Persondatapolitik — Fondsmatch

1. Dataansvarlig

Fondsmatch (CVR 39953730) er dataansvarlig for behandlingen af dine personoplysninger.

Kontakt os via kontaktformularen eller på email: frederikbjornbak@gmail.com.

2. Hvilke data indsamler vi?

Kontooplysninger: Email, navn og adgangskode (krypteret).
Profiloplysninger: Telefonnummer, stillingsbetegnelse, erfaring, organisationsnavn, organisationstype, organisationsbeskrivelse, CVR-nummer og adresse.
Ansøgningsdata: Ansøgningstekster, budgetter, projektbeskrivelser og feltværdier.
Uploadede dokumenter: CV'er (PDF), tidligere ansøgninger (til stillæring) og bilag (PDF).
Betalingsdata: Håndteres af Stripe — vi gemmer ikke kortnumre. Vi gemmer Stripe kunde-ID og abonnements-ID.
Brugsdata: Sidevisninger, klikdata, besøgs-ID (localStorage), session-ID, user agent og referrer URL.
AI-genereret data: Skrivestilsanalyse, kvalitetsscore, embedding-vektorer og AI-genererede ansøgningstekster.

3. Formål med behandling

Levere og forbedre tjenesten — kontraktopfyldelse.
AI-generering: Ansøgninger, forbedringer, evalueringer, følgebreve, budgetter, korrektur, tjeklister, nøgleord og titler — kontraktopfyldelse.
Stilanalyse: Analyse af dine tidligere ansøgninger for at tilpasse AI-output til din skrivestil — kontraktopfyldelse.
Fondsmatch: AI-baseret matching af dit projekt med relevante fonde — kontraktopfyldelse.
Betalingsadministration — kontraktopfyldelse.
Deadline-påmindelser via email — samtykke.
Analytics og forbedring af platformen — legitim interesse, kun med dit samtykke til tracking-cookies.
Kommunikation om din konto — kontraktopfyldelse.

4. Retsgrundlag

GDPR Art. 6(1)(b) — Kontraktopfyldelse: Levering af tjenesten, AI-generering, stilanalyse, fondsmatch, betalinger og kontokommunikation.
GDPR Art. 6(1)(a) — Samtykke: Analytics-tracking og deadline-påmindelser.
GDPR Art. 6(1)(f) — Legitim interesse: Platformforbedring og sikkerhed. Vi har vurderet, at denne behandling er nødvendig for at levere en stabil og sikker tjeneste, og at behandlingen ikke overstiger dine rettigheder og interesser, da der udelukkende anvendes anonymiserede eller aggregerede data til disse formål.

5. Databehandlere og tredjelandsoverførsler

Vi bruger følgende databehandlere:

Supabase (database og autentificering) — EU-hostet (EU-region). Data: kontooplysninger, profildata, ansøgninger, uploads. Alle data opbevares i EU.
Stripe (betalinger) — EU-hostet. Data: betalingsoplysninger, kunde-ID. Alle betalingsdata behandles i EU.
Google Gemini (AI-generering) — USA. Data sendt: ansøgningstekster, projektbeskrivelser, CV-tekst, organisationsoplysninger, budgetter og tidligere ansøgninger til stilanalyse. Overførsel dækket af EU-US Data Privacy Framework. Vi sender kun de data der er nødvendige for den konkrete AI-opgave (dataminimering). Data anvendt til AI-generering bruges ikke til træning af Googles modeller (jf. Google Cloud API Terms of Service). Vi opbevarer ikke dine data hos Google — de behandles i realtid og returneres til vores servere.
Railway (hosting af applikationen) — EU. Data: applikationen og databaseforbindelser hostes på Railways EU-servere.
Resend (email-levering) — EU-hostet. Data sendt: emailadresser og navne. Alle emaildata behandles i EU.
esm.sh (CDN til teksteditor-komponenter) — kun for indloggede brugere der redigerer ansøgninger. IP-adresse overføres ved indlæsning af editorkomponenter.

Supabase, Railway, Stripe og Resend er alle hostet i EU. Google Gemini (AI) og esm.sh (CDN) er de eneste databehandlere med servere uden for EU. For Google er overførsel dækket af EU-US Data Privacy Framework. Der er indgået databehandleraftaler (DPA) med alle hovedleverandører.

6. Opbevaring og sletning

Data opbevares så længe du har en aktiv konto.
Ved sletning af konto slettes alle dine data omgående fra vores databaser, inkl. profil, ansøgninger, uploads, kommentarer, gemte fonde og analysedata.
Analytics-data (anonymiserede sidevisninger) opbevares i op til 90 dage.
Betalingsdata hos Stripe følger Stripes opbevaringspolitik.
Lovpligtig opbevaring: Bogføringsdata opbevares i 5 år jf. bogføringsloven.

7. Dine rettigheder

Under GDPR har du følgende rettigheder:

Indsigt (Art. 15): Du har ret til at se, hvilke data vi har om dig.
Berigtigelse (Art. 16): Du har ret til at få rettet forkerte oplysninger.
Sletning (Art. 17): Du har ret til at få slettet dine data. Du kan slette din konto under Indstillinger.
Begrænsning (Art. 18): Du har ret til at begrænse behandlingen af dine data.
Dataportabilitet (Art. 20): Du har ret til at få udleveret dine data i et maskinlæsbart format. Du kan eksportere dine data under Indstillinger.
Indsigelse (Art. 21): Du har ret til at gøre indsigelse mod behandling baseret på legitim interesse.
Tilbagetrækning af samtykke: Du kan til enhver tid ændre dine cookie-præferencer.

Kontakt os via kontaktformularen eller på frederikbjornbak@gmail.com for at udøve dine rettigheder.

8. Automatiseret behandling

Vi bruger AI (Google Gemini) som assisterende værktøj til at generere udkast til ansøgninger og evaluere kvalitet. AI-output er altid forslag — du har fuld kontrol over indholdet og kan redigere, afvise eller slette al AI-genereret tekst. Ingen afgørelser med retlige eller tilsvarende virkninger træffes automatisk på baggrund af AI-behandling (GDPR art. 22). AI-modellen trænes ikke på dine data.

9. Sikkerhed

Vi beskytter dine data med følgende foranstaltninger: krypterede adgangskoder, HTTPS, CSRF-beskyttelse, rate limiting, Row Level Security i databasen og validering af uploadede filer.

10. Klage

Du kan klage til Datatilsynet hvis du mener, at vi behandler dine personoplysninger i strid med reglerne:

Datatilsynet
Carl Jacobsens Vej 35
2500 Valby
dt@datatilsynet.dk