Den her tekst er ikke aftalen. Aftalen står under Behandlingsvilkår: hvad vi henter, hvad vi gør med det, hvad vi ikke gør med det, og hvad I kan holde os til. Det her handler om noget andet: hvad vi rent faktisk behandler, hvorfor vi må, hvor længe det ligger, og hvilke rettigheder I har.
Tavlen udgives af Tavlen ApS — [selskabsnavn bekræftes ved stiftelsen] — Anholtsgade 3, 8000 Aarhus C. Tjenesten kører på en server i Tyskland. Tavlen logger ind hos skolen (ForældreIntra eller Viggo), klubben, sportsklubben, biblioteket og musikskolen med jeres eget login og viser jer det, I allerede har adgang til, ét sted.
For alt det, der sker på vores server — kontoen, det hentede, opbevaringen, visningen og sletningen — er vi dataansvarlige. I er brugere og registrerede. I har ikke fået pligter, ingen har fortalt jer om. Vi sælger ingenting og måler ingenting. Vi videregiver ingenting — bortset fra det, en betaling ikke kan undvære: den dag I selv vælger at betale for Tavlen, får betalingsformidleren jeres e-mail og betalingens beløb. Det er beskrevet i afsnit 4b, og der er ingen betaling i Tavlen i dag.
Det meste af det hentede ligger kun i maskinens hukommelse og i minutter. Det, der ligger på disk, er krypteret. Skema tre måneder frem, kalender fire. Adgangsloggen fjorten dage.
I kan når som helst hente jeres materiale som én fil eller slette hele husstanden med det samme, og I kan klage til Datatilsynet.
Er du lærer, træner eller forælder til et barn i en anden familie — læs afsnit 2d. · Er du barn eller ung — læs afsnit 9.
Tavlen ApS — [selskabsnavn bekræftes ved stiftelsen]
CVR: [udfyldes ved stiftelsen]
Anholtsgade 3, 8000 Aarhus C
kontakt@vorestavle.dk
Selskabet er under stiftelse. Navn og CVR står i firkantede
parenteser, indtil de er registreret — de er hverken udeladt eller opdigtede.
Adressen står her, fordi en tjeneste på nettet skal kunne findes af andre end
sine egne brugere, og fordi I skal kunne se det uden at skulle spørge.
Tavlen ApS er dataansvarlig for al den behandling, der sker på Tavlens server — indsamlingen fra kilderne, opbevaringen, visningen, sletningen og kalenderstrømmen. Vi bestemmer, hvorfor og hvordan der behandles, og vi bærer ansvaret for, at der er hjemmel til det.
I er brugere og registrerede, ikke dataansvarlige. Det betyder i praksis, at I ikke skal svare en lærer, der spørger, hvorfor hans navn står i en besked hos os; at I ikke skal anmelde noget til Datatilsynet, hvis noget går galt; og at ingen af pligterne i denne tekst er jeres. Skolen og kommunen er stadig selv dataansvarlige for deres egne systemer — vi ændrer ikke på deres ansvar ved at vise indholdet ét sted mere.
Bag selskabet står Kasper Klitbjerg-Nielsen, som også står for den daglige drift. Sker der noget med ham, er Selma Marie Jakobsen navngivet i behandlingsvilkårene som den, der skal lukke tjenesten ned og underrette jer. Hun skal ikke drive Tavlen; hun skal kunne lukke den. Hun har underskrevet en fortrolighedserklæring. Det nærmere står i vilkårenes D.4.
Der er ikke udpeget en databeskyttelsesrådgiver. Der er heller ikke pligt til det efter artikel 37, stk. 1: Tavlen er ikke en offentlig myndighed, overvåger ikke systematisk i stort omfang og behandler ikke følsomme oplysninger i stort omfang. Skriv til adressen ovenfor — der er ikke noget mellemled.
At vi er dataansvarlige betyder tre konkrete ting. Vi bestemmer selv, hvad der gemmes, og hvor længe — og skriver det ned, så det kan holdes op mod virkeligheden. Vi fører en fortegnelse over behandlingen efter artikel 30, stk. 1, som udleveres til Datatilsynet på anmodning og vises for en husstand, der beder om den. Og vi går det hele igennem mindst én gang om året og hver gang, vi ændrer noget af betydning, jf. artikel 24 — for en beskyttelse, ingen ser efter, holder op med at være der, uden at nogen opdager det.
Hvorfor ansvaret ligger hos os og ikke hos jer. En familie, der læser sin egen skolepost på sin egen skærm i sit eget hjem, laver noget rent familiemæssigt, og databeskyttelsesreglerne gælder ikke for den slags, jf. artikel 2, stk. 2, litra c. Men de gælder for den, der stiller midlerne til rådighed — det er den samme regel, der gør, at et socialt netværk skal overholde reglerne, selv om den enkelte private bruger er undtaget. Vi stiller midlerne til rådighed. Havde vi skrevet os selv ind som en databehandler, der handler på jeres instruks, ville hjemmelsansvaret ligge hos en familie, der ingen hjemmelspligt har — og så ville ingen bære det. Barnet, læreren og den anden families barn ville ikke have nogen at gå til. Dertil kommer, at den, der selv fastlægger de væsentlige hjælpemidler uden instruks fra nogen, anses for dataansvarlig, jf. artikel 28, stk. 10. Vi fastlægger, hvor tit der hentes, hvor længe det ligger, og hvordan det vises. Ingen familie har instrueret os i det. Rollen følger de faktiske forhold og afgøres i sidste ende af Datatilsynet, ikke af os; skulle tilsynet nå frem til en anden fordeling, ændrer det ikke ét eneste af de løfter, der står her.
| Slags | Hvad | Hvorfra |
|---|---|---|
| Konto | Navn, e-mail, kodeordets aftryk, tidspunkt og version for accept af vilkårene, eventuel to-faktor | Dig |
| Adgang til kilderne | Skolens brugernavn og adgangskode, musikskolens brugernavn og adgangskode, Holdsport-login, Aula-session, bibliotekets adgang. Bruger jeres skole Viggo, gemmes der som udgangspunkt intet kodeord — kun en nøgle, der kan læse kalenderen. Vælger I derudover at slå Viggos beskeder og lektier til, gemmes Viggo-kodeordet krypteret som de øvrige; det kræver et særskilt ja og kan kobles fra igen, hvorefter kodeordet slettes med det samme. Dertil en session hos skolen og musikskolen — den findes kun for at slippe for at logge ind forfra ved hver hentning, og den giver ikke mere adgang end det kodeord, der allerede ligger. Skifter I kodeord hos skolen, kan sessionen dog virke et stykke tid endnu; vil I afbryde straks, så kobl kilden fra i appen. | Dig — krypteret i hvile |
| Bibliotek | Lån, reserveringer, afleveringsfrister — ét kort pr. familiemedlem | Folkebiblioteket, med jeres eget login. CPR-nummer og pinkode sendes gennem os til biblioteket én gang, når kortet tilsluttes, og gemmes aldrig. Se afsnit 2c |
| Børnenes skoleoplysninger | Skema, lektier, beskeder, blanketter, dokumenthenvisninger, kontaktbog. Fra Viggo: kalender, skema og — hvis I selv slår det til — beskeder, lektier og vedhæftede filer | Skolen, med jeres eget login. Skolen er enten ForældreIntra, Aula eller Viggo |
| Klub og sport | Beskeder, hold, træninger, kampe, tilmeldinger. Fra Holdsport også chatten på den enkelte aktivitet — det er dér, træneren skriver, hvem der er udtaget. Den hentes kun, når I selv beder om den | Aula og Holdsport |
| Andre mennesker | Navne på lærere, vikarer, trænere, klubledere og andre børn, sådan som de står i beskeder, skemaer, kalendere og i holdchatten hos Holdsport. En holdliste til en kamp er typisk ti navne på andre familiers børn; de vises, som træneren har skrevet dem, og gemmes ikke | Kilderne — se afsnit 2d |
| Jeres eget | Husk-punkter, afkrydsninger, tilføjede kalendere | Jer |
| Drift | Tidspunkt, IP-adresse og browser ved besøg; log over brug af krypteringsnøglerne; fejllog | Automatisk |
De filtreres fra, når vi læser fra skolen — ikke når vi viser. Et nummer, der aldrig skrives ned, kan ikke lække. Ét sted beder vi alligevel om et: bibliotekskortet. Det er beskrevet i afsnit 2c.
