Her kan du læse, hvordan personoplysninger behandles i forbindelse med ServiceStep, hvem du skal kontakte, og hvilke rettigheder du har. Politikken skelner mellem de oplysninger, din organisation arbejder med i systemet, og IT Eksperten ApS’ behandling til egne formål.
1 Hvem du kan kontakte
ServiceStep leveres af IT Eksperten ApS, CVR 35398929, Stenbjerg 10, 3200 Helsinge. Al kommunikation, herunder persondatahenvendelser, sendes til info@servicestep.dk. Skriv gerne “Persondata ServiceStep” i emnefeltet. Send ikke adgangskoder, authenticator-nøgler eller gendannelseskoder.
Hvis henvendelsen handler om oplysninger i en organisations sag, opgave eller tidsregistrering, skal du normalt kontakte den organisation. Vi hjælper med at afklare rette modtager. IT Eksperten ApS har en ekstern GDPR-rådgiver tilknyttet; der er ikke udpeget en formel databeskyttelsesrådgiver (DPO).
2 Hvem der har ansvaret
Din organisation fastlægger normalt formålet med de sager, beskeder, kontakter, opgaver og tidsoplysninger, der behandles i dens arbejdsområde. Organisationen er da dataansvarlig, og IT Eksperten ApS behandler oplysningerne på dens vegne efter en databehandleraftale.
Hvis organisationen selv leverer IT-support eller andre ydelser på vegne af sine kunder, kan den i stedet være databehandler, og IT Eksperten ApS underdatabehandler. Den konkrete rolle afhænger af, hvem der faktisk bestemmer formål og væsentlige hjælpemidler. Organisationens egen information om personoplysninger supplerer derfor denne politik.
IT Eksperten ApS er selvstændigt dataansvarlig for de oplysninger, der behandles til egne formål, fx kontakt med aftalepartnere, fakturering, håndtering af egne retskrav og relevante sikkerhedsformål. Logning og support kan også ske som behandling på kundens vegne; rollen vurderes efter det konkrete formål og beskrives i aftalen.
3 Hvilke oplysninger der kan indgå
Oplysningerne afhænger af de moduler og integrationer, som organisationen anvender. De kan omfatte navn, arbejdsmail, telefon, arbejdssted, afdeling, rolle, kundetilknytning, sagsnummer, beskeder, interne noter, vedhæftninger, aftaler, opgaver, deltagere, ansvarlig og frister.
Der kan også indgå oplysninger om opgavestatus, aktive arbejdsperioder, pauser, godkendt tidsforbrug og korrektioner samt tekniske hændelser, IP-adresse, tidspunkt, browser-/klientoplysninger og identifikatorer for login og integrationer. Kunden skal informere medarbejderne om sin konkrete anvendelse af arbejdstidsoplysninger og rapporter.
Kontobeskyttelse omfatter adgangskodehash, krypteret authenticator-nøgle, kontrolværdi for gendannelseskoder og eventuelt et kontrolspørgsmål med et hashet svar. Disse oplysninger må ikke deles med andre. Vi anmoder ikke om dit kontrolsvar eller dine koder gennem uopfordrede e-mails.
Tjenesten er ikke som udgangspunkt beregnet til helbredsoplysninger, andre særlige kategorier, CPR-numre eller oplysninger om strafbare forhold. Organisationen skal begrænse fritekst og filer og kun bruge sådanne oplysninger, hvis anvendelsen er lovligt og særskilt aftalt.
4 Hvor oplysningerne kommer fra
Oplysninger kan komme fra dig selv, din organisations administratorer og medarbejdere, organisationens kunder eller kontakter, indgående e-mails og de systemer, organisationen har valgt at forbinde. Tekniske oplysninger kan blive dannet, når tjenesten bruges.
Ved Microsoft- eller Google-login behandles de identifikatorer og loginoplysninger, der er nødvendige for den valgte forbindelse. Mail-, Teams-, Outlook- og øvrige integrationer kan hente eller sende oplysninger inden for deres aktiverede funktioner og tilladelser. Der skal gives særskilt, relevant information om en integration, hvis den ændrer den faktiske behandling væsentligt.
