Spring til indhold
GDPRscanner

Privatlivspolitik

Senest opdateret: 2026-08-18

Dataansvarlig

Xoens ApS, CVR 46225430, Lønstrupvej 31, 1.tv, 2720 Vanløse, er dataansvarlig for behandlingen af personoplysninger beskrevet i denne politik. Kontakt: legal@xoens.dk.

Kontakter vi dig, uden at du har henvendt dig til os først, kan du læse hvorfor og hvordan på gdprscanner.dk/oplysning og gøre indsigelse samme sted.

Hvilke oplysninger vi behandler

  • Konto: din email-adresse (bruges til login via magic link og til levering af scan-resultater og rapporter). Køber du en rapport uden at være logget ind, opretter vi en konto på den email-adresse, du oplyser ved betalingen, så vi kan levere rapporten, og så du kan finde den igen.
  • Køb: CVR-nummer, firmanavn og faktureringsoplysninger. Betalingskortdata behandles af vores betalingsudbyder Stripe og de relevante kortnetværk. Vi ser eller opbevarer dem aldrig.
  • Scan-data: den URL der scannes samt offentligt tilgængeligt indhold fra hjemmesiden (HTML, cookies, scripts, politik-tekster og et skærmbillede af forsiden), som er nødvendigt for at udarbejde analysen. Skærmbilledet gemmer vi for de scanninger, du selv sætter i gang, og for de automatiske gen-scanninger i GDPR-vagt, men ikke for de scanninger, vi selv foretager som led i vores markedsføring. Vi scanner de hjemmesider, vores kunder beder os om, de hjemmesider en besøgende beder os om uden at være logget ind, og hjemmesider vi selv udvælger som led i vores markedsføring; se afsnittet Markedsføring: vores egne scanninger for det sidste.
  • Login og adgang: når du beder om et login-link, gemmer vi email-adressen og tidspunktet, så vi kan begrænse antallet af anmodninger. Din aktive login-session hos vores databaseleverandør indeholder desuden IP-adresse og browser-oplysninger (user-agent), som bruges til at holde dig logget ind og til at opdage misbrug af en session.
  • Nyhedsbrev/opdateringer: email-adresse (og hvilken gratis scanning du kom fra), hvis du aktivt takker ja.
  • Gratis scanning uden login: starter du en gratis scanning uden at være logget ind, gemmer vi ikke din IP-adresse sammen med scanningen, men en kontrolværdi beregnet ud fra den med en hemmelig nøgle, som kun vi har. Kontrolværdien bruges alene til at tælle, hvor mange gratis scanninger der startes fra den samme internetforbindelse, så tjenesten ikke kan misbruges. Vi kan ikke bruge den til at kontakte dig eller til at genkende dig på andre hjemmesider. Din IP-adresse indgår derimod i vores hostingudbyders almindelige serverlogge, se punktet om teknisk drift nedenfor.
  • Teknisk drift: serverlogge hos vores hostingudbyder (IP-adresse, tidspunkt og hvilken side der blev kaldt) samt fejl-logge og en stikprøve af performance-målinger via Sentry, hvor emails, CVR-numre, scan- og rapport-id’er samt query-strenge maskeres automatisk inden de sendes. Vi bruger ingen besøgsstatistik.

Resultatet af en gratis scanning uden login ligger på en tilfældigt genereret adresse, som ikke kan gættes, og siden er ikke søgbar. Men enhver, der har adressen, kan se resultatet uden at logge ind. Starter en anden person en scanning af den samme hjemmeside uden at logge ind, viser vi det samme resultat igen i stedet for at køre en ny scanning. Scanninger, der hører til en konto, deles aldrig på den måde.