Melder I et barn sygt, kan I notere et symptom til jer selv. Det forlader aldrig telefonen. Skolen får kun "syg i dag".
De gemmes aldrig. En fil hentes først i det øjeblik, I trykker på den — den ligger bag kildens login, som kun serveren har, så den går gennem os og videre ud til jer uden at lægge sig på disken undervejs. Ingen fil bliver liggende, og ingen fil hentes, uden at I bad om det. En "vedhæftning", der viser sig at være en webside i stedet for en fil, afvises.
Nævner en besked noget om en lærers eller et andet barns helbred, må vi ikke opbevare det. Der findes ingen undtagelse, der bærer det — se afsnit 2d.
Hver husstand har sit eget rum. Det er afprøvet med en prøve, der forsøger at bryde ud — ikke bare påstået.
Skolen udgiver dem i sin egen kalender. Andre børns navne hører ikke til på jeres køkkenskærm, og de filtreres fra — både på skærmen og i den kalenderfil, man kan abonnere på. Jeres egne børns fødselsdage bliver.
Tavlen henter som en helt almindelig bruger, med jeres eget login, og skriver ikke hos kilderne — med fem undtagelser, I selv sætter i gang hver gang: et svar på en træning eller kamp i Holdsport; en besked i ForældreIntras kontaktbog; et svar på en besked i ForældreIntra; et svar på en besked i Viggo; og en melding i Viggo om, at barnet er sygt eller har fri. Alle fem steder ser I hele teksten og modtageren igen og trykker send, før noget forlader Tavlen, og bagefter står der en kvittering med tidspunkt. Vi markerer aldrig noget som læst. En prik, ingen forælder har set, må ikke forsvinde, fordi en tavle kiggede.
Tavlen siger sit eget navn, når den henter: Tavlen/1.0 (familietavle;
+https://vorestavle.dk). En skole skal kunne se, hvem der henter, og bede os
holde igen — og de kan kun bede os om noget, de kan få øje på.
Vi henter sjældnere, end en skærm opdaterer: der spørges ikke lige så tit om natten, i weekender og i ferier, og det, der ikke ændrer sig, hentes ikke igen. Det er ikke kun hensyn — det er den eneste måde, tusinder af familier kan bruge de samme kilder uden at være til besvær.
Når I åbner Tavlen, viser den først det, der allerede ligger hos os, og henter først derefter nyt i baggrunden. Det er derfor, skærmen er der med det samme, og det er derfor, et tal kan nå at rette sig selv, mens I kigger. Skolen bliver spurgt i den takt, vi selv har fastlagt, og ikke hver gang nogen slår øjnene op.
Tavlen har ingen aftale med skolen, Aula, Holdsport, biblioteket eller musikskolen. Kravet om, at et login er personligt og ikke må gives videre, er jeres forpligtelse over for dem — og Tavlen får jer til at bruge det på en måde, de ikke har taget stilling til. Det står her, fordi I ikke kan tage stilling til noget, I ikke har fået at vide.
Ét sted beder Tavlen om et CPR-nummer: når I tilslutter et bibliotekskort. Den normale vej er lånernummer eller BrugerID, og den tilbydes først, så de fleste aldrig oplyser et personnummer. Kræver biblioteket CPR-nummer og pinkode for at udstede adgangen, sendes de gennem vores server videre til biblioteket én gang, i det øjeblik kortet tilsluttes. De skrives ikke på disken, ikke i en log, ikke i en fejlbesked og ikke i en sikkerhedskopi, og de vises ikke på nogen skærm i tjenesten. Det, vi gemmer, er bibliotekets eget adgangsbevis og den session, biblioteket kender jer på — begge krypteret sammen med resten af jeres husstand.
Hvorfor sessionen også gemmes. Adgangsbeviset dør af sig selv efter halvandet døgn. Uden sessionen skulle I taste CPR-nummer og pinkode forfra hver gang — og netop gentagne login er dét, der får biblioteket til at spærre et lånerkort. Med sessionen kan vi bede biblioteket om et nyt adgangsbevis, uden at I bliver spurgt om noget. Virker det ikke, slettes sessionen med det samme, og så spørger vi jer i stedet. Den slettes under alle omstændigheder senest efter 30 dage.
Hvorfor vi må. En privat tjeneste må kun behandle CPR-numre i de tilfælde, databeskyttelseslovens § 11, stk. 2, nævner. Vores er nummer 2: jeres samtykke. Derfor skal der spørges særskilt, når et kort tilsluttes, i stedet for at lade det følge med de almindelige vilkår. I kan sige nej og bruge Tavlen alligevel — alt andet virker uden bibliotek, og det er dét, der gør samtykket frit. Trækker I samtykket tilbage, frakobler I kortet, og adgangsbeviset slettes med det samme. Vi offentliggør aldrig et CPR-nummer, jf. § 11, stk. 3, og videregiver det ikke til andre end biblioteket selv.
Når kortet tilhører et barn. Tilslutter I et kort, der tilhører et barn, er det barnets CPR-nummer, I taster, og det er barnet, oplysningen handler om. Grænsen på 13 år er den, dansk ret bruger, når et barn selv skal kunne sige ja eller nej til, at der behandles oplysninger om det. Et barns lånehistorik er barnets egen — også når det er en forælder, der taster.
Hvad adgangsbeviset kan. Tavlen kan kun hente. Men det adgangsbevis, biblioteket udsteder, ville hos biblioteket også kunne forny og reservere. Vores program har ingen vej til det, og det ville kræve en ændring i koden, man kan se. Det samme gælder sessionen, og den kan desuden skaffe et nyt adgangsbevis — det er hele grunden til, at den gemmes. Vi skriver det alligevel, fordi det er sandt, og fordi I skal kunne vurdere, hvad det er, I lægger hos os.
Sådan ser trinnet ud. Når I tilslutter et bibliotekskort, står spørgsmålet på skærmen for sig selv, med sit eget flueben, som ikke er sat på forhånd: Må vi sende dit CPR-nummer og din pinkode videre til biblioteket? Hele teksten står der — ikke bag et link — sammen med hjemlen og med sætningen om, at I kan sige nej og bruge Tavlen alligevel. Feltet "Hvem er kortet til?" står lige over. Uden fluebenet sendes der ingenting: serveren afviser af sig selv, så det ikke afhænger af, hvad skærmen viser. Svaret gemmes med tidspunkt, hvem der sagde ja, hvem det handler om, og hele den tekst, der blev sagt ja til — så I kan læse den igen om to år. Ændrer vi teksten, bortfalder det gamle ja, og I bliver spurgt igen.
