Privatlivspolitik

1. Indledning

Denne privatlivspolitik beskriver, hvordan HR Cluster AS (norsk CVR/org.nr. 937 565 690) behandler personoplysninger i forbindelse med HR Cluster-platformen. Vi er forpligtet til at beskytte privatlivet for de personer, hvis oplysninger behandles gennem vores tjeneste, og følger EU's databeskyttelsesforordning (GDPR) og dansk databeskyttelseslovgivning i relevant omfang.

2. Roller og ansvar

HR Cluster er en platform til personalehåndtering, der bruges af kundeorganisationer til at administrere deres teams. I de fleste tilfælde:

• Kundeorganisationen er dataansvarlig — de bestemmer formål og midler for behandlingen.
• HR Cluster AS er databehandler — vi behandler personoplysninger på vegne af kundeorganisationen for at levere tjenesten.

De nærmere vilkår for behandlingen er reguleret i vores databehandleraftale (DPA), der er tilgængelig på anmodning. Når HR Cluster AS optræder som dataansvarlig i eget navn — for eksempel for fakturering, kontoadministration og sikkerhedslogning af platformens adgang — gælder denne privatlivspolitik direkte.

3. Data vi behandler

Afhængigt af hvordan kundeorganisationen konfigurerer platformen, kan følgende kategorier af personoplysninger behandles:

• Identitetsoplysninger — navn, e-mail, telefonnummer, fødselsdato, medarbejdernummer
• Konto- og adgangsoplysninger — loginoplysninger, PIN-hashes, roller, rettigheder
• Ansættelsesoplysninger — rolle, stilling, gruppe, afdeling, timeløn, kontrakter
• Vagtplanoplysninger — skifttildelinger, tilgængelighed, vagtplaner
• Fremmødeoplysninger — ind- og udstempling, inklusive positionsdata hvor kunden har aktiveret dette, og sessionsjusteringer
• Dokumenter og kvalifikationer — certifikater, kvalifikationer, uddannelsesregistre, ID-dokumenter uploadet af kunden
• Driftsoplysninger — hændelses- og sikkerhedsrapporter, beskeder, udstyrstildelinger
• Følsomme identifikatorer — CPR-nummer eller bankoplysninger, hvor disse registreres; lagres krypteret (AES-256-GCM)
• Tekniske oplysninger — IP-adresse, browsertype, enhedstype og revisionslog-tidsstempler

Når en kunde aktiverer en valgfri tredjepartsintegration, kan HR Cluster også behandle API-nøgler eller adgangstokens, som kunden oplyser for at oprette forbindelse til den pågældende tredjepartstjeneste. Sådanne oplysninger opbevares sikkert og anvendes udelukkende til at levere og drive den integration, kunden har anmodet om; de anvendes ikke til noget andet formål. Valgfrie integrationer er nærmere beskrevet i vores brugsvilkår.

4. Beskyttelse mod spam, svindel og misbrug

For at beskytte udvalgte offentlige formularer og sikkerhedsfølsomme anmodninger mod automatiseret misbrug bruger vi Google reCAPTCHA Enterprise, leveret af Google Ireland Limited.

Når du indlæser eller indsender en af disse formularer, kommunikerer din browser direkte med Google. De oplysninger Google behandler til dette formål omfatter:

• IP-adresse og omtrentlig geografisk placering
• Browser- og enhedsoplysninger (user agent, skærm- og tidszoneoplysninger, plugins)
• Muse-, berørings- og tastatursignaler på siden
• En reCAPTCHA-specifik cookie (_GRECAPTCHA) sat på Googles domæne
• Den handlingsmærkat, der er knyttet til formularen

Behandlingen er begrænset til at producere en risikoscore, som vi bruger til at afgøre, om indsendelsen skal accepteres. Vi modtager ikke Googles analysedata, og vi bruger ikke reCAPTCHA til annoncering, profilering eller analyse.

Behandlingsgrundlag. GDPR artikel 6, stk. 1, litra f — vores legitime interesse i at holde platformen fri for spam, svigagtige indsendelser og automatiserede angreb mod autentificeringsendepunkter. Vi har afvejet denne interesse mod dine rettigheder og finder den proportional, da reCAPTCHA kun kører på et begrænset antal offentlige endepunkter, datamængden er begrænset, og du kan udføre de samme handlinger via alternative kanaler (for eksempel ved at kontakte din administrator), hvis du modsætter dig denne behandling.

International overførsel. Google kan behandle oplysningerne på servere uden for EØS, herunder i USA. Overførsler er omfattet af Europa-Kommissionens standardkontraktbestemmelser (SCCs) og, hvor det er relevant, EU–US Data Privacy Framework.

Opbevaring. Vi opbevarer ikke de rå signaler, Google behandler. Vi logger verifikationsresultatet (handlingsmærkat, godkendt/afvist samt aggregeret kontekst såsom konto-ID og IP til sikkerhedsovervågning) i op til 90 dage.

Se Googles privatlivspolitik og vilkår for yderligere oplysninger.

