Personvernerklæring for Maja.no

1. Om Maja.no og Doktor.no AS

Maja.no er en tjeneste som tilbyr digital helsehjelp. Gjennom Maja.no kan du få legekonsultasjoner og motta råd, diagnostikk, behandling og få resepter basert på opplysninger som du gir oss. Helsehjelpen ytes av Doktor.no AS, org.nr. 934887433 (heretter “Doktor.no AS”, “vi” eller “oss”). Den tekniske plattformen som Maja.no er bygget på (heretter “Plattformen”) tilbys av Doktorse Nordic AB, org.nr. 559058-0089 (“Doktorse Nordic”), som er et søsterselskap av Doktor.no AS.

I denne personvernerklæringen vil du finne alt du trenger å vite om hvordan vi behandler dine personopplysninger ved bruk av Maja.no. Vi vil fortelle deg hvilke opplysninger vi samler inn, hvordan vi bruker dem til å levere innhold og tjenester, og hvilke valg samt rettigheter du har i denne prosessen.

Ta gjerne kontakt med vårt personvernombuddersom du har spørsmål om vår behandling av dine personopplysninger eller dine rettigheter.
E-post: dataskyddsombud@doktor.se 

Har du andre spørsmål må du gjerne kontakte oss på hei@maja.no.

2. Ansvaret for behandling av personopplysninger

Ansvaret for behandling av personopplysninger ved bruk av Maja.no reguleres av personvernforordningen (GDPR) og personopplysningsloven. Doktor.no AS er behandlingsansvarlig for all behandling av person- og helseopplysninger som skjer i forbindelse med din bruk av Maja.no og Plattformen, herunder føring av pasientjournal. Det betyr at Doktor.no AS har hovedansvaret for at behandlingen av dine person- og helseopplysninger er i samsvar med gjeldende regelverk.

Doktorse Nordic tilbyr og drifter den tekniske Plattformen på vegne av Doktor.no AS, herunder behandling av tekniske opplysninger om din bruk av Plattformen, som enhetsinformasjon, IP-adresse og opplysninger om hvordan Plattformen brukes. Doktorse Nordic behandler disse opplysningene på vegne av og etter instruks fra Doktor.no AS, og opptrer i denne sammenheng som databehandler for Doktor.no AS. Doktor.no AS og Doktorse Nordic har inngått en databehandleravtale som regulerer dette forholdet. Krav om innsyn i pasientjournal rettes til Doktor.no AS.

3. Innsamling og bruk av personopplysninger

A) Generelt om innsamling av personopplysninger

Når du bruker Maja.no for å få helsehjelp samler vi inn opplysninger om din helsetilstand og andre relevante forhold som alder og kjønn ved at du svarer på spørsmålene i nettløsningen vår. Vi stiller kun spørsmål som er nødvendige og relevante i forhold til tjenestene vi leverer til deg. Det er frivillig å svare på spørsmålene, men dersom du ikke gir oss tilstrekkelig informasjon vil vi ikke kunne levere helsetjenester til deg.

B) Tilby helsehjelp og oppfylle våre rettslige forpliktelser som helsevirksomhet

Vi bruker personopplysningene dine, inkludert de tekniske opplysningene om din bruk av Plattformen, for å tilby deg helsetjenester, stille medisinske diagnoser og føre pasientjournal.Det rettslige grunnlaget for behandlingen av personopplysninger for dette formålet er at behandlingen er nødvendig for å kunne tilby deg helse- og omsorgstjenester og for at vi skal kunne oppfylle våre lovpålagte forpliktelser som helsevirksomhet. Dette innebærer blant annet at vi er forpliktet til å føre journalom helsehjelpen du mottar. 

Pasientjournalen oppbevares så lenge det er nødvendig av hensyn til helsehjelpens karakter, i samsvar med gjeldende norsk lovgivning. Når det ikke lenger er behov for opplysningene, slettes de, med mindre opplysningene skal bevares i henhold til arkivloven eller annen lovgivning.

C) Bruk av personopplysninger for å levere tjenester og varer.

