Integritetspolicy — Kliniker, klinikpersonal och marknadsplatsleverantörer

Senast uppdaterad: 20 september 2026 · Version: 1.0 (utkast — inväntar juridisk granskning)

Denna integritetspolicy gäller kliniker, spa och dermatologimottagningar ("Kliniker") som registrerar sig på DermaId ("Plattformen", "vi", "oss"), de personalmedlemmar Kliniker bjuder in till Plattformen, samt marknadsplatsleverantörer ("Leverantörer") som säljer produkter. En separat policy gäller privatkonsumenter — se /sv/pages/privacy — och den policyn fortsätter att gälla för dina egna personuppgifter du lämnar som privatperson (till exempel om en personalmedlem också, separat, är konsument av Tjänsten).

1. Vilka vi är

FÖRETAGETS JURIDISKA UPPGIFTER — REGISTRERINGSUPPGIFTER SAKNAS ÄNNU — se /sv/pages/privacy avsnitt 1 för de fält som krävs. Samma juridiska enhet är personuppgiftsansvarig enligt denna policy.

2. Två olika relationer, två olika roller

Denna policy behandlar två distinkta relationer, och det spelar roll vilken som gäller för en given uppgift:

Som Plattform är vi personuppgiftsansvariga för en Kliniks eller Leverantörs egna verksamhets- och personaluppgifter — informationen i avsnitt 3 nedan, som samlas in för att registrera, fakturera och driva relationen.
En Klinik är en oberoende personuppgiftsansvarig för sina egna klienters kliniska information — de anteckningar den för, de rutinjusteringar den gör och de behandlingsbeslut den dokumenterar om en klient som samtyckt till att koppla sig till den Kliniken. Vi agerar som personuppgiftsbiträde i syfte att hysa och säkra den relationen på Klinikens uppdrag, enligt Klinikens instruktioner, och endast i den utsträckning klienten samtyckt till att dela sin information med just den Kliniken. [Anmärkning för juridisk granskning: denna ansvarsfördelning bör formaliseras i ett personuppgiftsbiträdesavtal mellan oss och varje Klinik — se /sv/pages/data-handling/clinics-vendors avsnitt 3, och är en förutsättning för att registrera Kliniker som kommer behandla EU-klienters uppgifter i någon betydande omfattning.]
En Leverantör är en oberoende personuppgiftsansvarig för sina egna produktlistningar och affärsunderlag; vi behandlar order- och leveransuppgifter på Leverantörens uppdrag i den mån det krävs för att fullgöra en försäljning Leverantören gjort via Plattformen.

3. Vad vi samlar in från Kliniker, personal och Leverantörer

3.1 Klinikens verksamhetsinformation

Juridiskt namn/varumärkesnamn, land, uppgifter om företagsregistrering, kontaktperson, kontakt-e-post och telefon, webbplats, sociala mediekonton, behandlingstypskategorier, verksamhetsadress och plats (för katalogen "Hitta en klinik") samt, i förekommande fall, externa bokningslänkar.

3.2 Klinikens personalkonton

Varje personalmedlems namn, e-post och tilldelade roll(er) (till exempel ägare, katalogansvarig, specialist, receptionist eller faktureringsläsare) — en roll avgör vad den personen kan se och göra, definierad som en uppsättning detaljerade behörigheter snarare än en fast befattning, så att en Klinik exakt kan styra vem i teamet som kan se kliniska anteckningar, hantera produktkatalogen eller se fakturering, oberoende av varandra.

3.3 Klinikens prenumeration och fakturering

Klinikens valda plattformsplan, faktureringshistorik och fakturor, antal personalplatser samt den provisionssats som individuellt avtalats med den Kliniken för marknadsplatsförsäljning den hänvisar.

3.4 Leverantörens verksamhets- och utbetalningsinformation

Leverantörs-/varumärkesnamn, land, provisionssats och utbetalningskontouppgifter, hanterade via vår betalningsleverantörs produkt för anslutna konton (Stripe Connect) — vi innehar inte själva ditt bankkontonummer; det lämnas direkt till betalningsleverantören under registreringen.

3.5 Vad klinikpersonal får se om en klient — endast med klientens samtycke

När en klient aktivt kopplat sig till en Klinik och separat samtyckt till att dela sin information med den specifika Kliniken, kan personal vars roll tillåter det se: klientens kontaktuppgifter; de delar av dennes hudprofil och hudanalyshistorik som klienten samtyckt till att dela; klientens rutin, inklusive eventuella klinikgjorda justeringar; meddelanden klienten skickar till den Kliniken; och, för en specialistroll specifikt, kliniska anteckningar som förts om relationen. Personal ser aldrig klientens konversation med vår AI-assistent — se /sv/pages/privacy avsnitt 3.6, som gäller utan undantag för varje Klinik. Varje åtkomst en personalmedlem gör till en klients uppgifter loggas (aktör, åtgärd, tidpunkt).

4. Hur vi använder Klinikens och Leverantörens information

För att driva kontot (personalinbjudningar, behörighetshantering, fakturering); för att hantera Klinikens plattformsprenumeration och, separat, Leverantörsutbetalningar; för att visa Kliniken i sökresultat för "Hitta en klinik"; för att styra en klients meddelanden, bokningsförfrågningar och rutingodkännandeförfrågningar till rätt Klinik; för att beräkna och betala provision som en Klinik har rätt till på marknadsplatsförsäljning den hänvisar; för att upptäcka och förhindra bedrägeri eller missbruk; samt för att uppfylla våra egna rättsliga, skatte- och bokföringsskyldigheter.

