Privatlivspolitik

01

Introduktion

Komma ApS (CVR-nr. 46208765), Paul Bergsøes Vej 16, 1. tv, 2600 Glostrup, Danmark, udvikler HR-systemet til nordiske virksomheder — hele HR ét sted, med AI-assistenten Karma indbygget. Denne privatlivspolitik forklarer, hvordan vi behandler personoplysninger: hvilke oplysninger, hvorfor, hvor længe — og hvilke rettigheder du har.

Politikken dækker hele rejsen: dit første besøg på vores hjemmeside, en demoforespørgsel eller anden henvendelse, kundeforholdet, den daglige brug af platformen og mobilappen — og din ansøgning, hvis du søger job hos Komma. Uanset hvor du møder os, kan du finde dig selv i denne politik.

Politikken er skrevet til at blive læst. Afsnit 3–21 indledes hver med en "Kort fortalt"-boks: én til tre sætninger i klart sprog, der giver dig essensen, før detaljerne følger. Alt, der kan sættes i skema — datakategorier, behandlingsgrundlag, frister — står i tabeller, og den fulde ordliste finder du i Bilag A.

Politikken gælder for kommahr.com, kommahr.dk, Komma-platformen og mobilappen. Når jeres virksomhed bruger platformen, er jeres virksomhed dataansvarlig for data i platformen, og detaljerne i vores behandling er reguleret i databehandleraftalen (DPA) — se afsnit 5 og 12.

Dette er version 1.2 af politikken. Den gælder fra 31. juli 2026. Har du spørgsmål undervejs, kan du altid skrive til hej@kommahr.com — se afsnit 23.

02

Definitioner

Databeskyttelse har sit eget ordforråd. Her er de ti begreber, du møder oftest i denne politik, forklaret med almindelige ord — den fulde ordliste står i Bilag A.

03

Vores privatlivsfilosofi

Det er jeres data. Vi passer bare på dem. Den sætning er arbejdsdelingen hos Komma: Jeres virksomhed ejer og bestemmer over data i platformen — Komma opbevarer og beskytter dem. Alt andet i denne politik følger af den. Vi har oversat den til fem forpligtelser:

• Databeskyttelse er en produktfunktion. Adgangsstyring ned på feltniveau, en revisionslog, der ikke kan redigeres, og automatiske sletteregler er indbygget i platformen fra starten — ikke tilkøb, og ikke noget, I selv skal bygge. Se afsnit 15.
• Dataminimering fra første felt. Vi indsamler kun det, et konkret formål kræver — vores demoformular har fx seks felter, og telefonnummer er valgfrit. I platformen ser hver rolle kun de felter, den skal bruge.
• En hjemmeside, hvor du bestemmer. kommahr.dk og kommahr.com sætter ingen cookies, indlæser ingen reklamepixels og har ingen chatwidgets. Første gang du kommer forbi, spørger en pop-up, om du vil slå Statistik og Virksomhedsgenkendelse til — begge er slået fra, indtil du siger ja. Uden dit samtykke tæller vores server kun anonymt, hvor mange gange hver side bliver vist. Se afsnit 8.
• Vi sælger aldrig data. Ikke til annoncører, ikke til datamæglere, ikke som "anonymiserede indsigter". Jeres oplysninger er ikke vores forretningsmodel — platformen er.
• Klart sprog frem for paragraffer. Denne politik er skrevet til mennesker: Afsnit 3–21 indledes hver med en "Kort fortalt"-boks, og vi citerer de relevante GDPR-artikler, så du selv kan tjekke efter.

De fem forpligtelser er ikke hensigtserklæringer — de kan efterprøves. Læs afsnit 8 om hjemmesiden, afsnit 14 om AI og afsnit 15 om sikkerhed, og hold os op på dem.

04

GDPR-principperne i praksis

Artikel 5 i databeskyttelsesforordningen (GDPR) opstiller syv principper for al behandling af personoplysninger. De er målestokken, vi arbejder efter — her er hvert princip, og hvad det konkret betyder hos Komma.

05

Vores roller: dataansvarlig og databehandler

Databeskyttelsesforordningen (GDPR) skelner mellem to roller. Den dataansvarlige bestemmer, hvorfor og hvordan personoplysninger behandles. Databehandleren behandler kun oplysninger på den dataansvarliges vegne og efter dennes instruks.

For Komma er skellet enkelt. Når du selv henvender dig til os — besøger vores hjemmeside, booker en demo, skriver til support eller søger job hos os — er Komma ApS dataansvarlig. Når jeres virksomhed bruger Komma som HR-system, er det jer, der er dataansvarlige for alt det, I lægger i platformen: medarbejdere, tidligere medarbejdere, kandidater, konsulenter og kontaktpersoner. Jeres medarbejderes oplysninger tilhører jer — ikke os. Vi behandler dem udelukkende efter jeres instruks i databehandleraftalen (DPA).

Vil en medarbejder, kandidat eller anden registreret i en kundes Komma-løsning have indsigt i, rettet eller slettet sine oplysninger, skal henvendelsen altid til arbejdsgiveren — det er arbejdsgiveren, der som dataansvarlig kan og skal svare. Modtager vi sådan en anmodning direkte, sender vi den videre til kunden uden unødig forsinkelse og besvarer den aldrig på egen hånd. Vi bistår kunden med at opfylde anmodningen, som databehandleraftalen forpligter os til (artikel 28). Læs mere om platformen i afsnit 12 og om dine rettigheder i afsnit 19.

06

Kategorier af personoplysninger

Dette afsnit viser, hvilke kategorier af personoplysninger vi behandler i hver af vores to roller (se afsnit 5). Afsnit 7 kobler kategorierne til formål, hjemmel og opbevaring.

