Politikken er en oplysning efter databeskyttelsesforordningens artikel 13 og 14. Den er ikke en kontrakt og skal ikke accepteres. 1. Hvem politikken gælder for Klinik for Manuel Medicin ApS, CVR 35858075, Dyssebakken 119, 6500 Vojens, er dataansvarlig for de personoplysninger, selskabet selv behandler om kunder, brugere og henvendelser til Klinikflow. Kontakt er niels@kfmm.dk og +45 53 88 49 83. Der er ikke udpeget en DPO. Klinikken er dataansvarlig for de patient- og medarbejderoplysninger, klinikken lægger i sin Klinikflow-konto. Klinikflow er databehandler for den behandling. Den er beskrevet i databehandleraftalen og gentages ikke her som Klinikflows eget formål. Klinikkens egen privatlivspolitik over for patienter er klinikkens dokument. Denne tekst er ikke den politik. 2. Hvilke oplysninger Klinikflow er dataansvarlig for Navn, e-mail, rolle og login for den ejer og de medarbejdere, der får adgang. Organisationens juridiske navn, CVR, adresse og abonnementsfaktura. Korrespondance til niels@kfmm.dk. Tekniske logoplysninger, som Klinikflow selv bruger til at drive og sikre tjenesten. Oplysningerne kommer fra den person, der opretter kontoen, fra organisationens administrator og fra brugen af tjenesten. Der profileres ikke, og der træffes ikke automatiske afgørelser med retsvirkning. Patientjournal, aftaler og patientens kontaktoplysninger behandles for klinikken efter databehandleraftalen. 3. Formål og behandlingsgrundlag Abonnement, adgang og fakturering behandles, fordi det er nødvendigt for at opfylde aftalen med kunden, databeskyttelsesforordningens artikel 6, stk. 1, litra b. Abonnementsfakturaer og det nødvendige identitetsgrundlag på fakturaen opbevares, fordi bogføringsloven kræver det, artikel 6, stk. 1, litra c. Sikkerhed, misbrugsforebyggelse, hændelseshåndtering og tekniske logfiler, som Klinikflow selv er dataansvarlig for, behandles som en berettiget interesse i at drive en sikker tjeneste, artikel 6, stk. 1, litra f. Interessen vejer tungere end den registreredes interesse i, at login og sikkerhedslog ikke føres, fordi uden dem kan adgangen ikke beskyttes. Henvendelser til niels@kfmm.dk behandles for at besvare dem, artikel 6, stk. 1, litra b, og for at kunne dokumentere et eventuelt krav, artikel 6, stk. 1, litra f. Samtykke er ikke grundlaget for de behandlinger. Oplysningerne bruges ikke til at sælge patientdata og ikke til reklame over for patienterne. 4. Modtagere De leverandører, der indgår i driften, står i databehandleraftalens bilag B med den status, bilaget giver dem. De verificerede Azure-ressourcer ligger i Sweden Central. Det indebærer ikke, at al databehandling sker i Sverige. Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, fungerer som proxy og sikkerhedslag foran det offentlige værtsnavn. Booking, personaleklient og API passerer proxien, så booking-, patient- og journaloplysninger kan indgå i forespørgsler, der går gennem Cloudflare. Den dokumenterede DPA version 6.4, gældende fra 3. april 2026, er tiltrådt; ejeren bekræftede tiltrædelsen 31. oktober 2026. SMS sendes til messaging.gatewayapi.eu, når SMS er slået til. messaging.gatewayapi.com bruges ikke. ONLINECITY.IO ApS' EU-databehandleraftale er accepteret den 24. september 2026 kl. 19.50 CEST af Niels Grib Christiansen (Niels@kfmm.dk). GatewayAPIs bilag C.2 udelukker særlige kategorier efter artikel 9; det forbehold og eventuelle tredjelandsoverførsler står, indtil de er afklaret. Simply.com A/S, CVR 29412006, kan sende transaktionsmail, når e-mail er slået til. Databehandleraftale version 1.8 er underskrevet for konto S590808 den 29. oktober 2026 kl. 08.13.05 af Niels Christiansen. e-conomic modtager fakturaoplysninger kun, når klinikken åbner sin egen regnskabsforbindelse. e-conomic er ikke databehandler for journalen. OpenAI er ikke en modtager efter denne politik. Der er ikke givet instruks om at sende personoplysninger til OpenAI. 