Privatlivs- og cookiepolitik

Denne privatlivs- og cookiepolitik beskriver, hvordan WEBET Sp. z o.o. ("Administrator", "vi", "os", "vores") indsamler, behandler, opbevarer og beskytter dine personoplysninger i forbindelse med brug af BilligereMedicin-platformen (taniejpolek.pl). Dette dokument er udarbejdet i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (GDPR) og den polske lov om beskyttelse af personoplysninger.

1.1 Den dataansvarliges oplysninger

Den dataansvarlige for dine personoplysninger er:
WEBET SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
ul. 1 Maja 30A
45-355 Opole, Polen
NIP: 7543346806
REGON: 520717497
KRS: 0000940072 (Sąd Rejonowy w Opolu, VIII Wydział Gospodarczy KRS), selskabskapital 5 000,00 PLN
E-mail: biuro@webet.pl
Telefon: +48 798 908 242

1.2 Kontakt i databeskyttelsesspørgsmål

I alle spørgsmål vedrørende databeskyttelse kan du kontakte os:
E-mail: biuro@webet.pl
Telefon: +48 798 908 242 (man-fre, 9:00-17:00)
Pr. post: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen, mærket "Databeskyttelse"

2.1 Data, som brugeren angiver

Kontooplysninger (obligatoriske):

• E-mailadresse
• Adgangskode (opbevares udelukkende som en kryptografisk hash - bcrypt med en salt, hvilket gør det umuligt at læse adgangskoden, selv for Tjenestens administratorer)
• For- og efternavn (valgfrit)

Abonnements- og betalingsoplysninger:

• Abonnementstype (gratis, årligt)
• Abonnementsstatus og købsdato
• Betalingsoplysninger (behandlet af Stripe)
• Transaktionshistorik

Brugsdata:

• Indkøbsliste og søgte lægemidler
• Søge- og sammenligningshistorik
• Gemte brugerpræferencer
• Indholdet af samtaler med AI-Medicinskabet (tekstbeskeder; uploadede billeder gemmes ikke)
• Forespørgsler til apoteker i nærheden: varer (herunder receptpligtig medicin, som du skriver ind), by og område, enhedens placering (hvis du deler den), telefonnummer (hvis du angiver det), kommentar og samtale med apoteket, apotekets svar, afhentningskode

2.2 Automatisk indsamlede data

• IP-adresse og omtrentlig geografisk placering
• Browsertype og -version
• Operativsystem og enhedstype
• Besøgte sider og tid brugt på webstedet
• Besøgskilde (referrer)
• Tekniske sessionsdata
• Cookies og lignende teknologier

2.3 Betalingsdata

Vigtigt: Oplysningerne om dit betalingskort (kortnummer, CVV, udløbsdato) behandles udelukkende af Stripe, Inc. - en betalingsudbyder, der er certificeret efter PCI DSS Level 1. Vi opbevarer IKKE og har IKKE adgang til de fuldstændige oplysninger om dit betalingskort.

Vi opbevarer kun:

• Stripe Customer ID - en unik identifikator i Stripe-systemet
• Stripe Subscription ID - abonnementsidentifikatoren
• Stripe Payment Intent ID - transaktionsidentifikatoren
• Betalingsbeløb og valuta (i valutaen på brugerens marked)
• Betalingsstatus (afventer, gennemført, mislykkedes, annulleret)
• De sidste 4 cifre på kortet (til identifikation)

Vi behandler kun dine personoplysninger til specifikke formål og på grundlag af passende retsgrundlag i overensstemmelse med art. 6 i GDPR:

3.1 Opfyldelse af en aftale (art. 6, stk. 1, litra b), i GDPR)

• Oprettelse og administration af brugerkontoen
• Levering af tjenester til sammenligning af lægemiddelpriser
• Drift af abonnementet (gratis eller betalt)
• Betalingsbehandling
• Afsendelse af servicerelaterede beskeder
• Drift af AI-Medicinskabet samt afregning af spørgsmålskvoten og spørgepakkerne
• Håndtering af forespørgsler til apoteker i nærheden: videresendelse af apotekets svar, reservation og bekræftelse af afhentning, opgørelse af den månedlige grænse for forespørgsler

3.2 Overholdelse af retlige forpligtelser (art. 6, stk. 1, litra c), i GDPR)

• Udstedelse og opbevaring af momsfakturaer
• Opfyldelse af skattemæssige forpligtelser
• Opfyldelse af forbrugerretlige forpligtelser
• Besvarelse af anmodninger fra statslige myndigheder (i det omfang, loven kræver det)

3.3 Legitim interesse (art. 6, stk. 1, litra f), i GDPR)

• Sikring af sikkerhed og afsløring af misbrug
• Analyse og forbedring af platformens drift
• Behandling af klager og tvister
• Forfølgelse af krav eller forsvar mod krav
• Arkivering af data til compliance-formål

3.4 Samtykke (art. 6, stk. 1, litra a), i GDPR)

• Afsendelse af nyhedsbreve med tilbud og kampagner (direkte markedsføring)
• Personalisering af markedsføringskommunikation
• Indstilling og læsning af analyse- og markedsføringscookies

Nyhedsbrev - kombineret retsgrundlag:

Nyhedsbreve sendes på grundlag af tre retsgrundlag i forening: (a) art. 6, stk. 1, litra a), i GDPR - dit frivillige samtykke til behandling af din e-mailadresse; (b) art. 10, stk. 1, i den polske lov af 18. juli 2002 om levering af elektroniske tjenester - dit samtykke til at modtage kommerciel information ad elektronisk vej; (c) art. 172, stk. 1, i den polske lov af 16. juli 2004 - teleloven - dit samtykke til brug af teleterminaludstyr til direkte markedsføring. Samtykkerne indhentes samlet ved aktivt at sætte et flueben i et afkrydsningsfelt i tilmeldingsformularen. Du kan til enhver tid trække ethvert samtykke tilbage ved at klikke på linket "Afmeld" i bunden af hver e-mail eller ved at kontakte biuro@webet.pl.

