Her kan dere se hvilke leverandører vi bruker når vi drifter FlowDule for dere. For hver leverandør står det hva den gjør, hvilke opplysninger den får, hvor behandlingen skjer, og hva statusen er i dag. Listen hører sammen med Databehandleravtalen, og vi oppdaterer den når vi legger til eller bytter ut en leverandør.
1. Slik leses listen
#| Kategori | Betydning |
|---|---|
| Underdatabehandler | Behandler personopplysningene deres på våre vegne og etter instruksen deres. Vi har en databehandleravtale med parten, parten har tilsvarende avtaler med sine egne underleverandører, og dere godkjenner parten gjennom Databehandleravtalen. Vi følger løpende opp leverandøren. |
| Mottaker eller selvstendig behandlingsansvarlig | Bestemmer selv hele eller deler av formålet. Parten er derfor ikke vår underdatabehandler, og det kan gjelde et annet grunnlag, likesom dere kan måtte informere klientene deres særskilt. |
| Teknisk leverandør uten persondata | Leverer teknikk til plattformen uten å motta personopplysninger. |
2. Hva vi krever av en leverandør
#Før en leverandør behandler personopplysninger for dere, avtaler vi skriftlig med den hvilken rolle den har, hva opplysningene kan brukes til, hvilke opplysninger og hvilke personer det dreier seg om, hvilket teknisk oppsett som brukes, hvilke land behandlingen og enhver fjerntilgang skjer fra, hvilke underleverandører som finnes, hvor lenge opplysningene lagres, hvordan de sikres, hva grunnlaget er for en eventuell overføring utenfor EU og EØS, og hvordan vi kommer ut av avtalen igjen. Er ikke dette på plass, tar vi ikke leverandøren i bruk til oppgaven. Listen viser de leverandørene vi faktisk bruker.
3. Hosting og sentral infrastruktur
#Vi drifter produksjonen hos Kinsta (Sevalla) i Google Clouds datasentre. Det gjelder API-et, databasen og bookingsidene, og databasen ligger i Frankfurt. Webappen er et statisk nettsted hos Sevalla. Cloudflare står foran alle Sevalla-apper og leverer objektlagring av medier og databasebackup i Cloudflare R2 samt beskyttelse mot roboter.
| Leverandør og tjeneste | Formål og data | Region/overføring | Status |
|---|---|---|---|
| Kinsta (Sevalla) med Google Cloud-datasentre som underleverandør | Hosting av API, database og bookingsidene samt webappen som statisk nettsted; kundedata kan omfatte journal-/helseopplysninger. | Google Clouds datasentre; databasen ligger i regionen europe-west3 (Frankfurt). Eventuell overføring utenfor EU/EØS skjer etter leverandørens avtalevilkår. | Aktiv. Kjerneproduksjon. Databasen sikkerhetskopieres daglig til Cloudflare R2 med 30 dagers rotasjon. |
| Cloudflare, Inc., USA | Tre roller: edge og TLS foran alle Sevalla-apper (IP-, request- og trafikkdata); R2-objektlagring av medier (bilder, dikteringslyd, eksporter) og databasebackup; Turnstile-botkontroll på offentlige skjemaer (IP- og nettlesersignaler). | Globalt nettverk for edge og Turnstile; overføringsgrunnlag etter leverandørens avtalevilkår. | Aktiv. Turnstile lastes bare inn på de skjemaene som krever botbeskyttelse (booking, arrangementspåmelding, kontaktskjema og lagervarsel i nettbutikken). Cloudflare setter sikkerhetsinformasjonskapslene __cf_bm og cf_clearance på bookingsidene. |
Avtaleparten vår hos Amazon Web Services er Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg, sammen med de AWS-selskapene som inngår i det gjeldende avtalegrunnlaget. Vi bruker disse AWS-tjenestene i EU:
| Tjeneste | Formål og data | Region | Status |
|---|---|---|---|
| Cognito | Innlogging og brukeradministrasjon: navn, e-post, telefon, credentials/tokens. | EU | Aktiv. |
| SES | E-post: kontakt, mottaker, metadata og meldingsinnhold. | EU | Aktiv. Kun dataminimert innhold. |
| Amazon Bedrock med Anthropic Claude | Generativ dokumentasjonshjelp samt oversettelse av journal-, katalog- og tekstinnhold; prompt, journaltekst og output. | EU-inferensprofil | Aktiv. KI-funksjonene i journalen følger journalmodulen. Behandleren er ansvarlig for å lese og rette KI-utkast til dokumentasjon; det finnes ikke et særskilt godkjenningstrinn. |
