Privatlivspolitik

Norra Hamn Kliniken AB (org.nr 559249-4081), der driver Dibélle, er dataansvarlig for de personoplysninger, der behandles i forbindelse med vores virksomhed.

Adresse: Kullagatan 40, 252 20 Helsingborg, Sverige

Telefon: +46 76-209 34 43

E-mail: info@dibelle.se

Ansvarlig: Abir Mustafa, autoriseret sygeplejerske

Vi indsamler følgende kategorier af personoplysninger afhængigt af hvordan du interagerer med os:

Via kontaktformularen:

• Navn
• E-mailadresse
• Emne (valgfrit)
• Besked

Via nyhedsbrevet:

• E-mailadresse
• Dato for samtykke

Via AI-chatten (Dibélle AI, med dit samtykke):

• Dine beskeder og Dibélle AI's svar med personnumre, telefonnumre og e-mailadresser maskeret
• En forkortet IP-adresse, omtrentligt land og region, enhed og browser
• En tilfældig chatnøgle (ikke koblet til identitet)
• Hvilken side du er på

Via hjemmesidebesøg (med analysesamtykke):

• IP-adresse (anonymiseret af Google Analytics)
• Enheds- og browserinformation
• Besøgte sider og interaktion
• Geografisk placering (byniveau)
• En sessionStorage-nøgle (slettes når fanen lukkes) til at gruppere sidevisninger til en besøgsrejse

Med samtykke til markedsføring:

• De oplysninger, der sendes til Meta, se afsnittet om Meta

Via booking hos Bokadirekt:

• Bookingdata håndteres af Bokadirekt AB iht. deres privatlivspolitik. Vi har ikke adgang til dine betalingsoplysninger.

Til spambeskyttelse og begrænsning af antallet af forespørgsler:

• Din IP-adresse, når du sender en formular, bruger et link i en SMS eller et nyhedsbrev eller chatter. Den gemmes i Upstash Redis (EU, Irland) og slettes automatisk cirka to timer efter din seneste forespørgsel.
• Når du søger på siden og i besøgsstatistikken, tælles IP-adressen kun i serverens arbejdshukommelse, i et vindue på højst en time, og gemmes aldrig i en database.

Vi behandler dine personoplysninger til følgende formål:

• Besvare henvendelser (kontaktformular). Retsgrundlag: Legitim interesse i at yde god kundeservice
• Håndtere bookinger (via Bokadirekt). Retsgrundlag: Opfyldelse af kontrakt
• Analysere webtrafik (Google Analytics). Retsgrundlag: Samtykke
• Forbedre hjemmesidens ydeevne (Vercel Analytics). Retsgrundlag: Legitim interesse (ingen cookies, ingen personoplysninger)
• Besvare spørgsmål i AI-chatten og følge op på kvaliteten (Dibélle AI). Retsgrundlag: Samtykke
• Måle og vise relevante annoncer på Facebook og Instagram (Meta). Retsgrundlag: Samtykke
• Overholdelse af bogføringslov. Retsgrundlag: Retlig forpligtelse

Vi sælger aldrig dine personoplysninger. Annoncemåling hos Meta sker kun med dit samtykke til markedsføring.

At afgive personoplysninger til os er frivilligt. Hvis du ikke udfylder kontaktformularen eller nyhedsbrevet, kan du stadig bruge hjemmesiden og booke via Bokadirekt. Kontaktformular og nyhedsbrev er valgfri tjenester.

For faktisk at booke en behandling har Bokadirekt (tredjepart, særskilt dataansvarlig) brug for visse oplysninger i henhold til aftale.

Vores hjemmeside bruger cookies og lokal lagring (localStorage) i overensstemmelse med LEK (2022:482) kap. 9 § 28 og ePrivacy-direktivet (2002/58/EF) art. 5(3). Vi deler dem op i fire kategorier, som du selv vælger i vores cookiebanner:

Nødvendige (altid aktive, kræver ikke samtykke):

• Samtykkesindstilling: gemmer dit cookievalg (localStorage, 6 måneder)
• Sessiondata: AI-chat under det aktuelle besøg (sessionStorage, slettes når fanen lukkes)
• Samtykke til AI-chatten: at du har godkendt vilkårene i chatten (localStorage, indtil du trækker samtykket tilbage i chatten eller rydder browserdata)

Analyse (kræver dit samtykke):

• Google Analytics 4: måler hjemmesidetrafik og adfærd. Aktiveres først efter dit samtykke via cookiebanneret.

