Privatlivspolitik

Dataansvarlig

Sitavo har ikke udpeget en databeskyttelsesrådgiver (DPO), da det ikke er et krav for vores type behandling.

Hvilke oplysninger vi behandler

Oplysninger du selv giver os

• Konto: navn, e-mail, brugernavn, kontotype (privat/virksomhed), land, og for virksomheder firmanavn og CVR-nummer. Adgangskoden gemmes kun som en envejs-hash (argon2id).
• Profil (valgfrit): profilbillede, telefonnummer, adresse, bio og hjemmeside.
• Annoncer: tekst, billeder, nøgletal, dokumenter i datarummet og kontaktoplysninger, du vælger at vise.
• Kommunikation: beskeder, vedhæftede filer, bud, modbud, NDA-anmodninger, møder, handelsforløb og anmeldelser.
• NDA-underskrift: dit navn, din e-mail, evt. CVR-nummer, tidspunktet, IP-adresse og browser — som bevis for, at du har underskrevet. Sælgeren ser dit navn og evt. CVR-nummer, når NDA'en godkendes.
• Investorprofil og opkøbsønsker (valgfrit): det, du skriver om, hvad du søger. Profilen og ønskerne kan ses af sælgere og besøgende, som beskrevet på siderne.
• Henvendelser og klager: det, du skriver til os via kontaktformularen, livechatten eller e-mail, svar på «Fandt du svar?» i hjælpecenteret og klager over vores afgørelser.
• Verificering: de oplysninger, du sender for at blive verificeret (fx CVR-nummer). Vælger du verificering med pas eller kørekort, behandler Stripe et billede af dokumentet og en selfie (se «Følsomme oplysninger» nedenfor).
• Nyhedsbrev (valgfrit): din e-mail og dit samtykke (tidspunkt og hvor du gav det).

Oplysninger vi indsamler, når du bruger Sitavo

• Login og sikkerhed: IP-adresse, browser/enhed (user-agent), tidspunkter for login, aktive sessioner og forsøg på login. Bruges til at beskytte din konto og vise dig dine aktive enheder.
• Totrinsbekræftelse: en krypteret 2FA-nøgle og hashede backupkoder, hvis du slår 2FA til.
• Annoncestatistik: vi tæller visninger og klik på annoncer for sælgeren. Statistikken gemmes samlet (antal, trafikkilde, land, søgeord); vi gemmer ikke din IP-adresse i statistikken, kun en kortlivet, envejs-krypteret nøgle til at undgå dobbelttælling.
• Annoncer i vores netværk: fremhævede annoncer vises også på vores opslagssider (bl.a. DanskAdresseAPI). Når en besøgende dér ser eller klikker på en annonce, modtager Sitavo den besøgendes IP-adresse og oplysning om siden (site, plads, branche eller område). Vi bruger det kun til at vælge en relevant annonce og tælle visninger og klik for sælgeren. IP-adressen holdes kun i serverens hukommelse i op til et døgn for at sortere dobbelttællinger og bots fra og gemmes aldrig i databasen; statistikken gemmes som antal pr. annonce, sted og dag. Retsgrundlaget er vores legitime interesse i at levere og måle de annoncer, sælgeren har købt (GDPR art. 6, stk. 1, litra f).
• Datarum: hvilke dokumenter du har åbnet og hvornår (med en envejs-krypteret IP-nøgle), så sælgeren kan se, hvem der har set hvad. Dokumenter, du henter, får dit navn og din e-mail som vandmærke.
• Online-status og seneste aktivitet: hvornår du sidst var aktiv (online-status kan skjules under Indstillinger → Privatliv), og hvornår du sidst loggede ind eller brugte Sitavo — det sidste bruger vi til at slette konti, der ikke længere bruges.
• Svindeltjek af beskeder: beskeder kontrolleres automatisk for typiske tegn på svindel (fx anmodning om betaling uden om handlen). Ved mistanke vurderes teksten af AI med e-mails og telefonnumre skjult, og modtageren kan få en advarsel. Et kort uddrag gemmes, så Sitavo kan følge op.
• E-mail-log: hvilke mails vi har sendt dig, hvornår, og om de blev leveret. Selve indholdet slettes, så snart mailen er leveret eller endeligt opgivet.
• AI-forbrug: hvornår du har brugt en AI-funktion (og IP-adressen i 30 dage), så misbrug kan begrænses.

Oplysninger fra andre

• Google: logger du ind med Google, får vi dit navn og din e-mail fra Google.
• CVR-registret og VIES: når du skriver et CVR-nummer eller en adresse, slår vi op i offentlige registre (via DanskCVRAPI og DanskAdresseAPI). Et momsnummer fra et andet EU-land kontrolleres i EU-Kommissionens VIES.
• Stripe: resultatet af en identitetsverificering og betalingsstatus for dine køb.
• Andre brugere: fx beskeder, bud, anmeldelser og rapporter, som andre skriver til eller om dig.

