Lagring och rättigheter

Dokument-ID: O-08
Version och datum: 2026-08-21.1 - 21 augusti 2026
Leverantör: FlowDule ApS, CVR 46273397
Kontakt: privacy@flowdule.com

Viktigt: Det finns inte en enda laglig lagringsfrist för alla FlowDules kunder. Kunden väljer en dokumenterad profil efter land, yrkesgrupp, autorisation, behandling, datakategori och ändamål. FlowDule fastställer inte kundens yrkesmässiga eller rättsliga lagringsskyldighet.

1. Roller och ansvar

Kunden - behandlaren eller kliniken - är personuppgiftsansvarig för egna klienter, bokningar, journaler, dokument och yrkesmässiga ändamål. Kunden beslutar därför:

• varför uppgifterna behandlas;

• vilken rättslig grund som används;

• vilka uppgifter som är nödvändiga;

• hur länge de ska lagras;

• hur tillgång, rättelse, radering och andra rättigheter avgörs;

• om en konkret lagstadgad skyldighet, ett klagomål, en tvist eller annan dokumenterad grund kräver fortsatt lagring.

FlowDule är personuppgiftsbiträde för dessa uppgifter. Vi ställer konfigurations-, export-, begränsnings- och raderingsfunktioner till förfogande och handlar enligt kundens dokumenterade instruktion i Personuppgiftsbiträdesavtalet och kundbilagan.

FlowDule är själv personuppgiftsansvarig för egna avtals-, fakturerings-, support- och säkerhetsändamål. Frister och rättigheter för dessa behandlingar beskrivs i Integritetspolicyn.

2. Kundens yrkesmässiga profil

Innan verkliga klient- eller journaluppgifter får behandlas ska kunden välja och dokumentera den korrekta profilen.

Titeln “psykoterapeut” dokumenterar inte i sig en hälso- och sjukvårdsrättslig autorisation. På motsvarande sätt ska en psykologs faktiska autorisationsstatus kontrolleras; övergångsregler kan innebära att en person fram till utgången av 2028 kan använda psykologtiteln utan att omfattas av den nya autorisationen.

Medlemskap i en branschorganisation, försäkringsvillkor, avtalskrav eller en yrkesmässig rekommendation kan påverka kundens val, men får inte framställas som lag, om det inte faktiskt är ett bindande lagkrav.

3. Psykoterapeutprofilen

För en egenföretagande psykoterapeut som inte är auktoriserad hälso- och sjukvårdspersonal ska kunden dokumentera en konkret frist eller ett tydligt raderingskriterium för varje relevant kategori.

Bedömningen bör minst omfatta:

• varför journalen eller anteckningen är nödvändig;

• hur länge uppgifterna är relevanta för ett aktuellt eller förväntat klientförlopp;

• behovet av dokumentation av avtal, yrkesmässig insats eller rättsanspråk;

• uppgifternas känslighet och konsekvensen av lång lagring;

• om mindre ingripande dokumentation eller tidigare radering är möjlig;

• eventuella dokumenterade krav från avtal, försäkring eller branschorganisation;

• starttidpunkten för fristen, till exempel avslutat förlopp eller senaste relevanta anteckning.

FlowDule rekommenderar inte en godtycklig standardperiod som ersättning för bedömningen. Kunden ska kunna förklara fristen i sin integritetstext och tillämpa den konsekvent i systemet.

4. Auktoriserad hälso- och sjukvårdspersonal

För legitimerad/auktoriserad hälso- och sjukvårdspersonal (dansk autorisation) tillämpas den relevanta minimiperioden enligt gällande journalregler. Perioden löper normalt från den senaste anteckningen i patientjournalen.

Patientjournaler som har betydelse för ett pågående klagomåls-, tillsyns- eller ersättningsärende ska fortsatt lagras medan ärendet pågår, även om den allmänna minimiperioden har löpt ut. Offentliga behandlingsställen kan dessutom omfattas av arkivregler.

Att en hälso- och sjukvårdsrättslig minimifrist löper ut betyder inte automatiskt att journalen ska bevaras längre. Kunden ska därefter bedöma om en annan laglig och nödvändig grund fortfarande finns. Om inte ska uppgifterna raderas.

Vid upphörande, överlåtelse, dödsfall eller konkurs kan särskilda regler om överlåtelse och fortsatt lagring gälla. Kunden ska ha en lokal avvecklingsplan; FlowDule är inte den myndighet eller yrkesmässiga efterträdare som övertar journalansvaret.

5. Datakategorier och starttidpunkter

Kundens retentionprofil ska minst omfatta följande, om kategorin används:

En samlad regel om att “radera allt efter X år” är endast försvarlig om alla omfattade kategorier faktiskt har samma ändamål, starttidpunkt och rättsliga krav.

6. Rättelse och journalintegritet

Oriktiga stam- och kontaktuppgifter ska kunna rättas. En rättelse får inte göra det omöjligt att dokumentera relevanta tidigare åtgärder, om historiken fortsatt är nödvändig och laglig.

För patientjournaler som omfattas av autorisationsreglerna får ursprungliga journaluppgifter inte raderas eller göras oläsliga som en vanlig rättelse. Rättelser och tillägg ska vara spårbara, så att den ursprungliga versionen fortsatt kan identifieras enligt gällande krav.

För en icke-auktoriserad psykoterapeut beror behovet av versionshistorik på kundens dokumenterade ändamål och ansvar. FlowDule får inte utan grund bevara alla historiska versioner permanent.