5. Retsgrundlag for behandling

Når HR Cluster AS behandler personoplysninger som dataansvarlig, støtter vi os på følgende retsgrundlag efter GDPR artikel 6:

• Aftale (art. 6(1)(b)) — for at levere tjenesten til kundeorganisationen og dem, der bruger den.
• Legitim interesse (art. 6(1)(f)) — for at opretholde sikkerhed, forhindre misbrug, føre revisionslogs og forbedre tjenesten. Vi vejer disse interesser mod de registreredes rettigheder.
• Retlig forpligtelse (art. 6(1)(c)) — for at opfylde gældende regnskabs-, skatte- og informationssikkerhedslovgivning.
• Samtykke (art. 6(1)(a)) — for valgfrie analysecookies, hvor det er relevant.

Når HR Cluster AS optræder som databehandler, er det kundeorganisationen, der er ansvarlig for at identificere retsgrundlaget for den underliggende behandling, typisk ansættelsesaftale, retlig forpligtelse eller legitim interesse.

6. Hvordan data anvendes

Personoplysninger, der behandles via HR Cluster, anvendes til at:

• Levere og drive platformen
• Administrere brugere, roller og organisationsstrukturer
• Muliggøre vagtplanlægning og bemanding
• Registrere fremmøde og tid
• Opretholde sikkerhed og forhindre uautoriseret adgang
• Forbedre platformens pålidelighed og ydeevne
• Tilbyde kundesupport
• Generere rapporter, statistikker og eksporter på anmodning af kundeorganisationen

7. Arbejdsstyrke- og ansættelsesrelaterede data

HR Cluster er udviklet til personalehåndtering og operationel bemanding. Som del af dette formål kan platformen behandle følgende datakategorier på vegne af kundeorganisationen:

• Skifttildelinger og vagtplaner
• Fremmøde- og tidsregistreringer
• Ind- og udstempling
• Certifikater, kvalifikationer og uddannelsesregistre
• Hændelses- og sikkerhedsrapporter
• Udstyrs- og inventartildelinger
• Rolle-, afdelings- og gruppeoplysninger
• Tilgængelighed og vagtplanpræferencer
• Noter og kommentarer tilføjet af administratorer

Disse data behandles på vegne af kundeorganisationen i overensstemmelse med deres instrukser og gældende lov.

8. Revisionslogning

HR Cluster kan logge handlinger udført i platformen til sikkerheds- og driftsformål. Loggede hændelser kan omfatte:

• Login- og adgangshændelser
• Ind- og udstempling
• Skifttildelinger og ændringer
• Opdateringer af brugerprofiler
• Ændringer af rettigheder og roller
• Oprettelse og statusændringer af hændelser
• Dataeksporter
• Administrative handlinger

Revisionslogs bruges til sikkerhedsovervågning, tvistløsning, fejlfinding og compliance. Revisionslogs kan opbevares længere end andre driftsdata.

9. Ansvarsfraskrivelse for tidsregistrering

Tid- og fremmødefunktionalitet i HR Cluster leveres udelukkende til administrative og driftsmæssige formål. Kundeorganisationer er selv ansvarlige for lønberegninger, overholdelse af gældende arbejdsmarkedslovgivning, overarbejdsberegninger, pause- og hviletidsregler samt klassifikation af ansættelsesforhold. HR Cluster AS garanterer ikke, at tidsregistreringsdata opfylder kravene i nogen bestemt jurisdiktion eller ramme for ansættelsesforhold.

10. Drift og datalokation

HR Cluster driftes på dedikeret infrastruktur leveret af Hetzner Online GmbH, primært i Helsinki, Finland, inden for EU. Applikationsservere, databaser, sikkerhedskopier og fillagring driftes alle i dette EU-miljø.

Vores primære applikationsinfrastruktur driftes inden for Den Europæiske Union. Visse tillægstjenester — navnlig levering af transaktionel e-mail og privatlivsvenlig analyse — leveres af underdatabehandlere, der kan behandle begrænsede personoplysninger uden for EØS. Hvor dette sker, støtter vi os på de sikkerhedsforanstaltninger, der er beskrevet i punkt 11 nedenfor.

11. Underdatabehandlere

HR Cluster AS sælger ikke personoplysninger. For at drive tjenesten bruger vi et begrænset antal underdatabehandlere, der alle er bundet af skriftlig databehandleraftale:

• Hetzner Online GmbH (Tyskland) — hosting, beregning, lagring, sikkerhedskopier. Data behandles inden for EU.
• Postmark (ActiveCampaign, LLC), USA — levering af transaktionelle e-mails såsom konto-, sikkerheds- og driftsbeskeder. Modtagerens navn, e-mailadresse og beskedindhold behandles i USA under EU's standardkontraktbestemmelser (SCC) og, hvor det er relevant, EU–US Data Privacy Framework.
• Google Analytics (Google Ireland Limited) — privatlivsvenlig brugsanalyse på vores marketingsider, indlæses kun efter samtykke. IP-anonymisering anvendes, hvor det understøttes.
• Google reCAPTCHA Enterprise (Google Ireland Limited) — beskyttelse mod spam og misbrug på udvalgte offentlige formularer og sikkerhedsfølsomme anmodninger. Indlæses som en strengt nødvendig sikkerhedsforanstaltning; bruges ikke til analyse eller annoncering. Data behandles under SCC og EU–US Data Privacy Framework hvor det er relevant.