Du kan til enhver tid trække dit samtykke tilbage, hvilket ikke påvirker lovligheden af den behandling, der er foretaget før tilbagetrækningen.

Vi opbevarer dine personoplysninger i perioder, der er nødvendige for at opfylde de angivne formål, under hensyntagen til de perioder, der kræves i henhold til loven:

Indkøbslisten over håndkøbsmedicin og kosttilskud, som du opretter i Tjenesten, og de beskeder, du sender til AI-Medicinskabet, kan afsløre oplysninger om dit helbred eller om helbredet hos de personer, du køber ind til. De er så helbredsoplysninger i henhold til art. 4, nr. 15, og art. 9, stk. 1, i GDPR. Vi behandler dem altid sådan, uanset hvem du køber ind til.

5.1 Retsgrundlag for behandlingen

Brugerens udtrykkelige samtykke (art. 9, stk. 2, litra a), i GDPR). Vi beder om to adskilte samtykker, hver gang det er nødvendigt: samtykke til kurven og prissammenligningen, før det første produkt lægges i kurven, og samtykke til AI-Medicinskabet, før den første besked sendes. Søgning kræver ikke samtykke. Afslag på det ene samtykke påvirker ikke det andet: uden samtykke til kurven opretter vi ingen kurv på vores server og sammenligner ikke dens pris, og uden samtykke til AI-Medicinskabet sender vi ingen beskeder. Tjenestens øvrige sider kan ses uden dem. Vi beder om et særskilt samtykke ved hver forespørgsel til apoteker i nærheden (punkt 5.8.3).

5.2 Omfang

Samtykke til kurven: navne og mængder på produkterne i kurven, herunder forsyningsplanen og de prisalarmer, der hører til kurven. Samtykke til AI-Medicinskabet: teksten i beskeder og billeder sendt til AI-Medicinskabet, indsatte lister, doser indtastet i forsyningsplanen og den produktliste, der er bygget i samtalen. Dertil punkterne i en forespørgsel til apoteker i nærheden, herunder receptpligtig medicin, du skriver, kommentaren og samtalen med apoteket (punkt 5.8). Vi knytter dem til kontoens id og uden login til et tilfældigt id for session og browser.

5.3 Formål

Samtykke til kurven: at gemme kurven og sammenligne prisen på hele kurven i de onlineapoteker, der vises i Tjenesten, og på kontoen også prisalarmer og påmindelser om kurven. Samtykke til AI-Medicinskabet: at besvare dine beskeder og gemme samtalen, så du kan vende tilbage til den, højst 12 måneder efter den sidste besked. Når du sender en forespørgsel til apoteker i nærheden, også at videregive den til disse apoteker og håndtere afhentningen (punkt 5.8).

På grundlag af det samme samtykke registrerer vi også forløbet af dit besøg: hvad du søgte efter, hvad du lagde i kurven, resultatet af sammenligningen og de links til apoteker, du åbnede. Det gør vi udelukkende for at kontrollere og forbedre søgningen og sammenligningen. Vi bruger ikke disse data til reklame eller profilering og videregiver dem ikke til annoncevirksomheder.

Hvert søgeord, du skriver i søgningen, sendes til vores server, som finder produkterne. Før du giver samtykke til kurven, gemmer vi det kun til statistik over søgningen og uden at knytte det til dig. En sådan registrering indeholder hverken id for session og browser eller IP-adresse, og tidspunktet for søgningen gemmer vi med en nøjagtighed på en dag (uden for Polen en uge). På samme måde gemmer vi, hvad der sker i søgningen før samtykket, for eksempel en skærm uden resultater eller et forslag, du har valgt. Din browser gemmer søgeordene fra det aktuelle besøg i den åbne fane og sender dem først til os igen i det øjeblik, du giver samtykke, nu knyttet til dig. Hvis du afslår eller lukker fanen, sletter browseren dem, og hos os findes de kun i statistikken over søgningen.

5.4 Tilbagetrækning af samtykke

Du kan til enhver tid trække hvert af de to samtykker tilbage, uafhængigt af det andet: med kontakten i Privatlivsindstillinger (link nederst på hver side; på kontoen: Indstillinger › Privatliv) eller ved at skrive til biuro@webet.pl. At slette en kurv er ikke en tilbagetrækning af samtykke. Når du trækker samtykket til kurven tilbage, sletter vi fra vores server de gemte kurve med deres poster, forsyningsplan, delingslinks, prishistorik og prognoser samt prisalarmer, skjulte produkter og e-mails om kurve; i registre over sammenligninger og hændelser fjerner vi koblingen til dig. Kurven, der er gemt i din browser, bliver på den enhed. Når du trækker samtykket til AI-Medicinskabet tilbage, sletter vi de gemte samtaler; kopier, der er givet til Anthropic, forsvinder dér inden for 30 dage (punkt 6.8). Optegnelsen over, at samtykke er givet og trukket tilbage, opbevarer vi i 6 år som bevis (punkt 4). Tilbagetrækning af samtykke berører ikke lovligheden af den behandling, der er sket før den. Samtykket til at videregive en forespørgsel til apoteker trækker du tilbage ved at annullere forespørgslen (punkt 5.8.8).

5.5 Ingen helbredsprofilering

Administrator bruger IKKE disse data til helbredsprofilering eller personaliseret markedsføring. Administratoren videregiver dem til de databehandlere, der er nævnt i punkt 6.1–6.8 og 6.10, og som handler efter dennes instruks, til de formål, der er beskrevet i punkt 5.3 og 5.7, og når du sender en forespørgsel til apoteker i nærheden — også til fysiske apoteker, som er selvstændige dataansvarlige (punkt 5.8 og 6.9). Tjenesten yder ikke medicinsk eller farmaceutisk rådgivning.

