Integritetspolicy

Norra Hamn Kliniken AB (org.nr 559249-4081), som driver Dibélle, är personuppgiftsansvarig för de personuppgifter som behandlas i samband med vår verksamhet.

Adress: Kullagatan 40, 252 20 Helsingborg

Telefon: 076-209 34 43

E-post: info@dibelle.se

Ansvarig: Abir Mustafa, legitimerad sjuksköterska

Vi samlar in följande kategorier av personuppgifter beroende på hur du interagerar med oss:

Via kontaktformuläret:

• Namn
• E-postadress
• Ämne (valfritt)
• Meddelande

Via nyhetsbrev:

• E-postadress
• Datum för samtycke

Via AI-chatten (Dibélle AI, med ditt samtycke):

• Dina meddelanden och Dibélle AI:s svar, med personnummer, telefonnummer och e-postadresser maskerade
• En förkortad IP-adress, ungefärligt land och region, enhet och webbläsare
• En slumpmässig chattnyckel (ej kopplad till identitet)
• Vilken sida du befinner dig på

Via webbplatsbesök (med analyssamtycke):

• IP-adress (anonymiserad av Google Analytics)
• Enhets- och webbläsarinformation
• Besökta sidor och interaktion
• Geografisk plats (stadsnivå)
• En sessionsnyckel i sessionStorage (raderas när du stänger fliken) för att gruppera sidvisningar till en besöksresa

Med samtycke till marknadsföring:

• Uppgifterna som går till Meta, se avsnittet om Meta

Via bokning hos Bokadirekt:

• Bokningsuppgifter hanteras av Bokadirekt AB enligt deras integritetspolicy. Vi har inte tillgång till dina betalningsuppgifter.

För spamskydd och begränsning av antalet förfrågningar:

• Din IP-adress, när du skickar ett formulär, använder en länk i ett SMS eller nyhetsbrev eller chattar. Den sparas i Upstash Redis (EU, Irland) och raderas automatiskt cirka två timmar efter din senaste förfrågan.
• När du söker på sajten och i besöksstatistiken räknas IP-adressen bara i serverns arbetsminne, i ett fönster på högst en timme, och sparas aldrig i en databas.

Vi behandlar dina personuppgifter för följande ändamål:

• Besvara förfrågningar (kontaktformulär). Rättslig grund: Berättigat intresse att kunna ge god kundservice
• Hantera bokningar (via Bokadirekt). Rättslig grund: Fullgörande av avtal
• Analysera webbplatstrafik (Google Analytics). Rättslig grund: Samtycke
• Förbättra webbplatsens prestanda (Vercel Analytics). Rättslig grund: Berättigat intresse (inga cookies, inga personuppgifter)
• Besvara frågor i AI-chatten och följa upp kvaliteten (Dibélle AI). Rättslig grund: Samtycke
• Mäta och visa relevanta annonser på Facebook och Instagram (Meta). Rättslig grund: Samtycke
• Uppfylla bokföringslagen. Rättslig grund: Rättslig förpliktelse

Vi säljer aldrig dina personuppgifter. Annonsmätning hos Meta sker bara med ditt samtycke till marknadsföring.

Att lämna personuppgifter till oss är frivilligt. Om du inte fyller i kontaktformuläret eller nyhetsbrevet kan du fortfarande besöka webbplatsen och boka behandlingar via Bokadirekt. Kontaktformulär och nyhetsbrev är valfria tjänster.

För att faktiskt boka en behandling krävs dock att Bokadirekt (tredje part, separat personuppgiftsansvarig) samlar in vissa uppgifter enligt avtal.

Vår webbplats använder cookies och lokal lagring (localStorage) i enlighet med LEK (2022:482) kap. 9 § 28 och ePrivacy-direktivet (2002/58/EG) art. 5(3). Vi delar in dem i fyra kategorier som du själv väljer i vår cookiebanner:

Nödvändiga (alltid aktiva, kräver inget samtycke):

• Samtyckesinställning: sparar ditt val om cookies (localStorage, 6 månader)
• Sessiondata: AI-chatt under pågående besök (sessionStorage, raderas när fliken stängs)
• Samtycke till AI-chatten: att du godkänt villkoren i chatten (localStorage, tills du återkallar samtycket i chatten eller rensar webbläsarens data)

Analys (kräver ditt samtycke):

• Google Analytics 4: mäter webbplatstrafik och beteende. Aktiveras först efter ditt samtycke via cookiebannern.

