Privatlivspolitik

1. Introduktion og dataansvarlig

Denne privatlivspolitik beskriver, hvordan Plugly behandler personoplysninger om dig, når du bruger vores tjenester, herunder vores webshop-widgets, vores widgets der integreres med tredjeparts-platforme som TikTok og Instagram (Meta), og vores AI-funktioner.

Den dataansvarlige er:

Bewise ApS (CVR: 38171658)
P. Nørkjærs Plads 4, 9800 Hjørring
E-mail: info@plugly.io
Web: https://plugly.io

Politikken gælder for alle besøgende på plugly.io, brugere af administrationsværktøjet på app.plugly.io, samt slutbrugere der ser eller interagerer med widgets udstillet på vores kunders hjemmesider.

For en stor del af de data, der behandles i selve applikationen på vegne af vores kunder (f.eks. ordrer, produktdata, kundeoplysninger og AI-chatsamtaler), agerer Plugly som databehandler, og vores kunde (virksomheden) er dataansvarlig. Denne behandling er reguleret af den særskilte databehandleraftale. Nærværende privatlivspolitik beskriver de behandlinger, hvor Plugly selv er dataansvarlig, samt giver et overordnet overblik over, hvordan tjenesten fungerer.

2. Definitioner

Bruger: En person der har en Plugly-konto (typisk webshop-ejer eller marketing-ansvarlig).

Slutbruger: En besøgende på en hjemmeside, hvor en Plugly-widget er indlejret.

Virksomhed: Den virksomhed, på hvis vegne brugeren anvender applikationen, og hvis online løsning behandles i applikationen.

Tredjeparts-platform: Eksterne tjenester som TikTok og Instagram (Meta), som brugeren kan forbinde til applikationen for at hente og vise indhold.

AI-funktion: Funktioner i applikationen, der anvender kunstig intelligens, herunder AI-chat, hvor der benyttes en ekstern AI-leverandør.

Widget: Det indlejrbare element, der vises på brugerens hjemmeside, f.eks. en søgefunktion, en visning af indhold fra en tredjeparts-platform eller en AI-chat.

Personoplysninger: Enhver oplysning der direkte eller indirekte kan identificere en fysisk person.

3. Data vi indsamler

3.1 Data du selv giver os

• Navn, e-mailadresse og adgangskode (ved oprettelse af konto)
• Virksomhedsoplysninger (firmanavn, CVR-nummer, faktureringsadresse)
• Betalingsoplysninger (håndteres af vores betalings-databehandler - vi gemmer ikke selv kortnumre)
• Oplysninger du selv indtaster, f.eks. kommentarer eller support-henvendelser

3.2 Data vi indsamler automatisk

• Tekniske oplysninger: IP-adresse, browser-type, operativsystem, tidsstempel
• Brugsdata: hvilke sider du besøger i administrationsværktøjet, hvilke funktioner du bruger
• Statistikker for widgets (visninger, klik, konvertering) - se afsnit 12 om brugen af et pseudonymt session-id til effektmåling

3.3 Data fra tredjeparts-platforme

Når du som bruger forbinder en TikTok- eller Instagram-konto til Plugly, henter vi data fra den pågældende platform. Dette er nærmere beskrevet i afsnit 4.

3.4 Data i AI-funktioner

Når en slutbruger anvender en AI-chat, behandles indholdet af samtalen. Dette er nærmere beskrevet i afsnit 5.

4. Data fra tredjeparts-platforme (TikTok, Instagram, Meta)

Når en bruger forbinder en konto fra en tredjeparts-platform til Plugly, agerer vi som databehandler for det indhold, vi henter på brugerens vegne fra disse platforme. Vi henter kun data fra konti, som brugeren eksplicit har forbundet og givet samtykke til via platformens officielle OAuth-flow.

4.1 TikTok Display API

Vores TikTok-widget bruger TikTok Display API (også kaldet TikTok Login Kit / Content Posting API til displayformål). Når du forbinder din TikTok-konto, henter og viser vi følgende data fra din TikTok-konto:

• Profil-information: brugernavn, profilbillede, display-navn, antal følgere, antal videoer (via scopes user.info.basic, user.info.profile, user.info.stats)
• Video-metadata: video-ID, titel/beskrivelse, thumbnail-URL, embed-link, video-varighed, oprettelsestidspunkt, antal visninger, antal likes, antal kommentarer, antal delinger, musik-information (via scope video.list)
• OAuth-tokens: access_token (gyldig 24 timer) og refresh_token (gyldig 1 år) - gemmes krypteret og bruges udelukkende til at hente data fra din konto

Vi henter ikke og lagrer ikke selve videofilerne. Videoer afspilles altid via TikTok's officielle embed-player. Kun thumbnails caches af performancehensyn.

