Privatlivspolitik

1. Dataansvarlig

2. Hvem politikken gælder for

• Besøgende på leadmakker.dk
• Kunder og brugere: virksomheder der bruger tjenesten, og de personer hos dem, der logger ind
• Leads: personer der henvender sig til vores kunder. Her er vi databehandler, ikke dataansvarlig; se afsnit 7

3. Hvilke oplysninger vi behandler, og hvorfor

Vi behandler ikke tilsigtet følsomme personoplysninger. Der er ingen betalingsbehandling i tjenesten endnu; kommer den, opdateres denne politik, før den tages i brug.

4. Modtagere og databehandlere

Vi bruger disse leverandører, som behandler oplysninger for os:

Om notifikationer på telefonen. Slår en bruger notifikationer til, sender vi beskeden gennem push-tjenesten hos den browser, telefonen bruger: Apple, Google eller Mozilla. De er et transport-led. Indholdet er krypteret mod netop den telefons nøgler, så tjenesten kan ikke læse det. Vi gemmer kun det, der skal til for at nå telefonen: en adresse til dens browser og to nøgler. Det er oplysninger om brugerens enhed. Der er ingen oplysninger om leads i dem, og beskeden nævner aldrig et leads navn, emne eller indhold; den siger kun, hvad der venter, netop fordi den vises på en låst skærm. Slår brugeren notifikationer fra, eller skifter han telefon, slettes oplysningerne.

Bruger brugeren vores app på iPhone, går beskeden i stedet gennem Apples push-tjeneste. Dér er den ikke krypteret mod telefonens nøgler, så Apple kan læse den. Den består af faste sætninger som «Nyt udkast venter» og et link til siden i tjenesten; heller ikke her nævnes et leads navn, emne eller indhold. Vi gemmer telefonens adresse hos Apple (et enheds-token). Den slettes, når brugeren slår notifikationer fra eller logger ud i app'en, når telefonen fjernes under Indstillinger, når Apple melder app'en slettet, og når kontoen slettes.

Ud over dem behandles oplysningerne af kundens egen mail- og kalenderudbyder, Google eller Microsoft. Har kunden sin postkasse et andet sted, fx hos sit webhotel, er det den udbyder, kunden selv har valgt: vi henter ny post fra postkassen og sender svarene gennem samme udbyders udgående mailserver. Tjenesten læser og skriver i den postkasse og kalender, kunden allerede har, efter kundens egen aftale med udbyderen; vi flytter ikke posten til et andet sted. Præcis hvordan rollerne fordeles her, er et af de punkter, vi får juridisk gennemgået, og teksten opdateres derefter.

Bruger kunden Microsoft, kobler kunden selv postkassen og kalenderen på under Indstillinger med ét samtykke hos Microsoft, som dækker begge. Microsoft giver os derefter en adgangsnøgle til netop den konto. Den gemmes krypteret i vores database, hver kunde for sig, og tjenesten viser den aldrig, heller ikke for os. Den bruges kun til at læse og sende post og til at læse og skrive i kalenderen. Kobler kunden den sidste Microsoft-forbindelse fra, slettes nøglen. Microsoft giver os ingen måde at trække samtykket tilbage på kundens vegne, så vil kunden også fjerne det hos Microsoft, sker det under kundens egen Microsoft-konto, hvor appen kan fjernes.

Om kalenderen: hvad vi henter, hvad vi gemmer, og hvad modellen ser. Tjenesten spørger kun om én ting i kundens kalender: hvornår kunden er optaget. Svaret er tidsrum, altså et start- og et sluttidspunkt, plus kalenderens eget nummer på den aftale, tidsrummet kommer fra. Vi henter hverken titler, beskrivelser, deltagere eller andet indhold fra kundens eksisterende aftaler: vi beder udbyderen om at sende os tiderne alene. De optagede tidsrum lægges ikke i kundens kartotek. Ét sted skriver vi dog et enkelt af dem ned: bliver en tid optaget af noget andet, mens vi er ved at skrive svaret, gemmer vi netop det tidsrum i vores hændelseslog, så virksomheden kan se, hvorfor tiden ikke blev til en aftale. Det slettes sammen med henvendelsen og under alle omstændigheder efter tolv måneder.

