Privatlivspolitik

1. Kort fortalt

Alt i denne politik er kontrolleret mod applikationens kildekode. Hvis du har brug for en oplysning om noget af det, kan du henvende dig til os via kontaktoplysningerne i punkt 2.

BrickDb er en tjeneste fra ThreeB IT GmbH, uden reklameannoncer. Denne politik beskriver, hvilke data der faktisk behandles — ikke hvad der normalt står i den slags tekster.

• Dit samtykke indhentes, før der foretages nogen måling af brug med Google Analytics. Uden det finder den ikke sted: der indlæses intet script, der sættes ingen identifikator, og der sendes intet til Google. Nærmere i punkt 10.
• Uden dit samtykke oprettes der ingen forbindelse til en tredjepart, når en side åbnes. Også skrifttyperne ligger på vores egen server.
• Fotos er kun synlige for dig og for de medlemmer, som du i en delt samling har givet adgang til de private oplysninger; på en samlings offentlige side vises de ikke. Nærmere i punkt 8.2. Indlejrede metadata — herunder GPS-koordinater — fjernes under behandlingen.
• Der gemmes intet på enheden, som du kunne genkendes på, før du aktivt har valgt en indstilling, er logget ind eller har givet samtykke. Hvad browseren rent teknisk har brug for af hensyn til formularernes sikkerhed, og hvad der bærer dit login, står fuldstændigt i punkt 6.1; hvad appen lægger på enheden, står i punkt 6.5. Din beslutning om målingen af brug kan du til enhver tid ændre nederst på hver side.

2. Dataansvarlig

Dataansvarlig i henhold til artikel 4, nr. 7, i databeskyttelsesforordningen (GDPR) er:

ThreeB IT GmbH
Bergstrang 105
49479 Ibbenbüren
Tyskland
Telefon: +49 (5451) 893922-0
E-mail: hello@brickdb.net

Repræsenteret af direktørerne (Geschäftsführer) Thimo Buchheister og Thorsten Brügge.

Der er ikke udpeget en databeskyttelsesrådgiver.

3. Besøg på webstedet

Når www.brickdb.de eller en af de øvrige adresser, som BrickDb kan nås på (www.brickdb.at, www.brickdb.ch, www.brickdb.dk, www.brickdb.nl, www.brickdb.be, www.brickdb.fr, www.brickdb.it, www.brickdb.lu, www.brickdb.es, www.brickdb.co.uk, www.brickdb.us, www.brickdb.com.mx, www.brickdb.eu, www.brickdb.net), åbnes, behandler webserveren de data, som en browser af tekniske grunde skal sende, for at en side kan leveres: IP-adresse, dato og klokkeslæt for forespørgslen, den adresse, der anmodes om, den overførte datamængde og statuskoden, browserens og styresystemets kendetegn (user agent) samt den sprogpræference, som browseren sender (Accept-Language).

Disse data opstår nødvendigvis ved enhver forbindelse på internettet. De behandles for at levere siden, sikre den tekniske funktion og afværge angreb.

Sprogpræferencen bruges til endnu et snævert afgrænset formål: den regionsangivelse, den indeholder (for eksempel DE fra de-DE), læses, mens forespørgslen besvares, for at forvælge et land: på listen over begivenheder og for priserne på siderne for sæt og minifigurer, altså hvilke butikkers priser der vises, hvilken Amazon-butik der linkes til, og i hvilken valuta priserne vises. Hvis du er logget ind og har angivet et land i din profil (punkt 7.2), bruges dette land i stedet. Et land, som du har valgt og gemt på selve siden (punkt 6.1, bd-country), går forud for begge dele. Regionsangivelsen gemmes ikke, sammenkøres ikke med andre data og videregives ikke; det valgte land står synligt på siden — på listen over begivenheder også i adresselinjen — og kan ophæves dér med ét klik.

På de adresser, der hører til ét land (for eksempel www.brickdb.de eller www.brickdb.fr), følger landet af selve adressen. På www.brickdb.net og www.brickdb.eu, som ikke hører til noget enkelt land, kommer der endnu en oplysning til: det foranstillede leveringsnetværk (Azure Front Door, en tjeneste fra den i punkt 4 nævnte databehandler Microsoft) udleder dér, ved netværkets kant, en landekode på to bogstaver (for eksempel SE) af forespørgslens IP-adresse og giver den videre til applikationen. Den tjener samme formål som regionsangivelsen: at forvælge et land for priser og begivenheder. Applikationen modtager intet andet end denne kode, og navnlig ingen mere præcis placering; koden gemmes ikke, logges ikke og sammenkøres ikke med andre data. Der bruges ingen geolokaliseringstjeneste fra en tredjepart; IP-adressen videregives ikke til dette formål til nogen, som ikke i forvejen behandler den for at levere siden. Retsgrundlaget for dette er artikel 6, stk. 1, litra f, i GDPR; den legitime interesse består i at vise dig priser og begivenheder for dit eget land uden først at spørge dig om det. Du kan til enhver tid tilsidesætte det ved selv at vælge et land på siden (punkt 6.1, bd-country).

Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR. Den legitime interesse består i en teknisk fejlfri og sikker drift af tjenesten.

Opbevaringsperiode: Applikationen fører ikke selv nogen adgangslog. Logfiler, der opstår på infrastrukturniveau, opbevares kun så længe, som det er nødvendigt for driftssikkerheden, og højst i 30 dage, medmindre de er nødvendige for at opklare en konkret sikkerhedshændelse.

4. Hosting

Tjenesten drives på Microsoft Azure; udbyderen er Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Som behandlingssted er valgt Azure-regionen Germany West Central (Frankfurt am Main); databasen og fillageret ligger dermed i Tyskland.

Microsoft er i den henseende databehandler i henhold til artikel 28 i GDPR på grundlag af Microsoft Products and Services Data Protection Addendum.

Forespørgsler til BrickDb går gennem Microsofts leveringsnetværk Azure Front Door. Det modtager forbindelsen på et sted i nærheden af dig — som kan ligge uden for Tyskland og uden for EU og EØS — og sender den videre; applikationen og alle gemte data forbliver i Germany West Central (Frankfurt am Main). Også dette sker som led i databehandlingen på vores vegne på grundlag af Microsoft Products and Services Data Protection Addendum; for så vidt det indebærer en overførsel til et tredjeland, gælder det, som det følgende afsnit siger om Microsoft under »Overførsel til tredjelande«.

Overførsel til tredjelande: Adgang fra tredjelande kan ikke helt udelukkes i forbindelse med support og vedligeholdelse. Microsoft baserer sådanne overførsler på Europa-Kommissionens standardkontraktbestemmelser og er desuden certificeret under EU-US Data Privacy Framework.

5. Skrifttyper og eksternt indhold

De anvendte skrifttyper leveres fra vores egen server. Der indlæses ingen skrifttyper fra tredjeparters servere — navnlig ikke fra Google Fonts. Der findes ingen kort, videoer, plug-ins til sociale medier eller andet indlejret indhold fra tredjeparter.

Uden dit samtykke oprettes der ingen forbindelse til en tredjepart, når en side åbnes, og ingen IP-adresse overføres til en tredjepart.

Den eneste undtagelse er målingen af brug efter punkt 10, og den er ikke en indskrænkning af denne sætning, men dens betingelse: Googles script indlæses først, når du har givet dit samtykke i samtykkebanneret. Så længe du hverken har accepteret eller afvist, indlæses der intet fra Google — heller ikke et såkaldt cookieløst ping.

6. Lagring på enheden

BrickDb sætter ingen cookies til markedsførings- eller reklameformål. Der gemmes udelukkende det, der fastholder en bevidst valgt indstilling, det, som formularernes sikkerhed kræver, det, der bærer dit login, hvis du logger ind — og, hvis du har accepteret målingen af brug efter punkt 10, de analysecookies, der er beskrevet dér. Ingen af analysecookiesene sættes, før du har accepteret.

6.1 Hvad der gemmes

De første fem poster indeholder udelukkende den senest valgte værdi. De indeholder intet identifikationsnummer og intet, som en person eller en enhed kunne genkendes på. Alle fem er førstepartslagring; ingen tredjepart har adgang til dem. Hver af dem gælder kun for den adresse, den blev sat på: et valg, der er truffet på www.brickdb.de, læses ikke på www.brickdb.fr. bd-country opstår, når du vælger og gemmer et land, bd-market-hint, når du lukker henvisningen til, at der findes en egen adresse for dit land — den sørger alene for, at denne henvisning ikke vises igen på hver side. bd-analytics-consent er desuden sat som HttpOnly, fordi intet script i browseren behøver at læse den: om målingen af brug kører, afgør serveren, før siden bliver til.

Den sjette post sættes af det anvendte webframework på hver side, der indeholder en formular — altså også på den side, hvor samtykkebanneret står. Den beskytter disse formularer mod at blive sendt fra et fremmed websted (cross-site request forgery), indeholder ingen oplysning om dig, er HttpOnly og SameSite=Strict og ophører med sessionen. For samtykkebanneret er den grunden til, at ingen udefra kan udløse en accept i dit navn.

De to næste poster opstår først, når du logger ind. bd.auth holder din login-session; dens indhold er krypteret, den er HttpOnly og Secure og sendes kun til dette websted (SameSite=Lax). Den forlænger ikke sig selv: sessionen ophører, når loginets gyldighed udløber, og ikke først, når du holder op med at klikke. Ved logud fjernes den. De to handshake-cookies sætter frameworket kun for varigheden af et enkelt login; de binder tilbagevenden fra login-siden til netop det forløb, du selv har påbegyndt, og fjernes derefter igen.

Den sidste post er analysecookiesene fra punkt 10. De sættes udelukkende efter dit samtykke og indeholder en tilfældig identifikator, som gentagne besøg fra samme browser genkendes på.

6.2 Hvorfor der ikke kræves samtykke til andre poster end analysecookiesene

Den relevante bestemmelse er § 25 i den tyske lov om databeskyttelse inden for telekommunikation og digitale tjenester (TDDDG). Den omfatter enhver lagring af oplysninger på terminaludstyret og enhver adgang til dem — altså ikke kun cookies, men udtrykkeligt også local storage. Efter § 25, stk. 2, nr. 2, i TDDDG er samtykke ikke påkrævet, når lagringen er strengt nødvendig for at kunne levere en tjeneste, som brugeren udtrykkeligt har anmodet om.

Det er tilfældet her, og af grunde, der kan efterprøves på applikationens adfærd:

• Der gemmes intet, før der er truffet et aktivt valg. Blot at åbne siden skriver ingen post. En post opstår udelukkende, når omskifterne for udseende eller sprog betjenes, når du vælger og gemmer et land, eller når du lukker henvisningen til en anden landeadresse.
• Når man vender tilbage til standardindstillingen, slettes posten igen. Vælges "System", fjernes den tilhørende post i stedet for at blive overskrevet.
• Der gemmes netop den indstilling, der udtrykkeligt blev ønsket, og intet andet.
• For bd-analytics-consent gælder det samme af en særlig grund: den fastholder den beslutning, du lige har truffet. Uden den måtte spørgsmålet stilles igen på hver side — også til den, der netop har afvist.
• Antiforgery-cookien er det klareste tilfælde af de tre: uden den kan en formular på dette websted ikke længere sikres mod misbrug udefra, og det gælder også den knap, hvormed du accepterer eller afviser målingen af brug. Den gemmes ikke, fordi noget skal måles, men for at det input, der tæller, er dit eget.
• For de tre login-cookies gælder det tydeligst: uden dem kan et login hverken gennemføres eller opretholdes. Den, der logger ind, anmoder om netop den tjeneste, de leverer, og de opstår først i det øjeblik, den anmodes om — den, der ikke logger ind, får ingen af dem.

En indstilling, der huskes efter udtrykkelig anmodning, er dermed strengt nødvendig for at levere den tjeneste, der er anmodet om; for formularernes sikkerhed og for login gælder det under alle omstændigheder. Der indhentes derfor intet samtykke til disse poster.

Indsigelse og sletning: Posterne for udseende og sprog kan til enhver tid fjernes ved igen at vælge "System" i omskifteren eller ved at slette browserdataene. Siden fungerer uændret uden dem; den vises da med det udseende og det sprog, som henholdsvis styresystemet og browseren angiver. Posterne for landet og for den lukkede henvisning fjerner du ved at slette browserdataene; uden dem forvælges landet igen, sådan som punkt 3 beskriver det.

