Denne politik beskriver, hvordan Debtium behandler oplysninger om kunder, kontaktpersoner, skyldnere og besøgende, herunder fakturaaflæsning med OpenAI OCR.
1 Hvem har ansvaret
Debtium ApS, CVR 46448634, Skt. Clemens Torv 11, 1., 8000 Aarhus C, er dataansvarlig for sin egen administration, kundekontakt, sikkerhed og de inkassoaktiviteter, hvor Debtium selv fastlægger behandlingens formål og væsentlige hjælpemidler. Kontakt os på info@debtium.dk eller +45 89 86 05 61.
Når Debtium alene leverer en særskilt, instruksbunden behandling på en kundes vegne, gælder kundens oplysninger om behandlingen og den relevante databehandleraftale. Rollerne vurderes for den enkelte aktivitet; hele samarbejdet betegnes ikke automatisk som databehandling.
2 Oplysninger og kilder
Vi modtager kontakt- og virksomhedsoplysninger, fakturaer, aftale- og leveringsgrundlag, betalingshistorik, rykkere, indsigelser og relevant korrespondance. Vi modtager oplysninger fra dig, den kreditor der overdrager en sag, tilsluttede systemer samt relevante offentlige registre og samarbejdspartnere, når der er et lovligt grundlag. I en konkret sag kan vi også modtage oplysninger fra en repræsentant eller myndighed.
CPR-numre behandles kun, når der er et særskilt lovligt grundlag og et nødvendigt identifikationsbehov. Upload ikke helbredsoplysninger, oplysninger om strafbare forhold eller andre følsomme oplysninger, medmindre de er nødvendige og lovligt kan behandles. En kontaktformular eller en OCR-funktion er ikke i sig selv et grundlag for at indsamle sådanne oplysninger.
3 Formål og grundlag
| Behandling | Formål og grundlag |
|---|---|
| Henvendelser, tilbud og kundeaftaler | Besvare spørgsmål og levere aftalte ydelser. Artikel 6, stk. 1, litra b, hvor den registrerede selv er aftalepart, og litra f for virksomheders kontaktpersoner og saglig administration. |
| Vurdering og inddrivelse af krav | Undersøge, dokumentere og håndtere lovlige krav og indsigelser. Artikel 6, stk. 1, litra f, efter en konkret interesseafvejning, samt litra c, når en bestemt lovpligt kræver behandlingen. Kreditors kontrakt er ikke i sig selv samtykke fra skyldner. |
| Bogføring og lovpligtig dokumentation | Artikel 6, stk. 1, litra c, sammenholdt med den relevante lovpligt. |
| Adgang, drift og sikkerhed | Artikel 6, stk. 1, litra f. Vi beskytter brugere, oplysninger og systemer mod fejl og misbrug. |
| Rentabilitet og afregningskontrol | Artikel 6, stk. 1, litra f. Vi følger omkostninger, registreret arbejdstid, indbetalinger og aftalt bonus. Vi begrænser personoplysninger til det nødvendige. |
| Markedsføring | Kun når der er et særskilt lovligt grundlag og det samtykke, som reglerne om elektronisk markedsføring kræver. Aftaleaccept og inkassobehandling er ikke et markedsføringssamtykke. |
Ved behandling efter litra f er vores legitime interesser at kunne administrere kundeforhold, håndtere dokumenterede krav, modvirke fejl og beskytte driften. Den registreredes interesser og indsigelser indgår i vurderingen. Følsomme oplysninger kræver desuden en relevant undtagelse efter artikel 9; oplysninger om strafbare forhold og CPR kræver deres særlige behandlingsgrundlag.
4 Fakturaaflæsning med OpenAI
I CRM kan en medarbejder udtrykkeligt vælge OpenAI OCR til en PDF-faktura. Dokumentet sendes via en krypteret API-forbindelse til OpenAI for at aflæse fakturamodtager, datoer, beløb og øvrige fakturafelter. En almindelig lokal tekstaflæsning sender ikke dokumentet til OpenAI.
API-anmodningen bruger store=false, og der oprettes ikke et separat filarkiv hos OpenAI gennem filupload-API’et. OpenAI oplyser, at API-data som udgangspunkt ikke bruges til modeltræning, og at sikkerhedslogning normalt kan opbevares i op til 30 dage, med forbehold for leverandørens undtagelser. Dette er ikke et løfte om nulopbevaring, Zero Data Retention eller udelukkende behandling i EU.
CRM gemmer ikke den uploadede OCR-kildefil eller det aflæste fakturaindhold i OCR-forbrugsloggen. Loggen indeholder medarbejderreference, tidspunkt, model, status og tokenforbrug. Aflæste forslag vises til manuel kontrol og kan eksporteres af medarbejderen. Eksporterede filer og oplysninger, der efterfølgende gemmes i et sags- eller mailsystem, følger det systems opbevaringsregler.