Et åbent punkt. Kort, der blev tilsluttet før 2. august 2026, er ikke gået gennem trinnet — det fandtes ikke dengang. Næste gang kortet tilsluttes, bliver der spurgt. Indtil da står der ikke et registreret samtykke for netop de kort, og det siger vi hellere end at lade som om.
Det, Tavlen henter med jeres login, handler ikke kun om jer. Der står navne på lærere, vikarer, trænere, klubledere og andre børn i beskeder, skemaer, kontaktbøger og kalendere — og i holdchatten hos Holdsport, hvor træneren skriver, hvem der er udtaget til kampen. Den sidste er den mest udtalte: en holdliste er typisk ti navne på andre familiers børn. Den hentes kun, når I selv trykker, og gemmes ikke. De mennesker har ikke bedt om at komme med, og de fleste af dem ved ikke, at Tavlen findes.
Vi kan ikke skrive til hver enkelt af dem. Vi har ikke deres kontaktoplysninger, og vi vil ikke have dem — at samle dem ind for at kunne sende et brev ville være værre end problemet. Forordningen tillader i den situation, at oplysningerne i stedet gøres offentligt tilgængelige, jf. artikel 14, stk. 5, litra b. Det er dét, dette afsnit er. Den vurdering, der ligger bag, er skrevet ned og kan udleveres. Pligten er vores, ikke jeres — I skal ikke svare for os.
Hvem behandler oplysningerne. Tavlen ApS — [selskabsnavn bekræftes ved stiftelsen], CVR [udfyldes ved stiftelsen], Anholtsgade 3, 8000 Aarhus C, privatliv@vorestavle.dk. Der er ikke udpeget en databeskyttelsesrådgiver.
Hvad der behandles om dig. Dit navn, og det der i øvrigt står om dig i familiens egen post: din rolle eller stilling, hvilket hold eller hvilken klasse du er knyttet til, teksten i de beskeder du har skrevet eller er nævnt i, og tidspunkter. Er du barn i en anden familie: dit navn, din klasse eller dit hold, og det der står om dig i en besked eller en kalenderpost. Vi indsamler ikke noget om dig ud over det, der allerede stod i familiens egen postkasse.
Hvor det kommer fra. Fra skolens, klubbens, sportsklubbens, bibliotekets og musikskolens egne systemer — hentet med familiens eget login, som familien i forvejen har. Vi har ikke fået det fra dig, og vi har ikke købt eller samkørt det med noget.
Hvorfor. For at familien kan se sin egen post, sit eget skema og sine egne lektier ét sted i stedet for fem. Grundlaget er artikel 6, stk. 1, litra f — vores egen legitime interesse i at kunne levere tjenesten, sammen med familiens interesse i at kunne overskue sin egen hverdag. Afvejningen er vores, og den falder ud, som den gør, fordi behandlingen ikke har konsekvenser for dig: der træffes ingen afgørelser, laves ingen profiler, sker ingen videregivelse, og oplysningerne bruges kun til at vise familien det, familien allerede havde adgang til.
Følsomme oplysninger om dig opbevarer vi ikke. Nævner en besked noget om dit helbred, er der ingen undtagelse i artikel 9, stk. 2, der bærer det hos os — et samtykke kan vi ikke indhente hos dig. Derfor er det en bindende grænse i vores egne vilkår, at sådanne oplysninger om personer uden for husstanden ikke må opbevares.
Hvor længe. Beskeder og kontaktbog ligger kun i maskinens hukommelse og højst en halv time — de skrives aldrig på disk. Kalenderposter ligger fire måneder frem. Skema tre måneder frem. Sikkerhedskopier slettes efter fjorten dage.
Hvem der ser det. Den ene familie, det er hentet til. Serveren stilles til rådighed af Hetzner Online GmbH i Tyskland, som er vores databehandler. Ingen andre ser det hentede. Der sælges ingenting. Vælger familien at abonnere på sin kalender i en tjeneste uden for EU, kan kalenderposter komme derhen — det er beskrevet i afsnit 4.
Hvad du kan gøre. Du har ret til indsigt, berigtigelse, sletning, begrænsning og til at gøre indsigelse mod behandlingen. Skriv til adressen ovenfor, så svarer vi selv inden for en måned — som regel hurtigere. Din henvendelse går ikke videre til den familie, den handler om. Du kan også klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, datatilsynet.dk, og du kan vælge at gå til domstolene i stedet eller ved siden af, jf. artikel 79.
Vi kan ikke finde dig af os selv. Vi ved ikke, hvem der optræder i det hentede, og vi indhenter ikke oplysninger for at kunne det — artikel 11, stk. 1, pålægger os ikke at skaffe flere oplysninger om nogen alene for at kunne overholde forordningen. Skriver du selv og giver os nok til, at vi kan finde dig i materialet, behandler vi henvendelsen. Kan vi ikke finde dig ud fra det oplyste, siger vi det og beder om det, der skal til.
Skriver du til os, behandler vi din henvendelse og de oplysninger, du selv giver, for at kunne svare. Vi gemmer den, så længe det er nødvendigt for at dokumentere, at vi har svaret.
Legeaftaler er en undtagelse, og den holder vi fast i. Laver to familier en legeaftale i Tavlen, er den anden familie ikke en tilfældig biperson — den er kendt, kontakten er direkte, og det er ét menneske, ikke tusinde. Derfor gemmer vi os ikke bag dette afsnit dér: den anden familie får konkret besked om, hvad Tavlen er, og hvad der ligger.
Vi bruger ikke undtagelsen om tavshedspligt (artikel 14, stk. 5, litra d) og kommer ikke til det. Den kræver en tavshedspligt, der følger af lov. Den har vi ikke, og man kan ikke give sig selv en. Det står her, så ingen — heller ikke vi selv — senere griber til den.