7. Den registrerades rättigheter

Enligt villkoren i dataskyddsförordningen (GDPR) kan den registrerade ha rätt till:

• information om behandlingen;

• tillgång och kopia;

• rättelse;

• radering;

• begränsning av behandling;

• dataportabilitet;

• invändning;

• återkallelse av samtycke, när behandlingen bygger på samtycke;

• att inte bli föremål för vissa beslut som enbart grundas på automatiserad behandling.

Rättigheterna är inte absoluta. En begäran om radering kan till exempel begränsas av en lagstadgad journalfrist, ett pågående ärende, andras rättigheter eller ett nödvändigt rättsanspråk. Kunden ska dokumentera den konkreta begränsningen och förklara den för den registrerade.

8. Så framställs en begäran

Är du klient eller patient ska du kontakta den behandlare eller klinik som har skapat uppgifterna. Kundens namn och kontakt ska framgå av den lokala integritetsinformationen i boknings- eller klientytan.

FlowDule besvarar inte själv kundens klienter för kundens räkning utan en dokumenterad instruktion. Vi hjälper kunden med sökning, export, rättelse, begränsning och radering när det är nödvändigt.

Om begäran gäller FlowDules egna konto-, support- eller avtalsuppgifter kan du skriva till privacy@flowdule.com. Ytterligare information finns i Integritetspolicyn.

9. Frist och identitetskontroll

Den personuppgiftsansvarige besvarar en GDPR-begäran utan onödigt dröjsmål och normalt senast en månad efter mottagandet. Fristen kan enligt reglerna förlängas med upp till två månader vid komplexa eller många begäranden; den registrerade ska underrättas om förlängningen och skälet till den inom den första månaden.

Identiteten kontrolleras proportionellt. Kunden och FlowDule får inte kräva mer dokumentation än nödvändigt, men får heller inte lämna ut journal- eller hälsouppgifter till fel person. Kopior av identitetshandlingar får endast samlas in när en mindre ingripande kontroll inte är tillräcklig, och ska ha kort dokumenterad lagring.

10. Radering i hela datakedjan

En godkänd raderingsprocess ska hantera alla relevanta förekomster:

• aktiva databasposter och versionsrelationer;

• filer, bilagor, bilder och ljud;

• bokningar, kommunikation, delningar och åtkomstlänkar;

• sökindex, köer, cachar och tillfälliga filer;

• AI-indata och AI-utdata enligt den godkända leverantörskonfigurationen;

• exportfiler och integrationskopior under FlowDules kontroll;

• föräldralösa objekt och misslyckade raderingsjobb;

• säkerhetskopior enligt dokumenterad rotation.

FlowDule kan bevara ett minimalt raderingsbevis utan det raderade innehållet. Beviset kan ange kund, instruktion, kategorier, tidpunkt, ansvarig, resultat, backup-utgång och eventuella lagliga undantag.

11. Säkerhetskopior och återställning

Uppgifter kan vara tekniskt otillgängliga i rullande säkerhetskopior tills kopiorna skrivs över enligt den dokumenterade rotationen. Under perioden omfattas de av samma säkerhet, får inte användas för andra ändamål och återinförs inte i normal drift.

Om en säkerhetskopia återställs ska tidigare genomförda raderingar och gällande legal holds tillämpas på nytt innan miljön öppnas. Den faktiska rotationsperioden och restoreprocessen ska vara testade; interna mål får inte beskrivas som kundgaranti utan uttrycklig överenskommelse.

12. Legal hold och andra undantag

Legal hold innebär en tillfällig, dokumenterad blockering av vanlig radering för ett exakt avgränsat material. Det kan vara relevant vid ett konkret klagomål, en tvist, ett myndighetsärende eller annan laglig skyldighet.

Ett legal hold ska ha:

• entydig referens och ansvarig;

• dokumenterad grund;

• exakt avgränsning av person, ärende, objekt och datakategori;

• startdatum, granskningsdatum och frigivningskriterium;

• minsta möjliga åtkomst;

• spårbar frigivning och efterföljande omräkning av normal retention.

Ett hold på en enskild journal eller händelse får inte automatiskt blockera alla uppgifter om personen eller hela kundens dataset.

13. Export och upphörande

Kunden kan exportera egna data under avtalet och efter upphörandet enligt Handelsvillkoren och Personuppgiftsbiträdesavtalet. Exporten ska omfatta relevanta kunddata, relationer, filer, versioner och revisionsmetadata i dokumenterade, allmänt använda och maskinläsbara format.

Efter det avtalade exportfönstret raderar FlowDule kunddata enligt kundens val, personuppgiftsbiträdesavtalet, backup-rotationen och eventuella lagliga undantag. FlowDules egen bokföringsskyldighet för faktura- och redovisningsuppgifter är inte grund för att bevara kundens klient- eller journaldata.

14. Kundens information till klienten

Kunden ska före eller vid insamlingen ge en lokal integritetstext som minst förklarar:

• kundens identitet och kontakt;

• ändamål, datakategorier och rättslig grund;

• relevanta mottagare, leverantörer och överföringar;

• den konkreta lagringsfristen eller tydliga kriterier;

• rättigheter, klagomål och kontaktväg;

• eventuell AI-användning och mänsklig kontroll;

• särskilda regler om journalrättelse, om kunden omfattas.

FlowDules generella dokument kan stödja, men ersätter inte kundens egen informationsskyldighet.

15. Rättskällor

• GDPR artikel 5 och 12-23

• Den danska patientsäkerhetsmyndigheten (Styrelsen for Patientsikkerhed) om journallagring

• Den danska journalföringsförordningen (journalføringsbekendtgørelsen), bekendtgørelse nr. 1361 av 24 november 2025

• Den danska patientsäkerhetsmyndigheten (Styrelsen for Patientsikkerhed) om autorisation av psykologer från den 1 januari 2026