Til sprogmodellen sender vi de ledige tider, altså hullerne mellem aftalerne, så den kan foreslå et tidspunkt i svaret. Har den, der skriver, allerede en aftale i sagen, får modellen også tidspunktet for den, så svaret kan handle om den rigtige tid. Modellen får aldrig at vide, hvad der ellers står i kalenderen.

Bliver en tid aftalt, gemmer vi selv tidspunktet og et eventuelt ankomstvindue, hvilken slags aftale det er, og kalenderens nummer på den begivenhed, vi har oprettet. Det ligger sammen med resten af oplysningerne om den henvendelse og slettes sammen med den, både når et enkelt lead slettes, og når kontoen lukkes. Sletningen forsøger også at fjerne begivenheden i kalenderen. Lykkes det ikke, fordi adgangen er trukket tilbage eller udbyderen afviser det, skrives det i loggen, så det kan gøres i hånden.

Den begivenhed, vi opretter i kundens kalender, bærer i titlen hvilken slags aftale det er og navnet på den, der har skrevet (mangler navnet, mailadressen eller nummeret). I beskrivelsen står en kort opgavelinje, som sprogmodellen har skrevet, ofte med gade eller by, virksomhedens egne spørgsmål med de svar, der er givet, op til tre priser fra virksomhedens prisliste, som svaret har oplyst, og en linje med navn, telefonnummer og mailadresse. Vi inviterer ingen til begivenheden. Den ligger i kundens egen kalender hos Google eller Microsoft.

Vi opretter også helligdagene i kundens kalender, et år frem, som heldagsbegivenheder med titlen «Helligdag, lukket. Slet den, hvis du arbejder», så der ikke bookes aftaler på dem. Det er de officielle helligdage plus juleaften og nytårsaften. Vi husker datoen og kalenderens nummer på hver begivenhed, så en dag, kunden har slettet, ikke bliver oprettet igen. Kobler kunden kalenderen fra, sletter vi dem igen; lukkes kontoen, slettes de sammen med aftalerne.

Oplysninger fra kalenderen bruges kun til at foreslå, oprette og rette selve aftalen og helligdagene. De sælges ikke, deles ikke videre med andre, og bruges ikke til at træne nogen AI-model.

Tjenesten har også en sms-kanal, som endnu ikke er taget i brug af nogen kunde. Tages den i brug, går beskederne begge veje gennem udbyderen Twilio på virksomhedens nummer, det samme nummer som de ubesvarede opkald nedenfor, og Twilio behandler dem i USA. Skriver du til virksomheden, sender Twilio os dit nummer, beskeden, Twilios eget id for den og et par tekniske felter om nummeret, fx landet. Svarer virksomheden, sender vi dit nummer og svarets tekst til Twilio. Hvordan overførslen til USA er sikret, afklares i den juridiske gennemgang, før en kunde tager det i brug.

Tjenesten kan også tage imod ubesvarede opkald. Det er bygget, men endnu ikke taget i brug af nogen kunde. Tages det i brug, viderestiller virksomheden de opkald, den ikke når, til et dansk nummer hos udbyderen Twilio, som behandler opkaldet i USA. Twilio siger en kort dansk sætning, lægger på og sender os dit nummer (intet, hvis nummeret er skjult), tidspunktet og Twilios eget id for opkaldet. Vi gemmer de tre ting. Er nummeret ikke skjult, bliver opkaldet til en henvendelse fra dit nummer med en linje om opkaldet. Har virksomheden slået det til, får du én fast sms fra virksomhedens nummer, som beder dig skrive, hvad det drejer sig om; højst én i døgnet til samme nummer. Sms'en er en fast tekst, ingen AI skriver den, og opkaldet sendes ikke til nogen sprogmodel. Hvordan overførslen til USA er sikret, afklares i den juridiske gennemgang, før en kunde tager det i brug.

Endelig har tjenesten en formular-kanal, som heller ikke er taget i brug af nogen kunde endnu. Tages den i brug, kan du skrive til virksomheden gennem en formular på deres egen hjemmeside i stedet for at sende en mail. Det, du udfylder, er navn, mailadresse, eventuelt telefonnummer og selve beskeden, og det bliver til en henvendelse på samme måde som en mail. Svaret kommer med mail. Der er ingen ekstra leverandør inde over: indsendelsen går direkte til vores egen server, og tabellen ovenfor gælder derfor uændret.

Tjenesten har også en annonce-kanal, som er bygget, men endnu ikke er taget i brug af nogen kunde. Tages den i brug, kan dit navn, din mailadresse eller dit telefonnummer og dine svar på annonceformularens egne spørgsmål komme til os fra Google i stedet for fra virksomhedens egen hjemmeside, fordi du har udfyldt en lead-formular i en af virksomhedens Google-annoncer. Leverandøren på det led er Google Ireland Ltd. Det samme gælder en lead-formular i en af virksomhedens annoncer på Facebook eller Instagram. Dér sender Meta os kun et id for leadet, og tjenesten henter derefter oplysningerne hos Meta med den adgang, virksomheden selv har givet. Leverandøren på det led er Meta Platforms Ireland Ltd.

Vi sælger aldrig personoplysninger, og hverken kundedata eller lead-data bruges til at træne AI-modeller.

5. Opbevaring og sletning

Her skal vi være helt ærlige, for det er nemt at skrive en frist ned og svært at holde den. Derfor står der nedenfor, hvad tjenesten selv sletter automatisk, og hvad der slettes, fordi et menneske sætter det i gang. Sletning på anmodning, for et enkelt lead eller for hele kontoen, er bygget ind som en funktion i tjenesten.

