Privatlivspolitik

Sidst gennemset: 2026-10-14

1. Introduktion

Denne privatlivspolitik forklarer, hvordan TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "vi", "os") indsamler, bruger og beskytter personoplysninger i forbindelse med hjemmesiderne tobrief.gr og tobrief.eu, To Brief-mobilapps til iOS og Android samt relaterede tjenester (samlet kaldet "Tjenesten"). TO BRIEF er dataansvarlig for personoplysninger, der behandles gennem Tjenesten, medmindre en anden dataansvarlig udtrykkeligt er angivet nedenfor.

Oplysninger om dataansvarlig

• Juridisk navn: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Registreret adresse: Troon 26, 118 51, Athen, Attika, Grækenland
• GEMI: 188116103000
• AFM: 803045387
• E-mail: [email protected]
• Kontakt vedrørende databeskyttelse: [email protected]

Vi har i øjeblikket ikke udpeget en lovpligtig databeskyttelsesrådgiver (DPO); ikke desto mindre bliver alle henvendelser vedrørende databeskyttelse dirigeret gennem ovenstående dedikerede kontakt og håndteret under en dokumenteret proces, der opfylder de standarder, der forventes af en DPO-funktion i henhold til GDPR art. 37-39, hvor det er relevant.

2. Hvilke data vi indsamler

Vi indsamler kun de minimale data, der er nødvendige for at drive Tjenesten og opfylde vores juridiske forpligtelser.

2.1 Kontodata

Når du opretter en konto, gemmer vi: din e-mailadresse, en sikkert hashet adgangskode, dit valgte visningsnavn (valgfrit), datoen for kontooprettelse, den udgave du registrerede dig gennem (GR eller EU) samt abonnementsstatus. Retsgrundlag: opfyldelse af en kontrakt (GDPR art. 6, stk. 1, litra b).

2.2 Brug af hjemmeside og analysedata

Hvis – og kun hvis – du giver valgfrit samtykke til måling via vores cookiebanner, indsamler vi aggregerede brugssignaler via Google Analytics 4, UX-analyse/sessionssignaler via Contentsquare/Hotjar, konverteringssignaler via X-pixel og konverteringssignaler via Meta (Facebook/Instagram)-pixel: viste sider, enheds-/browserklasse, omtrentlig geografi (land/region fra IP, aldrig den rå IP), henvisningskilde, sessionsvarighed, interaktionshændelser, signaler om brugeroplevelsesfriktion, tilmeldinger og abonnementskonverteringer. Retsgrundlag: samtykke (GDPR art. 6, stk. 1, litra a og ePrivacy-direktivet art. 5, stk. 3). Med det samme samtykke underretter vores server også OpenAI, når du opretter en konto på vores websted, eller når din første abonnementsbetaling dér er verificeret, så vi kan måle og forbedre To Briefs annoncer i ChatGPT. OpenAI modtager din e-mailadresse i hashet form, et hashet tilfældigt kunde-id, klikreferencen fra en annonce i ChatGPT, hvis du kom via en sådan annonce, tidspunktet og, for et abonnement, beløb og valuta. OpenAI sætter ingen cookie og indlæser intet script i din browser. Retsgrundlag: samtykke (GDPR art. 6, stk. 1, litra a).

2.3 Betalingsdata

Abonnementsbetalinger behandles af Stripe Payments Europe, Limited ("Stripe"). Kortindtastning håndteres af Stripe; kortnumre og CVV-koder sendes ikke til vores applikationsservere gennem vores checkout. Stripes privatlivspolitik findes på https://stripe.com/privacy. Vi modtager de optegnelser, der er nødvendige for at administrere abonnementer og verificere betalinger: kunde-, abonnements-, faktura- og refusionsidentifikatorer; betalings-/refusionsbeløb og valutaer; datoer og status; faktureringsoplysninger og fakturaoptegnelser. Vi knytter disse optegnelser til din To Brief-konto. Retsgrundlag: opfyldelse af en kontrakt og juridisk forpligtelse til fakturering og bogføring. Valgfri reklamebrug af en verificeret betaling følger de separate regler i §2.7.

