Privatlivspolitik

1. Indledning

Denne Privatlivspolitik forklarer, hvordan Optimas Organisasjonspsykologi AS ("Optimas", "vi") indsamler og bruger personoplysninger via OnlineJTI-platformen. Den gælder for Praktikere, Respondenter og besøgende på onlinejti.com.

Vi behandler personoplysninger i overensstemmelse med databeskyttelsesforordningen (EU) 2016/679 (GDPR), den danske databeskyttelseslov og gældende nationale regler i EØS. Vores interne Databeskyttelsespolitik (DPP-001) angiver de tekniske og organisatoriske foranstaltninger bag denne politik og er tilgængelig efter henvendelse.

Hvis du blot vil have et hurtigt overblik: vi indsamler det nødvendige for at levere Kortlægningen og Rapporterne; vi hoster data i Tyskland; vi deler data kun med underdatabehandlerne i sektion 8; du kan eksportere og slette dine personoplysninger når som helst.

2. Vores rolle: dataansvarlig og databehandler

OnlineJTI har to forskellige brugertyper, og vores rolle efter GDPR afhænger af datatypen:

• Respondentens kortlægningsdata: Praktikerens organisation er dataansvarlig. Optimas behandler data på Praktikerens vegne som databehandler under en databehandleraftale.
• Praktikerkonti, fakturering, platformtelemetri: Optimas er dataansvarlig.
• Offentlig hjemmeside og markedsføringskommunikation: Optimas er dataansvarlig.

Hvis du er Respondent og ønsker at udøve rettigheder over dine kortlægningsdata (eksempelvis indsigt eller sletning), bedes du kontakte din Praktiker først; du kan også kontakte os direkte med kontaktoplysningerne i sektion 18, og vi videresender henvendelsen efter behov.

3. Personoplysninger vi indsamler

Hvad vi indsamler afhænger af, hvordan du bruger Tjenesten.

Fra Praktikere

• navn, e-mail, telefonnummer (valgfrit), foretrukket sprog, profilbillede (valgfrit);
• den organisation, Distributør og det team du tilhører, og din rolle i dem;
• JTI-certificeringsstatus;
• login-oplysninger (kodeord lagret som saltet bcrypt-hash) og autentifikationstokens;
• kreditsaldo, købshistorik og fakturaer;
• fritekst-noter, teamkontekstoplysninger og chatbeskeder du sender til AI-funktioner;
• logs over aktivitet i platformen, IP-adresse og browser-metadata til sikkerhed og misbrugsforebyggelse;
• kommunikation du sender os via e-mail, in-app-beskeder og supportforespørgsler.

Fra Respondenter

• navn, e-mail og (valgfrit) alder, køn, beskæftigelse, uddannelsesniveau, sprog;
• dine 56 svar på JTI-spørgeskemaet (hvert lagret som A eller B), beregnet personlighedstype og de otte dimensionsscorer (E/I, S/N, T/F, J/P);
• tidspunktet for fuldførelse af Kortlægningen og seneste tidspunkt din journal blev tilgået;
• eventuelle refleksionssvar, journalnoter eller chatbeskeder du sender til AI-funktioner i kursus- eller coachingmoduler;
• eventuel teamtilknytning valgt af din Praktiker;
• leveringskvitteringer for e-mail eller SMS, vi sender til dig (uden meddelelsesindhold efter levering).

Fra besøgende på onlinejti.com

• nødvendige cookies til session, sikkerhed og sprogindstilling (se vores Cookiepolitik);
• serverlogs (IP, browser, henviser) i den periode, det er nødvendigt for sikker drift.

Vi indsamler ikke særlige kategorier af personoplysninger (såsom helbred, religion eller politisk overbevisning) i betydningen af GDPR artikel 9. JTI-personlighedsresultater er ikke artikel 9-data, men vi behandler dem som følsomme og begrænser adgangen tilsvarende.

