Personvernerklæring for Skrift

1. Behandlingsansvarlig

Skrift.md EirSkrift AS (org.nr. 935865646) er behandlingsansvarlig for personopplysningene som behandles i Skrift. For data som behandles på vegne av deg som kunde (helsepersonell), er du behandlingsansvarlig og vi er databehandler.

2. Formålet med behandlingen

Vi behandler personopplysninger for å kunne levere, administrere og forbedre tjenesten. Dette inkluderer:

• Administrasjon av ditt kundeforhold og abonnement.
• Sikring av tjenesten, inkludert innlogging og tilgangskontroll.
• Midlertidig behandling av konsultasjonsdata for å kunne generere notater.

3. Hvilke data behandles?

A. Data vi lagrer permanent (Brukerdata):

Dette er data knyttet til din brukerkonto.

• **Kontaktinformasjon:** Navn, telefonnummer, adresse.
• **Betalingsinformasjon:** Din Stripe kunde-ID og abonnementsstatus (vi lagrer aldri kortdetaljer).
• **Bruksinnstillinger:** Dine lagrede preferanser for notatformat, KI-modell etc.

B. Data vi behandler midlertidig (Konsultasjonsdata):

Dette er data fra selve konsultasjonen, som er ansett som særlige kategorier av personopplysninger (helseopplysninger). Disse dataene slettes kontinuerlig.

• Lydopptak og lydstrømmer: Lydstrømmer ved integrerte telefonsamtaler krypteres end-to-end i transitt og lagres aldri permanent på serverne. Standard lydopptak lastet opp direkte slettes permanent og umiddelbart etter at de er transkribert til tekst.
• Transkribert tekst og genererte notater: Lagres midlertidig for å muliggjøre redigering og eksport. For å sikre dataene mens de er lagret, blir de kryptert i databasen. All slik data slettes automatisk og permanent senest innen 24 timer etter at økten ble startet.
• Samtaledetaljer (CDR-metadata): Ved bruk av telefontjenesten lagres metadata som samtalens tidspunkt, varighet og krypterte telefonnumre midlertidig for feilsøking og kvoteavregning. Ingen sensitive helseopplysninger inngår i disse loggene.

Viktig: Vi bruker aldri dine eller dine pasienters data til å trene KI-modeller.

4. Rettslig grunnlag

Behandlingen av dine brukerdata baseres på avtalen du inngår med oss (GDPR art. 6.1 b). Behandlingen av pasientdata skjer på vegne av deg som behandlingsansvarlig, basert på pasientens samtykke og din rettslige forpliktelse til å føre journal (GDPR art. 9.2 a og h).

5. Våre databehandlere

Vi benytter oss av anerkjente underleverandører for å levere en sikker og stabil tjeneste. Alle våre underleverandører behandler data innenfor EU/EØS, og vi har inngått databehandleravtaler med samtlige.

• Google Cloud Platform: For kjøring av backend- og frontend-applikasjon, database og KI-modeller (Vertex AI, EØS).
• Supabase Inc.: For innlogging, brukerautentisering, innstillinger og databasesynkronisering (EØS).
• RunPod Inc.: For transient GPU-prosessering under Whisper-transkribering (EØS).
• Soniox Inc.: Som robust reserve-talegjenkjenning (Speech-to-Text fallback, EØS).
• Telnyx LLC: For ruting av integrerte telefonsamtaler og samtalemetadata (EØS - rutes via AnchorSite Amsterdam).
• Resend Inc.: For distribusjon av e-poster, MFA og onboarding (EØS).
• Stripe Inc.: For sikker håndtering av betaling og abonnementshåndtering (EØS).
• Twilio Inc.: For SMS-varslinger og OTP-fallback (EØS).

6. Dine rettigheter

Du har rett til innsyn, retting, sletting og dataportabilitet for dine egne brukerdata. Du kan administrere mye av dette selv via innstillingssiden, eller ved å kontakte oss på [kontakt@skrift.md]. Henvendelser om pasientdata må rettes til den aktuelle behandlingsansvarlige (legen/klinikken).