5 Formål og retsgrundlag
For kundens sags- og opgavebehandling fastlægger kunden behandlingsgrundlag og oplysningspligt. Et abonnement eller en databehandleraftale er ikke i sig selv kundens behandlingsgrundlag over for medarbejdere eller andre registrerede.
| Vores eget formål | Typiske oplysninger | Retsgrundlag der skal anvendes konkret |
|---|---|---|
| Aftale og kontakt med organisationen | Kontaktperson, rolle, e-mail og aftalehistorik | Artikel 6 stk. 1 litra f for relevante kontaktpersoner. Litra b, hvis personen selv er aftalepart. |
| Fakturering og lovpligtig dokumentation | Faktura- og betalingsoplysninger, relevante kontaktdata | Artikel 6 stk. 1 litra c, når en konkret retlig pligt gælder. Øvrig aftaleadministration vurderes særskilt. |
| Sikkerhed og forebyggelse af misbrug til egne formål | Begrænsede login- og hændelsesoplysninger | Artikel 6 stk. 1 litra f efter dokumenteret interesseafvejning. Kundestyret sikkerhedsbehandling kan i stedet være omfattet af databehandleraftalen. |
| Egne henvendelser og retskrav | Korrespondance og nødvendigt dokumentationsmateriale | Artikel 6 stk. 1 litra f. Følsomme oplysninger kræver desuden et særskilt relevant grundlag. |
6 Vores legitime interesser
Når vi bruger interesseafvejningsreglen, er interesserne at administrere erhvervsrelationer, levere relevant support, beskytte tjenesten og dens brugere mod misbrug samt dokumentere nødvendige retskrav. Behandlingen begrænses til det nødvendige og afvejes over for dine rettigheder. Du kan gøre indsigelse mod behandling på dette grundlag.
Kundernes kontaktoplysninger bruges ikke til nyhedsbreve eller markedsføring. Der er efter leverandørens oplysninger ikke tilføjet statistik- eller markedsføringsværktøjer til ServiceStep. Teknisk drifts- og sikkerhedsovervågning i Azure er et særskilt formål og må ikke forveksles med markedsføringssporing.
7 Modtagere og integrationer
Oplysninger er tilgængelige for autoriserede brugere efter organisationens rettigheder. Tilknytning af sager giver ikke i sig selv adgang til andre organisationers data. Medarbejderes supportadgang til sagsdata kræver organisationsadministratorens godkendelse, er tidsbegrænset til den konkrete supportsag, logges og kan tilbagekaldes når som helst.
Microsoft Azure anvendes til hosting, database, backup og teknisk overvågning. Microsoft 365 anvendes til platformens hovedmail. Der er ikke tilknyttet en ekstern teknisk supportleverandør. Microsoft-abonnementerne leveres gennem Cloud Factory ApS, der efter leverandørens oplysninger alene leverer abonnement og fakturering og ikke har administrator- eller supportadgang til miljøerne. Licenssalg alene gør ikke distributøren til underdatabehandler af kundernes sagsdata.
Kundens egne mail-, storage-, fjernsupport-, SMS-, telefoni- og regnskabsintegrationer bruges efter deres aktivering og tilladelser. Rollen og modtagerne afhænger af den faktiske integration. Kundens egne udbydere bliver ikke automatisk IT Ekspertens underdatabehandlere.
Oplysninger kan udleveres til rådgivere, revisor eller myndigheder, når et konkret lovligt grundlag gør det nødvendigt. En rådgivers tilknytning giver ikke generel adgang til kunders sagsindhold.
8 Placering af data og internationale overførsler
Applikation, database og ServiceSteps backup er oplyst placeret i Microsoft Azure Denmark East i Danmark. Platformens Exchange Online-mail i Microsoft 365 har efter leverandørens oplysninger dataplacering i Nederlandene (Holland). Vedhæftede filer opbevares på kundens egen storageplatform; dens placering følger kundens aftale og opsætning og kan ikke udledes af ServiceSteps Azure-region.