4. Hvordan vi bruger personoplysninger

Vi bruger personoplysninger til at:

• levere Tjenesten: invitere Respondenter, score Kortlægningen, generere Rapporter, levere kursus- og coachingindhold;
• administrere Praktikerkonti, saldi og fakturering;
• kommunikere med dig om Kortlægninger, Rapporter, kontoændringer og sikkerhedsbeskeder;
• drive AI-funktioner (typeindsigter, teamanalyse, kursuscoach) ved at sende det nødvendige input til vores AI-underdatabehandlere som beskrevet i sektion 7;
• sikre Tjenesten mod svindel, misbrug, kontoovertagelser og uforholdsmæssig belastning;
• forbedre Tjenesten gennem aggregeret og anonymiseret statistik;
• opfylde retlige forpligtelser, herunder skat, regnskab og indberetning af hændelser;
• sende markedsføringsmails til Praktikere, der har givet samtykke (Respondenter modtager ikke markedsføring).

5. Behandlingsgrundlag

Vi behandler personoplysninger på følgende behandlingsgrundlag (GDPR artikel 6):

• Opfyldelse af aftale (artikel 6, stk. 1, litra b) for at levere Tjenesten til Praktikere og Respondenter, der har accepteret en invitation;
• Legitim interesse (artikel 6, stk. 1, litra f) til sikkerhed, svindelforebyggelse, misbrugsforebyggelse, intern administration og aggregeret produktforbedring; vi har afvejet interessen mod dine rettigheder og fundet behandlingen nødvendig og proportional;
• Retlig forpligtelse (artikel 6, stk. 1, litra c) såsom regnskab, skat og hændelsesindberetning;
• Samtykke (artikel 6, stk. 1, litra a) til markedsføringskommunikation og eventuelle valgfri funktioner, der kræver samtykke. Du kan trække dit samtykke tilbage når som helst uden, at det påvirker lovligheden af tidligere behandling.

6. Følsomme oplysninger

JTI-resultater beskriver psykologiske præferencer og er ikke helbredsoplysninger eller andre særlige kategorier efter GDPR artikel 9. Vi behandler dem alligevel som følsomme: adgang er forbeholdt din Praktiker og det begrænsede antal medarbejdere i Optimas, der har behov for adgang til support- og sikkerhedsformål, og vi anvender de principper om dataminimering, opbevaringsbegrænsning og sikkerhed, der er beskrevet i denne politik.

7. AI-baserede funktioner og data sendt til AI-leverandører

OnlineJTI bruger Anthropic (Claude), OpenAI og Groq til at generere teksten i typeindsigter, teamanalyse og kursuscoach. Vi bruger disse leverandører under indgåede databehandleraftaler, der inkluderer EU's standardkontraktbestemmelser for overførsler uden for EØS, og vi instruerer hver leverandør om ikke at gemme input og ikke at bruge dem til at træne deres modeller.

Før data forlader vores backend, erstattes virkelige navne med sessionsstabile kodenavne som »Member42«. Kodenavnet har kun betydning inden for din aktuelle session, og det gendannes til det rigtige navn på vores side, før noget vises for dig. AI-leverandøren modtager derfor kun det minimum af information, der er nødvendig til analysen — typisk en typekode og et kodenavn — og ser aldrig den virkelige person bag. Direkte identifikatorer som e-mailadresser og demografiske detaljer som køn, alder og erhverv fjernes helt fra data, der sendes til AI.

Hvad vi sender til AI-leverandører (afhængigt af den anvendte funktion):

• din personlighedstype og dimensionsscorer;
• sessionsstabile kodenavne som »Member42« for de teammedlemmer eller respondenter, der omtales (aldrig deres rigtige navne);
• fritekstindhold du indtaster, såsom noter, teamkontekst, refleksionssvar og chatbeskeder;
• kursus- og modulkontekst, der er nødvendig for at besvare dit spørgsmål.

Hvad vi ikke sender:

• rigtige navne på Praktikere, respondenter eller teammedlemmer — disse erstattes med sessionsstabile kodenavne, før de sendes;
• demografiske detaljer om respondenter, såsom køn, alder eller erhverv;
• e-mailadresser, telefonnumre eller postadresser;
• kodeord, autentifikationstokens eller betalingsdata;
• alle dine 56 rå kortlægningssvar;
• CPR-nummer eller andre nationale identifikationsnumre.

Alle AI-kald foretages server-til-server fra vores backend; AI-nøgler eksponeres ikke for browseren. Samtale- og analysehistorik gemmes i vores egen database, så længe din konto er aktiv eller indtil du sletter en session, alt efter hvad der indtræffer først.