6.1 Når Komma er dataansvarlig

Når Komma er dataansvarlig, indsamler vi kun det, der skal til for at svare dig og drive vores forretning:

6.2 Når Komma er databehandler (data i platformen)

Når jeres virksomhed bruger platformen, bestemmer I som dataansvarlige, hvilke kategorier der behandles, om hvem og hvor længe. Tabellen viser de kategorier, platformen kan rumme:

Særlige kategorier af personoplysninger — helbredsoplysninger og fagforeningsmedlemskab — behandler vi udelukkende efter kundens dokumenterede instruks og på kundens behandlingsgrundlag, typisk arbejdsretlige forpligtelser (artikel 9, stk. 2, litra b). CPR-numre behandles kun, hvor løn eller lovpligtige formål kræver det (databeskyttelsesloven § 11).

Fraværsårsager er særskilt beskyttet i platformen: adgangen er begrænset i rollemodellen, og API-nøgler kan aldrig hente dem ud — fraværsårsager er, sammen med løn og CPR-numre, udelukket fra API-adgang ved kilden.

07

Behandlingsaktiviteter — overblik

Tabellen dækker begge vores roller. I rækken "Drift af platformen" er Komma databehandler: dér gælder kundens hjemler og opbevaringsindstillinger, og databehandleraftalen (DPA) sætter rammen. I alle øvrige rækker er Komma dataansvarlig.

Hvor hjemlen er legitim interesse, har vi navngivet interessen i tabellen og foretaget en balancetest af hensynet til dig. Du kan altid gøre indsigelse mod behandling baseret på legitim interesse (artikel 21) — se afsnit 19.

Detaljerne følger i afsnit 8–13: hjemmeside og cookies (afsnit 8), leads og markedsføring (afsnit 9), demoer, webinarer og events (afsnit 10), support (afsnit 11), kunder og ansatte i platformen (afsnit 12) samt jobansøgere hos Komma (afsnit 13).

08

Hjemmeside og cookies

Hjemmesiden sætter ingen cookies, indlæser ingen reklamepixels og har ingen chatwidgets. Første gang du besøger kommahr.dk eller kommahr.com, spørger en pop-up, hvilke af tre slags lagring du accepterer: Nødvendige, Statistik og Virksomhedsgenkendelse. Nødvendige husker kun dit valg, så vi ikke spørger igen på hver side. De to andre er slået fra, indtil du slår dem til, og du kan til enhver tid ændre eller trække dit valg tilbage under Cookie-indstillinger nederst på hver side.

8.1 Det, vi gemmer i din browser

Vi gemmer kun det, du har sagt ja til, og vi bruger ingen cookies til noget af det. Dit valg i pop-up'en ligger i din browsers localStorage under nøglen "komma-consent" i 12 måneder, så vi ikke spørger igen på hver side. Har du slået Statistik eller Virksomhedsgenkendelse til, gemmer vi desuden i din browsers sessionStorage, hvilken side eller kampagne der sendte dig hertil ("komma-src"), og ved Virksomhedsgenkendelse et tilfældigt besøgs-id ("komma-sid"). Begge forsvinder, når du lukker fanen. Sproget følger af adressen — hvert sprog har sin egen mappe, fx /da/ — og gemmes ikke.

8.2 Serverlogs

Webserveren registrerer automatisk tekniske logs med din IP-adresse, tidspunktet og de sider, du henter. Vi bruger dem udelukkende til sikkerhed og fejlsøgning — fx til at opdage angreb, misbrug og driftsproblemer — på grundlag af vores legitime interesse i en sikker og stabil hjemmeside (artikel 6, stk. 1, litra f). Logs slettes senest efter 90 dage. Hjemmesiden hostes hos Vercel, og vores serverfunktioner kører i EU (Stockholm) (se afsnit 16).

Ud over logfilerne tæller vores server hver side, den leverer, for alle besøgende og uden at spørge: én til dagens totaler for siden, det website, der sendte dig hertil (kun navnet), eventuelle kampagnemærker i linket og dit land og din region (fx Region Midtjylland), begge ud fra netværkets placering. Der gemmes ingen IP-adresse, ingen browseroplysninger og intet id, og intet læses fra eller gemmes på din enhed. Forespørgsler, der ser automatiske ud, tælles for sig. De daglige totaler slettes efter 120 dage.

8.3 Statistik og virksomhedsgenkendelse — kun med dit samtykke

Slår du Statistik til, indlæser hver side Vercel Web Analytics fra hjemmesidens egen adresse. Den tæller sidevisninger, henvisning, land, browser og enhedstype, viser os kun samlede tal, sætter ingen cookies og følger dig hverken på tværs af andre sider eller fra den ene dag til den næste.

Slår du Virksomhedsgenkendelse til, prøver vi at finde ud af, hvilken virksomhed — aldrig hvilken person — et besøg kommer fra. Din IP-adresse slås op i en kopi af IPinfos database, der ligger i vores egen serverfunktion i EU (Stockholm), og i offentlig DNS og i en kopi af RIPE NCC's offentlige register over, hvem IP-adresser er tildelt, som også ligger i vores egen serverfunktion. Derefter smides IP-adressen væk; vi gemmer den aldrig, heller ikke som hash. Tilhører netværket en virksomhed, gemmer vi virksomhedens navn, de viste sider, tiden på dem, hvor besøget kom fra, og landet i vores database hos Upstash (Frankfurt) i 90 dage. De samme oplysninger kan blive en note eller et lead i vores CRM-system, Pipedrive, og vores salgsteam kan få en besked om besøget i Microsoft Teams. For danske virksomheder slår vi størrelse og branche op i CVR-registret via cvrapi.dk — kun ud fra virksomhedens navn.

Et besøg fra en privat- eller mobilforbindelse bliver kun talt med, aldrig navngivet. Har forbindelsen sit eget domæne i DNS, tæller vi kun domænet pr. dag i 30 dage for at måle, hvor godt opslaget virker.