ServiceStep modtager og formidler filindhold ved bl.a. upload og download og behandler tilknyttede filoplysninger. Denne behandling på kundens vegne er omfattet af databehandleraftalen, også når permanent opbevaring sker hos kunden.
Microsofts relevante standardaftale for danske erhvervskunder i CSP-partnerkanalen er Microsoft Customer Agreement med Microsoft Ireland Operations Limited som Microsoft-aftalepart. Microsofts databeskyttelsestillæg (DPA) indgår ved henvisning. Den senest gennemgåede danske DPA er opdateret 22. maj 2026. Den abonnementsmæssigt gældende udgave følger de relevante aftale- og fornyelsesvilkår.
Microsofts DPA beskriver internationale overførsler og standardkontraktbestemmelser mellem Microsoft Ireland Operations Limited og Microsoft Corporation samt supplerende foranstaltninger. De oplyste europæiske placeringer er ikke et ubetinget løfte om, at enhver behandling og fjernadgang er begrænset til Danmark, Nederlandene eller EU/EØS. De faktisk anvendte Microsoft-tjenester, underdatabehandlere og overførselsforhold skal være dokumenteret.
Ved en faktisk overførsel til et tredjeland skal der være et gyldigt grundlag efter GDPR kapitel V med de nødvendige vurderinger og foranstaltninger. Kontakt info@servicestep.dk for oplysninger om de relevante modtagere, lande og garantier samt mulighed for kopi af relevante garantier.
9 Opbevaring og sletning
Oplysninger opbevares efter formål, kundens dokumenterede instruks og gældende ret. Deaktivering og arkivering er ikke sletning. Kundens valg af opbevaringsperiode skal afspejle dens eget behov og lovgrundlag; femårsstandarden er ikke en generel lovpligtig frist for sager og opgaver.
| Oplysningstype | Opbevaring og sletning |
|---|---|
| Afsluttede sager og ToDo under aktivt abonnement | Kunden kan vælge slettefrist. Standard er 5 år fra seneste lukning af sagen henholdsvis afslutning af ToDo. Genåbnes og afsluttes den igen, starter fristen forfra. |
| Medarbejderadgang og historik | Organisationsadministratoren administrerer adgangen. Ved lukning bevares navn og handlinger i historikken efter den relevante sags eller opgaves frist. Ikke-nødvendige profiloplysninger må ikke bevares uden et konkret behov. |
| Tekniske adgangs- og sikkerhedslogs | 90 dage. Nødvendig dokumentation for en konkret hændelse eller et retskrav kan undtagelsesvis bevares særskilt, afgrænset efter dokumenteret grundlag og behov. |
| Data ved abonnementsophør | 30 dages læse- og eksportadgang for organisationsadministratoren efter faktisk ophør. Oprettelse og ændringer er låst. Herefter slettes data fra den aktive løsning, med forbehold for konkret lovpligtig opbevaring og ufravigelige rettigheder. |
| ServiceSteps backup | Daglig backup med højst 30 dages opbevaring. Slettede data kan bestå i backup højst 30 dage efter aktiv sletning, normalt højst 60 dage efter abonnementsophør. Tidligere sletteinstrukser genanvendes ved gendannelse. |
| Kundens eksternt lagrede filer | Når en sag slettes, fjernes links og filoplysninger i ServiceStep; filerne på kundens storageplatform slettes ikke. Kunden håndterer sletning og backup dér. |
| Leverandørens regnskabsmateriale | Som udgangspunkt 5 år fra udgangen af det regnskabsår, materialet vedrører, efter bogføringsreglerne. Dette omfatter ikke automatisk hele kundens sagsarkiv. |
| Aftaledokumentation og egne retskrav | Relevante oplysninger bevares, så længe de er nødvendige for at dokumentere aftalen og håndtere konkrete krav efter deres gældende frister. Længere bevaring kræver et dokumenteret behov; der bevares ikke hele kundens data af den grund. |
10 Cookies og lokal lagring
ServiceStep bruger cookies og browserlagring til login, adgangsbeskyttelse og de funktioner, brugeren vælger at anvende. IT Eksperten ApS er udbyder af ServiceSteps nedenstående lagring. Der er ikke indbygget annoncepixels, statistikværktøjer eller markedsføringssporing i den gennemgåede ServiceStep-kode. På produktionssidens offentlige login blev der den 30. oktober 2026 kun observeret sessionscookien msp_session og ingen localStorage eller sessionStorage.