5.6 Ingen videregivelse til markedsføring

Disse data videregives IKKE til markedsføringsdatabehandlere (Google Ads, Meta Platforms) eller analyseudbydere ud over anonymiserede aggregater, hvor enkelte lægemidler ikke kan identificeres på niveau med en enkelt Bruger.

5.7 AI-Medicinskabet og andre funktioner med kunstig intelligens

AI-Medicinskabet er en assistent baseret på modellen for kunstig intelligens Claude, som leveres af Anthropic Ireland, Limited (punkt 6.8). På baggrund af dine beskeder finder den produkter i vores katalog, sammensætter en indkøbsliste og beregner, hvor hele kurven koster mindst. Vi bruger den samme model, når vi læser produktnavne fra en indsat liste eller et foto, når vi foreslår billigere ligeværdige produkter til varerne i kurven, og når vi omskriver en dosis, som du selv angiver i forbrugsplanen.

Hvilke data: indholdet af dine beskeder til AI-Medicinskabet (navne på medicin og kosttilskud og alt, hvad du skriver til dem), uploadede billeder, historikken i den aktuelle samtale, den produktliste, der er opbygget i samtalen, og for ligeværdige produkter navne, identifikatorer og priser på varerne i kurven. Vi knytter samtalen til din Konto. Samtaler gemt før den 16. oktober 2026 uden login er knyttet til en tilfældig identifikator for session og browser. Vi gemmer ikke billeder. Vi gemmer kun oplysningen om, at et billede var vedhæftet.

Til at finde et produkt er dets navn nok. Beskriv ikke symptomer eller sygdomme, og upload ikke fotos af recepter eller lægelige dokumenter. AI-Medicinskabet giver ikke sundhedsrådgivning.

Formål: på din anmodning søgning efter produkter, opbygning af indkøbslisten og sammenligning af kurvens pris; lagring af samtalen, så den kan fortsættes; opklaring af fejl i svar og forebyggelse af misbrug.

Retsgrundlag: dit udtrykkelige samtykke til AI-Medicinskabet (art. 6, stk. 1, litra a), og art. 9, stk. 2, litra a), i GDPR), adskilt fra samtykket til kurven (punkt 5.1). Vi beder om det, før den første besked sendes til AI-Medicinskabet. Det omfatter også aflæsning af produktnavne fra en indsat liste eller et foto og overførsel af en dosis, du har indtastet i forsyningsplanen. Uden samtykke sender AI-Medicinskabet ingen beskeder. Billigere alternativer og prisprognosen sender kun produktnavne fra kataloget til modellen, uden id på personen, og bygger på samtykket til kurven. Spørgsmålsgrænsen og spørgsmålspakkerne afregner vi på grundlag af aftalen (art. 6, stk. 1, litra b), i GDPR, § 7 i Vilkårene).

Modtager: Anthropic Ireland, Limited som databehandler på grundlag af en databehandleraftale (punkt 6.8). Vi videregiver indholdet af beskeder, billeder og historikken i den aktuelle samtale. Vi videregiver ikke navn, e-mailadresse, Kontoens identifikator eller IP-adresse. Anthropic må ikke træne modeller på disse data og sletter dem inden for 30 dage, med de undtagelser, der er beskrevet i punkt 6.8. Data kan blive behandlet uden for Det Europæiske Økonomiske Samarbejdsområde på de vilkår, der er beskrevet i punkt 7.

Svarene genereres af en model for kunstig intelligens og kan indeholde fejl. Pris og sammensætning kan du kontrollere på produktkortet og på apotekets side. Vi træffer ikke afgørelser om dig, der udelukkende er baseret på automatisk behandling, og som har retsvirkning for dig eller på tilsvarende vis betydeligt påvirker dig (art. 22 i GDPR).

Hvor længe vi opbevarer data: punkt 4. Dine rettigheder, herunder indsigt i gemte samtaler og sletning af dem: punkt 8.

5.8 Forespørgsel til apoteker i nærheden og afhentning med kode

5.8.1. Hvad det går ud på. Når du sender en forespørgsel til apoteker i nærheden, videresender vi den til offentligt tilgængelige apoteker inden for det område, du har valgt, efter tur fra det nærmeste, indtil et svarer. Det nærmeste åbne apotek får forespørgslen først, det næste efter cirka 10 minutter; hvis du har Premium, går forespørgslen straks til de to nærmeste apoteker. Apotekets svar viser vi dig, og når du reserverer afhentning, tildeler vi en afhentningskode.

5.8.2. Hvilke oplysninger vi indsamler.

• a) varer i forespørgslen: navne, pakninger og mængder af håndkøbsmedicin og kosttilskud fra kurven og, hvis du sætter kryds ved samtykket for dem, også navne og mængder af receptpligtig medicin, som du skriver ind, med egenbetalingen, hvis du angiver den;
• b) by og valgt område (din egen by eller 5, 10 eller 20 km) og, hvis du deler enhedens placering, koordinater;
• c) mobiltelefonnummer, hvis du angiver det;
• d) kommentar til forespørgslen og samtalen med apoteket;
• e) e-mailadresse: Kontoens adresse og, hvis du sender forespørgslen uden at logge ind, den adresse, du har angivet i formularen, og som vi opretter en Konto uden adgangskode til;
• f) forløbet af forespørgslen: tidspunkter for videresendelse og for apotekernes åbning af forespørgslen, apotekets svar (tilgængelighed, mængder, erstatningsprodukter, priser), kode og frist for afhentning, tidspunktet for afhentning samt dit svar på spørgsmålet efter afhentningen om, hvorvidt prisen stemte;
• g) registreringen af dit samtykke: datoen, versionen af samtykkets ordlyd, IP-adressen og browseridentifikatoren.

