Slik håndterer vi dine personopplysninger.
Sist oppdatert: 8. mai 2026
Toms Arena (heretter "vi", "oss", "klinikken") er behandlingsansvarlig for personopplysningene som samles inn gjennom denne nettsiden og i forbindelse med behandling. Denne erklæringen forklarer hva vi samler inn, hvorfor, hvor lenge vi lagrer det, og hvilke rettigheter du har.
1. Behandlingsansvarlig
Toms Arena
Rosenborggata 8, 0356 Oslo
E-post: contact@tomsarena.com
Telefon: +47 906 72 778
2. Hvilke opplysninger vi samler inn
Når du bestiller time eller kontakter klinikken, samler vi inn:
- Identifikasjons- og kontaktopplysninger: navn, e-postadresse, telefonnummer.
- Bestillingsinformasjon: dato, tid, valgt behandler og tjeneste, samt eventuelle notater du legger inn i bestillingsskjemaet.
- Helseopplysninger: informasjon om plager, skadehistorikk og behandling, samlet inn under konsultasjon. Dette er sensitive personopplysninger og behandles etter strengere regler (artikkel 9 i GDPR).
3. Hvorfor vi behandler opplysningene
- Levering av helsetjenester: gjennomføring av behandling, oppfølging og dokumentasjon i pasientjournal (lovpålagt etter pasientjournalloven).
- Avtalehåndtering: bekreftelse, påminnelse og avbestilling av timer.
- Fakturering og regnskap: lovpålagt oppbevaring etter bokføringsloven.
- Kommunikasjon: å svare på henvendelser fra deg.
4. Rettslig grunnlag
Vi behandler personopplysninger med grunnlag i:
- Inngåelse og oppfyllelse av avtale (GDPR art. 6 nr. 1 b): bestilling og levering av behandling.
- Rettslig forpliktelse (GDPR art. 6 nr. 1 c): pasientjournal og regnskap.
- Eksplisitt samtykke (GDPR art. 9 nr. 2 a): for behandling av helseopplysninger.
5. Pasientjournal
Som helsetjeneste er Toms Arena lovpålagt å føre pasientjournal etter helsepersonelloven § 39 og pasientjournalforskriften. Journalen er ikke valgfri; den er en forutsetning for trygg og dokumentert behandling.
Hva vi lagrer:
- Identifikasjon: navn, e-post, telefonnummer.
- Bestillingsinformasjon: dato, tid, behandler, tjeneste, eventuelle notater du oppgir ved bestilling.
- Behandlingsnotater: terapeutens egne observasjoner, vurderinger, behandlingsplan og oppfølging, skrevet under eller etter konsultasjonen.
Hvor lenge: Minimum 10 år etter siste behandling, jf. pasientjournalforskriften. Etter denne perioden kan journalen pseudonymiseres eller slettes etter intern rutine.
Tilgang: Alle terapeuter og administratorer ved Toms Arena har lese-tilgang til pasientjournalen. Dette er nødvendig for å sikre kontinuitet i behandlingen: hvis din primære terapeut er fraværende, kan en kollega ta over og se din historikk. All tilgang til journalen logges (audit-logg) og kan revideres ved behov, slik at vi kan spore hvem som har sett hva og når.
Samtykke: Når du bestiller time digitalt, må du eksplisitt krysse av for å samtykke til journalføring før bestillingen kan fullføres. Ved telefonbestilling innhentes samtykke muntlig og registreres av administrasjonen. Tidspunktet for samtykke lagres som juridisk dokumentasjon.
Innsynsrett: Du har rett til å be om kopi av din journal. Send forespørsel til contact@tomsarena.com. Vi svarer innen 30 dager.
6. Hvor lenge vi lagrer opplysningene
- Pasientjournal: minimum 10 år etter siste behandling, jf. pasientjournalforskriften.
- Regnskapsbilag: 5 år etter regnskapsårets slutt, jf. bokføringsloven.
- Bestillingsdata uten journalføring: slettes innen 12 måneder.
- E-postkorrespondanse: slettes når formålet er oppfylt, senest 3 år etter siste kontakt.
7. Hvem får tilgang til opplysningene
Opplysningene deles bare med personer og virksomheter som har et nødvendig behov:
- Terapeuter og administratorer ved Toms Arena: Alle terapeuter og administratorer ved Toms Arena har tilgang til pasientjournalen. Dette er nødvendig for å sikre kontinuitet i behandlingen: hvis din primære terapeut er fraværende, kan en kollega ta over og se din behandlingshistorikk. All tilgang logges (audit-logg) og kan revideres ved behov. Du kan be om innsyn i denne loggen ved å kontakte klinikken.
- Databehandlere vi bruker for drift av booking, e-post og betaling: Supabase (databasevert i EU), Resend (utsendelse av e-post), Sveve (utsending av SMS-varsler i Norge/EU, tas i bruk når SMS-varsling settes live). Disse har databehandleravtale med oss.
- Offentlige myndigheter ved lovpålagt rapportering (f.eks. Helfo, Skatteetaten).
Vi selger aldri personopplysningene dine, og deler dem ikke til markedsføring.
8. Cookies og analyse
Nettsiden bruker kun nødvendige cookies for at booking og handlekurv skal fungere. Vi bruker ikke sporing-cookies, ingen markedsføringsverktøy, og ingen tredjeparts-analyse som krever samtykke.
Konkret bruker vi:
- Session-cookie fra Supabase Auth (kun ved innlogging i admin-panelet, ikke for vanlige kunder). Brukes til å holde behandleren innlogget i 15 minutter av gangen.
- localStorage for å huske handlekurven din i nettbutikken og evt. midlertidig backup av booking-data hvis nettforbindelsen til serveren bryter under bestilling.
Du kan slette begge ved å tømme nettleserens lagring (Innstillinger → Personvern → Slett nettleserdata). Det påvirker ikke timene du har bestilt.
9. Dine rettigheter
Du har rett til å:
- Få innsyn i hvilke opplysninger vi har om deg.
- Få rettet eller slettet opplysninger som er feil eller ikke lenger nødvendige (innenfor lovpålagte unntak for journalføring).
- Få begrenset behandlingen.
- Trekke tilbake samtykke.
- Klage til Datatilsynet (datatilsynet.no).
Henvendelser om rettighetene dine sendes til contact@tomsarena.com. Vi svarer innen 30 dager.
10. Sikkerhet
Vi tar tekniske og organisatoriske tiltak for å beskytte personopplysninger, inkludert rollebasert tilgangskontroll (Row-Level Security i database), audit-logging av all journal-tilgang, kryptering ved overføring (HTTPS), automatisk utlogging etter inaktivitet, og lagring hos databehandlere innenfor EU/EØS. Pasientjournalen lagres hos Supabase (EU-region) som har databehandleravtale med oss.
11. Endringer
Erklæringen kan oppdateres hvis lov eller behandling endres. Endringer kunngjøres på denne siden, og dato for siste oppdatering oppdateres øverst.