Privatlivspolitik

1. Dataansvarlig og databehandler

Klaro har to roller på samme tid, og det er værd at holde adskilt:

• Vi er dataansvarlige for oplysningerne om dig som kunde — dit navn, din konto, din virksomhed, din betaling. Dem bestemmer vi selv formålet med, og denne politik handler om dem.
• Vi er databehandlere for de oplysninger om dine kunder og samarbejdspartnere, der findes i de mails Klaro behandler. Dér er du dataansvarlig, og vi behandler kun efter din instruks. Det er beskrevet i betingelsernes afsnit 9, og vi tilbyder en databehandleraftale.

Den dataansvarlige — og databehandleren — er i begge tilfælde:

2. Hvilke oplysninger indsamler vi?

Når du opretter dig som bruger og forbinder din postkasse — Gmail eller Outlook — behandler vi følgende oplysninger:

• Navn og e-mailadresse (fra din Google- eller Microsoft-konto)
• Virksomhedsoplysninger: CVR-nummer, virksomhedsnavn, adresse, postnummer og by (CVR-nummeret slås op hos cvrapi.dk, som returnerer navn og adresse)
• Telefonnummer, hvis du opgiver det. Bruges kun til SMS-besked, og kun hvis du selv slår det til
• Din bogholders e-mailadresse, hvis du indtaster den under Indstillinger
• OAuth-tokens til din postkasse (krypteret med AES-256-GCM)
• Dine indstillinger: auto-svar-tekster, svarfrist, weekend-filter, betroede afsendere og egne kategori-rettelser
• Betalingsoplysninger hos Stripe: virksomhedsnavn, CVR, faktureringsadresse og betalingsmetadata. Vi ser aldrig dit kortnummer
• Ved brug af henvisningsprogrammet: et betalings-fingeraftryk og IP-adressen fra tilmeldingen, som beskytter mod misbrug
• Ved opsigelse: den årsag du vælger og den feedback du selv skriver

Om dine mails. Vi læser indholdet af dine indgående mails for at kategorisere dem og skrive svarudkast. Selve brødteksten gemmes aldrig i vores database. Det er ikke en hensigtserklæring — der findes ingen kolonne at gemme den i.

Den første gennemgang er den største. Når du forbinder din postkasse, læser Klaro 90 dage tilbage for at kunne vise dig noget fra dag ét. Den gennemgang skelner ikke mellem indbakke og resten af postkassen: den omfatter også arkiverede mails, spam og papirkurven, og den stopper ved 1.500 mails. Hver af dem sendes til Anthropic for at blive kategoriseret, på samme vilkår som beskrevet i afsnit 4. Bagefter behandles kun nye mails, hvert kvarter.

Klaro flytter mails ud af indbakken. Ved den første forbindelse oprettes syv mapper i din postkasse, og hver mail Klaro kategoriserer får sin mappe og fjernes fra indbakken. Det er sådan indbakken bliver ren. Mailen findes stadig i din postkasse — Klaro sletter aldrig en mail, og der findes ingen kodesti der kan.

Men vi vil hellere være præcise end pæne, så her står nøjagtigt hvad der bliver liggende, og som kan indeholde brudstykker af en mail:

• Afsender, emne og tidspunkt — de gemmes som de er, og et emne kan i sagens natur sige noget om indholdet
• Kategorien og en kort begrundelse for hvorfor Klaro valgte den. Begrundelsen kan citere formuleringer fra mailen. Den slettes automatisk efter 12 måneder
• En frist, hvis mailen indeholder en. Den gemmes som et ordret citat — fx »inden fredag« — så du kan se hvor den kommer fra. Slettes efter 12 måneder
• Det svar Klaro har sendt på dine vegne, så du kan se hvad der gik ud. Slettes efter 12 måneder
• Dine egne noter på en samtale. Dem skriver du selv, og de slettes ikke automatisk — det ville være at slette dit arbejde

Vedhæftede filer gemmes aldrig. De læses kun, hvis du selv klikker »Send bilaget videre« (se afsnit 13).

