1. Om Smertesporet
Smertesporet.dk er en digital smertelogbog til mennesker med kroniske smerter. Du kan registrere smerte, humør, kropszoner og fortrolige notater.
- Ingen eksterne AI- eller sporings-API'er til analyse
- Mønstre og grafer beregnes lokalt på vores server og i din browser
- Fortrolige notater krypteres med AES-256-GCM
2. Hvem er dataansvarlig?
Dataansvarlige oplysninger konfigureres af administratoren under Admin → GDPR.
Kontakt: test@smertesporet.dk
3. Hvilke oplysninger behandler vi?
Vi dokumenterer de faktiske oplysninger i systemet — ikke en generisk liste:
Tekniske oplysninger
- IP-adresse (loginforsøg, sidevisninger til admin-statistik)
- Tidspunkt for forbindelse og sidevisning
- Browser og operativsystem (user-agent, kortlagret)
- Referer-URL ved sidevisning (hvis browseren sender den)
Kontooplysninger
- Navn, kaldenavn, e-mail, bruger-ID
- Adgangskode (Argon2id-hash — aldrig i klartekst)
- Tema, påmindelser, nyhedsbrev-valg
Helbreds- og logdata (det du indtaster)
- Smerteniveau, humør, kropszoner, smertetyper
- Valgfri: søvnkvalitet, vejr, medicin og doser
- Fortrolige notater (krypteret i databasen)
- Valgfri profil: fødselsår, køn, diagnose, lægekontakt
Cookie-samtykke
- Samtykke-ID, tidspunkt, valg og policy-version
- Hash af IP-adresse (ikke rå IP i samtykkeloggen)
4. Hvorfor behandler vi oplysninger?
- Levere og drive smertelogbogen (registrering, historik, grafer, eksport)
- Sikker login, CSRF-beskyttelse og brute-force-beskyttelse
- Drift og fejlsøgning (begrænsede server- og maillogs)
- Frivilligt nyhedsbrev (kun med samtykke)
- Indholdsmoderation ved alvorlige nøgleord (anonymt for administrator)
5. Det juridiske grundlag
- Art. 6(1)(b): Behandling nødvendig for at levere tjenesten du har oprettet konto til
- Art. 6(1)(f): Legitim interesse i sikkerhed, misbrugsforebyggelse og begrænset driftstatistik
- Art. 6(1)(a): Samtykke til valgfrie cookies, nyhedsbrev og lignende valgfri funktioner
6. Hvordan opbevarer vi data?
- Database: MySQL (InnoDB, utf8mb4) på Danmark / EU-EØS
- Hosting: Intern server / selvhostet
- Kryptering: AES-256-GCM for fortrolige notater; Argon2id for adgangskoder
- Adgangskontrol: Rollebaseret adgang (bruger / admin); PDO med prepared statements
- Backups: Lokale sikkerhedskopier med automatisk rotation (30 dage)
- Sletning: Kontosletning med 24t grace; CASCADE til tilknyttede logdata
7. Hvor længe opbevarer vi data?
Der findes ikke én universel GDPR-frist. Vi opbevarer kun så længe nødvendigt:
| Datatype | Formål | Periode | Sletning |
|---|---|---|---|
| Session (PHPSESSID) | Login og sikkerhed | Max 24 timer | Automatisk udløb |
| Forbliv logget ind (sp_remember / remember_tokens) | Login på samme enhed i 7 dage (aktivt tilvalg) | 7 dage, eller ved manuelt logud | Logud, adgangskodeskift eller automatisk udløb |
| Cookie-samtykke (database) | Dokumentation af samtykke | 5 år | Automatisk efter periode |
| Loginforsøg (login_attempts) | Brute-force-beskyttelse | 30 dage | Automatisk (cron + sidevisninger) |
| Anonym hændelseslog (anonymous_error_log) | Drift og sikkerhedsovervågning uden personhenførbarhed | 30 dage | Automatisk (vedligeholdelse) |
| Eksportlinks (export_tokens) | Midlertidig deling/eksport | 24 timer | Automatisk |
| Sidevisninger (page_views) | Admin-statistik og drift | 90 dage | Automatisk |
| Maillog (mail_log) | Drift og fejlsøgning | 90 dage | Automatisk |
| Mailkø (mail_queue, sendt/fejlet) | Transaktionsmail | 30 dage | Automatisk |
| Venteliste (efter notifikation) | Registreringscap | 12 måneder | Automatisk |
| Brugerkonto og smertedata | Tjenesten | Så længe kontoen eksisterer | Kontosletning (24t grace) eller admin |
| Sikkerhedskopier | Disaster recovery | 30 dage rullende | Automatisk rotation af backup-mapper |
8. Hvem har adgang til oplysningerne?
- Du: Dine egne data via dashboard, historik, eksport og indstillinger
- Administratorer: Brugeroversigt, aggregeret statistik, sikkerhedslogs og anonym moderation
- Hosting/database: Teknisk adgang til server og database (databehandler/hosting)
9. Videregivelse og databehandlere
Smertesporet sælger ikke personoplysninger. Vi kan dog bruge databehandlere til drift:
- Hosting: Intern server / selvhostet
- E-mail (SMTP): Konfigureret SMTP (se Admin → Mail)
- Backup: Lokale sikkerhedskopier på administratorens infrastruktur
10. Overførsel uden for EU/EØS
Data behandles som udgangspunkt i: Danmark / EU-EØS.