6.3 Analysecookies — kun efter samtykke

For de cookies, der hører til målingen af brug, gælder § 25, stk. 2, nr. 2, i TDDDG ikke: en måling af brug er ikke nødvendig for den tjeneste, du har anmodet om, og siden fungerer fuldt ud uden den. De falder dermed ind under § 25, stk. 1, i TDDDG og sættes først, når du har accepteret i samtykkebanneret. Banneret vises på den første side, du åbner, og tilbyder accept og afvisning som to lige store knapper ved siden af hinanden — begge dele er et enkelt klik.

6.4 Teknisk nødvendige forbindelsesdata

Brugerfladen gengives på serveren og holder en WebSocket-forbindelse til serveren, mens den er i brug. Den tilhørende sessionstilstand ligger udelukkende i serverens arbejdshukommelse, gemmes ikke på terminaludstyret og ophører, når siden lukkes.

6.5 I appen

BrickDb-appen til mobile enheder og computere viser de samme sider, men lægger intet i et browserlager. Dér ligger indstillingerne for udseende og sprog i styresystemets eget indstillingslager og indeholder, som i punkt 6.1, kun den senest valgte værdi.

Hvis du logger ind i appen, lægges din session i enhedens beskyttede lager — i nøgleringen (Keychain) på iOS og macOS, i det Keystore-sikrede lager på Android. Der lægges fire ting: adgangstokenet, fornyelsestokenet, udløbstidspunktet og angivelsen af, hvilken vej du er logget ind.

Dertil kommer ID-tokenet, og det er det eneste af disse elementer, der indeholder oplysninger om dig. Det udstedes af Auth0, når du logger ind, og lægges dér, fordi appen læser af det, hvem den har foran sig. Det indeholder identifikatoren for din konto hos identitetsudbyderen, dit navn og din e-mailadresse, angivelsen af, om adressen er bekræftet, samt en teknisk engangsværdi fra loginforløbet. Disse oplysninger ligger dermed på enheden, selv om de efter punkt 7.1 ikke overtages i vores database. En adgangskode er ikke iblandt dem, fordi appen ikke modtager nogen (punkt 7.1).

Alle fem elementer fjernes, når du logger ud. Der opbevares ingen kopi af din samling på enheden, og der mellemlagres ingen ændringer til senere overførsel.

7. Brugerkonto

7.1 Login

BrickDb kan bruges uden konto: kataloget, søgningen og scanneren er åbne uden login. En konto har du først brug for, når du vil føre din egen samling.

Login sker via identitetsudbyderen Auth0 (Okta, Inc.), gennem en tenant i Den Europæiske Union. Der tilbydes tre veje: en konto med e-mailadresse og adgangskode, login med en eksisterende Google-konto eller login med din Apple-konto ("Log ind med Apple"). Hvilken af dem du bruger, bestemmer du selv. Det gælder på samme måde for webstedet og for appen.

Loginformularen er en side hos Auth0, ikke hos BrickDb. En adgangskode indtastes, modtages eller videresendes ikke på nogen side hos BrickDb; også ændring af en adgangskode sker hos Auth0. Den, der logger ind via Google eller Apple, har slet ingen adgangskode hos Auth0 — loginoplysningerne ligger da hos Google henholdsvis Apple, og BrickDb ser dem lige så lidt. Med "Log ind med Apple" kan du desuden vælge at skjule din e-mailadresse: BrickDb modtager da en adresse hos Apples videresendelsestjeneste (der ender på @privaterelay.appleid.com), hvorigennem Apple videresender vores e-mails til dig.

Hvad BrickDb modtager i den forbindelse. Efter et vellykket login overdrager Auth0 de oplysninger, der blev anmodet om: en pseudonym identifikator for din konto, de profiloplysninger, der er registreret ved loginet, og din e-mailadresse. Intet af det gemmes ud over den pseudonyme identifikator og det tidspunkt, hvor posten blev oprettet — det er det fuldstændige indhold af vores egen kontopost. Navn, profil og e-mailadresse bliver hos Auth0 og læses dér, når der er brug for dem (punkt 7.2); de overtages ikke i vores database.

Tofaktorgodkendelse tilbydes og kræves aldrig. Den, der ønsker det, kan registrere en godkendelsesapp (TOTP), en enhedsnøgle som Face ID, Touch ID eller Windows Hello, en hardware-sikkerhedsnøgle og gendannelseskoder. Uden en sådan registrering bliver ingen spurgt om det. Koder pr. sms eller pr. e-mail tilbydes bevidst ikke.

Hvad Auth0 behandler i den forbindelse. Auth0 behandler selve loginoplysningerne samt de tekniske data for hvert loginforløb — tidspunkt, IP-adresse samt browser- og enhedskendetegn — for at gennemføre loginet og opdage uretmæssige loginforsøg. Når en konto oprettes, og hver gang en adgangskode ændres, kontrollerer Auth0 desuden, om den valgte adgangskode er dukket op i et kendt databrud, og afviser den i så fald. Ved et almindeligt login finder denne kontrol ikke sted.

Retsgrundlag: artikel 6, stk. 1, litra b, i GDPR — uden en konto kan samlingsfunktionerne ikke leveres. For opdagelsen af uretmæssige loginforsøg og kontrollen mod adgangskoder fra kendte databrud artikel 6, stk. 1, litra f, i GDPR; den legitime interesse består i kontienes sikkerhed. Auth0 er i den henseende databehandler i henhold til artikel 28 i GDPR.

Overførsel til tredjelande: Tenanten ligger i Den Europæiske Union, og det er dér, loginet finder sted. Kontraktparten er imidlertid Okta, Inc. (Auth0) med hjemsted i USA, så adgang derfra — for eksempel i forbindelse med support og vedligeholdelse — kan ikke udelukkes. Okta baserer sådanne overførsler på Europa-Kommissionens standardkontraktbestemmelser, der som særskilte dokumenter er vedlagt databehandleraftalen af 15. december 2023.

Opbevaringsperiode: Kontoposten består, indtil du sletter din konto. Sletningen på kontosiden sletter også kontoen hos Auth0 og dermed de oplysninger, der er registreret dér (punkt 14).

7.2 Profil: navn, tekst om dig, land og valgfri adresse

Du kan registrere et fornavn, et efternavn, en kort tekst om dig selv, dit land, en af vores avatartegninger og — valgfrit — en fuldstændig postadresse.

Intet af det gemmes hos BrickDb. Disse oplysninger ligger hos identitetsudbyderen Auth0 ved din login-konto; BrickDb læser og skriver dem dér i stedet for at holde en kopi: vores egen kontopost indeholder intet andet end en pseudonym identifikator og tidspunktet for dens oprettelse. Når du sletter din konto efter punkt 14, slettes Auth0-kontoen og med den denne profil.

Enhver oplysning er frivillig. Intet af det er påkrævet, intet er en betingelse for at bruge BrickDb, og ingen funktion tilbageholdes fra dig, fordi du lader et felt stå tomt. Du kan til enhver tid ændre eller slette enhver oplysning.

Hvorfor der navnlig spørges om adressen. To formål, begge nævnt her, før feltet tilbydes, og ikke først bagefter:

• Forsikringsvurdering. BrickDb vil tilbyde en vurdering af en samling til forsikringsformål. En sådan vurdering er knyttet til det sted, hvor samlingen opbevares; et forsikringsselskab accepterer den ikke uden denne oplysning.
• En planlagt markedsplads med BrickDb som betroet mellemmand. BrickDb har til hensigt at tilbyde en markedsplads, hvor BrickDb optræder som betroet mellemmand mellem køber og sælger. En parts postadresse er det, der gør en sådan handel henførbar og en tvist mulig at afklare.

Ingen af de to tilbud findes endnu. Adressen bruges ikke til andet: ikke til reklame, ikke til profilering, ikke til nogen form for scoring, og den videregives ikke til tredjeparter.

Dit land bruges desuden til at forvælge et land — på listen over begivenheder og for priserne på siderne for sæt og minifigurer, forud for den sprogpræference fra browseren, der er beskrevet i punkt 3. Det læses hertil hos Auth0, når en sådan side åbnes, gemmes ikke af BrickDb til dette og videregives ikke, og valget kan ophæves på siden med ét klik.

Land og sprog, som du vælger på siden. Hvis du, mens du er logget ind, vælger og gemmer et land og et sprog for siden, lægges begge dele ud over posterne i browseren (punkt 6.1) ved din login-konto hos Auth0, så valget også gælder på en anden enhed og på en anden af BrickDbs adresser. BrickDb holder heller ikke nogen egen kopi af dette. Er du ikke logget ind, bliver valget alene i browseren.

Retsgrundlag: for fornavn, efternavn, tekst om dig, land og det valgte sprog artikel 6, stk. 1, litra b, i GDPR — behandlingen hører til den ydelse, der er anmodet om. For adressen artikel 6, stk. 1, litra a, i GDPR — samtykke, givet ved at udfylde feltet og til enhver tid muligt at trække tilbage ved at slette det. Tilbagetrækningen berører ikke din konto i øvrigt og berører ikke lovligheden af den behandling, der er sket indtil da.

Profilen er indeholdt i kopien af dine data efter punkt 14 og slettes efter samme punkt sammen med din konto.

7.3 Afsendelse af e-mail

BrickDb sender kun e-mails, når der er en konkret anledning til det: bekræftelsen af din e-mailadresse og nulstillingen af din adgangskode, en invitation til en samling, når nogen inviterer dig til den (punkt 8.1a), en invitation til at vælge din adgangskode, når administrationen opretter en konto til dig (punkt 8.9), vores svar på en supporthenvendelse samt en besked til vores egen postkasse, når nogen indsender en sådan — denne sidste er rettet til os og ikke til dig, men indeholder det, som den henvendende person har skrevet (punkt 8.7 behandler begge) —, en besked til vores egen postkasse, når nogen indberetter indhold, og begrundelsen til dig, når en indberetning om indhold, som du har offentliggjort, tages til følge (begge dele punkt 8.8). Der findes intet nyhedsbrev og ingen reklame-e-mails.

Udbyderen af afsendelsen er Twilio Inc. (“SendGrid”), 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA. SendGrid modtager hertil modtageradressen, et visningsnavn, hvis der findes et, emnet og det fuldstændige indhold af beskeden samt de tekniske leveringsdata (tidspunkt, leveringsstatus, svaret fra den modtagende mailserver). Din e-mailadresse videregives dermed til en tredjepart, og det sker som det første — endnu før der sker noget andet med den. Derfor står det her og ikke først under punkt 12.

Retsgrundlag: artikel 6, stk. 1, litra b, i GDPR — bekræftelsen af en adresse, nulstillingen af en adgangskode og leveringen af en invitation hører til den ydelse, der er anmodet om. SendGrid er i den henseende databehandler i henhold til artikel 28 i GDPR på grundlag af Twilio Data Protection Addendum.

Overførsel til tredjelande: Afsendelsen sker gennem SendGrids globale infrastruktur; behandlingen finder dermed sted i USA og ikke, som hostingen efter punkt 4, i Tyskland. Twilio baserer sådanne overførsler på Europa-Kommissionens standardkontraktbestemmelser og er desuden certificeret under EU-US Data Privacy Framework.

Måling af åbninger og klik: ja ved konto-e-mails, nej ved vores egne. E-mails om din konto — bekræftelse af adressen, nulstilling af adgangskoden — forsynes af SendGrid før afsendelsen med et usynligt billede, og deres links omdirigeres via SendGrid. Når dit e-mailprogram viser en sådan besked, henter det dette billede og sender i den forbindelse tidspunkt og IP-adresse til SendGrid; det samme sker, når du klikker på et link. Hos SendGrid opstår deraf oplysningen om, hvorvidt og hvornår en sådan besked blev åbnet. Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR — vores legitime interesse i, at konto-e-mails kommer frem og ikke ender i spammappen. Du kan gøre indsigelse herimod efter artikel 21 i GDPR via kontaktoplysningerne i punkt 2, og du kan slå indlæsning af billeder fra i dit e-mailprogram — så finder målingen af åbninger ikke sted.

E-mails, som BrickDb selv sender, indeholder hverken et sådant billede eller omdirigerede links — i dag er det invitationerne til en samling, de to supportmails efter punkt 8.7, vores svar på en henvendelse og den besked, den sender os, samt de to mails om indberetninger efter punkt 8.8. Ingen af dem anmoder om noget fra nogen server, når de åbnes; hver afsendelse slår udtrykkeligt begge målinger fra hos SendGrid.