Vi behandler personopplysninger for å levere varer og tjenester til deg. Dette inkluderer innsamling og bruk av helseopplysninger og annen informasjon som vi formidler til den behandlende legen for å kunne yte helsehjelp i tråd med avtalen vi har inngått med deg. Når vi yter helsehjelp tar vi i bruk Plattformen, som er utviklet og tilbys av vårt søsterselskap Doktorse Nordic AB. Plattformen består av avanserte algoritmer for å gi legen din best mulig informasjon slik at de kan gi deg god og effektiv helsehjelp. Det rettslige grunnlaget for denne behandlingen er å oppfylle avtalen med deg, jf. GDPR artikkel 6 (1) (b) og artikkel 9 (2) (h).

D) Bruk av personopplysninger for lovbestemte formål

Vi behandler personopplysninger for å oppfylle plikter vi er pålagt ved lov. Dette omfatter plikt å føre regnskap, jf. bokføringsloven § 2 og plikt til å ivareta informasjonssikkerheten, jf. GDPR artikkel 32 og pasientjournalloven 22. Det rettslige grunnlaget for denne behandlingen er å oppfylle lovkrav, jf. GDPR artikkel 6 (1) (c) og artikkel 9 (2) (h).

F) Bruk av personopplysninger for markedsføring

Vi behandler enkelte opplysninger for markedsføringsformål. Dette omfatter ikke helseopplysninger du har gitt oss, men vi vil for eksempel kunne sende deg en påminnelse på e-post dersom du har startet, men ikke fullført, en bestilling hos oss (“abandonedcart”). Vi vil også kunne bruke cookies for markedsføringformål, eksempelvis for å kunne vise markedsføring til deg på sosiale medier. Det rettslige grunnlaget for denne behandlingen er samtykke eller vår berettigede interesse i å markedsføre våre tjenester, jf. GDPR artikkel 6 (1) (a) og (f), avhengig av hva slags markedsføring det er snakk om.

G) Bruk av personopplysninger for statistikk og analyse

Doktor.no AS samler også inn samlede opplysninger om bruk av Maja.no for å utarbeide statistikk og analyser. Dette bruker vi for å forbedre tjenestene våre, eksempelvis for å forstå hvilke lenker brukerne klikker på eller utvikle løsninger som er tilpasset mobiltelefoner mange av våre brukere har. Vi har innført tekniske tiltak for å forhindre at vi samler inn helseopplysninger om identifiserbare personer for dette formålet.

Det rettslige grunnlaget for behandlingen er vår berettigede interesse i å forstå bruken av våre tjenester, jf GDPR artikkel 6 (1) (f).

***

Vi vil unntaksvis kunne behandle dine personopplysninger for andre lovbestemte formål (eksempelvis ved pålegg fra domstolene, politiet eller andre såfremt slike pålegg går foran taushetsplikten i helsepersonelloven), eller hvis utleveringen er nødvendig for å ivareta våre berettigede interesser i forbindelse med virksomhetsoverdragelse eller i å avklare, forsvare eller etablere rettskrav. Vi vil varsle deg om slik behandling så fremt dette er rimelig og praktisk mulig.

4. Deling og overføring av personopplysninger

Vi bruker underleverandører som hjelper oss med å oppfylle avtalen vi har med deg eller utføre andre gjøremål på våre vegne. Disse underleverandørene får kun tilgang til informasjon som er nødvendig for oppdraget de utfører for oss. For å ivareta ditt personvern er slike underleverandører kontraktsmessig forpliktet til ikke å bruke opplysninger til andre formål enn for å utføre oppdraget for oss, til å slette data når oppdraget er utført samt å ha både tekniske og organisatoriske tiltak for å beskytte opplysninger mot uautorisert bruk og innsyn.

Utover dette vil vi kun utlevere personopplysninger om deg til tredjeparter i lovbestemte tilfeller (eksempelvis ved pålegg fra domstolene, politiet eller andre), eller hvis utleveringen er nødvendig for å ivareta våre berettigede interesser i forbindelse med virksomhetsoverdragelse eller i å avklare, forsvare eller etablere rettskrav.

5. Hvor vi behandler personopplysningene dine

Dine pasientopplysninger behandles alltid innenfor EU/EØS.

