Guide · GDPR og data
Tidsregistrering og GDPR – hvor ligger dine data?
Timer, fravær og sager er personoplysninger om dine medarbejdere. Her kan du se, hvor Avoruni opbevarer dem, hvem der er med til at behandle dem, og hvad du som arbejdsgiver selv skal sørge for. Siden er en oversigt – de bindende tekster er databehandleraftalen og privatlivspolitikken.
Kort fortalt
- Hvor ligger data? Firmaets database, fotos og filer opbevares hos Cloudflare i EU (EU-jurisdiktion). Det gør backup også.
- Hvem har ansvaret? Dit firma er dataansvarligt for de oplysninger, I registrerer om medarbejdere og kunder. Avoruni (Price Møbelsnedkeri ApS) er databehandler og behandler dem kun på jeres vegne.
- Databehandleraftale? Ja. Den er en del af vilkårene og indgås, når firmaet opretter en konto og accepterer vilkårene.
- Hvem hjælper Avoruni? Fire underdatabehandlere: Cloudflare (hosting, database og fillager), Resend (mails), Stripe (betaling, hvis I bliver betalende kunde) og browserens push-tjeneste (påmindelser uden beskedindhold). Mistral AI (EU) står også i databehandleraftalen til valgfri tekstforslag til firmasiden, men den funktion er ikke slået til endnu.
- Ingen GPS. Avoruni bruger ikke medarbejdernes placering og sporer ikke, hvor de er.
Et system kan ikke gøre jeres brug af personoplysninger lovlig alene. Det afhænger også af, hvad I registrerer, og hvad I fortæller medarbejderne. Det kan du læse mere om længere nede.
Hvor opbevares data?
Avoruni kører hos Cloudflare. Databasen og fillageret til fotos og filer er oprettet med Cloudflares EU-jurisdiktion, så firmaets data opbevares i EU. Der tages automatisk backup hver nat, og backup opbevares også hos Cloudflare i EU.
Cloudflare, Inc. er et amerikansk selskab. Får Cloudflare i USA adgang til oplysninger, sker det på grundlag af EU-US Data Privacy Framework, som Cloudflare er certificeret under, og EU-Kommissionens standardkontraktbestemmelser (SCC). Det står i både privatlivspolitikken og databehandleraftalen.
Bruger en medarbejder appen uden net, gemmer telefonen en kopi af medarbejderens egne data (højst 14 dage gamle) og de timer, der venter på at blive sendt. Kopien slettes, når medarbejderen logger ud.
Underdatabehandlere – hvem gør hvad?
| Underdatabehandler | Opgave | Placering og overførsel |
|---|---|---|
| Cloudflare, Inc. | Hosting, database og fillager | Data opbevares i EU. Eventuel adgang fra USA sker på grundlag af EU-US Data Privacy Framework og SCC |
| Resend, Inc. | Mails fra Avoruni, fx invitationer, nulstilling af adgangskode, besked om prøveperioden og påmindelser | USA, på grundlag af SCC. Kun modtagerens mail, navn og mailens indhold |
| Stripe Payments Europe, Ltd. | Betaling af abonnementet, hvis I bliver betalende kunde | Irland. Stripe kan behandle oplysningerne i USA på grundlag af EU-US Data Privacy Framework og SCC. Kun ejerens mail, firmanavn, evt. adresse og et internt firma-id – kortoplysninger skrives direkte hos Stripe |
| Browserens push-tjeneste (Google, Mozilla, Apple eller Microsoft) | Påmindelser som push-besked, hvis brugeren selv har slået dem til | Browserproducentens egen tjeneste, som kan ligge uden for EU. Der sendes intet beskedindhold – kun et signal |
| Mistral AI SAS (Frankrig) | Valgfri tekstforslag til firmasiden – ikke slået til endnu. Kun den tekst, brugeren selv skriver i feltet, og kun når brugeren beder om et forslag | EU (Mistrals EU-adresse, datacentre i EU og EFTA). Gemmes hos Mistral i op til 30 dage til misbrugskontrol og bruges ikke til træning |
Avoruni bruger i dag ingen AI-tjenester (de valgfri tekstforslag til firmasiden er ikke slået til endnu; tid, fravær, sager og fotos sendes ikke til en AI-tjeneste) og ingen sms-tjeneste, og der slås ikke op i CVR-registret med jeres data. Bruger en medarbejder taleinput (diktering) i browseren, behandles talen af browserens eller enhedens egen taletjeneste – ikke af Avoruni. Avoruni modtager kun teksten, og kun hvis den bliver gemt.
