Privatlivspolitik

Hvem er ansvarlig

PackReport, CVR 40362134, Willemoesgade 42, 1. th., 2100 København Ø. Kontakt: info@packreport.dk. Vi har to roller, alt efter hvilke oplysninger det drejer sig om: vi er dataansvarlig for din egen kontakt- og kontoinformation samt for henvendelser via formularerne her på sitet, og databehandler for de forsendelsesdata, du sender ind til beregning. Se afsnittet "Vores rolle".

Hvilke oplysninger vi behandler

For at levere emballageregnskabet behandler vi: kontooplysninger for din webshop (virksomhedsnavn, e-mail og en hashet adgangskode) samt forsendelsesdata pr. ordre (ordre-ID, vare- og totalvægt, den beregnede materialefordeling og emballagens oprindelse). Dertil kommer tekniske felter, der hører til kontoen: dit butiks-id, hvornår kontoen blev oprettet og aktiveret, din plan og status, den plan, du valgte ved oprettelsen, om kontoen er en af vores demokonti, dine adgangsnøgler, dit kunde-ID hos vores betalingsudbyder og dit abonnements-ID samme sted, dine indstillinger for materialefordeling, din fordeling på husholdnings- og erhvervsemballage (andel og begrundelse pr. år), din andel sendt til udlandet og om du var mikrovirksomhed (pr. år med begrundelse), hvor din emballage kommer fra (pr. emballageprofil og som standard for butikken), et spor over, hvornår du har anvendt dine markeringer på ordrer, de leverancer af emballage, du selv har importeret (dato, din beskrivelse og vægten fordelt på pap, plast og træ), om vi har sendt dig velkomstmailen og månedens mails om ordrevolumen, og en optælling af forsendelser, der er afvist, mens kontoen ikke var aktiv (antal og tidspunktet for den seneste). Aktiverer en betaling ikke din konto af sig selv, gemmer vi desuden betalingens beløb og id'erne hos betalingsudbyderen, så vi kan koble betalingen til din konto. De slettes, første gang vores server starter, efter at de er 90 dage gamle. Melder betalingsudbyderen dit abonnement, før betalingen er koblet til din konto, gemmer vi abonnements-ID'et og abonnementets plan, til betalingen er koblet. Det slettes, når det er brugt, og ellers første gang vores server starter, efter at det er 90 dage gammelt. Vi indsamler ikke navne, adresser eller kontaktoplysninger på dine slutkunder.

Når du bruger sitet eller vores API, ser vores servere desuden din IP-adresse og almindelige tekniske oplysninger om forespørgslen. Den bruges til driftssikkerhed: til at begrænse antallet af forespørgsler pr. afsender og til at afvise misbrug. IP-adressen indgår ikke i dit emballageregnskab og bruges ikke til markedsføring eller profilering.

Bruger du selvtjekket ("Er du omfattet?") eller partnerformularen, gemmer vi desuden den e-mail og de svar, du selv indtaster, så vi kan sende dig resultatet og vende tilbage. Du kan til enhver tid bede os slette dem.

Kommer du hertil fra en Google-annonce og opretter en konto, gemmer vi desuden annonceklikkets id (gclid) sammen med kontoen. Det bruges udelukkende til at måle, hvilke annoncer der fører til kunder, og sendes tilbage til Google Ads som en konvertering. Det gemmes ikke i din browser og bruges ikke til at profilere dig. Beder du om tjeklisten i selvtjekket efter at være kommet fra en annonce, gemmer vi id'et sammen med din e-mail og dine svar, udelukkende for at tælle, om annonceklik fører til henvendelser. Det id sendes ikke til Google og opbevares lige så længe som henvendelsen. Se afsnittet "Annoncemåling" i cookiepolitikken.

Formål og retsgrundlag

Dine kontooplysninger og dine forsendelsesdata bruges til at beregne og dokumentere dit emballageforbrug til brug for EU PPWR/EPR-rapportering. Behandlingen sker på grundlag af vores aftale med dig (databehandling) samt vores legitime interesse i at kunne levere og drive tjenesten.

