Privatlivspolitik / Privacy Policy — Medlemsportal

Source of truth. This file is the canonical text for the BIM Medlemsportal privacy policy. The version served at https://medlemsportal-production.up.railway.app/legal/privacy-policy is rendered from this content. When updating, edit both this file AND app/legal/privacy-policy+api.ts to keep them in sync, then commit + push. Status: Reviewed against GDPR (Articles 5, 6, 12-22, 28), Datatilsynet guidance, App Store Review Guideline 5.1, and Play Developer Policy on Personal & Sensitive Information. BIM has accepted this version as production-ready without engaging external legal counsel — the data architecture is minimal (no member data stored server-side, JWT-only 4h sessions, no tracking, no analytics, no ads), and the policy reflects the actual code, not aspirations. Last updated: 2026-05-25 Version: 1.0

Dansk version

1. Dataansvarlig

Brøndby Islamisk Menighed ("BIM", "vi", "os") Brøndby, Danmark Kontakt vedrørende persondata: [broendby@ditsamfund.dk]

BIM er dataansvarlig for behandlingen af personoplysninger i forbindelse med medlemsportalen ("Appen").

2. Hvilke oplysninger behandler vi?

Appen er bygget med princippet om dataminimering (GDPR art. 5, stk. 1, litra c). Vi indsamler og behandler kun de oplysninger, der er strengt nødvendige for at levere medlemsportalens funktioner.

Oplysninger fra Foreninglet (vores medlemssystem):

Dit fulde navn
Dit medlemsnummer
Din e-mailadresse
Din medlemskabsstatus (aktiv/inaktiv)
En markering af om du har administratorrettigheder i Appen

Oplysninger der oprettes lokalt på din enhed:

En adgangsnøgle (JWT-token) der bekræfter at du er logget ind. Tokenet er gyldigt i 4 timer.
Dine app-præferencer (sprog, mørk/lys tilstand)

Oplysninger vi IKKE behandler:

Vi gemmer ingen medlemsdata på vores servere. Når du logger ud eller tokenet udløber, forsvinder al data om dig fra serveren.
Vi indsamler ikke placering, kontakter, kalender, sundhedsdata, eller andre følsomme oplysninger.
Vi bruger ikke sporingsteknologier (cookies, pixels, analytics) i Appen.
Vi sælger eller deler ikke dine oplysninger med tredjeparter til markedsføringsformål.

3. Hvorfor behandler vi dine oplysninger? (Formål og retsgrundlag)

Formål	Retsgrundlag (GDPR)
Verificere at du er medlem af BIM når du logger ind	Art. 6, stk. 1, litra b (opfyldelse af medlemskontrakt)
Vise dit digitale medlemskort	Art. 6, stk. 1, litra b (opfyldelse af medlemskontrakt)
Vise medlemsfordele (deals) du har adgang til	Art. 6, stk. 1, litra b
Give administratorer mulighed for at administrere deals	Art. 6, stk. 1, litra f (legitim interesse i foreningens drift)

4. Hvem deler vi data med? (Databehandlere)

Vi anvender følgende underdatabehandlere, alle med databehandleraftaler i overensstemmelse med GDPR art. 28:

Underdatabehandler	Formål	Placering
Foreninglet	Medlemssystem — primær kilde til medlemsdata	EU (Danmark)
Railway	Hosting af Appens server (API)	EU (Holland, Amsterdam)
Supabase	Database for "deals" (indeholder ingen medlemsdata)	EU (Tyskland, Frankfurt)
Apple og Google	Distribution af Appen via App Store og Google Play	Internationalt

Vi overfører ikke personoplysninger til lande uden for EU/EØS uden tilstrækkelige beskyttelsesforanstaltninger.

5. Hvor længe opbevarer vi dine oplysninger?

Datatype	Opbevaringsperiode
Adgangsnøgle (JWT)	4 timer fra login, derefter automatisk sletning
Medlemsdata i Foreninglet	Så længe du er medlem af BIM (administreres af Foreninglet)
Dine app-præferencer	Indtil du afinstallerer Appen eller manuelt sletter dem
Serverlogfiler (anonymiseret)	30 dage til driftsformål

Vi opbevarer ingen medlemsdata på vores servere ud over den korte session.

6. Dine rettigheder

Som registreret har du følgende rettigheder under GDPR (art. 12-22):

Indsigt (art. 15): Du kan anmode om at få oplyst hvilke personoplysninger vi behandler om dig.
Berigtigelse (art. 16): Du kan få rettet urigtige oplysninger. Bemærk: medlemsdata redigeres direkte i Foreninglet.
Sletning (art. 17): Du kan anmode om at få slettet dine personoplysninger. Da vi ikke opbevarer medlemsdata serverside, sker dette automatisk når tokenet udløber. Sletning af medlemskab håndteres af Foreninglet.
Begrænsning (art. 18): Du kan anmode om at vi begrænser behandlingen.
Dataportabilitet (art. 20): Du kan få udleveret dine data i et struktureret, almindeligt anvendt og maskinlæsbart format. Kontakt Foreninglet for dette.
Indsigelse (art. 21): Du kan gøre indsigelse mod behandling baseret på legitim interesse.

For at udøve dine rettigheder, kontakt os på [broendby@ditsamfund.dk].