Hvis vi skifter eller tilføjer en underdatabehandler, får firmaets ejer besked på mail mindst 30 dage før og kan gøre indsigelse eller opsige uden ekstra omkostning. Den bindende liste over underdatabehandlere og reglerne for varsel står i punkt 6 i databehandleraftalen.
Hvad registreres om medarbejderne?
- Konto: navn, arbejdsmail, rolle (ejer, administrator eller medarbejder) og evt. telefon og fag
- Tid og sager: timer med fra–til på sagen, noter, sager med kundens navn og adresse samt fotos og filer, I selv lægger på sagen
- Fravær: syg, fri, ferie eller afspadsering med datoer, og hvem der registrerede og godkendte det
- Saldo: en vejledende saldo for ferie, overtid og sygedage, som kun medarbejderen selv og ejer/administrator kan se
- Log: ved login gemmes tidspunktet, en hashet værdi af IP-adressen og browseren i 365 dage, og rettelser logges (hvem ændrede hvad og hvornår)
Sygdom uden diagnose. Fravær registreres som “syg” – Avoruni spørger ikke om årsag eller diagnose. Ifølge Datatilsynets vejledning om ansættelsesforhold er en oplysning om, at en person er syg, uden angivelse af sygdommen, ikke en helbredsoplysning. Noter, beskeder, fotos og filer må derfor ikke indeholde helbredsoplysninger som diagnose, symptomer eller lægeerklæringer. Læs mere om fraværsregistrering.
Adgang og sikkerhed
- Al trafik er krypteret (HTTPS/TLS).
- Hver bruger logger ind med sin mail og en personlig adgangskode, som kun gemmes som hash.
- Hvert firmas data er adskilt fra andre firmaers, og adgangen styres af rollerne ejer, administrator og medarbejder.
- Medarbejderen kan se sine egne timer, og ejer/administrator godkender ugen.
- Beder I om hjælp, kan Avorunis support se firmaet, som ejeren ser det – kun til læsning, i højst 60 minutter, og hver gang logges, hvem der så med, hvornår og hvorfor.
- Sker der et brud på sikkerheden, der berører jeres data, underretter Avoruni jer uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på det.
Avoruni bruges i browseren på telefon og computer og kan lægges på hjemmeskærmen. Der er ingen app i App Store eller Google Play.
Når I opretter firmaet
For at oprette et firma i Avoruni skal man aktivt sætte flueben ved vilkårene, databehandleraftalen og privatlivspolitikken. Uden flueben kan firmaet ikke oprettes. Avoruni gemmer, hvilken version der blev accepteret, hvornår og med hvilken mail – så I kan dokumentere, at der er indgået en databehandleraftale.
Gem gerne et eksemplar af aftalen sammen med jeres andre databehandleraftaler. Datatilsynet anbefaler, at du har overblik over de databehandleraftaler, du har med dine leverandører.
Eksport, sletning og de 5 år
Ejeren kan altid hente alle firmaets data ud og slette dem i appen. Efter en udløbet prøveperiode eller en opsigelse sletter Avoruni data 12 måneder efter, at kontoen er lukket, medmindre I beder om det før. Firmaer på Svend er ikke lukkede og bliver ikke slettet af den grund. Backup slettes senest 35 dage efter.
En medarbejder kan selv slette sin konto. Navn, registrerede timer og fravær bliver dog hos firmaet, fordi de indgår i løn og bogføring – firmaet er dataansvarligt for dem og kan slette dem.