| Behandling | Grundlag | Hvem er ansvarlig |
|---|---|---|
| Konto: navn, e-mail, kodeordets aftryk, accept, to-faktor | Artikel 6, stk. 1, litra b — nødvendig for at opfylde aftalen med dig | Os |
| Drift: adgangslog, log over brug af nøglerne, fejllog | Artikel 6, stk. 1, litra f — vores legitime interesse i at kunne se, at tjenesten kører | Os |
| Det hentede: skema, lektier, beskeder, blanketter og lån — også når det handler om et barn | Artikel 6, stk. 1, litra f. Ikke litra b: barnet er ikke part i aftalen med os, og et barns oplysninger kan ikke hvile på en aftale, barnet ikke har indgået | Os |
| Navne på lærere, vikarer, trænere, klubledere og andre familiers børn | Artikel 6, stk. 1, litra f, jf. artikel 14, stk. 5, litra b — se afsnit 2d | Os |
| Sygemelding og andet følsomt om husstandens egne | Artikel 9, stk. 2, litra a, jf. databeskyttelseslovens § 7, stk. 1 — udtrykkeligt samtykke, som skal indhentes særskilt, når kilden tilsluttes | Os |
| Det samme om personer uden for husstanden | Ingen undtagelse bærer det. Det må ikke opbevares | Os |
| Bibliotekskortets CPR-nummer under tilslutningen | Databeskyttelseslovens § 11, stk. 2, nr. 2 — samtykke. Se afsnit 2c | Os |
| Kalenderstrøm til en tjeneste uden for EU/EØS | Artikel 6, stk. 1, litra a — jeres samtykke. Frivilligt tilvalg, se afsnit 4 | Os |
| Betaling: e-mail, beløb, plan og betalingens status, når I selv vælger at abonnere | Artikel 6, stk. 1, litra b — nødvendig for at opfylde abonnementsaftalen med jer. Se afsnit 4b | Os |
| Regnskabsmateriale: faktura, kvittering og betalingsreference | Artikel 6, stk. 1, litra c — bogføringsloven kræver, at vi gemmer det. Derfor kan netop dét ikke slettes på anmodning, jf. artikel 17, stk. 3, litra b | Os |
| Betalingsformidlerens egen kontrol mod svindel og hvidvask | Ikke vores behandling. Betalingsformidleren er selv dataansvarlig for den og har sin egen hjemmel — se afsnit 4b | Dem |
| Sløring af andres oplysninger, når I henter alt | Artikel 15, stk. 4, og databeskyttelseslovens § 22, stk. 1 | Os |
Den legitime interesse i driftsloggen, og afvejningen bag. Vi vil kunne se, at tjenesten kører, finde fejl og opdage, hvis nogen forsøger at bryde ind. Det er også et krav efter artikel 32, at vi kan det. Imod står, at en IP-adresse er en personoplysning. Afvejningen falder ud til fordel for behandlingen, fordi loggen gemmer sti og tidspunkt, men ingen værdier fra adressen og intet indhold fra kilderne, fordi den ligger fjorten dage og derefter er væk, og fordi den ikke bruges til andet. Vil I gøre indsigelse, kan I det — se afsnit 8.
Skolens egne beskeder kan indeholde noget, der er følsomt efter artikel 9 — en sygemelding, en aftale, en henvisning. I sjældne tilfælde kan de også nævne et strafbart forhold; det behandles på samme vilkår. Vi beder aldrig om en diagnose, og vi går ikke efter den slags. Men vi kan ikke sortere i skolens post, før vi har set den. Derfor må sådant materiale hos os kun hvile på jeres udtrykkelige samtykke, indhentet særskilt, når skolen eller klubben tilsluttes — ikke som en del af vilkårene, og ikke i samme flueben som noget andet.
Et samtykke kan trækkes tilbage når som helst ved at koble kilden fra i appen. Så holder hentningen op med det samme, og det hentede forsvinder. Tilbagetrækningen påvirker ikke lovligheden af det, der er sket, mens samtykket gjaldt.
Sådan ser trinnet ud. Både ved skolen og ved klubben står spørgsmålet i selve tilslutningsformularen, i sit eget felt og med sit eget flueben, som ikke er sat på forhånd — og de to deler ikke flueben, for så var det ikke særskilt. Ved klubben spørges der, før MitID-forløbet begynder, så I ikke står med en nøgleviser i hånden og skal tage stilling. Uden fluebenet gemmes loginnet ikke, og der startes ingen hentning: serveren afviser af sig selv. Kobler I kilden fra, trækkes samtykket i samme greb — det er dét, afsnittet ovenfor lover.
Et åbent punkt. Kilder, der blev tilsluttet før 2. august 2026, er ikke gået gennem trinnet — det fandtes ikke dengang. Der bliver spurgt, næste gang kilden tilsluttes. Indtil da står der ikke et registreret samtykke for netop dem.
Det, der kan være slået fra, er slået fra. Når en husstand oprettes, er ingen kilde slået til. Der er ikke ét afkrydsningsfelt for en datakilde: skole, klub, SFO, sportsklub, bibliotek og musikskole tilsluttes bagefter, én ad gangen, hver med sit eget aktive ja og med angivelse af, hvad der hentes. Det følger af artikel 25, stk. 2, og det er en forpligtelse — ikke en indstilling, vi kan ombestemme os om, fordi det ville gøre opstarten lettere. Kalenderadressen er den vigtigste undtagelse fra fåmæltheden: den er slået fra, indtil I selv slår den til, og når den er slået til, er der ingen dør på den. Den udløber ikke af sig selv. Det står beskrevet i afsnit 4, så I kan tage stilling, før I bruger den.
Hvad der er nødvendigt, og hvad der sker, hvis I ikke giver det. Navn, e-mail og kodeord er nødvendige for at kunne indgå aftalen og oprette kontoen — giver I dem ikke, kan Tavlen ikke oprettes. Invitationskoden er frivillig; uden den starter I bare en ny, tom tavle. Adgangen til den enkelte kilde er frivillig for hver kilde for sig — uden den kan Tavlen ikke vise dét, kilden indeholder, men resten virker. Der er ingen pligt til at give os noget, og der er ingen anden følge end den.
Vi bruger ikke jeres oplysninger til noget andet: ingen annoncer, ingen måleværktøjer, ingen profilering, ingen automatiske afgørelser, ingen modeltræning, ingen statistik eller fejlsøgning på en husstands indhold, intet salg. Det hentede videregives ikke til nogen. Det eneste, der nogensinde forlader os til en anden virksomhed, er det, en betaling kræver — og aldrig noget fra skolen, klubben, biblioteket eller musikskolen. Se afsnit 4b.
Jer selv og de personer, I har inviteret ind i jeres husstand.
Den, der driver serveren, ser driftstal gennem Tavlens
egen flade — antal husstande, svartider, hvilke kilder der fejler. Navne og
e-mailadresser maskeres på serveren, før de sendes derhen, så de ikke blot er
skjult i visningen. Dér er grænsen bygget ind og ikke bare lovet.
Men den gælder kun dér. Nøglen til krypteringen skal bruges på
maskinen, for det er maskinen, der henter fra skolen på jeres vegne — så
den, der har fuld kontrol over den kørende maskine, kan læse med. Det står
også i koden selv, dér hvor krypteringen er skrevet. I dag er det én
person. Hver gang selve nøglefilerne bliver rørt, skrives det ned — hvem,
hvornår og med hvilket program. Det er ikke en spærring, og det lukker ikke
enhver tænkelig vej til nøglen. Det er et spor.
Det kan vi ikke kryptere os ud af, og derfor står det her i stedet.
Hetzner Online GmbH, som stiller serveren til rådighed. De er vores databehandler, og der er indgået en databehandleraftale efter artikel 28 med dem. Serveren står i datacenter FSN1-DC14 i Falkenstein, Tyskland — inden for EU. De har fysisk adgang til maskinen. Det, der hører til jeres familie, ligger krypteret på den — men nøglen skal bruges på den samme maskine. Krypteringen beskytter altså mod en fil, der slipper ud alene: en kopi, et logudtræk, en forkert filrettighed. Den beskytter ikke mod nogen, der har hele maskinen. Om Hetzners egne diske er krypterede nedenunder, ved vi ikke, og det skriver vi ikke, før vi har set det. Hetzner får hvert år deres databeskyttelse gennemgået af TÜV Rheinland, og vi har rapporten.
Vejrtjenesten ser serverens spørgsmål om vejret i jeres by — aldrig hvem I er. Der følger hverken navn, konto eller jeres egen ip-adresse med: det er maskinen, der spørger, og den spørger om en by.
Ingen andre. Skrifttyper, ikoner og scripts ligger på vores egen server. Der hentes ingenting fra et fremmed indholdsnetværk — heller ikke skrifter fra Google — så ingen tredjepart ser jeres ip-adresse, når I åbner en side. Det er målt, ikke antaget: nul eksterne kald på samtlige sider. Det gælder siderne. Kalenderstrømmen lige nedenfor er den ene undtagelse, og den slår I selv til.