Funktionelle (kræver dit samtykke):

• Chathistorik: gemmer din samtale med Dibélle AI til genbesøg (localStorage, 7 dage)
• Behandlingsanbefalinger: aggregeret anonym data om hvilke behandlinger besøgende ser bruges til at vise anbefalinger

Markedsføring (kræver dit samtykke, slået fra som udgangspunkt):

• Meta: måler vores annoncer på Facebook og Instagram, se afsnittet om Meta (cookies, 90 dage)

Du kan til enhver tid ændre dit valg under cookieindstillinger, lige så nemt som du gav det. Banneret vises igen efter 6 måneder.

Med analysesamtykke bruger vi to værktøjer:

Google Analytics 4 (Google Ireland Limited, databehandler):

• Måler sidevisninger, sessionslængde, enhedstype, trafikkilde
• IP-adressen anonymiseres inden den når Googles servere
• Google Consent Mode v2: tjenesten indlæses slet ikke før samtykke
• Dataopbevaring i GA4: op til 14 måneder

Microsoft Clarity (Microsoft Corporation, egen dataansvarlig):

• Heatmaps og anonymiserede sessionsoptagelser
• Microsoft agerer som egen dataansvarlig og kan bruge data til egne formål iht. Microsofts privatlivspolitik (https://privacy.microsoft.com/privacystatement)
• Optagelser maskerer tekst og formularfelter
• Dataopbevaring: 30 dage til 13 måneder afhængigt af datatype

Besøgsrejse: Med analysesamtykke logger vi pseudonymt hvilke sider du besøger. Opbevares i Vercel-logs iht. deres standardretention. Uden samtykke er funktionen helt deaktiveret.

Uden analysesamtykke aktiveres ingen af disse tjenester.

Hvis du godkender markedsføring i cookiebanneret, bruger vi Meta-pixlen via Metas Conversions API til at måle, hvordan vores annoncer på Facebook og Instagram virker, og til at vise relevante annoncer. Kategorien er slået fra, indtil du selv slår den til, og uden det samtykke sendes intet til Meta.

Metas eget script indlæses ikke på hjemmesiden. Hændelserne sendes fra vores server til Meta, og adressen på den side, du besøger, forkortes altid til kun dibelle.se. Navne på behandlinger og lægemidler, indholdet af dine beskeder og produktnavne sendes aldrig.

Hvilke oplysninger:

• Cookies: _fbp (et tilfældigt browser-ID), _fbc (annoncens klik-ID, hvis du kom via en annonce) og _meta_xid (vores eget tilfældige besøgs-ID)
• IP-adresse og browser
• At du har besøgt dibelle.se, og hændelser: at du har set en behandling eller et produkt, klikket videre for at booke hos Bokadirekt, sendt en formular, lagt noget i kurven, gået til kassen eller handlet i butikken (med ordreværdi, men uden hvad du købte)
• Når du sender kontaktformularen: din e-mailadresse. Når du handler i butikken: din e-mailadresse og dit telefonnummer. Begge i hashet form (omdannet til en kode, der ikke kan læses direkte). Det er stadig personoplysninger: Meta kan matche dem med sine egne oplysninger og koble hændelsen til en konto

Selve bookingen sker hos Bokadirekt og er ikke synlig for os. Det, vi sender til Meta, er at du klikkede videre for at booke.

Retsgrundlag og ansvar: Samtykke (GDPR art. 6, stk. 1, litra a, og LEK kap. 9 § 28). Dibélle og Meta Platforms Ireland Ltd er fælles dataansvarlige for indsamlingen og overførslen af oplysningerne til Meta (EU-Domstolen, sag C-40/17 Fashion ID). For sin egen behandling derefter er Meta selvstændigt ansvarlig, se Metas privatlivspolitik. Ansvarsfordelingen mellem os og Meta står i Metas tillæg om fælles dataansvar.