Efter arbejdstidslovens § 4 b skal arbejdsgiveren opbevare registreringerne af arbejdstid i 5 år efter udløbet af den periode, der ligger til grund for beregningen af den gennemsnitlige ugentlige arbejdstid. Stopper I med Avoruni, så hent timerne ud som CSV eller PDF, før data slettes. Læs mere om reglerne for registrering af arbejdstid.
Det skal du selv sørge for som arbejdsgiver
Datatilsynet skriver i sit GDPR-univers for små virksomheder, at din virksomhed er dataansvarlig for de personoplysninger, I behandler om medarbejdere og kunder, og at leverandøren af et it-system typisk er databehandler, som I skal have en databehandleraftale med. Ud over aftalen nævner Datatilsynet blandt andet:
- Informér medarbejderne. Arbejdsgiveren skal selv tage aktive skridt til at give medarbejderne oplysninger om behandlingen – fx hvem der er dataansvarlig, formål og retsgrundlag, modtagere, hvor længe oplysningerne opbevares, og deres rettigheder. Ifølge Datatilsynets vejledning er det ikke nok, at oplysningerne ligger på en hjemmeside eller et intranet, som medarbejderen selv skal finde. Skriftlig information gør det lettere at dokumentere.
- Registrér det, I skal bruge. Vejledningen nævner arbejdstider, sygefravær og andet fravær blandt de oplysninger, en arbejdsgiver kan registrere, i det omfang oplysningerne skal bruges.
- Kontrol kræver information. Bruges registreringen til at kontrollere, om en aftalt arbejdstid overholdes, er det ifølge vejledningen en forudsætning, at medarbejderne bliver informeret klart og utvetydigt om det. Der kan også gælde regler i aftaler mellem arbejdsmarkedets parter, fx DA og LO’s aftale om kontrolforanstaltninger.
- Adgang til egne tal. Efter arbejdstidslovens § 4 b, stk. 2, skal medarbejderen kunne tilgå sine egne oplysninger i registreringssystemet.
Er du i tvivl om noget konkret, så spørg din brancheorganisation eller en rådgiver. Datatilsynet har også en telefon- og mailservice.
Kilder
- Datatilsynet: Trin 7 – Du er også ansvarlig, når du deler (GDPR-univers for små virksomheder, datatilsynet.dk) – dataansvarlig, databehandler og databehandleraftale
- Datatilsynet: Databeskyttelse i ansættelsesforhold, vejledning, marts 2023 – afsnit 1.2 (helbredsoplysninger), 3.1, 4.1, 5.1 og 5.5
- Arbejdstidsloven, LBK nr. 982 af 12. august 2024, § 4 b (retsinformation.dk)
- Avorunis databehandleraftalen og privatlivspolitikken, version 2026-10-22
Siden er generel information og ikke juridisk rådgivning. Ved uoverensstemmelse gælder databehandleraftalen og privatlivspolitikken. Kilderne er læst 22. oktober 2026.
Kom i gang gratis – uden kort
Opret firmaet, invitér folkene og se, om det passer. Arbejder du alene, er Avoruni gratis. Er I flere: 199 kr./md (Mester, op til 3 brugere) eller 319 kr./md (Værksted) pr. firma inkl. 1 bruger + 69 kr./md pr. ekstra bruger, ekskl. moms.
Spørgsmål og svar
Hvor ligger data i Avoruni?
Firmaets database, fotos og filer opbevares hos Cloudflare i EU (EU-jurisdiktion), og det gør backup også. Eventuel adgang fra Cloudflare, Inc. i USA sker på grundlag af EU-US Data Privacy Framework og EU-Kommissionens standardkontraktbestemmelser.
Er der en databehandleraftale med Avoruni?
Ja. Databehandleraftalen efter GDPR artikel 28 er en del af vilkårene og indgås, når firmaet opretter en konto. Man skal sætte flueben for at oprette firmaet, og Avoruni gemmer, hvilken version der blev accepteret, hvornår og med hvilken mail. Du kan læse og gemme aftalen på avoruni.dk/databehandleraftale.