Opbevaringsperiode: BrickDb opretter ingen kopi af en afsendt besked. Hos udbyderen af afsendelsen kan leveringsdataene hentes i dennes aktivitetslog i en kort periode, der afhænger af dennes abonnement.

Status for denne version: Dette punkt beskriver afsendelsesvejen, sådan som den består for tiden. Indtil den ovenfor nævnte besked om en supporthenvendelse kom til, stod der her “sådan som den har bestået siden den 10. september 2026”.

8. Samlingsdata og fotos

De følgende oplysninger beskriver den behandling, der finder sted med en konto efter punkt 7.

8.1 Samlingsdata

Der gemmes det, du selv indtaster: sætnummer, betegnelse, oplysninger om stand, noter, anskaffelsesdato, betalt pris, oplysninger om sælgeren samt tidspunkterne for oprettelsen og for den seneste ændring. Disse oplysninger er knyttet til et pseudonymt identifikationsnummer.

På samme måde gemmes det, du indtaster i de øvrige områder: enkelte minifigurer og løse dele med de samme oplysninger, eksemplarer af magasinudgaver og bøger med deres tilstandsgrad, standen af en medfølgende polybag, dine bemærkninger om standen, hvordan og hvornår du har erhvervet dem, den betalte pris, oplysningen om sælgeren og dine noter, samlinger med deres navn, deres beskrivelse, deres synlighed efter punkt 8.1a og deres medlemmer med hvert medlems rolle, invitationer, som du har udstedt, med den e-mailadresse, der er angivet til dem, underskrifter, som du registrerer for et eksemplar, din ønskeliste, dine bidrag til afklaringen af posekoder og stregkoder på emballage og de batchbehandlinger af æskefotos, som du sætter i gang.

Eksemplarer af magasinudgaver og bøger ligger ikke i nogen samling; kun du ser dem.

Opbevaringssteder. Du kan registrere, hvor dine ting opbevares: rum, placeringer i et rum og fag på en placering, hver med det navn, du giver det, dets niveau og dets position på din liste, og for hvert eksemplar — sæt, minifigurer, løse dele, magasinudgaver og bøger —, på hvilket sted det ligger. Dine opbevaringssteder tilhører dig, ikke en samling: kun du kan oprette, ændre eller tildele dem. Hvor et eksemplar i en delt samling ligger, ses — kun til læsning — af de medlemmer, hvis rolle i denne samling er Ejer eller Redaktør; medlemmer med rollen Læser eller Forsikring ser det aldrig, og en offentliggjort samling viser det aldrig (punkt 8.1a). Sletter du din konto (punkt 14), slettes dine opbevaringssteder, og forinden fjernes stedet fra hvert eksemplar, der nævnte det — også fra et eksemplar, der bliver i en samling, som deles med andre.

Fritekstfelter evalueres ikke. Du bedes ikke indtaste særlige kategorier af personoplysninger som omhandlet i artikel 9 i GDPR dér.

Retsgrundlag: artikel 6, stk. 1, litra b, i GDPR — behandlingen er nødvendig for at levere den tjeneste, der er anmodet om.

8.1a Hvem der kan se en samling

Hvert eksemplar, du ejer, ligger i en samling, og en samling har en af tre indstillinger, som du vælger og til enhver tid kan ændre: privat (kun dens medlemmer ser den — standarden for en ny samling), alle med linket eller alle, også søgemaskiner.

En samling, der er gjort offentlig, viser sit navn og sin beskrivelse, sætnumrene, sætnavnene, hvor mange eksemplarer du har af hvert, og i hvilken stand de er — og intet andet. Ingen fotos, ingen noter, ingen tags, ingen kaldenavne, ingen opbevaringssteder, ingen betalte priser, ingen værdiansættelser, ingen erhvervelsesdatoer og intet om sælgeren. Den nævner hverken dig eller noget andet medlem og siger heller ikke, hvor mange personer der er med. Disse felter bliver ikke blot skjult på den side — de overføres slet ikke til den.

Et link er ikke en adgangskode. En samling med indstillingen “alle med linket” leveres til enhver, der åbner denne adresse — uanset om du har givet den til dem eller ej. Indstillingen “alle med linket” beder desuden søgemaskiner om ikke at optage siden; det retter de sig som regel efter, men er ikke forpligtet til det. At stille en samling tilbage til privat standser leveringen med det samme, men henter ikke en kopi tilbage, som nogen — eller en søgemaskine — allerede har taget.

En samling, der deles med navngivne medlemmer, er noget andet end en offentlig: hvad et medlem ser, afhænger af den rolle, du har tildelt. En Læser ser netop det, som også den offentlige side viser. En Redaktør ser alt, herunder de felter, der er opregnet ovenfor. Forsikring ser sættene, deres stand og vurderingstal, og ellers intet.

En offentlig samling kan indberettes. Dens side indeholder den indberetningsformular fra punkt 8.8, som enhver, der kan se siden, kan bruge. Tager administrationen en indberetning om den til følge, stilles samlingen tilbage til privat; intet slettes, og du kan offentliggøre den igen.

Retsgrundlag: artikel 6, stk. 1, litra a, i GDPR — du giver samtykke ved at vælge indstillingen og trækker det tilbage ved at stille den tilbage.

8.2 Fotos

Uploadede fotos vises for dig og for de medlemmer af samlingen, hvis rolle omfatter de private oplysninger — det er Ejer og Redaktør efter punkt 8.1a. Ligger eksemplaret i en samling, som ingen andre er med i, ses fotoet kun af den, der har uploadet det. På en samlings offentlige side vises fotos ikke, og lige så lidt ser medlemmer med rollen Læser eller Forsikring dem. Fotos offentliggøres ikke, videregives ikke til tredjeparter og bruges ikke til at træne modeller.

Metadata fjernes. Ved upload kodes hvert billede på ny: den retning, der er noteret i billedet, overføres fast til billeddataene, og derefter fjernes hele metadataprofilen — EXIF, IPTC og XMP og dermed navnlig GPS-koordinater, optagelsestidspunkt og enhedskendetegn. Kun det rensede billede gemmes; den oprindeligt overførte fil opbevares ikke.

Det oprindelige filnavn overtages ikke. Hver fil får en tilfældigt genereret identifikator; af lagerstien kan der ikke udledes noget om den person, der har uploadet filen, eller om filens oprindelse.

Formindskede versioner. Til visningen genereres der efter behov formindskede versioner af et foto, som mellemlagres. De indeholder de samme billeddata — der allerede er renset for metadata —, er underlagt de samme adgangsbegrænsninger og slettes sammen med fotoet.

Billeder i et format, der ikke kan kodes på ny — herunder HEIC/HEIF, standardformatet på nyere iPhones — bliver afvist i stedet for gemt. Fejlmeddelelsen nævner de accepterede formater (JPEG, PNG, WebP, GIF). Der lægges altså intet på lager, som ikke forinden er blevet renset.

For hvert foto gemmes: den tilfældige filidentifikator, en billedtekst, som du selv angiver, sorteringen og tidspunktet for uploaden.

Retsgrundlag: artikel 6, stk. 1, litra b, i GDPR.

8.3 Avatarbillede

Du kan uploade dit eget billede som avatar eller bruge en af de tegninger, som BrickDb stiller til rådighed. De tegninger, der stilles til rådighed, er vores egen grafik og ikke personoplysninger; et uploadet billede er det.

En uploadet avatar gennemgår den samme rensning som ethvert andet foto: retningen overføres til billeddataene, og hele metadataprofilen — EXIF, IPTC og XMP og dermed navnlig GPS-koordinater, optagelsestidspunkt og enhedskendetegn — fjernes. Derefter beskæres billedet til sit midterste kvadrat, formindskes til 256 × 256 pixel og kodes på ny som WebP. Kun dette billede gemmes; den overførte fil opbevares ikke, og et billede, der ikke kan kodes på ny, afvises i stedet for at blive gemt.

Hvem der kan se den. En avatar gemmes, for at den kan vises ved siden af dit navn. BrickDb har for tiden ingen visning, hvor én person ser en andens profil — i dag ser altså kun du din egen. Så snart det ændrer sig, vil dette afsnit sige det udtrykkeligt: en avatar er tænkt til at være synlig for andre, og netop derfor står den her adskilt fra 8.2.

Der gemmes præcis én avatar pr. konto; en ny upload erstatter den. Den er indeholdt i kopien af dine data efter punkt 14 og slettes, når du sletter din konto efter punkt 14.

Retsgrundlag: artikel 6, stk. 1, litra b, i GDPR.

8.4 Indsendte begivenheder

Når du indsender en begivenhed, gemmer vi titel, valgfri beskrivelse, sted, land og tidsplan. Ved en heldagsbegivenhed er det startdatoen samt den ikke medregnede slutdato. Ved en begivenhed med klokkeslæt er det start- og sluttidspunkterne samt stedets tidszone. Dertil kommer den valgfri start for tilmelding, kilde-URL, tilknytningen til din konto og indsendelsestidspunktet. Vi gemmer desuden modereringsstatus, tidspunktet for en modereringsafgørelse og en intern notifikationsordre til gennemgangskøen. Denne ordre sender ingen e-mail.

Administrationen gennemgår indsendelser manuelt. Afventende og afviste indsendelser er ikke offentlige. Efter godkendelsen er oplysningerne om begivenheden og kilde-URL'en offentligt synlige; kontoidentiteten offentliggøres ikke. Indsend venligst kun oplysninger om begivenheder, som du må offentliggøre, uden personlige kontaktoplysninger eller private oplysninger om dig selv eller andre.

Indsendelse og moderering leverer den tjeneste, der er anmodet om (artikel 6, stk. 1, litra b, i GDPR). Opretholdelsen af den godkendte offentlige kalender tjener vores og andre besøgendes legitime interesse i pålidelige oplysninger om begivenheder (artikel 6, stk. 1, litra f, i GDPR). Du kan gøre indsigelse mod en behandling på grundlag af legitime interesser via kontaktoplysningerne i punkt 2. Dataeksporten efter artikel 15 i GDPR på kontosiden indeholder dine egne indsendte begivenheder i enhver modereringsstatus.

Ved sletning af kontoen slettes afventende og afviste indsendelser sammen med deres notifikationsordrer. Godkendte begivenheder forbliver offentlige; tilknytningen til den indsendende person anonymiseres: en ny tilfældig værdi erstatter den, uden konto eller henførelse tilbage til personen. De godkendte oplysninger bliver i kalenderen for andre besøgende; for denne anonymiserede post er der ingen fast udløbsfrist. For sikkerhedskopier gælder punkt 13. De øvrige rettigheder efter punkt 14 består fortsat.

8.5 Læsning af sætnummeret fra et foto

Når du udtrykkeligt indsender et foto af en salgsemballage til læsning af sætnummeret, overfører BrickDb højst 8 MB fra browseren til sine egne web- og API-servere. API-serveren sender fotoet uændret videre til en tredje egen server, læsetjenesten (container-appen “brickdb-ocr”). Den kører i det samme Azure-miljø og den samme region (Germany West Central, Frankfurt am Main) som de øvrige servere efter punkt 4, kan kun nås inde fra dette miljø og har ingen adgang til databasen eller fillageret. Ligesom web- og API-serveren holder også læsetjenesten billedet udelukkende i arbejdshukommelsen; den giver kun API-serveren de mulige sætnumre tilbage, der er læst på det, og dens logpost fastholder kun, hvordan forespørgslen endte (for eksempel læst eller afvist), og hvor længe den varede, intet om fotoet. På ingen af de tre servere bliver billedet gemt, logget eller brugt til at træne modeller; det overføres ikke til tredjeparter og kasseres, når forespørgslen er slut. Alle tre servere driver vi selv på Microsoft Azure; Microsoft er i den forbindelse databehandler efter punkt 4. Retsgrundlag: artikel 6, stk. 1, litra b, i GDPR — behandlingen leverer den læsning, du har anmodet om.