Et åbent punkt. Databehandleraftalen med Hetzner er indgået i Kasper Klitbjerg-Nielsens eget navn og skal indgås forfra i selskabets navn. Indtil det er sket, står det her som et åbent punkt og ikke som en kendsgerning. Behandlingen er den samme, og stedet er det samme; det er underskriften, der skal passe til den, der bærer ansvaret.
Tavlen kan give jer en kalenderadresse, I selv kan lægge ind i det kalenderprogram, I bruger i forvejen, så skemaet står sammen med resten af familiens aftaler. Den er frivillig og slået fra som standard. Gør I ingenting, sker der ingenting.
To ting skal I vide om den, før I bruger den:
Ud over dét flytter hverken vi eller Hetzner jeres oplysninger ud af EU/EØS. Behandlingen sker to steder, begge inden for EU: driftsstedet i datacentret i Tyskland og kopistedet i Danmark, hvor den daglige sikkerhedskopi ligger i fjorten dage. Adressen på kopistedet oplyses på forespørgsel. Ingen leverandør, der rører det, Tavlen henter for jer, ligger i et tredjeland. Betalingen er en anden sag og står for sig i afsnit 4b — den rører intet af det hentede, og den findes ikke i Tavlen i dag.
Første åbne punkt: det her gælder ikke endnu. Der er ingen betalingsvej i Tavlen. Ingen kan betale, ingen har betalt, og der ligger ikke et kortnummer nogen steder. Der er heller ikke indgået en aftale med Stripe — den kan først indgås af det selskab, der skal være part i den, og selskabet er ikke stiftet. Afsnittet står her alligevel, fordi I skal kunne læse det, og sige nej til det, før der er noget at sige ja til. Alt nedenfor er skrevet i fremtid med vilje. Det er ikke en beskrivelse af, hvad der sker; det er en beskrivelse af, hvad der kommer til at ske, hvis I selv vælger det.
Når Tavlen en dag koster penge, skal pengene et sted hen. Vi kommer til at bruge Stripe til det, og det betyder, at Stripe får noget at vide om den, der betaler. Det er den første og eneste virksomhed ud over Hetzner, der får noget om jer — og den første overhovedet, der får noget, som ikke bare ligger krypteret på en disk.
I kommer ikke til at taste et kortnummer i Tavlen. Når I trykker på knappen, sender vi jer videre til Stripes egen side, hvor I taster kortet hos dem. Bagefter kommer I tilbage til os med et svar: betalt eller ikke betalt. Vi ser aldrig kortnummeret, vi kan ikke se det bagefter, og der er ikke noget kortnummer at miste, hvis vores server bliver brudt op.
Det er ikke bare en beslutning, vi har truffet. Vores egne sider har en regel — default-src 'self' — der forbyder browseren at hente så meget som en linje kode fra en fremmed adresse, og form-action 'self', der forbyder en formular på vores side at sende noget videre til nogen anden. Så længe de to regler står, kan Stripe ikke få et felt på vores side. Reglen er målt af en prøve, ikke lovet i en tekst.
Og det er derfor, der stadig ikke kommer et cookiebanner. Stripe sætter sine egne cookies til at opdage svindel. Havde vi lagt Stripes betalingsfelt ind på vores side, ville de cookies blive sat fra vorestavle.dk — og fordi Stripe selv bestemmer, hvad de bruges til, ville de ikke være omfattet af undtagelsen for det teknisk nødvendige. Så skulle vi spørge jer om lov, og løftet i afsnit 6 ville falde. Ved at sende jer over på Stripes egen side sættes de cookies hos Stripe, hvor Stripe selv skal spørge. Det er den egentlige grund til, at vi har valgt den vej — ikke bekvemmelighed, men at den er den eneste, der holder løftet.
Hetzner er vores databehandler: de gør kun det, vi beder om, og de må ikke bruge noget til deres eget. Stripe er anderledes, og det er værd at forstå, fordi det afgør, hvem I skal gå til:
Det, vi beder Stripe om: at opkræve et bestemt beløb hos en bestemt e-mailadresse, at sende en kvittering, at trække igen næste måned. Dér handler Stripe på vores instruks, og vi skal have en databehandleraftale efter artikel 28 med dem. Klager I over det, skal I klage til os.
Det, Stripe gør af sine egne grunde: kontrollere at en betaling ikke er svindel, overholde reglerne om hvidvask og kend-din-kunde, og svare et finanstilsyn. Om det skriver Stripe selv, at de har den eneste og fulde ret til at bestemme formål og midler. Dét har vi ikke bedt om, kan ikke stoppe og kan ikke instruere i. Dér er Stripe selv dataansvarlig, og deres egen persondatapolitik gælder ved siden af vores.
Skillelinjen går ikke mellem oplysningerne, men mellem formålene. Det er let at tro, at kortnummeret hører til den ene side og e-mailen til den anden. Sådan er det ikke. Den samme e-mailadresse kan være hos Stripe som databehandler, når den bruges til at sende jer en kvittering, vi har bedt om — og som selvstændig dataansvarlig, når den samtidig indgår i Stripes egen vurdering af, om en betaling er svindel. Vi skriver det sådan, fordi den nemmere version ville være forkert.
Vi skriver det også, fordi den anden halvdel er den, ingen plejer at skrive. Et løfte om, at "vi har en databehandleraftale", ville lyde betryggende og dække over, at der er en del, aftalen ikke rækker ind i. Den del kan vi ikke love jer noget om. Vi kan fortælle, at den findes.
Hvem I skriver til, afhænger derfor af, hvad det handler om. Handler det om jeres abonnement, en kvittering eller et træk, skriver I til os, og vi svarer. Handler det om Stripes egen kontrol — hvorfor en betaling blev afvist, eller hvad Stripe har gemt om deres egen vurdering — er det Stripe, der skal svare, og vi kan ikke svare på deres vegne. Stripes databeskyttelsesrådgiver kan nås på dpo@stripe.com.
| Hvad | Hvorfra | Hvorfor |
|---|---|---|
| Jeres e-mailadresse | Fra os | Så kvitteringen kan sendes, og så betalingen kan kobles til den rigtige husstand |
| Beløb, plan og hvor tit der trækkes | Fra os | Det er selve aftalen |
| Et husstands-id uden navn | Fra os | Så vi kan koble en betaling til den rigtige tavle uden at sende navne med |
| Kortoplysninger og navnet på kortet | Fra jer, på Stripes egen side | Betalingen. Vi ser dem aldrig |
| IP-adresse, browser og oplysninger om enheden | Fra jer, på Stripes egen side | Stripes egen kontrol mod svindel. Det er dem, der bestemmer det, ikke os |
Det, Stripe aldrig får: noget som helst fra skolen, klubben, sportsklubben, biblioteket eller musikskolen. Ikke børnenes navne, ikke skemaet, ikke beskederne, ikke lånene, ikke sygemeldingerne. Betalingen og det hentede er to adskilte ting i Tavlen, og de mødes ikke.
Stripe er ikke ét selskab, men flere. Det, vi kommer til at have en aftale med, er Stripe Payments Europe, Limited i Irland. Det selskab i koncernen, der har hovedansvaret for behandlingen i Europa, er Stripe Technology Company, Limited, også Irland — det er derfor det irske datatilsyn, der fører tilsyn med Stripe, ikke det danske. Selve betalingerne udføres af Stripe Technology Europe, Limited, som er et e-pengeinstitut under tilsyn af den irske centralbank.
