1. Hvem er behandlingsansvarlig
Feelix AS med org.nr. 933 459 691 (heretter omtalt som «Feelix», «vi» eller «oss») tilbyr tjenester og produkter som medfører at vi må behandle personopplysninger. Feelix ved daglig leder er behandlingsansvarlig etter det generelle personvernregelverket.
Vårt mål er å gi deg oversikt over egen helse gjennom analyse, rapport og oppfølgning innen presisjonshelse levert fra en norsk plattform med dedikerte partnere i Norge og utlandet. Vi vil behandle dine personopplysninger slik vi beskriver i denne erklæringen.
2. Definisjoner
Nedenfor følger en oversikt over sentrale termer og begreper slik de brukes i denne personvernerklæringen. Dette skal sikre felles forståelse og gjør det lettere for deg å orientere deg i våre dokumenter og tjenester.
Behandlingsansvarlig: Den virksomheten som bestemmer formålene med og virkemidlene for behandling av personopplysninger etter GDPR. Feelix er behandlingsansvarlig for behandling av personopplysninger via Plattformen når du bruker vår Plattform eller kjøper Produkter fra oss. I den grad våre leger eller sykepleiere gir deg helsebehandling som del av våre Tjenester, er slik lege og sykepleier «behandlingsansvarlig» for den helsehjelpen du mottar fra våre leger eller sykepleiere, mens Feelix anses som «databehandlingsansvarlig» etter spesiell helselovgivning som helsepersonelloven, helseregisterloven, pasientjournalloven og pasient- og brukerrettighetsloven.
Databehandler: Enhver ekstern aktør eller leverandør som behandler personopplysninger på vegne av Feelix, f.eks. laboratorier, journalsystemer, regnskapstjeneste, testleverandør eller en IT-leverandør som bistår med support hvor det gis tilgang til dine personopplysninger. Bruk av databehandlere reguleres av egne databehandleravtaler som oppfyller minstekrav i GDPR.
Databehandleravtale: En juridisk avtale mellom Feelix AS og databehandleren (samarbeidspartneren) som regulerer hvilke personopplysninger som behandles, sikkerhetsnivå, rettigheter samt plikter i samsvar med personvernregelverket og GDPR. Slike avtaler er inngått med alle aktuelle leverandører.
GDPR: Den generelle personvernforordningen (på engelsk «General Data Privacy Regulation») som gjelder som del av norsk lov i henhold til personopplysningsloven § 1.
Helseopplysninger: Opplysninger som direkte eller indirekte gir informasjon om fysisk eller psykisk helse, prøveresultater eller biologiske markører knyttet til den registrerte. Dette inkluderer både laboratoriedata (biomarkører, analyseresultater), medisinske vurderinger, og svar på livsstilsrelaterte spørsmål når dette inngår i testen.
Kunden: Den fysiske personen eller virksomheten som kjøper, mottar eller bruker en Tjeneste eller Produkt fra Feelix. Kunden kan være en privatperson (forbruker) eller en virksomhet (bedriftskunde).
Medlemsavtale: En løpende abonnementsavtale mellom Kunden og Feelix om regelmessig testpakke, fast medlemstilbud, helserapporter, kvartalsvise oppfølgingsmøter og tolkning.
Personopplysninger: Alle opplysninger og vurderinger som kan knyttes til en enkeltperson, direkte eller indirekte, inkludert navn, kontaktopplysninger, fødselsdato, helseopplysninger, biomarkør- eller testresultater, betalingsinformasjon, vurderinger/tolkninger tilknyttet testene og opplysninger om IP-adresse eller lignende gitt ved besøk på feelix.no.
Plattformen: Nettstedet feelix.no med de Produkter og Tjenester som til enhver tid Feelix tilbyr Kunden, herunder innlogging for Kunden på feelix.no og kommunikasjon på e-post eller andre digitale kanaler mellom Kunden og Feelix.
Produkter: De produkter som Kunden kan kjøpe via Plattformen.
Samtykke: Kundens frivillige, informerte og utvetydige godkjenning – digitalt eller skriftlig – til at Feelix AS kan behandle eller dele personopplysninger eller helseopplysninger for definerte formål, herunder overføring av prøveresultater til laboratorier i utlandet. Samtykke kan til enhver tid trekkes tilbake uten at det påvirker lovligheten av tidligere behandling.