Navne på lægemidler og kosttilskud kan afsløre oplysninger om dit helbred eller om helbredet hos den person, du køber ind til. Vi behandler dem som helbredsoplysninger, også når det drejer sig om håndkøbsprodukter.

5.8.3. Retsgrundlag. Vi videresender forespørgslen til apotekerne på grundlag af dit udtrykkelige samtykke (art. 9, stk. 2, litra a), i GDPR), som vi beder om ved hver forespørgsel. Uden samtykke sender vi ikke forespørgslen. Receptpligtig medicin medtager vi i forespørgslen kun, hvis du sætter kryds ved samtykket for den receptpligtige medicin; en kurv, der udelukkende består af receptpligtig medicin, sender vi ikke uden det. De øvrige oplysninger (e-mailadresse, by, forløbet af forespørgslen, grænsen for forespørgsler) behandler vi for at levere den tjeneste, du bestiller ved at sende forespørgslen (art. 6, stk. 1, litra b), i GDPR).

Samtykkets ordlyd:

Jeg giver mit udtrykkelige samtykke til, at min forespørgsel — navne og mængder af lægemidler og kosttilskud, herunder receptpligtig medicin, min kommentar, mit fornavn og mit telefonnummer, hvis jeg angiver det — videregives til offentligt tilgængelige apoteker inden for det område, jeg har valgt, efter tur fra det nærmeste, med henblik på at få oplysninger om tilgængelighed og pris samt reservation af afhentning. Jeg ved, at disse oplysninger kan afsløre oplysninger om helbred (art. 9, stk. 2, litra a), i GDPR), og at jeg kan trække samtykket tilbage ved at annullere forespørgslen. Nærmere oplysninger: Privatlivspolitikken, punkt 5.8.

5.8.4. Hvad apoteket ser. Apotekerne er selvstændige dataansvarlige: de er selv ansvarlige for, hvad de gør med oplysningerne fra forespørgslen, og de behandler dem for at svare, forberede reservationen samt sælge og udlevere produkter.

Apoteket ser ikke e-mailadressen, efternavnet eller den præcise placering. I e-mailen med underretningen får apoteket en liste med op til otte varer i forespørgslen, afstanden og det klokkeslæt, hvortil det kan svare, uden fornavn og telefonnummer. Sms'en til apoteket indeholder ingen oplysninger fra forespørgslen.

5.8.5. Hvem andre der modtager dem. Navn og adresse på det apotek, der har svaret, viser vi i svaret sammen med dets oplysninger om databehandling. Listen over alle apoteker, der har modtaget din forespørgsel, giver vi på anmodning sendt til biuro@webet.pl. E-mails med apotekets svar og afhentningskoden sendes af vores e-mailudbyder (punkt 6.3), og oplysningerne opbevarer vi hos hostingudbyderen (punkt 6.2). Vi videregiver ikke oplysninger fra forespørgsler til markedsføringsvirksomheder (punkt 5.6) og opkræver ikke gebyrer af apotekerne, der afhænger af antallet eller værdien af forespørgsler.

5.8.6. Hvad du ser om apoteket. Navn, adresse, telefonnummer og åbningstider får du kun kendskab til for det apotek, der har svaret. Mens du venter, ser du kun afstandene til de apoteker, som forespørgslen er sendt til. Apotekerne får ikke kendskab til hinandens navne.

5.8.7. Hvor længe vi opbevarer oplysningerne. Forespørgslen (varer, svar, afhentningskode): 12 måneder fra forespørgslens afslutning. Telefonnummer, kommentar og samtale med apoteket: 30 dage fra forespørgslens afslutning. Placering angivet ved forespørgslen: 30 dage fra forespørgslens afslutning. Registrering af samtykke (dato, dokumentversion, IP-adresse): 6 år fra samtykkets afgivelse. Indholdet af e-mails med varerne i forespørgslen opbevarer vi lige så længe som selve forespørgslen. Efter sletning af forespørgslen forbliver de priser, som apoteket har angivet, hos os som prisdata uden forbindelse til dig. Sletning af Kontoen sletter dine forespørgsler med det samme.

5.8.8. Dine rettigheder. Du har alle rettighederne i punkt 8. Derudover:

• a) Du trækker samtykket tilbage ved at annullere forespørgslen. Apoteker, der ikke har svaret, mister da straks adgangen til dine oplysninger; et apotek, der allerede har svaret, mister telefonnummeret straks og de øvrige oplysninger efter 24 timer.
• b) Tilbagetrækning af samtykket omgør ikke en videregivelse, der allerede har fundet sted. Anmodninger vedrørende oplysninger, som apoteket har beholdt hos sig, skal du rette til apoteket.
• c) Telefonnummer og kommentar er valgfrie.
• d) Vi træffer ikke afgørelser over for dig, der udelukkende er baseret på automatisk behandling, og som ville have retsvirkning eller på tilsvarende vis betydeligt påvirke dig. Rækkefølgen af apoteker følger udelukkende af afstanden.
• e) Linket til status for en forespørgsel, der er sendt uden login, er gyldigt i 7 dage.

Vi videregiver dine personoplysninger til databehandlere (punkt 6.1–6.8 og 6.10) udelukkende i det omfang, det er nødvendigt for at opfylde behandlingsformålene; med hver af dem har vi indgået en databehandleraftale i overensstemmelse med art. 28 i GDPR. Når du sender en forespørgsel til apoteker i nærheden, modtager også fysiske apoteker oplysningerne fra forespørgslen (punkt 6.9). De er selvstændige dataansvarlige, og vi indgår ikke nogen databehandleraftale med dem.

