Databehandleraftale

Sidst opdateret: 8. november 2026

Når jeres kølefirma bruger Refilog, registrerer jeres teknikere og andre medarbejdere eftersyn, service og kontroller i logbogen. Oplysningerne om medarbejderne behandler vi på jeres vegne. Her er aftalen om det, efter databeskyttelsesforordningens artikel 28.

Kort fortalt: I er dataansvarlige for jeres medarbejderes oplysninger. Halvfems Procent er databehandler og bruger dem kun til at levere Refilog efter jeres instruks. Data ligger hos Hetzner i Tyskland, AI-kald går til Mistral AI i Frankrig, eftersynsmærkatet viser ingen navne, og en journalpost kan ikke ændres eller slettes i appen, fordi logbogen er dokumentation.

1. Parter og roller

Dataansvarlig: det kølefirma, der har en konto i Refilog (I).
Databehandler: Halvfems Procent, CVR 46314697, Oldenborggade 60, 1., 7000 Fredericia, hej@refilog.dk (vi).

Aftalen dækker oplysninger om jeres medarbejdere: teknikere, administratorer og andre, der har et login i jeres firma i Refilog. Inspektører fra et bemyndiget organ har deres egen adgang, se afsnit 5.

Aftalen dækker ikke oplysninger om jeres kunder, altså anlægsejere, eller om gæster der scanner QR-koden og taster en mail. Dem behandler vi i dag som dataansvarlige efter privatlivspolitikken. Det samme gælder kontaktoplysningerne på jeres firmakonto, og for firmaets ejer og administratorer vores eget kundeoverblik, som privatlivspolitikkens afsnit 3 beskriver.

2. Formål, karakter og varighed

Vi behandler oplysningerne alene for at levere Refilog til jer:

login og adgang efter den rolle, I har givet medarbejderen,
journalføring af eftersyn, service, påfyldning og kontroller på jeres anlæg, med hvem der registrerede hvad, hvornår og på hvilket anlæg,
eftersynsmærkater, inspektionscertifikater og anlægsrapporter som PDF,
påmindelser om kommende eftersyn til de medarbejdere, der har slået dem til,
udtræk af stamdata fra datablade og typeskilte, og assistenten Jens B i dashboardet (se afsnit 8),
sikkerhed, fejlfinding og sporbarhed: revisionslog og fejllog.

Behandlingen består i at indsamle, opbevare, vise, sende og slette oplysningerne i Refilog. Den varer, så længe jeres firma har en konto i Refilog, og derefter indtil oplysningerne er slettet eller udleveret efter afsnit 11.

3. Typer af oplysninger

Alle er almindelige personoplysninger efter artikel 6. Refilog beder ikke om følsomme oplysninger efter artikel 9 eller om CPR-numre.

Konto: navn, mail, telefon hvis den er udfyldt, en særskilt mail til påmindelser hvis den er udfyldt, rolle og firma.

Login: engangskoder (gyldige i 5 minutter), sessioner (24 timer, eller 30 dage med husk mig) og tidspunkt og IP-adresse for login i revisionsloggen.

Journalposter og kontroller: hvem der registrerede posten og hvornår, noter i fritekst, påfyldt kølemiddel og olie, teknikerens underskrift som billede, fotos og filer. Ved trykbeholderkontrol inspektørens navn, organ, certifikatnummer og underskrift.

Eftersynsmærkater og certifikater: det digitale eftersynsmærkat, der dannes ved hvert eftersyn. Det viser firmaets navn og datoerne, men ikke teknikerens navn eller underskrift.

Anlæg, dokumenter og komponenter: hvem der oprettede eller gennemgik et anlæg, uploadede et dokument eller datablad, eller registrerede en komponent. Dokumenter og fotos kan selv nævne personer.

QR-scanninger: når en medarbejder scanner anlæggets QR-kode og er logget ind, åbnes logbogen under medarbejderens login. Selve scanningen gemmes ikke for sig; det gør det, medarbejderen registrerer bagefter.

Påmindelser: hvilke påmindelser medarbejderen har slået til, og en log over sendte påmindelser med modtagerens mail.