Overførsel til USA: Meta Platforms Inc. er certificeret under EU-US Data Privacy Framework.

Hvor længe: _fbp, _fbc og _meta_xid gemmes i 90 dage og dit valg (meta_consent) i 180 dage. Meta gemmer oplysningerne efter sin privatlivspolitik.

Tilbagekald samtykket: Det er lige så nemt som at give det. Åbn cookieindstillingerne og slå Markedsføring fra. Så stopper vi med at sende hændelser og sletter cookies ovenfor. Behandling, der allerede er sket, påvirkes ikke.

Formularer i annoncer: Oplysninger, du sender i en formular i en af vores annoncer på Facebook eller Instagram, modtager vi og bruger kun til at kontakte dig. Retsgrundlag: din henvendelse og dit samtykke, når du sender formularen. Vi gemmer oplysningerne, så længe sagen er i gang, højst 12 måneder.

Du har blandt andet ret til indsigt, berigtigelse, sletning, begrænsning af behandlingen og dataportabilitet. Hvordan du bruger dem, og hvordan du klager til IMY, står i afsnittene Dine rettigheder og Klager.

Vi deler personoplysninger med følgende tredjeparter (databehandlere eller særskilte dataansvarlige) for at levere vores tjenester og, med dit samtykke, for at måle vores annoncer:

• Bokadirekt AB (Sverige): Bookingplatform. Særskilt dataansvarlig.
• Resend Inc. (USA): E-maillevering. Certificeret under EU-US Data Privacy Framework (2025) + SCC. Data slettes inden for 90 dage efter opsigelse.
• Vercel Inc. (USA): Hosting og serverlogs. Certificeret under EU-US Data Privacy Framework siden 2019 (aktiv, gencertificering 2026-04-29) + SCC. Underbehandlere: AWS, Microsoft Azure, Google Cloud.
• Upstash Inc. (EU-region, Irland): Redis. GDPR-kompatibel. Ingen overførsel uden for EU.
• Udbyder af AI-sprogmodeller (databehandler, servere i Singapore): Laver Dibélle AI's svar i chatten. Modtager chatindholdet og systemprompten med personnumre, telefonnumre og e-mailadresser maskeret, men aldrig din IP-adresse. Udbyderens vilkår tillader, at indholdet bruges til modeltræning. Hvilken udbyder det er, fortæller vi, hvis du spørger på info@dibelle.se. Udbyderens almindelige vilkår gælder; der er endnu ingen separat databehandleraftale (DPA) med udbyderen.
• Google Ireland Limited (GA4, Maps): Google LLC er certificeret under EU-US Data Privacy Framework + SCC. Kræver samtykke.
• Microsoft Corporation (Clarity): Certificeret under EU-US Data Privacy Framework + SCC. Microsoft er egen dataansvarlig. Kræver samtykke.
• Cloudflare Inc. (USA): DNS/CDN. Certificeret under EU-US Data Privacy Framework + SCC. Adgangslogs op til 12 måneder.
• Meta Platforms Ireland Ltd (Facebook og Instagram): Annoncemåling. Fælles dataansvarlig for indsamlingen, selvstændigt ansvarlig derefter. Meta Platforms Inc. er certificeret under EU-US Data Privacy Framework. Kræver samtykke.

Vi sælger aldrig dine oplysninger. DPA-aftaler er indgået med alle øvrige databehandlere.

Når du sender en besked via kontaktformularen, indsamler vi dit navn, din e-mailadresse og din besked. Oplysningerne bruges udelukkende til at besvare din henvendelse.

Beskeden sendes via Resend til vores e-mail. Vi gemmer ikke dine oplysninger i nogen database, de findes kun i vores indbakke.

Din IP-adresse gemmes i Upstash Redis (EU, Irland) for at forhindre misbrug (spam) og slettes automatisk cirka to timer efter din seneste forespørgsel.

Har du godkendt markedsføring, sendes din e-mailadresse i hashet form til Meta, se afsnittet om Meta. Selve beskeden sendes aldrig dertil.

