Persondatapolitik for Keystone

Keystone drives af en dansk virksomhed med hjemsted i Danmark. Virksomheden er dataansvarlig for de personoplysninger, der behandles, når du bruger Keystone. De fulde registreringsoplysninger offentliggøres her, så snart de er på plads.

Har du spørgsmål til denne politik eller til dine oplysninger, så skriv til support@keystone.dk — du får svar fra et menneske. Handler det om sikkerhed, kan du skrive til security@keystone.dk.

CVR-nr. følger ved lancering

Vi behandler kun det, der skal til for at levere Keystone — og langt det meste har du selv valgt at lægge ind. Her er det hele, gruppe for gruppe:

• Din konto: e-mailadresse, adgangskode (gemt som kryptografisk hash — vi kender den ikke), navn, telefonnummer, sprog og tidszone. Du kan frivilligt tilføje adresse, fødselsdato og CPR-nummer. CPR-nummeret bruges alene til at bekræfte et anmeldt dødsfald; det opbevares krypteret og vises altid maskeret.
• Indholdet i din Keystone: de punkter, dokumenter og noter, du selv lægger ind. Du bestemmer indholdet, og det kan omfatte følsomme oplysninger — for eksempel om helbred i kategorien Helbred. Alt indhold krypteres, og de mest følsomme felter kan du forsegle i din browser, før de sendes. Forseglede felter kan vi ikke læse — det er hele pointen.
• Betroede kontakter og invitationer: navn, e-mail, telefonnummer og relation for de mennesker, du selv indtaster. Det er oplysninger om andre end dig. Det er dit ansvar at have en god grund til at lægge dem ind — og vores at beskytte dem lige så godt som dine egne.
• Betaling: din plan, dine køb og din betalingshistorik. Selve kortbetalingen sker hos Stripe — kortnummeret indtastes direkte hos Stripe og når aldrig Keystones servere.
• Frigivelse og dødsfald: anmelder en pårørende eller bedemand et dødsfald, modtager vi anmelderens navn og kontaktoplysninger samt dokumentation — typisk dødsattest og legitimation. Se afsnit 4.
• Familietjekket: tager du testen, gemmer vi dine svar og dit resultat. Uden konto er de anonyme; opretter du en konto bagefter, kobles de på den.
• Tekniske oplysninger: IP-adresse og browsertype ved login, dine aktive sessioner og aktivitetsloggen. Slår du push-notifikationer til, gemmer vi den push-adresse, din browser udsteder.
• Partnertilbud: takker du ja til at blive kontaktet af en partner, fryser vi navn, e-mail og telefonnummer i et øjebliksbillede, så du altid kan se præcis, hvad partneren fik — og med hvilket samtykke.

Vi indsamler ikke oplysninger om dig fra andre kilder, og vi køber aldrig data om dig.

Hvert formål har sit retsgrundlag i databeskyttelsesforordningen (GDPR). I almindeligt sprog:

• At levere Keystone — kontoen, indholdet, kontakterne, betalingen og frigivelsen — er selve aftalen mellem os (artikel 6, stk. 1, litra b).
• Følsomme oplysninger, du selv vælger at gemme — for eksempel om helbred — behandler vi, fordi du udtrykkeligt beder os opbevare dem (artikel 9, stk. 2, litra a). De mest følsomme kan du forsegle, så heller ikke vi kan læse dem.
• Sikkerhed — aktivitetsloggen, sessioner og beskyttelse mod misbrug — hviler på vores legitime interesse i at passe på din Keystone (artikel 6, stk. 1, litra f).
• Partnertilbud sker kun med dit udtrykkelige samtykke (artikel 6, stk. 1, litra a), som du kan trække tilbage, så længe henvendelsen er åben.
• Bogføringsbilag opbevarer vi, fordi bogføringsloven kræver det (artikel 6, stk. 1, litra c).

Vi sender ikke nyhedsbreve eller markedsføringsmails. De e-mails, du får fra Keystone, handler om din konto: kvitteringer, sikkerhedsadvarsler, invitationer, påmindelser og frigivelsen.

Keystone handler om det, der sker, når nogen dør — derfor har afdøde deres eget afsnit. I Danmark beskytter databeskyttelsesloven oplysninger om afdøde i 10 år efter dødsfaldet, og vi behandler dem med præcis samme omhu som alle andres.

Dokumentation for et dødsfald — dødsattest og anmelderens legitimation — behandles strengt fortroligt. Den ses kun af Keystones administratorer og bruges kun til ét: at be- eller afkræfte dødsfaldet, før en frigivelse kan begynde.

Efter en frigivelse ser hver betroet kontakt kun det, ejeren selv har valgt at dele med netop dem — hverken mere eller mindre. Hver eneste adgang skrives i aktivitetsloggen.

Vi sælger aldrig dine oplysninger, viser ikke annoncer og deler intet for at tjene penge på det. Det, vi deler, deles for at kunne drive Keystone — med databehandlere, der er bundet af databehandleraftaler og kun må behandle dine data efter vores instruks:

• Fly.io — driver de servere, Keystone kører på (Frankfurt, EU).
• Neon — databasen, hvor dine krypterede data ligger (Frankfurt, EU).
• Cloudflare R2 — objektlageret til dine dokumenter (EU data residency).
• Stripe — håndterer al betaling. Dit kortnummer indtastes direkte hos Stripe og gemmes aldrig hos os (EU/USA).
• Postmark — sender vores e-mails, for eksempel kvitteringer og sikkerhedsadvarsler (USA).
• Sentry — fejlovervågning. Modtager tekniske fejlrapporter, som vi har sat op til ikke at indeholde personoplysninger, cookies eller IP-adresser (USA).
• Apple, Google eller Mozilla — kun hvis du slår push-notifikationer til: beskeden leveres gennem din browsers push-tjeneste og indeholder aldrig indholdet af din Keystone.

