1. Dataansvarlig
Cortz Digital, CVR 46610628, er dataansvarlig for den behandling af personoplysninger, der sker som led i driften af ExpertOnDemand, medmindre en ekstern leverandør efter lovgivningen er selvstændigt dataansvarlig for sin egen behandling.
Kontaktoplysninger og den aktuelle kontaktvej fremgår af /kontakt. ExpertOnDemand har ikke udpeget en databeskyttelsesrådgiver (DPO).
2. Hvilke oplysninger behandler vi?
- Kontooplysninger som navn, e-mail, rolle, sprog, tidszone og login-/sikkerhedsstatus.
- Ekspertoplysninger som profil, kompetencer, dokumentation, verificeringsstatus, tilgængelighed og udbetalingsstatus.
- Bookingdata som tidspunkt, varighed, kanal, pris, status og kundens egen forberedelsesnote.
- Konsultationsdata som egne chatbeskeder, upload-metadata, tilstedeværelse og nødvendige sessionsignaler.
- Betalings- og refundoplysninger, men ikke dine fulde kortoplysninger.
- Anmeldelser, rapporter, trust-/moderationssager og relevante sikkerhedshændelser.
- DSA-henvendelser og anmeldelser om ulovligt indhold, herunder navn, kontaktmail, den anmeldte placering, begrundelse, sagsstatus og platformens moderationsbegrundelse.
- For eksperter registrerer vi en særskilt markedspladserklæring om privatperson/erhvervsdrivende-status og de prækontraktuelle kontaktoplysninger, der skal vises, når eksperten optræder som erhvervsdrivende.
- For eksperter kan faglig dokumentation og offentlige links forbehandles automatisk. Vi kan gemme en analysesammenfatning, udtrukne dokumentoplysninger, sikkerhedsniveau og interne flag, så klare lavrisikosager kan sorteres fra og undtagelser sendes til menneskelig vurdering. Verificerede referencer registreres med referentens kontakt- og relationsoplysninger samt svarstatus.
- Leveringshistorik for transaktionelle mails og tekniske logs, når de er nødvendige for drift, sikkerhed eller dokumentation.
- For eksperter indsamler vi de identitets- og skatteoplysninger, som DAC7 kræver, herunder juridisk navn, adresse, fødselsdato, CPR/TIN, udstedelsesland og eventuelt CVR/momsnummer. Har en sælger TIN fra flere EU-lande, skal hvert relevant EU-TIN oplyses. CPR/TIN opbevares krypteret i et særskilt server-only datasæt.
3. Formål og behandlingsgrundlag
- Oprette og drive konto, booking, betaling og konsultation: nødvendigt for at indgå eller opfylde aftalen med dig.
- Regnskab, DAC7-indberetning, due diligence og andre lovkrav: nødvendig retlig forpligtelse. CPR/personnummer behandles, fordi lovgivningen om DAC7 kræver identifikation af indberetningspligtige sælgere.
- Sikkerhed, svigforebyggelse, trust, moderation, fejlretning og håndtering af retskrav: legitime interesser, når disse interesser ikke tilsidesættes af dine rettigheder.
- Forbehandling og prioritering af ekspertens faglige dokumentation: nødvendigt for at administrere ekspertansøgningen effektivt og som legitim interesse i en sikker, skalerbar kvalitetskontrol. Modellen træffer ikke alene endelig ekspertgodkendelse, regulatoriske afgørelser eller negative afgørelser med væsentlig virkning.
- Referenceverificering: når en ekspert aktivt beder os kontakte en på forhånd aftalt reference, behandler vi referentens kontakt- og svaroplysninger som legitim interesse i at verificere ekspertens oplyste erfaring. Referenten får ved første kontakt information om formål, datakilde og privatlivsoplysninger og kan afvise eller undlade at svare.
- DSA notice-and-action, myndighedspåbud, begrundelser for moderation og lovpligtige kontaktpunkter: retlig forpligtelse, hvor DSA kræver behandlingen, og ellers legitime interesser i at drive en sikker og lovlig markedsplads.
- Markedspladsoplysninger om ekspertens privat/erhvervsdrivende-status og prækontraktuelle sælgeroplysninger: opfyldelse af aftale, retlig forpligtelse og forbrugeroplysning afhængigt af oplysningen.
- Behandling, der konkret kræver samtykke: kun når du får et særskilt, frivilligt valg. Et sådant samtykke kan trækkes tilbage igen.