Vi tilbyder et frivilligt nyhedsbrev via Resend. Vi bruger dobbelt opt-in: efter tilmelding sendes en bekræftelsesmail, som du skal klikke på inden du tilføjes. Dette opfylder kravet om udtrykkeligt samtykke i svensk markedsføringslov (2008:486).

• Retsgrundlag: Samtykke (GDPR art. 6.1.a)
• Hvad vi gemmer: Din e-mailadresse samt dato for samtykke (opbevares hos Resend som vores databehandler)
• Afmelding: Et ét-klik afmeldingslink findes i bunden af hvert nyhedsbrev (RFC 8058). Du kan også maile info@dibelle.se.
• Udbyder: Resend Inc. Data kan overføres til USA under standardkontraktbestemmelser

Har du godkendt markedsføring, får Meta at vide, at nogen har tilmeldt sig, men ikke din e-mailadresse, se afsnittet om Meta.

Efter et besøg kan vi sende én SMS med et link, hvor du kan give en anmeldelse på Google. Vi sender aldrig mere end én besked pr. nummer pr. dag, og beskeden indeholder hverken dit navn, behandlingens navn eller andet om dit besøg.

• Retsgrundlag: Samtykke (GDPR art. 6.1.a og art. 9.2.a). Du giver det på samtykkeblanketten på klinikken, og du kan trække det tilbage når som helst.
• Hvor nummeret kommer fra: Dit mobilnummer hentes fra vores bookingsystem Bokadirekt, hvor du selv angav det ved bookingen.
• Hvad vi gemmer: Dit mobilnummer, hvornår der senest blev sendt en besked, om du fulgte linket, og om du har afmeldt dig. Data opbevares hos Upstash. Vi gemmer ikke hvilken behandling du fik sammen med nummeret.
• Hvis du følger linket: Vi kan se at det blev brugt, aldrig hvad du skriver. En anmeldelse på Google er din egen, og vi kan hverken se eller påvirke den før den offentliggøres. Har du fulgt det én gang, spørger vi dig aldrig igen.
• Afmelding: Hver besked indeholder et link, der stopper beskederne med det samme. Du kan også maile info@dibelle.se. Nummeret gemmes derefter på en spærreliste. Det er den eneste måde, vi kan vide, at du ikke må kontaktes.
• Hvor længe: Linket i beskeden holder op med at virke efter 180 dage. Oplysningen om hvornår vi sidst sendte til dig slettes efter 90 dage. Spærringen gemmes, indtil du beder os fjerne den.
• Leverandør: 46elks AB sender beskeden. De er en svensk operatør efter lov om elektronisk kommunikation (2022:482) og behandler oplysningen i egen ret, ikke som vores databehandler. Vi beder dem om ikke at gemme beskedens indhold.
• Ingen automatiske afgørelser: Vi spørger alle på samme måde. Vi udvælger aldrig hvem der skal spørges efter, hvor tilfredse vi tror I er, og vi tilbyder ikke noget til gengæld for en anmeldelse.

Dibélle AI er klinikkens AI-assistent. Den svarer på spørgsmål om vores behandlinger, priser og booking. Den er ikke et menneske og erstatter aldrig en konsultation. Før du kan skrive i chatten, beder vi om dit samtykke.

Hvor dine beskeder sendes hen: Det, du skriver, sendes til en udbyder af AI-sprogmodeller (databehandler) med servere i Singapore, som laver svaret. Personnumre, telefonnumre og e-mailadresser maskeres, før udbyderen ser teksten. Udbyderens vilkår tillader, at indholdet bruges til at forbedre deres modeller. Singapore ligger uden for EU/EØS, og databeskyttelsen dér er ikke vurderet som ligeværdig med EU's. Se afsnittet om internationale dataoverførsler.