Kommer du hertil fra en Google-annonce, behandler vi derudover annonceklikkets id (gclid) til ét selvstændigt formål: annoncemåling, altså at se hvilke annoncer der fører til kunder og henvendelser. Grundlaget er vores legitime interesse i at vide, hvad vores markedsføring virker på. Klik-id'et bruges ikke til at profilere dig, og du kan gøre indsigelse mod behandlingen ved at skrive til os.

Skriver du dig op til tjeklisten i selvtjekket, behandler vi din e-mail og dine svar for at sende dig tjeklisten og følge op på den. Grundlaget er dit samtykke, som du giver ved at bede om tjeklisten, og som du til enhver tid kan trække tilbage ved at afmelde — der er et afmeldingslink i hver mail. Henvender du dig gennem partnerformularen, behandler vi dine oplysninger for at kunne svare dig; grundlaget er vores legitime interesse i at besvare henvendelser.

Vores rolle

For de forsendelsesdata, du sender ind, optræder PackReport som databehandler på vegne af din webshop, som er dataansvarlig for egne data. Databehandleraftalen er en del af handelsbetingelserne og gælder fra oprettelsen. Du finder den på packreport.dk/databehandleraftale. For din konto- og kontaktinformation og for de oplysninger, du selv indtaster i vores formularer, er vi derimod dataansvarlig.

Underdatabehandlere

Vi anvender betroede leverandører til drift: hosting og database (til lagring af dine data), en betalingsudbyder (Stripe, som håndterer abonnement og betalingsoplysninger; vi opbevarer aldrig selv dine kortoplysninger), en e-mailtjeneste (til rapporter og systemmails) samt et cookiefrit, anonymt statistikværktøj til brug af hjemmesiden. Vores API ligger bag Cloudflare (Cloudflare, Inc.), som vores hostingleverandør Render bruger til at filtrere trafikken og beskytte mod overbelastningsangreb. På vores formularer bruger vi desuden Cloudflares botbeskyttelse (Turnstile) på vores egen konto hos Cloudflare. Den sætter os i stand til at skelne mennesker fra automatiserede indsendelser uden at profilere dig. Cloudflare ser i den forbindelse din IP-adresse. Cloudflare bruger også de signaler, Turnstile opsamler (fx din IP-adresse og oplysninger om din browser), til at forbedre sin botgenkendelse. Den del gør Cloudflare som selvstændig dataansvarlig med sin legitime interesse som grundlag, og her gælder Cloudflares egen privatlivspolitik for Turnstile.

Kommer du fra en Google-annonce og opretter en konto, sender vi desuden annonceklikkets id, tidspunktet og planens pris til Google Ads (Google Ireland Limited) som en konvertering. Vi sender hverken dit navn, din e-mail eller dine forsendelsesdata med, og oplysningerne kan i den forbindelse blive behandlet uden for EU/EØS. Se afsnittet "Annoncemåling" i cookiepolitikken.

Overførsel til USA. En del af behandlingen sker fast i USA og ikke kun undtagelsesvis. De forsendelsesdata, vi behandler for din webshop, og vores underdatabehandlere for dem står i databehandleraftalen. For de oplysninger, vi selv er dataansvarlig for, gælder dette:

• Vores API kører hos Render i Oregon, USA. Det, du sender til os, når du opretter en konto, logger ind, bruger dashboardet eller udfylder en formular, behandles dér, og vores driftslog ligger samme sted. Databasen, hvor dine oplysninger gemmes, ligger i Frankfurt i EU. Overførslen til Render sker under EU-US Data Privacy Framework og, hvis den ikke gælder, under EU's standardkontrakter. Begge dele står i Renders databehandlertillæg.
• Cloudflare kan behandle din forespørgsel på en lokalitet uden for EU/EØS. Cloudflare overfører til USA under EU-US Data Privacy Framework og ellers under EU's standardkontrakter.
• Vores daglige backup af databasen ligger krypteret hos GitHub i USA og slettes efter 7 dage. Én gang om måneden gendanner vi den nyeste backup på en maskine hos GitHub for at kontrollere, at den kan bruges. GitHub er certificeret under EU-US Data Privacy Framework.

