Privatlivspolitik

1. Roller: dataansvarlig og databehandler

Kunden (virksomheden) er dataansvarlig for personoplysninger om medarbejdere, vagter, kontrakter, lønrelaterede oplysninger og øvrige data, kunden indlægger eller lader behandle i Fendr som led i kundens drift. Kunden afgør formål og midler for den behandling og er ansvarlig for lovligt grundlag over for egne registrerede.

Fendr (CVR 41985550), Jens Lillelunds Vej 3, 2. tv., 2920 Charlottenlund («Fendr») er databehandler for kunden for den nævnte kundedata. Behandlingen sker efter kundens instruks i produktet og efter databehandleraftalen.

Fendr er selv dataansvarlig for begrænsede oplysninger om kundens kontaktpersoner/administratorer i forbindelse med konto, support, fakturering, sikkerhed, misbrugshåndtering og forbedring af tjenesten, samt for besøgende på marketing-sider, hvor det er relevant.

Spørgsmål: hej@fendr.dk. Medarbejderrettigheder vedrørende ansættelsesdata skal som udgangspunkt rettes til kundens administrator først.

2. Hvem gælder politikken for

Medarbejdere og øvrige personer, som kundens administrator opretter i Fendr (inkl. eksterne navngivet på vagter), administratorer med kontor-adgang, samt kontaktpersoner for kundekontoen.

3. Hvilke oplysninger der behandles

• Identitet og konto: navn, arbejdsmail, telefon, rolle, bruger-ID, adgangskode (hash), evt. passkey, evt. kontor-adgang.
• CPR, bank og adresse (lønoplysninger): kan indtastes af kundens administrator eller af medarbejderen selv i onboarding/profil i web eller iOS-appen for at oprette/matche personen i lønsystemet (Salary). Formål: lovpligtig lønudbetaling og ansættelsesadministration for kunden. CPR-nummer, registreringsnr. og kontonr. gemmes i Fendr (CPR og kontonr. krypteret) på medarbejderens profil, så de kan rettes uden at kalde lønsystemet. Ved løneksport sendes en kopi til Salary. Navn, mail, telefon og adresse opbevares også på personaleprofilen. Adresse kan desuden indgå i en ansættelseskontrakt.
• Foto / profilbillede: valgfrit upload fra enhedens fotobibliotek (iOS PhotosPicker / web) eller — i iOS-appen, hvis medarbejderen selv vælger det — fra pas-chippen. Ved pas-flow scanner appen midlertidigt den maskinlæsbare zone (MRZ) med kameraet og læser derefter kun ansigtsbilledet via NFC. Øvrige pas- og chipdata bruges kun lokalt til at åbne chippen og kasseres; de sendes ikke til Fendr. Kun profilbilledet (JPEG) uploades og knyttes til medarbejderens konto til brug i medarbejderkort og profil.
• Vagtplan: begivenheder, lokationer, vagttider, tildelinger, ansøgninger, check-in/check-ud (inkl. kiosk), fremmøde-flag («fravær» — driftsstatus, ikke diagnose), ferie/fraværsanmodninger, faste skemaer og fælles noter fra kontoret.
• Kolleger på vagten (iOS): når kunden har funktionen slået til, vises navn og profilbillede for medarbejdere på samme sted samme dag, så overlevering kan ske. Telefonnummer deles kun med kolleger tildelt samme vagt, og kun hvis medarbejderen ikke har skjult nummeret. Rolle, leverandør, e-mail og check-in vises ikke i den visning. Kunden (arbejdsgiveren) er dataansvarlig for behandlingen.
• Løn/timer: beregnet tid og beløb ud fra rolle og vagter; eksport af timer til Salary til lønudbetaling efter kundens valg; lønsedler og skattekort-estimat, hvor funktionen er aktiveret.
• Kontrakter: kontraktindhold, underskriftsstatus og bevisdata (tidspunkt, IP-adresse og user-agent for underskriveren), hvor kunden bruger den funktion.
• Enhed og push: enheds-/push-token og bruger-ID, hvis notifikationer tillades, så vi kan levere driftsbeskeder (fx vagtændringer). På native iOS via Apple APNs; på Android via Google Firebase Cloud Messaging (FCM); i den installerede web-app (PWA) via web-push (VAPID).
• Lokation: enhedens GPS bruges kun midlertidigt i browseren ved «Vis afstand» og gemmes ikke i Fendr. iOS-appen åbner kort via Apple Maps uden løbende GPS-sporing i Fendr. Kundens lokationsadresse sendes til Apple Maps (MapKit) for at slå koordinater op; bredde- og længdegrad gemmes på lokationen i Fendr. Kort-miniaturer hentes fra Apple Maps.
• Skridt (valgfrit): Native apps kan — hvis medarbejderen giver adgang — vise hvor mange skridt der er registreret under en vagt. På iOS læses data via Apple Sundhed (HealthKit); på Android via Health Connect. Skridtdata vises kun i appen. Fendr modtager, gemmer eller sender ikke skridtdata til vores servere eller til kundens administrator.
• Teknisk og sikkerhed: session-cookies (nødvendige til login og aktiv organisation), Sentry fejlmonitorering (uden session replay), sikkerhedslogs, IP og tilsvarende drifts-/sikkerhedsdata; lokale indstillinger på enheden (UserDefaults / app-gruppe) til fx offline-vagtoversigt.
• Statistik og fejlanalyse (valgfrit): med dit samtykke via cookie-banneret bruger vi Vercel Analytics (trafik), Vercel Speed Insights (ydelse) og Sentry session replay (fejlfinding). Du kan ændre valget via «Administrer cookies» i sidefoden. Valget gemmes i browserens localStorage.
• Kunde-/fakturakontakt: virksomhedsnavn, CVR (hvis angivet), admin-kontakt, abonnements- og betalingsstatus.