Revisionslog: handlinger i Refilog med bruger, tidspunkt, beskrivelse og IP-adresse, fx login, oprettelse af anlæg og eksport af data.

Assistenten Jens B: de spørgsmål medarbejderen skriver, og som baggrund for svaret firmaets anlæg og journalposter (afsnit 8). Selve loggen over spørgsmål og svar er vores egen, se afsnit 4.

4. Instruks

Vi behandler kun oplysningerne efter jeres dokumenterede instruks. Aftalen her og jeres brug af Refilog, som den er beskrevet her, er den løbende instruks. Andre instrukser giver I skriftligt til hej@refilog.dk.

Vi giver kun oplysningerne videre til de underdatabehandlere, der står i afsnit 8. Den eneste undtagelse er, hvis EU-ret eller dansk ret kræver det. Så fortæller vi jer det først, medmindre loven forbyder os det.

Mener vi, at en instruks strider mod databeskyttelsesreglerne, siger vi det til jer med det samme.

Vi bruger ikke jeres medarbejderes oplysninger enkeltvis i vores eget kundeoverblik. Dér indgår teknikere og andre medarbejdere kun i firmaets samlede tal.

To ting gør vi til vores eget formål, og dem er vi selv dataansvarlige for efter privatlivspolitikken, ikke databehandler efter denne aftale: vi læser spørgsmål og svar fra assistenten Jens B for at rette svar der er forkerte, og sender en medarbejder os feedback med feedback-knappen, får vi den med medarbejderens mail, så vi kan svare.

5. Hvem der ser medarbejdernes oplysninger

Logbogen følger anlægget, ikke kølefirmaet. Det er en del af instruksen, at Refilog viser journalen sådan her:

Jeres egne brugere ser jeres anlæg og journalposter efter den rolle, I har givet dem.

Anlæggets ejer med eget login ser journalen for sine anlæg, med teknikerens navn på hver post.

Et andet kølefirma, der bliver servicefirma på anlægget, ser også de journalposter, jeres medarbejdere skrev, med navnene, fordi de er en del af anlæggets journal. Holder I selv op med at være servicefirma på et anlæg, mister I adgangen til dets journal.

Brugere med rollen inspektør ser alle anlæg i PED-kategori III og IV med journalen, på tværs af kølefirmaer. Det er meningen: de kontrollerer de anlæg, uanset hvilket firma der servicerer dem.

Alle der scanner QR-koden ser uden login kun anlægget med placering og virksomhedens anlægsadresse, typen og datoen for journalposterne, eftersynsmærkaterne og kølefirmaets navn. Hverken teknikerens navn, underskrift eller anlægsejerens navn vises.

Gæster, der efter scanningen taster en mail og bekræfter den med en engangskode sendt til mailen, får i 4 timer læseadgang til anlæggets journalposter med noter, navne og underskrifter.

6. Fortrolighed

Kun personer der arbejder for Halvfems Procent, har adgang til oplysningerne, og kun i det omfang det er nødvendigt for at levere, rette og sikre Refilog. I dag er det indehaveren alene. Alle med adgang er underlagt tavshedspligt.

7. Sikkerhed

Vi gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32. I dag består de af:

Drift på egen server hos Hetzner i Nürnberg, Tyskland.
Krypteret forbindelse (HTTPS/TLS) mellem browser og server.
Login uden adgangskode med en engangskode på mail. Koden er gyldig i 5 minutter og spærres efter 5 forkerte forsøg.
Rollebaseret adgang. Et kølefirma ser og skriver kun på de anlæg, det er aktivt servicefirma på. Når en kunde skifter servicefirma, mister det tidligere firma adgangen til journalen og dokumenterne. En medarbejderkonto uden firma får ingen anlæg at se. Jeres medarbejderliste og brugeradministration afgrænses til jeres firma.
En medarbejder, I deaktiverer, kan ikke logge ind igen, og de sessioner, der allerede er åbne, afsluttes med det samme.
Gæster skal bekræfte deres mail med en engangskode, før de ser journalen.
Kortet i dashboardet hentes gennem vores egen server, så medarbejderens browser ikke kontakter OpenStreetMap.
Begrænsning af antal forsøg på login, gæsteadgang og andre åbne ruter.
Revisionslog over handlinger. Efter 12 måneder fjerner vi IP-adressen, koblingen til brugeren, navne, mails, adresser og fritekst. Tidligere værdier for anlægsdata bliver stående, fx fyldning, PED-kategori og intervaller.
Journalposter kan ikke ændres eller slettes i Refilog, så logbogen kan dokumenteres bagudrettet.
Natlig sikkerhedskopi af databasen til en anden server hos Hetzner.
Fejlmeldinger går til vores egen fejllog (GlitchTip) på egen server hos Hetzner, ikke til en ekstern tjeneste.

