Her kan I se, hvilke leverandører vi bruger, når vi driver FlowDule for jer. For hver leverandør står der, hvad den gør, hvilke oplysninger den får, hvor behandlingen sker, og hvad status er i dag. Listen hører sammen med Databehandleraftalen, og vi opdaterer den, når vi tilføjer eller udskifter en leverandør.
1. Sådan læses listen
#| Kategori | Betydning |
|---|---|
| Underdatabehandler | Behandler jeres personoplysninger på vores vegne og efter jeres instruks. Vi har en databehandleraftale med parten, parten har tilsvarende aftaler med sine egne underleverandører, og I godkender parten gennem Databehandleraftalen. Vi følger løbende op på leverandøren. |
| Modtager eller selvstændig dataansvarlig | Bestemmer selv hele eller dele af formålet. Parten er derfor ikke vores underdatabehandler, og der kan gælde et andet grundlag, ligesom I kan skulle informere jeres klienter særskilt. |
| Teknisk leverandør uden persondata | Leverer teknik til platformen uden at modtage personoplysninger. |
2. Hvad vi kræver af en leverandør
#Før en leverandør behandler personoplysninger for jer, aftaler vi skriftligt med den, hvilken rolle den har, hvad oplysningerne må bruges til, hvilke oplysninger og hvilke personer det drejer sig om, hvilken teknisk opsætning der anvendes, hvilke lande behandlingen og enhver fjernadgang sker fra, hvilke underleverandører der er, hvor længe oplysningerne gemmes, hvordan de sikres, hvad grundlaget er for en eventuel overførsel uden for EU og EØS, og hvordan vi kommer ud af aftalen igen. Er det ikke på plads, tager vi ikke leverandøren i brug til opgaven. Listen viser de leverandører, vi faktisk bruger.
3. Hosting og central infrastruktur
#Vi driver produktionen hos Kinsta (Sevalla) i Google Clouds datacentre. Det gælder api’et, databasen og bookingsiderne, og databasen ligger i Frankfurt. Webappen er et statisk site hos Sevalla. Cloudflare står foran alle Sevalla-apps og leverer objektlagring af medier og databasebackup i Cloudflare R2 samt beskyttelse mod robotter.
| Leverandør og tjeneste | Formål og data | Region/overførsel | Status |
|---|---|---|---|
| Kinsta (Sevalla) med Google Cloud-datacentre som underleverandør | Hosting af api, database og bookingsiderne samt webappen som statisk site; kundedata kan omfatte journal/helbred. | Google Clouds datacentre; databasen ligger i regionen europe-west3 (Frankfurt). Eventuel overførsel uden for EU/EØS sker efter leverandørens aftalevilkår. | Aktiv. Kerneproduktion. Databasen sikkerhedskopieres dagligt til Cloudflare R2 med 30 dages rotation. |
| Cloudflare, Inc., USA | Tre roller: edge og TLS foran alle Sevalla-apps (IP-, request- og trafikdata); R2-objektlagring af medier (billeder, dikteringslyd, eksporter) og databasebackup; Turnstile-botkontrol på offentlige formularer (IP- og browsersignaler). | Globalt netværk for edge og Turnstile; overførselsgrundlag efter leverandørens aftalevilkår. | Aktiv. Turnstile indlæses kun på de formularer, der kræver botbeskyttelse (booking, eventtilmelding, kontaktformular og lagerbesked i webshoppen). Cloudflare sætter sikkerhedscookierne __cf_bm og cf_clearance på bookingsiderne. |
Vores aftalepart hos Amazon Web Services er Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg, sammen med de AWS-selskaber, der indgår i det gældende aftalegrundlag. Vi bruger disse AWS-tjenester i EU:
| Tjeneste | Formål og data | Region | Status |
|---|---|---|---|
| Cognito | Login og brugeradministration: navn, e-mail, telefon, credentials/tokens. | EU | Aktiv. |
| SES | E-mail: kontakt, modtager, metadata og beskedindhold. | EU | Aktiv. Kun dataminimeret indhold. |
| Amazon Bedrock med Anthropic Claude | Generativ dokumentationshjælp samt oversættelse af journal-, katalog- og tekstindhold; prompt, journaltekst og output. | EU-inferensprofil | Aktiv. AI-funktionerne i journalen følger journalmodulet. Behandleren er ansvarlig for at læse og rette AI-udkast til dokumentation; der er ikke et særskilt godkendelsestrin. |