Funktionella (kräver ditt samtycke):

• Chatthistorik: sparar din konversation med Dibélle AI så den finns kvar vid återbesök (localStorage, 7 dagar)
• Behandlingsrekommendationer: aggregerad anonym data om vilka behandlingar besökare tittar på används för att visa rekommendationer

Marknadsföring (kräver ditt samtycke, avstängd från början):

• Meta: mäter våra annonser på Facebook och Instagram, se avsnittet om Meta (cookies, 90 dagar)

Du kan när som helst ändra ditt val under cookieinställningar, lika enkelt som du gav det. Bannern visas på nytt efter 6 månader.

Med analyssamtycke använder vi två analysverktyg:

Google Analytics 4 (Google Ireland Limited, personuppgiftsbiträde):

• Mäter sidvisningar, sessionslängd, enhetstyp, trafikens källa
• IP-adress anonymiseras innan den når Googles servrar
• Google Consent Mode v2: tjänsten laddas överhuvudtaget inte förrän du gett samtycke
• Datalagring i GA4: högst 14 månader

Microsoft Clarity (Microsoft Corporation, egen personuppgiftsansvarig):

• Heatmaps och anonymiserade sessionsinspelningar
• Microsoft agerar som egen ansvarig och kan använda datan för egna ändamål enligt Microsofts integritetspolicy (https://privacy.microsoft.com/privacystatement)
• Inspelningarna maskerar automatiskt text och formulärfält
• Datalagring: mellan 30 dagar och 13 månader beroende på datatyp

Besöksresa (journey tracking): Med analyssamtycke loggar vi pseudonymt vilka sidor du besöker under sessionen och om du klickar på bokningsknappen. Lagras i Vercel-loggar enligt deras standardretention. Utan samtycke är funktionen helt inaktiverad.

Utan analyssamtycke aktiveras ingen av dessa tjänster och ingen data samlas in.

Om du godkänner marknadsföring i cookiebannern använder vi Meta-pixeln via Metas Conversions API för att mäta hur våra annonser på Facebook och Instagram fungerar och för att kunna visa relevanta annonser. Kategorin är avstängd tills du själv slår på den, och utan det samtycket skickas ingenting till Meta.

Metas eget skript laddas inte på webbplatsen. Händelserna skickas från vår server till Meta, och adressen till sidan du besöker kortas alltid till enbart dibelle.se. Namn på behandlingar och läkemedel, innehållet i dina meddelanden och produktnamn skickas aldrig.

Vilka uppgifter:

• Cookies: _fbp (ett slumpmässigt webbläsar-ID), _fbc (annonsens klick-ID, om du kom via en annons) och _meta_xid (vårt eget slumpmässiga besökar-ID)
• IP-adress och webbläsare
• Att du besökt dibelle.se, och händelser: att du tittat på en behandling eller produkt, klickat vidare för att boka hos Bokadirekt, skickat ett formulär, lagt något i varukorgen, gått till kassan eller handlat i butiken (med ordervärde, men utan vad du köpt)
• När du skickar kontaktformuläret: din e-postadress. När du handlar i butiken: din e-postadress och ditt telefonnummer. Båda i hashad form (omvandlade till en kod som inte kan läsas direkt). De är fortfarande personuppgifter: Meta kan matcha dem mot sina egna uppgifter och koppla händelsen till ett konto

Själva bokningen sker hos Bokadirekt och syns inte för oss. Det vi skickar till Meta är att du klickade vidare för att boka.

Rättslig grund och ansvar: Samtycke (GDPR art. 6.1 a och LEK 9 kap. 28 §). Dibélle och Meta Platforms Ireland Ltd är gemensamt personuppgiftsansvariga för insamlingen och överföringen av uppgifterna till Meta (EU-domstolen, mål C-40/17 Fashion ID). För sin egen behandling därefter är Meta självständigt ansvarigt, se Metas integritetspolicy. Ansvarsfördelningen mellan oss och Meta står i Metas tillägg om gemensamt personuppgiftsansvar.

