Privatlivspolitik

1 Hvem er vi?

Quotr ApS ("Quotr", "vi", "os" eller "vores") er dataansvarlig for behandlingen af de personoplysninger, der er beskrevet i denne privatlivspolitik.

Kontaktoplysninger:
Quotr ApS
CVR: 45227413
Kirstinedalsvej 23, 4600 Køge
E-mail: kontakt@quotr.dk

2 Formålet med denne politik

Denne politik beskriver, hvordan vi behandler personoplysninger, når du:

• Besøger quotr.dk
• Anmoder om prøveadgang
• Opretter en konto eller køber et abonnement
• Bruger Quotr som inviteret bruger
• Modtager et tilbud via Quotr som slutkunde
• Kontakter os på anden vis

3 Vores roller efter GDPR

3.1 Vi er dataansvarlig for

• Besøgende på quotr.dk
• Vores kunder (administratorer og brugere af Quotr)
• Slutkunders kontakt med os som platform
• Drift, sikkerhed og lovkrav

3.2 Vi er databehandler for

De personoplysninger om slutkunder, som vores kunder (håndværksvirksomheder) indtaster og behandler i Quotr i forbindelse med tilbudsoprettelse. For denne behandling er vores kunde dataansvarlig, og forholdet er reguleret i en separat Databehandleraftale.

4 Hvilke oplysninger behandler vi?

4.1 Besøgende på quotr.dk

• Tekniske oplysninger (IP-adresse, browser, enhedstype, sprog)
• Anonymiseret brugsdata via Plausible Analytics
• E-mailadresse, hvis du anmoder om prøveadgang eller kontakter os

4.2 Kunder og brugere af Quotr

• Navn, e-mail, telefonnummer
• Virksomhedsnavn, CVR, adresse
• Login-oplysninger og krypteret password
• Betalings- og faktureringsoplysninger (kortdata håndteres direkte af Stripe)
• Brugsdata (logins, aktivitet, antal genererede tilbud)
• Indhold du indtaster eller indtaler i Quotr

4.3 Slutkunder (når Quotr-brugere sender tilbud)

• Navn, adresse, postnummer, telefon, e-mailadresse
• For erhvervsmæssige slutkunder: virksomhedsnavn, CVR, EAN-nummer
• Tilbuddets indhold og status
• Logning af accept/afvisning (tidspunkt, IP-adresse, browser)

For slutkunders oplysninger er vi som udgangspunkt databehandler på vegne af den Quotr-kunde, der har sendt tilbuddet.

4.4 Quotr-appen (iOS og Android)

Bruger du Quotr-appen, behandler vi derudover:

• Lydoptagelser fra mikrofonen, når du selv starter en indtaling af en opgave. Appen optager aldrig uden at du har trykket optag, og optagelsen bruges udelukkende til transskribering og tilbudsgenerering som beskrevet i afsnit 6.
• Billeder fra dit fotobibliotek, hvis du selv vælger et profilbillede. Appen har kun adgang til de billeder, du vælger.
• Et push-token fra Apple/Google, hvis du siger ja til notifikationer. Tokenet identificerer din app-installation, så vi kan sende dig besked, når fx et tilbud accepteres. Det slettes, når du logger ud eller sletter din konto, og du kan altid slå notifikationer fra i telefonens indstillinger.

Appen indeholder ingen reklame- eller tracking-teknologi og ingen tredjeparts-analyseværktøjer.

5 Formål og behandlingsgrundlag

6 Behandling af persondata via AI

Vi anvender AI til to ting:

• At transskribere tale til tekst, når en bruger indtaler en opgave
• At generere en tilbudskladde ud fra brugerens input

Tale-til-tekst foretages af Gladia SAS (Frankrig, EU). Tilbudskladden genereres af Mistral AI SAS (Frankrig, EU). Begge behandler oplysningerne som vores databehandlere, og behandlingen sker i EU.

Vi sender ikke systematisk slutkunders kontaktoplysninger til vores AI-leverandører. Slutkundens navn, adresse, telefon, e-mail og virksomhedsoplysninger samt afsenderens (Quotr-brugerens) virksomhedsidentitet indsættes i tilbuddet efter AI-genereringen og passerer ikke deres systemer.

Det, der sendes, er:

• Lydoptagelsen af indtalingen — udelukkende til Gladia, udelukkende med henblik på transskribering
• Den transskriberede eller indtastede opgavebeskrivelse — til Mistral, med henblik på at danne kladden
• Generelle oplysninger om opgavens karakter

Hverken Gladia eller Mistral anvender API-data til at træne deres modeller. Lyden gemmes ikke hos os.

6.1 Reserveleverandør ved driftsproblemer

Kan Mistral ikke levere, kan vi undtagelsesvis sætte et enkelt firma tilbage til OpenAI (OpenAI Ireland Ltd. / OpenAI L.L.C.) alene til generering af tilbudskladden. Det er en nødløsning og ikke den normale drift; valget træffes af os pr. firma, og der sendes aldrig den samme indtaling til begge. Sker det, kan der ske overførsel til USA på det grundlag, der er beskrevet i afsnit 8.3. Tale-til-tekst sendes aldrig til OpenAI.

6.2 Kvalitetssikring af AI-modellen

For at måle og forbedre kvaliteten af tilbudsgenereringen lader vi i begrænset omfang en anden model fra Mistral vurdere udvalgte transskriptioner og de tilbudskladder, de har givet. Behandlingen sker udelukkende internt som led i vores kvalitetsarbejde, resultatet vises aldrig for slutkunder, og oplysningerne anvendes ikke til at træne modellerne. Behandlingen sker i EU.

