1. Viktig information

Denna integritetspolicy förklarar hur ExorLive-gruppen (“ExorLive”, “vi”, “oss”) behandlar personuppgifter när du använder våra digitala lösningar, inklusive ExorLive-plattformen, ExorLive GO-appen och tillhörande tjänster (gemensamt kallade “Tjänsterna”).

ExorLive är en digital lösning inom träning, rehabilitering och hälsoteknologi. Lösningen används av vårdpersonal, utbildningsinstitutioner och organisationer och ger slutanvändare (patienter, medborgare, klienter eller studenter) digital tillgång till tränings- och rehabiliteringsinnehåll.

Beroende på hur Tjänsterna används kan ExorLive vara antingen personuppgiftsansvarig eller personuppgiftsbiträde för personuppgifter.

1.1 Vem policyn gäller för

Denna policy gäller för:

• Vårdpersonal och instruktörer som använder ExorLive i sitt arbete
• Representanter och anställda hos kunder och samarbetspartners
• Slutanvändare (patienter, medborgare, klienter, studenter) som använder ExorLive GO
• Användare som har skapat ett Personligt konto hos ExorLive

1.2 Information för slutanvändare (patienter, medborgare och klienter)

Om du använder ExorLive GO som en del av ett tränings- eller behandlingsprogram genom en klinik, kommun, utbildningsinstitution eller annan organisation, är det den organisationen som är personuppgiftsansvarig för de personuppgifter som behandlas i samband med tjänsten.

ExorLive behandlar i sådana fall personuppgifter på organisationens vägnar i rollen som personuppgiftsbiträde och i enlighet med ingånget personuppgiftsbiträdesavtal.

Om du dessutom skapar ett Personligt konto hos ExorLive (EPIC Account) är ExorLive personuppgiftsansvarig för personuppgifter kopplade till detta konto.

EPIC Account är ett personligt identitetskonto som gör det möjligt att:

• identifiera dig säkert via nationell e-legitimation (t.ex. BankID/MitID)
• koppla samman dina ExorLive Go-konton mellan olika organisationer
• ge dig en samlad översikt över dina kopplingar till olika organisationer.

EPIC Account ger inte i sig tillgång till tränings- eller behandlingsdata, utan fungerar som en identitets- och åtkomstmekanism till sådana tjänster.

Användning av EPIC Account är frivillig.

För frågor om behandling, registerutdrag eller radering av tränings- eller behandlingsdata ska du kontakta den organisation som tillhandahåller tjänsten. För frågor om ditt Personliga konto hos ExorLive kan du kontakta ExorLive direkt.

2. Data vi behandlar som personuppgiftsansvarig (controller)

Kategorier och exempel

• Identitet och kontakt: namn, befattning, organisation, e-post, telefon, fakturerings-/leveransadress.
• Kund- och kundrelationsdata: kontoägare, roller/behörigheter, licens-/avtalsstatus, kommunikation med oss.
• Transaktions- och finansiella data: köp, betalningar, kreditnotor, fakturadetaljer (egna personuppgifter endast om relevant).
• Tekniska data: IP-adress, inloggnings-/enhetsinformation, webbläsare/operativsystem, tidszon, appstatus-/felloggar.
• Profilerings-/användardata: kontoinställningar, preferenser, intresseval, feedback/undersökningar.
• Användningsdata: hur Tjänsterna används (funktioner, frekvens, interaktioner).
• Marknadsföring/kommunikation: samtycken, avregistreringsstatus, nyhetsbrevsinteraktioner.
• Rekrytering: CV, ansökan, intyg, anteckningar från processen.
• Evenemang/webbinarier: namn, e-post, telefon, organisation/roll, bransch, deltagande.

För Personligt konto (EPIC Account) behandlar vi dessutom följande data:

• Identitetsuppgifter: namn, e-post, telefon, land, språk och personnummer
• Tekniska och säkerhetsdata: IP-adress, enhetsinformation och inloggningshistorik
• Kontoadministrationsdata: interna användar-ID:n
• Relationsdata: kopplingar mellan dina konton hos olika organisationer
• Samtyckesdata: historik över samtycken till datadelning

Dessa uppgifter används för identitetshantering, säker autentisering och korrekt sammankoppling av konton.

3. Data vi behandlar som personuppgiftsbiträde (processor)

När våra kunder använder Tjänsterna för patientbehandling behandlar vi patientpersonuppgifter på deras vägnar och enligt deras instruktioner. Detta kan omfatta: identitet, åtkomstkoder, träningsprogram, resultatmått, meddelanden/feedback, följsamhet/adherence, diagnoser/klassificeringar samt eventuella medier som laddats upp av patienter.

Behandlingen sker uteslutande i enlighet med vårt personuppgiftsbiträdesavtal. Vi får inte använda data för egna ändamål och vi informerar kunden om en instruktion verkar strida mot lagstiftningen.

Vid upphörande av licens raderar eller återlämnar vi alla personuppgifter inom 90 dagar och dokumenterar raderingen på begäran.

4. Hur vi samlar in personuppgifter

• Direkt från dig: registrering, skapande av konto, köp/förnyelser, förfrågningar (försäljning, support), samtycken, rekrytering, deltagande i webbinarier/evenemang.
• Automatiskt: cookies, loggar och liknande teknologier på webbplats/app för drift, säkerhet och förbättring.

