Privatlivspolitik

Version 1.0 — Ikrafttrædelse: 15. april 2026

§ 1. Hvem er den dataansvarlige?

Den dataansvarlige for behandling af dine personoplysninger er:

Xoens ApS har ikke udpeget en databeskyttelsesrådgiver (DPO), da dette ikke er lovpligtigt for vores behandlingsaktiviteter på nuværende tidspunkt. Henvendelser om databeskyttelse besvares af vores interne kontaktpunkt på legal@xoens.dk inden for 30 dage.

§ 2. Hvilke personoplysninger behandler vi?

2.1 Oplysninger du giver os direkte

• Konto: Navn, e-mailadresse og krypteret adgangskode.
• Profil: Alder, by, køn, søgestatus (f.eks. kæreste, venskab), bio og profilfotos (op til 6 billeder).
• Følsomme oplysninger (GDPR art. 9): Seksuel orientering (hvem du søger — mænd, kvinder eller begge) samt personlighedsprofil genereret fra matchingtesten. Behandling sker udelukkende på baggrund af dit udtrykkelige samtykke (art. 9, stk. 2, litra a), som du afgiver ved oprettelse af din profil. Du kan til enhver tid trække samtykket tilbage ved at slette din konto.
• Aktivitetsdata: Glimt (daglige billeder med 24 timers udløb), Q&A-svar, event-deltagelse og Livetimen-aktivitet.
• Beskeder og invitationer: Indholdet af beskeder du sender til andre brugere samt invitationer (standard, visuel-respons, badge-forbindelse og tre-tags).
• Matchingdata: Præferencer og scores genereret af vores WCM-matchingalgoritme (se § 4).
• Betaling: Betalingskortoplysninger behandles direkte af vores betalingspartner Stripe — vi gemmer ingen kortdata selv. Vi modtager kun bekræftelse af betaling samt et anonymiseret betalings-ID.
• SMS-verifikation (valgfrit): Hvis du vælger at verificere dit telefonnummer, sender vi en engangskode (OTP) via SMS gennem vores SMS-udbyder GatewayAPI ApS. Vi gemmer kun verifikationsstatus (verificeret / ikke verificeret) og tidspunkt for verifikation — aldrig selve OTP-koden, som slettes straks efter brug.
• MitID-verifikation (når implementeret, valgfrit): Hvis du vælger at verificere din identitet, bekræfter MitID-tjenesten (drevet af Nets A/S) din identitet og alder over for os. Vi modtager og gemmer kun verifikationsstatus (verificeret / ikke verificeret) — aldrig dit CPR-nummer eller biometriske data.

2.2 Oplysninger vi indsamler automatisk

• Tekniske data: IP-adresse, browsertype, operativsystem og enhedstype ved besøg på platformen.
• Aktivitetsdata: Tidspunkter for login og interaktion (brugt til online-status og streak-beregning).
• Session: Autentificerings-token fra Supabase, der holder dig logget ind. Dette er en nødvendig cookie, der ikke kræver samtykke.

2.3 Oplysningsforpligtelse — hvad sker der, hvis du ikke oplyser?

Felterne e-mailadresse og adgangskode er obligatoriske for at oprette en konto. Profiloplysninger (alder, køn, by, søgestatus) er nødvendige for at kunne deltage i matching og blive vist til andre brugere. Telefonnummer, SMS-verifikation og MitID-verifikation er valgfrie — du kan bruge platformen uden dem, men visse funktioner (f.eks. verificeret-mærke på din profil) vil ikke være tilgængelige.

§ 3. Hvorfor og på hvilket grundlag behandler vi dine oplysninger?

Vi behandler dine oplysninger på følgende retsgrundlag i henhold til GDPR artikel 6 og artikel 9:

§ 4. Automatiseret beslutningstagning (GDPR art. 22)

Platformen anvender automatisk behandling af dine profiloplysninger til at generere matchforslag ("anbefalede profiler"). Vi oplyser herom i overensstemmelse med GDPR artikel 13, stk. 2, litra f, og artikel 22.

