mineudbud.dk

Sikkerhed

Sikkerhed: hvordan mineudbud.dk beskytter jeres data

Kort fortalt: jeres konto og jeres data ligger på servere i EU (Frankfurt). Alt, hvad der sendes mellem jer og os, er krypteret. Kun én person har adgang til databasen, og vi har en databehandleraftale med hver leverandør, der behandler data for os. Den eneste behandling af jeres kontodata uden for EU er AI-vurderingen af udbud, og den sker under EU's standardkontrakter — uden adgangskoder eller betalingsoplysninger.

Herunder står de tekniske detaljer for dem, der vil vide mere.

Hosting og data-placering

Jeres data ligger i EU (Frankfurt) på to platforme:

  • Vercel (Frankfurt) — kører hjemmesiden. ISO 27001- og SOC 2 Type II-certificeret.
  • Neon (Frankfurt) — databasen. SOC 2-certificeret, krypteret på disken (AES-256).

Jeres konto, søgninger, bogmærker og tilbud ligger i Frankfurt og bliver dér. AI-vurderingen af udbud sker derimod hos Anthropic uden for EU — det er den eneste behandling af jeres kontodata, der forlader EU, og den omfatter ikke adgangskoder eller betalingsoplysninger.

Kryptering

  • Når data sendes: HTTPS (TLS 1.3) overalt. Browseren tvinges til altid at bruge den krypterede forbindelse.
  • Når data er gemt: AES-256 på hele databasen og sikkerhedskopierne.
  • Adgangskoder: gemmes kun som en krypteret udgave (envejs-hash), aldrig som klartekst.
  • Login-sessioner: tilfældige nøgler med kort levetid, gemt i sikre cookies, som hjemmesidens scripts ikke kan læse.

Login og adgang

Vi bruger BetterAuth, en anerkendt løsning til login. I kan logge ind på to måder:

  • Adgangskode — gemmes kun krypteret, aldrig som klartekst
  • Engangslink — et link sendt til jeres mail, ingen adgangskode nødvendig

Hvert login tjekkes på vores server ved hver forespørgsel. Vores interne administration kræver et ekstra login-trin. Kun stifteren har adgang til databasen, og kun til fejlsøgning når det er strengt nødvendigt — al adgang logges.

Leverandører, der behandler data for os

Vi bruger få leverandører, og vi har en databehandleraftale med hver af dem. Flere har hovedsæde i USA; overførsler dertil er dækket af EU's standardkontrakter og/eller EU-US Data Privacy Framework:

  • Vercel (data i Frankfurt) — hjemmesiden
  • Neon (Frankfurt) — databasen
  • Resend — udsendelse af mails (mailservere i Irland)
  • Anthropic — AI-vurdering via Claude, behandles uden for EU
  • Google Workspace — vores support-indbakke
  • Stripe — betalinger (europæisk selskab i Irland)

Vi bruger ikke Google Analytics eller andre annonce-sporinger på de sider, I ser, når I er logget ind. På de offentlige sider (fx forsiden og priser) måler vi kun effekten af vores annoncer på Google og Facebook, hvis I selv har sagt ja i cookie-banneret. Meta Pixel indlæses kun efter jeres ja, kun på de offentlige sider og aldrig, når I er logget ind — se privatlivspolitikken.

Jeres rettigheder efter GDPR

  • Indsigt — I kan se jeres data på jeres konto-side
  • Udlevering — I kan hente jeres lister ud som fil, eller skrive til os og få alle jeres data udleveret
  • Sletning — selvbetjent på konto-siden. Sletter I kontoen, slettes jeres oplysninger med det samme.
  • Rettelse — I kan rette jeres virksomhedsprofil og søgninger når som helst
  • Indsigelse — skriv til hej@mineudbud.dk, hvis I vil have os til at stoppe en bestemt behandling af data

Hvis der sker et sikkerhedsbrud

Vi har en fast fremgangsmåde for sikkerhedshændelser:

  1. Vi opdager det via overvågning og alarmer
  2. Vi lukker hullet inden for 24 timer og skifter nøgler og adgangskoder
  3. Vi vurderer, hvilke data der er ramt, og hvor mange brugere
  4. Vi giver besked til de berørte og til Datatilsynet inden for 72 timer

Vi har ikke haft sikkerhedshændelser. Hvis det sker, opdaterer vi denne side med detaljer.