4. Hvem modtager oplysninger?
Vi bruger leverandører til blandt andet database/authentication (Supabase), hosting (Vercel), betaling (Stripe), video (Zoom), e-maillevering (Resend) og automatisk analyse af fagligt verificeringsmateriale (OpenAI, når funktionen er aktiveret). En ekspert modtager de oplysninger, der er nødvendige for den konkrete konsultation, herunder kundens valgte forberedelsesnote og indhold kunden selv deler i konsultationen.
Leverandører kan have forskellige databeskyttelsesroller afhængigt af den konkrete behandling. Hvor behandling eller support indebærer overførsel uden for EU/EØS, anvendes det relevante overførselsgrundlag og de sikkerhedsforanstaltninger, som lovgivningen kræver.
Når ExpertOnDemand er indberetningspligtig efter DAC7, videregives de lovpligtige sælger- og aktivitetsoplysninger til Skattestyrelsen og kan derfra udveksles med andre relevante skattemyndigheder efter reglerne.
5. Opbevaring og kontolukning
Vi opbevarer ikke alle oplysninger lige længe. Konto- og fremadrettede profilindstillinger minimeres eller slettes ved gennemført kontolukning, når de ikke længere har et formål. Regnskabsmateriale opbevares efter de gældende bogføringskrav. Konsultations-, trust-, tvist- og sikkerhedsdata vurderes konkret og får ikke en vilkårlig fælles slettefrist.
GDPR-eksportkladder er kortlivede og deres rå snapshot slettes automatisk efter den fastsatte udløbsperiode, mens et minimalt auditspor kan bevares.
DAC7-indberetningsfiler og grundlaget for due diligence/indberetning opbevares efter de særlige lovkrav. Grundlaget skal som udgangspunkt kunne dokumenteres i mindst 5 og højst 10 år efter den relevante indberetningsperiode. Derfor kan DAC7-oplysninger ikke nødvendigvis slettes samtidig med en konto.
6. Dine rettigheder
En anmodning vurderes konkret. Vi kan være nødt til at identificere dig, før vi udleverer eller ændrer personoplysninger. Du kan klage til Datatilsynet, hvis du mener, at vores behandling ikke overholder databeskyttelsesreglerne.
- Indsigt i de personoplysninger vi behandler om dig.
- Berigtigelse af urigtige oplysninger.
- Sletning, når oplysninger ikke længere lovligt skal eller må opbevares.
- Begrænsning eller indsigelse i de tilfælde reglerne giver ret til det.
- Dataportabilitet, når betingelserne er opfyldt.
- Tilbagetrækning af et samtykke, når en behandling faktisk bygger på samtykke.
7. Automatisering og menneskelig kontrol
ExpertOnDemand kan bruge automatiske signaler til at prioritere sikkerheds-, trust- eller driftsmæssige hændelser og til at forbehandle en eksperts faglige dokumentation. Ved dokumenttriage kan systemet fx udtrække udsteder, datoer, kompetenceområder og mulige uoverensstemmelser og kan automatisk acceptere klart lavrisikomateriale i almindelige standardområder. Autorisation, regulerede/særlige områder, tvivl, negative signaler og den endelige ekspert-/kategorigodkendelse er designet med menneskelig kontrol og træffes ikke alene af modellen.
Ved AI-forbehandling bruger ExpertOnDemand en stateless API-konfiguration, hvor den genererede modelrespons ikke gemmes til senere API-hentning. ExpertOnDemand gemmer kun den nødvendige analysesammenfatning og auditstatus i egen database. Offentlige links kan kun bruges som støtte til den dokumentation, eksperten selv har oplyst; automatiseringen må ikke bruges til bred skjult personsøgning.
8. Sikkerhed
Vi anvender adgangskontrol, row-level security, MFA for administration, rate limits, signed webhooks, private storageflows og andre tekniske og organisatoriske sikkerhedsforanstaltninger. CPR/TIN opbevares særskilt med applikationskryptering og vises ikke i klartekst i almindelige ekspert- eller adminvisninger. Ingen internetbaseret tjeneste kan garantere nul risiko, og sikkerhedsforanstaltningerne vurderes løbende.
9. Ændringer
Privatlivspolitikken versionsstyres. Ved væsentlige ændringer bliver den nye version gjort synlig. Hvis en ændring kræver en ny bekræftelse eller et egentligt samtykke, håndteres det særskilt i platformen.