Vi har som mål å alltid behandle dine øvrige personopplysninger, slik som tekniske opplysninger om din bruk av Plattformen, innenfor EU/EØS, hvor alle våre egne IT-systemer er lokalisert. Det kan imidlertid forekomme at slike personopplysninger deles med våre leverandører som enten selv, eller gjennom underleverandører, er etablert i eller lagrer informasjon i et land utenfor EU/EØS, nærmere bestemt USA. I slike tilfeller vil vi iverksette alle rimelige juridiske, organisatoriske og tekniske tiltak som kreves for å sikre at beskyttelsesnivået for behandlingen tilsvarer det som gjelder innenfor EU/EØS. Et slikt beskyttelsesnivå foreligger blant annet dersom det aktuelle landet allerede sikrer et tilstrekkelig beskyttelsesnivå i henhold til en beslutning fra EU-kommisjonen, eller ved at vi benytter andre egnede beskyttelsestiltak, slik som standard personvernbestemmelser (sammen med ytterligere sikkerhetstiltak) eller godkjente atferdsnormer i våre avtaler med slike leverandører.

Du kan lese mer om hvilke tredjeland EU-kommisjonen har vurdert til å ha et tilstrekkelig beskyttelsesnivå på "Data protection in the EU".

Hvis du ønsker mer informasjon om beskyttelsestiltak ved overføring til tredjeland, kan du kontakte personvernombudet på dataskyddsombud@doktor.se.

6. Dine rettigheter

I dette avsnittet beskrives hvilke rettigheter du har som registrert. Du kan gjøre disse rettighetene gjeldende ved å kontakte oss på hei@maja.no eller vårt personvernombud på dataskyddsombud@doktor.se.

Retten til innsyn, din journal og informasjon om tilgang til dine personopplysninger

Du har rett til å få vite hvilke personopplysninger vi behandler om deg, og du kan be om innsyn i opplysningene. Informasjonen vil normalt bli gitt i form av et registerutdrag som angir hvilke personopplysninger vi behandler om deg, sammen med informasjon om blant annet hvilke formål vi behandler opplysningene for, hvor opplysningene er innhentet fra, hvilke mottakere eller kategorier av mottakere opplysningene eventuelt er utlevert til, og hvor lenge opplysningene vil bli lagret.

For pasientjournalen gjelder i tillegg særskilte regler om innsyn. Du har som hovedregel rett til innsyn i pasientjournalen og rett til kopi av journalen med bilag. Innsynet kan i enkelte tilfeller begrenses dersom lovens vilkår for dette er oppfylt, f.eks. dersom dette er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade for deg.

Du har også rett til informasjon om hvem som har gjort oppslag i eller hatt tilgang til pasientjournalen din, herunder informasjon fra tilgangsloggen,i den grad det følger regelverket.

Retten til retting

Du har rett til uten ugrunnet opphold å få rettet personopplysninger om deg som er uriktige. Du har også rett til å få supplert ufullstendige personopplysninger.

For opplysninger i pasientjournalen gjelder i tillegg særskilte regler. Helsepersonell skal av eget initiativeller på anmodning rette opplysninger som er uriktige, mangelfulle eller uberettige. Dersom et krav om retting av journalopplysninger avslås, kan avgjørelsen påklages til Statsforvalteren.

Retten til å sperre eller begrense tilgang til helseopplysninger

For helseopplysninger gjelder det i tillegg særskilte regler om å sperre tilgangen til opplysningene. Du kan i enkelte tilfeller sperre hele eller deler av journalen eller begrense helsepersonell sin tilgang til helseopplysninger, blant annet gjennom ordninger for deling av helseopplysninger.

Det gjelder særlige regler og unntak for tilgang til sperrede opplysninger, blant annet i situasjoner hvor helsepersonell trenger tilgang for å yte helsehjelp.

Retten til sletting

Du har under visse omstendigheter rett til å få personopplysninger om deg slettet. Dette kan blant annet gjelde dersom personopplysningene ikke lenger er nødvendige for formålet de ble samlet inn eller behandlet for, dersom behandlingen bygger på ditt samtykke og du trekker samtykket tilbake, dersom du har protestert mot behandlingen og protesten tas til følge, dersom personopplysningene er behandlet ulovlig, eller dersom opplysningene må slettes for å oppfylle en rettslig forpliktelse.