Med samtykket tæller vi også den omtrentlige by, netværket ligger i (fx Aarhus; på mobilnet ofte operatørens by). For besøg, vi ikke kan knytte til en virksomhed, tæller vi desuden pr. region — aldrig pr. by — om pris-, demo- eller kontaktsiden blev vist. Begge dele gemmes kun som daglige totaler uden IP-adresse eller id og slettes efter 90 dage.

Serverlogs og den anonyme sidetælling hviler på vores legitime interesse (artikel 6, stk. 1, litra f) i en sikker og stabil hjemmeside og i at vide, hvilke sider der bliver brugt. Statistik og lagring i din browser ud over dit valg hviler på dit samtykke (artikel 6, stk. 1, litra a), som du kan trække tilbage når som helst. Opfølgningen på virksomhedsbesøg hviler på vores legitime interesse i at vide, hvilke virksomheder der kigger på Komma (artikel 6, stk. 1, litra f). Vi har foretaget den lovpligtige afvejning mod dine interesser, og du kan altid gøre indsigelse (artikel 21) — se afsnit 19.

8.4 Vores løfte

Tilføjer vi nye tjenester, der gemmer noget i din browser eller sender oplysninger om dit besøg, kommer de ind bag samtykke-pop-up'en, og dette afsnit opdateres, før noget som helst sættes i din browser (se afsnit 22 om ændringer af denne politik).

09

Leads og markedsføring

Komma er B2B: Vores markedsføring retter sig mod virksomheder, men det er altid mennesker, der udfylder formularerne. Her kan du se præcis, hvad vi indsamler, hvorfor vi må, og hvad vi aldrig gør.

9.1 Det indsamler vi

Hjemmesiden har to formularer. Vi indsamler kun det, felterne viser, plus hvilken formular du brugte, siden du sendte den fra, og sidens sprog. Der ligger ingen skjult berigelse bag: virksomhedsgenkendelse sker kun, hvis du har sagt ja til den i pop-up'en eller i formularen (se afsnit 8.3). Din rolle eller titel registrerer vi kun, hvis den fremgår af din henvendelse — fx i din mailsignatur.

9.2 Behandlingsgrundlag

Hvor vi støtter os på legitim interesse, har vi foretaget den lovpligtige afvejning mellem vores interesse og dine rettigheder (balancetesten). Du kan til enhver tid gøre indsigelse mod behandlingen (artikel 21) — så stopper vi. Læs mere om dine rettigheder i afsnit 19.

9.3 Markedsføring, vi ikke laver

Det nemmeste er at liste, hvad der ikke sker, når du kontakter os:

• Ingen nurture-flows — en demo-booking udløser ikke en mailsekvens.
• Ingen autosvar-kampagner — det næste, du hører fra os, er et menneske, der har læst din besked.
• Intet nyhedsbrev — vi har ikke noget i dag, så der er heller ikke noget, du skal huske at framelde.
• Intet videresalg — vi sælger eller deler aldrig dine kontaktoplysninger med andre til markedsføring.

9.4 Opbevaring

Bliver din virksomhed ikke kunde, sletter vi din henvendelse og dine kontaktoplysninger 12 måneder efter vores sidste aktive kontakt. Bliver I kunde, overgår oplysningerne til kundestamdata og følger kundeforholdet (se afsnit 18).

9.5 Hvis vi en dag lancerer et nyhedsbrev

Lancerer vi en dag et nyhedsbrev, bliver det udelukkende baseret på samtykke (artikel 6, stk. 1, litra a): Vi sender kun til dig, hvis du aktivt har tilmeldt dig, ingen eksisterende kontakter flyttes over automatisk, og du kan trække dit samtykke tilbage lige så let, som du gav det — med ét klik i hver mail.

10

Demoer, webinarer og events

Vi vil hellere vise Komma frem end tale om det. Her er, hvordan vi behandler personoplysninger, når du møder os til en demo, i et prøvemiljø eller — en dag — til et webinar.

10.1 Demoer

En demo er en aftalt session, hvor vi viser platformen — og bagefter følger et menneske op med et personligt svar på det, I spurgte om. Du bliver ikke automatisk tilmeldt noget — ingen lister, ingen flows, ingen kampagner. Oplysningerne fra bookingen behandler vi som beskrevet i afsnit 9, og de slettes efter samme regler.

10.2 Prøvemiljøer

Opretter vi et prøvemiljø til jer, gælder én enkel regel: Data i prøvemiljøet er jeres. Vi behandler dem alene for at stille miljøet til rådighed (artikel 6, stk. 1, litra b) og bruger dem hverken til udvikling, statistik eller markedsføring. Bliver I kunde, fortsætter behandlingen under databehandleraftalen som en del af kundeforholdet (se afsnit 12). Udløber prøveperioden, uden at I bliver kunde, sletter vi prøvemiljøet og alle data i det senest 30 dage efter udløb — og backups er fuldt udrenset inden for maks. 90 dage, ligesom ved et kundeforholds ophør (se afsnit 18).

10.3 Webinarer og events

Vi afholder ingen webinarer i dag. Gør vi det en dag — eller inviterer vi til events med tilmelding — bruger vi kun dine tilmeldingsoplysninger til det konkrete arrangement: praktisk information før, under og lige efter. Du bliver aldrig føjet til markedsføringslister uden et separat, aktivt samtykke (artikel 6, stk. 1, litra a).

11

Support

God support kræver overraskende få personoplysninger. Her er, hvad vi behandler, når I skriver til os — og hvad vi beder jer om at lade være med at sende.

