Privatlivspolitik

Dataansvarlig

Waggle er dataansvarlig for behandlingen af personoplysninger på denne hjemmeside og i produktet. Juridisk enhed, CVR-nummer og adresse indsættes, før tjenesten åbnes for kunder. Kontaktadresse for persondatahenvendelser offentliggøres samme sted.

Hvilke oplysninger vi behandler

Ventelisten

Skriver du jer på ventelisten, gemmer vi navn, virksomhed, e-mailadresse og din eventuelle besked. Vi bruger dem kun til at kontakte jer om adgang til Waggle og sletter dem, hvis du beder om det.

Din brugerkonto

Navn og e-mailadresse. Login håndteres af Google Firebase Authentication: vælger du en adgangskode, opbevares den (som hash) hos Firebase og aldrig hos Waggle; logger du ind med Google, får vi dit navn og din e-mailadresse fra Google. Vi gemmer Firebases bruger-id for din konto, tidspunkt for login og eventuelle spærringer af kontoen — ikke adgangskoder og ikke adgangstokens.

Virksomhedens ESG-data

Bilag (fakturaer, elregninger, rejsebilag), bogførte poster fra forbundne regnskabssystemer, målerdata, registreringer af kørsel og affald, emissionsfaktorer, nøgletal, rapporttekster og godkendelser. Bilag kan indeholde personoplysninger om jeres medarbejdere eller leverandører (fx navne på en faktura). Jeres organisation er dataansvarlig for det indhold, I uploader; vi behandler det som databehandler for at levere tjenesten.

Aktivitetslog

Handlinger i produktet (upload, godkendelse, rettelse, login, eksport) logges med bruger-id, tidspunkt, IP-adresse og browsertype. Loggen findes, for at jeres tal kan revideres, og for at misbrug kan opdages.

Offentlige registre

Ved oprettelse slår vi jeres CVR-nummer op i det offentlige CVR-register og gemmer de returnerede virksomhedsoplysninger. Referencedata fra Energinet, Danmarks Statistik og Datafordeleren indeholder ikke personoplysninger.

Hvad vi bruger oplysningerne til

• At levere tjenesten: læse bilag, beregne udledninger, udarbejde rapporter og holde styr på, hvem der har godkendt hvad (kontrakt).
• At sikre kontoen: sessioner, låsning ved gentagne fejl, rate limiting og aktivitetslog (legitim interesse i sikkerhed).
• At sende nødvendige e-mails: invitationer, nulstilling af adgangskode og — kun hvis du selv slår det til — påmindelser om frister (kontrakt/samtykke).
• At opfylde lovkrav, fx bogføringsmæssig dokumentation af godkendte tal.

Vi sælger ikke oplysninger, og vi bruger ikke jeres bilag til at træne AI-modeller.

Offentlige ESG-sider

En virksomhed kan selv vælge at udgive sin godkendte ESG-rapport som en offentlig side under /esg/. Siden viser kun de tal og tekster, virksomheden har godkendt, og ingen bilag eller logfiler. Den vises kun i søgemaskiner, hvis virksomheden har slået det til, og den kan trækkes tilbage når som helst.

AI-behandling

Tekst i uploadede bilag sendes til Googles Gemini-API (Google Cloud, EU-databehandleraftale) for at udtrække leverandør, beløb, mængde og enhed samt for at foreslå en emissionsfaktor. Alle kald sker fra vores server; ingen API-nøgler eller bilag sendes fra din browser. Resultatet er et forslag, som en person i jeres organisation skal gennemgå og godkende, før det tæller med.

Hvis I beder om det, sender vi også et sammendrag af virksomhedens egne oplysninger (branche og antal ansatte fra CVR, aktivitetstyper og leverandørnavne fra bilag, nøgletal og jeres svar) til samme AI-tjeneste, så den kan foreslå, hvilke ESG-emner der er væsentlige. Forslagene gemmes først, når en person godkender dem.

Databehandlere og modtagere

Vi bruger kun de leverandører, tjenesten faktisk er sat op med. I denne installation:

• Hosting og database (PostgreSQL) samt objektlager til bilag (S3-kompatibelt lager) hos den driftsleverandør, der fremgår af databehandleraftalen.
• AI-udtræk: Googles Gemini-API (Google Cloud, EU-databehandleraftale).
• Login: Google Firebase Authentication (Google Ireland Ltd.) behandler e-mailadresse, adgangskode-hash og loginhændelser og sender bekræftelses- og nulstillingsmails.
• E-mail: ingen e-mailudbyder er konfigureret; invitationslinks vises i stedet på skærmen.
• Betaling: ingen betalingsudbyder er konfigureret; prøveperioden gælder, og abonnement aktiveres manuelt.
• Regnskabs- og målerdata: e-conomic, Microsoft Dynamics 365 Business Central og Eloverblik (Energinet), kun når jeres administrator selv forbinder dem. Adgangsnøgler gemmes krypteret og kan slettes med ét klik under Integrationer.
• Webstatistik: ingen. Der indlæses ingen statistik- eller sporingsscripts.

Cookies

Vi bruger så få cookies som muligt, og ingen til markedsføring.

Du kan ændre dit valg ved at slette cookien waggle_consent i din browser; banneret vises så igen.

Opbevaring

Kontooplysninger og organisationsdata gemmes, så længe organisationen har en konto. Delte rapportlinks er uforanderlige kopier og forsvinder, når linket udløber eller tilbagekaldes. Aktivitetsloggen gemmes sammen med organisationens data, fordi den dokumenterer de godkendte tal. Når en organisation opsiger, bevares læseadgangen, indtil I beder om sletning; derefter slettes data og bilag fra vores systemer inden for 30 dage, bortset fra det, vi er lovmæssigt forpligtet til at gemme.

Dine rettigheder

Du kan få indsigt i, rette, slette eller få udleveret dine oplysninger og gøre indsigelse mod behandling, der bygger på legitim interesse. Dit navn kan du selv rette under Indstillinger; adgangskode nulstilles via e-mail. Skriv til kontaktadressen ovenfor for resten. Du kan klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, datatilsynet.dk.

Sikkerhed

Al trafik krypteres (HTTPS med HSTS). Adgangskoder hashes med scrypt. Integrationsnøgler krypteres med en nøgle, der kun findes på serveren. Rettigheder og organisationsisolation kontrolleres på serveren ved hvert kald, og alle ændringer i tal kræver eksplicit godkendelse og logges.

Ændringer

Ændrer vi politikken væsentligt, viser vi det i produktet, før ændringen gælder. Datoen øverst fortæller, hvornår teksten sidst er ændret. Se også vilkårene.