| Amazon Transcribe | Diktering; lyd og transskription, som kan være helbredsdata. Lyden behandles via én dedikeret transskriptionsbucket. | EU | Aktiv, når kæden anvender diktering. |
| Amazon Textract | OCR; dokumentbilleder og tekst, som kan være helbredsdata. | EU | Aktiv, når kæden anvender OCR. |
| AWS KMS | Nøglehåndtering til feltkryptering af journaldata. KMS modtager krypteringsnøgler, ikke journaltekst. | EU | Aktiv. |
| Amazon Translate | Oversættelse af supporthenvendelser og platformmeddelelser; teksten i henvendelsen eller meddelelsen. | EU | Aktiv kun for supporthenvendelser og platformmeddelelser. Journal, katalog og øvrig tekst oversættes via Bedrock. |
4. Øvrige underdatabehandlere og behandlingsleverandører
#| Leverandør/juridisk enhed | Rolle, formål og data | Lande/overførsel | Aktuel status |
|---|---|---|---|
| GatewayAPI / ONLINECITY.IO ApS, CVR 27364276, Danmark | Underdatabehandler til SMS; telefonnummer, afsender og beskedtekst. | Leverandørens .com-platform, hvor beskeddata opbevares i EU (Google, Belgien). | SMS er aktiv. Beskedindholdet følger kædens beskedskabeloner; kæden kan vælge neutrale beskeder uden klient- eller ydelsesnavn. |
| LiveKit Incorporated, USA | Videoinfrastruktur; session-id, pseudonymt deltager-id, visningsnavn, lyd/video og eventuel chat i transit. Der anvendes ingen optagelse, egress, agents eller inference. | USA. LiveKit Cloud sender hver session til den nærmeste server; behandlingen er ikke bundet til EU. Overførselsgrundlag efter LiveKits databehandlertillæg (en del af LiveKits vilkår): EU-US Data Privacy Framework, hvor LiveKit er certificeret, ellers EU’s standardkontraktbestemmelser. | Aktiv for kæder, der slår videomodulet til. |
| 650 Industries, Inc. / Expo, USA | Push-formidling; device-token, platform, enhedsnavn og notifikation. Videre levering via Apple/Google. | USA/global leveringskæde. | Push er slået fra i produktionen; der sendes ingen push-beskeder. |
| Stripe Payments Europe, Limited / Stripe Technology Europe, Limited, Irland | FlowDule-abonnementer behandles separat på platformkontoen. Kundens klientbetalinger er direct charges på kundens Stripe Express connected account; kunden er merchant. Data: kontakt, beløb, status og transaktionsreference; ingen journaltekst. | Irland; eventuel support/underkæde efter Stripes aftalegrundlag. | Aktiv. Stripe.js indlæses på betalingstrinnene. Separate signerede platform-/Connect-webhooks og refundering med proportional tilbageførsel af application fee er implementeret. |
| Postcode.nl B.V. (Postcode.eu), Nederlandene | Adresseforslag i administration; virksomheds-, lokations- og eventadressefragmenter, ikke journaldata. | Nederlandene. | Opslag sker via FlowDules egen proxy bag login. |
5. Modtagere, som ikke er FlowDules underdatabehandlere
#| Tjeneste | Rolle og data | Status/handling |
|---|---|---|
| Stripe ved kundens klientbetaling | Kunden er normalt merchant/aftalepart for egen Stripe-konto; Stripe kan være kundens processor eller have egne lovbestemte formål. FlowDule er teknisk formidler. | Rollen og aftaleflowet vises i onboarding. Kunden skal have egen aftale og information. |
| CARTO/CartoDB | Korttiles kan give modtageren besøgendes IP og browserdata; parten kan have selvstændige formål. | Kort indlæses først efter brugerens aktive klik (click-to-load), og attribution vises. |
| Nominatim/OpenStreetMap Foundation | Geocoding kan sende klinikadresse, IP og tekniske data til ekstern modtager. | Geokodning sker via FlowDules egen proxy; browseren kalder ikke tjenesten direkte. |
| Apple og Google i push-kæden | Operativsystemets push-tjenester modtager device-token og notifikation. Deres præcise rolle afhænger af platformvilkårene. | Push er slået fra i produktionen. |
| Den Europæiske Centralbank | Offentligt valutakursfeed hentes server-side uden brugeroplysninger efter det beskrevne design. | Behandler ikke personoplysninger om besøgende. |
