Personuppgiftspolicy

1. Inledning

Happident-koncernen (”Happident”, ”vi”, ”oss”) vet hur viktigt det är med integritet för våra patienter, kunder och webbplatsbesökare och därför eftersträvar vi alltid en hög säkerhetsnivå. Vårt mål med denna policy är att vi på ett tydligt och transparent sätt ska beskriva för dig hur vi samlar in, använder, visar, och lagrar din information så att du känner dig säker på att dina personuppgifter är i säkert förvar. Vi beskriver även dina rättigheter och hur du kan göra dem gällande samt hur du kommer i kontakt med oss om du har ytterligare frågor kring vår personuppgiftsbehandling.

Happident hanterar personuppgifter i enlighet med Dataskyddsförordningen (GDPR, General Data Protection Regulation) och i denna personuppgiftspolicy beskrivs hur vi fullföljer dessa förpliktelser.

1.1. Tillämpning

Denna policy är tillämplig för alla medarbetare inom koncernen ME Dental AB (org. nr. 559144-0416) och all personuppgiftsbehandling i koncernens verksamhet. ME Dental-koncernen går under varumärket Happident och består av bolagen Orasolv AB (org. nr. 556585-4394), Orasolv Clinics AB (org. nr. 556757-3612), Dentalcare Invest Swe AB (org. nr. 559128-2693) samt Stjärntandläkarna Västra Hamnen AB (org.nr. 559117-4429).

Dessa bolag är separata personuppgiftsansvariga i juridisk mening men delar rutiner vad gäller personuppgiftsbehandlingen i den dagliga verksamheten. I denna policy avser vi därmed samtliga bolag inom koncernen när vi hädanefter hänvisar till ”Happident” / ”vi / ”oss”.

1.2. Grundläggande begrepp

I dataskyddsförordningen används följande begrepp vars betydelse och tillämpning även gäller denna personuppgiftspolicy.

Personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

Personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Personuppgiftsbiträde: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

Tredje part: en fysisk eller juridisk person, offentlig myndighet, institution eller organ som inte är den registrerade, den personuppgiftsansvarige, personuppgiftsbiträdet eller de personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar är behöriga att behandla personuppgifterna.

Personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

2. Happidents behandling av personuppgifter

2.1. Personuppgiftsansvar för insamlade uppgifter

Inom Happident behandlar vi personuppgifter för de patienter och webbplatsbesökare som nyttjar våra tjänster samt kandidater som söker jobb på någon av våra kliniker. Beroende på vilken hemsida du besöker, på vilken klinik du söker arbete och var du nyttjar tandvårdstjänster så gäller följande personuppgiftsansvarig.

Orasolv Clinics AB (org. nr 556757-3612), med adress Danderydsgatan 26, 114 26 Stockholm, är personuppgiftsansvarig för personuppgiftsbehandlingen på följande arbetsställen:

Dentalcare Invest Swe AB (org. nr. 559128-2693), med adress Ängeviken 632, 471 91 Klövedal, är personuppgiftsansvarig för personuppgiftsbehandlingen på följande arbetsställen och tillhörande hemsidor:

Stjärntandläkarna Västra Hamnen (org. nr. 559117-4429), med adress Ängeviken 632, 471 91 Klövedal, är personuppgiftsansvarig för personuppgiftsbehandlingen på följande arbetsställen och tillhörande hemsidor:

Webbplatsbesökare på Happident

Personuppgiftsansvarig för behandlingen av personuppgifter som hör till de webbplatsbesökare som besöker Happidents hemsida (www.happident.se) är ME Dental AB som har ett centralt personuppgiftsansvar, i egenskap av koncernägare.

Happident kan komma att lämna ut personuppgifter till samarbetspartners (personuppgiftsbiträden), men de har då inte rätt att behandla uppgifterna för andra syften än enligt våra instruktioner.
Ändamålet och tidsfrist för behandlingen, samt användning av information
Det främsta syftet med att behandla dina personuppgifter är för att vi ska kunna uppfylla våra åtaganden gentemot dig som patient och kund, samt för att utveckla, upprätthålla och kvalitetssäkra Happidents processer och affärsverksamhet.
För nyttjande av tandvårdstjänster
Hälsodata som behandlas
När du nyttjar våra tjänster, innefattande ditt möte med ett av våra tandvårdsteam, kan du komma att dela med dig av personuppgifter beträffande din tidigare och nuvarande munhälsa. Dessa uppgifter kan omfatta, men är inte begränsade till, information om att du lider av någon sjukdom, din medicinska historia eller ditt fysiologiska eller biomedicinska tillstånd (”Hälsodata”). Hälsodata som är specifikt hänförbar till dig kan också tillföras av det tandvårdsteam du kommer i kontakt med. Att vi tillför uppgifter är en del av vår skyldighet gentemot dig som patient.

