessions-id og oplysninger om adgang til købte rapporter. | Oprette login, holde brugeren logget ind, vise årsarkivet og sikre, at kun berettigede brugere får adgang. |
| Valgfri cloudkladde | Saldobalance, kontonavne, klassifikationer, regnskabsfelter, noter, ledelsesnavne og øvrige oplysninger, som du indtaster i motoren. | Gemme og genindlæse arbejdet på det valgte regnskabsår på tværs af enheder. |
| Tilbud, køb og fakturering | Kontaktperson, virksomhed, CVR, adresse, ordre-, betalings- og fakturaoplysninger. | Indgå og opfylde aftalen samt overholde bogførings- og skatteregler. |
| Cookieoplysning | Et lokalt tidspunkt for, hvornår beskeden blev lukket. | Undgå at vise den samme oplysning ved hvert besøg. |
Send ikke CPR-numre, helbredsoplysninger eller andre følsomme oplysninger via almindelig e-mail eller support, medmindre det er udtrykkeligt aftalt og nødvendigt.
4. Formål og retsgrundlag
Behandlingen sker på følgende grundlag:
- Aftale og foranstaltninger før aftale, når vi behandler oplysninger for at levere, sælge eller supportere Årsklar, jf. GDPR artikel 6, stk. 1, litra b.
- Retlig forpligtelse, når oplysninger skal gemmes efter eksempelvis bogførings- eller skatteregler, jf. artikel 6, stk. 1, litra c.
- Legitim interesse i at drive en sikker hjemmeside, besvare erhvervshenvendelser, dokumentere aftaler og forebygge misbrug, jf. artikel 6, stk. 1, litra f.
- Samtykke, hvis der senere indføres valgfri markedsføring eller ikke-nødvendige cookies, jf. artikel 6, stk. 1, litra a. Et samtykke kan trækkes tilbage.
5. Databehandlere og andre modtagere
Årsklar bruger følgende leverandører:
- Vercel til hosting, levering af hjemmesiden og serverfunktioner. Projektets funktioner er konfigureret til Frankfurt.
- Supabase til database for konto, virksomhed, regnskabsår, køb og adgang samt privat Storage til valgfrie cloudkladder. Projektets primære region er Central EU (Frankfurt).
- Stripe til betalingsflow, fakturering, momsberegning og forebyggelse af svig.
Før produktionsstart skal Vercel anvendes på en plan, der er omfattet af Vercels databehandleraftale, Supabases databehandleraftale skal rekvireres og underskrives via Supabase-dashboardet, og de relevante aftaler og underdatabehandlerlister for Stripe og øvrige leverandører skal kontrolleres og arkiveres.
Oplysninger kan videregives til myndigheder, revisor, bank eller rådgivere, når det er nødvendigt for en aftale, et retskrav eller en lovpligtig forpligtelse.
6. Overførsel uden for EU/EØS
Den primære behandling af konto- og cloudkladdedata er konfigureret til Frankfurt hos Supabase og Vercel. Leverandørerne kan fortsat have support, underleverandører eller anden behandling uden for EU/EØS. Sådan behandling skal være dækket af et gyldigt overførselsgrundlag, eksempelvis en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser, samt nødvendige supplerende sikkerhedsforanstaltninger.
7. Opbevaring og sletning
- Almindelige henvendelser slettes eller anonymiseres, når de ikke længere er nødvendige, normalt senest 12 måneder efter afsluttet dialog.
- Aftale-, betalings- og fakturaoplysninger gemmes så længe, det er nødvendigt for aftalen og efter gældende bogførings- og skatteregler.
- Konto, virksomhedstilknytning og adgang til årsarkivet gemmes, mens kontoen er aktiv, og derefter kun så længe det er nødvendigt for dokumentation, sikkerhed og lovpligtige formål.
- Login-sessionen udløber senest efter 7 dage og kan afsluttes tidligere ved logout.
- Sikkerheds- og serverlogs gemmes kun så længe, det er nødvendigt for drift, fejlsøgning og dokumentation af hændelser.
- En cloudkladde gemmes, mens det pågældende regnskabsår og kontoadgangen består. Brugeren kan til enhver tid slette kladden direkte i motoren. Ved sletning fjernes den aktive fil fra den private bucket; eventuelle leverandørbackups følger leverandørens backup- og slettecyklus.
- Lokale kladdefiler slettes ikke af Årsklar, da de ligger på din egen enhed.
Oplysninger kan gemmes længere, hvis det er nødvendigt for at fastlægge, gøre gældende eller forsvare et retskrav.
8. Dine rettigheder
Afhængigt af situationen kan du have ret til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse mod behandling. Du kan også til enhver tid trække et samtykke tilbage uden at påvirke lovligheden af den tidligere behandling.
Kontakt . Vi kan bede om oplysninger, der er nødvendige for at bekræfte din identitet. Rettighederne kan være begrænset af anden lovgivning og hensynet til andres rettigheder.
9. Sikkerhed og brud
Løsningen bruger HTTPS, verificeret e-mail-login, en privat Storage-bucket, serverbeskyttede sessionscookies, kontrol af adgang til det konkrete regnskabsår og sikkerhedsoverskrifter. Supabase-nøglen ligger kun på serveren og sendes ikke til browseren. Derudover kræves dokumenterede adgangsprocedurer, slettefrister, beredskab for brud og løbende kontrol af leverandører.
Et brud på persondatasikkerheden vurderes og håndteres efter GDPR. Datatilsynet og berørte personer underrettes, når reglerne kræver det.
10. Klage til Datatilsynet
Kontakt os gerne først, hvis du er utilfreds med behandlingen. Du har også ret til at klage til Datatilsynet.
11. Ændringer og kontakt
Politikken opdateres, når behandlingen, leverandørerne eller reglerne ændrer sig. Den gældende version offentliggøres her med en ny dato.