8. Underdatabehandlere

I giver med aftalen generel godkendelse af disse underdatabehandlere:

Hetzner Online GmbH (Gunzenhausen, Tyskland): servere til Refilog og databasen, sikkerhedskopier, vores egen mailserver, der sender engangskoder og påmindelser, og vores egen fejllog. Alt i Hetzners datacentre i EU.

Mistral AI (Paris, Frankrig): udtræk af stamdata, når en medarbejder uploader et datablad eller et foto af et typeskilt, og svar fra assistenten Jens B. Til Jens B sendes medarbejderens spørgsmål og som baggrund firmaets anlæg med de seneste journalposter, deres noter og navnet på den tekniker, der skrev dem. Alle kald går til Mistrals EU-adresse.

Vi har databehandleraftaler med begge, og hos Mistral er træning på vores data slået fra. Vi pålægger underdatabehandlerne de samme databeskyttelsesforpligtelser som i denne aftale, og vi hæfter over for jer for deres behandling, jf. artikel 28, stk. 4. Vil vi tilføje eller udskifte en underdatabehandler, skriver vi til firmaets mail mindst 30 dage før, så I kan gøre indsigelse. Gør I indsigelse, og kan vi ikke finde en løsning, kan I opsige aftalen om Refilog til den dag ændringen træder i kraft.

Andre tjenester, der får et opslag: når en medarbejder taster en adresse, slår vi den op hos Klimadatastyrelsens Adressevælger i Danmark. Ved oprettelse af et anlæg slår vi anlæggets adresse op hos OpenStreetMap (Nominatim), og kortfliserne i dashboardet henter vores server hos OpenStreetMap. Opslagene sendes fra vores server, så tjenesterne ser ikke medarbejderens IP-adresse, og der sendes ingen navne eller mails.

9. Overførsel uden for EU og EØS

Vi lagrer ikke jeres medarbejderes oplysninger uden for EU og EØS, og vores underdatabehandlere i afsnit 8 behandler dem i EU. Vil vi ændre det, sker det kun efter varsling efter afsnit 8 og på et gyldigt grundlag efter forordningens kapitel V.

10. Bistand, brud og revision

Medarbejdernes rettigheder. Vi hjælper jer med at besvare anmodninger om indsigt, berigtigelse, sletning, begrænsning og dataportabilitet. Kommer en anmodning direkte til os, sender vi den videre til jer. I Refilog kan I selv:

Hente hele dataarkivet: under Indstillinger kan en bruger hente alle firmaets anlæg med journalhistorik, kontroller, komponenter og en oversigt over dokumenter som JSON. Selve dokumentfilerne hentes enkeltvis.
Slette en medarbejders konto: medarbejderen kan selv slette sin konto under Indstillinger.
- Det slettes: mail, telefon, login, engangskoder, påmindelsesindstillinger og loggen over sendte påmindelser. Kontoen kan ikke bruges igen.
- Det anonymiseres: i revisionsloggen og i loggen over beskeder til Jens B står der Tidligere tekniker i stedet for navn og mail.
- Det bliver stående: journalposter, dokumenter og komponenter med medarbejderens navn og underskrift. De er en del af anlæggets udstyrsjournal, som ejeren skal føre, jf. bekendtgørelse nr. 498 af 2024 om anvendelse af trykbærende udstyr, § 21, stk. 1.