Særlige kategorier / følsomme data: CPR-nummer behandles som personnummer i dansk kontekst og sendes kun til lønsystemet til lønformål. Check-in kan rumme et fremmøde-flag (fravær). Det er ikke en helbredsjournal; kunden må ikke indtaste diagnose eller andre art. 9-oplysninger. Tracking til reklameformål sker ikke.

4. Formål og retsgrundlag

Behandling sker for at:

• levere vagtplan, bemanding, kontrakter og tilhørende funktioner til kunden
• understøtte løn/timer via kundens valgte integrationer (fx Salary), herunder at medarbejderen kan indtaste og rette CPR, bank og adresse i onboarding/profil (web, iOS og Android). Fendr opbevarer dem til lønadministration og sender en kopi til Salary ved løneksport. Adresse kan også indgå i en ansættelseskontrakt
• vise medarbejderkort/profilbillede (inkl. valgfri pas-baseret avatar i iOS) og håndtere check-in
• vise kolleger på samme sted/vagt i medarbejderappen (navn og profilbillede; telefon kun på samme vagt og kun hvis nummeret ikke er skjult), så overlevering og kontakt i vagten kan ske. Kunden kan slå funktionen fra
• sende driftsrelevante push-beskeder (valgfrit)
• vise skridt under en vagt i iOS-appen, når medarbejderen har givet adgang i Apple Sundhed (kun på enheden)
• sikre login, drift, support, misbrugshåndtering og systemsikkerhed
• administrere konto, abonnement og betaling
• forbedre og udvikle tjenesten i aggregeret/anonymiseret form, hvor muligt

Når Fendr er databehandler: retsgrundlaget fastlægges af kunden. Typisk GDPR art. 6(1)(b) og/eller (f) i kundens regi, samt lovpligtig løn-/bogføringsbehandling hvor relevant. Samtykke bruges ikke som primært grundlag for kernefunktioner.

Når Fendr er dataansvarlig: art. 6(1)(b) (aftale om levering af tjenesten), art. 6(1)(c) (lovpligtig bogføring/regnskab hvor relevant) og art. 6(1)(f) (legitim interesse i sikker drift, support, misbrugshåndtering og produktforbedring). Interessen afvejes over for de registreredes rettigheder; kernefunktioner kræver ikke marketing-samtykke.