Överföring till USA: Meta Platforms Inc. är certifierat enligt EU-US Data Privacy Framework.

Hur länge: _fbp, _fbc och _meta_xid sparas i 90 dagar och ditt val (meta_consent) i 180 dagar. Meta sparar uppgifterna enligt sin integritetspolicy.

Återkalla samtycket: Det är lika lätt som att ge det. Öppna cookieinställningarna och stäng av Marknadsföring. Då slutar vi skicka händelser och raderar cookies ovan. Behandling som redan skett påverkas inte.

Formulär i annonser: Uppgifter du skickar i ett formulär i en av våra annonser på Facebook eller Instagram tar vi emot och använder bara för att kontakta dig. Rättslig grund: din förfrågan och ditt samtycke när du skickar formuläret. Vi sparar uppgifterna så länge ärendet pågår, högst 12 månader.

Du har bland annat rätt till tillgång, rättelse, radering, begränsning av behandlingen och dataportabilitet. Hur du använder dem, och hur du klagar till IMY, står i avsnitten Dina rättigheter och Klagomål.

Vi delar personuppgifter med följande tredjeparter (personuppgiftsbiträden eller separata personuppgiftsansvariga), för att leverera våra tjänster och, med ditt samtycke, för att mäta våra annonser:

• Bokadirekt AB (Sverige): Bokningsplattform. Separat personuppgiftsansvarig.
• Resend Inc. (USA): E-postleverans. Certifierad under EU-US Data Privacy Framework sedan 2025 + SCC. Data raderas inom 90 dagar efter avslut.
• Vercel Inc. (USA): Webbhosting och serverloggar. Certifierad under EU-US Data Privacy Framework sedan 2019 (aktiv, omcertifiering 2026-04-29) + SCC. Underbiträden: AWS, Microsoft Azure, Google Cloud. Runtime-loggar sparas som standard i några dagar.
• Upstash Inc. (EU-region, Irland): Redis-databas. GDPR-kompatibel, DPA med underleverantörer. Ingen överföring utanför EU.
• Leverantör av AI-språkmodeller (personuppgiftsbiträde, servrar i Singapore): Tar fram Dibélle AI:s svar i chatten. Får chattinnehållet och systemprompten, med personnummer, telefonnummer och e-postadresser maskerade, men aldrig din IP-adress. Leverantörens villkor tillåter att innehållet används för modellträning. Vilken leverantör det är berättar vi om du frågar på info@dibelle.se. Med leverantören gäller dess allmänna villkor; något separat personuppgiftsbiträdesavtal (DPA) finns ännu inte.
• Google Ireland Limited (Google Analytics 4, Google Maps): Google LLC är certifierad under EU-US Data Privacy Framework + SCC. Kräver samtycke.
• Microsoft Corporation (Clarity): Certifierad under EU-US Data Privacy Framework + SCC. Microsoft agerar som egen personuppgiftsansvarig för Clarity-data. Kräver samtycke.
• Cloudflare Inc. (USA): DNS och CDN. Certifierad under EU-US Data Privacy Framework + SCC. Åtkomstloggar upp till 12 månader.
• Meta Platforms Ireland Ltd (Facebook och Instagram): Annonsmätning. Gemensamt personuppgiftsansvarig för insamlingen, självständigt ansvarig därefter. Meta Platforms Inc. är certifierat under EU-US Data Privacy Framework. Kräver samtycke.

Vi säljer aldrig dina uppgifter. Med övriga personuppgiftsbiträden finns DPA-avtal.

När du skickar ett meddelande via kontaktformuläret samlar vi in ditt namn, e-postadress och meddelande. Uppgifterna används enbart för att besvara din förfrågan.

Meddelandet skickas via Resend till vår e-post. Vi lagrar inte dina uppgifter i någon databas, de finns enbart i vår inkorg.