Samarbeidspartner: Ekstern aktør, laboratorium eller leverandør som leverer testanalyse, produksjon, infrastruktur eller digital tjeneste på vegne av eller i samarbeid med Feelix.
Tester: Alle undersøkelser, prøver og analyser som Feelix tilbyr Kunden for å kartlegge og dokumentere helse, kapasitet og kroppslige biomarkører som angitt på Plattformen.
Tjenester: De tjenester Kunden kan kjøpe via Plattformen, herunder tjenester levert av Feelix, inkludert tolknings- og rådgivningstjenester, kundeoppfølging, workshops, abonnement, leveranse av testresultater og rapporter basert på testresultat som Kunden deler med Feelix.
3. Hvorfor vi behandler dine personopplysninger
Feelix behandler personopplysninger om deg som kunde for at du skal kunne benytte våre Tjenester eller kjøpe våre Produkter.
Vi behandler også informasjon for å overholde våre rettslige forpliktelser, for eksempel innen regnskapslovgivningen eller helselovgivning. Vi behandler personopplysninger for å sikre drift og trygg bruk av vår Plattform. All bruk av data skjer etter prinsippet om dataminimering og i henhold til interne og bransjestandard tekniske og organisatoriske sikkerhetstiltak tilpasset de Tjenester vi tilbyr.
4. Behandlingsgrunnlag
4.1 Om helseopplysninger
Ved å bestille Produkter eller Tjenester fra oss som gjelder dine helseopplysninger, anses du for å ha gitt oss ditt uttrykkelige samtykke i henhold til GDPR artikkel 9 nr. 2 bokstav a til at vi kan gi deg helsehjelp som del av våre Tjenester.
4.2 Om lovlig behandlingsgrunnlag
Personvernlovgivningen i Norge og EU krever i tillegg et «lovlig grunnlag» for å samle inn og behandle personopplysninger fra deg som innbyggere i EU/EØS-land, jf. GDPR artikkel 6. Vårt juridiske grunnlag for å behandle dine personopplysninger avhenger av de spesifikke behandlingsformålene og er beskrevet nedenfor.
4.2.1 Avtale
Behandling av personopplysninger er nødvendig for å oppfylle avtalen mellom deg og Feelix, jf. GDPR art. 6 nr. 1 bokstav b. Dette grunnlaget benyttes der behandlingen er nødvendig for å kunne administrere og gjennomføre de Tjenester som bruk av Plattformen som dine handlinger medfører, f.eks. om du har inngått en Medlemsavtale med oss eller kjøpt et Produkt fra oss som skal levers hjem til deg. Avtale dekker også deling av dine personopplysninger med våre databehandlere, f.eks. vår IT-leverandør eller EasyPractice som Plattformen vår bruker som booking- og journalsystem.
Dersom du har bestilt et Produkt til deg, dekker også avtale at vi kan inngå avtale med en tredjepart som sørger for frakt til deg (en befrakter har egne vilkår og regnes som selvstendig behandlingsansvarlig for sin behandling av dine personopplysninger for å levere bestilt Produkt til deg).
Behandling av personopplysninger er nødvendig for å kunne oppfylle avtalen mellom deg og oss, for eksempel å levere de bestilte Tjenestene eller Produktene som angitt i vår ordrebekreftelse til deg. I tillegg omfattes behandlinger av dine personopplysninger som vi må utføre for å administrere kundeforhold, utføre kjøp, sende fakturaer, og gi annen bistand du bestiller fra oss. Dette behandlingsgrunnlaget dekker også behandlinger av personopplysninger vi utfører for å oppfylle våre interne rutiner og kommunikasjon relatert til det du bestiller fra oss av Tjenester og Produkter, f.eks. om du reklamerer på noe fra oss.
4.2.2 Rettslig forpliktelse
Enkelte behandlinger av personopplysninger er nødvendig for å oppfylle lovpålagte forpliktelser som påhviler Feelix etter norsk lov, jf. GDPR art. 6 nr. 1 bokstav c. Dette omfatter eksempelvis plikt til oppfylle lovpålagte plikter for oss leverandør av Produkter eller Tjenester til deg, f.eks. etter regnskapsloven og bokføringsloven inkludert forskrifter. I tillegg er vi pålagt å lagre og rapportere bestemte data til offentlige myndigheter slik som Skatteetaten eller andre relevante tilsyns- og rapporteringsinstanser.