| Amazon Transcribe | Diktering; lyd og transkripsjon, som kan være helseopplysninger. Lyden behandles via én dedikert transkripsjonsbøtte. | EU | Aktiv når kjeden bruker diktering. |
| Amazon Textract | OCR; dokumentbilder og tekst, som kan være helseopplysninger. | EU | Aktiv når kjeden bruker OCR. |
| AWS KMS | Nøkkelhåndtering for feltkryptering av journaldata. KMS mottar krypteringsnøkler, ikke journaltekst. | EU | Aktiv. |
| Amazon Translate | Oversettelse av supporthenvendelser og plattformmeldinger; teksten i henvendelsen eller meldingen. | EU | Aktiv kun for supporthenvendelser og plattformmeldinger. Journal, katalog og øvrig tekst oversettes via Bedrock. |
4. Øvrige underdatabehandlere og behandlingsleverandører
#| Leverandør/juridisk enhet | Rolle, formål og data | Land/overføring | Aktuell status |
|---|---|---|---|
| GatewayAPI / ONLINECITY.IO ApS, CVR 27364276, Danmark | Underdatabehandler for SMS; telefonnummer, avsender og meldingstekst. | Leverandørens .com-plattform, der meldingsdata oppbevares i EU (Google, Belgia). | SMS er aktiv. Meldingsinnholdet følger kjedens meldingsmaler; kjeden kan velge nøytrale meldinger uten klient- eller ytelsesnavn. |
| LiveKit Incorporated, USA | Videoinfrastruktur; session-id, pseudonym deltaker-id, visningsnavn, lyd/video og eventuelt chat i transitt. Det brukes ingen opptak, egress, agents eller inference. | USA. LiveKit Cloud sender hver sesjon til nærmeste server; behandlingen er ikke bundet til EU. Overføringsgrunnlag etter LiveKits databehandlertillegg (en del av LiveKits vilkår): EU-US Data Privacy Framework der LiveKit er sertifisert, ellers EUs standardkontraktsbestemmelser. | Aktiv for kjeder som slår på videomodulen. |
| 650 Industries, Inc. / Expo, USA | Push-formidling; device-token, plattform, enhetsnavn og varsel. Videre levering via Apple/Google. | USA/global leveringskjede. | Push er slått av i produksjonen; det sendes ingen push-meldinger. |
| Stripe Payments Europe, Limited / Stripe Technology Europe, Limited, Irland | FlowDule-abonnementer behandles separat på plattformkontoen. Kundens klientbetalinger er direct charges på kundens Stripe Express connected account; kunden er merchant. Data: kontakt, beløp, status og transaksjonsreferanse; ingen journaltekst. | Irland; eventuell support/underkjede etter Stripes avtalegrunnlag. | Aktiv. Stripe.js lastes inn på betalingstrinnene. Separate signerte plattform-/Connect-webhooks og refusjon med proporsjonal tilbakeføring av application fee er implementert. |
| Postcode.nl B.V. (Postcode.eu), Nederland | Adresseforslag i administrasjonen; virksomhets-, lokasjons- og arrangementsadressefragmenter, ikke journaldata. | Nederland. | Oppslag skjer via FlowDules egen proxy bak innlogging. |
5. Mottakere som ikke er FlowDules underdatabehandlere
#| Tjeneste | Rolle og data | Status/handling |
|---|---|---|
| Stripe ved kundens klientbetaling | Kunden er normalt merchant/avtalepart for egen Stripe-konto; Stripe kan være kundens databehandler eller ha egne lovbestemte formål. FlowDule er teknisk formidler. | Rollen og avtaleflyten vises i onboarding. Kunden skal ha egen avtale og informasjon. |
| CARTO/CartoDB | Kartfliser kan gi mottakeren de besøkendes IP- og nettleserdata; parten kan ha selvstendige formål. | Kart lastes først inn etter brukerens aktive klikk (click-to-load), og attribusjon vises. |
| Nominatim/OpenStreetMap Foundation | Geokoding kan sende klinikkadresse, IP og tekniske data til en ekstern mottaker. | Geokoding skjer via FlowDules egen proxy; nettleseren kaller ikke tjenesten direkte. |
| Apple og Google i push-kjeden | Operativsystemets push-tjenester mottar device-token og varsel. Deres presise rolle avhenger av plattformvilkårene. | Push er slått av i produksjonen. |
| Den europeiske sentralbanken | Offentlig valutakursfeed hentes server-side uten brukeropplysninger etter det beskrevne designet. | Behandler ikke personopplysninger om besøkende. |