Formål og retsgrundlag

  • Levering af scan og rapport, login og kundeservice: opfyldelse af aftalen med dig, GDPR art. 6, stk. 1, litra b.
  • Løbende overvågning, notifikationer og badge for GDPR-vagt-abonnenter: opfyldelse af abonnementsaftalen, art. 6, stk. 1, litra b (se afsnittet om GDPR-vagt).
  • Bogføring og fakturering: retlig forpligtelse, art. 6, stk. 1, litra c.
  • Nyhedsbrev og produkt-opdateringer: dit samtykke, art. 6, stk. 1, litra a. Du kan til enhver tid trække samtykket tilbage (se Dine rettigheder).
  • Markedsføring af tjenesten over for virksomheder, herunder vores egne scanninger af virksomheders offentlige hjemmesider: vores legitime interesse i at kunne finde og kontakte relevante virksomheder, art. 6, stk. 1, litra f (se afsnittet om markedsføring).
  • Drift, sikkerhed og fejlretning: vores legitime interesse i en stabil og sikker tjeneste, art. 6, stk. 1, litra f.
  • Statistik og produktforbedring: vi bruger resultaterne af de gratis scanninger, der køres uden login, til at forstå udbredelsen af de problemer, vi scanner for, og til at forbedre produktet. Det sker i samlet form, men vi ser også det enkelte resultat, når vi vurderer, om en virksomhed kan have brug for vores hjælp (se afsnittet om markedsføring). Grundlaget er vores legitime interesse, art. 6, stk. 1, litra f.

Du er ikke forpligtet til at give os dine oplysninger, men email-adressen er nødvendig for at oprette en konto og modtage din rapport, og CVR-nummer samt faktureringsoplysninger er nødvendige for at gennemføre et køb. Uden disse oplysninger kan vi ikke levere tjenesten. Den gratis scanning kræver hverken konto eller email-adresse.

Oplysninger om tredjeparter på scannede sider

En hjemmeside, vi scanner, kan indeholde personoplysninger om andre (fx medarbejdernavne eller kontaktoplysninger). Vi behandler alene dette indhold som led i den analyse, scanningen indgår i, uanset om analysen er bestilt af en kunde, startet af en besøgende uden login, eller er vores egen vurdering af en hjemmeside forud for en markedsføringshenvendelse, og vi bruger det ikke til andre formål (legitim interesse, art. 6, stk. 1, litra f). Oplysningerne stammer udelukkende fra den scannede hjemmeside.

Vi kontrollerer ikke, om den, der starter en gratis scanning uden login, har noget med hjemmesiden at gøre. Til gengæld respekterer vi hjemmesidens robots.txt for de scanninger: har hjemmesiden frabedt sig automatiseret adgang, gennemfører vi ikke scanningen.

Markedsføring: vores egne scanninger

Vi finder som udgangspunkt selv de virksomheder, vi kontakter om vores tjeneste. Det sker uden at virksomheden har bedt om det: vi søger efter virksomheder i en branche, finder deres offentligt tilgængelige kontaktoplysninger på deres egen hjemmeside og i CVR-registret, og scanner derefter hjemmesiden med vores eget automatiserede værktøj. Resultatet bruger vi til at vurdere, om en henvendelse er relevant, og som udgangspunkt for samtalen. En virksomhed kan også komme på listen, fordi nogen har kørt en gratis scanning af dens hjemmeside her på websitet uden at være logget ind. Scanningen fortæller os ikke, hvem der startede den, og vi behandler den derefter på samme måde som de virksomheder, vi selv har fundet. Grundlaget er vores legitime interesse i at markedsføre tjenesten over for virksomheder (art. 6, stk. 1, litra f).

Oplysningerne handler i udgangspunktet om en virksomhed. Men et hovednummer eller en email-adresse kan pege på en bestemt person (for eksempel i en enkeltmandsvirksomhed), og derfor behandler vi dem efter reglerne i denne politik. Vi behandler i den forbindelse:

  • de sidste fire cifre af virksomhedens telefonnummer, og hvor vi fandt det: et link til den side, nummeret står på, eller at det kom fra CVR-registret. Selve nummeret gemmer vi ikke som kontaktoplysning: skal vi ringe, finder vi det frem på kilden i samme øjeblik. Står nummeret på en af de sider, vi har hentet, indgår det i den gemte kopi af siden (se punktet om indhold fra hjemmesiden nedenfor),
  • at virksomheden oplyser en fælles email-adresse, og et link til den side, den står på, hvis vi har det. Selve adressen gemmer vi ikke som kontaktoplysning, og vi sender ikke uopfordret post til den. Har vi aftalt i telefonen, at vi sender noget skriftligt, henter vi adressen på siden. Ligesom nummeret indgår adressen i den gemte kopi af den side, den står på,
  • stamdata fra CVR-registret: CVR-nummer, firmanavn, adresse, branchekode, virksomhedsstatus og størrelsesinterval samt om virksomheden er registreret med reklamebeskyttelse,
  • offentligt tilgængeligt indhold fra hjemmesiden, herunder gemte kopier af de sider vi henter, og resultatet af scanningen (cookies, scripts, cookiebanner og hvad der sker, efter man trykker »afvis«),
  • en score og en prioritering, som er udregnet af scan-resultatet, og som afgør hvilke virksomheder vi kontakter først,
  • en AI-genereret opkaldsforberedelse, skrevet ud fra scan-resultatet,
  • noter fra en eventuel samtale: hvad der blev sagt, udfaldet, og hvornår vi må vende tilbage.

Vi indsamler ikke navne eller stillingsbetegnelser på medarbejdere til dette formål, og vi køber ikke lister hos nogen.

Kilderne er virksomhedens egen hjemmeside, offentlige søgeresultater fra en søgemaskine (Brave Search), og CVR-registret hos Erhvervsstyrelsen.

AI-opkaldsforberedelsenlaves ved, at scan-resultatet og virksomhedens navn sendes til en sprogmodel, som skriver et oplæg til samtalen. Fra 12. august 2026 sker den del af behandlingen på Amazon Web Services' EU-infrastruktur (Amazon Bedrock, udelukkende EU-regioner). Det er samme opsætning som AI-analysen i rapporterne. De oplæg, vi skrev før den dato, blev behandlet af Anthropic i USA; det står i afsnittet om overførsler nedenfor, og du er velkommen til at skrive til legal@xoens.dk, hvis du vil vide nærmere om dem. Oplægget er en tekst til vores eget brug, ikke en afgørelse: det er os, der beslutter, om vi ringer.

Fordi vi ikke har fået oplysningerne fra dig selv, men fra offentlige kilder, har du krav på at få det at vide (art. 14). Det er formålet med siden gdprscanner.dk/oplysning: den kan læses uden at kontakte os, og vi henviser til den, når vi tager kontakt.

Indsigelse og hvad der så sker. Du kan til enhver tid gøre indsigelse mod, at vi behandler oplysninger om dig til markedsføring. Det er en ubetinget ret: du behøver ikke give en begrundelse, og vi skal ikke vurdere den (art. 21, stk. 2 og 3). Skriv til legal@xoens.dk, eller sig det til os i telefonen. Herefter sletter vi de indsamlede oplysninger og beholder kun det minimum, der skal til for at huske dit nej, det vil sige det domænenavn, telefonnummer eller CVR-nummer, vi skal kunne genkende igen. Netop dét minimum bliver stående, fordi et nej ikke må forsvinde, når resten slettes.

Det er samtidig det eneste sted, hvor vi gemmer et fuldt telefonnummer som en kontaktoplysning. Til markedsføringen har vi kun de sidste fire cifre og hvor det står (enten et link til siden eller en henvisning til CVR-registret), men et nej kan vi kun overholde, hvis vi kan genkende nummeret, næste gang din hjemmeside dukker op i en søgning. Derfor noterer vi det, når du siger fra, og vi bruger det ikke til andet.

GDPR-vagt (abonnement)

Har du tegnet GDPR-vagt, gen-scanner vi automatisk den hjemmeside, du har tilmeldt, med jævne mellemrum. Vi behandler i den forbindelse den tilmeldte adresse, resultatet af hvert gen-scan (samme kategorier som under Scan-data), en sammenligning med det foregående scan, og den email-adresse på din konto, som vi sender besked til, når scanningen finder ændringer eller nye fund. Til abonnementet hører også et badge og en verifikationsside. Siden ligger på en ikke-gættelig adresse, er ikke søgbar, og viser kun hjemmesidens domænenavn, datoen for seneste gennemførte tjek og om abonnementet er aktivt (ingen fund og ingen scoringer). Retsgrundlaget er opfyldelse af abonnementsaftalen (art. 6, stk. 1, litra b).