4.1 Hvad algoritmen gør

Klokken20 matchingalgoritme — kaldet WCM (Weighted Contextual Matching) — beregner en kompatibilitets-score mellem dig og andre brugere baseret på en helhedsvurdering af jeres profiler. Brugere med høj score vises øverst i dine matchforslag.

4.2 Hvilke data indgår

• Din personlighedsprofil fra matchingtesten
• Q&A-svar og pinned answers
• Delte interesser og aktivitetsdeltagelse
• Event-deltagelsesmønster
• Søgepræferencer (køn, alder, by)
• Seksuel orientering (følsom oplysning, behandlet med dit udtrykkelige samtykke jf. art. 9)

4.3 Konsekvenser for dig

Matchforslag er udelukkende vejledende og har ingen retsvirkning. De påvirker ikke din retsstilling, og du kan til enhver tid manuelt søge og filtrere alle aktive profiler uafhængigt af algoritmen. Algoritmen forringer ikke din profils synlighed over for andre brugere — alle aktive profiler kan søges frit via søg/udforsk-funktionen.

Klokken20 anvender en fair model: premium-brugere får adgang til ekstra funktioner (ubegrænsede beskeder, invitationer m.m.), men opnår ikke øget synlighed i matchlister. Der er ingen pay-to-win mekanik.

4.4 Din ret til indsigelse

Du har ret til at gøre indsigelse mod den automatiserede behandling af dine oplysninger til matchmaking-formål ved at kontakte os på legal@xoens.dk. Du kan fortsat bruge platformen via den manuelle søge- og filtreringsfunktion.

§ 5. Hvem deler vi dine oplysninger med?

Vi anvender følgende databehandlere. Med alle har vi indgået en databehandleraftale (DPA), der sikrer behandling i overensstemmelse med GDPR.

Vi sælger, lejer eller videregiver aldrig dine personoplysninger til tredjeparter med henblik på markedsføring.

§ 6. Overførsler til lande uden for EU/EØS

Visse databehandlere (Supabase, Vercel) er amerikanske virksomheder. Sådanne overførsler er lovlige på grundlag af et eller begge af følgende:

• EU-US Data Privacy Framework (DPF) — Vercel og Supabase er certificeret under denne EU-Kommissionens adequacy-afgørelse.
• EU's standardkontraktbestemmelser (SCCs) — indgået med alle relevante databehandlere.

Bemærk at Supabase opbevarer vores projektdata i EU (Frankfurt) — de faktiske persondata forbliver i EU. Stripe behandler betalingsdata via deres irske enhed (Stripe Technology Europe Ltd., Dublin). NordicWay ApS og GatewayAPI ApS er danske selskaber med data opbevaret i EU.

Du kan til enhver tid anmode om kopi af de relevante SCCs ved at kontakte os på legal@xoens.dk.

§ 7. Hvor længe gemmer vi dine oplysninger?

Når du sletter din konto, indleder vi en 30-dages soft delete-periode, hvor du kan fortryde sletningen. Efter denne periode slettes dine personoplysninger permanent med undtagelse af betalingsdata, som vi er retligt forpligtet til at opbevare i 5 år i henhold til bogføringsloven § 10.

§ 8. Cookies og sporingsteknologier

Klokken20 anvender udelukkende nødvendige cookies til at drive platformen. Vi bruger ingen tracking-cookies, analytics-cookies eller tredjepartscookies til markedsføring.

Se vores cookiepolitik for en fuldstændig liste over alle cookies, deres navn, formål, varighed og type.

§ 9. Dine rettigheder

Du har følgende rettigheder i henhold til GDPR (databeskyttelsesforordningen) ogdatabeskyttelsesloven (lov nr. 502 af 23. maj 2018):