| Usercentrics (samtykkebanner) | Viser samtykkebanneret og lagrer de besøkendes valg på FlowDules eget markedsføringsnettsted www.flowdule.com; IP- og nettleseropplysninger samt samtykkevalg. | Brukes kun på www.flowdule.com og mottar ingen kundedata fra plattformen. Mottaker for markedsføringsnettstedet, ikke underdatabehandler for kundedata. |
| Google Tag Manager (container GTM-5RCTVWXJ) | Laster inn tagger på FlowDules eget markedsføringsnettsted www.flowdule.com; IP- og nettleseropplysninger. | Brukes kun på www.flowdule.com og mottar ingen kundedata fra plattformen. Mottaker for markedsføringsnettstedet, ikke underdatabehandler for kundedata. Ikke-nødvendige tagger kan bare kjøre etter samtykke i banneret, se Policy for informasjonskapsler. |
6. Overføring utenfor EU og EØS
#Det meste blir i EU og EØS. Databasen ligger i Frankfurt, og AWS-tjenestene kjører i EU. Noen behandlinger skjer likevel utenfor EU og EØS:
- Video gjennom LiveKit. Hver sesjon går til nærmeste server, og behandlingen er ikke bundet til EU. Grunnlaget er LiveKits databehandlertillegg: EU-US Data Privacy Framework der LiveKit er sertifisert, ellers EUs standardkontraktsbestemmelser.
- Cloudflares edge og Turnstile. De kjører på et globalt nettverk, og grunnlaget følger Cloudflares avtalevilkår.
- Hosting hos Kinsta (Sevalla). En eventuell overføring skjer etter leverandørens avtalevilkår.
- Fjernsupport og tilgang fra en leverandørs konsern eller underleverandører. Den kan skje fra et land utenfor EU og EØS, også selv om opplysningene er lagret her.
Grunnlaget for en overføring er enten en beslutning fra EU-kommisjonen om at landet har et tilstrekkelig beskyttelsesnivå, EU-US Data Privacy Framework for den enheten som er sertifisert, eller EUs standardkontraktsbestemmelser med en overføringsvurdering, på engelsk transfer impact assessment, og de supplerende tiltakene som er nødvendige.
Deres egne innstillinger i plattformen utgjør sammen med Databehandleravtalen instruksen deres til oss, og de omfatter de overføringene som følger av de modulene dere har slått på, herunder video gjennom LiveKit.
7. KI-leverandørkjeden
#Vi bruker Anthropic Claude gjennom Amazon Bedrock i et oppsett som bare behandler i EU-regioner (EU-inferensprofil). Vi har derfor ikke et direkte databehandlerforhold til Anthropic, og det er Amazon Web Services vi har avtalen med. Hvilke opplysninger som sendes, står i tabellen i punkt 3.
KI-funksjonene i journalen er en del av journalmodulen og er tilgjengelige hvis dere har slått på journalmodulen. Det finnes ikke et særskilt trinn der dere slår på hver enkelt KI-funksjon. De fleste KI-resultater er utkast som en kompetent bruker skal gjennomgå før de lagres i journalen eller deles. Noen resultater godkjennes ikke enkeltvis, blant annet den automatiske notattilbakemeldingen til behandleren og maskinoversettelsen av delt innhold for klienten, se AI-informasjonen. Vi bruker ikke KI til diagnose, triage, behandlingsbeslutninger eller tilgang til ytelser, og dataene deres brukes ikke til å trene modeller og gjenbrukes ikke til andre formål.
8. Endringer, varsel og innsigelse
#Dere gir gjennom Databehandleravtalen en generell godkjenning av de underdatabehandlerne som står i den utgaven av denne listen dere har akseptert. Planlegger vi å legge til eller bytte ut en direkte underdatabehandler, varsler vi dere minst 30 dager før endringen trer i kraft.
Innen fristen kan dere fremme en innsigelse på privacy@flowdule.com. Innsigelsen skal være konkret og saklig begrunnet i personvern. Finner vi ikke en rimelig løsning sammen, kan dere si opp den berørte tjenesten etter Databehandleravtalen. Endringer lenger ned i kjeden følger vi med på, og vi forteller dere om dem når endringen har vesentlig betydning for behandlingen, risikoen, regionene eller instruksen deres.
Trust Center forklarer sikkerhet og GDPR på vanlig språk: Gå til Trust Center. Alle gjeldende dokumenter har dato og versjon: Se alle dokumenter.