Som vårdgivare lyder Happidents verksamhet under patientdatalagen (2008:355) och är därför skyldig att behandla (inklusive arkivera) hälsodata som uppkommer i samband med att du använder vår tjänst som tandvårdsleverantör.

Vi delar ingen hälsodata med tredje part utanför vår verksamhet, förutom i de fall en sådan utlämning följer av lag (t.ex. patientdatalagen). För att vi ska kunna erbjuda dig våra tjänster använder vi oss även av ett fåtal externa serviceleverantörer som behandlar personuppgifter (inklusive hälsodata) på uppdrag av oss.

Journalsystem

För att säkerställa korrekt klinisk behandling och uppföljning hanteras dina personuppgifter i enlighet med patientdatalagen i vårt journalsystem. Vid ankomst till någon av Happidents kliniker kommer du att bli ombedd att legitimera dig för att vi ska kunna säkerställa din identitet.

För att du ska kunna vara patient och kund till oss behöver vi tillgång till dina personuppgifter. Den information som samlas in är sådan information som du själv lämnat till oss eller som har registrerats direkt av behandlare i behandlingsrummet. Den typ av uppgifter som samlas in och lagras kan vara:

• Namn
• Personnummer
• Kontaktuppgifter (adress, telefonnummer och e-mail)
• Hälsodata

I de fall där dina personuppgifter är en del av en journalhandling ska den enligt patientdatalagen bevaras minst tio år efter det att den sista uppgiften fördes in i handlingen. Användning av dina personuppgifter i detta syfte ses som ett fullgörande av avtal som du har med oss, i egenskap av din tandvårdsleverantör.

Tidbokning & kallelser

Vi använder journalsystemet för att kunna bevaka när i tiden du som kund och patient ska kontaktas. Ett antal kliniker använder sig av en online-tidbokningstjänst och om du som kund bokar via denna godkänner du användning av dina personuppgifter i enlighet med denna personuppgiftspolicy genom att kryssa i angiven ruta.

Är du i kontakt med oss via telefon eller fysiskt på ett event godkänner du muntligt användning av dina personuppgifter i enlighet med denna personuppgiftspolicy. När du bokat en undersökning kopplas dina uppgifter till vårt journalsystem och efter att en undersökning genomförts regleras dina uppgifter av patientdatalagen.

Kvalitetssäkring

Dina uppgifter kan användas för statistiska ändamål för att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten. Vad gäller patientinformation så är den tillgänglig för kvalitetssäkring så länge din journalhandling hanteras enligt patientdatalagen.

2.2.2. Ekonomi

För att säkerställa vår rättsliga förpliktelse gällande bokföringsskyldigheten och bevarande av räkenskapsinformation hanteras dina personuppgifter i enlighet med bokföringslagen. I de fall dina personuppgifter är en del av vår räkenskapsinformation ska den enligt bokföringslagen bevaras i minst sju år efter det kalenderår då räkenskapsåret avslutades.

2.2.3. Direktmarknadsföring

Dina personuppgifter kan komma att behandlas för direktmarknadsföring (inklusive analyser som utförs för direktmarknadsföringsändamål). Du har dock möjlighet att invända mot detta. Med direktmarknadsföring avses alla typer av uppsökande marknadsföringsåtgärder (t.ex. via post, e-post och sms). Marknadsföringsåtgärder där du som kund aktivt valt att använda en av våra tjänster eller annars sökt upp oss för att få veta mer om våra tjänster räknas inte som direktmarknadsföring. Om du invänder mot direktmarknadsföring kommer vi att upphöra med behandlingen av dina personuppgifter för det ändamålet liksom upphöra med alla typer av direktmarknadsföringsåtgärder.

