Sådan behandler vi dine oplysninger.

Senest opdateret: 17. maj 2026

Denne privatlivspolitik beskriver hvordan Forma Health behandler dine personoplysninger, når du ansøger om eller modtager behandling hos os. Vi tager beskyttelsen af dine oplysninger alvorligt - særligt fordi vi behandler følsomme helbredsoplysninger og dit CPR-nummer.

1. Dataansvarlig

Forma Health drives af følgende dataansvarlige:

2. Hvilke oplysninger behandler vi?

Når du udfylder vores ansøgningsformular, opretter dig som patient eller modtager behandling, behandler vi følgende oplysninger om dig:

Almindelige personoplysninger

• Navn, postnummer og fødselsdato
• Email og telefonnummer
• Betalingsoplysninger (håndteres af Stripe - vi gemmer ikke kortdata selv)

Følsomme personoplysninger (særlige kategorier, GDPR Art. 9)

• CPR-nummer - krypteret med AES-256-GCM ved hvile
• Helbredsoplysninger - symptomer, blodprøveresultater, behandlingsplaner, journalnoter, korrespondance med læge

3. Formål med behandlingen

Vi behandler dine oplysninger for at:

• Vurdere om du er egnet til behandling hos Forma Health
• Føre lægejournal som krævet af Sundhedsloven og Autorisationsloven
• Udstede recepter, henvisninger og rekvirere blodprøver
• Levere løbende lægelig opfølgning og monitorering
• Kommunikere med dig om din behandling
• Modtage betaling, fakturere og opfylde bogføringskrav

4. Behandlingshjemmel

• Almindelige personoplysninger: GDPR Art. 6 stk. 1 litra b (kontrakt) og litra c (retlig forpligtelse)
• Helbredsoplysninger: GDPR Art. 9 stk. 2 litra a (udtrykkeligt samtykke) og litra h (sundhedspleje og behandling)
• CPR-nummer: Databeskyttelseslovens § 11 stk. 2 nr. 1, jf. Sundhedslovens kapitel 9 om journalføring
• Bogføring: Bogføringslovens § 12

5. Hvem deler vi dine oplysninger med?

Vi bruger følgende databehandlere, der alle er underlagt databehandleraftale med os og behandler dine oplysninger på vores instruks:

Databehandler	Formål	Lokation
Supabase	Patientdatabase (krypteret CPR)	EU
Netlify	Hosting af websitet	EU / US
Resend	Email-kommunikation	EU
Stripe	Betalingshåndtering	EU / US

I forbindelse med medicinsk behandling kan vi desuden dele relevante oplysninger med:

• Klinisk Biokemisk Afdeling, Herlev/Gentofte Hospital - blodprøveanalyser, via WebReq
• Rats-Apotheke, Düsseldorf, Tyskland - cross-border-recepter, jf. EU-direktiv 2012/52/EU. Kun navn og fødselsdato deles - ikke CPR-nummer
• Andre behandlere i sundhedsvæsenet - kun med dit udtrykkelige samtykke (fx praktiserende læge ved henvisning)

Overførsel af data til lande uden for EU/EØS sker kun via godkendte mekanismer (Standard Contractual Clauses eller tilsvarende garantier).

6. Hvor længe opbevarer vi dine oplysninger?

• Lægejournal: 10 år efter sidste behandling, jf. Autorisationslovens § 21 (lovpligtigt)
• Ansøgninger der ikke fører til et patientforhold: Opbevares så længe du måtte ønske at blive patient hos os, eller indtil du beder os slette dine oplysninger
• Bogføringsmateriale: 5 år, jf. Bogføringslovens § 12

Du kan til enhver tid bede os om at slette dine oplysninger - dog med forbehold for de ovenstående lovpligtige opbevaringskrav.

7. Beskyttelse af dine oplysninger

Vi tager tekniske og organisatoriske foranstaltninger for at beskytte dine oplysninger, jf. GDPR Art. 32:

• Kryptering ved hvile: Dit CPR-nummer er krypteret med AES-256-GCM
• Kryptering i transit: Al kommunikation går via HTTPS
• Adgangsstyring: Kun den ansvarlige læge har adgang til dine helbredsoplysninger og CPR
• Audit-log: Hvert opslag i CPR-data logges, jf. Sundhedslovens § 42a
• Adskilte krypteringsnøgler: Krypteringsnøgler opbevares adskilt fra de krypterede data

8. Dine rettigheder

Som registreret har du følgende rettigheder under GDPR:

• Indsigt (Art. 15) - du kan få indsigt i hvilke oplysninger vi behandler om dig
• Berigtigelse (Art. 16) - du kan få rettet forkerte oplysninger
• Sletning (Art. 17) - du kan bede os slette dine oplysninger (med forbehold for lovpligtige opbevaringskrav)
• Begrænsning (Art. 18) - du kan bede os begrænse behandlingen
• Indsigelse (Art. 21) - du kan gøre indsigelse mod behandlingen
• Dataportabilitet (Art. 20) - du kan få dine oplysninger udleveret i et struktureret, almindeligt anvendt format
• Tilbagekaldelse af samtykke - du kan til enhver tid trække dit samtykke tilbage. Tilbagekaldelse påvirker ikke lovligheden af behandling før tilbagekaldelsen.

For at gøre brug af dine rettigheder, skriv til sebastian@formahealth.dk.

9. Klage til Datatilsynet

Website og analyse

På formahealth.dk bruger vi tekniske værktøjer til at drive klinikken og forstå brugen af sitet:

• Meta Pixel og Conversions API - til måling og forbedring af annoncer på Meta (Facebook/Instagram). Pixel indlæses kun hvis du vælger «Tillad» i cookie-baren
• Umami (EU-cloud) - anonymiseret statistik over sidevisninger. Umami er sat op uden cookies til profilering og indlæses altid

Vi bruger ikke Google Ads-tag på sitet.

De værktøjer behandler typisk tekniske oplysninger som IP-adresse, browser og hvilke sider der besøges. De bruges ikke til din journal eller kliniske behandling.

Hvis du er utilfreds med vores behandling af dine personoplysninger, har du ret til at klage til Datatilsynet:

10. Ændringer i denne politik

Vi opdaterer denne politik når lovgivning eller vores praksis ændres. Den seneste version er altid tilgængelig på formahealth.dk/privatliv.html. Væsentlige ændringer meddeles via email til aktive patienter.

11. Kontakt

Har du spørgsmål om vores behandling af dine personoplysninger?