For at denne beregningstunge funktion forbliver tilgængelig, tillader hver serverproces seks forespørgsler pr. oprindelig IP-adresse inden for et glidende minut. Denne grænse kontrolleres af både webserveren og API-serveren, fordi API-serveren også kan nås direkte. Hver serverproces tæller for sig, og af hver server kan flere processer køre samtidig; grænsen gælder derfor pr. proces og ikke som ét samlet tal for hele BrickDb. For at API-serveren ved en forespørgsel via webserveren tæller din adresse og ikke webserverens, overgiver webserveren din adresse til den sammen med forespørgslen; læsetjenesten modtager den ikke. På begge servere holdes adressen — ved IPv6 kun dens netværksdel — kun som nøgle i den pågældende serverproces' arbejdshukommelse; den bliver hverken logget, gemt varigt eller videregivet til tredjeparter. Efter ét minut påvirker den ikke længere nogen afgørelse og bliver fjernet, når denne adresse forespørger igen, eller den forespørgselsstyrede oprydning har brug for plads. Hver serverproces holder højst 1.024 adressenøgler; så længe alle pladser endnu er aktive, afvises en ny adresse i stedet for at fortrænge en af dem. Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR. Den legitime interesse er en teknisk sikker, pålidelig og fair tilgængelighed af tjenesten.

8.6 Forslag til en emballages stand ud fra et foto

Adskilt fra læsningen af sætnummeret kan du for et foto af en salgsemballage udtrykkeligt anmode om et forslag til, hvilken synlig stand æsken er i. Kun når du har anmodet om denne vurdering og bekræftet anmodningen, overfører BrickDb fotoet fra sin egen API-server til tjenesten Azure OpenAI hos Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, som databehandler i henhold til artikel 28 i GDPR. Forinden bliver billedet kodet på ny, befriet for alle metadata og formindsket til højst 1.024 pixel på den længste side. Forbindelsen oprettes af serveren, ikke af din browser; åbningen af en side udløser den aldrig.

Behandlingen finder sted i Azures EU Data Zone, altså inden for EU; udrulningen er placeret i regionen Germany West Central, og behandlingen kan ske i enhver EU-medlemsstat. Ifølge Microsoft bliver input og output ikke brugt til at træne modellerne og ikke videregivet til modellernes udbydere. Standardovervågning for misbrug: Microsoft kontrollerer input automatisk for misbrug. Et input, der i den forbindelse påtales, kan Microsoft opbevare som stikprøve og lade gennemgå af autoriserede medarbejdere hos Microsoft i EØS; Microsoft angiver ingen fast maksimal varighed for dette. Derudover beholder tjenesten ikke fotoet.

BrickDb selv forbliver tilstandsløs: fotoet og resultatet bliver hos BrickDb ikke gemt, ikke logget og ikke brugt til at træne modeller; begge dele kasseres, når forespørgslen er slut. Resultatet er et eksperimentelt, ikke kalibreret forslag alene om emballagens synlige stand — der findes ingen målt træfsikkerhed, det siger intet om indhold, forsegling eller fuldstændighed, det skriver intet i din samling, og du overtager eller erstatter det udtrykkeligt selv. Fotografér venligst kun emballagen: ingen personer, adresser eller andre personoplysninger, og kun billeder, som du må indsende.

Retsgrundlag: artikel 6, stk. 1, litra a, i GDPR — dit samtykke, som du giver med hver enkelt anmodning. Det er frivilligt; uden det overføres der intet foto, og spørgsmålet om stand forbliver en oplysning, du selv giver. For fremtiden trækker du det tilbage ved ikke at anmode om endnu en vurdering. Det er ikke et samtykke til træning; et senere, særskilt tilbagekaldeligt tilvalg ville være en selvstændig erklæring.

8.7 Supporthenvendelser

På supportsiden findes der en formular til supporthenvendelser, og du kan bruge den uden konto og uden login. Den spørger om en e-mailadresse til svaret, et emne og din besked; et navn er frivilligt. Sproget spørger den ikke om — det følger af det sprog, siden blev vist på, så svaret kommer på det sprog, du spurgte på. Hvis du i stedet skriver til os på adressen i punkt 2, når du os lige så godt, men der opstår ingen sag af det; den besked er da blot en e-mail i vores postkasse.

Det, du sender, gemmer vi som en sag med et sagsnummer: e-mailadressen til svaret, det frivillige navn, det sprog, du skrev på, emnet, teksten i din henvendelse, behandlingsstatus, den vej, den kom ind ad, samt tidspunkterne for modtagelse og afslutning.

Ingen sag er i denne version knyttet til en brugerkonto — heller ikke en, du sender, mens du er logget ind. Den rute, der modtager formularen, står åben for alle og fastslår slet ikke noget login, så det felt, der er beregnet til det, forbliver tomt. Hvad der følger deraf for dine rettigheder, står nedenfor i afsnittet om sletning. Til en sag hører desuden et felt til en adgangsnøgle til en statusside, og heller ingen sådan nøgle udstedes i denne version, så også det felt forbliver tomt. Blev der udstedt en, ville kun dens kontrolsum blive gemt, aldrig selve nøglen.

Nogen får det straks at vide. En sag, du indsender, meldes til vores egen postkasse pr. e-mail, så den ikke bliver liggende ubemærket. Denne besked indeholder sagsnummeret, den adresse og det navn, du har angivet, dit emne og den fuldstændige tekst i din besked. Den sendes via den udbyder af afsendelse, der er nævnt i punkt 7.3, så disse oplysninger behandles i USA på det grundlag, der er beskrevet dér. I modsætning til konto-e-mails i det punkt indeholder den intet usynligt billede og ingen omdirigerede links. Det, du selv får at se, er sagsnummeret på siden, så snart formularen er sendt; vores svar til dig er en særskilt e-mail, nedenfor under "Sådan svarer vi".

Beskyttelse mod masseindsendelser. For at formularen ikke kan bruges til at oversvømme os, tillader BrickDb fem indsendelser pr. internetforbindelse i et glidende kvarter. Til det holder den en forkortet form af din IP-adresse som nøgle i en webproces' arbejdshukommelse — ved IPv6 kun netværksdelen, ved IPv4 adressen. Den bliver ikke logget, ikke skrevet i sagen, ikke gemt i databasen og ikke videregivet, og når kvarteret er gået, påvirker den ikke længere nogen afgørelse. Der holdes højst 1.024 sådanne nøgler; er alle pladser optaget, afvises en ny i stedet for at fortrænge en eksisterende. Der findes ingen captcha, og der hentes intet fra tredjeparter til dette. Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR. Den legitime interesse er en teknisk fejlfri, sikker og fair tilgængelighed af tjenesten.

Retsgrundlag: behandling og besvarelse af din henvendelse (artikel 6, stk. 1, litra b, i GDPR, for så vidt den vedrører dit brugsforhold, ellers artikel 6, stk. 1, litra f, i GDPR — vores legitime interesse i at kunne besvare henvendelser om denne tjeneste). Du kan gøre indsigelse mod en behandling på grundlag af legitime interesser via kontaktoplysningerne i punkt 2.

Opbevaringsperiode: En afsluttet sag bliver slettet 24 måneder efter sin afslutning. Fristen løber fra afslutningen og ikke fra modtagelsen — en sag, du stadig venter på, slettes ikke, uanset hvor gammel den er. Sletningen sker som led i en regelmæssig oprydning og dermed eventuelt nogle dage efter fristens udløb, aldrig før. For sikkerhedskopier gælder punkt 13.

Ved sletning af kontoen efter artikel 17 i GDPR anonymiseres ved sletningen af din konto på kontosiden alle sager, der er knyttet til din konto: e-mailadresse, navn og denne tilknytning fjernes, og adgangsnøglen bliver ugyldig, mens selve sagen bliver anonymiseret i stedet for slettet, fordi emne, tekst og vores svar er vores egen dokumentation for en samtale, som også vi var part i. Da ingen sag i denne version bærer en sådan tilknytning, rammer dette trin i praksis intet: en supporthenvendelse er hverken indeholdt i dataeksporten efter artikel 15 i GDPR eller i kontosletningen på kontosiden — uanset om du var logget ind, da du sendte den. Opgørelsen over, hvad eksporten ikke indeholder, nævner supporthenvendelser af netop den grund.

Dine rettigheder efter punkt 14 består uændret, og sådan udøver du dem for en sag: henvend dig til os via kontaktoplysningerne i punkt 2, og oplys sagsnummeret eller den adresse, du brugte. Én ting bør du vide i den forbindelse — fjernelse af felter anonymiserer ikke fritekst. Hvis du i selve henvendelsen har skrevet dit navn, et ordrenummer eller andre oplysninger om dig selv, står de fortsat i teksten. Giv os besked, hvis det er tilfældet; så sværter eller sletter vi den pågældende sag manuelt.

Interne noter: Mens en sag behandles, skriver vi desuden noter til os selv om den — hvad der blev forsøgt, hvad vi fandt, hvilken behandlingsstatus vi satte sagen til, og hvem der gjorde det. Disse noter er vores og ikke dine: de er knyttet til den person, der skrev dem, de bliver aldrig en del af et svar til dig, og de er derfor hverken i din dataeksport efter artikel 15 i GDPR eller bliver anonymiseret, når du sletter din konto. De slettes sammen med sagen, med samme frist. Hvis du vil vide, om en note nævner dig ved navn, så skriv til os via kontaktoplysningerne i punkt 2, og oplys sagsnummeret.

Sådan svarer vi: Vi svarer pr. e-mail til den adresse, du har angivet, og på det sprog, du skrev på. Dette svar citerer dit emne og din besked endnu en gang, så du kan genfinde sagen — ved indsendelsen får du ingen kopi af den. Vores svar indeholder intet link og ingen sporing: der hentes intet, og om du åbner det, får vi ikke at vide. Hvis der derefter stadig er noget uafklaret, så svar blot på denne e-mail, og lad sagsnummeret stå i emnet.

Mails til supportadressen: Mails til support@brickdb.net — også et svar på et af vores svar, som skal sendes dertil — bliver til en sag. Vores mailudbyder (punkt 7.3) modtager dem på vores vegne for underdomænet support.brickdb.net og overgiver dem til BrickDb; de behandles derfor i USA på det grundlag, der er beskrevet dér. Bærer emnet nummeret på en åben sag, kommer mailen fra denne sags egen adresse, og har afsenderens domæne signeret eller godkendt den (DKIM eller SPF, kontrolleret ved modtagelsen), føjes den til denne sag; enhver anden mail åbner en ny, og sagen noterer, om afsenderen kunne bekræftes på den måde. Der gemmes afsenderens adresse og navn, emnet, det sprog, mailen angiver, og dens tekst — aldrig dens vedhæftede filer: en vedhæftet fil gemmes ikke noget sted, sagen noterer kun, hvor mange der var. En mail, som vores spamkontrol klassificerer som spam, som kommer fra en af vores egne adresser, eller som ankommer, efter at der i den seneste time allerede er modtaget fem mails fra samme afsender (eller tres i alt), bliver ikke til en sag; for at en ægte henvendelse, der bliver hængende på den måde, alligevel kan findes og besvares, fastholder vi kort, hvornår den kom, hvorfor den blev afvist, afsenderens adresse og emnet — aldrig teksten —, og det i 30 dage. Retsgrundlag, opbevaringsperiode og dine rettigheder er i øvrigt de samme som for formularen ovenfor.

Status for denne version: Formularen til supporthenvendelser på /support er i drift, og det samme er det ovenfor beskrevne svar pr. e-mail. Du kan fortsat også nå os via kontaktoplysningerne i punkt 2 og i Impressum — det er vejen, hvis formularen af en eller anden grund ikke tager imod din henvendelse.

8.8 Indberetninger om indhold

Til hver begivenhed på siden med begivenheder hører en indberetningsformular, og det samme gælder siden for hver offentliggjort samling (punkt 8.1a). Du kan bruge den uden konto og uden login — det, en indberetning handler om, kan også ses af den, der ikke er logget ind, så en hindring foran den ville udelukke netop den person, formularen findes for. Der spørges om en årsag fra en fast liste, en frivillig beskrivelse af, hvad der er galt, og en frivillig e-mailadresse. Kun ved én årsag — „Noget andet“ — er beskrivelsen obligatorisk, fordi en indberetning, hvis hele indhold er dette ord, først måtte læses, før den kan sorteres. Sproget spørges der ikke om — det følger af det sprog, siden blev vist på.

Det, du sender, gemmer vi som en indberetning med sin egen reference, der ser ud som BDR-000042: hvilken type indhold det drejer sig om og dette indholds egen nøgle, den årsag, du valgte, din beskrivelse, hvis du skrev en, e-mailadressen, hvis du angav en, det sprog, du skrev på, behandlingsstatus samt tidspunkterne for modtagelse og afgørelse. En beskrivelse må højst være 2.000 tegn lang, en adresse højst 254; alt længere afvises med angivelse af feltet i stedet for at blive gemt afkortet.