Jeres administrator kan deaktivere en medarbejder under Brugere; så kan medarbejderen ikke logge ind, og åbne sessioner afsluttes. Skal en medarbejders mail rettes, eller vil I have en kopi af én medarbejders oplysninger, så skriv til os. Medarbejderen kan også selv hente sine egne oplysninger som JSON, når han er logget ind, på adressen refilog.dk/api/me.

Sikkerhed og konsekvensanalyser. Vi giver jer de oplysninger om behandlingen, I har brug for til jeres egen sikkerhed efter artikel 32, til anmeldelse af brud efter artikel 33 og 34, og til en konsekvensanalyse efter artikel 35 og 36.

Brud på persondatasikkerheden. Opdager vi et brud, der berører jeres medarbejderes oplysninger, giver vi jer besked uden unødig forsinkelse og senest 48 timer efter, at vi er blevet opmærksomme på det, så I kan nå at anmelde det til Datatilsynet inden for 72 timer. Vi fortæller hvad der er sket, hvilke oplysninger og hvor mange personer det omfatter, og hvad vi gør ved det, så langt vi ved det. Alle brud registreres hos os, også dem der ikke skal anmeldes.

Revision. Vi stiller de oplysninger til rådighed, der skal til for at vise, at aftalen overholdes, og vi giver adgang til og bidrager til revision, herunder inspektion, foretaget af jer eller en revisor I udpeger. Ønsker I det, kan vi begynde med en skriftlig redegørelse, men det begrænser ikke jeres ret til inspektion.

11. Ved ophør

Når jeres aftale om Refilog ophører, kan I først hente dataarkivet ud som beskrevet i afsnit 10. Derefter sker følgende, jf. artikel 28, stk. 3, litra g:

Det sletter vi inden for 30 dage: jeres medarbejderes konti og login, efter samme regler som når en medarbejder selv sletter sin konto (afsnit 10), og firmakontoens kontaktoplysninger, logo og noter. Vi gør det manuelt og bekræfter skriftligt, når det er gjort.
Det bliver på anlægget: journalposterne, med de navne og underskrifter jeres teknikere skrev. De er anlægsejerens lovpligtige udstyrsjournal, jf. bekendtgørelse nr. 498 af 2024 om anvendelse af trykbærende udstyr, § 21, stk. 1, og følger anlægget, også hvis ejeren vælger et andet kølefirma. Navnet på den, der udførte arbejdet, og firmaets navn er en del af journalen. Derfor bliver firmaets navn og hver medarbejders navn og rolle stående, så posterne stadig siger, hvem der skrev dem.
Det, I selv har slettet: et dokument, som en journalpost bygger på, og trykbeholdere og komponenter bliver skjult, når I sletter dem, men gemt som dokumentation og taget med i dataarkivet. Andre dokumenter slettes helt, både filen og oplysningerne om den.
Sikkerhedskopier: kopier af de slettede oplysninger forsvinder, når de gamle sikkerhedskopier udskiftes.

Vi beholder journalposterne, fordi de er ejerens dokumentation, ikke fordi vi selv har brug for dem. Vi bruger dem ikke til andet end at vise anlæggets journal.

12. Indgåelse og ændringer

Aftalen er en del af handelsbetingelserne. Den indgås elektronisk, jf. artikel 28, stk. 9: et nyt firma accepterer den med et flueben, når firmaet oprettes, og et firma, der allerede har en konto, accepterer den, når firmaets ejer åbner dashboardet næste gang. Firmaets ejer er den første aktive administrator, normalt den der oprettede firmaet. Vi gemmer, hvilken version der blev accepteret, hvornår og af hvem. Denne version er dateret 8. november 2026.

Ændrer vi aftalen, giver vi besked til firmaets mail mindst 30 dage, før ændringen træder i kraft, og firmaets ejer bliver bedt om at acceptere den nye version i dashboardet. Vil I ikke acceptere den, kan I opsige aftalen om Refilog til den dag, ændringen træder i kraft. Ønsker I en underskrevet udgave, så skriv til hej@refilog.dk. Ved uoverensstemmelse mellem denne aftale og andre aftaler mellem os går denne aftale forud for så vidt angår behandlingen af personoplysninger.