3. Formål og retsgrundlag

Vi behandler dine oplysninger til følgende formål:

• Levering af Klaro: automatisk sortering og besvarelse af mails (opfyldelse af aftale, GDPR art. 6(1)(b))
• Kontohåndtering: oprettelse, login, indstillinger og CVR-opslag (opfyldelse af aftale, GDPR art. 6(1)(b))
• Betaling og bogføring: abonnement, fakturering og regnskab (aftale, art. 6(1)(b), og retlig forpligtelse efter bogføringsloven, art. 6(1)(c))
• Kommunikation: bekræftelsesmails og servicemeddelelser (legitim interesse, art. 6(1)(f))
• SMS-besked når en mail skal tjekkes manuelt (samtykke, art. 6(1)(a) — du slår det selv til, og fra igen)
• Læring af din skrivestil ud fra dine egne sendte mails (samtykke, art. 6(1)(a) — se afsnit 14)
• Beskyttelse mod phishing på tværs af kunder (legitim interesse, art. 6(1)(f) — se afsnit 15)
• Videresendelse af bilag til din bogholder, når du selv beder om det (aftale, art. 6(1)(b) — se afsnit 13)
• Sikkerhed og misbrugsbeskyttelse: revisionsspor på privilegerede handlinger, rate limiting og beskyttelse af henvisningsprogrammet (legitim interesse, art. 6(1)(f))

Trækker du et samtykke tilbage, stopper den behandling det dækkede. Det påvirker ikke lovligheden af det der skete inden.

4. Automatiseret behandling

Klaro anvender kunstig intelligens (Anthropic Claude) til automatisk at kategorisere dine indgående emails og generere udkast til auto-svar. Denne behandling sker automatisk uden manuel gennemgang fra vores side.

Kategoriseringen har ingen retsvirkning eller tilsvarende væsentlig indvirkning på dig — den bruges udelukkende til at sortere og organisere dine egne emails. Du kan til enhver tid se og ændre resultatet via dit dashboard.

Klaro sender også svar på dine vegne. Har du slået auto-svar til, sendes svaret fra din egen postkasse, i dit navn, uden at du ser det først. Det har virkning over for den der modtager det, og du er ansvarlig for indholdet. Du kan slå auto-svar fra under Indstillinger, og du kan altid se i dit dashboard hvad der er sendt.

Hvad der konkret sendes til Anthropic: mailens afsender, emne, dato og brødtekst afkortet til de første 2.000 tegn, plus dit navn, dit virksomhedsnavn og din e-mailadresse, så svaret kan skrives i den rigtige sammenhæng. Har du markeret en leverandør som betroet, og ligner en mail den uden at komme fra den rigtige adresse, sendes den betroede adresse med, så modellen kan se forskellen. Der sendes aldrig vedhæftninger, telefonnummer, CVR-nummer eller firmaadresse.

Svarer AI-routeren ikke, sendes den samme mail én gang til, direkte til Anthropic. Der er altså to mulige veje ud, men kun én modtager af selve indholdet.

Emailindhold sendes til Anthropic til behandling og returneres straks — Anthropic gemmer ikke indholdet til egne formål. Routingen kan teknisk ske via Vercel AI Gateway (samme leverandør som hosting), der videresender request-pakken til Anthropic uden at gemme indhold (zero data retention). Vores Anthropic API-nøgle er konfigureret direkte på gateway-niveau (Bring Your Own Key), så Anthropic forbliver direkte subprocessor for selve AI-behandlingen — Vercel fungerer udelukkende som teknisk router. Se Anthropics privatlivspolitik på anthropic.com/privacy.

5. Tredjeparter og underdatabehandlere

For at levere tjenesten anvender vi følgende underdatabehandlere:

• Google Ireland Limited — Gmail API til læsning, mærkning og besvarelse af dine mails
• Microsoft Ireland Operations Limited — Microsoft Graph API til dine Outlook-mails
• Anthropic PBC — AI-kategorisering og svarudkast. Gemmer ikke indholdet til egne formål
• Vercel AI Gateway (Vercel Inc.) — Teknisk router til Anthropic. Videresender uden at gemme (zero data retention)
• Supabase Inc. — Database på EU-servere (Stockholm)
• Vercel Inc. — Hosting af applikationen
• Stripe Payments Europe Ltd. — Betaling og fakturering
• Resend Inc. — Transaktionelle mails fra Klaro selv: velkomst, kvitteringer, kontaktformular
• Sentry (Functional Software, Inc.) — Fejlovervågning. Mailadresser og lange tokens fjernes før afsendelse
• Upstash, Inc. — Rate limiting på EU-servere (Irland)
• CVR-API (cvrapi.dk) — Slår dit firmanavn og adresse op ud fra CVR-nummeret
• GatewayAPI ApS — SMS-besked når noget skal tjekkes. Kun hvis du selv slår det til

