Personvernerklæring

1Behandlingsansvarlig og roller

2Rettslig grunnlag for behandling

Vi behandler dine personopplysninger basert på følgende rettslige grunnlag:

• Samtykke (GDPR art. 6(1)(a)): For ikke-nødvendige informasjonskapsler og markedsføring
• Kontraktoppfyllelse (GDPR art. 6(1)(b)): For å levere tjenesten og testresultater
• Berettiget interesse (GDPR art. 6(1)(f)): For teknisk drift, sikkerhet og forbedring av tjenesten
• Særlige kategorier helseopplysninger:
  • GDPR art. 9(2)(h): Når tester gjennomføres som del av helsehjelp under en behandlers ansvar og taushetsplikt
  • GDPR art. 9(2)(a): Når du selv tar en test direkte, behandler vi helseopplysningene basert på ditt uttrykkelige samtykke

3Hvilke personopplysninger vi behandler

3.1 Konto- og kontaktopplysninger (behandler)

• E-postadresse (for pålogging og kommunikasjon)
• Navn (for personalisering av kontoen)

3.2 Pasientopplysninger en behandler legger inn

Når en behandler oppretter et pasientkort, velger behandleren selv hvilke opplysninger som registreres — og kan bruke en egen referansekode i stedet for navn:

• Fornavn og etternavn (valgfritt)
• Fødselsdato (valgfritt)
• E-postadresse (valgfritt, for å sende testlenke)
• Kjønn (valgfritt)
• Egen referanse — en anonym kode behandleren selv velger (valgfritt)

Fullt fødselsnummer lagres aldri.

3.3 Helseopplysninger (særlige kategorier)

• Testresultater, skår og tolkninger fra psykologiske og psykiatriske tester
• Søvndagbok og relaterte helsemetrikker
• Symptomdata og selvrapporterte tilstander

3.4 Tekniske opplysninger

• IP-adresse (anonymisert etter 30 dager)
• Nettleserinformasjon og enhetstype
• Bruksmønstre og navigasjonsdata

4Formål med behandlingen

• Tjenesteutføring: Administrere testøkter, generere resultater, dele med behandlere
• Brukeropplevelse: Tilpasse grensesnitt, favoritter og testanbefalinger
• Sikkerhet: Autentisering, tilgangskontroll og beskyttelse mot misbruk
• Juridisk overholdelse: Oppfylle krav til lagring og rapportering av helsedata
• Forskning og utvikling: Forbedre testvaliditet og brukeropplevelse (kun anonymiserte data)

5Lagringstid

6Deling med tredjeparter

6.1 Databehandlere (GDPR art. 28)

• Supabase Inc.: Database og autentisering (databehandleravtale signert)
• Vercel Inc.: Webhosting og CDN
• Resend: Utsending av testlenker og varsler på e-post (kun testnavn, aldri resultater)
• Stripe Inc.: Betalingsbehandling for behandlerabonnement
• Google LLC: OAuth innlogging og Google Analytics for nettstatistikk (kun med ditt samtykke)
• Microsoft Corporation: Clarity analytics for brukeratferdsanalyse (kun med ditt samtykke)
• Meta Platforms Inc.: Meta Pixel for markedsføringsanalyse og annonsemåling (kun med ditt samtykke)

6.2 Helsepersonell

Testresultater deles kun med den behandleren som er involvert i din vurdering, via vår sikre delingsløsning (lenker og QR-koder med kryptografiske tokens som utløper). Når en behandler sender deg en test, rutes resultatet automatisk og kun tilbake til den behandleren.

6.3 Lovpåkrevd utlevering

Vi kan være forpliktet til å utlevere opplysninger til norske myndigheter ved lovkrav eller rettslig kjennelse.