Din IP-adress sparas i Upstash Redis (EU, Irland) för att förhindra missbruk (skräppost) och raderas automatiskt cirka två timmar efter din senaste förfrågan.

Har du godkänt marknadsföring skickas din e-postadress i hashad form till Meta, se avsnittet om Meta. Meddelandet skickas aldrig dit.

Vi erbjuder ett frivilligt nyhetsbrev via Resend. Vi använder dubbel opt-in: efter anmälan skickas ett bekräftelsemail där du måste klicka en länk innan du läggs till på listan. Detta uppfyller kravet på uttryckligt samtycke i marknadsföringslagen (2008:486).

• Rättslig grund: Samtycke (GDPR art. 6.1.a)
• Vad vi sparar: Din e-postadress samt datum för samtycke (lagras hos Resend som personuppgiftsbiträde)
• Avprenumeration: En avanmälningslänk finns längst ner i varje nyhetsbrev (One-Click Unsubscribe, RFC 8058). Du kan också maila info@dibelle.se.
• Leverantör: Resend Inc. Data kan överföras till USA enligt standardavtalsklausuler

Har du godkänt marknadsföring får Meta veta att någon anmält sig, men inte din e-postadress, se avsnittet om Meta.

Efter ett besök kan vi skicka ett SMS med en länk där du kan lämna ett omdöme på Google. Vi skickar aldrig mer än ett meddelande per nummer och dag, och meddelandet innehåller varken ditt namn, behandlingens namn eller något annat om ditt besök.

• Rättslig grund: Samtycke (GDPR art. 6.1.a och art. 9.2.a). Du lämnar det på samtyckesblanketten hos kliniken, och du kan när som helst ta tillbaka det.
• Varifrån numret kommer: Ditt mobilnummer hämtas från vårt bokningssystem Bokadirekt, där du själv angav det när du bokade.
• Vad vi sparar: Ditt mobilnummer, när ett meddelande senast skickades, om du klickade på länken, och om du avregistrerat dig. Uppgifterna lagras hos Upstash. Vi sparar inte vilken behandling du fått tillsammans med numret.
• Om du klickar: Vi ser att länken användes, aldrig vad du skriver. Ett omdöme på Google är ditt eget och vi kan varken se eller påverka det innan det publiceras. Har du klickat en gång frågar vi dig aldrig igen.
• Avregistrering: Varje meddelande innehåller en länk som stänger av utskicken direkt. Du kan också maila info@dibelle.se. Numret sparas då kvar i en spärrlista, det är det enda sättet för oss att veta att du inte ska kontaktas.
• Hur länge: Länken i meddelandet slutar fungera efter 180 dagar. Uppgiften om när vi senast skickade till dig gallras efter 90 dagar. Spärren sparas tills du ber oss ta bort den.
• Leverantör: 46elks AB skickar meddelandet. De är en svensk operatör enligt lagen om elektronisk kommunikation (2022:482) och behandlar uppgiften i egen rätt, inte som vårt personuppgiftsbiträde. Vi ber dem att inte lagra meddelandets innehåll.
• Inga automatiska beslut: Vi frågar alla på samma sätt. Vi väljer aldrig ut vem som ska tillfrågas efter hur nöjd vi tror att du är, och vi erbjuder ingenting i utbyte mot ett omdöme.

Dibélle AI är klinikens AI-assistent. Den svarar på frågor om våra behandlingar, priser och bokning. Den är ingen människa och ersätter aldrig en konsultation. Innan du kan skriva i chatten ber vi om ditt samtycke.

Vart dina meddelanden går: Det du skriver skickas till en leverantör av AI-språkmodeller (personuppgiftsbiträde) med servrar i Singapore, som tar fram svaret. Personnummer, telefonnummer och e-postadresser maskeras innan leverantören ser texten. Leverantörens villkor tillåter att innehållet används för att förbättra deras modeller. Singapore ligger utanför EU/EES, och dataskyddet där har inte bedömts som likvärdigt med EU:s. Se avsnittet om internationella dataöverföringar.