4.2.3 Samtykke
Dersom du har gitt oss ditt samtykke til å behandle personopplysninger ut over avtale eller rettslig forpliktelse, vil vi behandle dine personopplysninger på dette grunnlaget, jf. GDPR art. 6 nr. 1 bokstav a. For visse aktiviteter, som distribusjon av nyhetsbrev på e-post eller andre former for kommunikasjon utover det som er nødvendig for å oppfylle avtalen med oss, innhentes og baseres behandlingen på ditt frivillige, uttrykkelige og informerte samtykke.
Du kan via vårt cookie-verktøy på Plattformen gi ditt samtykke til informasjonskapsler («cookies») for formål som funksjonalitet, statistikk, analyse eller markedsføring (strengt nødvendige cookies faller utenfor hva du må gi samtykke til siden disse er nødvendige for at Plattformen skal fungere).
Ditt samtykke kan når som helst trekkes tilbake like enkelt som du ga oss ditt samtykke.
4.2.3 Berettiget interesse
Vi kan også behandle personopplysninger for å sikre trygg og effektiv drift av Plattformen og de Tjenester vi tilbyr, bl.a. av sikkerhetshensyn for å beskytte deg mot uautorisert bruk av dine personopplysninger. Slik behandling skjer kun der vår interesse klart veier tyngre enn ulempen for deg, og i tråd med GDPR art. 6 nr. 1 bokstav f.
5. Personopplysninger vi behandler om deg
5.1 Generell informasjon om hvilke personopplysninger vi behandler
Når du registrerer deg hos oss, bruker våre Tjenester eller bestiller Produkter fra oss, innhenter og behandler vi opplysninger om deg som er nødvendige for formålene beskrevet over. De opplysningene som behandles om deg er navn, e-postadresse, telefonnummer, fødselsdato (der helsetjeneste krever dette), bestillings- og betalingsinformasjon, dine helseopplysninger du deler med oss via test eller på annen måte (testtype, testresultater fra partnerlaboratorier, biomarkører som inngår i rapport eller kosttilskudd eller hva du velger å dele med oss av dine helseopplysninger), ditt medlemskap hos oss og kommunikasjon mellom deg og Feelix.
Hvis du bestiller Tjeneste som involverer tolkningshjelp eller rapportering fra Stride (UK) eller TruDiagnostic (USA), må du akseptere deres avtale siden de er selvstendig behandlingsansvarlig for den testen du bestiller fra de som de utfører for deg, og du må gi samtykke til at de kan dele sine testresultater med oss for at vi skal kunne levere deg avtalt Tjeneste relatert til test fra en av disse.
For Tjenester hvor vi bruker egne underleverandører, overføres kun nødvendige data til underleverandør som behandler personopplysninger i egenskap av å være en databehandler og ikke for egne formål.
5.2 Lagring og sletting av personopplysninger
Personopplysninger lagres sikkert på servere i land innen EU/EØS, med nødvendige tekniske og organisatoriske tiltak for å beskytte data mot uautorisert tilgang, endring eller sletting. Vi inngår databehandleravtaler med alle eksterne leverandører som behandler personopplysninger på våre vegne for å sikre at sikkerhetsnivået og behandlingen er i samsvar med GDPR. For helsehjelp fra våre leger og sykepleiere til deg, behandles dine personopplysninger i samsvar med spesifikk helselovgivning.
Opplysningene dine lagres kun så lenge det er nødvendig for å oppfylle formålet eller annet lovgrunnlag tilsier det. Når formålet ikke lenger tilsier lagring, eller om du krever sletting eller benytter deg av din rett til å protestere etter GDPR art. 21, vil informasjonen slettes snarest mulig, med mindre de må oppbevares lenger etter lov. Vi har målsetting om så korte sletterutiner som mulig.
5.3 Om tredjeparter som personopplysninger kan deles med
Feelix benytter flere eksterne leverandører og samarbeidspartnere for å sikre leveranse, analyse, betaling, rapportering og oppfølging overfor deg som Kunden. Nedenfor følger en oversikt over de viktigste leverandørforholdene, samt informasjon om hvordan personopplysninger behandles hos hver enkelt aktør. For samtlige leverandører inngås det separate databehandleravtaler dersom en tredjepart eller vi har rollen som databehandler. Informasjon deles kun med en tredjepart etter behov og innenfor rammen av samtykke eller annet behandlingsgrunnlag.