Men Stripes egne vilkår siger lige ud, at oplysninger overføres til Stripe, LLC i USA. Det er en overførsel til et tredjeland efter forordningens kapitel V, og den kræver sit eget grundlag. Stripes eget tillæg om overførsler stiller to op i rækkefølge: først EU-USA-databeskyttelsesrammen, som Stripe, LLC er tilmeldt, og hvis den ikke rækker, Kommissionens standardkontraktbestemmelser af 2021 efter artikel 46, stk. 2, litra c. Vi har læst det. Vi har ikke underskrevet det.
Andet åbne punkt: vi har ikke gjort vores del. Aftalen er ikke indgået, og vi har ikke skrevet den vurdering af overførslen, som standardkontraktbestemmelserne kræver, at vi selv laver — Stripe leverer den ikke. Vi skriver derfor ikke her, hvilket af de to grundlag der gælder for jer, for det ville være en påstand om et papir, der ikke findes. Det kommer til at stå her med navn og dato, og det kommer til at stå, før nogen kan betale.
Til gengæld står det her allerede nu: det er kun betalingen, der rejser. Alt det, Tavlen henter for jer, bliver hvor det er — på maskinen i Tyskland og i kopien i Danmark. Betalingen er den eneste vej ud, og den går uden om alt det andet.
Stripe bruger selv andre virksomheder til dele af arbejdet, og listen kan ændre sig. Vi holder øje med den og siger til, hvis den ændrer sig på en måde, der betyder noget for jer. Vi kan også sige, hvorfor det er en pligt, vi skal huske aktivt: Stripe varsler kun ændringer til dem, der har bedt om at få besked. Det har vi sat på vores egen driftsliste, så det ikke afhænger af, at nogen tilfældigvis kigger.
I kan altid slette hele husstanden, og så er den væk. Men en kvittering er regnskab, og regnskab skal gemmes: bogføringslovens § 12 kræver, at vi opbevarer bilag i fem år fra udgangen af det regnskabsår, de vedrører. En regning fra januar og en fra december samme år bliver altså slettet på samme dag. Beder I om at få det slettet før, må vi sige nej — og det står i forordningen selv, artikel 17, stk. 3, litra b: sletteretten viger, hvor en anden lov kræver opbevaring. Vi nøjes ikke med at lade være med at svare: I får et nej med en begrundelse, og I kan klage over det til Datatilsynet.
Det, der bliver liggende, er beløb, dato, fakturanummer og den e-mailadresse, regningen blev sendt til. Ikke andet. Ikke en tavle, ikke et barn, ikke en skole. Det ligger hos os og hos Stripe, og det ligger der, indtil de fem år er gået. Så bliver det slettet, uden at nogen skal bede om det.
I kan lade være. Der kommer altid til at være en måde at bruge Tavlen på uden at betale, og der kommer aldrig til at være et træk, I ikke selv har trykket ja til. Gør I ingenting, sker der ingenting — det er den samme regel som alle andre steder her. Opsigelse, fortrydelsesret og hvad en betaling koster står i handelsbetingelserne, som I kan læse og gemme, før I køber noget.
| Hvad | Hvor længe |
|---|---|
| Konto og indstillinger | Indtil husstanden slettes |
| Adgang til kilderne (krypteret) | Indtil I kobler kilden fra, eller husstanden slettes |
| Sessioner hos kilderne (kager og adgangsspor) | Erstattes ved hver hentning. Slettes, når I kobler kilden fra, eller husstanden slettes. Det er ikke det samme som jeres login til Tavlen nedenfor |
| Jeres egne fejlmeldinger | Højst 40 og højst 90 dage. Grænsen håndhæves, hver gang de læses. De forlader aldrig husstanden |
| Indpakkede nøgler | Indtil husstanden slettes. Ligger som ciffertekst; nøglen til dem udledes af jeres kodeord på jeres egen enhed og når aldrig serveren |
| Samtykker (artikel 9 og personnummer) | Tidspunkt og version gemmes, så længe kilden er tilsluttet |
| Skema | Tre måneder frem |
| Kalender | Fire måneder frem |
| Beskeder | Kun i maskinens hukommelse, højst en halv time. Skrives aldrig på disk |
| Lektier | Kun i hukommelsen. Erstattes ved hver hentning |
| Dokumenthenvisninger (titel, frist, link) | Kun i hukommelsen. Erstattes ved hver hentning |
| Kontaktbog | Kun i hukommelsen. De 25 nyeste, erstattes ved hver hentning |
| Kopi af det, I selv har sendt gennem Tavlen | De 200 nyeste. Ligger på disk i jeres eget krypterede rum — hele teksten, barnets navn, modtageren og tidspunktet. Den findes, så der er et spor af, hvad Tavlen har gjort i jeres navn, og den slettes med husstanden |
| Jeres egne markeringer og husk-punkter | Indtil I sletter dem. Ligger som ciffertekst, vi ikke kan læse |
| Adgangslog (tidspunkt, ip, browser) | 14 dage |
| Log over brug af krypteringsnøglerne | 12 måneder |
| Fejllog | Skiftes ud ved 5 MB; den forrige fil beholdes til næste skift, dog højst 30 dage |
| Sikkerhedskopier | Slettes efter 14 dage |
| Sessioner (login) | Højst 30 dage — og de lukkes straks, hvis I skifter kodeord |
| Abonnementets tilstand (plan, periode, hvornår I sagde ja) | Indtil husstanden slettes. Ligger i husstandens eget krypterede rum som alt andet |
| Regnskabsmateriale: faktura, kvittering, beløb, dato og betalingsreference | Fem år fra udgangen af det regnskabsår, det hører til. Bogføringsloven kræver det, og derfor kan det ikke slettes på anmodning, jf. artikel 17, stk. 3, litra b. Se afsnit 4b |
| Fortegnelse over brud på persondatasikkerheden | Slettes ikke. Den er vores dokumentation over for Datatilsynet og indeholder ikke indhold fra kilderne og ikke navne på børn |
| Det, der ligger i jeres egen browser | Indtil I rydder det, logger ud eller trykker Slet alt — se afsnit 6 |
Sletter I husstanden, slettes mappen, den krypterede adgang til kilderne og alt afledt materiale straks. Har I betalt for Tavlen, bliver kvitteringerne dog liggende — se afsnit 4b om de fem år, bogføringsloven kræver. Sikkerhedskopier, der indeholder det slettede, slettes senest efter fjorten dage og genskabes ikke. Vi bekræfter, når sletningen er gennemført, og igen når den sidste sikkerhedskopi er slettet.
Adgangslog og fejllog slettes efter tiden ovenfor og ikke, når husstanden slettes. De indeholder tidsstempel, husstandens id og handling, men intet indhold fra kilderne.