Vad vi sparar:

• Dina meddelanden och Dibélle AI:s svar. Personnummer, telefonnummer och e-postadresser maskeras innan de sparas.
• Vilken sida du chattade från och vilket språk sidan hade
• En förkortad IP-adress (IPv4 till /24, IPv6 till /48), ungefärligt land och region, typ av enhet, webbläsare och operativsystem, och vilken webbplats du kom från
• En slumpmässig chattnyckel i sessionStorage, som begränsar hur många meddelanden en session kan skicka och raderas när du stänger fliken
• Att du har godkänt villkoren i chatten, i din webbläsares localStorage, så att rutan inte visas vid varje besök

Chatten sparas i Upstash Redis (EU, Irland) i upp till 12 månader för kvalitetsuppföljning, felsökning och för att upptäcka missbruk, och raderas sedan automatiskt. Om du har godkänt analyscookies hamnar frågor och svar dessutom i en lista som vi använder för att förbättra våra svar och behandlingstexter. Listan behåller bara de senaste 500 frågorna, och ingen fråga ligger kvar längre än 12 månader; äldre tas bort automatiskt.

Rättslig grund: Ditt samtycke (GDPR art. 6.1 a). Hälsouppgifter som du själv väljer att skriva i chatten behandlas med ditt uttryckliga samtycke (art. 9.2 a). Vi ber dig ändå att inte skriva personnummer eller hälsouppgifter. Din konsultation i kliniken omfattas av helt separata sekretessregler (patientdatalagen).

Återkalla, få ut eller radera: Du återkallar samtycket med ett klick på Återkalla samtycket under chattfältet. Då raderas chatten i din webbläsare och fältet försvinner tills du godkänner villkoren igen. Det du redan skrivit raderar vi hos oss när du ber om det: mejla info@dibelle.se och ange ungefär när du chattade, så hittar vi samtalet. På samma sätt får du ut en kopia av det. På samma adress berättar vi vilken leverantör som tar emot chattmeddelandena.

Chatthistorik i webbläsaren (med funktionellt samtycke): Om du godkänner funktionella cookies sparas en kopia av konversationen i webbläsarens localStorage i upp till 7 dagar, så att du kan fortsätta där du slutade. Den kopian finns bara i din webbläsare.

Aggregerad analys: Antalet gånger en behandling nämns aggregeras i Upstash Redis för att identifiera trendande behandlingar, utan koppling till enskild användare.

På vår kontaktsida visar vi en Google Maps-karta för att hjälpa dig hitta till kliniken. När kartan laddas kan Google samla in din IP-adress och sätta cookies.

Läs Googles integritetspolicy för mer information: https://policies.google.com/privacy

Dibélle visar före- och efterbilder på webbplatsen för att illustrera behandlingsresultat. Dessa bilder utgör särskilda kategorier av personuppgifter (hälsouppgifter) enligt GDPR art. 9.

• Rättslig grund: Uttryckligt skriftligt samtycke (GDPR art. 9.2.a), inhämtas separat från varje patient på en dedikerad samtyckesblankett innan publicering
• Omfattning av samtycket: Varje patient får specifik information om hur, var och hur länge bilderna publiceras
• Rätt att återkalla: Du kan när som helst begära att vi tar bort dina bilder genom att maila info@dibelle.se. Bilderna avlägsnas så snart som möjligt, senast inom 14 dagar
• Lagring: Originalbilderna lagras krypterat och delas inte med tredje part utöver webbpublicering

Om du känner igen dig själv på en publicerad bild och inte gett samtycke, kontakta oss omedelbart. Det ska inte kunna hända och vi åtgärdar det samma dag.

När du faktiskt får en behandling hos oss gäller patientdatalagen (2008:355) samt lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar (2021:363). Vi är då personuppgiftsansvariga för din patientjournal.

• Rättslig grund: Rättslig förpliktelse (GDPR art. 6.1.c) samt vård (art. 9.2.h)
• Journalinnehåll: Anamnes, behandlingsdokumentation, produkter och doser, uppföljning
• Lagringstid: 10 år efter senaste anteckning (patientdatalagen 3 kap. 17 §)
• Sekretess: Endast legitimerad personal har tillgång. Tystnadsplikt enligt patientsäkerhetslagen (2010:659)
• Tillsyn: Inspektionen för vård och omsorg (IVO)

Denna behandling är helt skild från webbplatsens databehandling. Journalen hanteras inte via dibelle.se.

