Livssyklus for brukere og tenanter

Denne siden beskriver hva som skjer, og når, i de to livssyklusene som betyr mest: personene du legger inn i organisasjonen din, og selve organisasjonen. Begge livssyklusene sikrer at destruksjon bare er ugjenkallelig når den må være det (etter oppbevaringsperioden); hvert trinn før det kan reverseres.

Brukerens livssyklus

En bruker finnes bare i fremforge som medlem av én eller flere organisasjoner. Å fjerne brukeren fra en organisasjon er en handling per tenant; hele kontoen deaktiveres bare når brukeren fjernes fra sin siste organisasjon.

Fjerning fra én organisasjon

Du fjerner et medlem fra organisasjonen enten manuelt (seksjonen for brukeradministrasjon under Fakturering viser hvert medlem med siste aktivitet, støtter fjerning av mange på én gang og tilbyr en policy for automatisk opprydding som må slås på) eller gjennom SCIM-deprovisjonering fra IdP-en din. Oppførselen er den samme i begge tilfeller:

1. Forgejo-hendelsen org_member.removed utløses.
2. fremforge beregner seats_in_use på nytt fra Forgejos aktuelle medlemsliste og skriver revisjonshendelsen tenant.seat.released. Den frigjorte brukeren er straks tilgjengelig for neste invitasjon eller SSO-JIT-innlogging.
3. Alle PAT-er med organisasjons-scope som brukeren som forlater organisasjonen, har for denne tenanten, tilbakekalles.
4. Hvis dette var brukerens siste organisasjon, starter flyten for deaktivering av foreldreløse kontoer nedenfor.

Det avtalte taket for brukere reduseres aldri av opprydding. seats_in_use går ned; taket står urørt. For å redusere taket bruker du siden Fakturering (reduksjoner i antall brukere trer i kraft ved neste fornyelse; årlig forhåndsbetaling refunderes ikke, jf. vilkårene §4.7).

Automatisk opprydding i inaktive kontoer

På siden Members kan en Owner sette en grense for inaktivitet (standard: avslått). Når den er satt, fjerner en daglig jobb medlemmer der last_login i Forgejo er eldre enn grensen. Owners, operatørkontoer og botkontoer fjernes aldri automatisk; et minimum per tenant (standard 30 dager) hindrer at medlemmer kastes ut ved et uhell under lange fravær. Den daglige jobben er begrenset til 50 fjerninger per tenant per døgn, en sikkerhetsbrems slik at en feilkonfigurert policy ikke kan tømme en hel organisasjon på én gang.

Deaktivering av foreldreløse kontoer (siste organisasjon)

Når fjerningen per tenant over etterlater en bruker uten medlemskap i noen organisasjon hos noen tenant, gjør fremforge automatisk følgende:

1. Setter prohibit_login=true på Forgejo-brukeren (ingen flere innlogginger via SSO eller lokal legitimasjon).
2. Tilbakekaller hvert Forgejo-PAT brukeren eier, uansett hvor.
3. Arkiverer, men sletter IKKE, repositoryer i brukerens personlige navnerom. Arkivering bevarer historikken; kunden kan gjenopprette ved å invitere brukeren på nytt før fristen på 14 dager for permanent sletting går ut.
4. Registrerer deaktiveringen i oversikten orphaned_users med cleanup_due_at = today + 14 days.

Hvis brukeren inviteres til en organisasjon igjen innen 14 dager, gjenopprettes kontoen: prohibit_login oppheves, PAT-er kan utstedes på nytt, og gravsteinen for den foreldreløse kontoen får et restored_at-stempel, slik at jobben for permanent sletting hopper over den.

Permanent sletting (foreldreløs + 14 dager)

En daglig jobb sletter permanent de Forgejo-kontoene som har vært deaktivert som foreldreløse i mer enn 14 dager, og som ikke ble invitert på nytt i den perioden. Fjorten dager holder hele slettingen, inkludert lagringskopiene som beholdes i 7 dager etter en sletting, innenfor de 30 dagene som personvernerklæringen §6 lover for kontodata. Forgejo-kallet DELETE /api/v1/admin/users/{u} fjerner brukerkontoen; brukerens arkiverte personlige repositoryer fjernes som en følge av det. Revisjonsloggen beholder en forgejo.user.orphan_hard_deleted-hendelse knyttet til tenanten som opprinnelig utløste den, for sporbarhet.