Automatiske afgørelser

Vores AI-analyse vurderer hjemmesider, ikke personer. Vi træffer ingen afgørelser om dig, der alene er baseret på automatisk behandling og har retsvirkning eller tilsvarende betydelig påvirkning (GDPR art. 22), og vi foretager ingen profilering af vores kunder. Den score, vi bruger til at prioritere markedsføringshenvendelser, er en vurdering af, hvad scanningen fandt på en hjemmeside, og den afgør alene vores egen rækkefølge. Beslutningen om at kontakte en virksomhed træffes af et menneske.

Hvor længe vi opbevarer

  • Rapporter: hele rapporten (både indholdet og PDF-filen) slettes automatisk 12 måneder efter levering (blev rapporten aldrig leveret, regnes fristen fra oprettelsen), og vores interne arkiv-kopi af rapportteksten redigeres bort på samme frist. Du får varsel på email 30 dage før, så du kan nå at gemme din kopi. Sletningen sker aldrig, før varslet er sendt: forsinkes eller fejler varslingen, udskydes sletningen, indtil varslet er kommet afsted, og de 30 dage regnes fra det.
  • Scan-data: en scanning, der hører til en konto, opbevares så længe kontoen er aktiv, så du kan se, hvad rapporten blev bygget på. En gratis scanning uden login hører ikke til nogen konto; dens resultat opbevarer vi, så længe det indgår i vores statistik, produktforbedring og markedsføring (se formålene ovenfor). Vil du have et konkret resultat slettet, så skriv til legal@xoens.dk.
  • Bogføringsdata (køb og fakturaer): opbevares i 5 år, regnet fra udgangen af det regnskabsår materialet vedrører (bogføringsloven).
  • Kontodata: så længe din konto består. Du kan til enhver tid bede os slette kontoen, hvorefter kontodata og scan-resultater slettes.
  • Nyhedsbrevs-tilmelding: indtil du trækker dit samtykke tilbage.
  • Markedsføringsdata (afsnittet ovenfor): opbevares så længe virksomheden er relevant for formålet, og slettes ved indsigelse som beskrevet dér. Et registreret nej bevares derimod, indtil du beder os om at fjerne det: det er selve formålet med det.
  • Fejl-logs: op til 90 dage.
  • Kontrolværdien fra en gratis scanning uden login: slettes 30 dage efter din seneste gratis scanning.

Når vi sletter noget, kan det i en periode fortsat findes i vores leverandørers sikkerhedskopier af databasen, som tages automatisk og overskrives efter tur. Vi kan ikke slette en enkelt oplysning ude af en sikkerhedskopi, men den bliver ikke brugt til noget, og den forsvinder, når kopien udløber.

Databehandlere og modtagere

Vi bruger følgende leverandører til at drive tjenesten. De behandler kun oplysninger efter instruks fra os, medmindre andet er angivet:

  • Supabase: database, login og generering af login-links (magic links). Data lagres og behandles primært i EU (Stockholm).
  • NordicWay: udsendelse af vores e-mails (login-links, rapport-levering og servicebeskeder) via SMTP. E-mailserveren drives i EU.
  • Vercel: hosting og drift. Vores applikations serverfunktioner udføres i EU-region (Stockholm). Vercel er herudover selvstændigt dataansvarlig for de drifts- og telemetridata, platformen selv genererer ved brug af tjenesten.
  • Stripe: betalingsbehandling og fakturering. Stripe handler dels efter vores instruks, dels som selvstændigt dataansvarlig for gennemførelsen af betalingen, svindelforebyggelse og lovpligtig kontrol.
  • cvrapi.dk: opslag af firmanavn og adresse ud fra det CVR-nummer, du indtaster ved køb, så fakturaoplysningerne bliver rigtige.
  • Amazon Web Services (Amazon Bedrock): AI-analyse af offentligt hjemmeside-indhold (fx din privatlivspolitik-tekst) som led i rapport-udarbejdelsen. Behandlingen sker på AWS' EU-infrastruktur (udelukkende EU-regioner).
  • Amazon Web Services (opkaldsforberedelse): AI-genereret oplæg til en markedsføringssamtale, skrevet ud fra scan-resultatet. Behandlingen sker på AWS' EU-infrastruktur (Amazon Bedrock, udelukkende EU-regioner). Bruges ikke til kunders rapporter.
  • Brave Search: søgning efter virksomheder i en branche, som led i vores markedsføring. Vi sender søgeord, ikke oplysninger om dig.
  • Sentry: fejl-logging (EU-region, personhenførbare felter fjernes automatisk).