7. Klagemulighed

Hvis du er utilfreds med vores behandling af dine personoplysninger, kan du klage til:

Datatilsynet Carl Jacobsens Vej 35, 2500 Valby Telefon: +45 33 19 32 00 www.datatilsynet.dk

8. Sikkerhed

Vi anvender følgende tekniske og organisatoriske foranstaltninger til at beskytte dine oplysninger:

HTTPS/TLS-kryptering på al kommunikation mellem app og server
Adgangsnøgler signeret med HMAC-SHA256 og kort levetid (4 timer)
Adgang til administrative funktioner kræver eksplicit administratorrolle i Foreninglet
Serveren opbevarer ingen medlemsdata — den fungerer kun som proxy til Foreninglet og verifikator af adgangsnøgler

9. Børn

Appen er beregnet til medlemmer af BIM. BIM-medlemskab kræver normalt at man er fyldt 18 år, eller at forældre/værge har givet samtykke. Vi indsamler ikke bevidst oplysninger om børn under 13 år.

10. Ændringer til denne politik

Vi kan opdatere denne privatlivspolitik. Væsentlige ændringer vil blive meddelt via Appen og/eller via e-mail. Den til enhver tid gældende version er tilgængelig på https://medlemsportal-production.up.railway.app/legal/privacy-policy.

11. Kontakt

Spørgsmål til denne politik eller vores behandling af dine oplysninger:

Brøndby Islamisk Menighed E-mail: [broendby@ditsamfund.dk]

English version

1. Data Controller

Brøndby Islamisk Menighed ("BIM", "we", "us") Brøndby, Denmark Privacy contact: [broendby@ditsamfund.dk]

BIM is the data controller for the processing of personal data in the Medlemsportal app ("the App").

2. What data do we process?

The App is built on the principle of data minimisation (GDPR Art. 5(1)(c)). We collect and process only data strictly necessary to provide the member portal's features.

Data from Foreninglet (our membership system):

Your full name
Your member number
Your email address
Your membership status (active/inactive)
A flag indicating whether you have administrator rights in the App

Data created locally on your device:

A session token (JWT) confirming you are logged in. Valid for 4 hours.
Your app preferences (language, dark/light mode)

Data we do NOT process:

We store no member data on our servers. When you log out or your token expires, all data about you disappears from the server.
We do not collect location, contacts, calendar, health data, or other sensitive information.
We do not use tracking technologies (cookies, pixels, analytics) in the App.
We do not sell or share your data with third parties for marketing purposes.

3. Why do we process your data? (Purposes and legal basis)

Purpose	Legal basis (GDPR)
Verify your BIM membership when you log in	Art. 6(1)(b) (performance of membership contract)
Display your digital membership card	Art. 6(1)(b) (performance of membership contract)
Show member benefits (deals) available to you	Art. 6(1)(b)
Allow administrators to manage deals	Art. 6(1)(f) (legitimate interest in running the association)

4. Who do we share data with? (Processors)

We use the following sub-processors, all under data processing agreements consistent with GDPR Art. 28:

Sub-processor	Purpose	Location
Foreninglet	Membership system — primary source of member data	EU (Denmark)
Railway	Hosting the App's server (API)	EU (Netherlands, Amsterdam)
Supabase	Database for "deals" (contains no member data)	EU (Germany, Frankfurt)
Apple and Google	App distribution via App Store and Google Play	International

We do not transfer personal data outside the EU/EEA without adequate safeguards.

5. How long do we keep your data?

Data type	Retention period
Session token (JWT)	4 hours from login, then automatic deletion
Member data in Foreninglet	As long as you are a BIM member (managed by Foreninglet)
Your app preferences	Until you uninstall the App or delete them manually
Server logs (anonymised)	30 days for operational purposes

We keep no member data on our servers beyond the short session.

6. Your rights

As a data subject you have the following rights under GDPR (Art. 12-22):

Access (Art. 15): Request what personal data we process about you.
Rectification (Art. 16): Correct inaccurate data. Note: member data is edited directly in Foreninglet.
Erasure (Art. 17): Request deletion of your personal data. Since we don't store member data server-side, this happens automatically when your token expires. Membership deletion is handled by Foreninglet.
Restriction (Art. 18): Request restriction of processing.
Data portability (Art. 20): Get your data in a structured, commonly-used, machine-readable format. Contact Foreninglet for this.
Object (Art. 21): Object to processing based on legitimate interest.

To exercise your rights, contact us at [broendby@ditsamfund.dk].

7. Right to complain

If you are unhappy with how we process your data, you may complain to:

Datatilsynet (the Danish Data Protection Agency) Carl Jacobsens Vej 35, 2500 Valby Phone: +45 33 19 32 00 www.datatilsynet.dk

8. Security

We use the following technical and organisational measures to protect your data:

HTTPS/TLS encryption on all communication between app and server
Session tokens signed with HMAC-SHA256 and short-lived (4 hours)
Administrative functions require an explicit administrator role in Foreninglet
The server stores no member data — it only proxies Foreninglet and verifies session tokens

9. Children

The App is intended for BIM members. BIM membership normally requires being 18+ or having parental/guardian consent. We do not knowingly collect data from children under 13.

10. Changes to this policy

We may update this privacy policy. Material changes will be communicated via the App and/or by email. The current version is always available at https://medlemsportal-production.up.railway.app/legal/privacy-policy.

11. Contact

Questions about this policy or our data processing:

Brøndby Islamisk Menighed Email: [broendby@ditsamfund.dk]