Ingen indberetning er knyttet til en brugerkonto — heller ikke en, du sender, mens du er logget ind. Den rute, der modtager formularen, står åben for alle og fastslår slet ikke noget login, og der findes intet felt til en sådan tilknytning: BrickDb ved bevidst ikke, hvilken indberetning der var din. Hvad der følger deraf for dine rettigheder, står nedenfor i afsnittet om eksport og sletning. Der findes desuden ingen statusside for en indberetning og ingen adgangsnøgle til en, så intet af den art gemmes heller.

Nogen får det straks at vide. En indberetning, du sender, meldes til vores egen postkasse pr. e-mail, så den ikke bliver liggende ubemærket. Denne besked indeholder referencen, typen af indhold, årsagen, nøglen til det indberettede indhold og den fuldstændige tekst i din beskrivelse. Den indeholder ingen adresse fra dig: beskeden går til os, og din adresse bliver i køen, hvor kun en administrator kan se den. Den sendes via den udbyder af afsendelse, der er nævnt i punkt 7.3, så disse oplysninger behandles i USA på det grundlag, der er beskrevet dér; ligesom supportbeskeden indeholder den intet usynligt billede og ingen omdirigerede links. Det, du selv får at se, er referencen på siden, så snart formularen er sendt.

Beskyttelse mod masseindsendelser. For at formularen ikke kan bruges til at oversvømme os, tillader BrickDb fire indberetninger pr. internetforbindelse i glidende ti minutter. Til det holder den en forkortet form af din IP-adresse som nøgle i en webproces' arbejdshukommelse — ved IPv6 kun netværksdelen, ved IPv4 adressen. Den bliver ikke logget, ikke skrevet i indberetningen, ikke gemt i databasen og ikke videregivet, og når de ti minutter er gået, påvirker den ikke længere nogen afgørelse. Der holdes højst 1.024 sådanne nøgler; er alle pladser optaget, afvises en ny i stedet for at fortrænge en eksisterende. Der findes ingen captcha, og der hentes intet fra tredjeparter til dette. Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR. Den legitime interesse er en teknisk fejlfri, sikker og fair tilgængelighed af tjenesten.

Hvem der læser en indberetning, og hvad afgørelsen bevirker. En indberetning havner i en kø under /admin/reports, som kun en administrator kan åbne; der findes ingen side, hvor nogen anden kunne slå den op — heller ikke via referencen. Enten bliver indberetningen afvist, eller den bliver taget til følge, og tages den til følge, fjernes det indberettede indhold: en begivenhed, som en indberetning får medhold over for, forsvinder fra den offentlige kalender. En offentliggjort samling, som en indberetning får medhold over for, stilles tilbage til privat: fra da af ser kun dens medlemmer den, intet af den slettes, og den, der ejer den, kan offentliggøre den igen — en samling, der er offentliggjort igen, kan indberettes på ny. Vi griber ind over for indholdet, ikke over for den person, der har lagt det ud.

En afgørelse om noget, som en person har offentliggjort, registreres også hos vedkommende. Tager administrationen en indberetning om en samling eller om en begivenhed, som et medlem har indsendt, til følge, eller afviser den den, registreres afgørelsen i auditloggen fra punkt 8.9, og det ved kontoen for den person, der har offentliggjort indholdet: hvilken indberetning det drejede sig om, hvilken type indhold og dets nøgle, og hvordan indberetningens status har bevæget sig. Den indberettende person nævnes ikke i denne post, og modereringens noter hører ikke med til den.

Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR. Den legitime interesse er at holde det indhold, BrickDb offentliggør, fri for ulovligt og stødende materiale, overhovedet at kunne modtage en indvending — også fra nogen uden konto — og bagefter at kunne dokumentere, hvordan en klage blev behandlet. Vedrører en indberetning indhold, som vi er forpligtet til at gribe ind over for, tjener behandlingen af den samtidig opfyldelsen af en retlig forpligtelse (artikel 6, stk. 1, litra c, i GDPR). Du kan gøre indsigelse mod en behandling på grundlag af legitime interesser via kontaktoplysningerne i punkt 2.

Tages en indberetning til følge, får den person, der har offentliggjort indholdet, en begrundelse fra os pr. e-mail. Det gælder for en offentliggjort samling og for en begivenhed, som et medlem har indsendt; ved en begivenhed, som vi har overtaget fra en fremmed kalender, er der ingen, vi kunne skrive til. Beskeden nævner indberetningens reference, hvilket indhold det drejer sig om (dets type og dets titel eller navn), hvad vi har gjort, og hvor længe det gælder, den årsag, indberetningen blev indgivet under, det punkt i vores vilkår for brug, som vi har truffet afgørelse efter, oplysningen om, at der ikke er anvendt automatiserede midler, og hvordan du kan gøre indsigelse — ved at svare på e-mailen eller via supportformularen med angivelse af referencen. Hvem der har sendt indberetningen, står der ikke, og lige så lidt dens beskrivelse eller modereringens noter.

Til afsendelsen forespørger vi i afgørelsens øjeblik hos Auth0 om din e-mailadresse og det sprog, der er registreret ved din konto (punkt 7.1). Adressen bruges kun til dette og gemmes ikke hos os; ved indberetningen fastholder vi blot, om begrundelsen kunne sendes og hvornår — eller hvorfor ikke, for eksempel fordi ingen adresse er registreret. Den sendes via den udbyder af afsendelse, der er nævnt i punkt 7.3, så disse oplysninger behandles i USA på det grundlag, der er beskrevet dér; den indeholder intet usynligt billede og ingen omdirigerede links. Stilles en samling til privat, kan den ændrede indstilling desuden ses på samlingssiden. Retsgrundlag: artikel 6, stk. 1, litra c, i GDPR sammenholdt med artikel 17 i forordning (EU) 2022/2065 (forordningen om digitale tjenester), for så vidt vi er forpligtet til en sådan begrundelse, og i øvrigt artikel 6, stk. 1, litra f, i GDPR — den legitime interesse er at fortælle dig, hvad der er sket med dit indhold og hvorfor, og at give dig en vej til at gøre indsigelse mod afgørelsen.

Opbevaringsperiode: En afgjort indberetning bliver slettet 24 måneder efter afgørelsen. Fristen løber fra afgørelsen og ikke fra modtagelsen — en indberetning, som ingen endnu har afgjort, slettes ikke, uanset hvor gammel den er, for den er en indvending, der stadig skyldes et svar. Sletningen sker som led i en regelmæssig oprydning og dermed eventuelt nogle dage efter fristens udløb, aldrig før. For sikkerhedskopier gælder punkt 13.

Hverken dataeksporten efter artikel 15 i GDPR eller kontosletningen når en indberetning, og det er en grænse og ikke en beslutning rettet mod dig. Fordi ingen indberetning er henført til en konto, kan man slet ikke spørge, hvilke indberetninger der stammer fra en bestemt person — en indberetning er derfor hverken indeholdt i dataeksporten efter artikel 15 i GDPR eller i kontosletningen på kontosiden, uanset om du var logget ind, da du sendte den, og sletningen af din konto sletter den ikke med. Det samme gælder, hvis nogen har indberettet noget, som du har lagt ud: den indberetning nævner indholdet, aldrig din konto, og er dermed heller ikke i din eksport — det er afgørelsen om den derimod, så snart administrationen har taget den til følge eller afvist den, som en post i auditloggen efter punkt 8.9. Opgørelsen over, hvad eksporten ikke indeholder, nævner begge tilfælde af netop den grund. Hvad du faktisk kan gøre: henvend dig til os via kontaktoplysningerne i punkt 2, og oplys referencen. Med den finder vi indberetningen manuelt, kan fortælle dig, hvad den indeholder, berigtige den eller fjerne adressen og den tekst, du har skrevet.

Fjernelse af felter anonymiserer ikke fritekst. Hvis du i beskrivelsen har skrevet dit navn, en adresse eller andre oplysninger om dig selv, står de fortsat i teksten. Giv os besked, hvis det er tilfældet; så sværter eller sletter vi den pågældende indberetning manuelt.

Interne noter: Mens en indberetning behandles, skriver vi desuden noter til os selv om den — hvad vi fandt, hvilken behandlingsstatus vi satte den til, og hvem der gjorde det. Disse noter er vores og ikke dine: de er knyttet til den person, der skrev dem, de sendes hverken til dig eller til den person, hvis indhold blev indberettet, og de er derfor hverken i din dataeksport efter artikel 15 i GDPR eller kan nås via en kontosletning. De slettes sammen med indberetningen, med samme frist. Hvis du vil vide, om en note nævner dig ved navn, så skriv til os via kontaktoplysningerne i punkt 2.

Af os selv skriver vi ikke tilbage. En indberetning fører ikke til nogen korrespondance: der er ingen bekræftelsesmail, ingen statusside og ingen besked, når der er truffet afgørelse. Adressen er der, for at nogen kan kontakte dig, hvis indberetningen ikke kan behandles uden et opklarende spørgsmål, og den bruges ikke til noget andet. Det, du får, er referencen på siden med det samme.

Status for denne version: Indberetningsformularen på /events og på siden for hver offentliggjort samling er i drift, og det samme er køen bag den. Hvis den af en eller anden grund ikke tager imod din indberetning, når du os lige så godt via kontaktoplysningerne i punkt 2 og i Impressum — en besked sendt ad den vej er da blot en e-mail i vores postkasse og skaber ingen indberetning.

8.9 Administration af brugerkonti

BrickDbs administratorer kan tage sig af brugerkonti i et område under /admin/users, som kun de kan åbne: se listen over konti, se en konto, ændre dens navn, e-mailadresse, profil eller roller, sende en nulstilling af adgangskoden, sende bekræftelsesmailen igen, markere en e-mailadresse som bekræftet, spærre den eller ophæve spærringen eller fjerne den via den samme sletning, som er beskrevet i punkt 14. Kontooplysningerne dér bliver læst live hos Auth0 (punkt 7.1 og 7.2) og ikke kopieret til BrickDbs database. Det samme gælder en kontos loginhistorik: den læses hos Auth0, når en administrator åbner den, og opbevares kun så længe, som Auth0 selv opbevarer den.

Hvad administrationen ser om en konto. Kontoens side viser, hvad Auth0 gemmer om den — dens identifikator, e-mailadressen og om den er bekræftet, de loginmetoder, der er knyttet til den, hvornår den blev oprettet, senest ændret og senest logget ind, hvor mange gange den har logget ind, om den er spærret, hvilke typer flerfaktorgodkendelse der er sat op (kun typen, aldrig en hemmelighed eller et telefonnummer) og dens roller — samt den profil, du har udfyldt (navne, land, teksten om dig selv, den valgte avatar og sproget for dine e-mails, men ikke din postadresse). Fra BrickDbs egen database viser den kun antal: hvor mange samlinger du ejer, og hvor mange du er gået med i, hvor mange eksemplarer du har tilføjet, hvor mange posekoder, stregkoder til sæt og begivenheder du har bidraget med, hvor mange af dine supporthenvendelser der er åbne, og hvor mange indholdsindberetninger der er indgivet med din e-mailadresse — aldrig deres indhold.

Loginhistorikken viser for hver hændelse, som Auth0 har registreret for kontoen, hvornår den fandt sted, hvad den var (et login eller et mislykket login, en oprettelse, et logud, en ændring af adgangskode eller e-mailadresse, en e-mailbekræftelse, et trin i flerfaktorgodkendelsen, et forsøg, som Auth0 blokerede, eller en adgangskode fra et datalæk), hvilken loginmetode og hvilken BrickDb-applikation den gik igennem, det land og den by, som Auth0 har udledt af IP-adressen, samt browser og styresystem med deres hovedversion. Selve IP-adressen vises ikke, og lige så lidt den fritekst, som Auth0 vedhæfter en hændelse. Administrationen ser på den for at holde konti sikre — for at genkende logins, der ikke var dine, eller et angreb på din adgangskode — og for at hjælpe dig, når du spørger os om din konto.

Ingen i administrationen ser, vælger eller skriver nogensinde en adgangskode. En konto, der oprettes dér, får en tilfældig adgangskode, som ingen ser, og du modtager fra BrickDb en invitationsmail (sendt som beskrevet i punkt 7.3) med et link, der gælder i syv dage og kan bruges én gang, til at vælge din egen adgangskode. En nulstilling af adgangskoden er Auth0's egen mail med samme slags link. Hverken adgangskoden eller linket gemmes eller logges af BrickDb.

