Privatlivspolitik

Sidst opdateret: 23. april 2026 · Version 2.0

1. Dataansvarlig

Dating365.dk er dataansvarlig for behandlingen af dine personoplysninger.

  • Virksomhed: Farres Apps, CVR: 46133250
  • Adresse: registreret på virksomhedens adresse i CVR-registret — se CVR-nr. 46133250
  • Kontakt: support@dating365.dk
  • E-mail: support@dating365.dk

1a. Databeskyttelsesansvarlig (DPO)

Vi har ikke udpeget en formel databeskyttelsesrådgiver (DPO), da vores behandling ikke når tærsklen i Art 37 (kernaktivitet = systematisk overvågning i stor skala). Ansvaret for databeskyttelse varetages af virksomhedens ejer:

  • Navn: Farres Apps
  • Kontakt: support@dating365.dk (angiv "DPO" i emnet)
  • Svartid: Senest 30 dage (typisk 48 timer)

Hvis brugermængden eller behandlingen af særlige kategorier (Art 9) vokser væsentligt, udpeger vi en formel DPO.

2. Hvilke data indsamler vi? (Art 13)

  • Kontooplysninger: Navn, e-mail, fødselsdato, køn, adgangskode (bcrypt-hashet)
  • Profiloplysninger: Bio, interesser, uddannelse, job, højde, billeder, prompts, stemme-intro
  • Lokationsdata: By eller GPS-koordinater (200m fuzzing før andre brugere ser det)
  • Kommunikation: Chatbeskeder, live chat-beskeder, gaver, support-beskeder
  • Brugsdata: Swipes, likes, matches, profilbesøg, login-historik
  • Betalingsdata: Håndteres af Stripe — vi gemmer IKKE kortnumre, kun transaktions-ID og købstype
  • Tekniske data: IP-adresse, enhedstype, browser, enheds-fingerprint (til svindelforebyggelse)
  • Verifikation: Selfie til profilverifikation (frivilligt)
  • AI-genereret data: Crystal Ball-læsninger, samtalestartere, Lightning-forslag (cachet, ikke delt med tredjepart)

3. Retsgrundlag for behandling (Art 6)

  • Samtykke (art. 6.1.a): Ved kontooprettelse og for særlige kategorier (Art 9) samt marketing
  • Kontrakt (art. 6.1.b): Levering af dating-tjenesten og håndtering af betalinger
  • Legitim interesse (art. 6.1.f): Svindelforebyggelse, sikkerhed, anti-bot, fraud-signals, produktforbedring
  • Retlig forpligtelse (art. 6.1.c): Bogføring (5 år), skattemæssige krav, lovkrav fra myndigheder