Etter permanent sletting er brukernavnet og kontohistorikken borte. Det finnes ingen gjenoppretting etter fristen på 14 dager; opprett en ny bruker fra IdP-en din ved behov.

Tenantens livssyklus

En tenant går gjennom fem tilstander. Tilstandsmaskinen går bare én vei, bortsett fra angreveien cancellation_scheduled → active og reaktiveringsveien suspended → active.

Oppsigelse startet

Når du klikker Si opp abonnementet på siden Fakturering:

• Statusen går til cancellation_scheduled, og cancel_effective_at settes (månedlig periode: +30 dager; årlig periode: sluttdatoen for den forhåndsbetalte forpliktelsen; årlig betaling refunderes ikke, jf. vilkårene §4.7).
• Eventuelt pågående overforbruk gjøres opp mot den aktive betalingsmetoden.
• SEPA-fullmakten hos Mollie tilbakekalles, slik at ingen flere automatiske trekk skjer.
• En bekreftelse på e-post går til alle mottakerne i billing_emails. Siden Fakturering viser nå et banner med nedtelling til datoen den skrivebeskyttede perioden slutter, en oppfordring til å eksportere data og en angreknapp.

Angreknappen er tilgjengelig helt fram til cancel_effective_at, og igjen i den skrivebeskyttede perioden på 90 dager via reaktiveringsknappen (en ny betalingsmetode settes opp gjennom den vanlige betalingsflyten).

Oppsigelsen trer i kraft (+0 dager)

Ved cancel_effective_at setter den daglige jobben cancellation-effect statusen til cancelled og arkiverer hvert repository i Forgejo-organisasjonen (skrivebeskyttet). Selve organisasjonen blir stående, og dataene blir værende; skrivetilgangen er satt på pause overalt unntatt Fakturering (for reaktivering) og Dataeksport (for dataportabilitet).

Permanent sletting (+90 dager)

Nitti dager etter at oppsigelsen trådte i kraft, utfører den samme daglige jobben den fysiske slettingen. Slettingen respekterer disse sperrene, og hver av dem stopper slettingen for den dagen:

• legal_hold = true på tenanten (et bevaringsflagg som operatøren setter ved pålegg om rettslig tilbakeholdelse).
• En eksportjobb som fortsatt står i kø eller kjører.
• En pågående betaling (webhook-status fra Mollie open, pending eller authorized).

Når alle sperrene er borte, gjør fremforge følgende:

1. Skriver revisjonshendelsen tenant.physically_deleted (registrert mens tenant-scopet fortsatt er gyldig, slik at revisjonskjeden fanger opp handlingen).
2. Tilbakekaller Renovate-botkontoen for tenanten og tilbakekaller PAT-et dens.
3. Fjerner webhook-leveringsjobber som står i kø for tenanten.
4. Sletter Forgejo-organisasjonen: repositoryer, LFS-objekter og hele organisasjonens tilstand i kaskade.
5. Sletter kundeposten hos Mollie.
6. Sletter tenantens personopplysninger (visningsnavn, e-post til fakturakontakten, faktura-e-postadresser, Mollie- og Dinero-referanser, MVA-nummer) og merker tenanten som slettet.
7. Lager destruksjonsbeviset som PDF (se nedenfor) og arkiverer det i OBS i bøtten som er beskyttet med legal hold. Sender beviset på e-post til den registrerte adressen for fakturakontakten.

Destruksjonsbevis

En PDF på én side som lages når den fysiske slettingen skjer, og sendes på e-post til fakturakontakten. Den viser:

• Organisasjonens slug, visningsnavn, MVA-nummer og tenant-ID.
• Datoen oppsigelsen trådte i kraft, og datoen for permanent sletting.
• Kategoriene av data som ble destruert (Forgejo-innhold, tenant-konfigurasjon, medlemskontoer med avgrenset omfang, nyttelaster i revisjonsloggen, personopplysninger i faktureringen).
• Unntakene for oppbevaring som fortsatt gjelder (se nedenfor).
• En SHA-256-ankerhash som knytter beviset til revisjonshendelsen tenant.physically_deleted, for kryssverifisering.