2.4 Data om klager og rapporter

Når du bruger /report eller sender en klage via e-mail, gemmer vi: din e-mail, klageteksten, vedhæftede filer du leverer, et saltet hash af din IP-adresse (ikke den rå IP), det sagsnummer vi tildeler, og resultatet af undersøgelsen. Retsgrundlag: legitim interesse (drift af en ansvarlig nyhedstjeneste og forsvar af retskrav) og juridisk forpligtelse (EMFA art. 20, DSA art. 16).

2.5 Enheds- og browserdata

Vores servere modtager standard HTTP-anmodningsmetadata – user-agent, Accept-Language, henvisningskilde, trunkeret IP – som gemmes i adgangslogfiler. Retsgrundlag: legitim interesse (sikkerhed, forebyggelse af svindel, diagnostik).

2.6 Følsomme kategorier

Vi indsamler ikke bevidst særlige kategorier af personoplysninger (GDPR art. 9), såsom data om helbred, religion, politisk overbevisning eller seksuel orientering. Undlad venligst at indsende sådanne data gennem fritekstfelter.

2.7 Måling af mobilapp

Vi bruger AppsFlyer til at forstå, hvilke kampagner der fører til app-installationer og betalende abonnenter, samt til at forbedre To Brief-annoncering på Meta (Facebook/Instagram), X og Reddit. Denne annonceringsmåling er valgfri og baseret på samtykke. Kontoadgang, abonnementsadministration og de sikkerhedsregistreringer, der er nødvendige for at respektere dine valg, forbliver separate tjenestefunktioner.

Kun nye brugere i denne version. Valgfri måling via AppsFlyer starter først, når vi har bekræftet en ny konto og en førstegangsinstallation foretaget efter udrulningens start, og du har givet tilladelse. Eksisterende konti, opdateringer, geninstallationer og installationer med ukendt oprindelse er udelukket. Vi kontrollerer betingelserne, før vi beder om tilladelse til sporing eller indlæser AppsFlyer. Eksisterende læseres målingsvalg ændres ikke.

Når app-måling er aktiveret og tilladt, modtager AppsFlyer sin installationsidentifikator, en tilgængelig reklameidentifikator, app-starter og teknisk app-/enhedsinformation, der bruges til attribution, analyse og forebyggelse af svindel. Dette kan inkludere operativsystem- og app-versioner, sprog, startdiagnostik og netværksinformation. Dets servere modtager forbindelsens IP-adresse og kan udlede omtrentlig geografi. Vi anmoder ikke om præcis lokation eller GPS-adgang til denne måling. Vores backend gemmer installationsassociationen, tilladelsestilstand og revisioner, app-/platforminformation, oprindeligt installationstidspunkt og en begrænset kampagneobservation, hvor det er tilgængeligt.

Efter et kvalificeret første kontologin knytter vi installationen til den konto ved hjælp af en separat tilfældig kundeidentifikator. Vi registrerer registrering, en indledende kvalificerende brug af appen, påbegyndelse af checkout og verificerede abonnementshændelser. Hvis du betaler på vores hjemmeside ved hjælp af den samme To Brief-konto, kan vi knytte den betaling til en kvalificeret app-installation. Tilladte hændelser sendt gennem AppsFlyer kan inkludere registrering og abonnementsbetalinger, fornyelser eller refusioner med en hændelsesidentifikator, beløb, valuta og tidspunkt. Hver partner modtager de hændelser, der er konfigureret til dens integration; ikke enhver hændelse sendes til enhver partner. Med den samme tilladelse i appen sender vores server også op til tre hændelser direkte til OpenAI, så vi kan måle og forbedre To Briefs annoncer i ChatGPT: registrering, den første verificerede abonnementsbetaling og en ny installation af appen. De sendes kun for kvalificerede nye installationer og kun for hændelser, efter at du har givet tilladelse, aldrig for eksisterende installationer, appopdateringer eller geninstallationer. Hver hændelse indeholder din e-mailadresse i hashet form, et hashet tilfældigt kunde-id, klikreferencen fra en annonce i ChatGPT, hvis den blev registreret ved tilmeldingen, tidspunktet og, for et abonnement, beløb og valuta. Fornyelser og refusioner sendes ikke til OpenAI.

Vi inkluderer ikke din e-mail, navn, telefonnummer, kommentartekst, artikeltitler, læseemner, søgeforespørgsler, politiske interesser, kortoplysninger eller fakturadokumenter i disse annonceringshændelses-payloads. Deling med partnere kan inkludere kvalificerede nye brugere fra organiske og andre kampagnekilder, ikke kun brugere, der er tilskrevet den pågældende partner. Den eneste undtagelse er hændelserne til OpenAI, der er beskrevet i §2.2 og i dette afsnit, som kun indeholder din e-mailadresse i hashet form, aldrig som klartekst.

Dit valg. På iOS er Apples standard App Tracking Transparency (ATT)-prompt den eneste tilladelsesprompt for sporing. Du kan ændre det senere i iPhone-indstillinger. På Android skal du bruge appens valgmulighed for måling og dens indgang i Indstillinger. Du kan bruge appen efter at have afvist. Et cookievalg på hjemmesiden kan ikke tilsidesætte en afvisning af app-sporing. Appen genkontrollerer platformvalget, når den vender tilbage til forgrunden; vores backend kontrollerer den aktuelle registrerede tilladelse og kontoassociation, før den sender køede hændelser. Tilbagetrækning stopper SDK'et på enheden og opdaterer vores backend; hvis enheden er offline, forsøges den serveropdatering igen, når forbindelsen vender tilbage.

Apples separate aggregerede attributionsmekanisme kan forblive aktiv efter ATT-afvisning. Den rapporterer begrænsede konverteringsværdier uden vores konto- eller AppsFlyer-identifikatorer. Tilbagetrækning stopper fremtidig personlig annonceringsmåling; det er ikke en automatisk sletning af data, der allerede er modtaget af en udbyder. Kontosletning starter den relevante sletningsproces, fjerner lokale kampagneobservationer og bryder annonceringslinks fra gemte faktureringsoptegnelser. Udbyder-holdte optegnelser håndteres gennem sletningsprocessen frem for at blive antaget slettet med det samme. Du kan også anmode om sletning via [email protected]. Opbevaringsdistinktionerne i §4 gælder.

3. Hvorfor vi bruger dine data

Formål	Datakategorier	Retsgrundlag
Levering af læseoplevelsen	Konto, enhed	Kontrakt, legitim interesse
Fakturering, forebyggelse af svindel, skatteoverholdelse	Betaling, konto	Kontrakt, juridisk forpligtelse
Måling af engagement og forbedring af produktet	Måling	Samtykke
UX-analyse via Contentsquare/Hotjar	Måling	Samtykke
Konverteringsmåling via X-pixel	Måling	Samtykke
Konverteringsmåling via Meta-pixel	Måling	Samtykke
Konverteringsmåling for OpenAI-annoncer (fra serveren)	Måling	Samtykke
Valgfri app-erhvervelse og abonnementsmåling	Installation, tilladelse, konto- og betalingshændelser	Samtykke
Håndtering af klager og rettelser	Klager, konto	Legitim interesse, juridisk forpligtelse
Sikkerhed, misbrugsdetektering, hændelsesrespons	Enhed, konto	Legitim interesse
Overholdelse af lovlige anmodninger	Alle kategorier, som relevant	Juridisk forpligtelse

Vi bruger ikke personoplysninger til automatiserede afgørelser, der frembringer retsvirkninger eller på lignende måde betydeligt påvirker dig (GDPR art. 22).