11.1 Det behandler vi

Support er forbeholdt kunder, der bruger Komma-platformen, og foregår via support@kommahr.com. Henvendelser fra andre besvares på hej@kommahr.com. Når du skriver til os, behandler vi dit navn, dine arbejdskontaktoplysninger og indholdet af din henvendelse — hverken mere eller mindre. For kunder er support en del af kontrakten med jer (artikel 6, stk. 1, litra b). Skriver du til os uden at være kunde, svarer vi på grundlag af vores legitime interesse i at besvare henvendelser om vores produkt (artikel 6, stk. 1, litra f); du kan gøre indsigelse efter artikel 21 (se afsnit 19).

11.2 Send ikke medarbejderes personoplysninger

Vi beder jer om én ting: Indsæt ikke medarbejderes personoplysninger i supporthenvendelser. Beskriv problemet i stedet — fx med et medarbejder-ID eller et skærmbillede uden personoplysninger. CPR-numre, lønoplysninger og fraværsårsager hører hjemme i platformen, ikke i en mail. Modtager vi alligevel den slags oplysninger, sletter vi dem, når sagen lukkes.

11.3 Adgang til jeres data i platformen

Nogle sager kan kun løses ved, at en supportmedarbejder ser på jeres data i platformen. Det sker udelukkende, når det er nødvendigt for at løse den konkrete sag. Adgangen er afgrænset af platformens rollemodel og registreres altid i den uredigerbare revisionslog — I kan altså selv se, hvem der har set hvad, hvornår.

11.4 Opbevaring

12

Kunder og ansatte i platformen

Dette afsnit er til jer, der er kunder hos Komma — og til dig, der er medarbejder, kandidat eller kontaktperson i en virksomhed, der bruger platformen. Det beskriver rollefordelingen og databehandleraftalen (afsnit 12.1), hvad platformen indeholder, og hvordan den selv rydder op (afsnit 12.2), samt hvordan adgang for ansatte styres og logges (afsnit 12.3).

12.1 Roller og databehandleraftale

Når jeres virksomhed bruger platformen, er I dataansvarlige for alle personoplysninger, I lægger i den. I bestemmer formålene, vælger opbevaringsindstillingerne og giver instrukserne. Komma ApS er jeres databehandler og behandler kun oplysningerne inden for den ramme (artikel 28).

Grundlaget er vores databehandleraftale (DPA), som er en fast del af aftalen med alle kunder. Den forpligter os blandt andet til følgende:

Kontakter en medarbejder, kandidat eller anden registreret os direkte om oplysninger i jeres platform, videresender vi henvendelsen til jer og besvarer den aldrig på egen hånd. Det er jer, der som dataansvarlig svarer — vi leverer bistanden og værktøjerne.

12.2 Hvad platformen indeholder — og hvornår den selv sletter

Afsnit 6.2 beskriver de kategorier af personoplysninger, platformen er bygget til at rumme — fra medarbejderstamdata og løndata til fravær, rekruttering og feedback. I bestemmer, hvilke kategorier I bruger, og hvor længe de opbevares. Sletning er en indbygget funktion, ikke en manuel opgave — platformen leveres med disse automatiske standarder:

Standarderne afspejler dansk praksis og lovens opbevaringskrav, men opbevaringsindstillingerne er jeres: I kan tilpasse dem til jeres egne slettefrister — inden for lovgivningens rammer.

12.3 Ansatte i platformen

De ansatte er de mennesker, der logger ind i jeres platform — HR-teamet, ledere og medarbejdere. Adgangen er bygget efter et enkelt princip: hver ansat ser kun det, rollen kræver.

• Login med Microsoft Entra ID (SSO) med automatisk provisionering og deprovisionering: forlader en medarbejder virksomheden, lukkes adgangen automatisk.
• Rollebaseret adgangsstyring ned på feltniveau, afgrænset efter afdeling, lokation og juridisk enhed.
• Uredigerbar revisionslog: hver læsning, ændring og eksport registreres i en revisionslog, der ikke kan redigeres.
• Anonymitetsgrænser i pulsmålinger: svar vises kun i grupper, der er store nok til, at ingen kan identificeres.

Er du ansat med adgang til en kundes platform, er din arbejdsgiver dataansvarlig for dine oplysninger. Vil du bruge dine rettigheder, skal du kontakte din arbejdsgiver — se afsnit 19.

13

Jobansøgere hos Komma

Søger du en stilling hos Komma — via e-mail eller et jobopslag — behandler vi din ansøgning, dit CV, dine kontaktoplysninger og vores noter fra samtalerne. Referencer indhenter vi kun efter aftale med dig.

Der er ingen automatik i vores rekruttering: hver ansøgning bliver læst af et menneske, og alle beslutninger undervejs træffes af mennesker (se afsnit 21).

Har du spørgsmål til din ansøgning eller dine oplysninger, kan du skrive til hej@kommahr.com. Dine rettigheder er beskrevet i afsnit 19.

14

AI og ansvarlig AI

AI er ikke et tillæg i Komma — det er en del af platformen. Netop derfor skylder vi jer et præcist svar på tre spørgsmål: Hvad gør Karma? Hvad gør den ikke? Og hvem beslutter? Det svarer dette afsnit på.

