Livscykel för användare och tenanter

Den här sidan beskriver vad som händer, och när, i de två livscykler som betyder mest: personerna du lägger till i din organisation och själva organisationen. Båda livscyklerna garanterar att destruktion bara blir oåterkallelig när den måste vara det (efter lagringsfönstret). Varje steg före det går att ångra.

Användarens livscykel

En användare finns bara i fremforge som medlem i en eller flera organisationer. Att ta bort användaren från en organisation är en åtgärd per tenant. Hela kontot inaktiveras bara när användaren tas bort från sin sista organisation.

Borttagning från en enskild organisation

Du tar bort en medlem från din organisation antingen manuellt (avsnittet om användarhantering under Fakturering listar varje medlem med senaste aktivitet, stöder borttagning av flera på en gång och erbjuder en valfri policy för automatisk rensning) eller via SCIM-avprovisionering från din IdP. Beteendet är detsamma i båda fallen:

1. Forgejo-händelsen org_member.removed utlöses.
2. fremforge räknar om seats_in_use utifrån Forgejos aktuella medlemslista och skapar granskningshändelsen tenant.seat.released. Den frigjorda användarplatsen i avtalet blir genast tillgänglig för din nästa inbjudan eller SSO-JIT-inloggning.
3. Alla organisationsavgränsade PAT:er som den avgående användaren har för den här tenanten återkallas.
4. Om det var användarens sista organisation startar flödet för inaktivering av föräldralösa konton nedan.

Ditt avtalade tak för antal användare minskas aldrig av rensningen. seats_in_use sjunker; taket är oförändrat. För att sänka taket använder du sidan Fakturering (minskningar av antalet användare gäller från nästa förnyelse; årlig förskottsbetalning återbetalas inte enligt villkoren §4.7).

Automatisk rensning av inaktiva konton

På sidan Medlemmar kan en ägare ställa in en gräns för inaktivitet (standard: avstängd). När den är satt tar ett dagligt jobb bort medlemmar vars Forgejo-last_login är äldre än gränsen. Ägare, operatörskonton och botkonton tas aldrig bort automatiskt. Ett golv per tenant (standard 30 dagar) förhindrar att medlemmar råkar slängas ut under långa frånvaron. Det dagliga jobbet är begränsat till 50 borttagningar per tenant och dag, en säkerhetsbroms så att en felkonfigurerad policy inte kan tömma en hel organisation i ett svep.

Inaktivering av föräldralösa konton (sista organisationen)

När borttagningen per tenant ovan lämnar en användare utan medlemskap i någon organisation hos någon tenant gör fremforge automatiskt följande:

1. Sätter prohibit_login=true på Forgejo-användaren (ingen mer inloggning via SSO eller lokala inloggningsuppgifter).
2. Återkallar varje Forgejo-PAT som användaren äger, var de än finns.
3. Arkiverar, men raderar INTE, de repon i det personliga namnområdet som användaren äger. Arkivering bevarar historiken; kunden kan återställa genom att bjuda in användaren igen innan fönstret på 14 dagar för permanent radering stänger.
4. Registrerar inaktiveringen i boken orphaned_users med cleanup_due_at = today + 14 days.

Om du bjuder in användaren till någon organisation inom fönstret på 14 dagar återställs användaren: prohibit_login hävs, PAT:er kan skapas på nytt och gravstenen för det föräldralösa kontot får stämpeln restored_at, så att jobbet för permanent radering hoppar över det.

Permanent radering (föräldralöst + 14 dagar)

Ett dagligt jobb raderar permanent de Forgejo-konton som har varit inaktiverade som föräldralösa i mer än 14 dagar och inte har bjudits in igen under det fönstret. Fjorton dagar håller hela raderingen, inklusive de lagringskopior som behålls i 7 dagar efter en radering, inom de 30 dagar som integritetsmeddelandet §6 utlovar för kontodata. Forgejo-anropet DELETE /api/v1/admin/users/{u} tar bort användarkontot; användarens arkiverade personliga repon tas bort i samma veva. Granskningsloggen behåller händelsen forgejo.user.orphan_hard_deleted, knuten till den tenant som ursprungligen utlöste flödet, för spårbarhet.