Enhver handling fra administrationen registreres i en auditlog, og det før den udføres, så også en mislykket er registreret: hvornår den fandt sted, hvem der udførte den, hvad den var, hvilken konto den vedrørte (dens Auth0-identifikator samt den e-mailadresse og det navn, den havde i det øjeblik), hvilken begrundelse personen angav, hvilke felter der ændrede sig med hvilke værdier før og efter, og om den lykkedes. En adgangskode, et nulstillingslink eller et token registreres aldrig. Kun administrationen kan læse loggen under /admin/audit, og den har ingen funktion, der ændrer eller sletter en post.

Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR. Vores legitime interesse er at holde konti og tjenesten sikre, at hjælpe dig, når din konto har brug for hjælp, og bagefter at kunne vise, hvad der er sket med en konto, ved hvem og hvorfor — den ansvarlighed, som artikel 5, stk. 2, i GDPR kræver af os. Det gælder for administrationens data i loggen lige så vel som for dine. Du kan gøre indsigelse via kontaktoplysningerne i punkt 2.

Opbevaringsperiode: En post i auditloggen bliver slettet 24 måneder efter handlingen, som led i den regelmæssige oprydning, altså muligvis et par dage senere og aldrig tidligere. For sikkerhedskopier gælder punkt 13.

Hvis du sletter din konto, bevares posterne om den, men de nævner dig ikke længere. Kontoidentifikatoren erstattes af et tilfældigt pseudonym, og e-mailadressen, navnet og alle ændrede værdier fjernes; hvem der handlede, hvad der blev gjort og hvornår, bliver stående, for netop det er posten til for. Den begrundelse, som administrationen har noteret, beholder vi også; den kan nævne dig i teksten — giv os besked, så sværter vi den. Hvis du selv hører til administrationen og sletter din konto, forbliver posterne om dine handlinger uændrede.

Administrationen sletter kun en konto via den samme sletning (punkt 14), trin for trin, og først efter at have indtastet kontoens e-mailadresse og angivet en begrundelse, som auditloggen beholder. Det gør vi for eksempel, når du beder os slette en konto, som du ikke længere kan logge ind på. Hvis du forinden vil have en kopi af dine data, så download din eksport efter artikel 15 i GDPR på kontosiden, før du skriver til os — bagefter er der intet tilbage at eksportere. Sin egen konto kan administrationen ikke slette ad denne vej; til det findes kontosiden som for alle andre.

Administrationen kan også downloade din eksport efter artikel 15 i GDPR for dig — for eksempel når du beder os sende den til dig, fordi du ikke kan logge ind. Det er det samme arkiv, som kontosiden giver dig, oprettet på samme måde, og administrationen kan kun downloade det efter at have angivet en begrundelse. Hver download registreres i auditloggen som enhver anden handling fra administrationen: hvem der downloadede den, hvornår og hvorfor. Arkivet går direkte til administrationens browser; BrickDb beholder ingen kopi af det og skriver det ikke i nogen log.

Din eksport efter artikel 15 i GDPR på kontosiden indeholder posterne om din konto (under „adminAuditEntries“) — hvornår, hvad, begrundelsen og hvad der ændrede sig —, men ikke hvem fra administrationen det var, for det er denne persons data og ikke dine. Skriv til os via kontaktoplysningerne i punkt 2, hvis du vil vide det.

Status for denne version: Brugerlisten med dens søgning, siden for en enkelt konto, dens loginhistorik, hver handling nævnt ovenfor og auditloggen er i drift.

9. Eksterne datakilder

BrickDb viser katalog- og prisdata fra fremmede kilder, navnlig Rebrickable og BrickLink. Disse data hentes udelukkende på serversiden og overtages i vores eget datalager. Browseren opretter ikke på noget tidspunkt en forbindelse til disse udbydere.

Der overføres ingen personoplysninger til disse udbydere — hverken IP-adresse eller identifikationsnummer, og heller ikke oplysningen om, hvad der blev søgt efter, eller hvad nogen ejer. Forespørgsler sker efter vores egen tidsplan og ikke som en videresendelse af en brugerforespørgsel.

10. Måling af brug med Google Analytics

BrickDb tæller med Google Analytics 4, hvor ofte sider åbnes, og hvilke områder der bruges. Det sker udelukkende med dit samtykke. Så længe du ikke har accepteret, indlæses der intet script fra Google, der sættes ingen identifikator, og der sendes intet til Google — heller ikke et såkaldt cookieløst ping. Googles avancerede samtykketilstand ("Consent Mode v2 advanced"), hvor scriptet indlæses straks og allerede overfører data før samtykket, anvendes bevidst ikke.

Retsgrundlag: artikel 6, stk. 1, litra a, i GDPR — dit samtykke — og § 25, stk. 1, i TDDDG for lagring og læsning af oplysningerne på dit terminaludstyr.

Modtager og databehandler: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Grundlaget er Googles databehandlingsvilkår (Google Ads Data Processing Terms), som er accepteret for retsordenen Tyskland.

Hvad der behandles: den åbnede side og dens titel, den henvisende kilde, en omtrentlig placering på lande- og regionsniveau, enhedstype, browser, styresystem, skærmstørrelse og sprog, dato og klokkeslæt samt en tilfældig identifikator i cookiesene efter punkt 6.1, som gentagne besøg fra samme browser genkendes på. Desuden er de automatiske hændelser, som Google kalder "forbedret måling", aktive: rulledybde, søgningen på dette websted, fildownloads, videointeraktioner og klik på links til andre websteder — altså også på partnerlinkene efter punkt 10.1. Din IP-adresse bruges af Google til at udlede den omtrentlige placering og bliver ifølge Google hverken logget eller gemt i den forbindelse.

Hvad der ikke finder sted: Funktionerne "Google-signaler" og "personligt tilpassede annoncer" er udtrykkeligt slået fra i sidens kildekode (allow_google_signals og allow_ad_personalization_signals står begge på false), og delingen med "Google-produkter og -tjenester" er deaktiveret i propertyen. Der dannes ingen annonce- eller målgruppelister, der videregives ingen data til Google til reklameformål, og der oprettes ingen profiler på tværs af enheder. Der finder ingen automatiseret afgørelse, herunder profilering, som omhandlet i artikel 22 i GDPR sted. Der er ikke indlejret andre analysetjenester, annoncenetværk eller sociale plug-ins på siden, og heller ikke noget script fra en fejlrapporteringstjeneste: browseren indlæser intet fra en sådan tjeneste og sender intet til den. Den fejldiagnose, som BrickDb faktisk anvender, kører på serveren og — i appen — på selve enheden; den er beskrevet i punkt 11.

Overførsel til tredjelande: Kontraktparten er Google Ireland Limited; en overførsel til Google LLC i USA kan ikke udelukkes. Google LLC er certificeret under EU-US Data Privacy Framework, for hvilket Europa-Kommissionen den 10. juli 2023 har vedtaget en afgørelse om tilstrækkeligt beskyttelsesniveau; derudover gælder standardkontraktbestemmelserne i Googles databehandlingsvilkår.

Opbevaringsperiode: Hændelses- og brugerrelaterede data opbevares i Google Analytics-propertyen i op til 14 måneder fra din seneste interaktion og slettes derefter af Google. Fristen løber fra det seneste og ikke fra det første besøg, fordi indstillingen "Nulstil ved ny aktivitet" er aktiv i propertyen: hvert yderligere besøg starter de 14 måneder forfra. Den, der regelmæssigt vender tilbage, får altså ikke sine data slettet, så længe vedkommende vender tilbage. Det gælder de data, der er knyttet til enkelte hændelser og identifikatorer. De sammenfattede standardrapporter — for eksempel "hvor mange sidevisninger havde september" — er ikke omfattet af denne indstilling og forbliver tilgængelige hos Google ud over den. Samtykkecookien på din enhed udløber efter 182 dage; derefter stilles spørgsmålet igen.

Tilbagetrækning: Nederst på hver side står området "Måling af brug" med en knap, der vender din beslutning om — ét klik, præcis som accepten var ét (artikel 7, stk. 3, i GDPR). Tilbagetrækningen virker straks: scriptet indlæses ikke længere, og de cookies, som Google har sat (_ga og _ga_…), slettes med den samme forespørgsel. Lovligheden af den behandling, der er sket indtil tilbagetrækningen, berøres ikke. For data, der allerede er overført til Google, kan du desuden gøre de rettigheder gældende, der er nævnt i punkt 14.

Hvad det betyder for tallene: Kun den, der har accepteret, tælles. Tallene er derfor ufuldstændige og ligger under den faktiske brug. Det er den tilsigtede følge af beslutningen om ikke at indlæse noget uden samtykke.

10.1 Partnerlinks (affiliatelinks)

BrickDb deltager i partnerprogrammer; de pågældende links er umiddelbart mærket med "Annonce". Det ændrer intet ved det, der er sagt ovenfor: der indlejres intet annoncenetværk på siden, der indlæses intet script og ingen tællepixel fra et partnernetværk, og der sættes ingen identifikator. Ved blot at åbne en side sker der intet i den henseende.

Først når en person klikker på et sådant link, åbner vedkommendes browser forhandlerens henholdsvis partnernetværkets adresse. Det er et sideskift, personen selv har foranlediget, og det sted, der linkes til, er databeskyttelsesretligt ansvarligt for det. Adressen indeholder en identifikator, som forhandleren kan se på, at besøget kom fra BrickDb; den er synlig i adresselinjen. BrickDb får i den forbindelse ikke at vide, hvem der klikkede: partnernetværket stiller udelukkende sammenfattede afregningsdata til rådighed, ingen personoplysninger om enkelte klik.

Awin. Linkene til forhandlere, hvis priser BrickDb overtager fra et produktdatafeed fra Awin, går gennem partnernetværket Awin (AWIN AG, Berlin). BrickDb gengiver et sådant link uændret, præcis som det står i feedet: det indeholder BrickDbs publisher-identifikator, forhandlerens identifikator og målet hos forhandleren og intet om dig - ingen kontoidentifikator og ingen klik- eller besøgsidentifikator tildelt af BrickDb. Klikker du på det, åbner din browser først en adresse hos Awin (awin1.com) og viderestilles derfra til forhandleren. I den forbindelse kan Awin indsamle oplysninger direkte hos dig og sætte eller læse cookies i din browser på sit eget domæne for at henføre et senere køb til dette klik, efter Awins egen privatlivspolitik. BrickDb sætter ingen cookie til dette, registrerer ikke klikket på sin egen server og overfører ikke selv nogen data om dig til Awin.

Rakuten Advertising. Linkene til onlinebutikker, som LEGO selv driver, og hvis priser BrickDb overtager fra et produktdatafeed fra Rakuten Advertising, går gennem partnernetværket Rakuten Advertising, og det samme gør linket til LEGO- gavekortet hos Giftcards.com, som en sætside tilbyder besøgende i USA. Dataansvarlig er Rakuten Marketing LLC dba Rakuten Advertising, 800 Concar Drive, Suite 175, San Mateo, CA 94402, USA, efter egen angivelse også for besøgende fra Det Forenede Kongerige og Det Europæiske Økonomiske Samarbejdsområde. Med henblik på sin privatlivspolitik nævner Rakuten Advertising Rakuten Advertising France S.A.S, 92 rue Réaumur, 75002 Paris, Frankrig, som sin etablering i EU og Rakuten Marketing Europe Limited, Vintners Place, 68 Upper Thames St., London EC4V 2AF, Det Forenede Kongerige, som sin etablering i Det Forenede Kongerige. Også dette link gengiver BrickDb uændret, præcis som det står i produktdatafeedet: det indeholder BrickDbs publisher- identifikator, en tilbudsidentifikator og måladressen i butikken og intet om dig. Linket til LEGO-gavekortet stammer ikke fra produktdatafeedet: Rakuten Advertising har genereret det til BrickDb én gang, og det indeholder ligeledes kun BrickDbs publisher-identifikator, Giftcards.coms identifikator og måladressen hos Giftcards.com. Klikker du på et link, åbner din browser først en adresse hos Rakuten Advertising (click.linksynergy.com) og viderestilles derfra til butikken. I den forbindelse kan Rakuten Advertising indsamle oplysninger direkte hos dig og sætte eller læse cookies i din browser på sit eget domæne for at henføre et senere køb til dette klik, efter Rakuten Advertisings egen privatlivspolitik. Dine rettigheder over for Rakuten Advertising gør du gældende via dennes formular til anmodninger om databeskyttelse; kontaktmuligheder står her. BrickDb sætter ingen cookie til dette, registrerer ikke klikket på sin egen server og overfører ikke selv nogen data om dig til Rakuten Advertising.