6.1 Stripe Payments Europe Ltd. og Stripe, Inc. (betalingsudbyder)

• Rolle: Databehandler
• Behandlingsformål: Behandling af kredit-/betalingskort og andre betalingsmetoder, administration af abonnementer og automatisk fornyelse, håndtering af refusioner og forebyggelse af betalingssvig.
• Dataomfang: Stripe Customer ID, Subscription ID, transaktions-ID, beløb og valuta, betalingsstatus, de sidste 4 cifre på kortet, Brugerens e-mailadresse, IP-adresse (til svigverifikation). Fuldstændige kortoplysninger (nummer, CVV, udløbsdato) indtastes direkte i Stripe-systemet og passerer ikke gennem vores servere.
• Placering: Stripe Payments Europe Ltd. - Irland (EØS); Stripe, Inc. - USA (global infrastruktur).
• Retsgrundlag: Art. 6, stk. 1, litra b), i GDPR (opfyldelse af en aftale) og art. 6, stk. 1, litra f), i GDPR (legitim interesse - svigforebyggelse).
• Overførselsgrundlag uden for EØS: EU-US Data Privacy Framework (Kommissionens gennemførelsesafgørelse (EU) 2023/1795 af 10. juli 2023) - Stripe, Inc. er en certificeret enhed. Derudover standardkontraktbestemmelser (SCC'er) og PCI DSS Level 1-certificering.
• Privatlivspolitik: stripe.com/privacy

6.2 Hetzner Online GmbH (infrastrukturhosting)

• Rolle: Databehandler
• Behandlingsformål: Hosting af webapplikationen, API'et og PostgreSQL-databasen, hosting af Elasticsearch-søgeindekset og Redis-cachen.
• Dataomfang: det fulde omfang af Brugerdata, der er opbevaret i databasen (kontooplysninger, indkøbslister, søgehistorik, sessionsdata, tekniske logge).
• Placering: Tyskland (Det Europæiske Økonomiske Samarbejdsområde) - data forlader ikke EØS.
• Retsgrundlag: Art. 6, stk. 1, litra b), i GDPR (opfyldelse af en aftale).
• Overførselsgrundlag: ikke relevant - behandlingen finder udelukkende sted inden for EØS. Hetzner har ISO 27001- og ISO 9001-certifikater.

6.3 Twilio SendGrid, Inc. (transaktionsmails og nyhedsbrev)

• Rolle: Databehandler
• Behandlingsformål: Afsendelse af transaktionsmails (registreringsbekræftelser, betalingsbekræftelser, beskeder om fornyelse af abonnement, nulstilling af adgangskode, bekræftelseslinks) og markedsføringsnyhedsbreve.
• Dataomfang: e-mailadresse, for- og efternavn (hvis angivet ved onboarding), beskedindhold, bekræftelseslinks, leverings-/åbningsstatus.
• Placering: USA.
• Retsgrundlag: Art. 6, stk. 1, litra b), i GDPR (opfyldelse af en aftale - transaktionsmails) og art. 6, stk. 1, litra a), i GDPR sammenholdt med den polske lov om elektroniske tjenester og teleloven (samtykke - markedsføringsnyhedsbrev).
• Overførselsgrundlag uden for EØS: EU-US Data Privacy Framework (Kommissionens gennemførelsesafgørelse (EU) 2023/1795) - Twilio SendGrid er en certificeret enhed. Derudover standardkontraktbestemmelser (SCC'er).

6.4 Amazon Web Services EMEA SARL (S3-filhosting)

• Rolle: Databehandler
• Behandlingsformål: Opbevaring af vedhæftede filer, statiske ressourcer og sikkerhedskopier i Amazon S3 (Active Storage).
• Dataomfang: filer vedhæftet af Brugeren eller genereret af Tjenesten (PDF-fakturaer, GDPR-dataeksporter, statiske ressourcer).
• Placering: Amazon Web Services EMEA SARL - Luxembourg (hovedkontor). Vi opbevarer data i en region i Den Europæiske Union.
• Retsgrundlag: Art. 6, stk. 1, litra b), i GDPR (opfyldelse af en aftale) og art. 6, stk. 1, litra c), i GDPR (retlig forpligtelse - opbevaring af fakturaer).
• Overførselsgrundlag uden for EØS: EU-US Data Privacy Framework (Amazon Web Services er en certificeret enhed) og standardkontraktbestemmelser (SCC'er). AWS har ISO 27001-, ISO 27017-, ISO 27018- og SOC 1/2/3-certifikater.

6.5 Rollbar, Inc. (overvågning af applikationsfejl)

• Rolle: Databehandler
• Behandlingsformål: Afsløring, rapportering og diagnosticering af applikationsfejl for at opretholde Tjenestens kvalitet og sikkerhed.
• Dataomfang: fejl-stack trace, sessionsidentifikator, user agent, IP-adresse, teknisk anmodningskontekst. Brugerens personoplysninger filtreres (PII-scrubbing) før overførsel - fornavn, efternavn, e-mailadresse, adgangskode og betalingsdata overføres ikke.
• Placering: USA.
• Retsgrundlag: Art. 6, stk. 1, litra f), i GDPR - Administrators legitime interesse i at sikre den leverede tjenestes sikkerhed, stabilitet og kvalitet.
• Overførselsgrundlag uden for EØS: Standardkontraktbestemmelser (SCC'er - Kommissionens gennemførelsesafgørelse (EU) 2021/914). Pr. datoen for denne politik er Rollbar, Inc. ikke certificeret under EU-US Data Privacy Framework - data overføres udelukkende på grundlag af SCC'er og yderligere tekniske foranstaltninger (PII-scrubbing).