14.1 Hvad Karma er

Karma er den indbyggede AI-assistent på tværs af platformens moduler. Når Karma arbejder, behandler den de personoplysninger, der allerede ligger i jeres platform — som databehandler for jer og kun efter jeres instruks (se afsnit 5). Her er den ærlige liste over, hvad Karma gør:

• besvarer spørgsmål ud fra live HR-data — fx "Hvor mange feriedage har teamet tilbage i år?"
• skriver udkast til ændringer af felter og stamdata, som en ansat derefter godkender eller forkaster
• læser CV'er og omsætter dem til kompetencescorer fra 0 til 5, der kan forklares akse for akse
• skriver udkast til jobopslag
• matcher kandidater til stillinger med en gennemsigtig, vægtet formel — vægtene er synlige, ikke gemt væk
• markerer fraværsmønstre, så en leder kan tage samtalen i tide
• forklarer lønlinjer i klart sprog
• opsummerer evalueringer og feedbackforløb
• foreslår læringsforløb og vagtdækning

14.2 Vores otte løfter

Al AI i Komma er bygget efter ét princip: "Karma foreslår. Et menneske beslutter." Princippet er foldet ud i otte løfter, og de gælder for hver eneste AI-funktion i platformen:

1. Intet skrives i systemet, før et menneske har godkendt det.
2. Ingen automatiske afgørelser om mennesker — og det kan ikke slås til.
3. Én kundes data træner aldrig modeller, der bruges til andre kunder, og prompts bruges ikke til at træne de underliggende sprogmodeller.
4. Karma arver platformens rollemodel og kan aldrig vise en ansat oplysninger, som den ansattes rolle ikke selv har adgang til.
5. Scorer er forklarlige: vægtede og akse for akse — aldrig et tal fra en sort boks.
6. Hvert AI-forslag lander i revisionsloggen, som ikke kan redigeres.
7. I kan slå AI fra.
8. Karma markerer, hvad den selv har udledt, og siger til, når den er usikker.

14.3 Her stopper vi

Ansvarlig AI handler lige så meget om det, man ikke bygger. Følgende har vi bevidst fravalgt:

• individuel produktivitetsscoring af medarbejdere
• sentimentanalyse af fritekst i evalueringer og pulsmålinger
• automatisk afvisning af ansøgere
• flight-risk-scorer, der udpeger navngivne medarbejdere som opsigelsestruede

Disse funktioner findes ikke i produktet, og de kan ikke slås til — hverken i en indstilling, mod betaling eller på forespørgsel.

14.4 Teknologien bag Karma

Karma kører på EU-infrastruktur og efter de samme sikkerhedsregler som resten af platformen:

• EU-behandling: AI-modellerne bag Karma kører på Azure OpenAI Service i Microsofts region Sweden Central (EU) — jeres data forlader ikke EU for at blive behandlet af AI.
• Ingen træning: Prompts og output bruges aldrig til at træne de underliggende sprogmodeller eller modeller for andre kunder. Behandlingen er flygtig — det, der gemmes, er forslaget i revisionsloggen.
• Arvet adgangsstyring: Karma arver platformens rollebaserede adgangsstyring ned på feltniveau. Et spørgsmål til Karma kan aldrig blive en bagdør til data.
• Fuld sporbarhed: Hvert forslag registreres i revisionsloggen, som ikke kan redigeres (se afsnit 15).
• Jeres kontrol: I slår AI til og fra — beslutningen ligger hos jer.

Og så det juridiske fundament: Ingen afgørelser med retsvirkning eller tilsvarende betydelig virkning for en person træffes udelukkende automatisk i Komma (artikel 22). Karma er beslutningsstøtte — mennesker beslutter. Læs mere om automatiske afgørelser og profilering i afsnit 21.

15

Informationssikkerhed

Et HR-system rummer nogle af de mest fortrolige oplysninger, en virksomhed har: løn, fravær, helbredsdokumentation og CPR-numre. Derfor er sikkerhed ikke en funktion i Komma — det er en forudsætning. Vi beskytter jeres data med tekniske og organisatoriske foranstaltninger (artikel 32), og de vigtigste er:

• Teknik og infrastruktur
  • Al trafik krypteres under transport (TLS 1.2 eller nyere), og alle data krypteres i hvile.
  • Platformen kører på Microsoft Azure i regionen Sweden Central (EU) — se også afsnit 17 om internationale overførsler.
  • Hemmeligheder som nøgler og certifikater opbevares i Azure Key Vault, og systemkomponenter autentificerer sig med managed identities — uden delte adgangskoder.
  • Backups er krypterede, ligger i EU og slettes i et rullende vindue på højst 35 dage.
• Adgang og sporbarhed
  • Rollebaseret adgangsstyring ned på feltniveau afgør, hvem der ser hvad — en leder kan fx se, at en medarbejder er fraværende, uden at kunne se årsagen.
  • Hver læsning, ændring og eksport registreres i en revisionslog, der ikke kan redigeres.
  • Telemetri- og fejldata renses for personoplysninger, før de logges.
  • Svar i pulsmålinger vises kun i grupper, der er store nok til at forhindre identifikation af enkeltpersoner.
• Mennesker og processer
  • Sikkerhed er en del af vores udviklingsarbejde fra design til udrulning.
  • Alle Kommas medarbejdere har underskrevet en fortrolighedserklæring og introduceres til vores sikkerhedskrav.
  • Vi vurderer leverandørers sikkerhed, inden vi tager dem i brug (se afsnit 16).

Vores sikkerhedsprogram er struktureret efter anerkendte rammer: kravene i databeskyttelsesforordningens artikel 32 og principperne i ISO 27001. Komma er i proces med at blive ISO 27001-certificeret. Vi skriver først "certificeret", den dag en uafhængig part har sagt det.

Det fulde katalog over vores tekniske og organisatoriske foranstaltninger findes i Bilag C.

16

Databehandlere og underdatabehandlere

Vores to roller (se afsnit 5) er afgørende her. Hvor vi er dataansvarlig — hjemmesiden, leads, support og vores egen administration — er vores leverandører vores databehandlere. Hvor vi er databehandler for de oplysninger, I lægger i platformen, er de samme typer leverandører underdatabehandlere. Kravene er de samme i begge tilfælde.