• Rå SMS'er i mellemlager: højst 30 dage, efter at tjenesten har behandlet beskeden. Det er beskeden, som den kom fra SMS-udbyderen, før den er blevet en henvendelse. Tjenesten rydder dem selv. Er beskeden blevet en henvendelse, lever indholdet videre på den og slettes sammen med den.
• Rå formular-indsendelser i mellemlager: højst 30 dage, efter at tjenesten har behandlet indsendelsen. Det er felterne, som de kom fra formularen, før de er blevet en henvendelse. Tjenesten rydder dem selv, på samme frist som de rå SMS'er ovenfor. Er indsendelsen blevet en henvendelse, lever indholdet videre på den og slettes sammen med den.
• Rå annonce-leads i mellemlager: højst 30 dage, efter at tjenesten har behandlet leadet. Det er felterne, som de kom fra Google eller Meta, før de er blevet en henvendelse. Tjenesten rydder dem selv, på samme frist som de rå SMS'er og formular-indsendelser ovenfor. Er leadet blevet en henvendelse, lever indholdet videre på den og slettes sammen med den. Et lead fra Meta, som tjenesten har opgivet, rummer kun Metas id'er og slettes på samme frist.
• Ubesvarede opkald: højst 30 dage, efter at tjenesten har behandlet opkaldet. Det er nummeret (intet ved skjult nummer), tidspunktet og Twilios id for opkaldet. Tjenesten rydder dem selv, på samme frist som de rå SMS'er ovenfor. Er opkaldet blevet en henvendelse, lever linjen om det videre på den uden nummer og slettes sammen med den. Når tjenesten rydder et ubesvaret opkald eller en rå SMS, beder den samtidig Twilio om at slette sin kopi af det.
• Log- og hændelsesdata: højst 12 måneder. Tjenesten rydder dem selv. Undtaget er nogle få kvitteringer. Ingen af dem indeholder navne, adresser eller indhold: kvitteringen for en gennemført sletning (kun antal), notatet om, at en henvendelse blev besvaret uden for systemet, og kvitteringerne for den maskinpost, vi selv har sendt (påmindelser og automatiske svar om, at en henvendelse er modtaget). De sidste indeholder kun vores eget besked-id og et internt aftalenummer.
  Notatet og kvitteringerne for maskinposten slettes sammen med den henvendelse, de hører til. Vi beholder dem, så længe henvendelsen findes, fordi den uden dem kan komme til at se besvaret ud, når den ikke er. Kvitteringen for en gennemført sletning bliver derimod liggende. Den er netop dokumentationen for, at sletningen blev udført.
• Aftryk af den post, virksomheden selv har sendt: højst 24 måneder efter virksomhedens seneste mail til adressen. Et aftryk er en kode, som viser, at virksomheden har skrevet til en adresse; selve adressen, navnet og indholdet gemmes ikke. Aftryk laves kun for postkasser, der er koblet på med IMAP, ikke for Outlook-postkasser. Tjenesten rydder dem selv.
• Aftryk af en slettet person: højst 90 dage efter sletningen. Et aftryk er en kode, som viser, at en adresse eller et nummer er blevet slettet; selve adressen, nummeret og navnet gemmes ikke. Aftrykket bruges kun til, at et annonce-lead, der er sendt før sletningen men først kommer til os bagefter, ikke bliver til en ny henvendelse. Tjenesten rydder dem selv.
• Post fra personer, der ikke er kunder: højst 90 dage efter den seneste besked, når tjenestens sortering har lagt henvendelsen til side som «ikke kunde», og tjenesten sletter da selv henvendelsen, beskederne og afsenderens plads på listen over frasorterede afsendere, medmindre virksomheden har hentet henvendelsen tilbage eller selv har sat den til side, eller personen har ringet eller fået en aftale.
• Kundeforhold: så længe aftalen løber, og derefter op til 30 dage. Lukker virksomheden selv kontoen i tjenesten, sletter tjenesten den af sig selv syv dage efter. Ophører aftalen på anden måde, lukker vi kontoen i hånden inden for de 30 dage. Regnskabsdata gemmes i 5 år, som bogføringsloven kræver.
• Lead-data: så længe kundeforholdet løber, og senest 30 dage efter det ophører, for de går med kontoen. Der kører ikke en automatisk sletning af leads, der har ligget stille et stykke tid; den frist fastsætter vi, inden vi får den første betalende kunde, og den skrives ind her sammen med den automatik, der skal håndhæve den.
• Notifikations-abonnementer: slettes når brugeren slår notifikationer fra, når kontoen slettes, og automatisk hvis push-tjenesten melder abonnementet dødt (fx fordi telefonen er skiftet, dataene er ryddet, eller genvejen er fjernet).
• Backup: sikkerhedskopier roterer efter 14 dage. Det sker automatisk, så efter de 14 dage er en sletning også slået igennem dér. Har sikkerhedskopieringen været ude af drift, beholder vi dog de seneste kopier, til der findes nye. Så kan der gå længere end 14 dage, før sletningen er slået igennem i backup. Kopien i Finland gemmer desuden daglige øjebliksbilleder i ti dage, så dér kan der gå op til ti dage mere.

6. Dine rettigheder

Du kan bede om indsigt, berigtigelse, sletning, begrænsning og dataportabilitet, og du kan gøre indsigelse mod behandlingen. Skriv til kontakt@leadmakker.dk. Er du utilfreds med vores håndtering, kan du klage til Datatilsynet, www.datatilsynet.dk.