6.4 Databehandlervilkår for behandlere

Når en behandler bruker Psyktest til å registrere pasienter og motta resultater, opptrer Lavamilk AS som databehandler etter GDPR art. 28. Vi behandler da pasientopplysningene kun etter behandlerens instruks og til avtalt formål, holder dem konfidensielle, sikrer dem i tråd med art. 32, bruker kun underdatabehandlerne nevnt over og varsler minst 30 dager før en ny underdatabehandler tas i bruk, bistår behandleren med å oppfylle pasientenes rettigheter, varsler behandleren uten ugrunnet opphold og senest innen 48 timer etter at vi er blitt kjent med et brudd på personopplysningssikkerheten, og sletter eller returnerer opplysningene senest 30 dager etter at avtaleforholdet opphører. Vi legger Normen for informasjonssikkerhet og personvern i helse- og omsorgssektoren til grunn for arbeidet vårt. Disse databehandlervilkårene er en del av bruksvilkårene og aksepteres når behandleren tar tjenesten i bruk. Virksomheter som trenger en signert databehandleravtale som eget dokument, kan få det ved å kontakte oss.

7Sikkerhetstiltak

• Kryptering: Alle data krypteres både under overføring (HTTPS/TLS) og ved lagring (AES-256)
• Tilgangskontroll: Row Level Security håndhever på databasenivå at hver behandler kun har tilgang til sine egne pasienter
• Sikker pålogging: Passordløs innlogging med engangskode på e-post eller Google-pålogging. Behandlere logges automatisk ut etter 12 timer uten aktivitet, og kan slå på valgfri tofaktorpålogging med autentiseringsapp. Hemmeligheten for tofaktor lagres kryptert hos Supabase i EU sammen med øvrige påloggingsdata; ingen telefonnummer samles inn
• Sikker deling: Testlenker bruker kryptografisk tilfeldige tokens som utløper, og kun en hash av tokenet lagres hos oss
• Dataminimering: Fullt fødselsnummer lagres aldri, og behandleren kan bruke en anonym referansekode i stedet for navn
• Løpende sikkerhetsarbeid: Kontinuerlig overvåking, oppdatering og styrking av sikkerhetstiltak

8Dine rettigheter etter GDPR

9Informasjonskapsler (cookies)

9.1 Nødvendige informasjonskapsler

Disse er nødvendige for at tjenesten skal fungere og krever ikke samtykke:

• Autentiseringsdata (innloggingsstatus)
• Sesjonsinformasjon og testfremgang
• Sikkerhets- og CSRF-beskyttelse

9.2 Valgfrie informasjonskapsler

Disse krever ditt samtykke og kan avslås:

• Brukerpreferanser og personalisering
• Microsoft Clarity for anonymisert brukeratferdsanalyse (session replays, heatmaps, klikkmønstre)
• Google Analytics for anonymisert nettstatistikk (sidevisninger, navigasjonsmønstre, enhetstyper)
• Meta Pixel for markedsføringsanalyse og måling av annonseeffektivitet
• Anonymiserte analysedata for tjenesteutvikling

9.3 Administrering av samtykke

Du kan når som helst endre eller trekke tilbake ditt samtykke til valgfrie informasjonskapsler via vår cookie-banner (vises ved første besøk) eller ved å slette informasjonskapsler i nettleserens innstillinger.

10Barns personvern

Tjenesten er ikke beregnet for barn under 13 år. For brukere mellom 13-18 år kreves samtykke fra foreldre eller foresatte. Vi samler ikke bevisst inn personopplysninger fra barn under 13 år uten foreldresamtykke. Dersom vi oppdager slike opplysninger, vil de bli slettet umiddelbart.

11Overføring til tredjeland

Pasientopplysninger lagres i Supabase sine datasentre i EU (Stockholm, Sverige), og Vercel leverer hosting og CDN innen EU/EØS. Support og drift kan innebære tilgang fra USA. Overføring til tredjeland skjer i henhold til EUs standard contractual clauses (SCCs) som sikrer tilstrekkelig beskyttelse av personopplysninger.

Google (OAuth) behandler kun nødvendige innloggingsdata og er underlagt adequacy decision for dataoverføring.

12Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen periodisk. Vesentlige endringer vil bli kommunisert til brukere via e-post eller på nettsiden. Sist oppdatert-dato vises øverst i dokumentet.

13Kontakt og klager