Tänk på att du alltid har möjlighet att påverka vilka kanaler vi ska använda för utskick. I så fall
ska du inte invända mot personuppgiftsbehandlingen som sådan utan istället begränsa våra
kommunikationskanaler. Detta gör du enklast genom att kontakta oss via kontaktuppgifterna som du finner avslutningsvis i denna policy.

2.2.4. Cookies

Vi använder cookies på vår webbplats/-er för att ge dig den bästa upplevelsen. En cookie är ett stycke data som överförs från en webbserver till din webbläsare när du besöker en webbplats. Om din webbläsare är inställd på att acceptera cookies, så kommer de lagras i din webbläsare fram till att dess lagringstid är till ända, eller till dess du raderar cookien själv. Du kan ställa in din webbläsare på att tillåta cookies eller inte genom dina webbläsarinställningar.

Nedan förklarar vi vilka cookies som används på vår webbplats/-er och varför vi använder dem.

2.2.5. HR

Happident har en karriärsida (via Workbuster) där lediga tjänster utannonseras. Om du är en webbplatsbesökare som söker ett jobb eller anmäler ditt intresse för anställning, ombeds du att uppge namn och kontaktuppgifter samt bifoga en beskrivning av din arbetslivserfarenhet. Dina uppgifter finns kvar i rekryteringssystemet under två år och raderas därefter per automatik. Du som kandidat har självfallet möjlighet att kontakta oss tidigare än så, för att instruera oss att ta bort, rätta eller begränsa uppgifterna. Du kan läsa mer om detta under integritetspolicy på karriärsidan.

Happident har upprättat ett personuppgiftsbiträdesavtal med Workbuster som behandlar uppgifterna endast enligt våra och dina instruktioner.

3. Vidarebefordran av information till personuppgiftsbiträden

I de fall det är nödvändigt delar vi dina personuppgifter med företag som är s.k. personuppgiftsbiträden för oss. Ett personuppgiftsbiträde är ett företag som behandlar informationen för vår räkning och enligt våra instruktioner. Vi har personuppgiftsbiträden som hjälper oss med:

• Journalsystem
• Ekonomisystem
• Bankinbetalningar
• IT-support
• Medicinsk tredje part
• Kundnöjdhetsundersökning
• Marknadsföring

När dina personuppgifter delas med personuppgiftsbiträden sker det endast för ändamål som är förenliga med de ändamål för vilka vi har samlat in informationen. Vi har skriftliga avtal med alla personuppgiftsbiträden genom vilka de garanterar säkerheten för de personuppgifter som behandlas och åtar sig att följa våra säkerhetskrav samt begränsningar och krav avseende internationell överföring av personuppgifter.

Självständigt personuppgiftsansvariga

Vi delar även dina personuppgifter med vissa företag som är självständigt personuppgiftsansvariga. Att företaget är självständigt personuppgiftsansvarig innebär att det inte är vi som styr hur informationen som lämnas till företaget ska behandlas. Självständiga personuppgiftsansvariga som vi delar dina personuppgifter med är:

• Företag som erbjuder betallösningar där du som kund upprättar avtal med dem direkt (dvs. utan Happident som mellanhand)
• Statliga myndigheter (polisen, skatteverket eller andra myndigheter) om vi är skyldiga att göra det enligt lag eller vid misstanke om brott
• Betallösningar via bankgiro, kontokort eller avbetalning
• Försäkringsärenden

När dina personuppgifter delas med ett företag som är självständigt personuppgiftsansvarig gäller det företagets integritetspolicy/personuppgiftspolicy och personuppgiftshantering.

4. Dina rättigheter som registrerad

4.1 Avtal, Rättslig förpliktelse, Samtycke eller Intresseavvägning

Det finns flera olika rättsliga grunder som ger Happident rätt att hantera dina personuppgifter. Att fullgöra ett avtal som finns upprättat är en rättslig grund. Andra kan vara att fullgöra en rättslig förpliktelse (t.ex. enligt patientdatalagen eller bokföringslagen), inhämtande av samtycke eller genom en intresseavvägning.

Har Happident inhämtat ett samtycke kan du när som helst, helt eller delvis, återkalla ditt samtycke. Efter det gäller ditt senaste lämnade samtycke och Happident kommer endast att behandla uppgifter i enlighet med detta.

En intresseavvägning innebär att Happidents behandling av dina personuppgifter endast är tillåten om vårt intresse att behandla personuppgiften anses väga tyngre än ditt intresse av integritetsskydd.