En sessionscookie opbevares normalt, til browserens session slutter. sessionStorage er knyttet til den enkelte fane eller indlejrede visning og bevares under genindlæsning. Browserens eller Microsoft-klientens gendannelse af en session kan bevare sessionsdata længere end en almindelig lukning. localStorage kan bestå efter lukning, indtil appen eller brugeren fjerner oplysningerne. En lagret loginværdi giver ikke adgang efter serverens udløb eller tilbagekaldelse.
| Navn og type | Formål og indhold | Levetid og fjernelse |
|---|---|---|
| msp_session — cookie på ServiceStep-adressen | Tilfældigt sessions-id til login, sikkerheds- og CSRF-kontrol samt nødvendige sessionstilstande. Cookieværdien indeholder ikke adgangskoden. | Sessionscookie. Adgang begrænses også af automatisk logout og maksimal sessionstid. Organisationens standard er 30 minutters inaktivitet og højst 12 timers websession; de kan konfigureres inden for systemets grænser. Logout ophæver loginadgangen, selv om browseren fortsat kan have en anonym sessionscookie. |
| servicestep_teams_auth — cookie på ServiceStep-adressen | Binder Teams-loginets popup, Microsoft-tilbagekald og eventuel flerfaktorkontrol til samme browser. | Sessionscookie, kun ved Teams-login. Loginflow og flerfaktorkontrol har særskilte korte serverfrister, normalt 5 minutter. Cookiens tilstedeværelse er ikke i sig selv et gyldigt login. |
| msp_installer — cookie på installationssiden | Sessions- og CSRF-beskyttelse under den indledende opsætning. | Sessionscookie. Bruges kun, mens installation er tilgængelig; installationssiden låses efter opsætning. |
| msp-teams:<adresse>:<organisation>:<Microsoft-bruger>:<tenant> — sessionStorage | ServiceSteps adgangstoken til Teams-visningen, adskilt efter organisation og Microsoft-identitet. | Den pågældende fanes eller klientvisnings session; værdien fjernes ved logout eller afvist login. Serverens sessionspolitik kan kræve nyt login tidligere. Standard er 30 minutters inaktivitet og højst 8 timer, konfigurerbart og med et teknisk loft på 24 timer. |
| msp-outlook:<sti og organisation>:<mailprofil> — localStorage og sessionStorage | ServiceSteps adgangstoken, adskilt efter organisation og Outlook-mailprofil. localStorage indeholder også et udløbstidspunkt. Selve adgangskoden og mailindholdet gemmes ikke her af denne funktion. | localStorage har en gyldighedskontrol på 8 timer fra lagringen og fjernes ved senere indlæsning, når den er udløbet, samt ved logout eller afvist login. Den fysiske værdi kan bestå efter de 8 timer, hvis visningen ikke åbnes igen. sessionStorage er en sessionskopi. Serverens inaktivitets- og maksimumsfrister kan afbryde adgangen tidligere; standard er 30 minutter og 8 timer, teknisk højst 24 timer. |
| msp-outlook:<sti og organisation> — ældre sessionStorage-nøgle | Kompatibilitet med en tidligere Outlook-session ved opgradering. | Kan læses ved overgang til den profilspecifikke nøgle og fjernes ved den nye lagring. Ellers følger den sessionStorage-sessionen; serveren kontrollerer fortsat adgangstokenet. |
| msp-call-draft:<adresse>:<appsti>:<medarbejder>:<opkald> — sessionStorage | Gemmer den note, medarbejderen er ved at skrive om et telefonopkald, så den kan genfindes i samme fane. Noten kan indeholde de personoplysninger, medarbejderen selv indtaster. | Fjernes efter vellykket lagring af noten. En ikke-gemt kladde kan blive i fanens sessionStorage, indtil fanens session slutter eller brugeren rydder lagringen. |
| msp-call-draft:<adresse>:<appsti>:<medarbejder>:seen — sessionStorage | Op til 200 opkalds-id'er for allerede viste opkaldsnotifikationer, så samme opkald ikke gentagne gange udløser en ny notifikation. | Den pågældende fanes sessionStorage-session. Listen begrænses løbende til de seneste 200 id'er. |
Navnedele i vinkelparenteser er variable og angiver, hvordan lagringen adskilles mellem adresser, organisationer og brugere. Teams-, Outlook- og telefonilagring bruges kun, når de pågældende funktioner anvendes. Nødvendige indstillinger og dokumentkladder, som ServiceStep gemmer i databasen, er serverdata og ikke browsercookies.
