Databehandleraftale

Parter og roller

• Dataansvarlig: optikerklinikken, for de oplysninger om klinikkens kunder, som lægges ind i Øjeblik.
• Databehandler: Øjenkirurgisk Klinik Aarhus ApS, Lystrupvej 23, 8240 Risskov, CVR oplyses senere, kontakt@ok-aa.dk, +45 32 22 82 20, som opbevarer og overfører oplysningerne i platformen på klinikkens vegne.
• Øjenlægerne er selvstændigt dataansvarlige for den sundhedsfaglige vurdering og deres egen journalføring.

Genstand og varighed

Aftalen gælder, så længe klinikken bruger Øjeblik, og indtil alle oplysninger er slettet eller tilbageleveret.

Behandlingens art og formål

Opbevaring og overførsel af sager, så en øjenlæge kan vurdere dem, og så klinikken kan se svaret.

Typer af oplysninger og registrerede

• Registrerede: klinikkens kunder og klinikkens medarbejdere
• Kunder: ca. alder, svar på kliniske spørgsmål, fritekst, billeder og video (helbredsoplysninger)
• Medarbejdere: navn, e-mail, telefon, login og aktivitetslog
• Der behandles ikke CPR-nummer

Instruks

Databehandleren behandler kun oplysningerne efter dokumenteret instruks fra klinikken, som er denne aftale og brugen af Øjeblik. Er en instruks i strid med lovgivningen, giver databehandleren straks besked.

Fortrolighed

Alle med adgang til oplysningerne har tavshedspligt efter aftale eller lov.

Sikkerhed (artikel 32)

• Opbevaring i EU (Frankfurt)
• Krypteret forbindelse
• Rollebaseret adgang håndhævet i databasen
• Privat billedlager med links der udløber
• Metadata fjernes fra billeder
• Aktivitetslog og overvågning
• Kun inviterede brugere

Underdatabehandlere

Klinikken giver forhåndsgodkendelse til disse underdatabehandlere. Databehandleren giver mindst 30 dages varsel om nye eller ændrede underdatabehandlere, så klinikken kan gøre indsigelse. Underdatabehandlere pålægges samme forpligtelser som i denne aftale.

• Lovable Cloud (Supabase): hosting af database, login og privat billedlager i EU, region eu-central-1 (Frankfurt, Tyskland).
• Lovable: e-mailtjeneste der sender beskeder fra afsenderdomænet notify.beskedservice.dk. Mails indeholder sagsnummer og status, ikke billeder.
• Apple og Google: push beskeder til telefon og browser. Beskederne indeholder kun en kort besked uden patientoplysninger.
• AdResult ApS: udvikling, drift og support af Øjeblik.

Overførsel

Oplysningerne opbevares og behandles i EU. Der overføres ikke oplysninger om klinikkens kunder til lande uden for EU.

Bistand

Databehandleren hjælper klinikken med at besvare anmodninger fra de registrerede og med at overholde artikel 32 til 36.

Brud på sikkerheden

Databehandleren underretter klinikken uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud, med de oplysninger klinikken skal bruge for at anmelde bruddet.

Sletning og tilbagelevering

Når aftalen ophører, sletter eller tilbageleverer databehandleren oplysningerne efter klinikkens valg, medmindre lovgivningen kræver opbevaring, fx øjenlægens journalpligt og bogføringsloven. Automatisk sletning af billeder og videoer er forberedt (24 måneder efter oprettelse), men er endnu ikke slået til. Indtil da opbevares billeder og videoer sammen med sagen.

Revision

Databehandleren stiller de oplysninger til rådighed, som er nødvendige for at påvise, at aftalen overholdes, og giver mulighed for revision efter rimeligt varsel.

Klinikkens forpligtelser

• Have et gyldigt retsgrundlag for at sende oplysningerne
• Informere sine kunder om behandlingen
• Indhente kundens samtykke, før billeder og oplysninger sendes