Tradedoubler. Linkene til boghandleren Hugendubel, hvis priser BrickDb overtager fra et produktdatafeed fra Tradedoubler, går gennem partnernetværket Tradedoubler. Dataansvarlig er ifølge Tradedoublers egen privatlivspolitik Nyorda AB (Sverige), moderselskabet i Tradedoubler-koncernen. Også dette link gengiver BrickDb uændret, præcis som det står i produktdatafeedet: det indeholder BrickDbs publisher-identifikator, programmets og produktets identifikator og måladressen hos Hugendubel og intet om dig. Klikker du på det, åbner din browser først en adresse hos Tradedoubler (pdt.tradedoubler.com) og viderestilles derfra til Hugendubel. I den forbindelse kan Tradedoubler indsamle oplysninger direkte hos dig og sætte eller læse cookies i din browser på sit eget domæne for at henføre et senere køb til dette klik, efter Tradedoublers egen privatlivspolitik. Dine rettigheder over for Tradedoubler gør du gældende på privacy@tradedoubler.com. BrickDb sætter ingen cookie til dette, registrerer ikke klikket på sin egen server og overfører ikke selv nogen data om dig til Tradedoubler.

Amazon. Som Amazon-partner tjener jeg på kvalificerede køb (As an Amazon Associate I earn from qualifying purchases). BrickDb deltager i Amazons partnerprogrammer for amazon.com (drevet af Amazon.com Services LLC) og amazon.de (drevet af Amazon Europe Core S.à r.l.). En sætside linker til en søgning i den pågældende Amazon-butik; der indlæses intet fra Amazon på BrickDb - intet script, intet billede, ingen pris og intet logo. Følger du et sådant link, er du på Amazons eget websted; dér kan Amazon indsamle oplysninger direkte hos dig og sætte eller læse cookies i din browser, efter Amazons egen privatlivspolitik. BrickDb modtager kun sammenfattede rapporter fra Amazon, ingen oplysninger om enkelte besøgende.

En tilføjelse siden målingen af brug: Har du accepteret den efter punkt 10, tælles klikket på et sådant link desuden som en hændelse i Google Analytics — med måladressen, uden oplysning om, hvem der klikkede, bortset fra den tilfældige identifikator, der er beskrevet dér. Uden dit samtykke sker heller ikke dette.

11. Driftsovervågning og fejldiagnose

Applikationen er instrumenteret med OpenTelemetry. Disse data eksporteres kun, hvis et mål udtrykkeligt er konfigureret; i drift er der ikke konfigureret noget sådant mål, så disse telemetridata forlader ikke processen. Kald til statusendepunkterne er undtaget fra registreringen.

Til fejlrapporter anvendes derudover tjenesten Sentry. Hvis appen går ned, eller en forespørgsel på serveren uventet mislykkes, overføres en fejlrapport til Sentry, så fejlen kan findes og rettes. Det vedrører fire steder: API-serveren, webserveren, læsetjenesten efter punkt 8.5 og — i modsætning til alt andet i dette punkt — appen på din enhed. I alle fire tilfælde oprettes forbindelsen til Sentry af applikationen selv; der er ikke indlejret noget script fra en fejlrapporteringstjeneste på webstedet, så browseren sender ikke af sig selv noget dertil (punkt 10).

Udbyderen er Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Den er i den henseende databehandler i henhold til artikel 28 i GDPR. En etablering i Den Europæiske Union, som der kunne indgås en kontrakt med, har Sentry efter egne oplysninger ikke — kontraktparten er dermed en virksomhed med hjemsted i USA.

Behandlingssted: Herfra skal man adskille, hvor dataene ligger. Rapporterne går til Sentrys EU-region, som Sentry selv betegner European Union (EU), og som er indstillet som lagerregion for vores organisation. Modtageradressen for alle fire steder lyder på ingest.de.sentry.io og ikke på tjenestens verdensomspændende adresse. Det er to forskellige ting, og kun den anden er et værtsnavn: den adresse, softwaren sender til, over for den kontoindstilling, der afgør, hvor det modtagne ligger.

Overførsel til tredjelande: Fordi kontraktparten har hjemsted i USA, kan adgang derfra — for eksempel i forbindelse med support og vedligeholdelse — ikke udelukkes. Sentry baserer sådanne overførsler på Europa-Kommissionens standardkontraktbestemmelser, som ligger til grund for databehandleraftalen i version 5.1.0 af 29. maj 2024.

Hvad en fejlrapport indeholder: fejlens art og dens meddelelse, det tekniske kaldforløb (filer, metoder, linjenumre), versionen af BrickDb, den åbnede adresse med dens forespørgselsparametre, for så vidt disse ikke fjernes som beskrevet nedenfor, på API-serveren og webserveren desuden forespørgslens headere — for eksempel din browsers kendetegn, det foretrukne sprog og den side, du kom fra — samt de oplysninger, som Sentry-SDK'et af sig selv indsamler om miljøet — navnlig enhedsmodel, styresystem og dets version, sprog og tidszone. På API-serveren kommer den pseudonyme identifikator for din konto til, hvis du var logget ind; webserveren og appen overfører slet ingen identifikator.

Hvad læsetjenesten indberetter: Læsetjenesten efter punkt 8.5 sender kun en fejlrapport, når læsningen af et foto uventet mislykkes; at den er optaget, eller at den afviser et foto, indberetter den ikke. En sådan rapport indeholder fejlens art og dens meddelelse, det tekniske kaldforløb, versionen af BrickDb, den interne adresse, som API-serveren kaldte den på, headerne i dette interne kald — ikke din browsers — og oplysningerne om servermiljøet. Læsetjenesten overfører ingen identifikator for din konto. Det indsendte foto er aldrig indeholdt i en rapport fra læsetjenesten, heller ikke delvist: indholdet af en forespørgsel registreres ikke, og læsetjenesten logger intet om fotoet.

Hvad appen desuden registrerer: For at en fejl på din enhed kan efterspores, vedhæfter appen et forløbsspor til en fejlrapport. Det indeholder navnene på de senest åbnede sider (ikke deres adresser); for hver forespørgsel til vores server, der ikke lykkedes, metoden, adressen som mønster uden identifikatorer, statuskoden, varigheden og, så vidt den er kendt, fejlens art; de indstillinger, der blev registreret ved opstart — serverens adresse uden sti, om login og fejlrapporter er slået til, og det indstillede sprog —; og, fordi Sentry-SDK'et fører sit eget forløbsspor for forespørgsler, for hver forespørgsel fra appen — til vores server og til logintjenesten — desuden den fuldstændige adresse med metode og statuskode, herunder stien, som for eksempel kan indeholde et sætnummer eller identifikatoren for en samling, og forespørgselsparametrene, for eksempel et søgeord. Også fra denne adresse fjernes de ovenfor nævnte forespørgselsparametre, hvis navn tyder på en hemmelighed, og e-mailadresser, før den sendes. Den samme adresse kan desuden stå i en ydelsesmåling, som Sentry opretter for en tilfældigt udvalgt andel på 2 % af forløbene i appen.

Oplysninger om enheden: Hver rapport, som appen sender efter sin opstart, bærer platformen, styresystemets version, enhedens art (for eksempel telefon eller tablet) og appens version; så snart opstartskontrollen af visningen er kørt, desuden arten og hovedversionen af den webvisning, appen kører i. Hvis appen ikke kan indlæse et billede, et typografiark, et script eller en skrifttype, eller blokerer et indhold af sikkerhedsgrunde, registreres det, hvad det var — ved egne filer stien uden identifikatorer, ved fremmede adresser kun serverens navn, ved en skrifttype dens navn —, og én gang ved opstart en kontrol af visningen: hvilke typografiark der blev indlæst, hvor mange regler de indeholder, og hvilken skrifttype der faktisk bruges. En sådan indlæsningsfejl, en serverfejl eller en forespørgsel, der slet ikke får noget svar, kan også uden nedbrud udløse en egen rapport — den samme fejl ved en forespørgsel højst én gang på ti minutter, ved en indlæsningsfejl højst én gang pr. opstart af appen.

Loggen på din enhed: Appen skriver i en log i appens eget lagerområde: hver forespørgsel til vores server — også hver vellykket — med metode, adresse som mønster uden identifikatorer, statuskode, varighed og et tilfældigt forløbsnummer; de ovenfor nævnte indlæsningsfejl; resultatet af opstartskontrollen af visningen med arten og versionen af webvisningen; de indstillinger, der blev registreret ved opstart; og appens øvrige meddelelser fra niveauet "Information". Navnene på de åbnede sider, arten af en fejl, oplysningerne om enheden og de fuldstændige adresser fra Sentrys eget forløbsspor står ikke i denne log. Den omfatter højst tre filer på hver én megabyte, de ældste poster overskrives, og hver post renses, når den skrives, på samme måde som en fejlrapport. Denne log forlader ikke enheden af sig selv. Kun hvis du under "Om" trykker på "Kopiér diagnosticering", lægger appen appens version, platformen, styresystemets version, enhedens art, de indstillinger, der blev registreret ved opstart, og op til 200 af de seneste poster — renset endnu en gang — i udklipsholderen; hvor du indsætter dem, bestemmer du.

Hvad der udtrykkeligt fjernes, før en rapport forlader enheden eller serveren: alle cookies, hele indholdet af en forespørgsel, enhver forespørgselsparameter, hvis navn tyder på en hemmelighed (blandt andet code, state, token, password, email, key), enhver headerværdi, hvis navn tyder på en hemmelighed, enhver header, hvori vores foranstillede servere videregiver din IP-adresse, samt e-mailadresser og tegnstrenge, der ligner et token — også midt i en fejlmeddelelse. Et brugernavn, en e-mailadresse eller en IP-adresse i rapportens brugerafsnit overskrives, før rapporten sendes, og det samme gælder den installationsidentifikator, som SDK'et af sig selv skriver dér. Denne rensning er bygget sådan, at den i tilfælde af fejl kasserer rapporten i stedet for at sende den ufiltreret.

Applikationen selv overfører ingen IP-adresse: SendDefaultPii står på false alle fire steder, den netop beskrevne rensning overskriver under alle omstændigheder dette felt, og den fjerner også de headere, hvori vores foranstillede servere videregiver din IP-adresse til webserveren og API-serveren. Skærmbilleder vedhæftes ikke, og brugerfladens tekster optages ikke i forløbssporene; begge dele er udtrykkeligt slået fra. Fotos kan ikke nå en fejlrapport, fordi indholdet af en forespørgsel under alle omstændigheder fjernes fuldstændigt.

Ydelsesmålinger på serveren: Uanset om der opstår en fejl, opretter webserveren, API-serveren og læsetjenesten en ydelsesmåling for en tilfældigt udvalgt andel af forespørgslerne og overfører den til Sentry, så langsomme steder kan findes; kald til statusendepunkterne og kontrolforespørgslerne fra vores foranstillede servere er undtaget herfra. Andelen udgør 5 %. Kommer en forespørgsel imidlertid fra appen, fra webserveren eller fra API-serveren, og hører den til et forløb, for hvilket det dér allerede er afgjort, om det måles, overtager serveren denne afgørelse, så et sådant forløb enten måles på alle stationer eller på ingen. En sådan måling indeholder de samme oplysninger om forespørgslen som en fejlrapport fra serveren — metoden, den åbnede adresse med dens forespørgselsparametre, for eksempel et søgeord, og forespørgslens headere —, dertil mønsteret for den åbnede adresse uden identifikatorer, svarets statuskode, behandlingens begyndelse og varighed og de meddelelser, som applikationen logger imens. Dertil kommer de enkelte arbejdstrin med deres varighed: de forespørgsler, som serveren selv foretager i den forbindelse — for eksempel webserveren til API-serveren eller API-serveren til logintjenesten —, hver med metode, fuldstændig adresse og statuskode, og databaseforespørgslerne med deres tekst, hvori indsatte værdier kun står som pladsholdere og ikke som selve værdierne. På API-serveren bærer målingen den pseudonyme identifikator for din konto, hvis du var logget ind; webserveren og læsetjenesten overfører ingen identifikator. For læsetjenesten vedrører en måling kun det interne kald fra API-serveren; den foretager i den forbindelse ikke selv forespørgsler til andre servere og ingen databaseforespørgsler, og fotoet er heller aldrig indeholdt i en måling. For hver ydelsesmåling gælder den samme rensning som for en fejlrapport, beskrevet ovenfor; navnlig fjernes cookies og de headere, der indeholder din IP-adresse, før afsendelsen. Retsgrundlaget er artikel 6, stk. 1, litra f, i GDPR; den legitime interesse består i at drive applikationen hurtigt og pålideligt. En fuldstændig ydelsesmåling opbevarer Sentry i vores abonnement i højst 90 dage; en reduceret stikprøve af målingerne kan Sentry opbevare i op til 13 måneder.