Efter den permanenta raderingen är användarnamnet och kontohistoriken borta. Det finns ingen återställning efter fönstret på 14 dagar; provisionera en ny användare från din IdP vid behov.

Tenantens livscykel

En tenant går igenom fem tillstånd. Tillståndsmaskinen går bara framåt, med undantag för ångervägen cancellation_scheduled → active och återaktiveringsvägen suspended → active.

Uppsägning initierad

När du klickar på Säg upp abonnemanget på sidan Fakturering:

• Statusen ändras till cancellation_scheduled och cancel_effective_at sätts (månadsavtal: +30 dagar; årsavtal: slutdatumet för det förskottsbetalda åtagandet, och årsavtal återbetalas inte enligt villkoren §4.7).
• Eventuell pågående överförbrukning debiteras det aktiva betalningssättet.
• SEPA-medgivandet hos Mollie återkallas, så att inga fler automatiska debiteringar görs.
• Ett bekräftelsemejl skickas till varje mottagare i billing_emails. Sidan Fakturering visar nu en nedräkningsbanner med datumet då den skrivskyddade perioden slutar, en uppmaning att exportera data och en ångra-knapp.

Ångra-knappen finns kvar ända fram till cancel_effective_at, och igen under det skrivskyddade fönstret på 90 dagar via knappen för återaktivering (ett nytt betalningssätt ställs in via den vanliga kassan).

Uppsägningen träder i kraft (+0 dagar)

Vid cancel_effective_at ändrar det dagliga jobbet cancellation-effect statusen till cancelled och arkiverar varje repo i Forgejo-organisationen (skrivskyddat). Själva organisationen finns kvar och datan finns kvar. Skrivåtkomst är pausad överallt utom i Fakturering (för återaktivering) och Dataexport (för portabilitet).

Permanent radering (+90 dagar)

Nittio dagar efter att uppsägningen trädde i kraft utför samma dagliga jobb den fysiska raderingen. Raderingen respekterar följande spärrar, och var och en av dem stoppar rensningen den dagen:

• legal_hold = true på tenanten (en bevarandeflagga som en operatör sätter vid föreläggande om bevarande, legal hold).
• Ett exportjobb som fortfarande står i kö eller körs.
• En pågående betalning (Mollie-webhookens status open, pending eller authorized).

När alla spärrar är borta gör fremforge följande:

1. Skapar granskningshändelsen tenant.physically_deleted (registreras medan tenantens avgränsning fortfarande är giltig, så att granskningskedjan fångar åtgärden).
2. Återkallar tenantens Renovate-botkonto och återkallar dess PAT.
3. Rensar alla webhook-leveranser i kö för tenanten.
4. Raderar Forgejo-organisationen: repon, LFS-objekt och organisationens hela tillstånd i en kaskad.
5. Raderar kundposten hos Mollie.
6. Raderar tenantens personuppgifter (visningsnamn, mejladress för faktureringskontakt, faktureringsmejl, referenser till Mollie/Dinero, momsregistreringsnummer) och markerar tenanten som raderad.
7. Genererar PDF:en med intyget om destruktion (se nedan) och arkiverar det i OBS i den bucket som skyddas av legal hold. Mejlar intyget till den registrerade adressen för faktureringskontakten.

Intyg om destruktion

En PDF på en sida som genereras vid den fysiska raderingen och mejlas till faktureringskontakten. Den anger:

• Organisationens slug, visningsnamn, momsregistreringsnummer och tenantens identifierare.
• Datumet då uppsägningen trädde i kraft och datumet för den permanenta raderingen.
• De kategorier av data som förstörts (Forgejo-innehåll, tenantens konfiguration, avgränsade medlemskonton, granskningsnyttolaster, personuppgifter för fakturering).
• De kvarvarande undantagen för lagring som fortfarande gäller (se nedan).
• En SHA-256-ankarhash som parar ihop intyget med granskningshändelsen tenant.physically_deleted för korsverifiering.