Sitavo er for personer over 18 år. For at oprette en konto skal du oplyse navn og e-mail (og CVR-nummer for en virksomhedskonto) — uden dem kan vi ikke indgå aftalen med dig. Alle andre oplysninger er frivillige, men nogle funktioner kræver dem (fx kræver mærket «Verificeret», at du bekræfter din identitet eller virksomhed).

Formål og retsgrundlag

Følsomme oplysninger

Den eneste følsomme oplysning (art. 9), vi lader behandle, er biometri: verificerer du dig med pas eller kørekort, sammenligner Stripe din selfie med billedet i dokumentet. Det sker kun med dit udtrykkelige samtykke, som du giver i et særskilt felt, før Stripes vindue åbner. Samtykket er frivilligt, og du kan trække det tilbage. Vi beder Stripe slette billeder og dokumentdata 30 dage efter afgørelsen og senest, når du sletter din konto. Del i øvrigt ikke følsomme oplysninger i annoncer eller beskeder.

Automatiske kontroller og afgørelser

Nye og redigerede annoncer og opkøbsønsker kontrolleres automatisk for tegn på svindel og forbudt indhold (regler og evt. AI), og beskeder kontrolleres for typiske svindelmønstre. Kontrollen kan sætte noget til manuel gennemgang eller vise en advarsel, men afgørelsen om at afvise eller fjerne indhold eller spærre en konto træffes altid af en medarbejder hos Sitavo. Du får altid en begrundelse og et link til at klage. Udløber fristen for at bekræfte din identitet, fjernes mærket «Verificeret» automatisk, og du får besked først. Købermatch sammenligner dit købsønske med annoncerne efter faste, forklarlige kriterier (fx branche, region og pris) og viser, hvorfor noget passer — det er profilering, men uden retsvirkning, og du bestemmer selv, om sælgere kan se dig. Vi laver ingen profilering, der har retsvirkning for dig.

Hvem kan se dine oplysninger

• Alle besøgende: din offentlige sælgerprofil (fornavn og første bogstav i efternavnet — eller firmanavnet, hvis du sælger som virksomhed — brugernavn, bio, anmeldelser, aktive annoncer), dine offentlige annoncer og en offentlig investorprofil eller et opkøbsønske, hvis du har oprettet en. Dit fulde navn vises ikke offentligt. Du kan gøre profilen usynlig for søgemaskiner under Indstillinger → Privatliv.
• Den anden part: i beskeder, bud og møder ser modparten dit fornavn og første bogstav i dit efternavn («Fornavn E.») og det, du skriver. Dit fulde navn, din e-mail og dit telefonnummer ser modparten først, når du selv deler dem — og du kan trække delingen tilbage. E-mails og telefonnumre, du skriver i en besked eller en budkommentar, skjules for modparten, indtil du har delt dine kontaktoplysninger. Ved diskret salg ser modparten kun et alias, indtil identiteten frigives. I en handel deles de oplysninger, aftalen kræver, når du selv har bekræftet dem.
• Sælgeren ved NDA: når sælgeren godkender din NDA, ser sælgeren dit navn og evt. CVR-nummer fra underskriften.
• Købere med adgang: dokumenter i datarummet ser kun købere med godkendt NDA, accepteret bud eller en igangværende handel.
• Sitavos medarbejdere: kun når det er nødvendigt for support, moderation af rapporterede sager, tvister, verificering eller sikkerhed. Vi læser ikke dine beskeder rutinemæssigt. Når en medarbejder åbner en samtale, en handel eller en privat fil, logges det.

Rådgivere med adgang til din konto

Du kan give en Sitavo-rådgiver (mægler, advokat, revisor eller anden rådgiver) adgang til at hjælpe dig. Rådgiveren ser og gør kun det, du vælger — for de annoncer og den periode, du vælger — og du kan altid ændre eller trække adgangen tilbage under Indstillinger → Rådgivere.

• Hvem får adgang: rådgiverfirmaet og de konkrete personer i firmaet, der er tildelt dig. Du kan altid se, hvem de er.
• Hvad deles: de oplysninger, din adgang omfatter (fx annoncens indhold, bud, beskeder eller handelsdokumenter). Oplysninger om modparter (købere/sælgere), der indgår i dem, deles i samme omfang.
• Rollefordeling: Sitavo er dataansvarlig for platformen og loggen. Rådgiverfirmaet er selvstændigt dataansvarligt for den rådgivning, det yder dig, og er bundet af Sitavos vilkår for rådgivere (fortrolighed og formålsbegrænsning).
• Log: alt, rådgiveren gør på dine vegne — og forsøg, der blev afvist — gemmes og vises for dig. Loggen opbevares, så længe din konto findes.
• Modparten informeres: når en rådgiver skriver på dine vegne eller deltager i en handel, kan modparten se det («på vegne af»).
• Fuldmagt: du kan give en rådgiver en digital fuldmagt til bestemte handlinger (bud op til et beløbsloft, NDA'er og modbud) for en begrænset periode. Din accept gemmes med tidspunkt, IP-adresse og browser som bevis — disse oplysninger vises aldrig for modparten. Du får besked, hver gang fuldmagten bruges, og du kan tilbagekalde den når som helst under Indstillinger → Rådgivere.
• Retsgrundlag: dit samtykke/din anmodning (artikel 6, stk. 1, litra a og b) for at give adgangen; vores legitime interesse i sikkerhed og dokumentation (litra f) for loggen.