7. Har du henvendt dig til en håndværker, der bruger Leadmakker?

8. Sikkerhed

Server og database står i EU (Tyskland), og sikkerhedskopierne opbevares krypteret et andet sted i EU (Finland), så en brand eller en ødelagt disk ikke tager både originalen og kopien. Trafikken krypteres undervejs, og adgangen er begrænset og logget. Det ene sted, hvor vi selv sender oplysninger ud af EU, er sprogmodellen hos Anthropic i USA, og det sker på fire måder:

• Sorteringen: hver ny samtale sendes til modellen, som afgør, om den er fra en kunde. Med går afsenderens adresse, emnet og op til 600 tegn af beskeden. Det sker også, når afsenderen ikke er en kunde, og også når virksomheden har stoppet agenten; sorteringen sender intet til nogen. Har virksomheden sagt, at afsenderen er en kunde, eller er afsenderen allerede lagt til side, spørges modellen ikke.
• Svarudkastet: når et svar skal skrives, sendes samtalen, afsenderens navn og kontaktoplysning og virksomhedens egne oplysninger. Vedhæftede filer gemmes og sendes ikke; vi gemmer kun deres navn, filtype og størrelse, og navn og filtype står med i teksten til modellen.
• Kontrollen før automatisk afsendelse: har virksomheden slået automatisk afsendelse til, læser modellen udkastet og den seneste besked, før svaret sendes, og kan holde det tilbage til et menneske.
• Forslaget til virksomhedens profil: når virksomheden under opsætningen giver adressen på sin egen hjemmeside, henter vi teksten fra forsiden og op til tre undersider og sender den til modellen, som foreslår virksomhedens oplysninger. Det er virksomhedens egen offentlige tekst, men står der et navn eller et telefonnummer på siden, følger det med.

Har virksomheden taget sms eller ubesvarede opkald i brug, kommer Twilio i USA til (afsnit 4). Andre leverandører i afsnit 4 kan behandle oplysninger uden for EU i deres egne tjenester; det står i deres rækker.

Om automatiske svar, så det er sagt præcist: standardopsætningen er, at intet svar sendes til et lead, før et menneske hos virksomheden har godkendt det. Virksomheden kan selv slå automatisk afsendelse til for rutineprægede henvendelser. Også da holder en indholdsvagt udkastet tilbage, hvis indholdet kræver et menneske; en sag der er eskaleret til virksomheden besvares aldrig automatisk; og et svar, der ville aflyse en aftale, sendes kun automatisk, hvis mailudbyderens afsender-kontrol bekræfter, hvem mailen er fra.

Tre beskeder falder uden for godkendelsen, uanset om virksomheden godkender svar selv eller ej. Alle tre er faste tekster, og ingen AI skriver dem i det øjeblik, de sendes:

• Påmindelsen dagen før en aftale, virksomheden allerede har godkendt. Virksomheden kan selv slå den fra.
• Én fast sms efter et ubesvaret opkald til den, der ringede, kun hvis virksomheden selv har slået den til (afsnit 4).
• Én fast kvittering ved akutte sager, kun hvis vi har slået den til for virksomheden. Den er der, så du ikke sidder i tavshed, mens virksomheden når frem til din sag. Teksten er altid vores egen, på dansk eller engelsk, og ingen sprogmodel skriver eller oversætter den.

Om vores egen support, så også dét er sagt præcist: vi kan åbne virksomhedens konto for at hjælpe, og virksomheden kan se, at vi har været der. Adgangen gælder en time ad gangen og ophører af sig selv. Hvert besøg står på virksomhedens egen side under Indstillinger med medarbejderens fornavn, tidspunkt og varighed. Mens vi er inde, kan vi se og rette opsætningen, men tjenesten afviser hver eneste handling, der sender en besked til virksomhedens kunder, og hver eneste handling, der afgør, om tjenesten selv må sende. Gennem den adgang kan vi altså ikke svare et lead på virksomhedens vegne, og vi kan heller ikke slå noget til, der gør det for os. Akut-kvitteringen ovenfor slår vi til et andet sted, på vores egen driftsside uden for virksomhedens konto.

9. Ændringer

Væsentlige ændringer varsles til kunder pr. e-mail og på denne side. Datoen øverst viser, hvornår politikken sidst er ændret.