En komplet, opdateret oversigt med juridiske enheder, lokationer og overførselsgrundlag findes på klarohq.dk/subprocessors.

Vi videresælger aldrig dine data til tredjeparter og anvender dem ikke til markedsføring.

6. Overførsel til tredjelande

Nogle af vores underdatabehandlere behandler data i USA. Overførslen sker på følgende grundlag:

• EU-US Data Privacy Framework — Google Ireland Limited, Microsoft Ireland Operations Limited
• Standard Contractual Clauses (SCCs) — Anthropic PBC, Vercel Inc., Resend Inc., Functional Software, Inc.

EU-US Data Privacy Framework er godkendt af Europa-Kommissionen som et tilstrækkeligt beskyttelsesniveau (afgørelse af 10. juli 2023). Standard Contractual Clauses er Kommissionens standardbestemmelser efter art. 46, stk. 2, litra c.

Vores database ligger hos Supabase på EU-servere (Stockholm). Der sker ingen overførsel af databaseindhold uden for EU/EØS. Det samme gælder Stripe (Irland), Upstash (Irland), CVR-API og GatewayAPI (begge Danmark).

7. Cookies

Klaro anvender ingen tracking-, analyse- eller markedsføringscookies. Der er ingen Google Analytics, ingen pixels og intet annoncenetværk — hverken i appen eller på hjemmesiden. Vi bruger tre cookies, og her er de alle tre:

• Login-cookie (__Host-klaro-session) — holder dig logget ind. Sættes ved login og slettes ved logout eller når sessionen udløber. Indeholder ingen personoplysninger i sig selv, men en krypteret reference til din session. Teknisk nødvendig.
• Login-sikkerhed (gmail_oauth_state, outlook_oauth_state) — sættes kun i de sekunder hvor du forbinder din postkasse, og sikrer at svaret fra Google eller Microsoft hører til netop din forespørgsel. Slettes straks efter. Teknisk nødvendig.
• Henvisnings-cookie (klaro_ref) — sættes kun hvis du kommer ind via et henvisningslink fra en eksisterende kunde, og husker i 30 dage hvem der henviste dig, så belønningen kan gives. Den indeholder en henvisningskode, ikke oplysninger om dig, og den følger dig ikke rundt på andre hjemmesider. Den er ikke teknisk nødvendig — se nedenfor.

Beskyttelse mod cross-site request forgery (CSRF) håndteres via cookiernes SameSite-attribut samt validering af afsender-origin på serveren — ikke via en separat cookie.

De to første er nødvendige for at tjenesten overhovedet virker, og de kræver derfor ikke samtykke, jf. cookiebekendtgørelsens §3, stk. 1. Henvisnings-cookien er en undtagelse vi hellere vil skrive frem end pakke ind: den er ikke nødvendig for at bruge Klaro. Vi sætter den kun når du selv klikker et henvisningslink — altså en handling du foretager, hvis eneste formål er at udløse den belønning linket lover — og vi bruger den ikke til andet. Vil du undgå den, kan du gå til klarohq.dk direkte i stedet for via linket, eller slette den i din browser; henvisningen bortfalder så, og alt andet virker uændret.

8. Opbevaring og sletning

Dine data opbevares så længe du er aktiv bruger af Klaro. Opsiger du din konto, slettes din bruger og alt der hænger på den — behandlede mails, kendte afsendere, betroede afsendere, noter og indstillinger — med det samme. Klaros adgang til din postkasse ophører samtidig: bruger du Gmail, tilbagekalder vi adgangen aktivt hos Google. Bruger du Outlook, sletter vi vores egen nøgle, men Microsoft tilbyder ingen måde at tilbagekalde tilladelsen udefra — den udløber hos Microsoft efter 90 dages inaktivitet. Vil du fjerne den med det samme, kan du gøre det under din Microsoft-kontos app-tilladelser.