4. Opbevaringsperiode — detaljeret retention-tabel (Art 5.1.e)

DatatypeOpbevaringHjemmel
Aktiv konto (bruger logger ind)Så længe kontoen er aktivArt 6.1.b
Inaktiv konto (intet login)Slettes automatisk efter 24 måneder (advarsel ved 22 mdr + 14 dage før)Art 5.1.e
Slettet konto (on request)Alle data slettes inden for 7 dage (fotos + DB), backups overskrives inden 30 dageArt 17
ChatbeskederSå længe samtalen eksisterer, slettes ved kontosletningArt 6.1.b
Blindspot-samtaler10 min efter session (Redis TTL), kun metadata-score gemmes i DBArt 5.1.c
Login-historik12 måneder (IP, browser, metode)Art 6.1.f sikkerhed
Fraud-signals24 måneder (til mønster-analyse)Art 6.1.f
Audit-log (admin-handlinger)36 månederArt 5.2 ansvarlighed
Consent-logSå længe din konto findes (vi skal kunne vise dit samtykke, så længe vi behandler dine data). Slettes sammen med kontoen; vi gemmer den ikke længereArt 7.1
Betalingshistorik5 år (bogføringsloven § 10)Art 6.1.c
Stripe webhook-events30 dage (cleanup-cron)Art 5.1.c
Photo-access-log (privat-foto-visninger)6 måneder (transparency + audit)Art 5.1.e
Bruger-audit-log (login, profil-edit, samtykke, sletning)36 månederArt 5.2 ansvarlighed
Webserverens adgangslog (IP-adresse, tidspunkt, side, browser) og vores trafik- og robotstatistikAdgangslog: 14 dage. Statistik: kun en saltet hash af IP-adressen, et afkortet netværk (de sidste tal skjules) og land — robotdetaljer slettes efter 30 dage, samlede tal efter 90 dageArt 6.1.f (sikkerhed og drift)
Kopi af udsendte e-mails (kvitteringer, bekræftelser m.m.)90 dage (slettes også med din konto)Art 5.1.e
Teknisk fejllog (kan indeholde bruger-id)90 dage (slettes også med din konto)Art 6.1.f sikkerhed
Verifikations-selfieSlettes, så snart sagen er afgjort — og senest 14 dage efter, hvis den ikke er gennemgået. Kan aldrig ses af andre brugereArt 5.1.c
Billeder fjernet af en moderator30 dage (så du kan anke afgørelsen), derefter slettet helt. Vises aldrig for andreArt 6.1.f / DSA art. 17
Data uden ejer (fx efter en fejlet sletning)Fanges og slettes af en automatisk natlig oprydning (billeder efter højst 24 timer)Art 5.1.e / 17
Ledige dage (valgfri kalender, grove blokke)Højst 21 dage frem; slettes automatisk, når dagen er gåetArt 5.1.c + 5.1.e
Date-forslag og venlige afslutningerSå længe kontoen findes (bruges til at vise mærket "Svarer altid pænt" og til at måle, om funktionen virker); slettes sammen med kontoenArt 6.1.b + 6.1.f
Notifikationer (læste)3 månederArt 5.1.e
Backup (krypteret)Databasedumps: de seneste 28 (3 om dagen, ca. 9 dage) og fulde sikkerhedskopier: de seneste 8 på serveren og de seneste 14 på en anden maskine hos os (1 om dagen). GPG-krypteretArt 32 sikkerhed

5. Deling med tredjeparter + Schrems II

Vi sælger ALDRIG dine data. Nedenstående tredjeparter er vores databehandlere, og der er indgået databehandleraftaler (DPA):

  • Stripe (Irland/USA): Betalingsbehandling, PCI DSS-certificeret. Overførsel til USA sker under EU-US Data Privacy Framework (adækvansbeslutning 2023). Kun e-mail + transaktion overføres.
  • One.com (Danmark): Email-hosting (SMTP + IMAP). Data forbliver i EU. One.com er underlagt dansk databeskyttelseslov.
  • Let's Encrypt (USA, non-profit): TLS-certifikater. Modtager kun domænenavn — ingen persondata.
  • GIPHY (USA): GIF-søgning i chatten. Søgningen går via vores server, så GIPHY ikke får dit navn eller id. Selve GIF-billederne hentes dog direkte fra GIPHY, så din IP-adresse er synlig for GIPHY, når du ser en GIF.
  • OpenFreeMap (kort): Når du åbner kortet, henter din browser kortfliser direkte fra OpenFreeMap. Din IP-adresse og det område, du kigger på, er derfor synlig for dem. Vi sender ikke din profil eller din position til dem.
  • Google, Facebook og Apple (kun ved login med dem): De modtager din login-anmodning, men ikke dine profildata.
  • Google (Android-appen): Køb i appen verificeres hos Google Play, og push-beskeder sendes via Firebase Cloud Messaging (enhedens push-nøgle og en kort titel, aldrig beskedens indhold).
  • Dataforsyningen (Danmark): Opslag af danske adresser/byer på kortet.
  • Hosting & AI: Egne servere i Danmark. AI-modeller (gemma2:27b) kører lokalt. Data forlader IKKE vores servere.
  • Myndigheder: Kun ved retskendelse eller konkret lovkrav.

Schrems II-vurdering: Al primær persondata-behandling sker i EU på vores egne servere. En mindre delmængde kan komme til USA via Stripe (betaling), Google/Facebook/Apple (kun ved login), Google (Android-push og -køb) og GIPHY (din IP-adresse, når du ser en GIF), typisk under EU-US DPF. Hvis DPF annulleres, evaluerer vi alternative mekanismer (SCC + TIA) eller erstatter leverandøren.

5b. Særlige kategorier (Artikel 9)

Visse frivillige profiloplysninger som religion, etnicitet, seksuel orientering og politisk overbevisning er særlige kategorier. Disse behandles kun med dit udtrykkelige samtykke (Art 9.2.a), vises kun til brugere du interagerer med, og kan slettes med ét klik i /profile/edit.