Hvad vi gemmer:

• Dine beskeder og Dibélle AI's svar. Personnumre, telefonnumre og e-mailadresser maskeres, før de gemmes.
• Hvilken side du chattede fra, og hvilket sprog siden havde
• En forkortet IP-adresse (IPv4 til /24, IPv6 til /48), omtrentligt land og region, enhedstype, browser og styresystem, og hvilken hjemmeside du kom fra
• En tilfældig chatnøgle i sessionStorage, som begrænser hvor mange beskeder en session kan sende, og som slettes, når du lukker fanen
• At du har godkendt vilkårene i chatten, i browserens localStorage, så boksen ikke vises ved hvert besøg

Chatten gemmes i Upstash Redis (EU, Irland) i op til 12 måneder til kvalitetsopfølgning, fejlsøgning og for at opdage misbrug, og slettes derefter automatisk. Har du godkendt analysecookies, havner spørgsmål og svar desuden i en liste, som vi bruger til at forbedre vores svar og behandlingstekster. Listen beholder kun de seneste 500 spørgsmål og intet af dem i mere end 12 måneder; ældre fjernes automatisk.

Retsgrundlag: Dit samtykke (GDPR art. 6.1 a). Helbredsoplysninger, som du selv vælger at skrive i chatten, behandles med dit udtrykkelige samtykke (art. 9.2 a). Vi beder dig alligevel om ikke at skrive personnumre eller helbredsoplysninger. Din konsultation i klinikken dækkes af helt separate fortrolighedsregler (svensk patientdatalag).

Tilbagetrækning, indsigt eller sletning: Du trækker samtykket tilbage med ét klik på Træk samtykket tilbage under chatfeltet. Så slettes chatten i din browser, og feltet skjules, indtil du godkender vilkårene igen. Det, du allerede har skrevet, sletter vi hos os, når du beder om det: skriv til info@dibelle.se og angiv omtrent, hvornår du chattede, så finder vi samtalen. På samme måde kan du få en kopi af den. På samme adresse fortæller vi, hvilken udbyder der modtager chatbeskederne.

Chathistorik i browseren (med funktionelt samtykke): Hvis du tillader funktionelle cookies, gemmes en kopi af samtalen i browserens localStorage i op til 7 dage, så du kan fortsætte, hvor du slap. Den kopi findes kun i din browser.

Aggregeret analyse: Antallet af gange en behandling nævnes aggregeres i Upstash Redis for at identificere trendende behandlinger, uden kobling til den enkelte bruger.

På vores kontaktside viser vi et Google Maps-kort for at hjælpe dig med at finde klinikken. Når kortet indlæses, kan Google indsamle din IP-adresse og sætte cookies.

Læs Googles privatlivspolitik for mere information: https://policies.google.com/privacy

Dibélle viser før- og efterbilleder på hjemmesiden for at illustrere behandlingsresultater. Disse billeder udgør særlige kategorier af personoplysninger (helbredsoplysninger) i henhold til GDPR art. 9.

• Retsgrundlag: Udtrykkeligt skriftligt samtykke (GDPR art. 9.2.a), indhentes separat fra hver patient på en dedikeret samtykkeblanket inden offentliggørelse
• Samtykkets omfang: Hver patient får specifik information om hvordan, hvor og hvor længe billederne offentliggøres
• Ret til tilbagekaldelse: Du kan til enhver tid anmode om fjernelse af dine billeder ved at maile info@dibelle.se. Billederne fjernes hurtigst muligt, senest inden for 14 dage
• Lagring: Originalbilleder gemmes krypteret og deles ikke med tredjeparter ud over webpublicering

Hvis du genkender dig selv på et offentliggjort billede og ikke har givet samtykke, kontakt os straks. Det skal ikke kunne ske, og vi retter det samme dag.

Når du faktisk modtager en behandling hos os, gælder patientdatalagen (2008:355) og lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar (2021:363). Vi er da dataansvarlige for din patientjournal.

• Retsgrundlag: Retlig forpligtelse (GDPR art. 6.1.c) og sundhedsbehandling (art. 9.2.h)
• Journalens indhold: Anamnese, behandlingsdokumentation, produkter og doser, opfølgning
• Opbevaringstid: 10 år efter seneste notat (patientdatalagen 3 kap. 17 §)
• Tavshedspligt: Kun autoriseret personale har adgang. Tavshedspligt i henhold til patientsikkerhedsloven (2010:659)
• Tilsyn: Inspektionen för vård och omsorg (IVO)

Denne behandling er helt adskilt fra hjemmesidens databehandling. Journalen håndteres ikke via dibelle.se.