5. Rättslig grund

Uppgift	Rättslig grund
Registrering av Klinik/Leverantör, personalkonton, fakturering	Fullgörande av avtalet mellan oss och Kliniken/Leverantören
Utbetalningskontouppgifter	Fullgörande av avtal; behandlas huvudsakligen av vår betalningsleverantör som personuppgiftsbiträde
En klients uppgifter synliga för klinikpersonal	Klientens eget uttryckliga samtycke, per Klinik — vi behandlar det som klientens valda personuppgiftsbiträde till förmån för den Kliniken, inte på en grund vi själva oberoende innehar
Granskningsloggar över personalens åtkomst till klientuppgifter	Berättigat intresse (ansvarsskyldighet och säkerhet) och, där Kliniken är personuppgiftsansvarig för dessa uppgifter, en gemensam skyldighet att kunna visa lämpliga åtkomstkontroller
Provisionsberäkning och finansiella underlag	Fullgörande av avtal; rättslig förpliktelse (skatt/bokföring)

6. Delning

Vi delar Klinik- och Leverantörsinformation endast i den mån det är nödvändigt för att driva Plattformen: med vår betalningsleverantör för fakturering och utbetalningar; med våra hosting- och e-postunderleverantörer som anges i /sv/pages/data-handling/clinics-vendors avsnitt 6; samt, där en Klinik har anslutit en aviseringskanal som Telegram eller (när det aktiveras) WhatsApp, med den kanalen, begränsat till det specifika aviseringsinnehåll Kliniken valt att ta emot på det sättet. Klinikens egen registrerade kontaktadress och, där ingen sådan angetts, dess aktiva personal med ägar-/specialistroll, tar emot tjänsteaviseringar om klientaktivitet (nya meddelanden, förfrågningar, bokningar) så att en förfrågan aldrig förblir osedd bara för att ingen råkade titta i portalen.

Vi säljer inte Klinik-, personal-, Leverantörs- eller klientuppgifter.

7. Internationella överföringar

Se /sv/pages/privacy avsnitt 7 och /sv/pages/data-handling/clinics-vendors avsnitt 7 — samma underleverantörer och överföringsmekanismer gäller.

8. Lagring

Uppgift	Lagringstid
Klinikens/Leverantörens verksamhets- och personalkontouppgifter	Så länge kontot är aktivt, plus eventuell period som krävs enligt skatte-/bokföringslagstiftning därefter för finansiella underlag
Provisionsregister, utbetalningsunderlag, fakturor	Enligt tillämplig skatte-/bokföringslagstiftning
Klientuppgifter synliga för en Klinik	Styrs av klientens eget samtycke och privatpersonpolicyns lagringsregler; en Kliniks egna kliniska anteckningar om sin relation med en klient är Klinikens affärsunderlag och behålls som sådant, oberoende av om klienten senare raderar sitt eget Plattformskonto
Granskningsloggar över personalens åtkomst till klientuppgifter	Behålls som ett ansvarsskyldighetsunderlag, inklusive efter att en personalmedlems åtkomst återkallats

9. Klientförfrågningar riktade till en Klinik

Där en klient utövar en registrerads rättighet (tillgång, rättelse, radering eller invändning) avseende information som en Klinik själv är personuppgiftsansvarig för (till exempel dess egna kliniska anteckningar) ansvarar Kliniken för att svara i egenskap av personuppgiftsansvarig för den informationen, och vi kommer att stödja Kliniken i detta i egenskap av dess personuppgiftsbiträde. Där begäran gäller uppgifter vi själva är ansvariga för (klientens Plattformskonto) hanterar vi den enligt /sv/pages/data-handling avsnitt 9, inklusive att i förekommande fall avsluta eventuell väntande begäran klienten hade öppen hos Kliniken och underrätta Klinikens eget register i enlighet med detta.

10. Personalens tystnadsplikt

Åtkomst till klientuppgifter via Plattformen beviljas enbart för att tillhandahålla den konsultation eller behandlingsvägledning klienten begärt. Klinikpersonal får inte exportera, kopiera eller återanvända klienters personuppgifter utanför Plattformen för något annat syfte, och får inte försöka få åtkomst till en klients uppgifter utöver vad personens tilldelade roll och den klientens samtycke medger. [Anmärkning för juridisk granskning: detta bör återspeglas i klinikvillkoren/ personuppgiftsbiträdesavtalet som en bindande avtalsförpliktelse, inte enbart ett policyuttalande.]

11. Avslutande av avtal

Om en Kliniks eller Leverantörs konto avslutas behåller vi de underlag som beskrivs i avsnitt 8 under de perioder som anges där; annan operativ data (aktiva personalsessioner, cachad kataloginformation) avaktiveras. En avslutad Kliniks befintliga klienter kopplas inte automatiskt bort från sina egna privatkontons uppgifter, som fortsätter att styras av /sv/pages/privacy.

12. Enskilda personalmedlemmars rättigheter

En person som innehar ett klinikpersonalkonto är också en privatperson vars egna personuppgifter (namn, e-post, inloggningsaktivitet) vi behandlar — de har samma rättigheter som beskrivs i /sv/pages/privacy avsnitt 9 över dessa uppgifter, åtskilt från eventuella klientuppgifter de får åtkomst till i sin roll, vilka är klientens uppgifter, inte deras egna.

13. Regionsspecifika meddelanden

Se /sv/pages/privacy avsnitt 15, som gäller på samma sätt här, inklusive den öppna punkten om granskning av Gulfregionens dataskyddslagstiftning och begränsningen till kontant betalning i Syrien, som gäller för Leverantörs- och Kliniktransaktioner på samma sätt.

14. Ändringar av denna policy

Se /sv/pages/privacy avsnitt 16 — samma uppdaterings- och underrättelseprocess gäller.

15. Kontakta oss

contact@dermaid.se · [registrerad postadress]

Detta dokument är ett utkast framtaget för juridisk granskning och har ännu inte fastställts av en jurist.