AI-funktionerne træffer ikke automatiserede afgørelser med retsvirkning eller tilsvarende betydelig indflydelse på dig, jf. GDPR artikel 22. En kvalificeret Praktiker er altid med i loop'et for beslutninger baseret på AI-output.

8. Underdatabehandlere

Vi anvender følgende underdatabehandlere til at drive Tjenesten. Hver er bundet af en skriftlig aftale, der inkluderer GDPR-konforme vilkår.

Vi gennemfører due diligence for hver underdatabehandler før engagement. Den aktuelle liste er også offentliggjort i vores interne Databeskyttelsespolitik. Vi giver Praktikere rimelig forhåndsvarsel ved væsentlige ændringer på listen.

9. Internationale dataoverførsler

Primær behandling sker inden for EØS (Hetzner, Tyskland). Visse underdatabehandlere er etableret i USA. Til sådanne overførsler baserer vi os på EU-Kommissionens standardkontraktbestemmelser (SCC), der indgår i den relevante databehandleraftale, suppleret med yderligere tekniske foranstaltninger som kryptering under overførsel og i hvile, hvor det er nødvendigt.

Du kan anmode om en kopi af de gældende SCC for en bestemt underdatabehandler ved at sende e-mail til privacy@onlinejti.com.

10. Opbevaring og anonymisering

Vi opbevarer kun personoplysninger så længe, det er nødvendigt for de formål, der er angivet i denne politik.

Vi har automatiseret anonymisering baseret på inaktivitet af Respondentens kortlægningsdata. Der er en mindste sikkerhedsperiode på 90 dage før nogen registrering kan auto-anonymiseres. Respondenter og Praktikere modtager en advarsel før planlagt anonymisering og kan udskyde den via et signeret link.

Du kan også anmode om øjeblikkelig sletning af dine kortlægningsdata når som helst, jf. sektion 14.

11. Videregivelse

Vi deler personoplysninger kun:

• med Praktikerens organisation, der inviterede en Respondent, og med teammedlemmer, der indgår i en teamrapport efter Praktikerens instruks;
• med underdatabehandlerne i sektion 8, kun i det omfang det er nødvendigt for at drive Tjenesten;
• med professionelle rådgivere (revisorer, advokater, forsikringsselskaber) under tavshedspligt, kun hvor det er strengt nødvendigt;
• hvor det kræves ved lov, retskendelse eller pålæg fra kompetent myndighed, efter vi har verificeret henvendelsen;
• i forbindelse med en virksomhedstransaktion (såsom fusion eller overtagelse); berørte brugere informeres på forhånd.

Vi sælger ikke personoplysninger, og vi deler dem ikke til tredjeparts annoncering.

12. Cookies og lokal lagring

Vi anvender kun cookies og browserlagring, der er nødvendige for at drive Tjenesten: session, sikkerhed (CSRF), sprog- og temapræferencer samt en indkøbskurv-id for Praktikere.

Vi anvender for tiden ikke tredjeparts annoncering eller adfærdsanalyse-cookies. Hvis vi tilføjer analyser, der kræver samtykke, vil vi indsætte et samtykkebanner først.

Yderligere oplysninger, herunder hvordan du administrerer cookies i din browser, findes i vores Cookiepolitik på /about/cookies.

13. Markedsføringskommunikation

Vi sender kun markedsføringsmails til Praktikere, der har givet samtykke. Hver markedsføringsmail indeholder et afmeldingslink, og du kan også trække samtykket ved at kontakte privacy@onlinejti.com.

Respondenter modtager ikke markedsføring. Servicemails (såsom invitationer og resultatbeskeder) sendes på baggrund af aftaleforholdet og kan ikke afmeldes, så længe du har en aktiv kortlægningsregistrering.

14. Dine rettigheder

Efter GDPR har du følgende rettigheder vedrørende dine personoplysninger. Vi besvarer verificerede henvendelser inden for 30 dage.

