Privatlivspolitik

Hvilke data behandler vi

Vi behandler følgende kategorier af data: (1) Kontooplysninger - navn, e-mail, organisation, sprog og abonnementsstatus, som er nødvendige for at levere tjenesten. (2) Indholdsdata - lyd, der streames til transskription, samt de transskriptioner og notater, du opretter; disse kan indeholde helbredsoplysninger om dine klienter og behandles udelukkende efter din instruks. (3) Betalingsoplysninger - håndteres af vores betalingsleverandør Stripe; vi opbevarer ikke selv kortoplysninger. (4) Tekniske data - fejlrapporter og logdata via Sentry (EU-datacenter) med minimering af personoplysninger, samt cookies på hjemmesiden som beskrevet i vores cookiepolitik. (5) Integrationsdata - hvis din organisation aktiverer en integration til jeres journalsystem (fx CURA), overføres notater og opslag hertil efter dit valg.

Datasikkerhed

Alle forbindelser er krypteret med TLS. Lokale data krypteres som beskrevet ovenfor, og data i vores database er krypteret i hvile hos vores hostingleverandør. Adgang til data i databasen er begrænset med rækkeniveau-sikkerhed (RLS), så brugere kun kan tilgå egne eller deres organisations data. API-nøgler og integrationshemmeligheder opbevares krypteret på serversiden og udleveres aldrig til klienten. Alle API-endpoints er beskyttet med adgangskontrol og rate-limiting.

Databehandling og retsgrundlag

For kontooplysninger og levering af tjenesten er retsgrundlaget opfyldelse af aftalen med dig (GDPR art. 6, stk. 1, litra b). Fejlovervågning og sikkerhed sker på grundlag af vores legitime interesse i at drive en sikker og stabil tjeneste (art. 6, stk. 1, litra f). Betalings- og bogføringsdata opbevares for at overholde retlige forpligtelser (art. 6, stk. 1, litra c). Statistik- og marketingcookies anvendes kun med dit samtykke (art. 6, stk. 1, litra a). Klient- og patientdata i dine notater behandler vi udelukkende som databehandler på dine eller din organisations vegne - ansvaret for retsgrundlaget efter art. 6 og art. 9, fx behandling som led i sundhedsfaglig virksomhed, ligger hos dig som dataansvarlig sundhedsprofessionel.

Dine rettigheder under GDPR

Under GDPR har du følgende rettigheder over for os som dataansvarlig for dine kontooplysninger. Du kan udøve dem ved at kontakte os på kontakt@carelog.dk. Du har desuden altid ret til at klage til Datatilsynet (www.datatilsynet.dk):

• Ret til indsigt i de oplysninger, vi behandler om dig
• Ret til berigtigelse af forkerte oplysninger
• Ret til sletning ('retten til at blive glemt')
• Ret til begrænsning af behandling
• Ret til dataportabilitet
• Ret til indsigelse mod behandling
• Ret til at trække samtykke tilbage, hvor behandling er baseret på samtykke

Klage og indsigelse

Vil du klage over vores behandling af dine personoplysninger eller vores it-sikkerhed, eller vil du gøre indsigelse mod behandlingen, kan du skrive til kontakt@carelog.dk. Vi bekræfter modtagelsen inden for 2 hverdage og besvarer klager inden for 10 arbejdsdage. Er du ikke tilfreds med vores svar, kan du klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, dt@datatilsynet.dk. Se vores klagevejledning

Internationale overførsler

Vores primære behandling sker inden for EU/EØS: Transskription hos Speechmatics og fejlovervågning hos Sentry sker i EU, og vores database (Supabase) og AI-behandling (Microsoft Azure OpenAI) er konfigureret til europæiske datacentre. Enkelte leverandører - Stripe (betaling), Resend (transaktionsmails) og Meta (kun ved marketingsamtykke på hjemmesiden) - er amerikanske virksomheder; overførsler hertil sker på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework og/eller EU's standardkontraktbestemmelser (SCC'er).

Datasikkerhed og brud

Vi beskytter data med kryptering under transport og i hvile, adgangskontrol, rate-limiting og automatisk sletning. Ved brud på persondatasikkerheden underretter vi Datatilsynet uden unødig forsinkelse og senest inden for 72 timer, hvor det kræves, og vi informerer berørte brugere og dataansvarlige organisationer, hvis bruddet indebærer en risiko for deres rettigheder.

Tredjepartstjenester

Vi anvender følgende leverandører og databehandlere: Supabase (database og login), Speechmatics (tale-til-tekst, EU-region), Microsoft Azure OpenAI (AI-genererede notatudkast og chat), Cloudflare (API-gateway - indhold gemmes ikke permanent), Stripe (betaling), Resend (transaktionsmails), Sentry (fejlovervågning, EU), Vercel (hosting af hjemmesiden) samt - kun med dit samtykke på hjemmesiden - PostHog (statistik, EU-hostet) og Meta (kampagnemåling). Aktiverer din organisation en integration til jeres journalsystem (fx CURA fra Systematic), overføres data hertil efter jeres instruks. Der er indgået databehandleraftaler med vores leverandører, og vi videregiver aldrig dine data til tredjeparter til deres egne kommercielle formål.

Opbevaring og sletning

Notater og transskriptioner slettes automatisk efter den opbevaringsperiode, du har valgt (standard 5 dage, højst 1 år), og kan altid slettes manuelt. Kontooplysninger opbevares, så længe du har en konto, og slettes, når kontoen nedlægges. Betalings- og bogføringsdata opbevares i 5 år efter regnskabsårets udløb i henhold til bogføringsloven. Bemærk: Din lovpligtige journalføring (typisk 5-10 års opbevaring) skal ske i dit eget journalsystem - Carelog er ikke beregnet til langtidsopbevaring af journaler.

Ændringer i denne politik

Vi informerer dig om væsentlige ændringer i privatlivspolitikken med 30 dages varsel via e-mail og applikationen. Mindre ændringer offentliggøres her på hjemmesiden. Du kan til enhver tid kontakte os for spørgsmål om databehandling.