Der er ingen cookiebanner, fordi der ikke er noget at spørge om. Vi bruger ingen måleværktøjer, ingen annoncenetværk, ingen sporing og ingen cookies fra andre. Der er ingen tredjepart involveret i noget af det nedenfor. Det, der lægges i jeres browser, er dette:
| Hvad | Hvad det er | Hvor længe |
|---|---|---|
tavlen_session | En cookie. Beviset på, at I er logget ind. Den kan ikke læses af scripts, sendes ikke til andre sider og går kun over krypteret forbindelse | Op til 30 dage. Log ud, og den er væk med det samme |
tavlen-entre, tavlen-overgang, tavlen-noegle, tavlen-hvelv, tavlen-swip, tavlen-bon | Et flueben for, at en animation er spillet, så den ikke spiller igen på samme besøg. Indeholder ikke noget om jer — kun et ettal | Forsvinder, når I lukker fanen |
Jeres egne markeringer: tavlen-flueben, tavlen-laest, tavlen-lege, tavlen-lektier og et flueben for, hvem I sidst har skrevet til i kontaktbogen | Fluebenene på lektier og husk-punkter, og hvad I har set. De ligger på selve enheden, så tavlen også virker, når forbindelsen svigter. Der står ikke et barns navn i navnet på nogen af dem | Bliver liggende på enheden, indtil I rydder browserens data — eller trykker Slet alt, som rydder dem samtidig |
tvl-layout, tvl-skjult, tvl-faner | Hvordan I selv har stillet forsiden op | Bliver liggende, indtil I trykker Nulstil under Rediger forsiden — eller Slet alt |
Login-cookien er nødvendig for at levere det, I har bedt om, og kræver derfor ikke samtykke. Det samme gælder de markeringer, der ligger på jeres egen enhed, for at jeres tavle kan virke. Reglerne for det her står ikke i databeskyttelsesforordningen, men i cookiebekendtgørelsen, som gælder al lagring i jeres eget udstyr — ikke kun cookies.
Og når Tavlen en dag kan betales? Så bliver der stadig ikke noget at spørge om — men det er en betingelse, ikke et tilfælde. Betaling sker på betalingsformidlerens egen side, ikke på vores, og de cookies, en betalingsformidler bruger til at opdage svindel, bliver derfor sat dér og ikke her. Skulle vi nogensinde lægge et betalingsfelt ind på vores egen side, ville de blive sat fra vorestavle.dk, og så ville vi skulle spørge jer om lov. Det er derfor, vi har valgt den anden vej. Se afsnit 4b.
"Slet alt" rydder også browseren. Trykker I slet, forsvinder husstanden, alle brugere og alle sessioner hos os med det samme — og det, der ligger på selve enheden, ryddes i samme bevægelse. Løftet om, at alt forsvinder med det samme, gælder altså også dér, hvor I sidder.
Alt i jeres husstands mappe krypteres i hvile med AES-256-GCM — ikke kun adgangskoderne, men også skema, indstillinger og bibliotekets adgang. Nøglen ligger uden for programmappen og uden for husstandsmapperne og leveres af operativsystemet ved opstart. At gemme en fil uden kryptering er ikke muligt: forsøget afvises, i stedet for at falde tilbage til klartekst. En prøve går alle mapper igennem og fejler, hvis bare én fil kan læses.
Jeres egne markeringer og husk-punkter krypteres på jeres egen enhed, før de sendes — nøglen udledes af jeres eget kodeord med PBKDF2-SHA256 og mindst 600.000 runder og forlader aldrig enheden. Vi opbevarer kun ciffertekst og kan ikke læse dem, heller ikke hvis vi ville, og heller ikke hvis det blev krævet.
Den kode, der behandler materiale fra kilderne, kører som en anden systembruger end den, der har krypteringsnøglen, og har hverken adgang til nøglen eller til husstandsmapperne. Det er målt, ikke antaget.
Aula-programmet er ikke vores og gemmer sin session i almindelig tekst. Derfor pakkes den ud i maskinens hukommelse, mens der hentes, og aldrig på en disk. Tjenesten kan ikke aflevere sin hukommelse til disk ved nedbrud.
Adgangsloggen gemmer sti og tidspunkt, men ingen værdier fra adressen — et barns navn i en forespørgsel havner derfor ikke i loggen.
Kodeord gemmes aldrig — kun et aftryk, der ikke kan regnes tilbage, lavet med en algoritme, der er beregnet til adgangskoder og bevidst gjort langsom.
Hver familie har sin egen mappe. Serveren udleder altid, hvilken husstand der spørges på vegne af, fra den godkendte session og aldrig fra noget, browseren sender. En prøve forsøger at slå op på tværs af husstande og skal fejle.
Gentagne forkerte loginforsøg giver en voksende ventetid. Kontoen spærres ikke, så en fremmed ikke kan lukke en familie ude ved at gætte forkert.
To-faktor kan slås til, og hemmeligheden bag den er også krypteret.
Der er ingen adgang udefra uden login, og al trafik går over TLS.
Der tages en sikkerhedskopi hver dag. Den hentes væk fra serveren, opbevares adskilt og slettes efter fjorten dage. Kopien indeholder ikke krypteringsnøglen: gendannelse skal kræve både kopien og nøglen.
Ved denne udgave af teksten er der 40 prøvefiler, og de er alle grønne, kørt på den maskine, tjenesten kører på. Tallet er antallet af filer, ikke antallet af påstande — en prøve kan dække flere løfter, og et løfte uden prøve fremgår af den årlige erklæring som netop det.
Et åbent punkt. Krypteringsnøglen skal flyttes væk fra den maskine, sikkerhedskopierne ligger på. Så længe den ligger dér, beskytter krypteringen ikke de pågældende kopier mod nogen, der får fat i den maskine. Kravet står i behandlingsvilkårene med frist og status, og I får besked, når det er gennemført og efterprøvet.
Sker der et brud på persondatasikkerheden, underretter vi den eller de berørte husstande senest 24 timer efter, at vi er blevet opmærksomme på det. Det gælder ubetinget — også når vi vurderer, at bruddet ikke medførte nogen risiko, og også når det er pinligt. Vi anmelder selv bruddet til Datatilsynet inden 72 timer, medmindre det er usandsynligt, at det indebærer en risiko for nogen; det er ikke noget, en familie skal finde ud af at gøre. Medfører bruddet sandsynligvis en høj risiko, underretter vi de registrerede direkte, jf. artikel 34. Vi fører en fortegnelse over alle brud — også dem, der ikke skal anmeldes.
I har ret til indsigt (art. 15), berigtigelse (art. 16), sletning (art. 17), begrænsning (art. 18), dataportabilitet (art. 20) og til at gøre indsigelse (art. 21). Retter eller sletter vi noget, giver vi besked til enhver, oplysningerne måtte være videregivet til (art. 19) — i praksis er det kun betalingsformidleren, og kun for en husstand, der betaler. Vi besvarer selv henvendelser efter artikel 15-22; de sendes ikke videre til nogen anden.
Under Mere henter I det, vi har gemt om jeres husstand, som én maskinlæsbar fil, straks og uden ansøgning. Ét forbehold: i det, vi har hentet, står der også navne på andre mennesker — lærere, vikarer, trænere og andre børn. Dem skal filen sløre. Retten til indsigt gælder oplysninger om jer selv, ikke om andre, og vi må ikke bruge jeres anmodning til at udlevere en lærers eller et andet barns oplysninger. Det følger af databeskyttelseslovens § 22, stk. 1, og af forordningens artikel 15, stk. 4.
Samme sted sletter I det hele med det samme — hele husstanden, alle brugere, alle sessioner, og det der ligger i jeres egen browser. Ingen ansøgning, ingen ventetid, ingen papirkurv. Sikkerhedskopierne slettes senest efter fjorten dage, og vi siger til, når de er væk.