| Usercentrics (samtykkebanner) | Viser samtykkebanneret og gemmer besøgendes valg på FlowDules egen markedsføringsside www.flowdule.com; IP- og browseroplysninger samt samtykkevalg. | Anvendes kun på www.flowdule.com og modtager ingen kundedata fra platformen. Modtager for markedsføringssiden, ikke underdatabehandler for kundedata. |
| Google Tag Manager (container GTM-5RCTVWXJ) | Indlæser tags på FlowDules egen markedsføringsside www.flowdule.com; IP- og browseroplysninger. | Anvendes kun på www.flowdule.com og modtager ingen kundedata fra platformen. Modtager for markedsføringssiden, ikke underdatabehandler for kundedata. Ikke-nødvendige tags må kun køre efter samtykke i banneret, se Cookiepolitikken. |
6. Overførsel uden for EU og EØS
#Det meste bliver i EU og EØS. Databasen ligger i Frankfurt, og AWS-tjenesterne kører i EU. Nogle behandlinger sker alligevel uden for EU og EØS:
- Video gennem LiveKit. Hver session går til den nærmeste server, og behandlingen er ikke bundet til EU. Grundlaget er LiveKits databehandlertillæg: EU-US Data Privacy Framework, hvor LiveKit er certificeret, ellers EU’s standardkontraktbestemmelser.
- Cloudflares edge og Turnstile. De kører på et globalt netværk, og grundlaget følger Cloudflares aftalevilkår.
- Hosting hos Kinsta (Sevalla). En eventuel overførsel sker efter leverandørens aftalevilkår.
- Fjernsupport og adgang fra en leverandørs koncern eller underleverandører. Den kan ske fra et land uden for EU og EØS, også selv om oplysningerne er lagret her.
Grundlaget for en overførsel er enten en afgørelse fra EU-Kommissionen om, at landet har et tilstrækkeligt beskyttelsesniveau, EU-US Data Privacy Framework for den enhed, der er certificeret, eller EU’s standardkontraktbestemmelser med en overførselsvurdering, på engelsk transfer impact assessment, og de supplerende foranstaltninger, der er nødvendige.
Jeres egne indstillinger i platformen udgør sammen med Databehandleraftalen jeres instruks til os, og de omfatter de overførsler, der følger af de moduler, I har slået til, herunder video gennem LiveKit.
7. AI-leverandørkæden
#Vi bruger Anthropic Claude gennem Amazon Bedrock i en opsætning, der kun behandler i EU-regioner (EU-inferensprofil). Vi har derfor ikke et direkte databehandlerforhold til Anthropic, og det er Amazon Web Services, vi har aftalen med. Hvilke oplysninger der sendes, står i tabellen i punkt 3.
AI-funktionerne i journalen er en del af journalmodulet og er tilgængelige, hvis I har slået journalmodulet til. Der er ikke et særskilt trin, hvor I slår hver enkelt AI-funktion til. De fleste AI-resultater er udkast, som en kompetent bruger skal gennemgå, før de gemmes i journalen eller deles. Nogle resultater godkendes ikke enkeltvis, blandt andet den automatiske notatfeedback til behandleren og maskinoversættelsen af delt indhold for klienten, se AI-informationen. Vi bruger ikke AI til diagnose, triage, behandlingsbeslutninger eller adgang til ydelser, og jeres data bruges ikke til at træne modeller og genbruges ikke til andre formål.
8. Ændringer, varsel og indsigelse
#I giver gennem Databehandleraftalen en generel godkendelse af de underdatabehandlere, der står i den udgave af denne liste, I har accepteret. Planlægger vi at tilføje eller udskifte en direkte underdatabehandler, varsler vi jer mindst 30 dage, før ændringen træder i kraft.
Inden fristen kan I gøre indsigelse på privacy@flowdule.com. Indsigelsen skal være konkret og sagligt begrundet i databeskyttelse. Finder vi ikke en rimelig løsning sammen, kan I opsige den berørte tjeneste efter Databehandleraftalen. Ændringer længere nede i kæden følger vi med i, og vi fortæller jer om dem, når ændringen har væsentlig betydning for behandlingen, risikoen, regionerne eller jeres instruks.
Trust Center forklarer sikkerhed og GDPR i almindeligt sprog: Gå til Trust Center. Alle gældende dokumenter har dato og version: Se alle dokumenter.