Forbindelsens IP-adresse opbevarer Sentry ikke. Når en rapport sendes, oprettes der en internetforbindelse; den adresse, der blev sendt fra, er dermed nødvendigvis kendt af den modtagende part under overførslen. Sentry tilbyder en indstilling, der kasserer denne adresse i stedet for at registrere den, og denne indstilling er slået til for alle fire projekter — API-serverens, webserverens, læsetjenestens og appens. En fejlrapport beholder derfor ikke adressen. Det gælder også appens rapporter, hvor det ville være adressen på din egen internetforbindelse; for API-serveren, webserveren og læsetjenesten ville det være adressen på vores egne servere.

For overførslen gælder alt det øvrige i dette punkt uændret: modtageren er Functional Software, Inc. d/b/a Sentry, rapporterne går til den ovenfor nævnte lagerregion, og overførslen støtter sig på de ovenfor beskrevne standardkontraktbestemmelser. Sentrys egen rensning på serversiden er slået til i sin grundform for alle fire projekter — API-serverens, webserverens, læsetjenestens og appens; vi har ikke føjet egne regler til den og ikke fjernet nogen af dens regler.

Retsgrundlag: artikel 6, stk. 1, litra f, i GDPR — for fejlrapporten og for IP-adressen ved dens overførsel i lige grad. Den legitime interesse består i at opdage og rette fejl og nedbrud. Adressen behandles ikke til noget selvstændigt formål og bruges ikke til at genkende dig. Det er det samme grundlag, som punkt 3 behandler den IP-adresse på, der nødvendigvis opstår ved enhver forbindelse til webstedet. Du kan gøre indsigelse herimod efter artikel 21 i GDPR via kontaktoplysningerne i punkt 2.

Opbevaringsperiode: 90 dage. Hvor længe en fejlrapport opbevares hos Sentry, følger af det abonnement, organisationen ligger i. Vores ligger i abonnementet "Business", for hvilket Sentry offentliggør en opbevaring på 90 dage; i abonnementet "Developer" ville det være 30. Vedhæftninger følger den hændelse, de hører til. For et enkelt projekt kan der sættes en kortere frist, som da går forud; ingen af vores fire projekter har en sådan, så de 90 dage gælder for alle fire i lige grad.

12. Modtagere

Personoplysninger sælges ikke og videregives ikke til reklameformål. Modtagere er for tiden Microsoft Ireland Operations Limited som databehandler for hosting, database og fillager samt — alene efter din udtrykkelige anmodning efter punkt 8.6 — for billedvurderingen gennem Azure OpenAI, og Twilio Inc. (“SendGrid”) som databehandler for afsendelsen af e-mail efter punkt 7.3, herunder den dér beskrevne behandling i USA. Har du accepteret målingen af brug efter punkt 10, kommer Google Ireland Limited til som yderligere databehandler, så længe den varer; uden dit samtykke modtager den intet. For login efter punkt 7.1 er Auth0 / Okta, Inc. databehandler, og for fejlrapporterne efter punkt 11 Functional Software, Inc. d/b/a Sentry; begge har hjemsted i USA og baserer overførslen på Europa-Kommissionens standardkontraktbestemmelser, som beskrevet i de nævnte punkter. Godkendte oplysninger om begivenheder er offentlige i henhold til punkt 8.4; tilknytningen til kontoen hører ikke med. Derudover sker der kun en videregivelse, hvis der består en retlig forpligtelse hertil.

13. Opbevaringsperioder

• Samlingsdata og fotos: indtil den registrerede sletter dem, eller indtil kontoen slettes.
• Indstillinger på enheden: se punkt 6.1.
• Kontooplysninger hos identitetsudbyderen (punkt 7.1 og 7.2): indtil kontoen slettes, hvilket også sletter kontoen hos Auth0.
• Måling af brug: op til 14 måneder fra den seneste interaktion for hændelses- og brugerrelaterede data hos Google, 182 dage for samtykkecookien på din enhed — se punkt 10.
• Indsendte begivenheder: opbevaringsperioden fra punkt 8.4, opdelt efter status.
• Supporthenvendelser: 24 måneder efter sagens afslutning — se punkt 8.7, også om hvorfor fristen løber fra afslutningen og ikke fra modtagelsen.
• Indberetninger om indhold: 24 måneder efter afgørelsen — se punkt 8.8, også om hvorfor fristen løber fra afgørelsen og ikke fra modtagelsen, og hvorfor en endnu ikke afgjort indberetning ikke slettes.
• Administrationens handlinger på brugerkonti (auditlog): 24 måneder efter handlingen — se punkt 8.9, også om hvad der bliver tilbage, når kontoen slettes. Kontooplysninger og loginhistorik, der vises for administrationen, læses live hos Auth0 og gemmes ikke af BrickDb.
• Fotos til læsning af sætnummeret (punkt 8.5) og til vurderingen af stand (punkt 8.6): gemmes ikke hos BrickDb og kasseres, når forespørgslen er slut.
• Afsendte e-mails: hos BrickDb oprettes ingen kopi; om leveringsdataene hos udbyderen af afsendelsen se punkt 7.3.
• Logfiler på infrastrukturniveau: se punkt 3.
• Fejlrapporter hos Sentry: 90 dage — se punkt 11; IP-adressen på den forbindelse, de blev leveret over, opbevarer Sentry ikke.
• Ydelsesmålinger hos Sentry: fuldstændigt i højst 90 dage, som reduceret stikprøve i op til 13 måneder — se punkt 11.

Slettes en post, slettes de tilhørende fotos med — herunder de formindskede versioner efter punkt 8. Fra sikkerhedskopier forsvinder slettede data ved disses almindelige udløb, senest efter 35 dage.

14. De registreredes rettigheder

Der består følgende rettigheder:

• Indsigt i de behandlede oplysninger (artikel 15 i GDPR),
• Berigtigelse af urigtige oplysninger (artikel 16 i GDPR),
• Sletning (artikel 17 i GDPR),
• Begrænsning af behandling (artikel 18 i GDPR),
• Dataportabilitet (artikel 20 i GDPR),
• Indsigelse mod behandlinger, der er baseret på artikel 6, stk. 1, litra f, i GDPR (artikel 21 i GDPR),
• Tilbagetrækning af et givet samtykke med virkning for fremtiden (artikel 7, stk. 3, i GDPR).

For at udøve dem er en uformel besked til den e-mailadresse, der er nævnt i punkt 2, tilstrækkelig.

Retten til indsigt efter artikel 15 i GDPR kan desuden udøves direkte og uden at skrive en besked: kontosiden genererer en fuldstændig, maskinlæsbar kopi af alle gemte data — konto og profil, samlinger med deres medlemmer og de invitationer, du har udstedt, eksemplarerne i dem med noter, tags, stand, købspriser og sælgernoter, enkelte minifigurer og løse dele, dine eksemplarer af magasinudgaver og bøger, dine opbevaringssteder og hvilket eksemplar der ligger på hvilket af dem, registrerede underskrifter, ønskelisten, dine egne bidrag til posekoder og stregkoder på emballage, dine egne indsendte begivenheder i enhver modereringsstatus, igangsatte batchbehandlinger af æskefotos, posterne i administrationens auditlog om din konto (punkt 8.9), hvert uploadet foto samt dit avatarbillede, hvis du har uploadet et.

Hvad denne kopi ikke indeholder, og hvorfor: loginoplysningerne hos identitetsudbyderen (e-mailadresse, adgangskode, loginhistorik, registrerede anden faktorer) — de ligger hos Auth0, som selv giver indsigt i dem; invitationer, som andre har rettet til din adresse, fordi de er deres data og ikke dine; den visning af dele, der er afledt af dine eksemplarer, fordi den intet indeholder, som ikke i forvejen står i kopien; supporthenvendelser — og det alle, fordi ingen sag i denne version er knyttet til en konto, og vi ikke kan se, hvilke der er dine (punkt 8.7 siger, hvordan du når os om en); interne noter om en supportsag, som tilhører os og ikke dig (ligeledes punkt 8.7); den korte registrering af en mail til supportadressen, der ikke blev til en sag, fordi den ikke er knyttet til nogen konto (punkt 8.7); indberetninger om indhold, som heller ikke er knyttet til nogen konto, og de noter, vi skrev ved afgørelsen af en indberetning om dit indhold (punkt 8.8); hvem fra administrationen der handlede på din konto, fordi det er denne persons data og ikke dine (punkt 8.9); og den køsatte notifikation om en begivenhed, du har indsendt, som kun indeholder forsendelsesmekanik og henviser til den begivenhed, der allerede er opført ovenfor.

Også retten til sletning efter artikel 17 i GDPR kan udøves direkte dér. Kontosiden viser på forhånd, hvad der præcist slettes; efter bekræftelse udføres sletningen straks: samlingen, opbevaringsstederne, fotografierne (selve filerne, ikke kun posterne) og login-kontoen hos identitetsudbyderen. Det kan ikke fortrydes.

Undtagelserne er bevidst reguleret sådan; for begivenheder gælder punkt 8.4. Dine egne bidrag til posekoderne bliver anonymiseret i stedet for slettet: hvilken figur der ligger i en pose, er en kendsgerning om et LEGO-produkt, som andre brugere har fastslået i fællesskab og stoler på — bidraget består, og tilknytningen til personen erstattes af en nytrukket tilfældig værdi, for hvilken der ikke længere findes nogen konto eller henførelse (betragtning 26 i GDPR). Et eksemplar, der er lagt ind i en samling, som deles med andre personer, bliver på samme måde anonymiseret i stedet for slettet: at slette det ville tage de andre deltageres post om et sæt, de fører sammen, fra dem. Sætnummer, antal og stand bliver derfor hos samlingen; alt personligt ved det falder bort — det selvvalgte kaldenavn, noterne, tagsene, opbevaringsstedet, den betalte pris, din egen vurdering af værdien og fotografierne — sammen med tilknytningen til personen, erstattet af en på samme måde nytrukket tilfældig værdi. Et eksemplar i en samling, som ingen andre er med i, slettes fuldstændigt — der er ingen, det ville blive taget fra. Og sikkerhedskopier følger fortsat punkt 13: slettede data forsvinder dér ved disses almindelige udløb, senest efter 35 dage.

De enkelte trin, en opregning af, hvad der slettes, og hvad der bevares i anonymiseret form, og vejen for personer, der ikke længere kan logge ind, står sammenfattet på siden Sletning af konto og data. Den kan nås uden login og gengiver kun, hvad der står i dette punkt.

Ret til at klage

Uafhængigt heraf består der efter artikel 77 i GDPR en ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor man har sit sædvanlige opholdssted, sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted. Den myndighed, der er kompetent for den dataansvarlige, er:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: +49 211 38424-0
E-mail: poststelle@ldi.nrw.de
www.ldi.nrw.de

15. Pligt til at afgive oplysninger

Afgivelsen af oplysninger er hverken lovpligtig eller kontraktligt foreskrevet. Uden oplysninger kan samlingsfunktionerne imidlertid ikke bruges meningsfuldt; de frit tilgængelige dele af tjenesten står åbne uden nogen oplysning overhovedet.

16. Ændringer og gældende sprogversion

Denne politik tilpasses, når behandlingen eller retstilstanden ændrer sig. Gældende er den version, der til enhver tid er offentliggjort her, med den ovenfor angivne dato.

Den tyske version er den gældende. Versionerne på engelsk, fransk, nederlandsk, dansk, italiensk og spansk er oversættelser til orientering og har ingen selvstændig retsvirkning.