Azure kan efter den konkrete hostingopsætning anvende sessionscookies som ARRAffinity og ARRAffinitySameSite til at sende brugerens anmodninger til samme server. De blev ikke observeret på produktionssidens offentlige login ved kontrollen den 30. oktober 2026. Hvis de anvendes, er Microsoft Azure den tekniske udbyder, og formålet er sessionstilknytning. De har normalt sessionslevetid.
Teams og Outlook indlæser Microsofts klientbiblioteker fra henholdsvis res.cdn.office.net og appsforoffice.microsoft.com. Eksternt Microsoft- eller Google-login foregår på den valgte udbyders domæner. Disse tjenester og de omgivende Microsoft-klienter kan bruge egne login-, sikkerheds- og klientlagringer efter deres egne oplysninger og brugerens eller organisationens opsætning. De er ikke det samme som ServiceSteps ovenstående nøgler. Oplysninger om udbydernes behandling findes i Microsofts og Googles privatlivs- og cookieoplysninger.
Cookies og lignende teknologier, der er strengt nødvendige til den tjeneste eller funktion, brugeren har anmodet om, anvendes uden cookiesamtykke efter den relevante undtagelse. Undtagelsen omfatter ikke generelt statistik, annoncering eller anden unødvendig sporing. Sådanne formål er ikke indført med denne oversigt og kræver en særskilt vurdering og, hvor reglerne kræver det, forudgående samtykke.
Du kan rydde cookies og webstedsdata i browseren eller den anvendte Microsoft-klient. Det kan logge dig ud og slette ikke-gemte telefonikladder. Blokerer du nødvendig lagring, kan login og de berørte funktioner holde op med at virke. Kontrollér oversigten igen, når hosting, loginudbydere, klientbiblioteker eller integrationer ændres.
11 Dine rettigheder
Du kan efter reglernes betingelser anmode om indsigt, berigtigelse, sletning og begrænsning, gøre indsigelse og i relevante tilfælde få udleveret oplysninger ved dataportabilitet. Rettighederne er ikke ubetingede; nødvendige lovpligtige opbevaringer og andres rettigheder kan have betydning.
En anmodning vedrørende oplysninger, vi er dataansvarlige for, sendes til info@servicestep.dk. Vi kan bede om nødvendig dokumentation for identiteten og svarer som udgangspunkt inden en måned. En eventuel lovlig forlængelse forklares inden for den første måned. Anmodninger om kundens data håndteres af den relevante dataansvarlige med vores bistand.
Hvis en behandling bygger på samtykke, kan du trække samtykket tilbage for fremtiden. Det ændrer ikke lovligheden af den behandling, der allerede er sket. Du kan klage til Datatilsynet via www.datatilsynet.dk eller til den kompetente tilsynsmyndighed i dit land.
12 Øvrige oplysninger og ændringer
Nogle konto- og kontaktoplysninger er nødvendige for at oprette adgang og administrere aftalen. Uden dem kan en konto eller funktion ikke nødvendigvis oprettes. Nødvendige felter skal fremgå ved indsamlingen.
ServiceSteps gennemgåede funktioner er ikke beskrevet som udelukkende automatiske afgørelser med retsvirkning eller tilsvarende væsentlig påvirkning. Den konkrete brug hos kunden skal vurderes særskilt, herunder prioritering og anvendelse af tidsrapporter. En