6.6 Google Ireland Ltd. og Google LLC (Google Tag Manager, Google Analytics 4, Google Ads)

• Rolle: Databehandler - for så vidt angår GA4 og Google Ads i overensstemmelse med Google Ads Data Processing Terms.
• Behandlingsformål: Trafikmåling, analyse af brugeradfærd, måling af reklamekampagners effektivitet (konverteringer), retargeting og Enhanced Conversions. Google Tag Manager-container-ID: GTM-5ZLFN8Z7.
• Dataomfang: adfærdsdata (besøgte sider, sessionstid, konverteringssti), konverteringshændelser, enhedsidentifikatorer (Google Client ID), IP-adresse (afkortet/anonymiseret). For Enhanced Conversions: brugeridentifikator og SHA-256-hashet e-mailadresse.
• Placering: Google Ireland Ltd. - Irland (EØS); Google LLC - USA (global infrastruktur).
• Retsgrundlag: Art. 6, stk. 1, litra a), i GDPR (Brugerens samtykke afgivet i cookiebanneret) sammenholdt med den polske telelov.
• Overførselsgrundlag uden for EØS: EU-US Data Privacy Framework (Google LLC er en certificeret enhed - afgørelse (EU) 2023/1795). Derudover standardkontraktbestemmelser (SCC'er).
• Privatlivspolitik: policies.google.com/privacy

6.7 Meta Platforms Ireland Ltd. og Meta Platforms, Inc. (Facebook Pixel)

• Rolle: Fælles dataansvarlig (for så vidt angår måling af konverteringshændelser - i overensstemmelse med Controller Addendum for Facebook Business Tools).
• Behandlingsformål: Måling af konverteringer af reklamekampagner på Meta-netværket (Facebook, Instagram), retargeting og oprettelse af Lookalike Audiences. Pixel-ID: 699317922143678.
• Dataomfang: konverteringshændelser (PageView, AddToCart, PharmacyClick - brugerdefineret hændelse i Tjenesten), Meta-brugeridentifikator (hvis til stede), standardparametre (URL, hændelsestidspunkt), IP-adresse. Data overføres uden direkte personlige identifikatorer på Tjenestens side.
• Placering: Meta Platforms Ireland Ltd. - Irland (EØS); Meta Platforms, Inc. - USA (global infrastruktur).
• Retsgrundlag: Art. 6, stk. 1, litra a), i GDPR (Brugerens samtykke afgivet i cookiebanneret) sammenholdt med den polske telelov.
• Overførselsgrundlag uden for EØS: EU-US Data Privacy Framework (Meta Platforms, Inc. er en certificeret enhed - afgørelse (EU) 2023/1795). Derudover standardkontraktbestemmelser (SCC'er).
• Privatlivspolitik: facebook.com/privacy/policy

6.8 Anthropic Ireland, Limited (modellen for kunstig intelligens Claude)

• Rolle: Databehandler. Aftalepart med Administrator er Anthropic Ireland, Limited (Irland). Anthropic bruger de underdatabehandlere, der er angivet på anthropic.com/subprocessors.
• Formål med behandlingen: generering af svar fra AI-Medicinskabet, læsning af produktnavne fra tekst og billeder, forslag til ligeværdige produkter til kurven og omskrivning af doser, som Brugeren har angivet i forbrugsplanen — se punkt 5.7.
• Omfang af data: indholdet af beskeder og billeder sendt til AI-Medicinskabet, historikken i den aktuelle samtale, produktlisten i samtalen samt navne, identifikatorer og priser på produkterne i kurven. Uden Brugerens navn, e-mailadresse, Kontoens identifikator og IP-adresse.
• Placering: Anthropic Ireland, Limited — Irland (EØS); behandlingen hos Anthropic og dets underdatabehandlere finder også sted uden for EØS.
• Retsgrundlag: Brugerens udtrykkelige samtykke (art. 6, stk. 1, litra a), og art. 9, stk. 2, litra a), i GDPR) — se punkt 5.7. Databehandleraftale (art. 28 i GDPR): Anthropics forretningsvilkår (Commercial Terms of Service) sammen med Data Processing Addendum, accepteret af Administrator. Anthropic må ikke træne modeller på data, som Administrator har videregivet.
• Overførselsgrundlag uden for EØS: Standardkontraktbestemmelser (Kommissionens gennemførelsesafgørelse (EU) 2021/914), der er indarbejdet i Anthropics Data Processing Addendum.
• Opbevaringsperiode hos Anthropic: input og svar slettes inden for 30 dage; længere — op til 2 år — kun hvis Anthropics automatiske sikkerhedssystemer markerer en samtale som en overtrædelse af brugsreglerne, eller hvis loven kræver det.
• Anthropics oplysninger om databeskyttelse: anthropic.com/legal/privacy; liste over underdatabehandlere: anthropic.com/subprocessors.

6.9 Fysiske apoteker (modtagere af forespørgsler)

• Kategori af modtagere: offentligt tilgængelige apoteker i Polen, som har indgået en aftale med os, og som ligger inden for det område, du har valgt.
• Rolle: selvstændige dataansvarlige. Vi indgår ikke nogen databehandleraftale med apotekerne; apoteket behandler ikke oplysninger på vores vegne.
• Dataomfang: punkt 5.8.4.
• Formål: svar på forespørgslen, reservation, salg og udlevering af produkter.
• Grundlag for videregivelsen: dit udtrykkelige samtykke (art. 9, stk. 2, litra a), i GDPR).
• Placering: Polen.

6.10 SMSAPI (sms-underretninger til apoteker)

• Rolle: databehandler.
• Behandlingsformål: afsendelse af sms-underretninger til apoteker, der har aktiveret denne kanal.
• Dataomfang: apotekets telefonnummer og indholdet af underretningen. Uden patientoplysninger.
• Placering: Polen.
• Retsgrundlag: art. 6, stk. 1, litra b), i GDPR (opfyldelse af aftalen med apoteket).