Ofte stillede spørgsmål

Hvor hostes mineudbud.dk?
Jeres konto, jeres søgninger og hele databasen ligger i Frankfurt: Vercel kører hjemmesiden, og Neon er databasen — begge med data i EU og krypteret. Selve AI-vurderingen af udbud sker hos Anthropic, som behandler data uden for EU under EU's standardkontrakter — se listen over databehandlere nedenfor og i vores privatlivspolitik.
Hvordan beskyttes data, når de sendes?
Alle forbindelser mellem jeres browser og vores servere er krypterede (HTTPS/TLS 1.3). Browseren bliver tvunget til altid at bruge den krypterede forbindelse, så den aldrig falder tilbage til en ukrypteret. Certifikaterne fornyes automatisk.
Hvordan beskyttes data, når de er gemt?
Databasen krypteres på disken (AES-256), og det samme gælder sikkerhedskopierne. Udbud, vi henter fra offentlige kilder (TED, udbud.dk), er offentlige oplysninger og krypteres ikke ekstra. Jeres personlige data (profil, gemte udbud, fulgte kunder) er krypteret.
Hvordan logger man sikkert ind?
Vi bruger BetterAuth, en anerkendt løsning til login. I kan logge ind på to måder: med adgangskode (vi gemmer kun en krypteret udgave, aldrig selve koden) eller med et engangslink sendt på mail. Hvert login bliver tjekket på vores server ved hver forespørgsel.
Hvor mange har adgang til min data?
Kun stifteren (én person) har adgang til databasen, og kun til fejlsøgning når det er strengt nødvendigt. Adgang logges. Vi har ikke supportmedarbejdere, der kigger i jeres data — det er én person, og kun når I selv har bedt om hjælp og sagt ja.
Er der backups?
Ja. Neon tager automatisk sikkerhedskopier, og vi kan rulle tilbage til ethvert tidspunkt inden for de seneste 7 dage, hvis noget går galt. Sikkerhedskopierne er krypteret og ligger i samme EU-region som resten af databasen.
Hvilke leverandører behandler data for jer?
Vi bruger få leverandører, og vi har en databehandleraftale med hver af dem: 1) Vercel (hjemmesiden, data i Frankfurt). 2) Neon (databasen, Frankfurt). 3) Resend (udsendelse af mails, EU). 4) Anthropic (AI-vurdering via Claude, behandles uden for EU). 5) Stripe (betaling, europæisk selskab i Irland). 6) Google Workspace (vores support-indbakke). Flere af selskaberne har hovedsæde i USA; overførsler dertil er dækket af EU's standardkontrakter og/eller EU-US Data Privacy Framework. Den fulde liste står i vores privatlivspolitik og databehandleraftale.
Hvad sker der ved et databrud?
Vi har en fast fremgangsmåde: 1) Vi opdager det via vores overvågning og alarmer. 2) Vi lukker hullet inden for 24 timer. 3) Vi vurderer, hvilke data og hvor mange der er ramt. 4) Vi giver besked til de berørte og til Datatilsynet inden for 72 timer (krav i GDPR). Vi har ikke haft databrud.
Sender I min data til USA?
Ja, til AI-vurderingen. Når AI'en vurderer et udbud ud fra jeres profil, foreslår søgninger ved opsætningen eller skriver et udkast til et supportsvar, sendes den relevante tekst til Anthropic, som behandler den uden for EU under EU's standardkontrakter. Jeres adgangskode, jeres betalingsoplysninger og hele databasen bliver i EU. Stripe håndterer betalinger via sit europæiske selskab for danske kunder. Har I sagt ja til cookies på vores offentlige sider, får Google og Meta desuden besked om besøget og om, at en profil er oprettet, så vi kan måle vores annoncer — uden navn, mail eller CVR-nummer.
Kan jeg eksportere min data?
Ja. I kan hente jeres lister (fx gemte udbud og fulgte kunder og leverandører) ud som fil. Vil I have alle jeres data udleveret, så skriv til os — det er jeres ret efter GDPR, og vi gør det nemt.
Kan jeg slette min data?
Ja. På jeres konto-side er der en 'slet konto'-knap. Når I sletter: 1) Kontoen lukkes med det samme. 2) Sletter I kontoen, slettes jeres oplysninger med det samme; fakturaer gemmes i 5 år efter bogføringsloven. 3) Logdata uden personoplysninger kan gemmes længere til drift. Det følger GDPR.

Læs også