Personvernerklæring

Greppi er et verktøy der du kartlegger og dokumenterer dine egne symptomer i overgangsalderen. Det betyr at vi behandler helseopplysninger, den kategorien personopplysninger som har sterkest vern i loven. Denne erklæringen forklarer hva vi lagrer, hvorfor vi lagrer det, og hvilke rettigheter du har. Vi har skrevet den for å bli forstått, ikke for å gardere oss.

Hvem er ansvarlig

Euphoria House AS, Dronningens gate 30, 3211 Sandefjord, er behandlingsansvarlig for opplysningene som behandles i Greppi. Har du spørsmål om personvern, kontakter du oss på hei@greppi.no.

Hvilke opplysninger vi behandler

• Kontoopplysninger: navn, e-postadresse og passord (lagres kun som kryptografisk hash).
• BankID-innlogging: logger du inn med BankID, mottar vi navn, fødselsår og en varig, pseudonym identifikator fra BankID. Identifikatoren lagres kun som en saltet hash. Greppi ber ikke om og mottar ikke fødselsnummer fra BankID.
• Helseopplysninger du selv registrerer: symptomkartlegginger, daglige logger, målinger, syklus- og blødningsopplysninger, konsultasjonsagenda, tilleggssymptomer, behandlingsoversikt, opplevd effekt og bivirkninger av legemidler, frivillige oppfølgingsvalg, blodprøvesvar, dokumenter du legger i det private arkivet, og fritekst du skriver. Fritekst, svar, sykluskontekst, agenda, tilleggssymptomer, legemiddelopplevelser, dokumenttitler og originale filnavn lagres kryptert i databasen. Selve filene lagres privat.
• Automatisk avledede opplysninger: Greppi kan lage en foreløpig belastningsklasse fra MRS-summen og en foreløpig STRAW+10-fase fra blødningsmønsteret du har oppgitt. Behandlingstype kan brukes til tidspunkt for en oppfølging du selv har slått på. Resultatene kan ta feil og er ikke diagnose, behandlingsråd eller medisinsk vurdering.
• Tilgangslogg: sensitive tilganger, eksporter og endringer logges med bruker, tidspunkt og handling for sikkerhet og sporbarhet.
• Tekniske opplysninger: tidspunkt, enhetsidentifikator for varsler, IP-adresse og nødvendige sikkerhetslogger kan behandles for drift, misbruksvern og feilsøking.
• Betalingsopplysninger: selve betalingen håndteres av betalingsleverandøren du velger (Vipps eller kort via Stripe). Vi lagrer aldri kortnummeret ditt, kun status på abonnementet.

Hvorfor vi behandler dem

Helseopplysninger behandles utelukkende på grunnlag av ditt uttrykkelige samtykke (personvernforordningen artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a), som du gir ved registrering og kan trekke tilbake når som helst under Konto. Kontoopplysninger og betaling behandles for å oppfylle avtalen med deg (artikkel 6 nr. 1 bokstav b).

Automatisk faseplassering, scoreklasse og behandlingsbasert oppfølgingsrytme brukes bare for å strukturere visningen og påminnelser du selv har valgt. De avgjør ikke tilgang, pris, helsehjelp eller andre forhold med rettsvirkning. Du kan bruke grunnfunksjonene og dokumentet uten å legge en slik automatisk sammenstilling til grunn.

Når du selv lager en legekode, gir du mottakeren midlertidig, skrivebeskyttet tilgang til konsultasjonsopplysningene dine. Dette omfatter kartlegginger, daglige logger og egne notater, sykluskontekst, konsultasjonsspørsmål, behandling, oppfølging, prøvesvar og målinger. Navn, e-postadresse, fødselsdato og dokumentfiler tas ikke med. Egne notater vises slik du skrev dem og kan derfor inneholde opplysninger du selv har lagt inn. Koden utløper etter 24 timer, kan trekkes tilbake når som helst og gir ikke mottakeren rett til å endre opplysningene.

Forskning, bare hvis du vil

Du kan velge å bidra til kvinnehelseforskning. Det er et eget, frivillig samtykke som aldri er et vilkår for å bruke Greppi, og som du kan trekke tilbake når som helst under Konto. Sier du ja, kan opplysninger du har registrert inngå i anonymiserte, aggregerte datasett til forskningsformål: opplysningene bearbeides slik at de ikke lenger kan knyttes til deg, før de brukes. Trekker du samtykket, tas dataene dine ikke med i fremtidige uttrekk. Datasett som allerede er anonymisert, kan av natur ikke spores tilbake og dermed heller ikke hentes ut i etterkant. Konkrete forskningsprosjekter gjennomføres i tråd med gjeldende regler for helseforskning, med etisk forhåndsgodkjenning der loven krever det.

Hvordan vi beskytter dem

• All trafikk er kryptert (TLS). Helseopplysninger i fritekst, MRS-svar, sykluskontekst, agenda, tilleggssymptomer, blodverdiveiledning, dokumenttitler og originale filnavn, valgfritt apoteksted samt fødselsnummer er i tillegg kryptert i databasen.
• Primærlagringen av helseopplysningene er på egne servere i Norge.
• Opplastede dokumenter ligger utenfor det offentlige webområdet og kan bare lastes ned etter innlogging og eierkontroll.
• Tilgang er rollestyrt, og sensitive handlinger og tilganger logges.
• I mobilappen kan du i tillegg låse Greppi med Face ID eller Touch ID.

Hva vi aldri gjør

Vi selger ikke opplysningene dine. Vi viser ikke annonser og bruker ikke sporingsverktøy fra tredjeparter. Vi bruker ikke helseopplysningene dine til markedsføring. Greppi finansieres av abonnementet. Du betaler, og derfor er dataene dine aldri produktet.

Dine rettigheter

• Innsyn og dataportabilitet: du kan når som helst laste ned en maskinlesbar JSON-kopi av strukturerte opplysninger og dokumentmetadata under Konto. Genererte rapporter, egne opplastede filer og originale blodprøverapporter lastes ned i originalformat under Konto, også uten et aktivt abonnement (artikkel 15 og 20).
• Retting: du kan selv rette opplysningene dine i appen.
• Sletting: du kan slette kontoen selvbetjent under Konto. Da slettes helseopplysningene faktisk (artikkel 17). De blir ikke bare skjult. Sikkerhetskopier roteres og slettes deretter automatisk.
• Trekke samtykke: når som helst, uten begrunnelse, under Konto. Det gjelder også forskningssamtykket.
• Klage: du har rett til å klage til Datatilsynet dersom du mener vi behandler opplysningene dine i strid med regelverket.

Hvor lenge vi lagrer

Vi lagrer opplysningene så lenge du har en konto og formålet fortsatt gjelder. Sletter du kontoen, slettes helseopplysningene fra det aktive systemet. Krypterte sikkerhetskopier overskrives etter den dokumenterte rotasjonsperioden. Tilgangslogger beholdes bare så lenge det er nødvendig for sikkerhet, dokumentasjon og eventuelle rettslige krav.

Databehandlere og mottakere

Vi aktiverer bare leverandører etter sikkerhets- og personvernvurdering og med nødvendig avtalegrunnlag. De får ikke flere opplysninger enn det som er nødvendig for den avgrensede tjenesten de leverer. Dette er mottakerne og mottakerkategoriene Greppi kan bruke:

• Helsepersonell du velger: mottar konsultasjonsopplysningene når du selv oppretter og deler en tidsbegrenset legekode. Greppi registrerer at koden ble åpnet, men lagrer ikke mottakerens IP-adresse eller nettleser i denne tilgangsloggen.
• Drift og lagring: egne servere i Norge (Sandefjord) for konto- og helsedata.
• Vipps MobilePay AS (Norge): behandler betalingen din når du velger Vipps. Vipps er selvstendig ansvarlig for sin egen behandling av betalingsopplysninger.
• Stripe (Stripe Payments Europe Ltd., Irland): behandler kortbetalinger. Stripe kan overføre betalingsopplysninger til USA under EU-U.S. Data Privacy Framework og EU-kommisjonens standardkontrakter. Helsedata sendes aldri til Stripe.
• Idura (Stø) (Norge): formidler BankID-innloggingen. Ser identifiseringen, men aldri helsedataene dine.
• E-postleverandør: behandler e-postadresse og innholdet i nødvendige konto-, sikkerhets- og abonnementsmeldinger. Helsedata sendes ikke i e-post.
• Apple Push Notification service og Firebase Cloud Messaging: behandler en teknisk enhetsidentifikator når du slår på varsler. Varslene inneholder bare en generell beskjed, aldri symptom, behandling eller andre helsedata.
• Leverandør for blodprøveanalyse: når du laster opp en blodprøverapport i Blodprøver, sendes rapporten automatisk til den konfigurerte KI-leverandøren for klassifisering, strukturering og en forklaring. Når du velger «Les mer» for en verdi, sendes analysenavnet, svarverdien, enheten og laboratoriets referanse på nytt for å lage en mer detaljert forklaring. Den kan inneholde forsiktige forslag til mat og hverdagsvalg, tilskudd du kan avklare, og legemidler du kan spørre fastlegen om. Opplastingssiden informerer om dette før du velger fil. Funksjonen aktiveres for reelle brukerdata først etter databehandleravtale, overføringsvurdering og oppdatert leverandørinformasjon. Resultatet kan ta feil og er ikke en diagnose, et behandlingsråd eller en medisinsk vurdering.
• Apoteksøk: du kan frivillig lagre sted eller postnummer kryptert som en påminnelse. Det sendes ikke til DMP eller automatisk til apoteket. Når du selv åpner et eksternt apoteksøk, mottar apoteket legemiddelsøket og vanlig nettleserinformasjon etter sine egne personvernvilkår.

Hvis en leverandør innebærer behandling utenfor EØS, gjennomfører vi en egen overføringsvurdering og bruker et gyldig overføringsgrunnlag før den aktiveres. Oppdatert navn, behandlingssted og grunnlag skal fremgå her før leverandøren brukes med reelle brukerdata.

Endringer

Gjør vi vesentlige endringer i denne erklæringen, varsler vi deg i appen eller på e-post før endringene trer i kraft.