Brugen af TikTok-data er underlagt TikTok's Terms of Service og TikTok Developer Terms of Service.

4.2 Instagram API / Meta Platforms

Vores Instagram-widget bruger Instagram API with Instagram Login leveret af Meta Platforms. Når du forbinder din Instagram Business- eller Creator-konto, henter og viser vi følgende data:

• Profil-information: brugernavn, profilbillede, kontotype (BUSINESS/CREATOR), antal følgere, antal opslag (via scope instagram_business_basic)
• Opslag-metadata: opslag-ID, type (IMAGE/VIDEO/CAROUSEL_ALBUM), media-URL, thumbnail-URL, billedtekst, antal likes, antal kommentarer, permalink, oprettelsestidspunkt
• Carousel-børn: for opslag med flere medier henter vi de enkelte underliggende billeder/videoer
• OAuth-tokens: langlivet access_token (gyldig 60 dage, kan refreshes) - gemmes krypteret

Personlige Instagram-konti understøttes ikke; kun Business- og Creator-konti kan forbindes.

Brugen af Instagram/Meta-data er underlagt Meta's Terms of Service, Meta Platform Terms og Instagram Platform Policy.

4.3 Hvad vi ikke indsamler

• Vi henter ikke private beskeder (DMs)
• Vi henter ikke Stories
• Vi henter ikke kommentarer eller andres indhold, som du ikke selv har postet
• Vi tracker ikke individuelle slutbrugere på de sider, hvor widget'en vises (ingen sporings-cookies fra widget'en)
• Vi sælger eller videregiver ikke data fra tredjeparts-platforme til andre formål end at drive widget'en

5. AI-funktioner og AI-chat

Plugly tilbyder AI-funktioner, herunder en AI-chat, som virksomheden kan indlejre på sin hjemmeside, og som slutbrugere kan skrive til. Til at generere svar anvender vi en ekstern AI-leverandør, aktuelt Google (Gemini via Google Cloud Vertex AI).

For AI-chatsamtaler agerer Plugly som databehandler på vegne af virksomheden, der er dataansvarlig. Behandlingen er reguleret af databehandleraftalen. Dette afsnit beskriver, hvordan funktionen fungerer.

5.1 Sådan behandles data i AI-chatten

• Når en slutbruger skriver i chatten, sendes beskeden og relevant kontekst til AI-leverandøren med det formål at generere et svar og afgøre, hvilke af applikationens egne værktøjer der skal anvendes for at slå data op (f.eks. ordre- eller produktinformation).
• Behandlingen hos AI-leverandøren sker i en EU-region.
• Slutbrugeren kan i princippet selv skrive enhver oplysning i chatten, herunder personoplysninger. Vi opfordrer til, at der ikke indtastes følsomme personoplysninger i chatten, og virksomheden, der anvender chatten, er ansvarlig for at informere sine slutbrugere herom.

5.2 Hvad vi og AI-leverandøren ikke gør

• AI-leverandøren anvender på den betalte tjeneste, som vi benytter, ikke de fremsendte data til at træne eller forbedre sine modeller.
• Vi anvender ikke indholdet af AI-chatsamtaler til at træne egne AI-modeller. Vi kan anvende anonymiseret og aggregeret data til at forbedre tjenesten, jf. afsnit 6.
• AI-leverandøren kan opbevare data i en begrænset periode til drift og misbrugsovervågning i overensstemmelse med leverandørens vilkår. AI-leverandøren fremgår af listen over databehandlere i afsnit 7 og af databehandleraftalen.

6. Formål og retsgrundlag

Vi behandler personoplysninger til følgende formål:

• Levering af tjenesten (artikel 6, stk. 1, litra b GDPR - opfyldelse af kontrakt): oprettelse af konto, drift af widgets, opbevaring af konfiguration
• Fakturering og bogføring (artikel 6, stk. 1, litra c GDPR - retlig forpligtelse): bogføringsloven kræver opbevaring i 5 år
• Hentning og visning af indhold fra tredjeparts-platforme (samtykke / kontrakt): kun efter brugerens eksplicitte autorisation via OAuth
• Drift af AI-funktioner (databehandling på vegne af virksomheden): jf. afsnit 5 og databehandleraftalen
• Drift, sikkerhed og fejlfinding (artikel 6, stk. 1, litra f GDPR - legitim interesse): logs og tekniske data
• Forbedring af tjenesten (artikel 6, stk. 1, litra f GDPR - legitim interesse): aggregerede, anonymiserede analyser
• Marketing og kommunikation (samtykke): kun hvis du har tilmeldt dig nyhedsbrev eller lignende