4.2 Rätt till information

I denna personuppgiftspolicy beskrivs hur dina personuppgifter behandlas hos Happident och den finns alltid tillgänglig på www.happident.se. Du ska få information om behandlingen både när uppgifter om dig samlas in och när du själv begär det.

Därutöver finns det vissa tillfällen när särskild information ska ges till dig och det är om det inträffar ett dataintrång eller liknande (en s.k. personuppgiftsincident) och det finns risk för till exempel identitetsstöld eller bedrägeri.

4.3 Rätt till tillgång (s.k. registerutdrag)

Du har rätt att utan kostnad begära ut ett utdrag över vilka av dina personuppgifter som Happident har registrerade. Detta utdrag innehåller också information om hur dessa personuppgifter behandlas, för vilka ändamål personuppgifterna behandlas, hur länge de kommer att sparas och till vilka mottagare personuppgifter lämnats ut.

Tänk på att om vi mottar en begäran om tillgång kan vi komma att fråga om ytterligare uppgifter för att säkerställa en effektiv hantering av din begäran och att informationen lämnas till rätt person.

4.4 Rätt till rättelse

Du har alltid rätt att vända dig till Happident, som personuppgiftsansvarig, för att få dina uppgifter rättade. Det innebär också att du har rätt att komplettera med sådana personuppgifter som saknas och som är relevanta med hänsyn till ändamålet med personuppgiftsbehandlingen.

Om uppgifter rättas på din begäran måste Happident säkerställa att tredje part, som dina uppgifter lämnats ut till, får information om rättelsen. Det gäller dock inte om det skulle visa sig omöjligt eller innebär en alltför betungande insats.

4.5 Rätt till radering

Du har rätt att vända dig till Happident och be om att de uppgifter som avser dig raderas. Uppgifterna måste raderas i följande fall:

• Om uppgifterna inte längre behövs för de ändamål som de samlades in för.
• Om behandlingen grundar sig på ditt samtycke och du återkallar samtycket.
• Om behandlingen sker för direktmarknadsföring och du motsätter dig att uppgifterna behandlas.
• Om du motsätter dig personuppgiftsbehandling efter en intresseavvägning och det inte finns berättigade skäl som väger tyngre än ditt intresse.
• Om personuppgifterna har behandlats olagligt.
• Om radering krävs för att uppfylla en rättslig skyldighet.

Om du begär att dina uppgifter raderas måste Happident också informera de parter som de har lämnat ut uppgifter till om raderingen. Det gäller dock inte om det skulle visa sig omöjligt eller innebär en alltför betungande insats.

Tänk på att vi kan ha rätt att neka din begäran ifall det finns legala skyldigheter som hindrar oss från att omedelbart radera vissa personuppgifter. Dessa skyldigheter kommer exempelvis från bokförings- och skattelagstiftning, bank- och penningtvättslagstiftning samt patientdatalagen. Det kan också hända att behandlingen är nödvändig för att vi ska kunna fastställa, göra gällande eller försvara rättsliga anspråk. Skulle vi vara förhindrade att tillmötesgå en begäran om radering kommer vi istället att blockera personuppgifterna från att kunna användas till andra syften än det syfte som hindrar den begärda raderingen.

4.6 Rätt till begränsning

Du har rätt att begära att vår behandling av dina personuppgifter begränsas. Om du bestrider att personuppgifterna vi behandlar är korrekta kan du begära en begränsad behandling under den tid vi behöver för att kontrollera huruvida personuppgifterna är korrekta. Om vi inte längre behöver personuppgifterna för de fastställda ändamålen, men du däremot behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk, kan du begära begränsad behandling av uppgifterna hos oss. Det innebär att du kan begära att vi inte raderar dina uppgifter.

Om du har invänt mot en intresseavvägning av berättigat intresse som vi har gjort som laglig grund för ett ändamål kan du begära begränsad behandling under den tid vi behöver för att kontrollera huruvida våra berättigade intressen väger tyngre än dina intressen av att få uppgifterna raderade.

Om behandlingen har begränsats enligt någon av situationerna ovan får vi bara, utöver själva lagringen, behandla uppgifterna för att fastställa, göra gällande eller försvara rättsliga anspråk, för att skydda någon annans rättigheter eller ifall du har lämnat ditt samtycke.