Om du senare behöver en ny kopia ligger arkivet i en WORM-låst OBS-bucket. Mejla compliance@frem.sh så utfärdar vi intyget på nytt från arkivet.

Lagringsfönster (DPA §9)

Kvarvarande undantag

Vissa kategorier av data har lagstadgad lagringstid som gäller längre än den primära raderingen vid +90 dagar. De beskrivs i DPA §9 och återges på intyget om destruktion:

• Bokföringsmaterial (fakturor, verifikationsbilagor): sparas i 5 år enligt Bogføringsloven §10.
• Metadata i granskningsloggen: sparas i 3 år, pseudonymiseras vid raderingen (+90 dagar, eller natten då en fördröjd radering slutförs); inget repo-innehåll, inga personuppgifter.
• WORM-låsta efterlevnadsobjekt (ankare i granskningskedjan, själva PDF:en med intyget om destruktion): sparas tills låsperioden löper ut. Dokumenterat undantag i DPA bilaga §9.

Legal hold

Operatörer kan sätta legal_hold = true på en tenant som svar på ett föreläggande om bevarande (stämning, GDPR-utredning, tvist). Så länge flaggan är satt hoppar jobbet cancellation-effect helt över tenanten: ingen fysisk radering, ingen nollställning av personuppgifter, ingen rensning av säkerhetskopior. Flaggan kan bara sättas av operatörer; kunder kan inte ändra den.

Legal hold pausar också raderingen av varje klass för lagring av bevis medan organisationen är aktiv: redigering av granskningsnyttolaster, lagring av åtkomstloggar, åtgärdade fynd, SBOM:er, attesteringar, exportposter och rensningen av fynd för stängda pull requests (sedan 2026-10-08; före det kontrollerade redigeringen av granskningsnyttolaster och rensningen av SBOM:er inte legal hold).

Vanliga frågor

En användare räknas som använd fast medlemmen har lämnat. Forgejos medlemslista filtrerar bort användare med prohibit_login=true, så en inaktiverad användare vars sista organisation var din räknas inte mot din seats_in_use. Om siffran ser inaktuell ut räknar det nattliga jobbet seat-cap-drift-check om den.

Får jag pengar tillbaka om jag sänker taket för antal användare? Nej. Minskningar av antalet användare gäller från nästa faktureringsperiod (månadsavtal) eller årliga förnyelse (årsavtal). Årlig förskottsbetalning återbetalas inte enligt villkoren §4.7. Formuläret för taket finns under Fakturering.

Kan jag få ut min data efter fönstret på 90 dagar? Nej. När du läser det här är den redan borta (Forgejo-organisation, repon, LFS, medlemmar, personuppgifter). Kopior i de krypterade säkerhetskopiorna är borta senast vid +150 dagar till 2026-11-03; från 2026-11-03 (DPA 1.41) löper de ut med ögonblicksbilderna, senast vid +210 dagar. Planera exporter under det skrivskyddade fönstret; sidan Fakturering visar en uppmaning att exportera just av det skälet.

Sker radering enligt artikel 17 i GDPR vid uppsägningen eller vid +90 dagar? Vid +90 dagar rensas den primära lagringen. Säkerhetskopiorna följer efter: till 2026-11-03 rensas de senast vid +150 dagar från uppsägningen; från 2026-11-03 (DPA 1.41 §9) löper raderad data ut med de krypterade ögonblicksbilderna, upp till 90 dagar efter raderingen och senast vid +210 dagar. Intyget om destruktion är det dokument du kan visa din tillsynsmyndighet.

Vad händer om jag säger upp av misstag? Klicka på ångra-knappen på sidan Fakturering; den fungerar under hela respitperioden (fram till cancel_effective_at). Därefter ger det skrivskyddade fönstret dig 90 dagar till att återaktivera via den vanliga kassan. Efter +90 dagar finns ingen återställning.