6. Dine rettigheder (Art 13-21)

Indsigt (Art 15)

Se alle data vi har om dig. Indstillinger → Download mine data (JSON-eksport).

Berigtigelse (Art 16)

Ret alle profil-felter direkte i /profile/edit. Navn/email/password i /settings.

Sletning (Art 17)

"Slet min konto" nederst i /settings → fuld sletning inden for 7 dage, backup-rotering inden for 30 dage. Visse bogføringsdata beholdes 5 år jf. lov.

Begrænsning af behandling (Art 18)

Hvis du vil stoppe al behandling uden at slette, aktivér "⏸️ Pause profil" i /settings. Pausen standser Opdag-visning, matching, notifikationer og AI-analyse. Dine data opbevares, men bruges ikke. Du kan til enhver tid ophæve pausen.

Dataportabilitet (Art 20)

JSON-eksport med alle 19+ datatyper i struktureret, maskinlæsbart format. Du henter den under Indstillinger → Download mine data, som kalder endepunktet /api/account/export på din konto.

Indsigt i privat-foto-adgang (Art 15 transparency)

Se hvem der har åbnet dine private fotos, når du er logget ind — via endepunktet /api/account/photo-access på din egen konto. Adgangen logges 6 måneder, derefter slettes den automatisk af retention-cron.

Indsigelse (Art 21)

Gør indsigelse mod direkte markedsføring ved at slå "📬 Marketing emails" fra i /settings. Alle marketing-emails indeholder også unsubscribe-link. For indsigelse mod anden behandling baseret på legitim interesse: kontakt support@dating365.dk.

Tilbagetrækning af samtykke (Art 7.3)

Samtykker kan trækkes tilbage enkeltvist i /settings. Tilbagetrækning berører ikke lovligheden af tidligere behandling.

Klage til tilsynsmyndighed

Du kan altid klage til Datatilsynet.

7. Cookies

Vi bruger cookies til funktionalitet (session, CSRF), præferencer og ingen tredjeparts-tracking. Se vores cookiepolitik for fuld liste.

8. Automatiseret beslutningstagning (Art 22)

Vi bruger automatiseret behandling i følgende tilfælde:

  • Matching-algoritme (Opdag, Blindspot): Vurderer kompatibilitet baseret på dine præferencer, lokation, aktivitet, Love Map og interesser. Forslag kan altid ignoreres.
  • Svindel-detektion (fraud-signals): Honeypot, IP-mønster, enheds-fingerprint, fake-profile-patterns. Alvorlige signaler (severity ≥7) kan udløse shadow-ban. Du har ret til manuel gennemgang — kontakt support@dating365.dk.
  • NSFW-billedfilter: ONNX-model afviser eksplicit indhold ved upload. Kører lokalt, ingen billeder sendes til tredjepart.
  • Crystal Ball / Lightning / Samtalestartere: Lokal AI (gemma2:27b via Ollama). Output er forslag, ingen juridisk bindende beslutning.

Ingen af disse processer træffer beslutninger med juridisk virkning eller tilsvarende væsentlig indvirkning. Du har ret til manuel revurdering ved shadow-ban.

9. Sikkerhed (Art 32)

  • HTTPS/TLS-kryptering (Let's Encrypt, auto-renewal)
  • Adgangskoder bcrypt-hashet. Sessioner udløber efter 30 dage; ved skift af adgangskode logges alle andre enheder ud
  • Database backup 3 gange dagligt og en daglig fuld sikkerhedskopi, GPG-krypteret (RSA-4096), gemt på en separat fysisk disk i serveren, plus en daglig kopi på en anden maskine hos os (14 dages historik). Der er endnu ingen kopi på en anden lokation (se DPIA)
  • Servere i Danmark med firewall + fail2ban
  • Rate limits på alle API-endpoints (120/min default, 20/min auth)
  • Billeder: EXIF-stripping, NSFW-filter, watermark på private fotos
  • Security headers: CSP, HSTS, X-Frame-Options, Permissions-Policy

10. Databrud (Art 33-34)

Ved databrud følger vi vores Breach Procedure: notifikation til Datatilsynet inden for 72 timer, og direkte notifikation til berørte brugere hvis risikoen er høj.

11. Kontakt

E-mail: support@dating365.dk

Virksomhed: Farres Apps, CVR 46133250

Datatilsynet: datatilsynet.dk

© 2026 Farres Apps (CVR: 46133250). Alle rettigheder forbeholdes.