Personvern­erklæring

1.1 Primær behandling

Når plattformen vår brukes av et treningssenter eller en klinikk, er denne virksomheten behandlingsansvarlig for personopplysninger som behandles i forbindelse med trening, rehabilitering og testing.

I denne sammenhengen er Alphatek databehandler og behandler personopplysninger bare etter dokumenterte instrukser fra kunden, i samsvar med en databehandleravtale.

Personer som bruker plattformen gjennom et treningssenter eller en klinikk, bør lese virksomhetens egen personvernerklæring for informasjon om den primære behandlingen av personopplysningene sine.

Når plattformen betjenes av Alphatek-ansatte i våre lokaler, eller hos en tredjepart som ikke har avtale med Alphatek, er vi selvstendig behandlingsansvarlig, og punktene nedenfor gjelder.

1.2 Sekundær behandling for produktforbedring

Alphatek kan behandle pseudonymiserte data fra bruk av plattformen for følgende selvstendige formål:

• Produktutvikling og forbedring
• Trening og validering av algoritmer
• Statistisk analyse og sammenligning (benchmarking)
• Kvalitetssikring
• Forskning og utvikling

For slik behandling er Alphatek selvstendig behandlingsansvarlig.

Avhengig av bruken kan opplysningene Alphatek behandler omfatte:

• Alder
• Høyde og vekt
• Kjønn
• Målinger av styrke og balanse
• Målinger av funksjonell prestasjon
• Testresultater og score
• Prestasjonsdata over tid (tidsserier)

Direkte identifikatorer, som navn, e-postadresse eller telefonnummer, inngår ikke i Alphateks miljø for AI-trening.

I kliniske sammenhenger kan prestasjons- og rehabiliteringsdata være helseopplysninger etter personvernforordningen (GDPR) artikkel 9. Slike opplysninger er omfattet av ekstra sikkerhetstiltak, som beskrevet i punkt 4.

3.1 Primær behandling

Det rettslige grunnlaget for primær behandling fastsettes av treningssenteret eller klinikken som er behandlingsansvarlig.

3.2 Sekundær behandling (Alphatek som selvstendig behandlingsansvarlig)

For sekundær behandling knyttet til trening:

GDPR artikkel 6 nr. 1 bokstav f – berettiget interesse. Alphatek har en berettiget kommersiell og teknologisk interesse i å forbedre plattformens nøyaktighet, sikkerhet og pålitelighet. Interessen er vurdert opp mot de registrertes rettigheter og friheter, og disse er ikke funnet å veie tyngre, gitt pseudonymiseringen og de tekniske sikkerhetstiltakene. En fullstendig interesseavveining er tilgjengelig på forespørsel.

For sekundær behandling knyttet til klinikker og helse:

GDPR artikkel 9 nr. 2 bokstav j – vitenskapelig forskning og statistiske formål, sammen med garantiene i artikkel 89 (se punkt 4). Klinikker som er primært behandlingsansvarlige, har ansvaret for at eventuelle vilkår i nasjonal lovgivning er oppfylt før personopplysninger gjøres tilgjengelige for sekundær behandling.

Før all sekundær behandling gjennomføres følgende tiltak:

• Direkte identifikatorer fjernes fra alle datasett
• Unike, kryptografisk genererte tokener erstatter identifiserbare referanser
• Koblingsnøkler lagres separat i et sikret miljø med tilgangskontroll
• Tilgang til koblingsnøklene er strengt begrenset og logges
• Data krypteres under overføring og lagring
• Dataminimering: bare data som er nødvendige for det angitte formålet, beholdes
• Terskler for k-anonymitet brukes der det er hensiktsmessig, for å redusere risikoen for reidentifisering

Alphatek forsøker ikke å reidentifisere pseudonymiserte data. Reidentifisering er forbudt gjennom interne retningslinjer og avtaleforpliktelser for alle ansatte og underleverandører med tilgang til slike data.

Enkelte funksjoner i Alphatek-plattformen bruker algoritmestøttet analyse for å gi befolkningsbaserte prestasjonsinnsikter til bruk for klinikere og treningsfaglig personell.