Retten til sletting er ikke absolutt. Det kan blant annet finnes lovbestemte unntak som innebærer at vi har rett eller plikt til å beholde opplysningene. Vi vil informere deg dersom et slikt unntak gjelder i ditt tilfelle.

For opplysninger som inngår i pasientjournalen, gjelder i tillegg særskilte regler om sletting. Det gjelder blant annet krav om at slettingen er ubetenkelig ut fra allmenne hensyn, ikke strider mot relevante arkivregler, og at opplysningene enten er feilaktige eller misvisende og føles belastende, eller åpenbart ikke er nødvendige for å gi pasienten helsehjelp.

Krav om sletting av journalopplysninger må rettes til den som har ansvaret for journalen. Dersom kravet avslås, kan avgjørelsen påklages til Statsforvalteren.

Retten til begrensning av behandling

Du har rett til å kreve begrensning av behandlingen av dine personopplysninger i de tilfeller som følger av gjeldende personvernlovgivning. Retten til begrensning kan blant annet gjøres gjeldende dersom du bestrider riktigheten av personopplysningene, i den perioden som er nødvendig for at vi skal kunne kontrollere opplysningenes riktighet.

Retten til begrensning gjelder også dersom behandlingen av personopplysningene er ulovlig, og du motsetter deg sletting av opplysningene og i stedet krever at bruken av dem begrenses. Videre kan du kreve begrensning dersom vi ikke lenger har behov for personopplysningene, men du trenger opplysningene for å fastsette, gjøre gjeldende eller forsvare et rettskrav.

Dersom du har protestert mot behandlingen av personopplysningene, kan du dessuten kreve begrensning av behandlingen i den perioden som er nødvendig for å kontrollere om våre berettigede grunner for behandlingen går foran dine interesser, rettigheter og friheter.

Retten til å protestere

Du har rett til å protestere mot behandling av personopplysninger som skjer på grunnlag av våre berettigede interesser.

Dersom du protesterer, må vi stanse behandlingen med mindre vi kan påvise tvingende berettigede grunner for behandlingensom går foran dine interesser, rettigheter og friheter, eller at behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Dersom personopplysningene behandles for direkte markedsføring, har du en ubetinget rett til å protestere mot behandlingen for slike formål.

Retten til dataportabilitet

Om vi behandler personopplysningene dine med grunnlag i en avtale med deg eller ditt samtykke, har du rett til å få utlevert de personopplysningene du har gitt til oss, og som gjelder deg, i et elektronisk format som er vanlig å bruke, når dette er teknisk mulig og behandlingen skjer på automatisert måte. Du har, når det er aktuelt, rett til å overføre slike opplysninger til en annen behandlingsansvarlig (dataportabilitet).

Retten til å klage

Datatilsynet er tilsynsmyndighet for behandling av personopplysninger i Norge. Dersom du mener at vi behandler personopplysningene dine i strid med personvernregelverket, kan du, i tillegg til å kontakte oss, klage til Datatilsynet.

For avslag på krav om retting eller sletting av opplysninger i pasientjournalen gjelder særskilte klageregler. Slike avgjørelser kan påklages til Statsforvalteren, se nærmere omtale ovenfor.

Dersom du har spørsmål eller synspunkter, er du velkommen til å kontakte oss på hei@maja.no eller dataskyddsombud@doktor.se.

7. Sikkerhet ved behandlingen av personopplysninger

Vi har implementert nødvendige sikkerhetstiltak for å sikre at dine personopplysninger blir behandlet på en sikker måte som sikrer opplysningens konfidensialitet, integritet og tilgjengelighet. Sikringstiltakene skal også beskytte opplysningene mot uautorisert eller ulovlig behandling, samt mitigere risikoen for tap, utilsiktet endring, uautorisert spredning eller tilgjengeliggjøring.

8. Endringer i personvernerklæringen

Denne personvernerklæringen kan endres over tid. Vi oppfordrer deg til regelmessig å gjennomgå erklæringen for å være oppdatert om hvordan vi samler inn, bruker og beskytter dine opplysninger.