En opdateret liste over underdatabehandlere opretholdes som del af vores DPA. Kunder informeres om væsentlige ændringer.

Inden for kundeorganisationen kan personoplysninger også være synlige for autoriserede administratorer og ledere i overensstemmelse med de roller og rettigheder, kunden har konfigureret.

12. Overførsel til tredjelande

Vores primære applikationsinfrastruktur driftes inden for Den Europæiske Union, og størstedelen af kundedata lagres og behandles der. Et begrænset antal underdatabehandlere — for eksempel vores leverandør af transaktionel e-mail og vores analyseleverandør — kan behandle personoplysninger uden for EØS. Hvor sådanne overførsler finder sted, støtter vi os på passende sikkerhedsforanstaltninger, herunder Europa-Kommissionens standardkontraktbestemmelser (SCC) og, hvor det er relevant, EU–US Data Privacy Framework. Vi overfører kun de personoplysninger, der er nødvendige for den pågældende tjeneste — for eksempel en modtagers navn og e-mailadresse for at kunne levere en transaktionel e-mail.

13. Opbevaring af data

Personoplysninger opbevares, så længe det er nødvendigt for at levere tjenesten, opfylde retlige forpligtelser, løse tvister, håndhæve aftaler eller efter instruks fra kundeorganisationen.

Som generel retningslinje:

• Aktive kontodata opbevares i aftaleperioden.
• Sessions-, skift- og vagtplandata opbevares som standard i 90 dage i aktiv database, før de flyttes til krypteret arkiv; kunder kan konfigurere længere opbevaringstid.
• Revisionslogs opbevares længere af sikkerheds- og ansvarlighedshensyn.
• Krypterede sikkerhedskopier opbevares i et begrænset rullende vindue, før de overskrives.

Når kundeaftalen ophører, slettes eller returneres kundens data inden for rimelig tid som beskrevet i DPA.

14. Dine rettigheder

Efter GDPR kan du have følgende rettigheder vedrørende dine personoplysninger:

• Indsigt — anmode om en kopi af de personoplysninger, der opbevares om dig.
• Berigtigelse — anmode om rettelse af urigtige eller ufuldstændige oplysninger.
• Sletning — anmode om, at dine personoplysninger slettes.
• Begrænsning — anmode om, at behandlingen begrænses.
• Indsigelse — gøre indsigelse mod visse typer behandling baseret på legitim interesse.
• Dataportabilitet — anmode om overførsel af dine oplysninger i et struktureret, maskinlæsbart format.
• Tilbagekaldelse af samtykke — hvor behandlingen bygger på samtykke, kan du til enhver tid trække det tilbage.

Da kundeorganisationen normalt er dataansvarlig, bør henvendelser vedrørende arbejdsrelaterede personoplysninger i de fleste tilfælde rettes til kundeorganisationen først. HR Cluster AS vil bistå kundeorganisationen med at imødekomme sådanne henvendelser.

15. Sikkerhed

HR Cluster AS implementerer tekniske og organisatoriske foranstaltninger, der er tilpasset risikoen, herunder:

• TLS (HTTPS) for al trafik under overførsel
• Følsomme felter (f.eks. CPR-nummer og bankoplysninger) krypteres ved lagring med AES-256-GCM, med brugerspecifikt salt og en pepper på serversiden
• Adgangskoder lagres med bcrypt; PIN-koder hashes; session-tokens er bundet til browseren og valideres mod databasen
• Rolle- og rettighedsbaseret adgangskontrol, med dataisolering pr. konto håndhævet i forespørgselslaget
• CSRF-beskyttelse på alle tilstandsændrende handlinger; hastighedsbegrænsning på autentificering
• Revisionslogning af administrative handlinger
• Daglige automatiske sikkerhedskopier til off-site-lagring inden for EU
• Dedikeret databaseserver uden offentlig netværkseksponering
• Regelmæssig gennemgang af afhængigheder, adgange og sikkerhedspraksis

Vi vil uden unødig forsinkelse underrette berørte kunder om brud på persondatasikkerheden, der sandsynligvis vil medføre risiko for fysiske personers rettigheder og frihedsrettigheder, i overensstemmelse med GDPR artikel 33–34.

16. Cookies

HR Cluster bruger cookies og lignende teknologier som beskrevet i vores cookiepolitik.

17. Kontakt og tilsynsmyndighed

For spørgsmål om denne privatlivspolitik eller vores databehandling, kontakt os på:

HR Cluster AS
Org.nr.: 937 565 690
E-mail: privacy@hrcluster.com

Hvis du mener, at dine databeskyttelsesrettigheder er blevet krænket, har du ret til at indgive klage til det norske Datatilsynet på datatilsynet.no, eller til tilsynsmyndigheden i dit bopælsland — i Danmark Datatilsynet (datatilsynet.dk).

Sidst opdateret: juli 2026