Vi bruger ikke automatiseret beslutningstagning eller profilering, der har retsvirkning eller på lignende måde væsentligt påvirker dig (GDPR art. 22).

Behandlingsanbefalinger vist i AI-chatten er informative og erstatter aldrig en personlig konsultation. Ingen booking eller behandling godkendes automatisk. Alt kræver personlig vurdering af autoriseret personale.

• Kontaktformular: Indtil din henvendelse er besvaret, plus 12 måneder til opfølgning
• AI-chatten (Dibélle AI): Op til 12 måneder
• Bookingoplysninger: Håndteres af Bokadirekt i henhold til deres politik
• Bogføringsmateriale: 7 år i henhold til svensk bogføringslov
• Google Analytics-data: Højst 14 måneder
• Formularer i annoncer på Facebook og Instagram: Så længe sagen er i gang, højst 12 måneder
• Meta-cookies (_fbp, _fbc, _meta_xid): 90 dage
• Samtykkeindstilling: 6 måneder (derefter vises cookiebanneret igen)

Når opbevaringsperioden udløber, slettes eller anonymiseres oplysningerne.

I henhold til GDPR har du følgende rettigheder:

• Ret til indsigt: Du kan anmode om at vide, hvilke data vi har om dig.
• Ret til berigtigelse: Du kan anmode om, at fejlagtige data rettes.
• Ret til sletning: Du kan anmode om, at dine data slettes, medmindre lovkrav forhindrer det.
• Ret til begrænsning: Du kan anmode om, at vi begrænser behandlingen af dine data.
• Ret til dataportabilitet: Du kan anmode om at modtage dine data i et maskinlæsbart format.
• Ret til indsigelse: Du kan gøre indsigelse mod behandling baseret på legitim interesse.
• Ret til at trække samtykke tilbage: Du kan til enhver tid trække dit samtykke tilbage, uden at det påvirker lovligheden af tidligere behandling.

Kontakt os på info@dibelle.se for at udøve dine rettigheder. Vi besvarer din anmodning inden for 30 dage.

Nogle udbydere behandler data uden for EU/EØS:

• USA (Google, Vercel, Resend, Microsoft, Cloudflare, Meta): Alle er certificeret under EU-US Data Privacy Framework, en adækvansafgørelse fra EU-Kommissionen (juli 2023). Vi har derudover SCC som backup.
• Singapore (udbyderen af AI-sprogmodeller bag Dibélle AI): Ingen adækvansafgørelse. Overførslen sker med dit udtrykkelige samtykke i chatten (GDPR art. 49.1 a). Databeskyttelsen dér er ikke vurderet som ligeværdig med EU's, og chattens samtykkeboks linker til denne privatlivspolitik, før du godkender. Personnumre, telefonnumre og e-mailadresser maskeres før overførslen.

Ønsker du ikke at din chat sendes til Singapore, brug kontaktformularen, telefon eller e-mail i stedet.

Vi træffer passende tekniske og organisatoriske foranstaltninger for at beskytte dine personoplysninger. Al datatrafik er krypteret med SSL/TLS. Adgangen til personoplysninger er begrænset til autoriseret personale.

I tilfælde af et brud på personoplysninger, der udgør en risiko for dine rettigheder, underretter vi dig og det svenske datatilsyn (IMY) inden for 72 timer.

Dibélle udfører ikke behandlinger på personer under 18 år. Vi indsamler ikke bevidst personoplysninger fra mindreårige. Hvis du er under 18 år, bedes du ikke indsende personlige oplysninger via vores hjemmeside.

Hvis du mener, at vi behandler dine personoplysninger forkert, har du ret til at indgive en klage til:

Det svenske datatilsyn (Integritetsskyddsmyndigheten, IMY)

Box 8114, 104 20 Stockholm, Sverige

Telefon: +46 8-657 61 00

E-mail: imy@imy.se

Hjemmeside: www.imy.se

Vi kan opdatere denne privatlivspolitik. Ved væsentlige ændringer informerer vi via hjemmesiden. Datoen for den seneste opdatering angives altid øverst på siden.