Herudover kan oplysninger blive delt med vores revisor og offentlige myndigheder, hvor loven kræver det.

Overførsler til lande uden for EU/EØS

Vores database og fejl-logging er placeret i EU (Stockholm og Frankfurt), og vores applikations serverfunktioner udføres i EU-region (Stockholm). AI-analysen som led i rapport-udarbejdelsen sker på Amazon Bedrock i EU-regioner, hvor AWS efter egne vilkår hverken lagrer modelkald eller deler dem med modeludbyderen. Vores leverandører er internationale koncerner: Vercel (hosting), Supabase (database), Sentry (fejl-logging), AWS (AI-analyse) og Stripe (betaling). Ud over selve placeringen kan følgende behandles uden for EU/EØS: serverlogge og driftsmetadata, sikkerhedskopier, konto- og organisationsoplysninger, indholdet af supportsager vi selv opretter hos en leverandør, samt leverandørernes egen support- og driftsadgang til vores systemer. Betaling behandles desuden af Stripe og de relevante kortnetværk, som kan behandle oplysninger uden for EU/EØS. Overførslerne sker på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework og/eller EU-standardkontraktbestemmelser (art. 46). Du kan få en kopi af de anvendte garantier (fx standardkontraktbestemmelserne) ved at kontakte os på legal@xoens.dk; leverandørernes DPF-certificering kan slås op i det officielle register på www.dataprivacyframework.gov. Vi arbejder løbende på at flytte mest mulig behandling til EU-infrastruktur.

Den AI-genererede opkaldsforberedelse, vi laver forud for en markedsføringshenvendelse, blev indtil 12. august 2026 behandlet hos Anthropic i USA. Fra den dato skrives den på Amazon Web Services' EU-infrastruktur, og opkaldsforberedelsen indebærer derfor ikke længere en overførsel til et tredjeland. De oplæg, der blev skrevet før den dato, er allerede overført, og overførselsgrundlaget for netop den behandling er ikke endeligt fastlagt: den er derfor ikke omfattet af de garantier, der er nævnt lige ovenfor. Vil du vide nærmere om den overførsel, eller vil du have oplæg om din virksomhed slettet, så skriv til legal@xoens.dk.

Dine rettigheder

Du har ret til indsigt (art. 15), berigtigelse (art. 16), sletning (art. 17), begrænsning (art. 18), dataportabilitet (art. 20) og indsigelse (art. 21). Skriv til legal@xoens.dk, så svarer vi senest en måned efter din henvendelse. Bemærk at bogføringsdata først kan slettes, når lovens opbevaringsfrist er udløbet.

Gør du indsigelse mod behandling til direkte markedsføring, gælder der ingen afvejning: vi skal stoppe, og vi stopper. Hvordan det virker i praksis, står i afsnittet Markedsføring: vores egne scanninger og på gdprscanner.dk/oplysning.

Har du givet os et samtykke (for eksempel til nyhedsbrevet), kan du til enhver tid trække det tilbage ved at skrive til legal@xoens.dk. Tilbagetrækningen påvirker ikke lovligheden af den behandling, der er sket, inden du trak samtykket tilbage.

Cookies

Vi sætter kun tekniske cookies, der er nødvendige for login (ingen tracking-cookies og intet cookie-banner). Læs mere i vores cookiepolitik.

Klage

Du kan klage over vores behandling til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby.

Ændringer

Vi opdaterer denne politik, når vores behandling ændrer sig. Datoen øverst viser seneste version.