Desuden håndteres betalingen af Stripe, som overfører til USA under EU-US Data Privacy Framework og ellers under EU's standardkontrakter. Hjemmesiden og besøgsstatistikken leveres af Vercel, som behandler oplysninger i USA under EU-US Data Privacy Framework og ellers blandt andet under EU's standardkontrakter.

Opbevaring

Vi opbevarer dine data, så længe du har en aktiv konto, samt så længe det er nødvendigt for, at du kan dokumentere din historiske rapportering. Vil du have kontoen og dine data slettet, skriver du til info@packreport.dk, så sletter vi kontoen, alle ordrelinjer, alle emballageprofiler og din fordeling på husholdnings- og erhvervsemballage inden for 30 dage. Det gælder også din andel til udlandet, din mikrostatus, sporet over dine markeringer og de leverancer af emballage, du selv har importeret. Opsiger du blot abonnementet, bliver dine data liggende, så du fortsat kan dokumentere din historiske rapportering. Bed os slette dem, når du ikke længere har brug for dem.

Eksportér dine rapporter, inden du lukker kontoen. Er du producent, er egenkontrollen lovpligtig, og ved tilsyn skal du selv kunne redegøre for og dokumentere, hvordan de emballagemængder, du har indberettet til Dansk Producentansvar, er opgjort — og hvorfor eventuelle mængder ikke er indberettet. Det talgrundlag ligger hos os, indtil du lukker kontoen, så hent din CSV-eksport og dine rapporter ned først.

Bruger du selvtjekket ("Er du omfattet?"), opbevarer vi din e-mail og dine svar, indtil du afmelder eller beder os slette dem, dog højst 24 måneder efter din seneste henvendelse. Derefter slettes de automatisk. Skriver du til os gennem partnerformularen, modtager vi din henvendelse som en e-mail og gemmer den i vores indbakke, indtil samarbejdet er afklaret — bed os slette den, og vi gør det. Afmelder du dig, gemmer vi din adresse i 24 måneder fra afmeldingen, udelukkende for at kunne indfri den: uden den kunne du modtage vores mails igen.

Vores servere fører desuden driftslogs, hvor der kan indgå e-mailadresser og tekniske oplysninger om en fejl, og alvorlige fejl sendes som en alarmmail til os. Begge dele bruges udelukkende til at finde og rette fejl, opbevares hos vores hosting- og e-mailleverandør efter deres standardperioder, og indgår ikke i dit emballageregnskab. Én undtagelse: går et kald i stykker med en fejl, koden ikke har fanget, dannes et stakspor, og et stakspor kan citere et enkelt felt fra den payload, dit system har sendt. Det felt ender i alarmmailen til os og i driftsloggen, ikke i dit emballageregnskab. Se databehandleraftalens afsnit 3 og 7.

Sikkerhed

Data overføres krypteret (HTTPS), og adgangskoder gemmes aldrig i klartekst: når du opretter eller ændrer en adgangskode, gemmes den som en saltet hash (PBKDF2). Konti fra før vi indførte salt, ligger i vores tidligere hashformat, indtil de automatisk flyttes til det saltede format ved næste login. Adgang til dine data er beskyttet med sikkerhedstokens.

Dine rettigheder

Du har ret til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. Skriv til os for at gøre brug af dine rettigheder. Du kan klage til Datatilsynet (datatilsynet.dk).

Spørgsmål

Har du spørgsmål til, hvordan vi behandler dine oplysninger, er du altid velkommen til at skrive til info@packreport.dk.