AI-genererede kladder er udkast. Der træffes ingen automatiske afgørelser med retsvirkning eller tilsvarende væsentlig indvirkning, jf. GDPR art. 22. Den endelige beslutning om indhold og afsendelse af tilbud træffes altid af den menneskelige bruger.

7 Hvor længe gemmer vi oplysningerne?

8 Hvem deler vi oplysningerne med?

8.1 Databehandlere (handler på vores vegne)

En altid opdateret subprocessor-liste er tilgængelig for vores kunder via dashboardet og som bilag til Databehandleraftalen.

8.2 Selvstændige dataansvarlige

• Stripe Payments Europe Ltd. (Irland) er selvstændig dataansvarlig for behandlingen af kortdata og betalingstransaktioner. Stripe overfører i visse tilfælde data til Stripe Inc. (USA) på grundlag af SCC og DPF.
• Offentlige myndigheder, hvor vi er retligt forpligtede til at udlevere oplysninger.

8.3 Tredjelandeoverførsler

Hovedparten af behandlingen sker i EU/EØS: databasen via Supabase (Frankrig), tale-til-tekst via Gladia (Frankrig), tilbudsgenereringen via Mistral (Frankrig), transaktions-e-mails via Lettermint (Nederlandene) og den anonyme statistik via Plausible (Tyskland).

For Vercel og Expo kan der ske overførsel til USA. Det samme gælder OpenAI, men kun i det tilfælde, der er beskrevet i afsnit 6.1: at et enkelt firma undtagelsesvis er sat tilbage hertil ved driftsproblemer hos Mistral. Overførslen sker på grundlag af:

• EU-Kommissionens standardkontrakter (SCC) indgået mellem os og leverandøren
• EU-U.S. Data Privacy Framework (DPF) for de leverandører, der er certificeret hertil
• Supplerende foranstaltninger som kryptering under transit og hvile, adgangsbegrænsning og dataminimering

Vi har foretaget en Transfer Impact Assessment for overførslerne til USA-baserede databehandlere og vurderer, at de implementerede foranstaltninger sikrer et beskyttelsesniveau svarende til EU-retten. Du kan rekvirere et resumé af vurderingen ved henvendelse til kontakt@quotr.dk.

9 Dine rettigheder

Du har efter GDPR ret til:

• Indsigt i, hvilke oplysninger vi behandler om dig (art. 15)
• Berigtigelse af forkerte oplysninger (art. 16)
• Sletning ("retten til at blive glemt") (art. 17)
• Begrænsning af behandlingen (art. 18)
• Dataportabilitet (art. 20)
• Indsigelse mod behandling baseret på legitim interesse (art. 21)
• Tilbagetrækning af samtykke uden begrundelse (art. 7), uden at det påvirker lovligheden af behandling før tilbagetrækningen

Sletning af din konto: Du kan slette din konto direkte i Quotr-appen under Profil → Slet konto, eller ved at skrive til os. Se quotr.dk/slet-konto for hvad der slettes, og hvad vi er retligt forpligtede til at beholde.

Henvendelser sendes til kontakt@quotr.dk. Vi besvarer henvendelser inden for 30 dage efter modtagelsen.

Klage til Datatilsynet: Du har til enhver tid ret til at klage til Datatilsynet over vores behandling af dine personoplysninger.

Datatilsynet
Carl Jacobsens Vej 35
2500 Valby
E-mail: dt@datatilsynet.dk
Web: www.datatilsynet.dk

10 Sikkerhed

Vi anvender tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte oplysningerne mod uautoriseret adgang, tab, ændring eller destruktion. Det omfatter blandt andet:

• Kryptering af data under transit (TLS) og under hvile
• Adgangsstyring med rollebaseret adgang
• Logning og overvågning af systemaktivitet
• Sikkerhedskopiering
• Leverandørstyring med kontraktlige sikkerhedskrav til underdatabehandlere
• Regelmæssig opdatering og test af sikkerhedsforanstaltninger

11 Cookies

Vi bruger kun strengt nødvendige cookies samt cookie-fri statistik via Plausible Analytics. Læs vores fulde Cookiepolitik for detaljer.

12 Børn

Quotr er en B2B-tjeneste rettet mod erhvervsmæssige brugere og er ikke rettet mod personer under 18 år. Vi indsamler ikke bevidst oplysninger om børn.

13 Behandling af slutkunders persondata

Når en Quotr-bruger sender et tilbud til en slutkunde, behandler vi slutkundens kontaktoplysninger og tilbudshistorik på vegne af Quotr-brugeren. Quotr-brugeren er dataansvarlig for disse oplysninger, og vi er databehandler. Behandlingen er reguleret i Databehandleraftalen.

Hvis du som slutkunde har spørgsmål om dine oplysninger, opfordrer vi dig til at kontakte den håndværker eller virksomhed, der har sendt dig tilbuddet. Hvis du ikke kan komme i kontakt med dem, eller hvis du vil klage over Quotr-platformens behandling, kan du kontakte os på kontakt@quotr.dk.

14 Ændringer

Vi kan opdatere denne politik. Den til enhver tid gældende version er tilgængelig på quotr.dk. Væsentlige ændringer varsles til registrerede kunder med rimeligt varsel.

15 Kontakt

Spørgsmål til denne politik:

E-mail: kontakt@quotr.dk
Post: Quotr ApS, Kirstinedalsvej 23, 4600 Køge