• Indsigt (art. 15): Du har ret til at få bekræftet, om vi behandler oplysninger om dig, og til at modtage en kopi. Anmod ved at skrive til legal@xoens.dk.
• Berigtigelse (art. 16): Du kan rette forkerte oplysninger direkte i dine kontoindstillinger eller ved at kontakte os.
• Sletning — "retten til at blive glemt" (art. 17): Du kan slette din konto i indstillingerne. Bemærk at bogføringsdata ikke kan slettes inden for 5 år (se § 7).
• Begrænsning (art. 18): Under visse betingelser kan du anmode om, at vi begrænser behandlingen af dine oplysninger.
• Dataportabilitet (art. 20): Du har ret til at modtage de oplysninger, du har afgivet til os, i et struktureret, maskinlæsbart format (JSON/CSV). Anmod via legal@xoens.dk.
• Indsigelse (art. 21): Du kan gøre indsigelse mod behandling baseret på legitim interesse (§ 3 litra f) samt mod den automatiserede matchingalgoritme (§ 4). Vi ophører med behandlingen, medmindre vi kan påvise vægtige legitime grunde.
• Tilbagetrækning af samtykke: Samtykke til behandling af følsomme oplysninger (seksuel orientering, personlighedsprofil) kan trækkes tilbage ved at slette din konto. Samtykke til SMS-verifikation eller MitID-verifikation trækkes tilbage ved at kontakte os på legal@xoens.dk. Tilbagetrækning berører ikke lovligheden af den behandling, der er foretaget inden tilbagetrækningen.

Vi besvarer alle anmodninger inden for 30 dage. I komplekse sager kan fristen forlænges med yderligere to måneder — du vil i så fald blive underrettet herom.

Har du en klage over vores behandling af dine personoplysninger, kan du indgive klage til:

§ 10. Sikkerhed og databrud

Vi har implementeret følgende tekniske og organisatoriske sikkerhedsforanstaltninger:

• Krypteret kommunikation via HTTPS/TLS 1.2+
• Kryptering af data i hvile (AES-256)
• Krypterede adgangskoder (bcrypt hashing — aldrig gemt i klartekst)
• Rollebaseret adgangskontrol (Row Level Security i Supabase)
• SOC 2 Type II certificerede infrastrukturudbydere
• Intern procedure for håndtering af sikkerhedshændelser

10.1 Anmeldelse til Datatilsynet (art. 33)

Opstår der et brud på persondatasikkerheden, anmelder vi det til Datatilsynet senest 72 timer efter, at vi er blevet bekendt med det, medmindre bruddet ikke udgør en risiko for de registreredes rettigheder og frihedsrettigheder. Er det ikke muligt at anmelde inden for 72 timer, ledsages anmeldelsen af en begrundelse for forsinkelsen.

10.2 Underretning af dig (art. 34)

Vurderer vi, at et brud medfører høj risiko for dine rettigheder og frihedsrettigheder, underretter vi dig direkte uden unødig forsinkelse via e-mail til din registrerede adresse. Underretningen indeholder: bruddets art, sandsynlige konsekvenser og de foranstaltninger vi har truffet.

§ 11. Børn under 18 år

Klokken20 er en dating-platform rettet mod voksne i alderen 25-45 år og er ikke beregnet til personer under 18 år. Vi indsamler ikke bevidst personoplysninger om mindreårige.

Opdager vi, at en bruger er under 18 år, sletter vi kontoen og tilknyttede oplysninger straks. Er du forælder og mener, at dit barn har oprettet en konto, bedes du kontakte os på legal@xoens.dk.

§ 12. Ændringer til denne politik

Vi kan opdatere denne privatlivspolitik, når det er nødvendigt som følge af ændringer i vores behandlingsaktiviteter, ny lovgivning eller vejledning fra Datatilsynet.

Væsentlige ændringer varsles via e-mail til registrerede brugere med mindst 30 dages varsel inden ikrafttrædelse samt ved en fremtrædende besked på platformen. Fortsætter du med at bruge tjenesten efter ikrafttrædelsesdatoen, anses du for at have taget den opdaterede politik til efterretning.

Versionsnummer og ikrafttrædelsesdato fremgår øverst på denne side. Vi opretholder et arkiv over tidligere versioner — kontakt os, hvis du ønsker adgang hertil.

§ 13. Kontakt og klager

Har du spørgsmål til denne politik eller til behandlingen af dine personoplysninger:

Vi besvarer henvendelser inden for 30 dage. Du kan altid klage til Datatilsynet — se § 9 for kontaktoplysninger.