Hvilke underdatabehandlere bruger Avoruni?
Cloudflare (hosting, database og fillager), Resend (mails, USA på grundlag af standardkontraktbestemmelser), Stripe (betaling, hvis I bliver betalende kunde) og browserens push-tjeneste fra Google, Mozilla, Apple eller Microsoft (påmindelser uden beskedindhold). Mistral AI (EU) står også i databehandleraftalen til valgfri tekstforslag til firmasiden, men den funktion er ikke slået til endnu. Den bindende liste står i databehandleraftalen.
Får vi besked, hvis Avoruni skifter underdatabehandler?
Ja. Hvis Avoruni skifter eller tilføjer en underdatabehandler, får firmaets ejer besked på mail mindst 30 dage før og kan gøre indsigelse eller opsige uden ekstra omkostning. Det bindende står i databehandleraftalen.
Bruger Avoruni GPS til at følge medarbejderne?
Nej. Avoruni bruger ikke placering og sporer ikke, hvor medarbejderne er. Timerne skrives på sagen med fra–til.
Må man registrere sygdom i Avoruni?
Fravær kan registreres som syg uden årsag eller diagnose. Ifølge Datatilsynets vejledning er en oplysning om, at en person er syg, uden angivelse af sygdommen, ikke en helbredsoplysning. Skriv derfor ikke diagnose, symptomer eller lægeerklæringer i noter, beskeder eller filer.
Skal medarbejderne informeres om tidsregistreringen?
Ja. Som dataansvarlig skal arbejdsgiveren aktivt give medarbejderne oplysninger om behandlingen, fx formål, modtagere, opbevaring og rettigheder. Ifølge Datatilsynet er det ikke nok, at oplysningerne ligger på en hjemmeside eller et intranet. Siden her er generel information, ikke juridisk rådgivning.
Hvad sker der med data, hvis vi stopper med Avoruni?
Ejeren kan altid hente alle data ud og slette dem i appen. Ellers slettes data 12 måneder efter, at kontoen er lukket, og backup senest 35 dage efter. Husk, at registreringer af arbejdstid efter arbejdstidsloven skal opbevares i 5 år – hent dem ud, før data slettes.
Måler avoruni.dk, hvem der besøger siden?
Kun hvis du siger ja. Besøg måles med Cloudflare Web Analytics, når du har trykket Accepter i boksen om måling – uden dit ja hentes måleværktøjet slet ikke. Værktøjet sætter ingen cookies.
Hvad koster Avoruni?
Nye firmaer får 6 måneder gratis, og vi beder ikke om kort. Bagefter fortsætter firmaet gratis på Svend (0 kr./md, 1 bruger), hvis du ikke lægger et kort ind. Vælger du et betalt abonnement, koster det 199 kr./md (Mester, op til 3 brugere) eller 319 kr./md (Værksted) pr. firma inkl. 1 bruger og 69 kr./md pr. ekstra bruger, ekskl. moms.
Flere sider i Regler og GDPR
- Regler for registrering af arbejdstid – Hvad kræver § 4 b siden 1. juli 2024, og hvad betyder det for et håndværksfirma?
- Arbejdstid i små virksomheder – Kravet gælder også små firmaer og timelønnede – med undtagelsen og kilder.
- Overtid – Sådan registrerer I overarbejde, så løn, afspadsering og regler hænger sammen.
Prøv det på dine egne sager.
6 måneder gratis for nye firmaer. Intet kort. Bagefter fortsætter firmaet gratis på Svend (0 kr./md, 1 bruger), hvis du ikke lægger et kort ind. Vælger du et betalt abonnement, koster det 199 kr./md (Mester, op til 3 brugere) eller 319 kr./md (Værksted) pr. firma inkl. 1 bruger + 69 kr./md pr. ekstra bruger, ekskl. moms. Ingen binding.
Prøv 6 måneder gratis