Persónuverndaryfirlýsing Souldis

Gildir fyrir: souldis.com og Souldis appið

Ábyrgðaraðili: tvískipt eftir tegund upplýsinga, sjá kafla 2. Meðferðarstofan þín er ábyrgðaraðili sjúkraskrárinnar og Sáltækni ehf. (kt. 520123-0830) er ábyrgðaraðili reikningsins og vettvangsins.

Síðast uppfært: 16. september 2026

This notice is written in Icelandic. If you have questions in English, contact us at personuvernd@souldis.com.

Þessi yfirlýsing útskýrir hvaða upplýsingar við söfnum um þig, hvers vegna, á hvaða lagagrundvelli, hverjir fá þær og hvaða réttindi þú hefur. Ef eitthvað er óljóst máttu alltaf hafa samband við okkur (sjá neðst).

1. Rekstraraðili Souldis og tengiliður

Souldis er stafrænn vettvangur fyrir geðheilbrigðisþjónustu. Souldis er vörumerki og appið er rekið af:

Fyrirtæki: Sáltækni ehf.
Kennitala: 520123-0830
Heimilisfang: Gróska, Bjargargata 1, 102 Reykjavík
Persónuverndarfulltrúi: Scaling Legal ehf.
Netfang vegna persónuverndar: personuvernd@souldis.com

2. Ábyrgð á upplýsingunum: meðferðarstofan og Sáltækni

Ábyrgðin á upplýsingunum ræður því hverjum þú átt að snúa þér til.

Sjúkraskráin þín (allt sem verður til í Souldis í tengslum við meðferð þína, sjá skýringuna hér að neðan) heyrir undir ábyrgð meðferðaraðilans og starfsstöðvar hans. Þeir eru ábyrgðaraðili þessara heilbrigðisupplýsinga að lögum. Sáltækni geymir og vinnur þessar upplýsingar fyrir þeirra hönd, samkvæmt skriflegum vinnslusamningi, og notar þær ekki í eigin þágu.
Reikningurinn þinn og vettvangurinn sjálfur (aðgangur, innskráning, öryggi, þjónusta og greiðslur) heyrir undir ábyrgð Sáltækni. Þar erum við ábyrgðaraðili.

Til sjúkraskrárinnar telst allt sem verður til í Souldis í tengslum við meðferðina þína. Það eru nóturnar og klínísku athugasemdirnar sem meðferðaraðilinn skráir, spurningalistar og matslistar sem hann leggur fyrir þig ásamt svörum þínum, skrifleg samskipti ykkar í appinu og viðhengi þeirra, verkefni og æfingar sem hann setur þér ásamt svörum þínum, líðanarskráning og önnur gögn sem þú deilir með honum vegna meðferðarinnar, lyfjaskráning og skráning viðtala sem haldin hafa verið (dagsetning, tegund viðtals og meðferðaraðili). Efni sem þú skráir að eigin frumkvæði og hefur ekki deilt með meðferðaraðila er utan sjúkraskrárinnar. Það verður hluti af sjúkraskránni frá því augnabliki sem þú deilir því með honum, og þá gilda reglur sjúkraskrárinnar um það upp frá því. Dæmi: spurningalisti sem þú opnar að eigin frumkvæði í appinu og svarar án þess að senda hann er utan sjúkraskrárinnar, en um leið og þú sendir hann meðferðaraðilanum verða svörin hluti af sjúkraskránni og fylgja reglum hennar um varðveislu og eyðingu. Ef vafi er á því hvort tiltekin gögn tilheyri sjúkraskránni eru þau meðhöndluð sem sjúkraskrárgögn þar til umsjónaraðili sjúkraskráa hjá meðferðarstofunni ákveður annað skriflega.

3. Upplýsingar sem unnar eru og tilgangur vinnslunnar

3.1 Sjúkraskrárupplýsingar, á ábyrgð meðferðarstofunnar

Þessar upplýsingar verða til í meðferðinni þinni og tilheyra sjúkraskrá meðferðarstofunnar. Sáltækni hýsir þær, flytur þær á milli þín og meðferðaraðilans, birtir þær ykkur og tekur öryggisafrit, allt fyrir hönd stöðvarinnar samkvæmt skriflegum vinnslusamningi. Sáltækni les þær ekki, notar þær ekki í eigin tilgangi og eyðir þeim ekki að eigin frumkvæði.

Heilbrigðis- og meðferðarupplýsingar (sjúkraskráin): greiningar, lyf, ofnæmi, aðrar heilsufarsupplýsingar, nótur og klínískar athugasemdir úr viðtölum, svör þín við spurningalistum og matslistum sem meðferðaraðilinn leggur fyrir þig, skilaboð milli þín og meðferðaraðila og viðhengi þeirra, verkefni og æfingar sem hann setur þér og svör þín við þeim, líðanarskráning sem þú deilir með honum og skráning viðtala sem haldin hafa verið. Þetta eru viðkvæmar persónuupplýsingar, þær tilheyra sjúkraskránni og eru unnar sem hluti af heilbrigðisþjónustunni (sjá hlutverkin í kafla 2).
Skjöl og skrár: viðhengi sem þú sendir meðferðaraðilanum í spjalli tilheyra sjúkraskránni.
Samskipti: skilaboð milli þín og meðferðaraðila eru hluti af sjúkraskránni og eru talin upp hér að ofan.
Bókanir: þegar viðtalið hefur verið haldið verður skráning þess hluti af sjúkraskránni.

3.2 Upplýsingar sem Sáltækni ber ábyrgð á

Þessar upplýsingar þarf Sáltækni til að reka reikninginn þinn og vettvanginn. Þar er Sáltækni ábyrgðaraðili.

Auðkenni og tengiliðaupplýsingar: nafn, netfang, símanúmer, fæðingardagur, heimilisfang, kyn, prófílmynd. Til að stofna og reka reikninginn þinn og hafa samband við þig.
Efni sem þú skráir að eigin frumkvæði: svör við spurningalistum, verkefnum eða æfingum sem þú vinnur í appinu án þess að deila þeim með meðferðaraðila, og líðanarskráning sem þú hefur ekki deilt með honum. Þetta eru heilsufarsupplýsingar utan sjúkraskrár og við vinnum þær á grundvelli samþykkis þíns (sjá kafla 4).
Innskráning og öryggi: lykilorð (aðeins geymt sem dulkóðað gildi), innskráningarsaga, tveggja þrepa auðkenning, einnota kóðar og setulyklar. Til að halda aðganginum þínum öruggum.
Staðfesting auðkennis með rafrænum skilríkjum: ef þú staðfestir hver þú ert með rafrænum skilríkjum geymum við kennitöluna þína (á öruggu formi) og nafn þitt eins og það er skráð í Þjóðskrá, til að tengja staðfest auðkenni við reikninginn þinn. Auðkenni annast auðkenninguna sjálfa.
Bókanir: tímar, staða, þátttakendur, breytingar og áminningarstillingar. Bókun sem ekki hefur farið fram er utan sjúkraskrár.
Greiðslur: upphæðir, staða og tilvísunarnúmer færslna. Við geymum aldrei kortanúmer og kortagreiðslur fara í gegnum Straumur og Adyen.
Skjöl og skrár: prófílmyndir og (fyrir meðferðaraðila) staðfestingarskjöl um réttindi.
Samskipti: við geymum líka skrá yfir tölvupósta sem kerfið sendir þér og hvernig þeir afhentust.

Við söfnum ekki auglýsingaauðkennum og appið inniheldur enga auglýsinga- eða markaðsgreiningu.

4. Lagagrundvöllur vinnslunnar

Lagagrundvöllur vinnslunnar fer eftir því hvers konar upplýsingar eiga í hlut.

Sjúkraskrárupplýsingar (kjarni meðferðarinnar, þar á meðal spjallskilaboð við meðferðaraðilann, svör þín við spurningalistum og verkefnum og líðanarskráning sem þú hefur deilt með honum): unnar á grundvelli lögbundinnar skyldu til að halda sjúkraskrá samkvæmt lögum um sjúkraskrár (nr. 55/2009), ekki á grundvelli samþykkis. Þú þarft ekki að haka í samþykkisreit til að fá meðferð, og þú getur ekki afturkallað samþykki til að stöðva eða eyða sjúkraskránni, því lögin ráða því hvernig hún er varðveitt.
Reikningur og þjónusta: unnar til að veita þér þjónustuna sem þú skráðir þig í (efndir samnings) og til að halda vettvanginum öruggum (lögmætir hagsmunir af öryggi).
Greiðslur og bókhald: unnar til að ljúka færslum og til að uppfylla lagaskyldu samkvæmt bókhalds- og skattalögum.
Heilsufarsupplýsingar utan sjúkraskrár og valfrjáls vinnsla: efni sem þú skráir að eigin frumkvæði og hefur ekki deilt með meðferðaraðila er unnið á grundvelli samþykkis þíns. Sama gildir um valfrjálsa eiginleika, valfrjálsa miðlun eða markaðspósta sem eru ekki hluti af meðferðinni, ef við bjóðum slíkt einhvern tíma. Samþykkið er alltaf valfrjálst og þú getur afturkallað það hvenær sem er, án þess að það hafi áhrif á meðferðina þína.

Spjallskilaboð við meðferðaraðilann, svör við spurningalistum og matslistum sem hann leggur fyrir þig, verkefni og æfingar sem hann setur þér og líðanarskráning sem þú deilir með honum eru hluti af sjúkraskránni. Þau eru unnin á grundvelli lögbundinnar skráningarskyldu, ekki á grundvelli samþykkis, og þú þarft ekki að samþykkja neitt til þess að fá meðferð. Efni sem þú skráir að eigin frumkvæði og hefur ekki deilt er utan sjúkraskrár og byggist á samþykki þínu. Um leið og þú deilir því með meðferðaraðila færist grundvöllurinn yfir á lögbundna skylduna og efnið fylgir reglum sjúkraskrárinnar upp frá því. Afturköllun samþykkis nær því ekki til þess sem þú hefur þegar deilt.

5. Viðtakendur upplýsinga og vinnsluaðilar

Við deilum upplýsingum aðeins með þjónustuaðilum sem við þurfum til að reka vettvanginn, hvern undir vinnslusamningi. Við seljum aldrei upplýsingar og notum þær aldrei í auglýsingar. Flokkar þjónustuaðila:

Hýsing, gagnagrunnur, sjúkragagnageymsla og skráageymsla: Google Cloud (innan Evrópska efnahagssvæðisins).
Myndsímtöl í viðtölum: Zoom (rauntímastreymi, upptökur óvirkar, umferð leidd um ESB).
Tölvupóstur (virkjun, endurstilling lykilorðs, áminningar): SendGrid/Twilio (í Bandaríkjunum, undir stöðluðum samningsákvæðum ESB). Við sendum aldrei heilbrigðisupplýsingar í tölvupósti.
Greiðslur: Straumur og Adyen (þau meðhöndla kortaupplýsingarnar, við sjáum þær ekki).
Ýtitilkynningar: fyrirhugaðar og ekki virkar enn. Þær verða stilltar fyrir ESB áður en þær eru teknar í notkun.

Efni sem meðferðaraðili þinn deilir með þér, til dæmis myndbönd, getur spilast frá utanaðkomandi efnisveitum á borð við YouTube. Þegar þú spilar slíkt efni sér viðkomandi veita IP-tölu tækisins þíns, eins og við venjulega vefskoðun. Við sendum veitunni engar aðrar upplýsingar um þig.

Uppfærður listi yfir vinnsluaðila verður birtur á souldis.com. Ef þú skráir þig inn með Google eða Apple aðgangi starfa þau sem sjálfstæðir ábyrgðaraðilar að þeirri innskráningu.

6. Staðsetning gagna og flutningur út fyrir EES

Nær allar upplýsingar eru geymdar og unnar innan Evrópska efnahagssvæðisins (EES) hjá Google Cloud. Tveir þjónustuaðilar (SendGrid og Zoom) eru bandarísk fyrirtæki og fyrir þá styðjumst við við stöðluð samningsákvæði ESB. Sem viðbótaröryggi er það stefna okkar að heilbrigðisupplýsingar fari aldrei í tölvupósti.

7. Varðveislutími upplýsinga

Sjúkraskrárupplýsingar (allt sem tilheyrir sjúkraskránni, sjá kafla 2): geymdar ótímabundið í samræmi við lög um sjúkraskrár (nr. 55/2009). Eyðing upplýsinga úr sjúkraskrá er aðeins heimil með samþykki landlæknis. Þessum upplýsingum er ekki eytt að ósk samkvæmt GDPR (sjá kafla 8).
Aðgangsskrá sjúkraskrárinnar: skráin yfir það hverjir hafa lesið eða skráð í sjúkraskrána þína er varðveitt jafnlengi og sjúkraskráin sjálf og fylgir henni ef meðferðarstofan færir sjúkraskrárnar annað.
Reikningsupplýsingar og annað efni utan sjúkraskrár: geymt meðan reikningurinn er virkur, og því eytt innan skilgreinds tíma eftir lokun. Efni sem þú skráir að eigin frumkvæði og hefur ekki deilt með meðferðaraðila eyðum við líka að þinni ósk (sjá kafla 8).
Greiðslu- og bókhaldsgögn: geymd í 7 ár samkvæmt bókhaldslögum (nr. 145/1994).
Einnota kóðar og setulyklar: geymdir aðeins þar til þeir renna út.
Tæknilegar skrár um reksturinn: skrár um beiðnir og villur eru geymdar í 30 daga með auðkennum og eftir það aðeins sem talningar án persónuupplýsinga. Öryggisviðvaranir og skrá yfir afhendingu kerfispósts eru geymdar í 90 daga.
Hálfkláruð drög á þínu tæki: hálfkláruð svör við verkefnum og spurningalistum vistast eingöngu á þínu eigin tæki og berast okkur aldrei fyrr en þú velur að skila þeim. Drög eyðast við skil, við útskráningu og sjálfkrafa innan 30 daga. Undantekning eru verkefnablöð sem þú skráir í yfir lengri tíma: færslur á opnu blaði geymast á tækinu þínu á meðan blaðið er opið, og færslur sem þú hefur ekki sent meðferðaraðila þínum eyðast sjálfkrafa 30 dögum eftir að hann lokar blaðinu. Þú færð sýnilega áminningu áður en það gerist.

8. Réttindi þín samkvæmt persónuverndarlögum

Samkvæmt persónuverndarlögum átt þú rétt á að:

Fá aðgang að upplýsingum um þig og afrit af þeim.
Fá leiðrétt rangar upplýsingar.
Fá eytt upplýsingum, með þeim fyrirvara um sjúkraskrá sem lýst er hér að neðan.
Takmarka vinnslu í tilteknum tilvikum.
Flytja upplýsingar sem þú lést okkur í té á tölvutæku sniði.
Andmæla vinnslu sem byggist á lögmætum hagsmunum.

Eyðing: sjúkraskrá og aðrar upplýsingar

Þegar þú biður um að upplýsingum þínum verði eytt fer það eftir því hvers konar upplýsingar eiga í hlut:

Upplýsingar utan sjúkraskrár (til dæmis reikningurinn þinn, tengiliðaupplýsingar, tímabókanir sem ekki hafa farið fram, valfrjáls samskipti og efni sem þú skráir að eigin frumkvæði og hefur ekki deilt með meðferðaraðila): þessum eyðum við að þinni ósk og staðfestum það við þig.
Sjúkraskrárupplýsingar (allt sem tilheyrir sjúkraskránni, sjá kafla 2, þar á meðal spjallskilaboð við meðferðaraðilann, svör þín við spurningalistum og verkefnum, líðanarskráning sem þú hefur deilt og skráning viðtala sem haldin hafa verið): þeim verður ekki eytt á grundvelli GDPR-beiðni. Lög um sjúkraskrár ganga framar almennum rétti til eyðingar, og okkur er einfaldlega óheimilt að afmá sjúkraskrá að slíkri beiðni. Eyðing upplýsinga úr sjúkraskrá er aðeins heimil með samþykki landlæknis. Afmáun sjúkraskrárupplýsinga fer þannig eftir sérstakri leið: með beiðni til Embættis landlæknis, sem tekur ákvörðun um hana. Við leiðbeinum þér um þessa leið ef þú óskar þess.

Það sem þú hefur deilt með meðferðaraðilanum tilheyrir sjúkraskránni og fer landlæknisleiðina. Það sem þú skráir að eigin frumkvæði og hefur ekki deilt er utan sjúkraskrár og því eyðum við að þinni ósk. Dæmi: spurningalisti sem þú opnar að eigin frumkvæði í appinu og svarar án þess að senda hann er utan sjúkraskrár og við eyðum svörunum ef þú biður um það, en um leið og þú sendir hann meðferðaraðilanum verða svörin hluti af sjúkraskránni og þeim verður ekki eytt að þinni ósk. Þegar þú hefur deilt efni er það ekki afturkræft.

Hvernig þú beitir réttindum þínum: Reikningnum þínum getur þú eytt beint í appinu, undir prófílstillingum. Þótt þú eyðir reikningnum stendur sjúkraskráin áfram hjá meðferðarstofunni, því lög um sjúkraskrár krefjast þess. Ef lög krefjast þess að tilteknar upplýsingar séu varðveittar áfram (til dæmis bókhaldsgögn í 7 ár) lýkur eyðingunni með okkar aðstoð og við staðfestum hana við þig. Fyrir önnur réttindi, sendu okkur póst á personuvernd@souldis.com. Við svörum innan eins mánaðar. Ef beiðnin er umfangsmikil megum við lengja frestinn um allt að tvo mánuði til viðbótar og látum þig þá vita.

9. Öryggi upplýsinga

Samskipti milli tækisins þíns og okkar fara um dulkóðaða tengingu (TLS), gögn eru hýst innan EES, og aðgangur að upplýsingum er háður aðgangsstýringum sem eru hannaðar þannig að meðferðaraðili sjái aðeins sína eigin skjólstæðinga. Kortaupplýsingar fara aldrei um okkar kerfi. Við höldum áfram að styrkja verndina og uppfærum þennan kafla eftir því sem þeim aðgerðum lýkur.

10. Kvartanir og eftirlitsaðili

Ef þú ert ósátt/ur við hvernig farið er með upplýsingar þínar átt þú rétt á að kvarta til Persónuverndar:

Persónuvernd: personuvernd.is, netfang postur@personuvernd.is, sími +354 510 9600.

Ef kvörtunin snýr að heilbrigðisþjónustunni sjálfri (frekar en persónuvernd) getur þú leitað til Embættis landlæknis (landlaeknir.is). Við viljum líka gjarnan fá tækifæri til að leysa málið beint. Tengiliðaupplýsingar eru í kafla 1.

11. Breytingar á yfirlýsingunni

Við uppfærum þessa yfirlýsingu þegar vinnsla, þjónustuaðilar eða lagaskyldur breytast. Verulegar breytingar tilkynnum við í appinu og með tölvupósti áður en þær taka gildi.