4.7 Rätt till dataportabilitet

Om vår rätt att behandla dina personuppgifter grundar sig antingen på ditt samtycke eller fullgörande av avtal med dig har du rätt att begära att få de uppgifter som rör dig och som du har lämnat till oss överförda till en annan personuppgiftsansvarig (s.k. dataportabilitet). En förutsättning för dataportabilitet är att överföringen är tekniskt möjlig och kan ske automatiserat.

4.8 Rätt att göra invändningar mot viss typ av behandling

Du har alltid rätt att slippa direktmarknadsföring och att invända mot all behandling av personuppgifter som bygger på en intresseavvägning.

I de fall vi använder en intresseavvägning som laglig grund för ett ändamål har du möjlighet att invända mot behandlingen. För att kunna fortsätta behandla dina personuppgifter efter en sådan invändning behöver vi kunna visa ett tvingande berättigat skäl för den aktuella behandlingen som väger tyngre än dina intressen, rättigheter och friheter. I annat fall får vi bara behandla uppgifterna för att fastställa, utöva eller försvara rättsliga anspråk.

4.9 Rätt att klaga hos tillsynsmyndighet

Om du anser att Happident behandlar uppgifter om dig i strid med dataskyddsförordningen har du rätt att lämna in ett klagomål till Datainspektionen. Datainspektionen tar del av alla klagomål och bedömer om tillsyn ska inledas och lämnar därefter besked till dig som fört fram klagomålet. Datainspektionen måste meddela om tillsyn ska inledas eller ej inom tre månader efter att ha tagit emot klagomålet. Om du som klagande inte får besked inom den tiden, kan du vända sig till domstol för att begära besked.

5. Tredjelandsöverföringar

Happident överför ej personuppgifter till tredje land, dvs. land utanför EU/EES.

6. Automatiserat beslutsfattande (inbegripet profilering)

Du som patient och kund kan känna dig trygg i att vi på Happident ej använder oss av automatiserat beslutsfattande i verksamheten.

7. Skydd av information

Happident vidtar tekniska och organisatoriska åtgärder för att säkerställa att dina uppgifter sparas och behandlas tryggt och säkert utan risk för att uppgifterna manipuleras, förstörs eller att obehöriga personer kommer åt dem. Happident har dokumenterade rutiner gällande användarintegritet, uppgifters tillgänglighet och sekretess med hänsyn till tillämplig lagstiftning.

8. Bevarande och gallring

Dina personuppgifter kommer att lagras av Happident endast under den period det är nödvändigt för att uppfylla de ändamål som specificeras i denna personuppgiftspolicy. Därefter kommer dina personuppgifter att raderas.

I de fall din personuppgift är en del av en journalhandling ska den enligt patientdatalagen bevaras minst tio år efter det att den sista uppgiften fördes in i handlingen. I de fall din personuppgift är underlag till företagets bokföring på något vis så bevaras informationen enligt bokföringslagen.

9. Dataskyddsombud

Happident behandlar hälsouppgifter i den dagliga verksamheten och dessa klassas som känsliga personuppgifter. Vi har därför skyldighet att utse ett dataskyddsombud som bland annat har till uppgift att övervaka att reglerna i förordningen och andra dataskyddsregler efterlevs, informera och ge råd till olika parter i vår verksamhet kring personuppgiftsbehandlingen samt vara tillgänglig för registrerade som kan kontakta ombudet för utövande av sina rättigheter som registrerad.

Vi har utsett ett dataskyddsombud för samtliga bolag inom koncernen och det är Therese Odengård, anställd inom Dental Care AB. Du når vårt dataskyddsombud via:
Mailadress: therese.odengard@happident.se

10. Ansvar

VD har det övergripande ansvaret för innehållet i denna policy samt att den implementeras och efterlevs av verksamheten.

11. Ändring av personuppgiftspolicy

Happident förbehåller sig rätten att ändra denna personuppgiftspolicy. Den senaste versionen av policyn finns alltid på vår webbplats www.happident.se. Vid uppdateringar som är av avgörande betydelse för vår behandling av dina personuppgifter kommer du att informeras.

12. Kontakta oss vid frågor om dataskydd

Om du har frågor eller kommentarer gällande denna personuppgiftspolicy eller vår personuppgiftsbehandling, eller om du vill att den information vi har om dig ska ändras eller tas bort kan du kontakta oss via kontaktuppgifterna nedan: