Databehandleravtale (DPA)

1. Avtaleparter

• Behandlingsansvarlig («Kunden»): den registrerte virksomheten eller behandleren som benytter Clinaxia
• Databehandler: Novagenix AS (org.nr. 937 865 139, Larsneset 12, 9405 Harstad — leverandør av Clinaxia)

Avtalen aktiveres automatisk når Kunden aksepterer brukervilkårene ved registrering. Avtalen oppfyller kravene i GDPR art. 28.

2. Behandlingens formål, varighet og art

• Formål: Levering av klinisk programvare (Clinaxia) inkludert journalføring, periodontal-registrering, AI-røntgenanalyse, klinisk beslutningsstøtte og AI-assistert dokumentasjon
• Varighet: Så lenge Kunden har aktivt abonnement + 90 dager for dataeksport
• Art: Lagring, behandling, AI-analyse på instruks fra Kunden

3. Kategorier av registrerte og opplysninger

• Registrerte: Pasienter, behandlere, staff-medlemmer
• Vanlige opplysninger: navn, fødselsdato, kontaktinfo, klinikk-tilhørighet
• Særlige kategorier (art. 9): helseopplysninger (journal, røntgen, perio-status, medisinsk historikk)

4. Databehandlers plikter

• Behandler personopplysninger kun på dokumentert instruks fra Kunden
• Sikrer at autoriserte personer er underlagt taushetsplikt
• Implementerer egnede tekniske og organisatoriske tiltak iht. art. 32:
  • Kryptering i transitt (TLS 1.3) og ved hvile (AES-256)
  • RBAC + obligatorisk to-faktor for admin-konti
  • Audit-logger med 24 mnd retention
  • Sikkerhetskopier i geo-redundant lagring
  • Pen-tester årlig (CREST-sertifisert)
• Bistår Kunden med å oppfylle de registrertes rettigheter (innsyn, sletting, portabilitet)
• Varsler Kunden uten ugrunnet opphold (innen 48 timer) ved sikkerhetsbrudd

5. Sub-databehandlere

Vi benytter følgende sub-databehandlere:

Nye sub-databehandlere varsles med minst 30 dager forhåndsvarsel. Kunden kan motsette seg endringer ved å si opp avtalen uten avbrytelsesgebyr.

6. Overføring til tredjeland

Overføring til USA skjer kun til leverandører dekket av EU-godkjente standardklausuler (SCC) + ekstra tekniske tiltak (kryptering, pseudonymisering der mulig).

7. Tilbakelevering / sletting

Ved avtalens opphør gjør vi tilgjengelig en full eksport(JSON + PDF) i 90 dager. Etter 90 dager slettes alle pasientdata fullstendig (inkl. backups innen ytterligere 30 dager).

8. Revisjon

Kunden har rett til, med rimelig varsel, å gjennomføre årlig revisjon av vår etterlevelse av denne avtalen — enten ved egen revisor eller ved gjennomgang av vår ISAE 3000 / SOC 2-rapport.

9. Kontaktpunkter

Personvernrelaterte forespørsler: dpo@clinaxia.no
Sikkerhetsbrudd: security@clinaxia.no