Privatlivspolitik — weakestlink
Senest opdateret: 29. september 2026
Denne politik beskriver, hvordan weakestlink behandler personoplysninger om de oplysninger, vi selv er dataansvarlige for. Bruger din arbejdsgiver weakestlink til sikkerhedstræning, er arbejdsgiveren dataansvarlig for medarbejderoplysningerne, og weakestlink er databehandler — se Bilag A.
1. Dataansvarlig
WEAKESTLINK ApS (CVR 46614011) er dataansvarlig for behandlingen af personoplysninger på weakestlink.io. Kontakt: info@weakestlink.io.
2. Hvilke oplysninger vi behandler, hvorfor og med hvilken hjemmel
| Oplysninger | Formål | Hjemmel (GDPR art. 6) | Slettes |
|---|---|---|---|
| Kontaktperson hos kunden (navn, e-mail, stilling) | Oprette og administrere organisationens konto | Kontrakt (art. 6(1)(b)) | Ved kundeforholdets ophør |
| Faktureringsoplysninger | Opkrævning og regnskab | Retlig forpligtelse (art. 6(1)(c)) | 5 år, jf. bogføringsloven |
| Server-logs (IP, tidspunkt) | Drift og sikkerhed | Legitim interesse (art. 6(1)(f)) | 90 dage |
| E-mailadresse, når du selv skriver dig op til at høre om et kommende modul (AI-Klar, deepfake) | Give dig besked, når modulet er klar | Samtykke (art. 6(1)(a)) — du kan trække det tilbage ved at skrive til os | Senest 12 måneder efter tilmeldingen |
| Googles klik-id, når du kommer fra en Google-annonce, tidspunktet for klikket, og om kontoen blev oprettet eller begyndte at betale | Måling af annoncer: at se, om en annonce hos Google førte til en oprettet konto | Legitim interesse (art. 6(1)(f)) — du kan gøre indsigelse, se afsnit 7 | 90 dage efter klikket. Er en konvertering indberettet til Google, slettes den 90 dage efter indberetningen |
| Besøgsstatistik: sidevisninger og klik på knapper, med browsertype, enhed og land. Uden cookies, og IP-adressen gemmes ikke | Se, hvilke sider der bliver brugt, så vi kan forbedre dem. Statistikken kører på vores egen server (Umami) og deles ikke med nogen tredjepart | Legitim interesse (art. 6(1)(f)) | Gemmes som samlet statistik uden navn, e-mail eller IP-adresse |
Vi behandler ikke CPR-numre og ingen følsomme oplysninger (GDPR art. 9).
3. AI-behandling
Vi bruger AI (Claude fra Anthropic) til at forfatte træningsindhold og simuleringsskabeloner — lektioner, quizzer og lokkemails — internt, før det udgives. Der sendes ingen kundedata og ingen personoplysninger om jeres medarbejdere til AI-tjenester, og der køres ingen AI på jeres data i drift.
4. Databehandlere og underdatabehandlere
Vi bruger følgende databehandlere. For leverandører uden for EU/EØS sker overførslen på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse (EU-U.S. Data Privacy Framework) og/eller standardkontraktbestemmelser (SCC):
| Leverandør | Ydelse | Land | Overførselsgrundlag |
|---|---|---|---|
| Anthropic PBC | AI-forfatning af træningsindhold (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Udgående transaktions- og notifikations-e-mail (fx e-mailbekræftelse) | Frankrig | — |
| Cloudflare, Inc. | Netværk, TLS og DDoS-beskyttelse | USA | DPF/SCC |
Hosting sker på egen infrastruktur i Danmark.
Betaler I med kort, behandles kortoplysninger og betalingsdata af vores betalingsgateway QuickPay (QuickPay ApS, Danmark) og kortindløseren Clearhaus (Clearhaus A/S, Danmark) som selvstændige dataansvarlige efter betalingslovgivningen — ikke som vores databehandlere. Vi modtager aldrig jeres fulde kortnummer. QuickPays og Clearhaus' egne privatlivspolitikker gælder for den behandling.
5. Videregivelse
Vi videregiver kun oplysninger, når det er nødvendigt for at levere tjenesten, når loven kræver det, eller med samtykke. Én undtagelse: kom du til os fra en Google-annonce, sender vi annoncens klik-id, tidspunktet og om kontoen blev oprettet eller betalt til Google Ireland Ltd. (Google Ads), så vi kan se, hvilke annoncer der virker. Vi sender hverken navn, e-mail eller IP-adresse med. Google kan overføre oplysningerne til Google LLC i USA. Ifølge Google sker det på grundlag af EU-U.S. Data Privacy Framework, som Google LLC er certificeret under, og ellers på standardkontraktbestemmelser (SCC). Vi sælger aldrig oplysninger.
6. Opbevaring og sletning
Konkrete frister fremgår af tabellen i afsnit 2. Regnskabsmateriale opbevares 5 år fra udgangen af regnskabsåret, jf. bogføringsloven. Herefter slettes eller anonymiseres oplysningerne.
7. Dine rettigheder
Du har ret til indsigt, berigtigelse, sletning, begrænsning af behandling, dataportabilitet og indsigelse (GDPR art. 15–21). Har du givet samtykke, kan det altid trækkes tilbage med virkning for fremtiden. Skriv til info@weakestlink.io — vi svarer senest en måned efter henvendelsen. Vil du ikke have, at vi bruger annoncens klik-id (afsnit 2 og 5), kan du gøre indsigelse (art. 21) ved at skrive til samme adresse — så sletter vi klik-id'et og indberetter ikke noget om din konto til Google. Er du medarbejder hos en kunde, kan du også rette henvendelse til din arbejdsgiver, som er dataansvarlig (se Bilag A).
8. Klage
Du kan klage over vores behandling til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk.
9. Cookies
Vi sætter to cookies: en session-cookie, der bruges til login og sikkerhed, og — hvis du selv vælger sprog i sprogvælgeren — en cookie der husker dit valg. Kommer du fra en Google-annonce, gemmer vi annoncens klik-id i sessionen på vores server, så vi kan fortælle Google, om klikket førte til en konto (se afsnit 5). Cookien selv indeholder kun et tilfældigt session-id. Vi bruger ingen andre tracking-cookies og ingen tredjeparts-cookies, og besøgsstatistikken (Umami) bruger ingen cookies.
10. Ændringer
Væsentlige ændringer af denne politik varsles på weakestlink.io og/eller pr. e-mail.
Bilag A — rollefordeling ved medarbejdertræning
Når en virksomhed (din arbejdsgiver) bruger weakestlink til sikkerhedstræning og phishing-simulering, er virksomheden dataansvarlig for medarbejderoplysningerne, og weakestlink er databehandler. Behandlingen sker efter instruks i en databehandleraftale, der indgås ved oprettelse. Denne politik gælder da kun for de oplysninger, vi selv er dataansvarlige for (kundens kontakt- og faktureringsdata samt drift).
Phishing-simuleringer køres kun på et dokumenteret juridisk grundlag (samtykke fra organisationen og en godkendt legitim-interesse-vurdering). Rapporterne er samlede og viser kun tal for grupper på mindst fem personer. Den enkelte medarbejders resultater (risikoscore, kursusforløb og simuleringshændelser) kan kun ses af organisationens administrator — og af ledere, hvis organisationen selv slår det til. Formålet er målrettet ekstra træning, aldrig udstilling eller sanktioner. Resultaterne opbevares under kundeforholdet og slettes ved dets ophør efter databehandleraftalen. Vi gemmer aldrig, hvad en medarbejder taster i en simulering, kun at en hændelse skete.