Databehandlere og AI-leverandør

Senest opdateret 25. september 2026. Denne side supplerer vores persondatapolitik og beskriver åbent, hvem der behandler data på vores vegne, hvad de får, og på hvilke vilkår. Vi opdaterer siden, når forholdene ændrer sig.

1. Overblik

Elsepath kører på vores egne servere, og mails fra os sendes fra vores egen mailserver. Der er derfor ingen hostingudbyder og ingen mailtjeneste på listen.

Planlagt og nævnt her for gennemsigtighed: betaling (Stripe), når betaling aktiveres. Skifter vi AI-leverandør eller flytter driften til en udbyder, sker det først, når databehandleraftalen er på plads, og denne side er opdateret.

2. Hvad sender vi til AI-leverandøren, og hvad sker der med det?

Når du bruger AI-funktionerne (match-vurdering, "Lav CV & ansøgning", revisions-chat, support-chat), sender vi det nødvendige uddrag pr. kald over en krypteret forbindelse (TLS): relevant CV-indhold, jobopslagets tekst og dine instruktioner. Vi sender aldrig din adgangskode, din e-mailadresse behøves ikke til beregningen, og vi sender aldrig hele databasen, kun det konkrete kalds indhold.

Ifølge Ollamas privatlivspolitik (senest opdateret marts 2026, gennemgået af os 28. juli 2026 og igen 8. august 2026) gælder følgende for deres cloud-modeller:

• Indholdet behandles midlertidigt og gemmes ikke ud over den tid, det tager at besvare kaldet. De anvender tekniske foranstaltninger designet til at minimere opbevaring af prompt- og svarindhold.
• Leverandøren stiller samme krav videre til sine hostingpartnere: ingen logning, ingen træning og nul dataopbevaring ("zero data retention"). Kravet gælder cloud-tjenesten som helhed, ikke kun udvalgte modeller.
• Dit indhold bruges aldrig til at træne AI-modeller.
• De metadata, de indsamler (fx app-version og antal kald), indeholder ikke selve indholdet af prompts eller svar.
• De sælger ikke persondata.
• Ved sikkerhedsbrud anmelder de til tilsynsmyndigheden inden for 72 timer, medmindre det er usandsynligt, at bruddet medfører en risiko.
• Politikken anerkender GDPR-rettigheder for personer i EU, herunder retten til at klage til en tilsynsmyndighed.

Kilder hos leverandøren: Ollamas privatlivspolitik og vilkår. Vi opfordrer dig til selv at læse dem; det er leverandørens egne dokumenter, og de kan ændre sig.

3. Status: USA-behandling og aftalegrundlag

Ollama behandler cloud-kald i USA og tilbyder i dag hverken en EU-region eller en offentlig databehandleraftale efter GDPR artikel 28, og vi har ved seneste kontrol (28. juli 2026) ikke fundet dem på EU-USA Data Privacy Framework-listen. Det betyder, at det formelle aftalegrundlag for denne del endnu ikke lever op til det niveau, vi ønsker.

I august 2026 har leverandøren annonceret servingkapacitet i både USA og Europa. Vi undersøger, om vores kald kan afvikles i Europa; indtil det er bekræftet, beskriver denne side behandlingen som USA-baseret.

Ønsker du ikke, at dit indhold sendes til AI-leverandøren, kan du bruge Elsepath uden AI-funktionerne: du kan se fundne job uden match-score og lade være med at bruge "Lav CV & ansøgning" og chatten.

4. Backup hos Google

Af hensyn til driftssikkerhed kopieres daglige backup-kopier af databasen til Google Drive under Googles databehandleraftale for Workspace. Hele filen krypteres med vores offentlige nøgle, før den forlader serveren, og CV'er, ansøgninger, opslagstekster og mail-adgangskoder er desuden feltkrypteret (AES-256-GCM) inde i den. Krypteringsnøglerne opbevares adskilt fra backups. Hos Google gemmes daglige kopier i 14 dage og søndagskopier i 8 uger. Backups bruges kun til gendannelse efter nedbrud, aldrig til opslag i enkeltpersoners data.

5. Jobkilder og vores crawler (ElsepathBot)

Jobopslagene i tjenesten kommer fra offentlige kilder: Jobnet (offentligt API), Jobindex (officielle RSS-feeds), åbne ATS-API'er (fx Greenhouse) og danske virksomheders egne, offentligt tilgængelige karrieresider. Det er virksomheds- og stillingsdata, ikke personoplysninger om vores brugere.

Karrieresiderne besøges af vores egen crawler med den identificerbare User-Agent ElsepathBot, som linker til denne side. Den følger disse regler:

• Den respekterer robots.txt på hvert domæne og henter aldrig sider, der er undtaget for crawlere. Domæner med totalforbud besøges slet ikke.
• Den henter kun offentlige sider: aldrig login-beskyttet indhold og aldrig LinkedIn.
• Den kører med lav belastning: ét kald ad gangen til samme domæne, mindst tre sekunders pause mellem kaldene, og hvert site besøges højst én gang i døgnet.
• Svarer et site "adgang nægtet" (HTTP 403 eller 401), eller forbyder robots.txt os jobsiderne, lader vi sitet være og prøver først igen en måned senere. Vi forsøger aldrig at komme uden om et nej.
• Kontaktpersoner kan optræde i et opslag (navn og mail i jobannoncen). De behandles alene som en del af det offentliggjorte opslag, vises kun i opslagets kontekst og udløber sammen med opslaget.

Er du ansvarlig for en karriereside og ønsker den undtaget, kan du enten opdatere jeres robots.txt (vi retter os efter den inden for et døgn) eller skrive til [email protected].

6. Hvad vi aldrig gør

• Vi sælger aldrig dine data og viser ingen reklamer.
• Vi sender aldrig ansøgninger eller andet af sted på dine vegne; du sender altid selv.
• Vi deler ikke dine data med arbejdsgivere, headhuntere eller andre brugere.
• Vi tager aldrig en ny databehandler i brug uden at opdatere denne side og persondatapolitikken.

Spørgsmål? Skriv til [email protected].