5. Modtagere og underdatabehandlere

Vi sælger ikke personoplysninger. Data kan deles med kundens egne administratorer og med kolleger i samme virksomhed, i det omfang vagtplanen og «Med i dag»-funktionen kræver det (navn/billede på stedet; telefon kun på samme vagt uden skjult nummer), og med underdatabehandlere, der er nødvendige for at levere tjenesten. Fendr kan skifte eller tilføje underdatabehandlere i overensstemmelse med DPA og gældende ret. Aktuelle eksempler:

Administratorer hos kunden, samt:

• Supabase — Database, autentifikation og app-data. Sted: EU/EØS (leverandørens cloud). Overførsel: Primært EU. Eventuel support kan ske med SCC. DPA.
• Vercel — Hosting og (ved samtykke) Web Analytics og Speed Insights. Sted: USA / EU (edge). Overførsel: USA: EU-US Data Privacy Framework og/eller SCC. DPA.
• Sentry (Functional Software, Inc.) — Fejlmonitorering og (ved samtykke) session replay og ydelsessporing. Sted: USA. Overførsel: USA: EU-US Data Privacy Framework og/eller SCC. DPA.
• Salary (Shine Salary ApS) — Løn, når kunden aktiverer integrationen. Sted: Danmark / EU. Overførsel: EU. Ingen tredjelandsoverførsel som led i standardleverancen. DPA.
• Stripe — Betaling, abonnement og fakturering, når betaling er aktiveret. Sted: USA / EU. Overførsel: USA: EU-US Data Privacy Framework og/eller SCC. DPA.
• Resend — Transaktionsmail (invitationer, kontraktlinks, prøveperiode). Sted: USA. Overførsel: USA: SCC / tilsvarende garantier hos leverandøren. DPA.
• Apple — Push (APNs) på native iOS, Apple Maps (MapKit) til geokodning og kort-miniaturer, og Apple Weather (WeatherKit) til vejr i vagtplanen. Sted: USA. Overførsel: USA: APNs til iOS-push, Apple Maps til geokodning/kort og Apple Weather til vejrudsigt. Web-push kører via browserens tjeneste..
• Google Firebase (FCM) — Push-notifikationer på Android. Sted: USA. Overførsel: USA: EU-US Data Privacy Framework og/eller SCC. DPA.
• cvrapi.dk — Opslag af virksomhedens CVR ved oprettelse og ajourføring af kundekontoen (Fendr som dataansvarlig for kontodata).

Listen kan ændres. Ved væsentlige ændringer underretter Fendr organisationens ejer på e-mail med mindst 14 dages varsel, så kunden kan gøre indsigelse af berettigede grunde. Fortsat brug efter ikrafttræden udgør accept, medmindre kunden opsiger aftalen.

Myndigheder eller rådgivere, hvor lov kræver det, eller hvor det er nødvendigt for at etablere, udøve eller forsvare et retskrav.

6. Overførsel til tredjelande

Vercel, Sentry, Stripe, Resend og Apple kan behandle data i USA. Overførsel sker med passende garantier (EU-US Data Privacy Framework og/eller SCC). Supabase og Salary leveres som udgangspunkt i EU. Apple Maps (MapKit) bruges til geokodning og kort. Apple Weather (WeatherKit) bruges til vejrudsigt i vagtplanen. Apple HealthKit og Google Health Connect bruges kun i de native apps til at læse skridt på enheden; skridtdata sendes ikke til Fendr.

7. Opbevaring

• Aktiv kunde/ansættelse: data opbevares, mens kontoen er aktiv, og så længe det er nødvendigt for at levere tjenesten.
• Efter ophør/fratrædelse: medarbejder i papirkurv i 30 dage, derefter anonymisering. Anonymiserede vagt-rester slettes efter indeværende år plus 5 år. Når virksomheden slettes i produktet, slettes kundedata med det samme; backups udfases inden for 30 dage.
• Push-tokens: slettes ved log ud / når enheden ikke længere er registreret.
• CPR og bank i Fendr: gemmes på medarbejderens profil (CPR og kontonr. krypteret). En kopi sendes til Salary ved løneksport. Opbevaring i Salary følger Salarys egne regler og kundens lønpolitik.
• Aktivitetslog: organisations aktivitetslog (login, privilegerede handlinger, adgang til personoplysninger m.m.) opbevares ca. 6 måneder og slettes derefter automatisk — se også databehandleraftalen.