16.1 Sådan udvælger vi databehandlere

Ingen leverandør behandler personoplysninger på vores vegne, før fire ting er på plads:

• Databehandleraftale. Vi indgår en databehandleraftale, der opfylder kravene i artikel 28, stk. 3 — dokumenteret instruks, fortrolighed, sikkerhed, regler for yderligere underdatabehandlere og sletning ved samarbejdets ophør.
• Due diligence. Vi gennemgår leverandørens sikkerhedsdokumentation, hostinglokationer og GDPR-efterlevelse, før vi skriver under.
• EU først. Vi vælger leverandører, der behandler personoplysninger i EU/EØS. Alt andet er undtagelsen og kræver et gyldigt overførselsgrundlag (se afsnit 17).
• Sikkerhed på vores eget niveau. Kryptering, adgangsstyring og logning på det niveau, vi kræver af os selv (se Bilag C).

16.2 Hvem vi bruger i dag

Platformen kører på Microsoft Azure i regionen Sweden Central, og Azure OpenAI Service — i samme EU-region — leverer AI-modellerne bag Karma. Microsoft er dermed vores centrale underdatabehandler: infrastruktur, database, storage, backup og AI. Prompter og svar bruges ikke til at træne de underliggende AI-modeller (se afsnit 14), og skulle Microsoft undtagelsesvis få behov for supportadgang fra et tredjeland, gælder rammerne i afsnit 17.

I vores egen drift hoster Vercel hjemmesiden (kommahr.dk og kommahr.com); vores serverfunktioner kører i EU (Stockholm), og siderne leveres fra Vercels netværk tæt på dig. Upstash gemmer virksomhedsbesøg og samtykkeregistreringer i EU (Frankfurt). Til salgsarbejdet bruger vi Pipedrive som CRM-system — leads og kundekontakter behandles i EU — og vores salgsteam får beskeder om virksomhedsbesøg i Microsoft Teams. Skrifttyperne og alle scripts leveres fra hjemmesidens eget domæne, så din browser sender intet til tredjeparter.

Den autoritative og altid opdaterede liste over vores underdatabehandlere finder I i Bilag D og i den til enhver tid gældende liste, som databehandleraftalen henviser til.

16.3 Ændringer med mindst 30 dages varsel

Vi tilføjer eller udskifter aldrig en underdatabehandler i det stille. I får mindst 30 dages varsel, før en ny underdatabehandler behandler jeres data, og I kan gøre indsigelse efter proceduren i databehandleraftalen.

16.4 Lønsystemer er jeres valg — ikke vores underdatabehandlere

Forbinder I Komma med jeres lønsystem — Zenegy, Danløn, Dataløn, Visma, Lessor eller Intect — er det jer, der vælger integrationen, og den kører på jeres instruks. Lønleverandøren er jeres egen databehandler eller selvstændig dataansvarlig, ikke en underdatabehandler under Komma. Vi overfører kun de oplysninger, jeres opsætning beder os om, og aftaleforholdet med lønleverandøren er jeres.

17

Internationale overførsler

Dette afsnit beskriver, hvor jeres personoplysninger fysisk behandles, og hvad der skal være på plads, før en overførsel til et land uden for EU/EØS — et tredjeland — overhovedet kan komme på tale.

17.1 Udgangspunktet: alt bliver i EU/EØS

Personoplysninger i Komma opbevares og behandles i EU/EØS. Platformen — database, filer, backup og AI-behandlingen bag Karma — kører i Microsoft Azures region Sweden Central i Sverige, og hjemmesidens serverfunktioner kører i EU (Stockholm) (se afsnit 16). Som led i den normale drift af platformen overfører vi ikke jeres data til tredjelande; hjemmesidens datastrømme er beskrevet i afsnit 17.3.

17.2 Hvis en overførsel bliver nødvendig

Bliver en overførsel til et tredjeland en dag nødvendig — for eksempel fordi en underdatabehandler yder support fra et land uden for EU/EØS — sker den kun med et gyldigt overførselsgrundlag efter GDPR's kapitel V (artikel 44–49):

• en tilstrækkelighedsafgørelse fra Europa-Kommissionen (artikel 45) — for modtagere i USA omfatter det virksomheder, der er certificeret under EU-U.S. Data Privacy Framework (DPF) — eller
• standardkontraktbestemmelser (SCC'er) (artikel 46, stk. 2, litra c), suppleret med yderligere foranstaltninger, hvor en konkret vurdering viser behov for det, eller
• de særlige undtagelser i artikel 49, fx dit udtrykkelige samtykke, i enkeltstående tilfælde.

For data i platformen gælder desuden en ekstra regel: enhver sådan ændring følger varslingsprocessen i afsnit 16 — mindst 30 dages varsel og ret til indsigelse — før den træder i kraft.

17.3 Hjemmesidens datastrømme til tredjelande

Hjemmesiden har tre datastrømme, der kan gå uden for EU/EØS. Vercel Inc. (USA) hoster hjemmesiden og leverer Statistik, når du har slået det til; vores serverfunktioner kører i EU (Stockholm), men Vercel er en amerikansk virksomhed. Microsoft (USA) leverer de Teams-beskeder, vores salgsteam får om virksomhedsbesøg. Begge overførsler hviler på Europa-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework, som Vercel Inc. og Microsoft Corporation er certificeret under. Endelig går reverse-DNS-opslaget ved Virksomhedsgenkendelse, som indeholder IP-adressen, via vores hostingudbyders DNS-tjeneste til den, der driver netværkets DNS, og det kan ligge uden for EU/EØS. Google Fonts bruges ikke længere — skrifttyperne ligger på vores eget domæne.

18

Opbevaring og sletning

Vi opbevarer personoplysninger, så længe formålet kræver det, og ikke længere (artikel 5, stk. 1, litra e). Hos os betyder det altid en konkret frist eller et navngivet kriterium for hver kategori — aldrig en åben slutning.

