Psykflow er et journalsystem for psykologer og andre behandlere i privat praksis. Denne erklæringen forklarer hvilke opplysninger vi behandler, hvorfor, og hva du kan kreve.
Psykflow har to ulike roller, og det avgjør hvem du skal henvende deg til.
Er du behandler og kunde hos oss, er Psykflow behandlingsansvarlig for kontoen din. Del 1 gjelder deg.
Er du pasient, er det klinikken din som er behandlingsansvarlig for journalen din. Psykflow er databehandler og oppbevarer opplysningene på klinikkens instruks — vi bestemmer ingenting om dem selv. Del 2 forklarer hva som skjer teknisk, men rettighetene dine retter du mot klinikken.
| Opplysning | Hvor den kommer fra | Hvorfor |
|---|---|---|
| Navn | BankID, eller skrevet inn av deg | Identifisere deg i systemet og i journalene du fører |
| Fødselsnummer | BankID | Knytte innloggingen din til rett brukerkonto med sikkerhet |
| E-postadresse og telefonnummer | Deg | Kontakt, varsler og gjenoppretting av konto |
| HPR-nummer, HER-id, profesjon | Deg | Kreves for takstbruk, rapportering og meldingsutveksling i helsetjenesten |
| Arbeidstider og fridager | Deg | Timebok og online booking |
| Innloggingstidspunkt og øktinformasjon | Automatisk | Sikkerhet og feilsøking |
| Oppslag i pasientopplysninger | Automatisk | Tilgangslogg — lovpålagt, og klinikkens dokumentasjon |
Når du logger inn med BankID, får vi fødselsnummeret ditt utlevert. Det brukes til én ting: å knytte innloggingen til rett brukerkonto. Vi bruker det ikke til å slå deg opp i andre registre, og vi deler det ikke videre.
Grunnlaget er personopplysningsloven § 12 — fødselsnummer kan behandles når det er saklig behov for sikker identifisering og metoden er nødvendig. Tilgang til pasientjournaler krever sikkerhetsnivå «høyt», og navn og fødselsdato er ikke entydig i en norsk befolkning.
Vi ber ikke om samtykke til dette, og det er med hensikt: et samtykke kan trekkes tilbake, og da ville tilgangen til journalsystemet falt bort midt i et behandlingsforløp. Grunnlaget er nødvendighet, ikke samtykke.
Sier du opp, sletter vi klinikkens data — journaler inkludert — etter en frist som løper fra opphørsdatoen:
| Situasjon | Slettes etter |
|---|---|
| Ingen betaling er gjennomført | 30 dager |
| Minst én betaling er gjennomført | 60 dager |
Du får to varsler underveis om å laste ned dataene dine, det siste 14 dager før slettedatoen. Eksporten ligger i appen og er din å ta ut når som helst.
Vi oppbevarer ikke journaler etter at kundeforholdet er avsluttet. Plikten til å oppbevare pasientjournaler følger den behandlingsansvarlige — altså deg som behandler — og gjelder din egen kopi. Psykflow er databehandler og skal ikke sitte på materialet lenger enn avtalen gir grunnlag for.
Regnskapsmateriale er unntaket: fakturaer og bilag beholdes i fem år etter bokføringsloven § 13. Det er en rettslig forpliktelse vi ikke kan fravike, og den gjelder økonomiske opplysninger — ikke journalinnhold.
Sikkerhetskopier slettes i tråd med ordinær rullering, og senest 30 dager etter slettingen.
Journalen din tilhører klinikken du er pasient hos. Klinikken er behandlingsansvarlig og bestemmer hva som skal registreres og hvor lenge det skal oppbevares. Psykflow leverer systemet og oppbevarer opplysningene på klinikkens instruks.
Vil du ha innsyn, retting eller sletting, kontakter du klinikken din. Vi kan ikke behandle slike krav på egen hånd — det ville vært å overprøve behandlingsansvarlig.
Du logger inn med BankID. Vi får fødselsnummeret ditt utlevert og bruker det til å finne fram til riktig pasientkort. Navnet fra BankID sammenliknes med navnet på kortet som en kontroll — det er det eneste som kan avsløre at et pasientkort er registrert med feil fødselsnummer.
Stemmer ikke navnet, kobles du ikke, og klinikken får beskjed i sin egen logg. Da må du ta kontakt med klinikken. Vi opplyser ikke om det finnes et slikt kort eller hvor — det ville vært å røpe noe om en annen persons forhold til en klinikk.
Psykflow bruker underleverandører til drift, lagring og utsending. Alle behandler personopplysninger på våre eller klinikkens vegne, alle er bundet av databehandleravtale, og all behandling skjer innenfor EU/EØS.
| Kategori | Hva de gjør | Sted |
|---|---|---|
| Database og drift | Lagring av journal, brukerkontoer og filer; drift av applikasjonen | Frankrike |
| AI-tjenester | Forslag til tekst, transkripsjon av lyd, oppsummering | EU |
| Sikkerhetskopi | Kryptert kopi av databasen, uavhengig av driftsleverandøren | Sverige |
| Utsending | E-post, SMS og digital post til deg og til pasienter | EU og Norge |
| Videokonsultasjon | Videorom for timer som holdes digitalt | EU |
| Betaling | Abonnement og fakturering | EU |
Den fullstendige oversikten med leverandørnavn og behandlingssted er en del av databehandleravtalen og fås på forespørsel til personvern@psykflow.com.
Innloggingen går gjennom Idura, som formidler BankID på vegne av Stø AS. Idura er ikke vår databehandler: de opptrer som selvstendig behandlingsansvarlig for selve autentiseringen, under sine egne forpliktelser. De behandler altså ikke opplysningene dine på vår instruks, og du finner deres egen personvernerklæring på nettsidene deres.
Det Psykflow mottar fra dem er fødselsnummer og navn. Ikke adresse, ikke kontaktopplysninger, ikke noe om bankforholdet ditt.
Psykflow bruker ingen sporing, ingen analyseverktøy og ingen markedsføringskapsler. Vi har ikke Google Analytics eller tilsvarende.
Det som lagres i nettleseren din er øktkapselen som holder deg innlogget, og valget ditt av tekststørrelse. Begge er nødvendige for at tjenesten skal virke, og krever derfor ikke samtykke etter ekomloven § 2-7 b.
Du har rett til innsyn i egne opplysninger, retting av feil, sletting der vi ikke har plikt til å oppbevare, begrensning, dataportabilitet og å protestere mot behandling basert på berettiget interesse.
Er du behandler, retter du kravet til personvern@psykflow.com. Er du pasient, retter du det til klinikken din.
Mener du at vi behandler opplysninger i strid med regelverket, kan du klage til Datatilsynet. Vi vil gjerne høre fra deg først, men det er ingen forutsetning.
Psykflow har ikke personvernombud. Vurderingen er at plikten etter GDPR artikkel 37 ikke er utløst: vi er databehandler og ikke behandlingsansvarlig for journalene, og behandlingen skjer ikke i «stor skala» i bestemmelsens forstand.
Spørsmål om personvern rettes til kontaktpunktet øverst i denne erklæringen. Er du pasient, går henvendelsen til klinikken din, som er behandlingsansvarlig for journalen.
Vurderingen tas opp på nytt hvis omfanget endrer seg vesentlig.
Endres denne erklæringen vesentlig, varsler vi kundene våre før endringen trer i kraft. Versjonsnummer og dato står øverst.
Psykflow AS
Ekebergveien 1A, 0192 Oslo
Org.nr 937 549 598
personvern@psykflow.com