Funksjonene er utformet som støtteverktøy for faglig vurdering. Resultatene skal støtte fagpersonens skjønn og utgjør ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for enkeltpersoner, slik det forstås i GDPR artikkel 22.

Alphatek følger utviklingen av AI-støttede funksjoner for å sikre at artikkel 22 og gjeldende veiledning overholdes. Hvis en funksjon endres slik at artikkel 22 får anvendelse, oppdateres denne erklæringen, og nødvendige garantier innføres.

Alphatek kan utarbeide aggregert statistikk, sammenligningsgrunnlag og bransjerapporter basert på bruk av plattformen. Slike resultater:

• identifiserer ikke enkeltpersoner
• identifiserer ikke enkeltkunder
• er anonyme data og ikke personopplysninger etter GDPR

Aggregerte, anonyme statistiske resultater kan brukes eller lisensieres for lovlige forretningsformål.

Alphatek selger, lisensierer eller kommersialiserer ikke personopplysninger eller pseudonymiserte data. Bare resultater som er gjort fullstendig anonyme og ikke er personopplysninger, kan kommersialiseres.

Alphatek selger ikke identifiserbare personopplysninger.

Aggregerte, anonymiserte statistiske resultater kan deles med eller lisensieres til tredjeparter, som beskrevet i punkt 6.

Personopplysninger Alphatek behandler som databehandler, deles ikke med andre enn i samsvar med dokumenterte instrukser fra den behandlingsansvarlige eller rettslige forpliktelser.

Når underleverandører benyttes, sikrer Alphatek at tilsvarende personvernforpliktelser er avtalt. En liste over gjeldende underleverandører er tilgjengelig på forespørsel.

8.1 Som databehandler

Lagringstiden følger kundens avtale og databehandleravtale. Alphatek sletter eller tilbakeleverer personopplysninger innen 90 dager etter at den aktuelle avtalen er avsluttet, og sikkerhetskopier tømmes innen 180 dager, med mindre lovpålagte lagringsplikter gjelder.

8.2 Som selvstendig behandlingsansvarlig (sekundær behandling)

Pseudonymiserte datasett som brukes til produktutvikling og trening av algoritmer, lagres i følgende veiledende perioder:

• Datasett for trening og validering av algoritmer: inntil 5 år fra pseudonymiseringen, med jevnlig vurdering av om de fortsatt er nødvendige
• Datasett for sammenligning og statistikk: inntil 5 år fra de ble laget
• Dokumentasjon for kvalitetssikring: inntil 5 år

Lagringstidene vurderes årlig. Data slettes eller anonymiseres ytterligere når de ikke lenger er nødvendige for formålet.

9.1 Når Alphatek er databehandler

Henvendelser om personopplysninger som behandles på vegne av et treningssenter eller en klinikk, må rettes til denne virksomheten. Alphatek bistår den behandlingsansvarlige med å svare, slik GDPR artikkel 28 krever.

9.2 Når Alphatek er selvstendig behandlingsansvarlig

Du kan utøve følgende rettigheter knyttet til sekundær behandling ved å kontakte Alphatek direkte:

• Rett til innsyn (artikkel 15)
• Rett til retting (artikkel 16)
• Rett til sletting (artikkel 17), der det er aktuelt
• Rett til begrensning av behandlingen (artikkel 18)
• Rett til å protestere (artikkel 21), også mot behandling basert på berettiget interesse

Kontakt: privacy@alphatek.ai

Du har også rett til å klage til Datatilsynet når som helst: www.datatilsynet.no.

Alphatek har innført egnede tekniske og organisatoriske tiltak i samsvar med GDPR artikkel 32, blant annet:

• Kryptering under overføring og lagring
• Rollebasert tilgangskontroll og sterk autentisering
• Logging og overvåking
• Separat lagring av koblingsnøkler for pseudonymisering
• Rutiner for hendelseshåndtering og brudd på personopplysningssikkerheten
• Jevnlige sårbarhetsvurderinger og sikkerhetstester

Behandlingen skjer hovedsakelig innenfor EU/EØS. Når personopplysninger overføres til land utenfor EU/EØS, sikrer Alphatek at kapittel V i GDPR overholdes gjennom egnede garantier, blant annet EUs standard personvernbestemmelser (SCC) eller vedtak om tilstrekkelig beskyttelsesnivå.