5. Overførsel ud af EØS Der er ikke en generel instruks om overførsel til et tredjeland. Applikation, database, filer og hemmeligheder ligger i Sweden Central. Det indebærer ikke, at al databehandling sker i Sverige. GatewayAPI EU beskriver hosting i Tyskland og Finland og kræver dokumenteret instruks for overførsel til tredjelande; accept er dokumenteret, mens artikel 9 og eventuelle tredjelandsoverførsler står som forbehold. Simply.com DPA version 1.8 kræver som udgangspunkt behandling i EØS og er underskrevet for konto S590808. Cloudflares dokumenterede DPA version 6.4 tillader behandling uden for EU/EØS og indeholder EU-standardkontraktbestemmelser (SCC) og EU-US Data Privacy Framework; kontoens tiltrædelse er bekræftet af ejeren 31. oktober 2026. Det er ikke dokumenteret, om et Azure Front Door-kald behandles uden for EØS. De punkter er ikke registreret som fraværende overførsler. Det gælder alle personoplysninger, ikke kun journalen. 6. Opbevaring Login og rolle opbevares, mens personen har adgang, og indtil organisationens ophør er gennemført. Organisationens juridiske navn, CVR og adresse opbevares, mens kundeforholdet består, og derefter så længe de indgår i abonnementsfakturaer, der skal gemmes. Abonnementsfakturaer opbevares i 5 år fra regnskabsårets udgang som selskabets eget regnskabsmateriale efter bogføringsloven. Korrespondance til niels@kfmm.dk opbevares, så længe henvendelsen og et eventuelt krav kræver det. Tekniske sikkerhedslogfiler, som Klinikflow selv er dataansvarlig for, opbevares kun så længe de er nødvendige for at opdage og undersøge hændelser. En fast kalenderfrist for de logfiler er ikke sat i denne politik. Databasebackup opbevares i 7 dage som teknisk genopretning. Der er ikke en geografisk kopi. Backupfristen er ikke fristen for sletning efter databehandleraftalen. Patientoplysningernes opbevaring bestemmes af klinikken efter den journalføringslovgivning, der gælder for de sundhedspersoner, som fører journalen. Fristen afhænger af faggruppe og behandlingssted og er ikke den samme for alle. Klinikflow fastlægger ikke én fælles periode. Organisationens ejer kan hente organisationens samlede data. Eksport af én kliniks lokale aktivitet er ikke den eksport. 7. Sikkerhed De dokumenterede foranstaltninger er rollebaseret adgang, adskillelse mellem klinikker, krypteret forbindelse, krypteret journaltekst, de verificerede driftsressourcer i Microsoft Azure, Sweden Central, log over åbning af en journal og tofaktorgodkendelse. Placeringen i Sweden Central er ikke et løfte om, at al databehandling sker i Sverige. En isoleret gendannelse er gennemført 19. oktober 2026. Der loves ikke en certificering eller en årlig ekstern revisionserklæring. 8. Rettigheder Den registrerede kan anmode om indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet hos den dataansvarlige for den pågældende behandling. For patientoplysninger er det klinikken. For abonnement, login og leverandørens egen korrespondance er det Klinik for Manuel Medicin ApS, niels@kfmm.dk. Klage kan indgives til Datatilsynet, Danmark. Politikken skal ikke accepteres. Denne version er den gældende oplysning, indtil en ny version udgives. 9. Offentlige sider Denne politik beskriver Klinikflow-applikationen. Den beskriver ikke cookies eller formularer på de offentlige informationssider. De sider er ikke vært for journalen. 10. Ændringer En ændret politik er en ny version. Den gælder, når den er udgivet. En tidligere version dækker ikke den nye.