Personvernserklæring for Legebiblioteket

1. Behandlingsansvarlig

Legebiblioteket
Organisasjonsnummer: 933 501 280

Legebiblioteket er behandlingsansvarlig for personopplysninger som samles inn gjennom Legebiblioteket (www.legebiblioteket.no). Har du spørsmål om hvordan vi behandler dine personopplysninger, kan du kontakte oss på personvern@legebiblioteket.no.

2. Hvilke personopplysninger vi behandler

Vi behandler ulike opplysninger avhengig av din rolle på plattformen:

For pasienter (brukere som bestiller time):

• Navn, e-postadresse og telefonnummer ved registrering

• Bookingopplysninger: valgt behandler, dato og tidspunkt

• Anmeldelser du skriver etter gjennomførte konsultasjoner

For behandlere (som søker om profil):

• Navn, e-postadresse og telefonnummer

• HPR-nummer (Helsepersonellregisteret)

• Fødselsdato, innhentet via Vipps Login ved verifisering mot Helsepersonellregisteret (HPR).

• Faglige kvalifikasjoner, spesialiseringer, profilbeskrivelse og portrettbilde

• Konsultasjonsdetaljer: pris, varighet, ukentlig timeplan og eventuell hjemmebesøksradius

For alle besøkende:

• Aldersgrense: tjenesten er åpen for personer over 18 år.

• Teknisk informasjon som IP-adresse, nettlesertype og operativsystem gjennom informasjonskapsler. Se vår cookiepolicy for detaljer.

• Opplysninger du oppgir i kontaktskjemaet (navn, e-post, eventuelt telefonnummer og melding). Disse sendes som e-post til vår kundestøtte og lagres ikke i vår database.

• Skjemautkast lagres midlertidig i nettleseren din (localStorage) slik at du kan fortsette der du slapp. Disse dataene sendes ikke til våre servere og slettes ved utlogging.

For behandlere som er oppført på en klinikks nettside:

• Navn og korte beskrivelser oppsummert fra klinikkens egne offentlige nettsider. Beskrivelsene vises sammen med en synlig lenke til kilden. Se punkt 5 for behandlingsgrunnlag, oppstrøms reservasjon og hvordan du kan be om at en beskrivelse fjernes.

3. Behandlingsgrunnlag

Vi behandler personopplysninger med følgende rettslige grunnlag (GDPR art. 6):

• Avtale (art. 6 nr. 1 bokstav b): Behandling som er nødvendig for å oppfylle avtalen med deg — registrering, booking av timer, administrasjon av behandlerprofiler.

• Berettiget interesse (art. 6 nr. 1 bokstav f): For å sikre at behandlere som tilbyr timebestilling på plattformen har gyldig autorisasjon og spesialistgodkjenning, samt for feilsøking og sikkerhet. Dette grunnlaget dekker også korte beskrivelser hentet fra klinikkenes egne nettsider — se punkt 5 for detaljer og hvordan du kan be om at en beskrivelse fjernes.

• Samtykke (art. 6 nr. 1 bokstav a): For elektronisk markedsføring, og for behandling av helseopplysninger som følger av din timebestilling — for eksempel hvilken spesialist du velger (art. 9 nr. 2 bokstav a). Du kan når som helst trekke samtykket tilbake.

4. Verifisering mot offentlige registre

Autorisasjons- og spesialistinformasjon hentes fra Helsepersonellregisteret (HPR), et offentlig register eid av Helsedirektoratet. Vi bruker dette til å verifisere at behandlere har gyldig autorisasjon og relevant spesialistgodkjenning. Klinikk- og organisasjonsinformasjon, som adresser, hentes fra Brønnøysundregistrene og klinikkenes egne offentlige nettsider (se punkt 5). Alle opplysninger vi henter og viser er offentlig tilgjengelige.

5. Opplysninger fra klinikkenes egne nettsider

Vi henter offentlig tilgjengelig informasjon fra klinikkenes egne nettsider — for eksempel navn, en beskrivelse av klinikken eller behandleren og kontaktinformasjon — for å gjøre lisensiert helsepersonell lettere å finne. Innholdet vises sammen med en lenke til kilden, og oppdateres eller fjernes når kildesiden endres eller forsvinner. Behandlingsgrunnlaget er berettiget interesse (se punkt 3).