4. Hvor længe vi gemmer dine data

• Lokale app-kampagneobservationer: udløber 89 dage efter det tidligste af enten første backend-installationsregistrering eller modtagelse af kampagneobservation, og slettes tidligere ved tilbagetrækning eller kontosletning. Gentagne kampagne-callbacks forlænger ikke perioden.
• Direkte hændelse-til-installation-links: udelukket fra målingsrapportering efter 89 dage fra hændelsen og fjernet ved planlagt oprydning. Gamle browser-konverteringskrav fjernes også efter 89 dage. Finansielle identiteter, beløb og de minimale hændelsesoptegnelser, der er nødvendige for at forhindre duplikerede betalings-/konverteringsoptegnelser, er separate fra disse annonceringslinks.
• Tilladelses- og sletningsoptegnelser: installationsoptegnelser, der er nødvendige for at håndhæve valg, forhindre konto-genallokering og opfylde sletningsanmodninger, gemmes separat fra kampagneobservationer. En udbyderidentifikator, der kræves til en udestående sletningsanmodning, forbliver, indtil færdiggørelsen er bekræftet. En begrænset undertrykkelsesoptegnelse gemmes for at forhindre, at den pensionerede identitet genbruges til annoncering. Disse optegnelser er ikke anonyme og bruges ikke som kampagne-målgruppedata. Udbyder-side opbevaring og en individuel sletningsanmodning er separate fra vores lokale kampagneudløb.
• Kontodata: så længe kontoen er aktiv og op til to (2) år efter lukning, for at håndtere tvister og tilbageførsler efter lukning.
• Analysedata: fjorten (14) måneder for GA4; Contentsquare/Hotjar-målingscookies gemmes i henhold til deres formål og generelt op til tretten (13) måneder for besøgsniveau UX-analysecookies.
• Betalings-/faktureringsdata: syv (7) år, for at opfylde græske skattearkiveringsforpligtelser (Κ.Φ.Α.Σ. / Lov 4174/2013).
• Klagedata: tre (3) år fra endeligt svar, tilpasset den femårige forældelsesfrist for kontraktlige krav, men trimmet hvor muligt.
• Adgangslogfiler: halvfems (90) dage.
• Backups: krypterede backups rulles ud inden for 35 dage.

Efter disse perioder sletter eller anonymiserer vi dataene uigenkaldeligt.

5. Hvem vi deler data med

Vi deler kun personoplysninger med de modtagere og til de formål, der er anført her. Vi sælger ikke personoplysninger til nogen tredjepart.

• Stripe (betalinger, som uafhængig dataansvarlig).
• Google Ireland Limited (GA4) – kun hvis du giver samtykke til analyse.
• Contentsquare/Hotjar – kun hvis du giver samtykke til valgfri UX-analysemåling.
• X – valgfri konverteringsmåling på hjemmesiden og tilladt deling af app-hændelser gennem AppsFlyer.
• Meta (Facebook/Instagram) – valgfri konverteringsmåling på hjemmesiden og tilladt deling af app-hændelser gennem AppsFlyer.
• AppsFlyer – vores tjenesteudbyder for mobil attribution og måling, inklusive det tilladte konto-til-abonnement-link og sletningshåndtering beskrevet i §2.7.
• Reddit – tilladt deling af app-hændelser gennem AppsFlyer for at måle og forbedre To Brief-kampagner.
• OpenAI (OpenAI Ireland Limited): valgfri konverteringsmåling for To Briefs annoncer i ChatGPT, sendt af vores server som beskrevet i §2.2 og §2.7.
• Hosting- og infrastruktureudbydere (f.eks. Vercel, AWS, Cloudflare), der handler strengt som databehandlere under art. 28-kontrakter.
• Professionelle rådgivere (advokater, revisorer, auditører), hvor det er juridisk nødvendigt og under fortrolighed.
• Kompetente myndigheder, hvor vi er tvunget af en lovlig, specifik og proportional anmodning (retskendelse, datatilsyn, skattemyndighed).

En aktuel, auditerbar liste over underdatabehandlere vedligeholdes internt og kan leveres efter anmodning.