Dersom leverandørene byttes, eller om det blir aktuelt å overføre data til land utenfor EU/EØS, vil denne personvernerklæringen oppdateres.
5.4 Informasjonssikkerhet
Vi har lagt sikre systemer tilpasset at også helseopplysninger kan behandles. Vår behandling av personopplysninger er begrenset til land i EU/EØS. Dersom noen behandler personopplysninger utenfor EU/EØS, er dette begrenset til godkjente tredjeland som Storbritannia eller USA (enten på lista for selskap i USA som er sertifisert under Data Privacy Framework eller som har lovlig overføringsgrunnlag for å behandle personopplysninger om EØS-borgere i USA).
Informasjonssikkerhet i EasyPractice er viktig fordi det viser vår tilbudte sikkerhet i Plattformen som kan oppsummeres slik: Behandlingssikkerhet (sikker brukerautentisering som bl.a. 2FA, Rollebaserte adgangskontroller, TLS-kryptering under overføring, AES-256-kryptering i ro, regelmessig sårbarhetsskanning og penetrasjonstesting), IP-låsing og sertifikater (HTTPS med gyldige SSL-sertifikater), Bruker- og administratoradgang (prinsippet om færrest rettigheter, onboarding-, offboarding-tilgangsprosedyrer), Overvåking og logging (systemaktivitetslogger med revisjonsspor, sanntidsalarmer for mistenkelig adferd), Sikker kommunikasjon (krypterte kommunikasjonskanaler som HTTPS, TLS, sikre meldingssystemer), Kryptering (kryptering av personopplysninger både under overføring og i lagring, krypteringsnøkler administreres og roteres sikkert), Fysisk sikkerhet (sikrede datasentre med 24/7 overvåking) og Sikkerhetskopiering (daglige krypterte sikkerhetskopier lagret i EU-datasentre, regelmessig testing av sikkerhetskopiering og gjenoppretting).
6. Dine rettigheter
Du har rettigheter som den registrerte etter GDPR til dine egne personopplysninger som vi behandler via Plattformen. En oversikt over disse følger nedenfor. Ta kontakt med oss dersom du ønsker å benytte deg av dine rettigheter. Vi vil besvare din henvendelse så snart som mulig og innen én måned.
Informasjon og innsyn: Du har rett til å be om informasjon om hvordan vi behandler dine personopplysninger og til å få en kopi av disse personopplysningene.
Retting: Du har rett til å be om korrigering av unøyaktige personopplysninger om deg, og om at eventuelle ufullstendige personopplysninger om deg skal utfylles.
Innsigelse: Du har rett til å protestere mot behandlingen av dine personopplysninger på nærmere vilkår. Du kan også motsette deg å være gjenstand for ev. individuelle avgjørelser av rettslig karakter som utelukkende er automatisert.
Sletting: Du har rett til å be om sletting av dine personopplysninger på nærmere vilkår.
Begrensning: Du har rett til å be oss om å begrense vår behandling av dine personopplysninger, slik at vi ikke lenger behandler denne informasjonen før begrensningen er opphevet.
Portabilitet: Du har rett til å motta dine personopplysninger i et strukturert, vanlig brukt og maskinlesbart format, og å få denne informasjonen overført til en annen virksomhet under visse omstendigheter.
Klage: Du har rett til å klage over vår behandling av dine personopplysninger til Datatilsynet. Du finner Datatilsynets kontaktinformasjon på www.datatilsynet.no. Vi oppfordrer deg til å ta opp eventuelle innsigelser mot vår behandling av personopplysninger med oss først, så vi kan få oppklart eventuelle misforståelser.
Vær oppmerksom på at disse personvernrettighetene er gjenstand for begrensninger som følger av lov. Du kan også lese mer om rettighetene dine i Datatilsynets veiledning om de registrertes rettigheter, som du finner på www.datatilsynet.no.
7. Kontakt oss
Hvis du har spørsmål om denne personvernerklæringen, personopplysningene dine eller mener at vi behandler personopplysningene dine på en ulovlig måte, kan du kontakte oss ved å sende en e-post til personvern@feelix.no.
Du kan også kontakte oss med brev: Feelix AS, Sørkedalsveien 10, 0369 Oslo (merk brevet «Personvern»).
Vi oppdaterer personvernerklæringen ved behov. Større endringer varsles direkte. Oppdatert erklæring vil være tilgjengelig på nettsiden feelix.no for Plattformen.