Vi respekterer reservasjonssignaler i kildesidens HTTP-svar og <meta>-tagger. Angir en side noai, noimageai, noindex eller W3C TDM Reservation Protocol (tdm-reservation: 1), utelater vi den automatisk ved neste kjøring.

Er du behandler eller representant for en klinikk og ønsker at informasjon ikke vises på Legebiblioteket, kan du sende en e-post til personvern@legebiblioteket.no med kildelenken (og HPR-nummer om aktuelt). Vi svarer innen 30 dager.

6. Databehandlere og tredjeparter

Vi bruker underleverandører (databehandlere) som behandler personopplysninger på våre vegne — blant annet til drift og hosting, database og fillagring, e-post- og SMS-utsending, innlogging, botbeskyttelse og feilsøking. Vi har inngått databehandleravtaler med alle, og de kan kun behandle opplysningene etter våre dokumenterte instrukser og til de formålene vi bestemmer.

Vi selger ikke personopplysninger, og vi deler dem ikke med tredjeparter for deres egne formål.

7. Overføring til land utenfor EØS

Som hovedregel behandler og lagrer vi personopplysninger innenfor EU/EØS. I enkelte tilfeller kan opplysninger overføres til databehandlere i USA. Slike overføringer skjer på grunnlag av EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå (EU-US Data Privacy Framework) og/eller EUs standardkontrakter (Standard Contractual Clauses).

8. Lagringstid

Vi lagrer personopplysninger så lenge det er nødvendig for formålet de er samlet inn for, eller så lenge vi er lovpålagt å lagre dem:

• Brukerkontodata: Lagres så lenge du har en aktiv konto. Ved sletting av kontoen slettes opplysningene, senest innen 6 måneder, med mindre vi er lovpålagt å beholde dem lenger.

• Booking- og anmeldelsesdata: Lagres i 3 år etter gjennomført konsultasjon (foreldelsesloven).

• Fritekst i eventuell dialog med behandler: Opplysninger du måtte oppgi i fritekst, som kan inneholde helseopplysninger, slettes innen 12 måneder.

• Behandlerprofiler: Lagres så lenge behandleren har aktiv profil på plattformen. Fjernes ved forespørsel.

• Katalogopplysninger fra offentlige kilder og klinikksider: Lagres så lenge behandleren er oppført i Helsepersonellregisteret, og fjernes ved uttreden av registeret eller ved innsigelse (se punkt 5).

• Markedsføring: Kontaktopplysninger brukt til markedsføring lagres til du trekker samtykket tilbake.

• Feillogger (Sentry): Slettes automatisk etter 90 dager.

9. Dine rettigheter

Etter GDPR har du følgende rettigheter:

• Innsyn — be om kopi av personopplysningene vi har om deg

• Retting — be om at uriktige opplysninger korrigeres

• Sletting — be om at dine opplysninger slettes

• Begrensning — be om at behandlingen begrenses

• Dataportabilitet — motta dine opplysninger i et maskinlesbart format

• Innsigelse — protestere mot behandling basert på berettiget interesse

• Tilbaketrekking av samtykke — der behandlingen er basert på samtykke, kan du når som helst trekke dette tilbake uten at det påvirker lovligheten av behandling som allerede er utført

Vi treffer ingen beslutninger som utelukkende er basert på automatisert behandling (GDPR art. 22).

Send oss en e-post på personvern@legebiblioteket.no eller bruk kontaktskjemaet for å utøve dine rettigheter. Vi svarer innen 30 dager.

10. Klagerett

Dersom du mener at vår behandling av personopplysninger ikke er i samsvar med regelverket, har du rett til å klage til Datatilsynet. Se datatilsynet.no for mer informasjon.

11. Informasjonssikkerhet

Vi implementerer tekniske og organisatoriske tiltak for å beskytte dine personopplysninger, herunder kryptering av data ved lagring og i overføring, tilgangsstyring basert på roller, og sikker autentisering via Firebase Auth og Vipps.

12. Endringer

Vi kan oppdatere denne personvernserklæringen ved behov. Vesentlige endringer varsles på nettsiden og ved e-post til registrerte brukere. Datoen øverst viser siste oppdatering.