Databehandlere og modtagere

Vi bruger følgende leverandører, som behandler oplysninger på vores vegne efter en databehandleraftale. Vores egne data (database, filer og backups) ligger i EU. Enkelte leverandører kan overføre oplysninger til lande uden for EU — det står i tabellen, og overførslen sker på grundlag af EU-standardkontraktbestemmelser eller EU-U.S. Data Privacy Framework.

Tjenester, du selv vælger at bruge: videomøder åbnes hos Jitsi (meet.jit.si, drevet af 8x8 Inc., USA), og forbinder du ChatGPT eller Claude til Sitavo, sender Sitavo de oplysninger, du beder om, til den tjeneste. De pågældende tjenester behandler oplysningerne efter deres egne vilkår.

Mæglere og rådgivere: beder du via Sitavo om hjælp fra en mægler eller rådgiver, videregiver vi dit navn, dine kontaktoplysninger og din henvendelse til det rådgiverfirma, der skal hjælpe dig — kun efter aftale med dig. Firmaet er selvstændigt dataansvarligt for den videre rådgivning.

Vi videregiver kun oplysninger til myndigheder, når vi er forpligtet til det ved lov, eller hvis det er nødvendigt for at fastslå eller forsvare et retskrav. Vi sælger aldrig personoplysninger og bruger dem ikke til annoncering for andre.

Hvor længe vi gemmer oplysningerne

Sådan beskytter vi dine data

• Al trafik er krypteret med HTTPS (TLS).
• Adgangskoder gemmes kun som argon2id-hash; login-cookies er httpOnly, og databasen gemmer kun en hash af sessionstokenet.
• Nye adgangskoder kontrolleres mod kendte datalæk (Have I Been Pwned). Kun de første 5 tegn af en envejs-hash af koden sendes — aldrig koden selv, din e-mail eller andet om dig.
• Totrinsbekræftelse (2FA) med app og backupkoder. 2FA-nøgler og demo-logins, der deles i beskeder, krypteres (AES-256-GCM).
• Dokumenter i datarummet og vedhæftede filer er private og kræver adgangstjek ved hver visning. Metadata (fx EXIF/GPS) fjernes fra uploadede billeder.
• Rate-begrænsning mod gætteangreb og spam, og log over administrative handlinger — også når en medarbejder åbner private samtaler, handler eller filer.
• Bankoplysninger i en handel gemmes krypteret.
• Vi har en fast procedure for brud på persondatasikkerheden: anmeldelse til Datatilsynet inden for 72 timer og besked til dig, hvis bruddet kan få alvorlige følger for dig.

Dine rettigheder

Du har efter databeskyttelsesforordningen ret til:

• Indsigt i de oplysninger, vi har om dig.
• Berigtigelse af forkerte oplysninger — det meste kan du selv rette under Indstillinger.
• Sletning — du kan selv slette din konto under Indstillinger → Konto. Mens en handel er i gang, kan kontoen først slettes, når handlen er afsluttet, så modparten ikke står uden en part.
• Dataportabilitet — du kan selv hente dine data som JSON-fil under Indstillinger → Konto. Filen indeholder alt, vi har gemt om dig — også beskeder, bud, handler, betalinger, profiler, afgørelser og klager og logs (uden adgangskoder, andre sikkerhedsnøgler og andre personers oplysninger). Filer, du har uploadet, fremgår som oversigt; skriv til os, hvis du vil have kopier af dem.
• Begrænsning af behandlingen og indsigelse mod behandling, der sker på grundlag af legitim interesse.
• Tilbagetrækning af samtykke — fx til statistik via cookieindstillingerne, til nyhedsbrevet med linket i hver mail, eller til biometri ved at skrive til os. Det påvirker ikke lovligheden af behandlingen før tilbagetrækningen.
• Klage over vores afgørelser om dit indhold eller din konto — via linket i mailen om afgørelsen, inden for 6 måneder.

Skriv til [email protected] for at bruge dine rettigheder. Vi svarer senest inden for en måned og kan bede dig bekræfte din identitet.

Klage til Datatilsynet

Er du utilfreds med vores behandling af dine oplysninger, vil vi gerne høre fra dig først. Du kan altid klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, [email protected], datatilsynet.dk.

Ændringer

Vi opdaterer politikken, når vi ændrer vores behandling — fx når betaling eller statistik aktiveres. Væsentlige ændringer får du besked om via e-mail eller notifikation. Datoen for seneste ændring står øverst.