Tre ting overlever din opsigelse. Vi skriver det her frem for at love noget vi ikke holder:

• Revisionssporet. Bruger vi vores administratoradgang til at røre din konto — fx tilbagekalde adgang eller give en gratis periode — skrives handlingen i en log der ikke kan slettes, heller ikke af os. Det er et krav i Googles sikkerhedsvurdering. Din e-mailadresse står der som en envejs-hashværdi, ikke i klartekst; det der ligger i klartekst er tidspunktet, handlingen samt IP-adresse og browser for vores administrator, ikke for dig.
• Henvisninger. Har du brugt henvisningsprogrammet, bliver selve rækken stående, men dit bruger-id fjernes fra den. Det er nødvendigt for at programmet ikke kan misbruges — uden den historik kan den samme henvisning gentages i det uendelige. Dine phishing-anmeldelser slettes derimod sammen med kontoen: de hænger på den mail de blev meldt fra, og den mail slettes.
• Bogførings- og betalingsdata. Fakturaer og regnskabsmateriale skal efter bogføringsloven §12 opbevares i 5 år efter regnskabsårets udløb. Stripe opbevarer betalingsdata efter deres egen politik, typisk 7 år. Det gælder uanset om du er kunde eller ej.

Bliver du ved med at være kunde, sletter vi alligevel løbende:

• AI-begrundelser, gemte svar og frister: nulstilles automatisk efter 12 måneder. Kategorien og statistikken bliver stående — de er ren metadata
• Tilmeldinger til ventelisten: anonymiseres efter 12 måneder. E-mail, navn og firma fjernes; rækken beholdes til statistik
• Pausede konti uden abonnement: slettes helt efter 90 dage

Fristerne kan justeres af driftsmæssige årsager, men aldrig forlænges uden at det står her.

9. Sikkerhed

Vi beskytter dine data med følgende foranstaltninger:

• Adgangstokens til din postkasse krypteres med AES-256-GCM inden lagring
• Al kommunikation sker over HTTPS (TLS)
• Databaseadgang er begrænset til server-side service-nøgle — ingen offentlig adgang
• Row-Level Security er slået til på alle tabeller og afviser som udgangspunkt alt. Kun serveren kan læse og skrive, og kun gennem de kald der er nødvendige — der findes ingen vej fra en browser direkte til databasen
• Adgang til din e-mailadresse skjules i vores driftslogfiler: der står en hashværdi, ikke adressen
• To-faktor på de konti hvor vi administrerer tjenesten

10. Dine rettigheder

Under GDPR har du følgende rettigheder:

• Indsigt (art. 15) — du kan anmode om en kopi af de oplysninger vi har om dig
• Berigtigelse (art. 16) — du kan bede os rette ukorrekte oplysninger
• Sletning (art. 17) — du kan til enhver tid slette din konto og alle tilknyttede data
• Begrænsning (art. 18) — du kan anmode om at vi begrænser behandlingen af dine oplysninger i visse tilfælde
• Dataportabilitet (art. 20) — du kan anmode om dine data i et maskinlæsbart format
• Indsigelse (art. 21) — du kan gøre indsigelse mod behandling baseret på legitim interesse

For at udøve dine rettigheder, kontakt os på post@klarohq.dk. Vi svarer inden for 30 dage.

11. Klage til Datatilsynet

Hvis du mener, at vi behandler dine personoplysninger i strid med GDPR, har du ret til at indgive en klage til Datatilsynet:

12. Ændringer til denne politik

Ændrer vores behandling sig væsentligt, opdaterer vi denne politik og varsler dig mindst 30 dage før ændringen træder i kraft, på den e-mailadresse din konto er registreret med. Det er samme varsel som betingelsernes afsnit 13, og de to tekster varsles altid sammen.

Fortsat brug efter ikrafttrædelsen er accept af den nye version. Vil du ikke acceptere den, kan du opsige inden da.