Med alle de databehandlere, der er nævnt ovenfor (punkt 6.1–6.8 og 6.10), har vi indgået databehandleraftaler (DPA) i overensstemmelse med art. 28 i GDPR. Administrator har ikke udpeget en databeskyttelsesrådgiver (DPO) - behandlingen opfylder ikke kriterierne for obligatorisk udpegning i art. 37, stk. 1, i GDPR. Alle databeskyttelsesspørgsmål kan rettes direkte til Administrator på biuro@webet.pl.

Visse data kan behandles uden for Det Europæiske Økonomiske Samarbejdsområde. Behandling uden for EØS vedrører følgende enheder: Stripe, Inc. (USA), Twilio SendGrid, Inc. (USA), Amazon Web Services - global infrastruktur (med Tjenestens data hostet i EU-regioner), Rollbar, Inc. (USA), Google LLC (USA), Meta Platforms, Inc. (USA), Anthropic — underdatabehandlere hos Anthropic Ireland, Limited uden for EØS. Data, der behandles af Hetzner Online GmbH, forbliver udelukkende i Tyskland (EØS). Overførsel af data uden for EØS finder sted på grundlag af:

• (a) Kommissionens gennemførelsesafgørelse (EU) 2023/1795 af 10. juli 2023 om EU-US Data Privacy Framework - for så vidt angår certificerede enheder (Stripe, Twilio SendGrid, AWS, Google, Meta)
• (b) Standardkontraktbestemmelser (Kommissionens gennemførelsesafgørelse (EU) 2021/914) - i øvrige tilfælde, herunder Rollbar, Inc. og Anthropic.
• (c) Organisatoriske og tekniske foranstaltninger i overensstemmelse med PCI DSS Level 1, ISO 27001, SOC 2 - afhængigt af udbyderen
• (d) Yderligere tekniske foranstaltninger såsom SSL/TLS-kryptering, pseudonymisering og filtrering af personoplysninger (PII-scrubbing) før overførsel

En kopi af standardkontraktbestemmelserne (SCC'er) og oplysninger om specifikke overførselsforanstaltninger kan fås ved at kontakte Administrator på biuro@webet.pl.

Efter GDPR har du følgende rettigheder:

8.1 Ret til indsigt i data (art. 15 i GDPR)

Du kan få bekræftet, om vi behandler dine data, og få adgang til disse data.

8.2 Ret til berigtigelse (art. 16 i GDPR)

Du kan anmode om berigtigelse af ukorrekte data eller fuldstændiggørelse af ufuldstændige data.

8.3 Ret til sletning - "retten til at blive glemt" (art. 17 i GDPR)

Du kan anmode om sletning af data, hvis de ikke længere er nødvendige, eller du har trukket dit samtykke tilbage.

8.4 Ret til begrænsning af behandling (art. 18 i GDPR)

Du kan anmode om begrænsning af behandlingen i visse situationer.

8.5 Ret til dataportabilitet (art. 20 i GDPR)

Du kan modtage dine data i CSV- eller JSON-format og overføre dem til en anden dataansvarlig.

8.6 Ret til at gøre indsigelse (art. 21 i GDPR)

Du kan til enhver tid gøre indsigelse mod behandling af data til markedsføringsformål.

8.7 Ret til at trække samtykke tilbage (art. 7, stk. 3, i GDPR)

Hvis behandlingen er baseret på samtykke, kan du til enhver tid trække det tilbage.

8.8 Ret til at indgive en klage (art. 77 i GDPR)

Du kan indgive en klage til tilsynsmyndigheden - i Polen formanden for kontoret for beskyttelse af personoplysninger:

Kontoret for beskyttelse af personoplysninger (UODO)
ul. Stawki 2, 00-193 Warszawa, Polen
E-mail: kancelaria@uodo.gov.pl
Telefon: +48 22 531 03 00
Websted: uodo.gov.pl

Hvordan udøver du dine rettigheder?

For at udøve nogen af de ovennævnte rettigheder kan du kontakte os:

• E-mail: biuro@webet.pl
• Telefon: +48 798 908 242
• Pr. post: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen (mærket "Databeskyttelse")

Vi besvarer din anmodning uden unødig forsinkelse - senest én måned efter modtagelse af anmodningen.

Vi anvender passende tekniske og organisatoriske foranstaltninger til at beskytte dine personoplysninger:

9.1 Tekniske foranstaltninger

• SSL/TLS-kryptering af alle dataoverførsler
• Hashing af adgangskoder med bcrypt-algoritmen med en individuel salt (envejs, irreversibel - adgangskoden kan ikke gendannes, selv ikke af administratoren)
• Kryptering af følsomme data i databasen
• Regelmæssige krypterede sikkerhedskopier
• Firewall og DDoS-beskyttelse
• Sikkerhedsovervågning døgnet rundt

9.2 Organisatoriske foranstaltninger

• Begrænset adgang til personoplysninger
• Informationssikkerhedspolitikker
• Regelmæssig personaleuddannelse
• Fortrolighedsaftaler med medarbejdere og samarbejdspartnere
• Periodiske sikkerhedsrevisioner

10.1 Hvad er cookies?

Cookies er små tekstfiler, der gemmes af din browser på din enhed, mens du browser på websteder. De gør det muligt at genkende din enhed og huske oplysninger om dit besøg.