7. Deling af data og databehandlere

Vi videregiver ikke dine personoplysninger til andre, udover følgende databehandlere, der hjælper os med at drive tjenesten:

• Hetzner Online GmbH (Tyskland, EU) - hosting af Plugly-applikationen og databaser
• Frisbii (tidligere Billwerk+ Denmark ApS) (Danmark, EU) - håndtering af betaling, abonnement og betalingsbekræftelser
• Google Ireland Ltd. (EU) - AI-funktionalitet (Gemini via Vertex AI), jf. afsnit 5
• Simply.com A/S (Danmark, EU) - DNS og mailhotel til udsendelse af system- og transaktionsmails fra Plugly

Vi har indgået databehandleraftaler med alle relevante databehandlere i overensstemmelse med GDPR. Vi kan også videregive data til myndigheder, hvis vi er retligt forpligtede dertil.

8. Overførsel uden for EU/EØS

Vores databehandlere er som udgangspunkt placeret inden for EU/EØS, og data behandles i EU/EØS. Hvor en databehandler undtagelsesvis måtte behandle data uden for EU/EØS, sker det på baggrund af EU-Kommissionens standardkontraktbestemmelser (SCC) og/eller EU-US Data Privacy Framework, og vi sikrer, at modtageren overholder GDPR's krav til databeskyttelse.

9. Opbevaringsperiode

Vi opbevarer data, så længe det er nødvendigt for de formål, de er indsamlet til, og som krævet af lovgivningen:

• Konto-data: så længe din konto er aktiv. Slettes eller anonymiseres senest 30 dage efter ophør af kontoen eller efter anmodning om sletning. I denne periode kan kontoen genåbnes med data intakt.
• Faktureringsdata: 5 år, jf. bogføringsloven.
• AI-chatsamtaler: slettes eller anonymiseres senest 12 måneder efter, de er gennemført, og ved kontoens ophør (jf. ovenfor). Behandlingen sker på vegne af virksomheden, jf. databehandleraftalen.
• OAuth-tokens fra TikTok/Instagram: så længe du har en aktiv forbindelse. Slettes inden 24 timer efter, du afkobler kontoen.
• Cached indhold fra TikTok (thumbnails) og Instagram (medier): opdateres løbende (typisk hvert 60. minut). Slettes inden 24 timer efter, du afkobler kontoen, sletter en widget, eller når et opslag fjernes på den oprindelige platform.
• Logs: maks. 90 dage.
• Aggregerede analyser: kan opbevares ubegrænset i anonymiseret form.

10. Dine rettigheder

I henhold til GDPR har du følgende rettigheder:

• Indsigt: du kan få at vide, hvilke oplysninger vi behandler om dig
• Berigtigelse: du kan få rettet ukorrekte oplysninger
• Sletning ("retten til at blive glemt"): du kan få slettet dine oplysninger, medmindre vi er retligt forpligtede til at gemme dem
• Begrænsning: du kan bede os om at begrænse behandlingen
• Dataportabilitet: du kan få udleveret dine data i et struktureret, almindeligt anvendt og maskinlæsbart format
• Indsigelse: du kan gøre indsigelse mod behandling baseret på legitim interesse
• Tilbagekaldelse af samtykke: du kan til enhver tid trække et samtykke tilbage
• Klage: du kan klage til Datatilsynet (se afsnit 16)

For at udøve dine rettigheder, kontakt os på info@plugly.io. Vi besvarer henvendelser inden 30 dage.

Bemærk: hvis din henvendelse vedrører data, som vi behandler på vegne af en virksomhed (dataansvarlig) - f.eks. en AI-chatsamtale på en webshop - vil vi henvise dig til eller koordinere med den pågældende virksomhed, som er ansvarlig for disse data.

11. Tilbagekald samtykke og slet data fra TikTok/Instagram

Du kan til enhver tid tilbagekalde dit samtykke til, at vi henter data fra dine forbundne TikTok- og Instagram-konti, og du kan få alle relaterede data slettet.