Hvis du senere trenger en ny kopi, ligger arkivet i en WORM-låst OBS-bøtte. Send e-post til compliance@frem.sh, så utsteder vi en ny fra arkivet.

Oppbevaringsperioder (databehandleravtalen §9)

Gjenværende unntak

Noen kategorier data har lovpålagt oppbevaring som varer lenger enn den primære slettingen ved +90 dager. De er beskrevet i databehandleravtalen §9 og står på destruksjonsbeviset:

• Regnskapsmateriale (fakturaer, bilagsvedlegg): oppbevares i 5 år etter den danske bokføringsloven (Bogføringsloven) §10.
• Metadata i revisjonsloggen: oppbevares i 3 år, pseudonymisert ved slettingen (+90 dager, eller natten en forsinket sletting fullføres); ikke noe repositoryinnhold, ingen personopplysninger.
• WORM-låste samsvarsobjekter (ankere for revisjonskjeden, selve destruksjonsbeviset som PDF): oppbevares til låseperioden utløper. Dokumentert unntak i databehandleravtalens vedlegg §9.

Rettslig tilbakeholdelse (legal hold)

Operatører kan sette legal_hold = true på en tenant ved et pålegg om bevaring (stevning, GDPR-undersøkelse, tvist). Så lenge flagget er satt, hopper jobben cancellation-effect helt over kunden: ingen fysisk sletting, ingen nullstilling av personopplysninger, ingen fjerning fra sikkerhetskopier. Flagget kan bare settes av operatøren; kunder kan ikke endre det.

Tilbakeholdelsen stanser også slettingen for hver klasse under oppbevaring av bevis mens organisasjonen er aktiv: sladding av nyttelaster i revisjonsloggen, oppbevaring av tilgangsloggen, løste funn, SBOM-er, attesteringer, eksportregistreringer og fjerning av funn fra lukkede pull requests (siden 2026-10-08; før det sjekket ikke sladding av nyttelaster i revisjonsloggen og opprydding i SBOM-er tilbakeholdelsen).

Vanlige spørsmål

En betalt bruker står fortsatt som i bruk selv om medlemmet har gått. Medlemslisten i Forgejo filtrerer bort brukere med prohibit_login=true, så en deaktivert bruker uten flere organisasjoner teller ikke med i seats_in_use. Hvis tallet ditt ser utdatert ut, beregner den nattlige jobben seat-cap-drift-check det på nytt.

Får jeg refusjon hvis jeg senker taket for brukere? Nei. Reduksjoner i antall brukere trer i kraft ved neste faktureringsperiode (månedlig) eller ved årlig fornyelse (årlig). Årlig forhåndsbetaling refunderes ikke, jf. vilkårene §4.7. Se Fakturering for skjemaet for taket.

Kan jeg få dataene mine etter perioden på 90 dager? Nei. Når du leser dette, er de allerede borte (Forgejo-organisasjon, repositoryer, LFS, medlemmer, personopplysninger). Kopier i de krypterte sikkerhetskopiene er borte innen +150 dager fram til 2026-11-03; fra 2026-11-03 (DPA 1.41) utløper de sammen med øyeblikksbildene, senest innen +210 dager. Planlegg eksporter i den skrivebeskyttede perioden; siden Fakturering viser en oppfordring til eksport nettopp av den grunnen.

Skjer sletting etter GDPR artikkel 17 ved oppsigelsen eller ved +90 dager? Ved +90 dager tømmes primærlagringen. Sikkerhetskopiene følger etter: fram til 2026-11-03 fjernes de innen +150 dager fra oppsigelsen; fra 2026-11-03 (DPA 1.41 §9) utløper slettede data sammen med de krypterte øyeblikksbildene, opptil 90 dager etter slettingen og senest +210 dager. Destruksjonsbeviset er dokumentet du kan vise tilsynsmyndigheten din.

Hva om jeg sier opp ved en feil? Klikk på angreknappen på siden Fakturering; den virker i hele fristen (til cancel_effective_at). Etter det gir den skrivebeskyttede perioden deg 90 dager til å reaktivere via den vanlige betalingsflyten. Etter +90 dager finnes det ingen gjenoppretting.