Privatlivspolitik

1. Dataansvarlig og kontakt

Dataansvarlig for behandlingen af dine personoplysninger på estatic.dk er:

Vi er ikke forpligtet til at udpege en databeskyttelsesrådgiver (DPO) jf. GDPR art. 37, men du er altid velkommen til at skrive til [email protected], som behandles fortroligt.

2. Hvilke personoplysninger vi behandler

Vi behandler følgende kategorier af oplysninger afhængig af hvordan du bruger tjenesten:

2.1 Almindelige besøgende på estatic.dk

• Tekniske data: IP-adresse (gemmes alene som irreversibelt hashet værdi via SHA-256), browser-type, operativsystem, henvisende side, tidspunkt for besøg.
• Adresse-opslag: Hvilken bolig-adresse eller hvilket vurderingsopslag du har set. Disse gemmes pseudonymt ved hjælp af et tilfældigt session_id i en cookie.
• Cookies: Se afsnit 11.

Vi gemmer ikke din rå IP-adresse, navn, e-mail eller telefonnummer som besøgende. Du kan bruge prisvurderings­funktionen helt anonymt.

2.2 Mæglere med konto på eStatic

Når du opretter en mægler-konto behandler vi:

• Identitet: Navn, e-mail, telefonnummer, adgangskode (gemmes alene som bcrypt-hash — vi kan aldrig se din kode i klartekst).
• Virksomhed: Firmanavn, CVR-nummer, evt. kæde/brand, forretnings­adresse, hjemmeside, logo, kort bio.
• Konto- og status­data: Rolle (mægler/admin), abonnements-status, tidspunkter for oprettelse, godkendelse, e-mail-verificering og evt. afvisning.
• Betalings­data: Stripe-kunde-ID og abonnements-ID. Vi modtager eller opbevarer aldrig dine kortoplysninger — disse håndteres udelukkende af vores PCI DSS-certificerede betalings­leverandør Stripe (se afsnit 5).
• Session-data: Hashet IP-adresse, browser/user-agent, login-tidspunkt og udløb. Bruges til at holde dig logget ind og forebygge misbrug.
• Aktivitet: Hvilke postnumre du har gjort krav på, hvilke annoncer du har oprettet, hvilke leads du har modtaget, hvilke e-mails vi har sendt til dig.
• Uploadet indhold: Firma-logo og evt. profil-billede.

2.3 Boligejere i Estatics radar/datamodel

Som led i vores kerneydelse — markedsanalyse og sælger-radar til professionelle mæglere — behandler vi oplysninger om aktuelle og tidligere boligejere som vi modtager fra offentligt tilgængelige danske registre:

• Navn og ejer-status (fra Ejerfortegnelsen / EJF via Datafordeleren).
• Bopælsadresse og bygnings­adresse (fra BBR/DAR via Dataforsyningen).
• Fødselsår / aldersinterval (fra EJF — bruges til alders­baseret segmentering, ikke til identifikation).
• Ejertid (start- og slutdato for ejerskab).
• Tinglyste pant og handelsoplysninger (offentlige tingbogs-udtræk).
• Robinsonliste-status (om personen har frabedt sig direkte markedsføring).

Vi behandler ikke CPR-numre, helbreds­oplysninger eller andre særlige kategorier af personoplysninger (GDPR art. 9). Vi bruger ikke automatiserede afgørelser med retsvirkning for den enkelte (GDPR art. 22) — modellens output er udelukkende statistiske sandsynligheder til brug for mæglerens vurdering.

3. Formål og retsgrundlag

Vi behandler personoplysninger til følgende formål, hver med sit retsgrundlag jf. GDPR art. 6:

Ejer-data og legitim interesse: Den balance vi har foretaget vejer mæglernes professionelle behov for at identificere potentielle sælgere (samme grundlag som er anerkendt for bl.a. Ejendomstorvet og lignende tjenester) op imod boligejernes berettigede forventning om ikke at blive markedsført uønsket. Konkret betyder det:

• Vi viser kun ejer-oplysninger til verificerede danske mæglere med aktivt abonnement i den pågældende ejers postnummer.
• Personer på Robinsonlisten må ikke kontaktes med direkte markedsføring — dette flag vises tydeligt på alle ejer-kort.
• Du kan til enhver tid gøre indsigelse mod denne behandling — se afsnit 9.

4. Hvor vi modtager oplysningerne fra

• Direkte fra dig: Ved registrering, profil-opdatering og brug af tjenesten.
• CVR-registret: Vi verificerer dit CVR-nummer mod det offentlige register hos Erhvervsstyrelsen.
• Datafordeleren (Klima-, Energi- og Forsynings­ministeriet): Ejer­data (EJF), bygnings­data (BBR), offentlige vurderinger (VUR), tinglysning.
• Dataforsyningen (DAWA / OIS): Adresser, jordstykker, sted­navne — offentlige geodata under CC BY-licens.
• Danmarks Statistik (DST): Anonymiserede demografiske og økonomiske data på kommune-niveau.
• Offentlige handels- og udbuds­data: Tinglysningsregistret samt offentligt tilgængelige boligannonce-data.
• Robinsonlisten: Officielle udtræk fra Robinson­listen (markedsføringslovens reklame­spærreliste).
• Stripe: Bekræftelse på vellykket/fejlet betaling (vi modtager ikke kortdata).