• Automatiseret, hvor det er muligt. Platformen har indbyggede opbevaringsindstillinger, så sletning sker automatisk — ikke fordi nogen husker det.
• Backups ruller ud inden for 35 dage. Vores krypterede backups følger et rullende vindue på højst 35 dage, så slettede oplysninger også forsvinder fra backup, i takt med at vinduet ruller.
• Sletning omfatter både produktion og backup. Når et kundeforhold slutter, kan I eksportere jeres data, indtil sletningen gennemføres. Vi sletter fra produktion senest 30 dage efter jeres instruks, og alt — inklusive backup — er slettet senest 90 dage efter ophør (jf. databehandleraftalen).
• I styrer opbevaringen i platformen. Hvor længe oplysninger ligger i Komma, bestemmes af de opbevaringsindstillinger, I vælger (se afsnit 12).

Det komplette opbevaringsskema — hver kategori, hver frist og dens forankring — står i Bilag B. Og én regel binder det hele sammen: vi opbevarer aldrig personoplysninger for en sikkerheds skyld.

19

Dine rettigheder

Når Komma er dataansvarlig (se afsnit 5), har du disse rettigheder efter databeskyttelsesforordningen (GDPR). Tabellen viser, hvad hver rettighed betyder, og hvordan du bruger den.

19.1 Det praktiske

• Skriv til hej@kommahr.com. Du behøver ingen særlig formular — en almindelig mail er nok.
• Vi svarer inden for 1 måned. Er anmodningen kompleks, kan fristen forlænges med op til 2 måneder — men i så fald hører du fra os inden for den første måned med en forklaring (artikel 12, stk. 3).
• Det er gratis. Vi opkræver aldrig gebyr for, at du bruger dine rettigheder.
• Vi bekræfter din identitet proportionalt. Vi beder kun om det, der er nødvendigt for at sikre, at oplysningerne ender hos den rigtige — typisk er det nok, at du skriver fra en e-mailadresse, vi kender i forvejen.

19.2 Hvis dine oplysninger ligger i din arbejdsgivers Komma-platform

Bruger din arbejdsgiver — eller en virksomhed, du har søgt job hos — Komma, er det virksomheden og ikke Komma, der er dataansvarlig for dine oplysninger i platformen (se afsnit 5). Kontakt derfor virksomheden direkte, typisk HR, når du vil bruge dine rettigheder. Vi hjælper virksomheden med at svare hurtigt og korrekt i henhold til databehandleraftalen, men vi besvarer aldrig anmodninger om kundedata på egen hånd. Modtager vi din anmodning ved en fejl, henviser vi dig til virksomheden og forklarer hvorfor.

20

Databrud

Et databrud (brud på persondatasikkerheden) er et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab eller ændring af personoplysninger — eller til, at nogen uberettiget får adgang til dem. I praksis kan det være en e-mail sendt til en forkert modtager, en mistet computer eller uautoriseret adgang til en database.

Vores interne beredskab følger fire faste trin:

1. Inddæm: Vi standser bruddet og sikrer systemerne, så skaden ikke vokser.
2. Vurdér: Vi kortlægger, hvilke oplysninger og hvilke personer der er berørt, og hvilken risiko bruddet udgør for dem.
3. Dokumentér: Vi registrerer bruddet, dets konsekvenser og vores håndtering i vores interne fortegnelse over databrud.
4. Lær: Vi udbedrer årsagen og justerer procedurer og tekniske foranstaltninger, så det ikke sker igen.

Hvem vi underretter, afhænger af vores rolle (se afsnit 5):

Vi dokumenterer alle databrud internt — også dem, der ikke udløser en underretningspligt (artikel 33, stk. 5). Det giver os overblik, læring og dokumentation over for Datatilsynet.

21

Automatiske afgørelser og profilering

Efter databeskyttelsesforordningen har du ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, og som har retsvirkning eller tilsvarende betydelig påvirkning (artikel 22). Hos Komma er det ikke en risiko, vi styrer udenom — det er en funktion, vi bevidst har fravalgt at bygge: Platformen træffer ingen sådanne afgørelser, og den kan ikke konfigureres til det. Hverken af os eller af vores kunder.

Enkelte funktioner kan minde om profilering — fx kandidatmatch i Recruitment og markering af fraværsmønstre i Workforce. De er beslutningsstøtte, ikke beslutninger:

• Forklarlige scorer: Enhver score er vægtet og opdelt akse for akse — aldrig et sort-boks-tal.
• Et menneske beslutter: intet forslag fra Karma får virkning, før en person med den rette rolle aktivt godkender det.
• Alt logges: Hvert AI-forslag registreres i revisionsloggen, som ikke kan redigeres — så grundlaget for en beslutning altid kan efterprøves.

Læs mere om, hvordan Karma arbejder — og hvad vi bevidst har fravalgt at bygge — i afsnit 14.

22

Ændringer af denne politik

Den gældende version af denne politik findes altid på kommahr.dk. Versionshistorikken forrest i dokumentet viser, hvad der er ændret og hvornår.

Væsentlige ændringer annoncerer vi på hjemmesiden. Ændringer, der berører platformen — fx nye underdatabehandlere eller ændrede behandlinger — varsler vi desuden vores kunder om på forhånd, inden de træder i kraft.

Vi gennemgår politikken mindst én gang om året og opdaterer den, når produktet, lovgivningen eller vores praksis ændrer sig.

23

Kontakt og klage

Har du spørgsmål til denne politik eller til, hvordan vi behandler dine personoplysninger, er du altid velkommen til at skrive til os.

Vi besvarer selv alle henvendelser om privatliv. Der er intet callcenter og ingen ticket-kø — din mail bliver læst og besvaret af et menneske hos Komma.

Komma har ikke udpeget en databeskyttelsesrådgiver (DPO) — det er vi ikke forpligtet til efter databeskyttelsesforordningens artikel 37. Vi har i stedet udpeget en intern databeskyttelsesansvarlig (data protection lead). Alle spørgsmål om databeskyttelse besvares af os selv via hej@kommahr.com.