11.1 Tilbagekald i Plugly

1. Log ind på app.plugly.io
2. Gå til "Apps" → vælg widget'en (TikTok eller Instagram)
3. Klik "Afkobl konto" eller "Slet widget"
4. Inden 24 timer slettes: dine OAuth-tokens, alle cached medier og metadata, samt eventuelle widget-konfigurationer

11.2 Tilbagekald direkte hos TikTok

1. Åbn TikTok-app'en eller gå til tiktok.com
2. Indstillinger → Sikkerhed og tilladelser → Administrer apps
3. Find Plugly.io og tryk "Fjern adgang"

11.3 Tilbagekald direkte hos Instagram/Meta

1. Gå til instagram.com/accounts/manage_access
2. Find Plugly.io og tryk "Fjern"

11.4 Anmod om fuld sletning af data

For at få alle data - herunder konto-data, faktureringsdata (i det omfang lovgivningen tillader det) og data fra tredjeparts-platforme - slettet, send en anmodning til:

• E-mail: info@plugly.io
• Emne: "Anmodning om datasletning"
• Indhold: Din e-mailadresse, kontonavn, og om muligt det TikTok/Instagram-brugernavn, der har været forbundet

Vi bekræfter modtagelsen inden 3 hverdage og gennemfører sletningen inden 30 dage.

11.5 Meta data deletion callback

For Instagram/Meta-integrationen har vi etableret en data deletion callback URL i overensstemmelse med Meta Platform Terms: https://api.plugly.io/meta/data-deletion. Når Meta sender en deletion request via denne URL, sletter vi alle data tilknyttet den pågældende bruger inden 30 dage og bekræfter dette tilbage til Meta.

12. Cookies og sporing

På plugly.io og app.plugly.io bruger vi:

• Nødvendige cookies til login-session og CSRF-beskyttelse - sættes uden samtykke, da de er strengt nødvendige
• Statistik-cookies til anonymiseret produktanalyse - sættes kun efter samtykke

I widgets indlejret på vores kunders hjemmesider bruger vi ingen sporings-cookies til markedsføring. Vi bruger kun teknisk strengt nødvendige cookies/storage til at huske visningstilstand (f.eks. om brugeren har åbnet en modal eller en chat).

Til at måle widgets' effektivitet for den enkelte webshop anvender vi et pseudonymt session-id, der gør det muligt at se, om f.eks. en søgning førte til en ordre. Vi identificerer ikke slutbrugeren ved navn, men et session-id betragtes som en personoplysning (en onlineidentifikator). Denne måling sker på vegne af den webshop, hvor widget'en er indlejret, og webshoppen er dataansvarlig for behandlingen, jf. databehandleraftalen. Tællere af, hvor mange gange vores widget-fil serveres (anvendt til afregning), er rene optællinger og indeholder ikke personoplysninger.

13. Datasikkerhed

Vi tager databeskyttelse alvorligt og har implementeret passende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder:

• Kryptering i transit (TLS 1.2+) for alle forbindelser
• Kryptering af følsomme data i hvile (AES-256), herunder alle OAuth-tokens fra TikTok og Instagram
• Adgangskontrol og logning af administratoradgang
• Regelmæssige backups og test af gendannelse
• Sårbarheds-monitorering og opdatering af afhængigheder
• Begrænset adgang for medarbejdere, kun efter need-to-know-princippet

I tilfælde af et databrud, der medfører høj risiko for de registrerede, vil vi underrette Datatilsynet inden 72 timer og de berørte brugere uden unødig forsinkelse.

14. Børn

Plugly er en tjeneste til erhvervsdrivende og er ikke rettet mod børn under 18 år. Vi indsamler ikke bevidst personoplysninger om børn. Hvis du opdager, at vi alligevel har gjort det, så kontakt os, så sletter vi dem.

15. Ændringer af politikken

Vi kan opdatere denne politik fra tid til anden. Den til enhver tid gældende version er tilgængelig på plugly.io/privacy. Ved væsentlige ændringer vil vi varsle dig via e-mail eller i administrationsværktøjet inden ændringen træder i kraft.

16. Kontakt og klager

Hvis du har spørgsmål til denne privatlivspolitik eller vores behandling af dine oplysninger, kontakt os:

Bewise ApS
E-mail: info@plugly.io

Du har til enhver tid ret til at klage til Datatilsynet over vores behandling af dine personoplysninger:

Datatilsynet
Carl Jacobsens Vej 35
2500 Valby
E-mail: dt@datatilsynet.dk
Web: www.datatilsynet.dk