Vi anvender ikke tredjeparts reklame- eller trackingtjenester. Fonts og Chart.js hostes lokalt på smertesporet.dk.
11. Sikkerhed
- HTTPS, sikre session-cookies (HttpOnly, SameSite)
- Forbliv-logget-ind-cookie (7 dage, HttpOnly) der slettes ved manuelt logud
- CSRF-tokens på muterende forespørgsler
- Brute-force-beskyttelse (5 fejl → 15 min lockout)
- Sikkerhedsheaders (CSP, X-Frame-Options, nosniff)
- Procedure ved databrud: opdage, vurdere, dokumentere, underrette Datatilsynet/berørte ved høj risiko
12. Anonymitet og pseudonymisering
- Personoplysninger
- Oplysninger der kan knyttes til en identificeret eller identificerbar person (fx e-mail, IP i sikkerhedslogs).
- Pseudonymiserede oplysninger
- Direkte identifikator fjernet, men personen kan stadig muligvis identificeres (fx moderation via
anon_ref— kun administratorer kan knytte til konto ved særlige flows). - Anonymiserede oplysninger
- Personen kan ikke identificeres på en måde der er relevant efter databeskyttelsesreglerne. Aggregeret statistik uden identifikatorer tilnærmer sig dette.
13. Hvad kan ejeren af Smertesporet se?
- Brugerdata: Det du har indtastet — via din konto og admin-brugeroversigt (ikke vilkårlig adgang til dekrypterede noter uden systemflow)
- Tekniske data: IP, tidspunkt, sidevisninger, loginforsøg, fejllogs
- Cookies: Smertesporets egne cookies og dokumenterede samtykker
14. Vi lever ikke af dine data
- Smertesporet sælger ikke brugerdata
- Vi anvender ikke reklameprofiler eller tredjeparts marketingcookies
- Vi tracker ikke brugere på tværs af andre hjemmesider
- Vi videresælger ikke personoplysninger
- Vi anvender ikke data til målrettede reklamer
15. Dine rettigheder
Du har blandt andet ret til:
- Indsigt — se dine data (historik, profil, JSON-eksport under Indstillinger)
- Rettelse — opdater profil og logposter
- Sletning — slet enkeltposter eller anmod om kontosletning
- Begrænsning — kontakt os ved særlige behov
- Dataportabilitet — hent JSON-eksport (Art. 20)
- Indsigelse — fx mod nyhedsbrev (afmeld i indstillinger)
Log ind for at bruge selvbetjening under Indstillinger.
Svarfrist: Vi besvarer henvendelser uden unødig forsinkelse og senest inden for én måned. Ved komplekse anmodninger kan fristen i visse tilfælde forlænges med yderligere to måneder — du informeres inden for den første måned.
16. Sletning af dine oplysninger
Du kan slette enkelt registreringer i historikken eller anmode om fuld kontosletning med 24 timers fortrydelsesperiode under Indstillinger.
Vigtig nuance: Sletning er ikke altid absolut. Vi kan være forpligtede til at bevare visse oplysninger, fx dokumentation ved politioverdragelse eller sikkerhedslogs i aktive sager, indtil lovkravet eller formålet er opfyldt.
Ved kontosletning fjernes data fra den aktive database. Sikkerhedskopier roteres automatisk efter 30 dage.
17. Lovpligtig opbevaring
Visse oplysninger kan opbevares længere når det følger af gældende lovgivning eller en gyldig myndighedsanmodning — fx politianmodninger registreret i systemet.
18. Myndigheder og lovkrav
Smertesporet videregiver ikke personoplysninger til tredjeparter til kommercielle formål. Oplysninger kan dog videregives hvis det er nødvendigt for at levere en funktion (fx e-mail via SMTP-databehandler), eller hvis vi er juridisk forpligtede efter gældende lovgivning eller en gyldig myndighedsanmodning.
19. Sådan kontakter du os
E-mail: test@smertesporet.dk
20. Klage til Datatilsynet
Du kan klage over vores behandling af personoplysninger til:
Datatilsynet
Carl Jacobsens Vej 35
2500 Valby
Telefon: 33 19 32 00
www.datatilsynet.dk