Du kan altid klage over vores behandling af dine personoplysninger til Datatilsynet (artikel 77). Vi sætter pris på muligheden for at rette op først — skriv gerne til os — men du behøver aldrig vores tilladelse for at klage.

Bilag A

Ordliste

Denne ordliste forklarer politikkens begreber i almindeligt sprog. Den korte version står i afsnit 2 — her er den fulde.

Bilag B

Opbevaringsskema

Skemaet samler alle politikkens opbevaringsperioder ét sted — med rolle, periode og grundlag for hver kategori. Hvordan sletning foregår i praksis, står i afsnit 18. De tre sidste rækker er platformens automatiske slettestandarder; her er kunden dataansvarlig og fastlægger selv opbevaringen i platformens indstillinger.

Bilag C

Tekniske og organisatoriske foranstaltninger

Dette bilag beskriver de tekniske og organisatoriske foranstaltninger (artikel 32), der beskytter personoplysninger i platformen — på tværs af alle 11 moduler og Karma — og i Kommas egen drift.

Vores sikkerhedsprogram er struktureret efter anerkendte rammeværker — principperne i ISO 27001 og kravene i artikel 32 — og Komma er i proces med at blive ISO 27001-certificeret. Foranstaltningerne gennemgås mindst én gang om året og opdateres i takt med teknologien og trusselsbilledet.

C.1 Fortrolighed og adgangsstyring

• Rollebaseret adgangsstyring ned til feltniveau, afgrænset efter afdeling, lokation og juridisk enhed. Følsomme felter som løn og fraværsårsager er kun synlige for roller med et tjenstligt behov.
• Single sign-on via Microsoft Entra ID med automatisk provisionering og deprovisionering — når en medarbejder stopper hos kunden, lukkes adgangen automatisk.
• Princippet om mindste privilegium: ingen rolle har mere adgang, end opgaven kræver.
• Hemmeligheder — nøgler, certifikater og forbindelsesstrenge — opbevares i Azure Key Vault og tilgås via administrerede identiteter, aldrig i kode.
• Telemetri og driftslogs renses for personoplysninger, før de gemmes.
• Alle Kommas medarbejdere har underskrevet fortrolighedserklæringer.

C.2 Integritet

• Kryptering under transport med TLS 1.2 eller nyere og kryptering i hvile i både database og storage.
• En uredigerbar revisionslog registrerer enhver læsning, ændring og eksport — også Karmas forslag.
• API-nøgler er rollebaserede med scope, rate limit og udløb pr. nøgle — og løn, CPR-numre og fraværsårsager er udelukket ved kilden.
• Sikker udvikling: ændringer testes og gennemgås, før de sættes i produktion.

C.3 Tilgængelighed og robusthed

• Platformen drives på Microsoft Azure i EU (regionen Sweden Central) på redundant infrastruktur.
• Krypterede backups i EU med et rullende vindue på maks. 35 dage.
• Soft-delete og versionering i storage beskytter mod utilsigtet sletning og overskrivning.

C.4 Gendannelse

• Dokumenterede procedurer for gendannelse af data og systemadgang efter en teknisk eller fysisk hændelse.
• Gendannelsesprocedurerne er dokumenterede, og test af gendannelse indgår i vores sikkerhedsprogram — en utestet backup regner vi ikke for en backup.
• Soft-delete og versionering gør det muligt at gendanne enkeltdata hurtigt uden en fuld gendannelse.

C.5 Test og evaluering

• Sårbarhedsvurdering af platform og infrastruktur indgår som fast del af sikkerhedsprogrammet.
• Adgangsgennemgange: roller og rettigheder kontrolleres og strammes, når behovet ændrer sig.
• Årlig gennemgang af sikkerhedspolitikkerne og af foranstaltningerne i dette bilag.

C.6 Organisatoriske foranstaltninger

• Løbende træning af alle medarbejdere i databeskyttelse og informationssikkerhed.
• En fast intern proces for sikkerhedshændelser og databrud — se afsnit 20.
• Due diligence af leverandører, før de tages i brug, og løbende opfølgning — se Bilag D.
• Dataminimerende standardindstillinger i produktet, fx automatisk sletning af ansøgere efter 6 måneder og anonymisering af tidligere medarbejdere efter 5 år (se Bilag B).

Bilag D

Databehandlere og underdatabehandlere

Vi bruger bevidst få leverandører. Dette bilag viser dem alle, opdelt efter vores to roller — se afsnit 5 og 16.

D.1 Komma som dataansvarlig

Leverandører, der behandler personoplysninger i Kommas egen drift — hjemmeside, henvendelser, support og administration.

IPinfo og cvrapi.dk er ikke databehandlere. Det samme gælder RIPE NCC: vi bruger en kopi af deres offentlige register, så ingen IP-adresse sendes til RIPE. Virksomhedsgenkendelsen bruger en kopi af IPinfos database i vores egen serverfunktion, så ingen IP-adresse sendes til IPinfo (IP-data fra IPinfo, licenseret under CC BY-SA 4.0). cvrapi.dk er en offentlig opslagstjeneste i Danmark, som kun får virksomhedens navn.

D.2 Komma som databehandler (platformen)

Underdatabehandlere, der indgår i leveringen af platformen. Listen er kort med vilje.

Lønintegrationerne (Zenegy, Danløn, Dataløn, Visma, Lessor og Intect) er ikke Kommas underdatabehandlere. De kører udelukkende på jeres instruks og er jeres egne databehandlere eller selvstændigt dataansvarlige — se afsnit 16.

Ændringer i listen over underdatabehandlere varsler vi mindst 30 dage i forvejen med ret til indsigelse, som beskrevet i databehandleraftalen. Den aktuelle liste er altid tilgængelig via databehandleraftalen og på kommahr.com.