5. Modtagere og databehandlere

Vi videregiver kun personoplysninger når det er nødvendigt for at levere tjenesten. Følgende databehandlere assisterer os under skriftlige databehandler­aftaler jf. GDPR art. 28:

Derudover kan vi videregive oplysninger:

• Til verificerede mæglere som modtager leads/ejer-oplysninger inden for det postnummer de har abonnement på. Når lead'et er overgivet til mægleren bliver mægleren selv­stændig dataansvarlig — se vores databehandler­aftale.
• Til offentlige myndigheder hvis vi pålægges det ved lov eller retskendelse (politi, SKAT, Datatilsynet etc.).
• Til rådgivere (revisor, advokat) under fortrolighed.

Vi sælger ikke dine personoplysninger til tredjemand.

6. Overførsel til tredjelande

Hovedparten af vores databehandling foregår inden for EU/EØS. Enkelte underleverandører (Resend, Cloudflare, Google) er etableret i USA og kan i begrænset omfang behandle drifts­data dér. Overførslen sker i alle tilfælde under et af følgende grundlag:

• Leverandøren er certificeret under EU-US Data Privacy Framework (Kommissionens afgørelse af 10. juli 2023).
• EU-Kommissionens standard­kontrakts­bestemmelser ("SCC", 2021/914) er indgået.
• Supplerende sikkerhedsforanstaltninger (kryptering under transit + at rest, pseudonymisering).

Du kan rekvirere kopi af overførsels­grundlaget ved at skrive til [email protected].

7. Hvor længe vi opbevarer dine oplysninger

8. Sikkerhed

Vi har truffet passende tekniske og organisatoriske foranstaltninger jf. GDPR art. 32:

• Al kommunikation foregår over TLS 1.2+ med HSTS (Let's Encrypt-certifikater fornyet hver 60. dag).
• Adgangskoder gemmes som bcrypt-hash (cost 12) — kan ikke vendes tilbage til klartekst.
• IP-adresser pseudonymiseres med SHA-256 før de gemmes.
• Database og uploads krypteres at-rest med LUKS-volumes på vores danske infrastruktur.
• Adgang til produktions­data er begrænset til Niclas (CTO) og kræver SSH-nøgle + 2FA.
• Daglige krypterede backups med 30 dages opbevaring.
• Brud på persondata­sikkerheden indrapporteres til Datatilsynet inden for 72 timer jf. GDPR art. 33.

9. Dine rettigheder

Du har en række rettigheder efter databeskyttelses­forordningen. Du kan udøve alle rettigheder ved at skrive til [email protected] eller — for indsigt og sletning af mægler-konti — direkte fra dit dashboard under Indstillinger.

Vi svarer på din anmodning inden for én måned jf. art. 12, stk. 3. Hvis sagen er kompleks kan fristen forlænges med yderligere to måneder — i så fald informerer vi dig.

10. Sådan får du slettet din konto

Du har to muligheder for at få din konto og dine data slettet:

10.1 Slet selv fra dit dashboard (anbefalet)

1. Log ind på estatic.dk/maegler.
2. Gå til Indstillinger → "Slet min konto" (nederst på siden).
3. Bekræft med din adgangskode og indtast ordet SLET.
4. Hvis du har et aktivt abonnement bliver det opsagt med det samme.
5. Kontoen markeres til sletning med 30 dages fortrydelses-periode — du kan logge ind igen for at annullere.
6. Efter 30 dage slettes alle personhenførbare data permanent. Bogføringspligtige data anonymiseres (fakturanummer og beløb bevares — navn og e-mail fjernes).

10.2 Skriv til os

Send en e-mail til [email protected] fra den e-mail-adresse der er registreret på kontoen, eller medsend dokumentation der bekræfter din identitet. Vi gennemfører sletningen inden for én måned.

10.3 Hvis du ikke er mægler-kunde

Hvis du er en boligejer hvis oplysninger optræder i vores datamodel (fra offentlige registre) kan du anmode om sletning ved at skrive til [email protected] og oplyse:

• Dit navn og bopælsadresse (så vi kan finde dig i registret).
• Eventuelt BFE-nummer eller den ejendom det vedrører.
• Hvilken behandling du gør indsigelse mod.

Vi sletter eller pseudonymiserer dine oplysninger i eStatic inden for én måned. Bemærk at oplysningerne fortsat vil ligge i det oprindelige offentlige register (EJF/BBR), som vi ikke har kontrol over — der skal du henvende dig direkte til Datafordeleren.

11. Cookies

Vi anvender kun cookies der er strengt nødvendige for at tjenesten kan fungere. Disse kræver ikke samtykke jf. cookie­bekendt­gørelsen §4, stk. 2:

Vi anvender ikke tredjeparts-trackere, reklame-cookies, Google Analytics, Facebook Pixel, eller lignende profilerings­værktøjer.

12. Klage til Datatilsynet

Du har til enhver tid ret til at klage til Datatilsynet hvis du er uenig i vores behandling af dine personoplysninger:

Vi opfordrer dog til at du kontakter os først på [email protected] så vi kan forsøge at løse sagen direkte.

13. Ændringer i denne politik

Vi opdaterer løbende denne politik i takt med at tjenesten og lovgivningen udvikler sig. Den til enhver tid gældende version findes på estatic.dk/privatlivspolitik med versionnummer og dato i toppen.

Væsentlige ændringer der berører dine rettigheder varsles via e-mail (for registrerede mæglere) eller med en synlig banner på forsiden, minimum 14 dage før de træder i kraft.