Sådan behandler vi dine oplysninger.

Senest opdateret: 17. maj 2026

Denne privatlivspolitik beskriver hvordan Forma Health behandler dine personoplysninger, når du ansøger om eller modtager behandling hos os. Vi tager beskyttelsen af dine oplysninger alvorligt — særligt fordi vi behandler følsomme helbredsoplysninger og dit CPR-nummer.

1. Dataansvarlig

Forma Health drives af følgende dataansvarlige:

2. Hvilke oplysninger behandler vi?

Når du udfylder vores ansøgningsformular, opretter dig som patient eller modtager behandling, behandler vi følgende oplysninger om dig:

Almindelige personoplysninger

• Navn, postnummer og fødselsdato
• Email og telefonnummer
• Betalingsoplysninger (håndteres af Stripe — vi gemmer ikke kortdata selv)

Følsomme personoplysninger (særlige kategorier, GDPR Art. 9)

• CPR-nummer — krypteret med AES-256-GCM ved hvile
• Helbredsoplysninger — symptomer, blodprøveresultater, behandlingsplaner, journalnoter, korrespondance med læge

3. Formål med behandlingen

Vi behandler dine oplysninger for at:

• Vurdere om du er egnet til behandling hos Forma Health
• Føre lægejournal som krævet af Sundhedsloven og Autorisationsloven
• Udstede recepter, henvisninger og rekvirere blodprøver
• Levere løbende lægelig opfølgning og monitorering
• Kommunikere med dig om din behandling
• Modtage betaling, fakturere og opfylde bogføringskrav

4. Behandlingshjemmel

• Almindelige personoplysninger: GDPR Art. 6 stk. 1 litra b (kontrakt) og litra c (retlig forpligtelse)
• Helbredsoplysninger: GDPR Art. 9 stk. 2 litra a (udtrykkeligt samtykke) og litra h (sundhedspleje og behandling)
• CPR-nummer: Databeskyttelseslovens § 11 stk. 2 nr. 1, jf. Sundhedslovens kapitel 9 om journalføring
• Bogføring: Bogføringslovens § 12

5. Hvem deler vi dine oplysninger med?

Vi bruger følgende databehandlere, der alle er underlagt databehandleraftale med os og behandler dine oplysninger på vores instruks:

Databehandler	Formål	Lokation
Supabase	Patientdatabase (krypteret CPR)	EU
Netlify	Hosting af websitet	EU / US
Resend	Email-kommunikation	EU
Stripe	Betalingshåndtering	EU / US

I forbindelse med medicinsk behandling kan vi desuden dele relevante oplysninger med:

• Klinisk Biokemisk Afdeling, Herlev/Gentofte Hospital — blodprøveanalyser, via WebReq
• Rats-Apotheke, Düsseldorf, Tyskland — cross-border-recepter, jf. EU-direktiv 2012/52/EU. Kun navn og fødselsdato deles — ikke CPR-nummer
• Andre behandlere i sundhedsvæsenet — kun med dit udtrykkelige samtykke (fx praktiserende læge ved henvisning)

Overførsel af data til lande uden for EU/EØS sker kun via godkendte mekanismer (Standard Contractual Clauses eller tilsvarende garantier).

6. Hvor længe opbevarer vi dine oplysninger?

• Lægejournal: 10 år efter sidste behandling, jf. Autorisationslovens § 21 (lovpligtigt)
• Ansøgninger der ikke fører til et patientforhold: Opbevares så længe du måtte ønske at blive patient hos os, eller indtil du beder os slette dine oplysninger
• Bogføringsmateriale: 5 år, jf. Bogføringslovens § 12

Du kan til enhver tid bede os om at slette dine oplysninger — dog med forbehold for de ovenstående lovpligtige opbevaringskrav.

7. Beskyttelse af dine oplysninger

Vi tager tekniske og organisatoriske foranstaltninger for at beskytte dine oplysninger, jf. GDPR Art. 32:

• Kryptering ved hvile: Dit CPR-nummer er krypteret med AES-256-GCM
• Kryptering i transit: Al kommunikation går via HTTPS
• Adgangsstyring: Kun den ansvarlige læge har adgang til dine helbredsoplysninger og CPR
• Audit-log: Hvert opslag i CPR-data logges, jf. Sundhedslovens § 42a
• Adskilte krypteringsnøgler: Krypteringsnøgler opbevares adskilt fra de krypterede data

8. Dine rettigheder

Som registreret har du følgende rettigheder under GDPR:

• Indsigt (Art. 15) — du kan få indsigt i hvilke oplysninger vi behandler om dig
• Berigtigelse (Art. 16) — du kan få rettet forkerte oplysninger
• Sletning (Art. 17) — du kan bede os slette dine oplysninger (med forbehold for lovpligtige opbevaringskrav)
• Begrænsning (Art. 18) — du kan bede os begrænse behandlingen
• Indsigelse (Art. 21) — du kan gøre indsigelse mod behandlingen
• Dataportabilitet (Art. 20) — du kan få dine oplysninger udleveret i et struktureret, almindeligt anvendt format
• Tilbagekaldelse af samtykke — du kan til enhver tid trække dit samtykke tilbage. Tilbagekaldelse påvirker ikke lovligheden af behandling før tilbagekaldelsen.

For at gøre brug af dine rettigheder, skriv til sebastian@formahealth.dk.

9. Klage til Datatilsynet

Hvis du er utilfreds med vores behandling af dine personoplysninger, har du ret til at klage til Datatilsynet:

10. Ændringer i denne politik

Vi opdaterer denne politik når lovgivning eller vores praksis ændres. Den seneste version er altid tilgængelig på formahealth.dk/privatliv.html. Væsentlige ændringer meddeles via email til aktive patienter.

11. Kontakt

Har du spørgsmål om vores behandling af dine personoplysninger?