Datoen nederst på siden er den gældende version. Da du oprettede dig, registrerede vi hvilken version af betingelserne og privatlivspolitikken du accepterede, og hvornår — så både du og vi kan se hvad aftalen var.

Rettelser der ikke ændrer betydningen — stavefejl, en tydeligere formulering — udløser hverken varsel eller ny dato.

13. Send bilaget videre til din bogholder

Lander en faktura i kategorien Bogholder, kan du klikke »Send bilaget videre«. Så videresender Klaro hele mailen inklusive vedhæftninger til den adresse du har angivet under Indstillinger.

Det er værd at være præcis om, fordi det er den ene funktion hvor et bilag forlader din postkasse:

• Det sker kun når du klikker. Klaro videresender aldrig af sig selv, uanset kategori.
• Modtageren bestemmer du. Vi kontrollerer ikke hvem adressen tilhører, og vi kan ikke trække en sendt mail tilbage.
• Vi gemmer ikke bilaget. Det hentes fra din postkasse, sendes videre og forsvinder fra vores servere. Vi noterer kun at du videresendte, og hvornår.
• Din bogholder har ikke sagt ja til noget. Adressen er en personoplysning om en anden end dig, og du er ansvarlig for at have grundlag for at bruge den.

Fjerner du adressen under Indstillinger, forsvinder knappen.

14. Læring af din skrivestil

Klaro kan lære at skrive svarudkast der lyder mere som dig. Det kræver at Klaro læser dine egne sendte mails — en anden slags data end de indgående, og derfor beder vi separat om lov.

• Det sker kun efter et udtrykkeligt ja. Vi gemmer tidspunktet for dit samtykke, ikke bare et flueben, så det kan efterprøves.
• Der læses op til 30 af dine seneste sendte mails, én gang. Ikke løbende.
• Mailene gemmes ikke. Det eneste der bliver liggende er en profil på otte faste træk — fx om du plejer at være kort eller udførlig, formel eller uformel. Der gemmes ingen sætninger, ingen navne og ingen modtagere.
• Du kan trække samtykket tilbage under Indstillinger. Så slettes profilen, og Klaro skriver som før. Det virker også hvis funktionen i øvrigt er slået fra.

Siger du nej, sker der ingenting. Alt andet i Klaro fungerer uændret.

15. Fælles beskyttelse mod phishing

Dette er den eneste funktion i Klaro hvor noget bevæger sig mellem kunder. Alt andet er lukket inde om din egen konto. Derfor står den i sit eget afsnit frem for i en bisætning.

Melder du en mail som phishing, gemmer vi afsenderens domæne — altså delen efter @, fx falsk-faktura.example. Har tre indbyrdes uafhængige kunder meldt det samme domæne, spærres domænet for alle Klaro-brugere.

Hvad der krydser grænsen: udelukkende domænet. Aldrig mailens tekst, aldrig et beløb, aldrig den fulde afsenderadresse og aldrig noget om hvem der meldte den. En anden kunde kan ikke se at det var dig — eller at det var en kunde overhovedet.

Hvad der bliver liggende hos os: selve anmeldelsen gemmer afsenderens fulde adresse sammen med domænet, så vi kan se efter i hånden hvis et domæne bliver meldt mange gange. Den adresse forlader aldrig din konto — den indgår ikke i spærrelisten og ses ikke af andre kunder. Opsiger du din konto, slettes anmeldelsen sammen med den mail den blev meldt fra.

Hvad der sker hos den anden kunde: mails fra domænet lander i »Tjek manuelt«. Der sendes ikke automatisk svar, og der slettes ikke noget. Udfaldet er altså at et menneske kigger på mailen — ikke at den forsvinder.

Nogle domæner kan aldrig spærres, uanset hvor mange der melder dem: offentlige mailudbydere som gmail.com, dit eget domæne, og vores eget. Domænet regnes ud på serveren ud fra mailens faktiske afsender — du sender et mail-id, ikke et domæne, så du kan ikke melde en tilfældig virksomhed.

Retsgrundlaget er legitim interesse (art. 6(1)(f)): at beskytte håndværksvirksomheder mod fakturasvindel. Vi har vurderet, at den meget begrænsede oplysning — et domæne, uden afsender — og det afgrænsede udfald står i rimeligt forhold til formålet.