Sådan er filen bygget. Den er ikke en fast liste, nogen skal huske at holde ajour: den går jeres mappe igennem og skriver, hvad der ligger i den — filnavn, størrelse, og om filen er krypteret. Kommer der en kilde til, står den i filen fra den dag, den findes. Med er også jeres bibliotekskort (uden adgangsbeviset), musikskolen, SFO’en, jeres samtykker med hele den tekst, I sagde ja til, og de fejlmeldinger, I selv har skrevet — sammen med vores svar. Adgangskoder, adgangsbeviser og sessioner er ikke med: de er nøgler, ikke oplysninger om jer.
Sløringen, og hvad den ærligt kan. Personnumre, e-mailadresser og telefonnumre fjernes fra det, vi har hentet — de har en form, en maskine kan kende. Filen skriver selv, hvor mange der blev fjernet, så I kan se, at det skete. Jeres egne oplysninger røres ikke: jeres egne adresser, jeres egne samtykker og jeres egne ord bliver stående. Det er dem, retten til indsigt handler om.
Et åbent punkt. Navne i løbende tekst kan vi ikke sløre. Står der "vi har talt med Mette" i en besked fra skolen, kan en maskine ikke vide, om Mette er en lærer, en mor eller en klassekammerat. Et filter, der gætter, sletter enten for meget — og så er filen ubrugelig — eller for lidt, og så er løftet brudt. Derfor står der stadig navne på andre mennesker i det hentede materiale, og filen siger det selv. Retten til indsigt gælder jer selv; brug den derefter.
Behandler vi noget på grundlag af en legitim interesse — driftsloggen, det hentede om jeres børn, og de navne på andre mennesker, der følger med — har I og de ret til at gøre indsigelse når som helst, af grunde der vedrører den enkeltes særlige situation. Så holder vi op, medmindre vi kan påvise vægtige legitime grunde, der går forud. Det er den centrale rettighed hos os, og derfor står den for sig selv og ikke i en bisætning. Skriv til adressen nedenfor.
Samtykke kan trækkes tilbage. Har I givet et samtykke — til at Tavlen må hente skolens beskeder, som kan indeholde noget følsomt, til et CPR-nummer ved bibliotekskortet, eller til kalenderstrømmen — kan I trække det tilbage når som helst ved at koble kilden eller strømmen fra. Det påvirker ikke lovligheden af det, der er sket, indtil I gør det.
Skriv til privatliv@vorestavle.dk, hvis I vil bruge en af de øvrige rettigheder. Vi svarer inden for en måned, og som regel hurtigere; er anmodningen indviklet, kan vi forlænge med to måneder — så siger vi til inden for den første måned og skriver hvorfor. Det koster ingenting. Er vi i tvivl om, hvem der skriver, spørger vi, før vi udleverer eller sletter noget, jf. artikel 12, stk. 6 — en anmodning fra den forkerte er værre end en langsom besvarelse. Gentagne eller åbenbart grundløse anmodninger kan vi afvise eller tage et rimeligt beløb for, jf. artikel 12, stk. 5; sker det, siger vi hvorfor.
Rettighederne tilhører den enkelte, ikke husstanden. Et barn i husstanden, en lærer eller en anden, der er nævnt i det hentede, kan henvende sig direkte til os, og den henvendelse behandles uden om familien.
Det meste af Tavlen handler om dig. Derfor står det her — i almindeligt sprog, og ikke kun til dine forældre.
Hvad Tavlen ved om dig. Dit navn og din klasse. Dit skema og dine lektier. Beskeder fra skolen, klubben eller din træner, hvor du er nævnt. Hvad du har lånt på biblioteket, hvis I har sat det til. Hvornår du har træning og kamp.
Hvor det kommer fra. Ikke fra dig. Det kommer fra skolens og klubbens egne systemer. Tavlen logger ind det samme sted, som dine forældre selv kan logge ind, og henter det, der allerede står der. Tavlen finder ikke noget nyt om dig. Den kigger ikke på din telefon, læser ikke dine beskeder til dine venner og ved ikke, hvor du er.
Hvem der kan se det. Dine forældre og de andre voksne i din husstand. Ikke andre familier. Ikke skolen — den har det jo i forvejen. Der bliver ikke solgt noget om dig, og der er ingen reklamer. Den, der passer den computer, Tavlen kører på, kan i princippet komme til at se med. Det er én voksen, og det står her, fordi det er sandt, og ikke fordi vi synes, det er godt.
Hvor længe. Beskederne ligger kun en halv time, og de bliver aldrig gemt på en disk. Dit skema ligger tre måneder frem, kalenderen fire. Sletter din familie Tavlen, er alt væk med det samme.
Hvad du kan gøre. Du må gerne bede om at få at vide, hvad der ligger om dig. Du må bede om at få det rettet, hvis noget er forkert. Du må sige, at du ikke vil have, at noget bestemt bliver vist — og du må sige det til os, ikke kun til dine forældre. Vi må ikke bare svare "spørg din mor". Skriv til privatliv@vorestavle.dk, så svarer vi dig. Det koster ingenting.
Er du 15 år eller derover, har du de samme rettigheder som en voksen, og du kan bruge dem selv.
Synes du, vi behandler det forkert, må du klage til Datatilsynet. Det er en myndighed, hvis opgave det er at holde øje med sådan noget som os: datatilsynet.dk. Det koster ingenting, og du behøver ikke spørge nogen om lov.
Til forældrene om det samme. Kontoen er til voksne. Børn kan ikke oprette sig selv, og der er ikke noget børnelogin — hverken i dag eller planlagt. Laves der på et tidspunkt et login til børn, ændrer det på reglerne, og så bliver det skrevet her, før det bygges.
Er jeres barn fyldt 15 år, skal barnet efter Datatilsynets faste praksis selv have oplysningerne — det er ikke nok, at I som forældre kender dem. Det er ikke en formalitet: det er den unges egen ret, og den kan I ikke give afkald på på hans eller hendes vegne. Skal der gives samtykke til noget følsomt eller til et CPR-nummer, bruger vi 13 år som rettesnor for, hvornår barnet selv skal spørges.
Fordi behandlingen angår børn, og fordi oplysninger fra flere systemer samles til et nyt formål, er der udarbejdet en konsekvensanalyse efter artikel 35. Den er vores, ikke jeres. Den gennemgår, hvad der kan gå galt, hvor slemt det ville være, og hvad der er gjort ved det, og den revideres mindst én gang om året — og straks, hvis en ny kilde tilsluttes, hvis noget væsentligt ændres, eller hvis noget går galt.
Den foreligger i version 2 af 5. august 2026 og vurderer 28 risikoscenarier — hvert med sandsynlighed, konsekvens og modtræk. Konklusionen er, at restrisikoen er acceptabel for de familier, der bruger Tavlen i dag.
Analysen offentliggøres ikke, fordi den også beskriver, hvordan tjenesten er bygget indefra, og hvor den er sårbar. Men den udleveres til Datatilsynet på anmodning, og til jer, hvis I beder om den. Kort resumé står på sikkerhedssiden.
Ændrer vi noget væsentligt — formålet, hvem der er ansvarlig, eller hvordan I bruger jeres rettigheder — siger vi til i appen, før det træder i kraft. Rettelser af stavefejl siger vi ikke til om. Versionsnummeret og datoen øverst viser, hvornår teksten sidst blev ændret, og hvilken udgave I har set.
VERSION 2 · 1. AUGUST 2026
15 AFSNIT · 7 ÅBNE PUNKTER · 0 EKSTERNE KALD