Derudover ser dine betroede kontakter det, du selv deler med dem. Takker du ja til et partnertilbud, får partneren dit navn, din e-mail og dit telefonnummer — aldrig indholdet af din Keystone. Og myndigheder udleverer vi kun til, hvis loven kræver det.

Dine data i hvile — databasen og dine dokumenter — ligger i Frankfurt og forlader ikke EU.

Tre af vores databehandlere er amerikanske: Stripe (betaling), Postmark (e-mail) og Sentry (fejlovervågning). Overførsler til dem hviler på EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework og på EU's standardkontraktbestemmelser (SCC), hvor det er relevant.

Bruger du push-notifikationer, leveres beskederne via din browserleverandørs push-tjeneste (Apple, Google eller Mozilla), som kan behandle push-adressen uden for EU på samme grundlag.

Grundreglen er enkel: Vi gemmer dine oplysninger, så længe du har din konto — og du bestemmer selv, hvornår den skal væk.

• Din konto og din Keystone: så længe kontoen findes. Punkter og dokumenter, du sletter, forsvinder straks fra din Keystone og fjernes endeligt, når kontoen slettes.
• Sletter du kontoen, har du 30 dages fortrydelsesfrist. Derefter slettes indholdet af din Keystone, dine dokumenter, betroede kontakter, invitationer, frigivelsesdokumentation, sessioner og notifikationer permanent, og kontoen anonymiseres — navn, e-mail, telefonnummer og CPR-nummer fjernes.
• Bogføringsbilag — dine køb og abonnementer — opbevares i 5 år fra udgangen af regnskabsåret, som bogføringsloven kræver. Efter en kontosletning står de uden navn og kontaktoplysninger.
• Aktivitetsloggen kan teknisk ikke ændres eller slettes — det er din garanti for, at ingen adgang kan skjules. Ved kontosletning fjerner vi IP-adresser og alle personoplysninger fra loggen; tilbage står kun et anonymt skelet af hændelser.
• Partnersamtykker: øjebliksbilledet af, hvad en partner fik, gemmer vi som dokumentation for samtykket og videregivelsen — også efter en kontosletning.
• Dataeksport: dit eksportarkiv slettes automatisk fra vores servere 72 timer efter, det er bygget.

GDPR giver dig en række rettigheder, og de vigtigste har vi bygget direkte ind i Keystone, så du ikke skal skrive en ansøgning for at bruge dem:

• Indsigt og dataportabilitet: Under Indstillinger kan du når som helst hente en fuld eksport i åbne formater — med dine oplysninger, dokumenter, aktivitetslog og de forseglede felter inklusive en offline-læser.
• Berigtigelse: Du kan selv rette alle dine oplysninger direkte i appen.
• Sletning: Du kan slette enkelte punkter og dokumenter med det samme — eller hele kontoen med 30 dages fortrydelsesfrist.
• Tilbagetrækning af samtykke: Et partnersamtykke trækker du tilbage under Mine henvendelser, så længe henvendelsen er åben.
• Begrænsning og indsigelse: Du kan bede os begrænse behandlingen eller gøre indsigelse mod behandling, der hviler på legitim interesse — skriv til support@keystone.dk.

Du kan altid klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby. Vi vil helst høre fra dig først — så finder vi som regel en løsning — men retten er din:

Datatilsynet — datatilsynet.dk →

Keystone bruger ingen tracking-cookies, ingen tredjeparts-analyse og ingen annoncer. Derfor ser du heller intet cookie-banner — der er ingenting at takke nej til. De cookies, vi sætter, er nødvendige for, at tjenesten virker:

• Login: en cookie, der husker, at du er logget ind, og en kortlivet cookie, mens du gennemfører to-faktor-login.
• Session: en teknisk sessionscookie, der blandt andet beskytter formularer mod forfalskning (CSRF).
• Familietjekket: tager du testen uden konto, husker en cookie dit resultat i 30 dage, så det kan kobles på en ny konto.
• Partnerlinks: kommer du til Keystone via en partners side, husker en cookie henvisningen i 30 dage.

Alle cookies er vores egne, signerede og utilgængelige for JavaScript på siden. Ingen af dem bruges til at følge dig rundt på nettet.

Al trafik til og fra Keystone er krypteret (TLS). I databasen krypteres navn, telefonnummer, CPR-nummer og indholdet i din Keystone felt for felt med AES-256-GCM, og de mest følsomme felter kan forsegles i din browser, før de sendes — dem kan vi ikke læse, uanset hvem der spørger.

Dertil kommer to-faktor-login, en aktivitetslog, der teknisk ikke kan ændres, hosting i EU — og en frigivelse, der kræver dokumentation, manuel verifikation og 72 timers venteperiode.

Læs hele sikkerhedshistorien på siden Sikkerhed →

Vi opdaterer denne politik, når tjenesten eller lovgivningen udvikler sig. Væsentlige ændringer varsler vi på e-mail eller i appen, inden de træder i kraft — vi ændrer aldrig noget vigtigt i stilhed.