Kunden kan eksportere virksomhedsdata som JSON under Indstillinger → Virksomhed og pr. medarbejder under Personale. Medarbejdere kan eksportere egne data fra Indstillinger under Mine vagter. Ejer kan slette virksomheden dér. Fendr garanterer ikke ubegrænset opbevaring efter ophør.

8. Rettigheder

Registrerede har efter GDPR (hvor betingelserne er opfyldt) ret til indsigt, berigtigelse, sletning, begrænsning, indsigelse (ved legitim interesse) og dataportabilitet. Rettighederne er ikke absolutte og kan begrænses af lov, kontrakt, dokumentationskrav eller andres rettigheder.

Medarbejdere skal først kontakte kundens administrator. I produktet kan medarbejderen eksportere egne data fra Indstillinger under Mine vagter; administrator kan eksportere pr. person under Personale. Fendr videresender typisk øvrige anmodninger om kundedata til kunden som dataansvarlig. Kontaktpersoner for kundekontoen kan skrive til hej@fendr.dk. Klageadgang: Datatilsynet.

9. Sletning af konto (medarbejder)

Medarbejderen kan slette sin login-konto i iOS-appen og på web under profil («Slet konto»). Login slettes med det samme, og personen logges ud. Ansættelsesdata styres af kundens administrator, med forbehold for lovpligtig opbevaring.

1. I appen: Slet konto fjerner login med det samme og flytter medarbejderprofilen til papirkurven. Er du eneste ejer af en virksomhed, kan du i samme flow slette virksomheden permanent (eller overdrage ejerskabet først).
2. Administrator kan også vælge Personale → slet medarbejder (papirkurv i 30 dage, derefter permanent sletning).
3. I 30 dage kan administrator gendanne personen under Indstillinger → Papirkurv. Efter 30 dage anonymiseres personale-rækken. Anonymiserede rester slettes efter indeværende år plus 5 år.
4. Vagthistorik og lønrelaterede poster, der er nødvendige til bogføring/dokumentation, kan beholdes i lovpligtig periode.
5. Administrator håndterer personen i Salary efter kundens procedure (Fendr sletter ikke automatisk i Salary).

10. Cookies

Vi bruger nødvendige cookies/session til login, aktiv organisation og sikkerhed, samt Sentry fejlmonitorering uden session replay. De er påkrævet for at levere og drive tjenesten og kræver ikke samtykke.

Derudover bruger vi — kun med dit samtykke via cookie-banneret — valgfri statistik og fejlanalyse: Vercel Analytics (trafik), Vercel Speed Insights (ydelse) og Sentry session replay (fejlfinding). Vi bruger ikke markedsføringscookies. Dit valg gemmes i browserens localStorage med tidspunkt og politik-version. Du kan ændre eller trække samtykket tilbage via «Administrer cookies» i sidefoden. Fuld liste over cookies og trackere findes i cookie-erklæringen.

11. Sikkerhed

Vi træffer passende tekniske og organisatoriske foranstaltninger (HTTPS, adgangskontrol, rollebaseret adgang/RLS, hashed adgangskoder hos auth-leverandør). Ingen sikkerhedsforanstaltning er absolut; kunden accepterer den resterende risiko, der følger af cloud-brug, jf. handelsbetingelserne.

12. Børn

Fendr er ikke rettet mod børn. Tjenesten er B2B til virksomheder og deres medarbejdere. Der er ingen aldersspærring i produktet; kunden som arbejdsgiver er ansvarlig for eventuelle særregler for unge under 18 år.

13. Ændringer

Fendr kan opdatere denne politik. Den gældende version findes altid på /privatliv. Ved væsentlige ændringer kan vi give besked i produktet eller på e-mail. Fortsat brug efter ikrafttræden udgør accept, i det omfang dansk ret og GDPR tillader det.