6. Internationale dataoverførsler

Nogle af vores databehandlere er etableret i USA eller opererer globalt. Hvor personoplysninger overføres uden for EØS, støtter vi os til:

• Europa-Kommissionens Standard Contractual Clauses (Afgørelse 2021/914), eller
• en tilstrækkelighedsvurdering (f.eks. EU-U.S. Data Privacy Framework, for Stripe, Google og andre certificerede importører), eller
• dit udtrykkelige samtykke til begrænsede, målrettede overførsler.

Supplerende foranstaltninger såsom kryptering under transport (TLS 1.2+), kryptering ved lagring og adgangskontroller anvendes oven på den juridiske overførselsmekanisme.

7. Dine GDPR-rettigheder

Du har følgende rettigheder i henhold til GDPR art. 15-22:

• Indsigt — bekræftelse på, at vi behandler dine data, og en kopi af dem.
• Berigtigelse — rettelse af unøjagtige eller ufuldstændige data.
• Sletning ("retten til at blive glemt") — sletning, hvor der er grundlag for det.
• Begrænsning — begrænsning af hvordan vi behandler dine data i afventning af verifikation.
• Dataportabilitet — en maskinlæsbar kopi af data, du har leveret under kontrakt eller samtykke.
• Indsigelse — mod behandling baseret på legitime interesser, herunder profilering.
• Tilbagetrækning af samtykke — til enhver tid, uden at det påvirker behandling udført før tilbagetrækningen.
• Klager til en tilsynsmyndighed — især den græske databeskyttelsesmyndighed (se §12).

For at udøve enhver rettighed, send en e-mail til [email protected] fra den adresse, der er registreret, eller angiv en anden rimelig form for identitetsverifikation. Vi svarer inden for en (1) måned, som kan forlænges én gang med to (2) yderligere måneder ved komplekse anmodninger; vi vil forklare enhver forlængelse.

8. Cookies

Vi bruger cookies og lignende teknologier. Kategorierne, formålene og varigheden af hver cookie er beskrevet i Cookiepolitikken. Du kan konfigurere dine præferencer og trække samtykke tilbage til enhver tid via /cookie-preferences.

9. Børn

Tjenesten er ikke rettet mod børn under femten (15) år, som er alderen for digitalt samtykke i Grækenland i henhold til lov 4624/2019 art. 21. Vi indsamler ikke bevidst data fra yngre børn. Hvis du mener, at et barn har registreret sig, bedes du kontakte [email protected], så sletter vi kontoen.

10. Sikkerhed

Vi anvender kommercielt rimelige tekniske og organisatoriske foranstaltninger – herunder TLS, hashed adgangskoder (Argon2-familien), isolerede miljøer, princippet om mindste privilegier, logning, backups og hændelsesresponsprocedurer – men intet system er perfekt sikkert. I tilfælde af et brud på persondatasikkerheden, der sandsynligvis vil resultere i en risiko for dine rettigheder, vil vi underrette det græske datatilsyn inden for 72 timer som påkrævet af GDPR art. 33, og hvor risikoen er høj, vil vi også underrette dig direkte.

11. Ændringer i denne politik

Vi vil offentliggøre en revideret version på denne URL og, ved væsentlige ændringer, give varsel mindst tredive (30) dage i forvejen gennem Tjenesten eller via e-mail. Datoen "Sidst gennemset" øverst afspejler altid den seneste opdatering. Historiske versioner af dette dokument bevares i loggen over ændringer på juridiske sider.

12. Kontakt og tilsynsmyndighed

• Henvendelser vedrørende databeskyttelse: [email protected]
• Postadresse: Troon 26, 118 51, Athen, Attika, Grækenland

Du har ret til at indgive en klage til den græske databeskyttelsesmyndighed (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Hjemmeside: https://www.dpa.gr
• Post: Kifissias 1-3, 115 23 Athen, Grækenland

EU-borgere uden for Grækenland kan også kontakte tilsynsmyndigheden i deres bopælsland.