Vi använder inte automatiserat beslutsfattande eller profilering som har rättslig verkan eller på liknande sätt väsentligt påverkar dig (GDPR art. 22).

Behandlingsrekommendationer som visas i AI-chatten är informativa och ersätter aldrig ett personligt konsultationsbesök. Inga bokningar eller behandlingar godkänns automatiskt, allt kräver personlig bedömning av legitimerad personal.

• Kontaktformulär: Tills din förfrågan besvarats, plus 12 månader för uppföljning
• AI-chatten (Dibélle AI): Upp till 12 månader
• Bokningsuppgifter: Hanteras av Bokadirekt enligt deras policy
• Bokföringsunderlag: 7 år enligt svensk bokföringslag
• Google Analytics-data: Högst 14 månader
• Formulär i annonser på Facebook och Instagram: Så länge ärendet pågår, högst 12 månader
• Meta-cookies (_fbp, _fbc, _meta_xid): 90 dagar
• Samtyckesinställning: 6 månader (sedan visas cookiebannern igen)

När lagringstiden löpt ut raderas eller anonymiseras uppgifterna.

Enligt GDPR har du följande rättigheter:

• Rätt till tillgång: Du kan begära att få veta vilka uppgifter vi har om dig.
• Rätt till rättelse: Du kan begära att felaktiga uppgifter korrigeras.
• Rätt till radering: Du kan begära att dina uppgifter raderas, om inte lagkrav hindrar det.
• Rätt till begränsning: Du kan begära att vi begränsar behandlingen av dina uppgifter.
• Rätt till dataportabilitet: Du kan begära att få dina uppgifter i ett maskinläsbart format.
• Rätt att invända: Du kan invända mot behandling som baseras på berättigat intresse.
• Rätt att återkalla samtycke: Du kan när som helst återkalla ett givet samtycke utan att det påverkar lagligheten av tidigare behandling.

Kontakta oss på info@dibelle.se för att utöva dina rättigheter. Vi besvarar din begäran inom 30 dagar.

Vissa tjänsteleverantörer behandlar data utanför EU/EES:

• USA (Google, Vercel, Resend, Microsoft, Cloudflare, Meta): Alla är certifierade under EU-US Data Privacy Framework, ett adekvansbeslut från EU-kommissionen (juli 2023) som gör att överföringen är säker utan ytterligare skyddsåtgärder. Vi har dessutom SCC som backup.
• Singapore (leverantören av AI-språkmodeller bakom Dibélle AI): Inget adekvansbeslut finns. Överföringen sker med ditt uttryckliga samtycke i chatten (GDPR art. 49.1 a). Dataskyddet där har inte bedömts som likvärdigt med EU:s, och chattens samtyckesruta länkar till den här integritetspolicyn innan du godkänner. Personnummer, telefonnummer och e-postadresser maskeras innan överföringen.

Vill du inte att din chatt skickas till Singapore, använd kontaktformuläret, telefon eller e-post istället.

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter. All datatrafik krypteras med SSL/TLS. Tillgången till personuppgifter är begränsad till behörig personal.

Vid en personuppgiftsincident som innebär risk för dina rättigheter meddelar vi dig och Integritetsskyddsmyndigheten inom 72 timmar.

Dibélle utför inte behandlingar på personer under 18 år. Vi samlar inte medvetet in personuppgifter från minderåriga. Om du är under 18 år, vänligen skicka inte in personuppgifter via vår webbplats.

Om du anser att vi behandlar dina personuppgifter på ett felaktigt sätt har du rätt att lämna in ett klagomål till:

Integritetsskyddsmyndigheten (IMY)

Box 8114, 104 20 Stockholm

Telefon: 08-657 61 00

E-post: imy@imy.se

Webbplats: www.imy.se

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar informerar vi via webbplatsen. Datum för senaste uppdatering anges alltid överst på sidan.