10.2 Hvilke cookies bruger vi?

Nødvendige cookies

Formål: Nødvendige for, at webstedet kan fungere korrekt
Retsgrundlag: Legitim interesse (art. 6, stk. 1, litra f), i GDPR)
Varighed: Session eller op til 1 år

Eksempler: session-ID, CSRF-token, cookie_consent

Funktionelle cookies

Formål: Huskning af præferencer og indstillinger
Retsgrundlag: Legitim interesse
Varighed: Op til 12 måneder

Eksempler: user_preferences, theme_mode

Stripe-cookies (betalinger)

Formål: Betalingsbehandling, svigforebyggelse
Udbyder: Stripe, Inc. (USA)
Retsgrundlag: Opfyldelse af en aftale (art. 6, stk. 1, litra b), i GDPR)
Varighed: Fra session op til 2 år

Eksempler: __stripe_mid, __stripe_sid
Mere info: stripe.com/cookies-policy/legal

Analysecookies

Formål: Analyse af brugeradfærd, optimering af webstedet
Retsgrundlag: Brugerens samtykke (art. 6, stk. 1, litra a), i GDPR)
Varighed: Op til 24 måneder

privacy.sections.cookies.types.analytics.examples

Bemærk: Disse cookies bruges kun med dit udtrykkelige samtykke.

10.3 Administration af cookies

Ved dit første besøg viser vi et banner med cookieoplysninger. Du kan:

• Acceptere alle cookies - samtykke til alle typer
• Tilpasse præferencer - vælge cookietyper
• Afvise valgfrie cookies - kun nødvendige cookies

Du kan også administrere cookies i din browsers indstillinger (Chrome, Firefox, Safari, Edge).

Bemærk: Deaktivering af visse cookies kan påvirke webstedets funktionalitet. Nødvendige cookies kan ikke deaktiveres uden at miste grundlæggende funktionalitet.

Tjenesten er beregnet til voksne (18 år og derover) i overensstemmelse med vilkårene. Administrator indsamler ikke bevidst personoplysninger fra personer under 16 år. Hvis det konstateres, at data fra en person under 16 år er blevet indsamlet uden verificerbart samtykke fra indehaveren af forældremyndigheden (art. 8, stk. 1, i GDPR), vil de blive slettet uden forsinkelse. Hvis du er forælder eller værge og mener, at et barn har givet os personoplysninger, bedes du kontakte os på biuro@webet.pl.

Vi kan opdatere denne privatlivspolitik fra tid til anden. Vi vil informere dig om væsentlige ændringer:

• Ved at sende en e-mailbesked
• Ved en meddelelse på forsiden
• Ved en meddelelse i Tjenesten efter login

Om væsentlige ændringer, der påvirker omfanget af behandlingen af personoplysninger, underretter vi dig mindst 14 dage, før de træder i kraft. Hvor behandlingen kræver dit samtykke, beder vi om det særskilt.

Hvis du har spørgsmål til denne privatlivspolitik eller ønsker at udøve dine rettigheder, kan du kontakte os:

E-mail: biuro@webet.pl

Telefon: +48 798 908 242 (man-fre, 9:00-17:00)

Adresse: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen

Vi besvarer generelle henvendelser inden for 3 arbejdsdage og GDPR-anmodninger inden for én måned.

GDPR-overholdelse: BilligereMedicin overholder fuldt ud den generelle forordning om databeskyttelse (GDPR - forordning (EU) 2016/679) og den polske lov om beskyttelse af personoplysninger af 10. maj 2018. Dine data behandles i overensstemmelse med de højeste standarder for sikkerhed og privatliv.

• Europa-Parlamentets og Rådets forordning (EU) 2016/679 (GDPR)
• Den polske lov af 10. maj 2018 om beskyttelse af personoplysninger
• Den polske lov af 18. juli 2002 om levering af elektroniske tjenester
• Den polske lov af 16. juli 2004 - teleloven
• Den polske lov af 30. maj 2014 om forbrugerrettigheder
• Kommissionens gennemførelsesafgørelse (EU) 2023/1795 af 10. juli 2023 (EU-US Data Privacy Framework)
• Kommissionens gennemførelsesafgørelse (EU) 2021/914 (standardkontraktbestemmelser)

• 16. oktober 2026 — tilføjelse af punkt 5.8 (forespørgsel til apoteker i nærheden og afhentning med kode), punkt 6.9 (fysiske apoteker som selvstændige dataansvarlige), punkt 6.10 (sms-udbyder) og punkt 2.4 (apotekernes data); supplering af punkt 2, 3 og 4; ændring af punkt 5.1–5.5 og indledningen til punkt 6.
• 31. oktober 2026 — tilføjelse af punkt 5.7 (AI-Medicinskabet og andre funktioner med kunstig intelligens) og punkt 6.8 (Anthropic Ireland, Limited som databehandler), supplering af punkt 2, 3, 4, 5 og 7 med samtaler med AI-Medicinskabet; samtykket til behandling af helbredsdata omfatter fra denne version også beskeder til AI-Medicinskabet og indhentes før den første besked.
• 3. juli 2026 — opdatering af dokumentets dato. Punkt 5.7 og 6.8, der dengang var beskrevet i historikken, blev ikke offentliggjort; deres indhold indføres af versionen fra den 31. oktober 2026.
• 13. maj 2026 - opdatering efter compliance-revision: listen over databehandlere opdateret (Stripe, Hetzner, Twilio SendGrid, AWS, Rollbar, Google, Meta i stedet for de tidligere nævnte Vercel/Scalingo), afsnit om særlige kategorier af data tilføjet (art. 9 i GDPR - helbredsdata i indkøbslister med håndkøbsmedicin), klausuler om ændring af vilkårene opdateret (aktiv accept i stedet for stiltiende) og automatisk fornyelse af abonnement (besked 7 dage i forvejen), bcrypt-terminologi rettet (hashing i stedet for kryptering), aldersregler præciseret (16/18), retsgrundlag for nyhedsbrev opdateret.
• 17. november 2025 - oprindelig version af dokumentet.