OCR-forslag kontrolleres af en person og opretter ikke automatisk en sag, sender ikke et krav og afgør ikke skyldners rettigheder. Upload kun det nødvendige fakturamateriale.
5 Modtagere og leverandører
Nødvendige oplysninger kan deles med den relevante kreditor eller skyldner, deres bemyndigede repræsentanter, advokater, domstole, betalingsformidlere og myndigheder, når opgaven eller lovgivningen kræver det. Vi bruger IT-leverandører til hosting, CRM, sagsbehandling, mail, kalender og telefoni samt OpenAI ved valgt OCR. Tilkoblede regnskabssystemer modtager kun de oplysninger, den konkrete forbindelse og instruks kræver.
Den aktuelle leverandøroversigt skal angive de juridiske leverandører, deres funktioner og deres behandlingslande. Vi indgår de nødvendige databehandleraftaler. En leverandør kan også have egne, afgrænsede formål og lovpligter, som fremgår af leverandørens vilkår.
6 Behandling uden for EU og EØS
Hosting på Hetzner-serveren og Debbies oplyste hosting i EU/EØS dokumenterer ikke, at alle øvrige leverandører eller deres support- og underleverandører udelukkende behandler oplysninger dér. Når personoplysninger overføres til et tredjeland, skal overførslen være dækket af et gyldigt grundlag, eksempelvis en relevant tilstrækkelighedsafgørelse eller standardkontraktbestemmelser med den nødvendige vurdering og supplerende foranstaltninger. Kontakt os for oplysninger om de garantier, der faktisk gælder for din behandling.
7 Opbevaring
Oplysninger slettes eller anonymiseres, når de ikke længere er nødvendige. Dokumenter i aktive sager opbevares under den nødvendige behandling. Efter sagens afslutning afhænger fristen af dokumentationsbehov, forældelse, konkrete tvister og relevante lovkrav. Vi gemmer ikke automatisk hele sagsmappen fem år med henvisning til bogføringsloven.
Regnskabsmateriale opbevares som udgangspunkt i fem år fra udgangen af det regnskabsår, materialet vedrører. Reglen gælder det relevante regnskabsmateriale og er ikke en generel opbevaringsregel for alle personoplysninger.
Kopier af henvendelser og bilag på hjemmesidens server slettes automatisk efter seks kalendermåneder. Det sletter ikke automatisk oplysninger i mail, CRM eller Debbie. Ikke-kundeleads i CRM følger den gældende sletteopsætning, som ved denne versions udarbejdelse er seks måneder. Aktive kunder kræver fortsat en periodisk behovsvurdering; teknisk tidsubegrænset lagring er ikke i sig selv et lovligt formål.
Underskrevne aftaler og bevismateriale kan være omfattet af særskilte dokumentationskrav. Sikkerheds- og forbrugslogge samt sikkerhedskopier skal have dokumenterede frister. De endelige frister fremgår af den godkendte sletteplan og kan oplyses ved henvendelse.
8 Rettigheder og oplysninger til skyldnere
Du kan efter reglernes betingelser anmode om indsigt, rettelse, sletning, begrænsning og i relevante tilfælde dataportabilitet. Du kan gøre indsigelse mod behandling baseret på legitime interesser og altid mod direkte markedsføring. Et samtykke kan trækkes tilbage for fremtiden, uden at det ændrer lovligheden af tidligere behandling. Vi kan være forpligtet til at bevare bestemte oplysninger trods en anmodning.
Vi besvarer normalt anmodninger inden en måned og orienterer om en lovlig forlængelse, hvis det er nødvendigt. Vi kan bede om tilstrækkelig identifikation, men ikke mere end nødvendigt. Hvis vi modtager oplysninger fra andre, giver vi den relevante information efter artikel 14, normalt senest ved første kommunikation, første videregivelse eller inden en måned, alt efter hvad der indtræffer først, med forbehold for konkrete lovlige undtagelser.
Du kan kontakte os på info@debtium.dk og klage til Datatilsynet. En anmodning om persondata eller en indsigelse mod et krav må ikke forveksles med accept af, at kravet er korrekt.
9 Sikkerhed og ændringer
Vi anvender adgangsbegrænsning, krypterede forbindelser, beskyttelse af hemmeligheder, opdateringer og sikkerhedskopier efter risikoen. Ingen sikkerhedsforanstaltning giver en absolut garanti. Væsentlige ændringer i behandling og formål oplyses, før ændringen tages i brug, hvor reglerne kræver det.