Skjemaene for demo og pris er midlertidig stengt for kundehenvendelser. Mens de er stengt, kan du ikke sende inn personopplysninger gjennom disse skjemaene.

Før skjemaene åpnes, oppdaterer vi denne erklæringen med hvilke opplysninger vi samler inn, formål, rettslig grunnlag, lagringssteder og lagringstider, og hvordan du kan bruke rettighetene dine.

Har du spørsmål om personvern, kan du kontakte privacy@alphatek.ai. Ikke send pasientopplysninger eller personlige testresultater.

Vi måler foreløpig ikke besøk på nettsiden. Hvis vi tar det i bruk, bruker vi Cloudflare Web Analytics til å telle besøk og måle hvor raskt sidene lastes, uten informasjonskapsler.

Cloudflare oppgir at tjenesten ikke samler inn eller bruker personopplysninger om besøkende, og ikke sporer enkeltbesøkende på tvers av nettsteder. Vi ser bare samlede tall, som sidevisninger, henvisende nettsteder, land, enhetstyper og lastetider.

Cloudflare behandler opplysningene som vår databehandler. Overføring utenfor EU/EØS er omtalt i punkt 11.

Hvis Google Analytics aktiveres, bruker vi det bare med ditt samtykke. Se punkt 14 for hvordan det fungerer og hvordan du endrer valget ditt.

Kartet over steder der du kan prøve Alphatek, henter kartbilder direkte fra OpenStreetMap når du blar ned til det. OpenStreetMap mottar da nettleserens IP-adresse og de tekniske opplysningene som trengs for å levere bildene.

Informasjonskapsler (cookies) er små tekstfiler som et nettsted lagrer i nettleseren din. Noen nettsteder bruker også lokal lagring eller øktlagring i nettleseren. Her står alt alphatek.no lagrer i nettleseren din.

Google Analytics er foreløpig ikke aktivert på nettsiden. Beskrivelsen nedenfor gjelder ved eventuell aktivering. Da blir også valget i bunnteksten tilgjengelig.

Nødvendig lagring

Disse informasjonskapslene og lagringene settes bare når du gjør et valg på nettsiden, og trengs for at siden skal huske valget. De krever ikke samtykke og brukes aldri til statistikk eller markedsføring.

Statistikk (bare med ditt samtykke)

Hvis du godtar statistikk, bruker vi Google Analytics til å forstå hvordan nettsiden brukes, for eksempel hvilke sider som besøkes og hvordan besøkende beveger seg mellom dem. Google Analytics lastes ikke i det hele tatt før du har godtatt.

Vi har slått av Google signals og annonsefunksjoner, og opplysningene brukes ikke til annonsering. Google oppgir at Google Analytics 4 ikke logger eller lagrer IP-adresser. Google behandler opplysningene som vår databehandler. Overføring utenfor EU/EØS er omtalt i punkt 11.

Rettslig grunnlag: ditt samtykke (personvernforordningen artikkel 6 nr. 1 bokstav a og ekomloven).

Endre valget ditt

Du kan når som helst endre eller trekke tilbake samtykket med «Innstillinger for informasjonskapsler» nederst på hver side. Trekker du det tilbake, sletter vi informasjonskapslene fra Google Analytics og stopper statistikken. Du kan også slette informasjonskapsler i nettleserens innstillinger.

Tjenester som ikke bruker informasjonskapsler

Cloudflare Web Analytics bruker ikke informasjonskapsler. Kartet fra OpenStreetMap, som er beskrevet i punkt 13, setter ikke sporingskapsler; kartbilder kan lagres i nettleserens vanlige mellomlager.

Alphatek kan oppdatere denne personvernerklæringen. Vesentlige endringer varsles til berørte kunder via plattformen eller direkte.

Gjeldende versjon er alltid tilgjengelig på https://www.alphatek.ai/nb/personvern, og datoen for siste oppdatering står øverst i dokumentet.

E-post: contact@alphatek.ai

Tilsynsmyndighet:
Datatilsynet
www.datatilsynet.no