• Ret til indsigt (artikel 15) — bekræftelse på, at vi behandler dine data, og kopi af personoplysningerne.
• Ret til berigtigelse (artikel 16) — korrigere ukorrekte eller ufuldstændige data. Selve kortlægningssvarene kan ikke ændres efter fuldførelse (det er et datakvalitetskrav i JTI-metoden), men identitetsdata omkring kan rettes af din Praktiker.
• Ret til sletning (artikel 17) — anmod om sletning af dine personoplysninger. Vi gennemfører dette ved anonymisering, hvor identificerende felter fjernes, mens type og scorer beholdes i ikke-identificerbar form til aggregeret statistik.
• Ret til begrænsning (artikel 18) — pause behandlingen i nærmere bestemte tilfælde.
• Ret til dataportabilitet (artikel 20) — modtage dine data i et struktureret, almindeligt anvendt og maskinlæsbart format. Respondenter kan selv eksportere JSON fra kontosiden.
• Ret til at gøre indsigelse (artikel 21) — gøre indsigelse mod behandling baseret på legitim interesse, herunder profilering.
• Ret til at trække samtykke — når som helst og uden at påvirke lovligheden af tidligere behandling.
• Ret til ikke at være underlagt automatiserede afgørelser med retsvirkning eller tilsvarende betydelig indflydelse (artikel 22) — vi gennemfører ikke sådan afgørelsestagning.

Selvbetjening

Respondenter kan eksportere deres data og anmode om øjeblikkelig sletning fra privatlivssektionen på kontosiden (/account). Sletningen udføres af AnonymizationService og kan ikke fortrydes.

Sådan udøver du dine rettigheder

For data knyttet til en Kortlægning, kontakt din Praktiker først; vedkommende er dataansvarlig. Du kan også kontakte os direkte på privacy@onlinejti.com, og vi videresender henvendelsen til den rette part.

Ret til at klage

Hvis du mener, vi ikke har behandlet dine personoplysninger korrekt, kan du klage til en tilsynsmyndighed. Tilsynsmyndighed for Optimas er Datatilsynet (Norge), Postboks 458 Sentrum, 0105 Oslo, post@datatilsynet.no, https://www.datatilsynet.no. Som dansk borger kan du også henvende dig til Datatilsynet (Danmark), https://www.datatilsynet.dk.

15. Sikkerhed

Vi anvender tekniske og organisatoriske foranstaltninger tilpasset risikoen, herunder:

• TLS 1.2 eller højere for alle data under overførsel;
• kryptering i hvile for databaser og sikkerhedskopier;
• saltet bcrypt til passwordhashing og JWT-baseret godkendelse;
• tofaktorgodkendelse via SMS for følsomme konti;
• rollebaseret adgangskontrol og isolation mellem Distributør-tenanter;
• sårbarhedsstyring, opfølgning på afhængigheder og rutinemæssig opdatering;
• Hændelseshåndteringsplan med varsling af tilsynsmyndighed inden for 72 timer og af berørte brugere uden unødigt ophold, hvor loven kræver det;
• pseudonymisering af personidentifikatorer i AI-rettede data: rigtige navne på Praktikere, respondenter og teammedlemmer erstattes med sessionsstabile kodenavne, før data krydser grænsen til AI-leverandøren, og demografiske detaljer fjernes helt fra AI-rettede data.

Ingen sikkerhedsforanstaltninger er perfekte. Hvis du opdager en sårbarhed, bedes du rapportere det til security@onlinejti.com.

16. Børn

Tjenesten er ikke rettet mod børn under 16, og vi indsamler ikke bevidst personoplysninger fra børn under 16. Hvis du bliver opmærksom på, at et barn har afgivet personoplysninger til Tjenesten, bedes du kontakte privacy@onlinejti.com, så vi kan fjerne dem.

17. Ændringer i denne Privatlivspolitik

Vi kan opdatere denne Privatlivspolitik fra tid til anden. Den gældende version vises øverst på denne side. Når vi foretager væsentlige ændringer, opdaterer vi versionsreferencen og beder dig acceptere på ny i applikationen før næste brug af Tjenesten.

18. Kontakt og tilsynsmyndighed

Optimas Organisasjonspsykologi AS er dataansvarlig for de personoplysninger, der er beskrevet i denne politik, medmindre andet er angivet.

Optimas Organisasjonspsykologi AS
Myrdalskogen 435, 5117 Ulset, Norge
Norsk organisationsnummer: 979 972 660

Privatliv og dataindsigt: privacy@onlinejti.com
Juridiske henvendelser og databehandleraftaler: legal@onlinejti.com
Sikkerhedshændelser: security@onlinejti.com

Du kan også kontakte Datatilsynet på post@datatilsynet.no.