5. Ändamål och rättslig grund (ExorLive som personuppgiftsansvarig)

Ändrat ändamål: Vi använder inte data för nya, oförenliga ändamål utan att säkerställa laglig grund för behandlingen.

6. Lagring och radering

Vi lagrar personuppgifter så länge det är nödvändigt för de relevanta behandlingsändamålen och endast längre om lag kräver eller tillåter det. När data inte längre behövs raderas eller anonymiseras de på ett säkert sätt.

Så begär du radering: Skicka din begäran till support@exorlive.com. Vi kommer att begära nödvändig verifiering för att bekräfta din identitet eller behörighet (vid förfrågningar på uppdrag av andra). När kontot raderas tas åtkomster bort och vi raderar eller anonymiserar data som inte måste sparas enligt lag eller avtal. Du får en bekräftelse när raderingen är genomförd.

Radering av ett Personligt konto hos ExorLive innebär inte automatiskt att personuppgifter som behandlas av organisationer du är kopplad till via ExorLive GO raderas. För sådana uppgifter måste begäran om radering riktas till den aktuella organisationen som personuppgiftsansvarig.

7. Delning av data mellan organisationer (EPIC)

Om du använder EPIC Account kan du välja att dela data mellan organisationer du är kopplad till (till exempel vid byte av behandlare eller uppföljning hos en ny organisation).

Sådan delning sker endast när:

• du har lämnat ett uttryckligt och informerat samtycke,
• du aktivt har valt vilka data som ska delas, och
• den mottagande organisationen är aktiverad för att ta emot sådana data i systemet.

Delningen omfattar endast de uppgifter du har valt att göra tillgängliga och ger inte automatisk åtkomst till övriga data eller andra organisationer du är kopplad till.

Du kan när som helst återkalla ditt samtycke till fortsatt delning. Detta stoppar framtida delning men påverkar inte behandling av data som redan mottagits av en organisation.

ExorLive är inte personuppgiftsansvarig för den mottagande organisationens fortsatta behandling av data efter delningen. Detta regleras av den aktuella organisationens eget personuppgiftsansvar.

8. Överföring till tredjeland

ExorLive-gruppen behandlar och lagrar personuppgifter inom EU/EES. Våra kärnleverantörer använder datacenter i Irland.

Vissa organisationer kan ha köpt särskilda lagringslösningar för data som behandlas inom organisationens egen lösning, inklusive geografisk lagring inom Norden. Detta omfattar inte data kopplade till identitetslösningen i EPIC Account.

Om data i särskilda fall överförs eller görs tillgängliga för koncernbolag eller underleverantörer utanför EES säkerställer vi en motsvarande skyddsnivå genom att:

• genomföra överföringsbedömningar (TIA) och nödvändiga kompletterande åtgärder (tekniska och organisatoriska),
• stödja oss på ett giltigt adekvansbeslut (t.ex. EU–US Data Privacy Framework) eller säkerställa implementering av SCC:er.

Vi överför aldrig mer data än nödvändigt och du kan kontakta oss på support@exorlive.com för mer information om aktuella mekanismer och gällande underbiträden.

9. Säkerhet

Vi har etablerade tekniska och organisatoriska åtgärder för att skydda personuppgifter mot obehörig åtkomst, ändring, förlust och missbruk. ExorLive är certifierat enligt ISO/IEC 27001. Åtkomst ges enligt principen om minsta möjliga behörighet och omfattas av sekretess.

Information lagras och överförs krypterat. I vissa fall kan personuppgifter även vara pseudonymiserade genom särskilda säkerhetslösningar där organisationen har valt eller köpt sådan lagring.

Vi har rutiner för hantering av potentiella incidenter och kommer att underrätta där lagen kräver det.

10. Dina rättigheter

Inom ramen för GDPR:s villkor och undantag har du rätt att:

• få tillgång till vilka personuppgifter vi behandlar om dig,
• begära rättelse av felaktiga eller ofullständiga uppgifter,
• begära radering (“rätten att bli bortglömd”) när villkoren är uppfyllda,
• invända mot behandling baserad på berättigat intresse och motsätta dig direktmarknadsföring,
• begära begränsning av behandling,
• dataportabilitet (för data du lämnat till oss, som behandlas automatiskt och baseras på samtycke eller avtal),
• återkalla samtycke när behandlingen grundas på samtycke (utan att det påverkar laglig behandling innan återkallelsen).

Vi svarar så snabbt som möjligt och normalt inom 30 dagar. Vid komplexa förfrågningar kan tidsfristen förlängas efter meddelande. Du kan kontakta oss på dpo@exorlive.com för att utöva dina rättigheter.

11. Barn

Tjänsterna riktar sig inte till barn. Vi samlar inte medvetet in personuppgifter om barn under 13 år utan vårdnadshavares samtycke som personuppgiftsansvarig. Om du tror att ett barn har lämnat uppgifter till oss utan vårdnadshavares samtycke, kontakta support@exorlive.com. 

12. Kontakt och klagomål

Personuppgiftsansvarig/DPO: Thomas Vesth Bjerregaard
E-post: dpo@exorlive.com
Adress: ExorLive AS, Hovfaret 4, 0275 Oslo, Norge
Org.nr: 985 542 597

Du kan alltid lämna in klagomål till Integritetsskyddsmyndigheten. Vi uppskattar möjligheten att först försöka lösa ärendet direkt med dig, så kontakta oss gärna.