Privatlivspolitik for Caterflow

Caterflow ApS er dataansvarlig for de oplysninger, vi selv indsamler, fx når du besøger caterflow.dk, kontakter os, booker en demo eller er kontaktperson hos en kunde eller samarbejdspartner.

Caterflow er en platform, som cateringvirksomheder, frokostordninger, kantiner og storkøkkener bruger til bestilling, produktion, levering og fakturering. Det giver os to forskellige roller:

• Dataansvarlig: For hjemmesiden, henvendelser, demo-bookinger og vores egne kunde- og samarbejdsrelationer bestemmer vi selv, hvorfor og hvordan oplysningerne behandles.
• Databehandler: For de oplysninger, vores kunder lægger i Caterflow, fx om deres medarbejdere, kunder, bestillinger og leveringer, er kunden dataansvarlig. Vi behandler kun oplysningerne efter kundens dokumenterede instruks i den databehandleraftale, vi har indgået med kunden.

Har du bestilt mad gennem en virksomhed, der bruger Caterflow, og har du spørgsmål til dine oplysninger, er det den virksomhed, du skal kontakte. Får vi en henvendelse om oplysninger, vi behandler for en kunde, sender vi den videre til kunden uden unødig forsinkelse.

Hjemmesiden gemmer kun det nødvendige i din browser, medmindre du giver samtykke til mere:

• Nødvendige: dit cookievalg (caterflow_cookie_consent), så banneret ikke vises igen. Gemmes i browserens lokale lager, indtil du sletter det.
• Præferencer: om du har valgt mørkt eller lyst tema (theme). Gemmes i browserens lokale lager, indtil du sletter det.
• Statistik og marketing: Hvis du accepterer, kan Google Tag Manager indlæse Googles statistik- og annonceringstjenester, som sætter cookies for at måle trafik og effekten af annoncer. Uden dit samtykke sætter vi ikke disse cookies. Retsgrundlaget er dit samtykke (GDPR art. 6, stk. 1, litra a).

Du kan til enhver tid ændre eller trække dit samtykke tilbage med knappen herunder eller ved at slette cookies og webstedsdata i din browser.

Hvilke oplysninger der behandles i Caterflow, afhænger af de funktioner, kunden bruger. Det kan fx være:

• navn, adresse, leveringsadresse, telefonnummer og e-mail
• arbejdsplads, bruger-ID og loginoplysninger
• bestillingshistorik, leverings- og faktureringsoplysninger
• kommentarer, noter og anden kommunikation
• IP-adresser, tekniske logs og andre sikkerheds- og driftsdata

Vi bruger følgende leverandører til at drive Caterflow. De er bundet af databehandleraftaler, der giver samme beskyttelse som vores egne.

Fejlsporing, logs og overvågning kører på vores egne servere, så de kræver ingen ekstern leverandør. Henvendelser fra hjemmesiden gemmes hos Supabase, og bekræftelses-e-mails sendes via Amazon SES i EU. ⚠ UDFYLDES: region og overførselsgrundlag for Supabase-projektet. Vi varsler vores kunder mindst 30 dage, før en ny underdatabehandler får adgang til deres oplysninger.

Vi overfører kun personoplysninger uden for EU/EØS, når der er et gyldigt grundlag efter GDPR kapitel V:

• Clerk (login): Clerk, Inc. i USA er certificeret under EU-U.S. Data Privacy Framework. Subsidiært gælder EU-Kommissionens standardkontraktbestemmelser (SCC).
• OpenAI (AI-funktioner, kun når de er slået til): Data behandles af OpenAI Ireland Ltd. Eventuel videreoverførsel uden for EØS sker på standardkontraktbestemmelser eller en afgørelse om tilstrækkeligt beskyttelsesniveau.
• AWS: Data lagres i EU. Eventuel adgang fra lande uden for EØS er omfattet af standardkontraktbestemmelser i AWS' databehandleraftale.
• Google (kun på hjemmesiden og kun med dit samtykke): Google er certificeret under EU-U.S. Data Privacy Framework.

• AI-funktionerne er et tilvalg. De er slået fra, indtil kunden selv slår dem til, og indtil da sendes intet til AI-leverandører.
• Kun de oplysninger, der er nødvendige for den konkrete funktion, sendes. Til dashboards sendes kun brugerens spørgsmål og databasens struktur, ikke indholdet eller resultaterne.
• CPR-numre, allergi- og helbredsoplysninger sendes aldrig til AI-leverandører.
• Kundernes data bruges ikke til at træne eller forbedre AI-modeller, hverken af os eller af AI-leverandørerne.

• Hver kunde har sin egen database, og produktionsdatabaserne er krypteret.
• Al trafik til Caterflow og caterflow.dk er krypteret med HTTPS/TLS.
• Kun nøgleudviklere med et arbejdsbetinget behov kan tilgå produktionsdata, og der kræves to-faktor-login til kritiske systemer.
• Adgangskoder håndteres af Clerk. Vi opbevarer ikke brugernes adgangskoder, hverken i klartekst eller hashet.
• Sikkerhedskopier er krypterede og ligger i Frankfurt. Genetablering testes løbende.
• Alle med adgang til personoplysninger har tavshedspligt.

• Produktionsdata i Caterflow: så længe kunden bruger Caterflow, og senest 30 dage efter aftalens ophør slettes de, medmindre kunden beder om dem tilbage.
• Login- og brugeroplysninger hos Clerk: slettes senest 90 dage efter aftalens ophør.
• Sikkerhedskopier: op til 30 dage.
• Systemlogs: som udgangspunkt 60 dage.

Sker der et brud på persondatasikkerheden, begrænser vi det, undersøger det og dokumenterer det. Vedrører bruddet oplysninger, vi behandler for en kunde, underretter vi kunden uden unødig forsinkelse og som udgangspunkt inden for 48 timer, så kunden kan overholde sine pligter. Vedrører det oplysninger, vi selv er ansvarlige for, anmelder vi det til Datatilsynet og orienterer dig, når loven kræver det.

Efter GDPR har du ret til:

• Indsigt: at få at vide, hvilke oplysninger vi har om dig, og få en kopi.
• Berigtigelse: at få forkerte oplysninger rettet.
• Sletning: at få dine oplysninger slettet, når de ikke længere skal bruges.
• Begrænsning: at vi kun opbevarer oplysningerne, mens en indsigelse eller tvivl afklares.
• Dataportabilitet: at få dine oplysninger i et almindeligt, maskinlæsbart format.
• Indsigelse: at gøre indsigelse mod behandling, der bygger på vores legitime interesse.
• Tilbagetrækning af samtykke: når en behandling bygger på samtykke, kan du til enhver tid trække det tilbage.

Skriv til support@caterflow.dk. Gælder det oplysninger, en af vores kunder har lagt i Caterflow, skal du kontakte kunden. Vi hjælper dem med at besvare anmodningen.

Er du utilfreds med, hvordan vi behandler dine oplysninger, så skriv gerne til os først. Du kan også klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk.