Version 3.4 · gælder fra 13. november 2026

Menzo ApS · Alkenvej 23, 8660 Skanderborg · CVR-nr. 46729358

Strukturen (punkt 2-15 og bilag A-D) følger Datatilsynets skabelon til databehandleraftale (standardkontraktbestemmelser, januar 2020). Teksten er tilpasset en platform, hvor der føres patientjournaler, og aftalen er derfor ikke Datatilsynets vedtagne standardkontraktbestemmelser efter GDPR art. 28, stk. 8.

Indhold

1. Parter og opbygning
2. Præambel og rolleafgrænsning
3. Den dataansvarliges rettigheder og forpligtelser
4. Databehandleren handler efter instruks
5. Fortrolighed og tavshedspligt
6. Behandlingssikkerhed
7. Anvendelse af underdatabehandlere
8. Overførsel til tredjelande
9. Bistand til den dataansvarlige
10. Underretning om brud på persondatasikkerheden
11. Ophør, tilbagelevering og opbevaring
12. Revision, herunder inspektion
13. Andre forhold
14. Ikrafttræden og ophør
15. Kontaktpersoner

• Bilag A1: Behandlingen i Modul 1 (Kunden)
• Bilag A2: Behandlingen i Modul 2 (Behandlingsstedet og patientjournalen)
• Bilag B: Underdatabehandlere
• Bilag C: Instruks og sikkerhedsforanstaltninger
• Bilag D: Andre forhold, herunder behandlinger hvor Menzo er dataansvarlig

1. Parter og opbygning

1.1 Databehandleren: Menzo ApS, Alkenvej 23, 8660 Skanderborg, CVR-nr. 46729358 ("Menzo").

1.2 Den dataansvarlige afhænger af modulet:

1.3 Modul 1 indgås mellem Menzo og Kunden. Modul 2 indgås mellem Menzo og hvert Behandlingssted, uanset hvem der betaler for forløbet. En organisation bliver ikke dataansvarlig for psykologens patientjournal, fordi den betaler for forløbet. Ansvaret for journalen ligger hos den autoriserede sundhedsperson eller behandlingsstedet (BEK nr. 1361/2025 §§ 5-6 og § 37).

1.4 Hvor aftalen siger "den dataansvarlige", menes Kunden i Modul 1 og Behandlingsstedet i Modul 2. En bestemmelse, der kun gælder ét modul, er mærket "(Modul 1)" eller "(Modul 2)".

1.5 Begge parter handler som led i erhverv eller som offentlig myndighed. Aftalen er ikke en forbrugeraftale.

2. Præambel og rolleafgrænsning

2.1 Aftalen fastsætter Menzos rettigheder og forpligtelser, når Menzo behandler personoplysninger på den dataansvarliges vegne. Den er udformet for at opfylde art. 28, stk. 3, i forordning (EU) 2016/679 (databeskyttelsesforordningen, "GDPR").

2.2 Aftalen hører sammen med Vilkår for Menzo ("Vilkårene"), afsnittet Menzo Care for Modul 1 og afsnittet Menzo Praksis for Modul 2. Ved uoverensstemmelse om behandling af personoplysninger går denne aftale forud for Vilkårene og for en samarbejdsaftale (Menzo Care § 1). Har Kunden og Menzo i samarbejdsaftalen aftalt, at Kundens egen databehandleraftale anvendes (Menzo Care § 7), træder den i stedet for Modul 1. Punkt 3.5 og Modul 2 gælder uændret.

2.3 Bilag A1, A2, B, C og D er en del af aftalen.

2.4 Rolleafgrænsning. Parterne er enige om denne fordeling:

2.5 Behandlinger, hvor Menzo er dataansvarlig (nr. 5, 6, 7, 9 og 10), er ikke omfattet af instruksen i denne aftale. De er beskrevet i Bilag D, så grænsen er gennemsigtig. Menzo må ikke bruge oplysninger, der behandles efter Modul 1 eller 2, til de formål, medmindre det følger af Bilag D eller en særskilt instruks.

3. Den dataansvarliges rettigheder og forpligtelser

3.1 Den dataansvarlige skal sikre, at behandlingen sker i overensstemmelse med GDPR (art. 24), databeskyttelsesloven og relevant sektorlovgivning.

3.2 Den dataansvarlige har ret og pligt til at træffe beslutning om formålet med og hjælpemidlerne til behandlingen af personoplysninger.

3.3 Den dataansvarlige er ansvarlig for, at der er et behandlingsgrundlag for den behandling, Menzo instrueres i, herunder et grundlag efter GDPR art. 9 for helbredsoplysninger.

3.4 Sundhedsretlige pligter hos Behandlingsstedet (Modul 2). Behandlingsstedet er journalpligtigt efter autorisationslovens § 21, stk. 1, som psykologer er omfattet af fra 1. januar 2026 (lov nr. 716 af 20. juni 2025). Indholdet af journalen følger af bekendtgørelse nr. 1361 af 24. november 2025 om autoriserede sundhedspersoners patientjournaler m.v. ("BEK 1361"). For journaler, som psykologen har oprettet før 1. januar 2026, gælder de hidtidige regler om indholdet (BEK 1361 § 52, stk. 3), mens opbevaring og overdragelse følger BEK 1361 (§ 52, stk. 4). Behandlingsstedet er ansvarligt for journalens indhold (BEK 1361 § 6) og for at overholde tavshedspligten efter sundhedslovens § 40.

3.5 Videregivelse til Kunden sker kun med klientens samtykke, som gives ved ja til invitationen eller på anden måde efter litra b (Modul 1 og 2).

a) Oplysninger om en klients helbredsforhold og andre fortrolige oplysninger, som psykologen har fået kendskab til i sit erhverv, må ikke gives videre fra Behandlingsstedet til Kunden, medmindre klienten har givet samtykke efter sundhedslovens § 43, stk. 1, eller en undtagelse i § 43, stk. 2, gælder. Det omfatter blandt andet forløbets status, antal afholdte og aflyste sessioner, fremmøde, effektmål og fakturagrundlag, der identificerer klienten. Om en undtagelse i § 43, stk. 2, gælder, afgør den sundhedsperson, der har oplysningen (§ 43, stk. 3). Menzo afgør det ikke.

b) Samtykket skal være skriftligt (sundhedslovens § 44, stk. 1, 1. pkt.), og det skal indføres i patientjournalen (§ 44, stk. 1, 3. pkt., og BEK 1361 § 29, stk. 1). Det skal fremgå, hvilke oplysninger der videregives, til hvem og til hvilket formål. I Menzo Care gives samtykket, når klienten siger ja til Kundens invitation: invitationen viser skriftligt de oplysninger, Kunden får at vide efter litra d, at de gives til Kunden, og at formålet er Kundens bevilling og betaling og opfølgning på Menzos levering. Det samme gælder, når klienten bekræfter, at et privat forløb knyttes til Kunden, eller siger ja på sin egen side i platformen. Svaret registreres for det enkelte forløb med tidspunkt og den viste tekst, og platformen indfører automatisk et notat om det i forløbets journal, som psykologen ikke kan ændre eller slette. Vil klienten ikke det, kan klienten sige nej og i stedet gå til en psykolog privat. Der indhentes ikke et særskilt samtykke til forløbsoplysningerne.

c) Samtykket bortfalder senest 1 år efter, at det er givet (§ 44, stk. 2), og kan til enhver tid tilbagekaldes. Videregivelsen skal journalføres (BEK 1361 § 29, stk. 2-3). (Gælder fra 12. november 2026.) Platformen holder op med at vise forløbets status, datoer og tider (punkt 3.5, litra d; ikke hvornår forløbet blev oprettet) for et forløb 12 måneder efter klientens ja, eller når klienten trækker sit ja tilbage. Varer forløbet længere, kan klienten sige ja igen på sin egen side, med samme tekst; det giver en ny periode på 12 måneder. Nye svar og tilbagekaldelser registreres og journalføres som efter litra b. Kunden ser derefter "Ikke tilgængelig" og får ikke at vide, om samtykket er udløbet, ikke er fornyet eller er trukket tilbage. Kundens egne oplysninger efter litra d (navn, enhed, klienttype, de e-mailadresser, Kunden selv har indtastet, bevilling, forlængelser og afregnede sessioner) og samlede tal efter Bilag C.1.4 berøres ikke.

d) Menzo viser og overfører kun oplysninger omfattet af litra a til Kunden, til Kundens brugere eller til Kundens økonomisystem, når de er omfattet af klientens ja efter litra b, og kun for forløb, Kunden selv har henvist.

Kunden ser for hvert forløb, Kunden har henvist, klientens navn, den enhed og den klienttype, Kunden har valgt, de e-mailadresser, Kunden selv har indtastet, da Kunden inviterede klienten, den arbejdssituation og den baggrund for sagen, Kunden selv har angivet (bilag A1.3), Kundens egen bevilling, forlængelser og antallet af bevilgede og afregnede sessioner, hvornår forløbet blev oprettet (startdatoen) og godkendt, og hvornår invitationen blev sendt, samt, så længe klientens ja efter litra c gælder, forløbets status (afventer psykolog, i gang eller afsluttet), slutdato (datoen for den sidste samtale), hvornår forløbet blev afsluttet, forløbslængde, procestid (dage fra startdato til psykologens første kontakt), behandlingstid (dage fra første kontakt til slutdato eller i dag) og hvor lang tid Menzo brugte på at finde en psykolog, fra forløbet var klar (tid til tildeling) (Menzo Care § 6, stk. 1-2). Andre oplysninger om det enkelte forløb ser Kunden ikke. Kunden ser aldrig fremmøde, afbud eller udeblivelser for den enkelte klient eller det enkelte forløb.

e) Kunden er selv ansvarlig for sit grundlag for at modtage og behandle de oplysninger, Kunden får. Kunden får aldrig adgang til journalmateriale, samtalernes indhold, problemområde, afbudsårsager, klientens øvrige kontaktoplysninger, herunder en e-mailadresse, som klienten selv har tilføjet, psykologens faglige vurderinger eller oplysninger om psykologens egne klienter. Kunden får heller aldrig den enkeltes svar på spørgeskemaer eller score, herunder WHO-5, heller ikke med klientens samtykke. Undtagelserne er gennemsnittet af klientens evaluering af et afsluttet forløb efter Menzo Care § 6, stk. 5 b: det ser Kundens administratorer og lederen af forløbets enhed kun, når klienten særskilt har sagt ja til netop det, og Kunden ser aldrig de enkelte svar; og den korte konklusion af en second opinion efter litra f og Menzo Care § 6, stk. 5 c, når klienten særskilt har sagt ja til netop det. En samlet statistik efter Bilag C.1.4, som ikke kan føres tilbage til enkeltpersoner, er ikke en videregivelse af helbredsoplysninger efter litra a (Menzo Care § 6).

f) Second opinion. Om en second opinion efter punkt 5.6 ser Kunden, at Kundens egen anmodning er modtaget. Kunden får ikke at vide, om klienten har sagt nej. Konklusionen gives kun til Kunden, hvis klienten særskilt og udtrykkeligt har givet skriftligt samtykke til netop det efter sundhedslovens §§ 43 og 44, og da kun den korte konklusion, specialisten skriver til Kunden (Menzo Care § 6, stk. 5 c). Det særskilte samtykke er et kryds, der ikke er sat på forhånd, ud over klientens ja efter litra b. Den vises kun for Kundens brugere, der må bestille, inden for deres enheder, og kun mens samtykket gælder; hver visning logges. (Ændret 13. november 2026.)

3.6 Henvisninger fra Kunden (Modul 1). Når Kunden henviser en medarbejder til et forløb, sørger Kunden for, at henvisningen og de oplysninger, der følger med, har hjemmel, og at medarbejderen har fået oplysning efter GDPR art. 13 eller 14.

4. Databehandleren handler efter instruks

4.1 Menzo behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves efter EU-ret eller dansk ret. I så fald underretter Menzo den dataansvarlige om det retlige krav, før behandlingen sker, medmindre retten forbyder underretning (GDPR art. 28, stk. 3, litra a). Instruksen fremgår af Bilag A1, A2 og C, og den dataansvarlige kan supplere den skriftligt.

4.2 Den dataansvarliges brug af platformens funktioner udgør instruks inden for rammerne af Bilag C.1. Funktioner, der ikke er beskrevet i Bilag C.1, kræver en særskilt skriftlig instruks.

4.3 Menzo underretter omgående den dataansvarlige, hvis en instruks efter Menzos opfattelse er i strid med GDPR eller databeskyttelsesbestemmelser i anden EU-ret eller dansk ret, herunder sundhedsloven (art. 28, stk. 3, sidste afsnit).

5. Fortrolighed og tavshedspligt

5.1 Menzo giver kun adgang til personoplysninger til personer under Menzos instruktionsbeføjelse, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det omfang det er nødvendigt (art. 28, stk. 3, litra b). Adgangen fjernes, når behovet ophører.

5.2 Menzo dokumenterer på anmodning, at de personer, der har adgang, er underlagt tavshedspligt.

5.3 (Modul 2) Menzo har ikke adgang til journalindhold i den daglige drift. Menzo er bekendt med, at journaldata er omfattet af sundhedspersonens tavshedspligt efter sundhedslovens § 40, og at oplysningerne kun må videregives efter sundhedslovens kapitel 9. Journaltekst gemmes krypteret og dekrypteres kun for den behandlende psykolog, i Behandlingsstedets eget udtræk, i den automatiske kryptering af ældre rækker (Bilag C.2 nr. 7 og 9), ved supportadgang efter punkt 5.4 og ved udtræk til aktindsigt efter en psykologs ophør som beskrevet nedenfor. Ingen rolle hos Menzo kan læse journaltekst i platformen, undtagen ved supportadgang efter punkt 5.4 og ved udtræk til aktindsigt hos en ophørt psykolog nedenfor. Leverer Menzo et udtræk efter punkt 9.1 b på Behandlingsstedets skriftlige anmodning, dannes det automatisk og lægges krypteret i Behandlingsstedets konto, uden at Menzos medarbejdere ser indholdet. Er psykologen ophørt efter vilkårene, og har den registrerede klient anmodet om aktindsigt (sundhedslovens § 38), kan Menzo dekryptere og danne udtrækket af den ene sag og udlevere det, når en anden, etableret administrator end den, der registrerede anmodningen, og den, der afsluttede psykologens adgang (når det er registreret), har godkendt det. Hver dekryptering og hvert udtræk logges.

5.4 (Modul 2) Supportadgang til journalindhold sker kun, når alle disse betingelser er opfyldt:

a) Den dataansvarlige psykolog har bedt om det skriftligt i den konkrete sag og har beskrevet, hvad der skal undersøges.

b) Adgangen er afgrænset til de klienter, journaler og felter, som anmodningen omfatter, og til det, der er nødvendigt for at løse opgaven.

c) Adgangen er tidsbegrænset. Den lukkes, når opgaven er løst, og senest efter 7 dage, medmindre psykologen skriftligt forlænger den.

d) Kun navngivne personer hos Menzo, som er opført på Menzos liste over supportpersoner og har skrevet under på en tavshedserklæring, får adgang. Menzo oplyser navnene til psykologen før adgangen.

e) Hver læsning logges med person, tidspunkt, journal og begrundelse (Bilag C.2 nr. 9). Psykologen får efterfølgende en kvittering med loggen.

f) Klientens accept. Ud over Behandlingsstedets instruks kræver Menzo, at klienten har accepteret adgangen. Behandlingsstedet bekræfter i anmodningen, at klienten er orienteret om, hvem der får adgang, til hvad og hvor længe, at klienten har accepteret, og at det er noteret i journalen. Kravet er en ekstra sikkerhed, som parterne har aftalt. Adgangen sker på grundlag af Behandlingsstedets instruks (GDPR art. 28, stk. 3, litra a, og art. 29) og er ikke en videregivelse efter sundhedslovens § 43. Kravet gælder ikke ved nødadgang efter litra g og ved support, der ikke giver adgang til journalindhold, fx fejllog og metadata.

g) Nødadgang (break-glass). Uden anmodning efter litra a må Menzo kun få adgang, hvis det er strengt nødvendigt for at forhindre eller begrænse et brud på persondatasikkerheden eller tab af journaldata. Nødadgangen godkendes af to navngivne personer hos Menzo, logges efter litra e, dokumenteres skriftligt med begrundelse og omfang og meddeles Behandlingsstedet senest 24 timer efter. Nødadgang må aldrig bruges til almindelig support. Nødadgang gennemføres efter en skriftlig procedure med manuel logning, indtil den er bygget ind i platformen. Brug af den indføres i Menzos hændelseslog.

5.5 Tavshedspligten gælder også efter aftalens ophør og uden tidsbegrænsning.

5.6 (Modul 1 og 2) Second opinion fra en specialist i psykoterapi (godkendt af Dansk Psykolog Forening).

a) Specialisten. En specialist i psykoterapi, der er godkendt af Dansk Psykolog Forening, har gyldig autorisation som psykolog, er tilknyttet Menzo og ikke er den behandlende psykolog ("specialisten"), kan give en second opinion på et forløb. Menzo kontrollerer godkendelsen ved tilknytningen og derefter mindst én gang årligt og ved mistanke om fejl. Dokumentationen er specialistdiplomet fra Dansk Psykolog Forening eller en skriftlig bekræftelse fra foreningen, og titlen vises præcis, som den står i dokumentationen.

b) Hvem kan anmode. Den behandlende psykolog, klienten eller Kunden kan anmode om en second opinion. Kunden kan kun anmode på et forløb, Kunden selv har bevilget. Den behandlende psykolog får altid besked om en anmodning. Kunden betaler for en second opinion, som Kunden har anmodet om, efter Menzo Care § 6, stk. 5, og klienten betaler aldrig.

c) Klienten afgør selv. En second opinion gennemføres kun, hvis klienten giver samtykke. Specialisten får kun adgang til oplysninger om forløbet, herunder journalen, når klienten har givet skriftligt samtykke, som opfylder både sundhedslovens § 41 og §§ 43-44. Samtykket gives til den behandlende psykolog, journalføres (BEK 1361 § 29), gælder højst 1 år og kan altid tilbagekaldes. Et nej får ingen konsekvenser for klienten eller forløbet, og det meddeles ikke Kunden.

d) Uden samtykke gennemføres der ingen second opinion med adgang til journalen. Den behandlende psykolog kan i stedet drøfte forløbet anonymiseret, så specialisten hverken ud fra oplysningerne selv eller sammen med andre oplysninger kan identificere klienten.

e) Konklusionen og begrundelsen gives kun til den behandlende psykolog og til klienten. Kunden og Kundens brugere får aldrig vurderingen og kun den særskilte konklusion til Kunden, når klienten har givet særskilt samtykke efter punkt 3.5, litra f. Den behandlende psykolog afgør, om og hvordan konklusionen indgår i journalen.

f) Hvad Kunden ser. Kunden ser, at anmodningen er modtaget, og, med klientens særskilte samtykke, konklusionen til Kunden (punkt 3.5, litra f). Oplysninger til Kunden, herunder fakturagrundlag, må ikke vise, om klienten har sagt nej, medmindre andet udtrykkeligt følger af Menzo Care § 6, stk. 5.

g) Menzo giver kun specialisten adgang efter Behandlingsstedets instruks og kun i det omfang, samtykket dækker. Adgangen er tidsbegrænset og logges (Bilag C.2 nr. 9).

h) Specialisten er selv underlagt tavshedspligt efter sundhedslovens § 40. Specialisten fører selv journal over sin vurdering, i det omfang autorisationslovens § 21 kræver det, og er dataansvarlig for sine egne notater. Menzo behandler dem som databehandler for specialisten efter Modul 2.

6. Behandlingssikkerhed

6.1 Behandlingen omfatter helbredsoplysninger (GDPR art. 9), ofte om personer i en sårbar situation. Parterne er enige om, at risikoen for de registreredes rettigheder er høj.

6.2 Menzo gennemfører uafhængigt af den dataansvarlige de foranstaltninger, der kræves efter GDPR art. 32 (art. 28, stk. 3, litra c). De foranstaltninger, Menzo har implementeret ved aftalens indgåelse, står i Bilag C.2.

6.3 Menzo bistår den dataansvarlige med dennes overholdelse af art. 32, blandt andet ved at give de oplysninger om Menzos foranstaltninger, som den dataansvarlige skal bruge til sin risikovurdering.

6.4 Menzo kan ændre foranstaltningerne, hvis sikkerhedsniveauet ikke forringes. Menzo orienterer den dataansvarlige skriftligt om væsentlige ændringer og om nye foranstaltninger, og Bilag C.2 opdateres tilsvarende.

7. Anvendelse af underdatabehandlere

7.1 Menzo opfylder betingelserne i GDPR art. 28, stk. 2 og 4, for at bruge underdatabehandlere.

7.2 Generel godkendelse. Den dataansvarlige giver Menzo generel skriftlig godkendelse til at bruge underdatabehandlere. De underdatabehandlere, der bruges ved aftalens indgåelse, står i Bilag B.

7.3 Menzo varsler planlagte tilføjelser eller udskiftninger skriftligt mindst 30 dage i forvejen. Den dataansvarlige kan gøre rimeligt begrundet indsigelse inden varslets udløb. Finder parterne ikke en løsning, kan den dataansvarlige opsige den berørte del af ydelsen uden ekstra omkostninger, og Menzo tager ikke den nye underdatabehandler i brug for den dataansvarliges data, før ophøret har virkning.

7.4 Menzo pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale gennem en skriftlig kontrakt, der navnlig giver fornødne garantier for passende tekniske og organisatoriske foranstaltninger (art. 28, stk. 4). Kopi af de databeskyttelsesretlige dele af kontrakten udleveres på anmodning.

7.5 Overholder en underdatabehandler ikke sine forpligtelser, hæfter Menzo fuldt ud over for den dataansvarlige.

7.6 Menzo bestræber sig på, at underdatabehandleraftalerne giver den dataansvarlige mulighed for at indtræde i Menzos rettigheder, hvis Menzo går konkurs, så den dataansvarlige fx kan kræve oplysningerne udleveret.

8. Overførsel til tredjelande

8.1 Overførsel til tredjelande eller internationale organisationer sker kun efter dokumenteret instruks fra den dataansvarlige og altid efter GDPR kapitel V (art. 44-49).

8.2 Uden dokumenteret instruks må Menzo ikke (a) overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland, (b) overlade behandling til en underdatabehandler i et tredjeland, eller (c) behandle oplysningerne i et tredjeland.

8.3 Instruksen står i Bilag C.6. Med aftalens indgåelse giver den dataansvarlige instruks om de overførsler, der står i Bilag B og C.6.

8.4 Kræver EU-ret eller dansk ret en overførsel, underretter Menzo den dataansvarlige, før behandlingen sker, medmindre retten forbyder underretning.

9. Bistand til den dataansvarlige

9.1 Menzo bistår den dataansvarlige med at opfylde de registreredes rettigheder efter GDPR kapitel III (art. 12-23) gennem passende tekniske og organisatoriske foranstaltninger (art. 28, stk. 3, litra e). Det sker blandt andet ved:

a) at videresende henvendelser, der fejlagtigt er sendt til Menzo, til den dataansvarlige inden 2 arbejdsdage uden selv at besvare dem. Vedrører en henvendelse et forløb eller journalindhold, sendes den alene til Behandlingsstedet. Kunden underrettes ikke om henvendelsen, fordi det ville afsløre, at medarbejderen har et forløb.

b) (Modul 2) at levere et udtræk af patientjournalen på Behandlingsstedets anmodning, så Behandlingsstedet kan imødekomme en anmodning om aktindsigt inden for sundhedslovens frist på 7 arbejdsdage (§ 38, stk. 1) og i den form, klienten ønsker (§ 38, stk. 2). Udtrækket dannes automatisk og lægges krypteret i Behandlingsstedets konto, hvor det kun kan hentes med to-faktor-godkendelse. Menzos medarbejdere ser ikke indholdet.

c) (Modul 2) at journaloplysninger ikke slettes eller gøres ulæselige ved rettelser, og at den oprindelige tekst bevares med angivelse af, hvem der har rettet, og hvornår (BEK 1361 § 20). Retten til sletning efter GDPR art. 17 gælder ikke, så længe opbevaring er påkrævet efter lov (art. 17, stk. 3, litra b).

9.2 Menzo bistår også, under hensyn til behandlingens karakter og de oplysninger Menzo har adgang til, med den dataansvarliges forpligtelser efter art. 32-36: anmeldelse af brud til Datatilsynet, underretning af de registrerede, konsekvensanalyse og forudgående høring (art. 28, stk. 3, litra f). Menzo stiller de oplysninger om platformen og dens dataflows til rådighed, som den dataansvarlige skal bruge til en konsekvensanalyse.

9.3 Bistand ud over det, der er nødvendigt efter GDPR art. 28, kan faktureres efter Bilag D.2.

10. Underretning om brud på persondatasikkerheden

10.1 Menzo underretter den dataansvarlige uden unødig forsinkelse og om muligt senest 24 timer efter at være blevet opmærksom på et brud på persondatasikkerheden. Det giver den dataansvarlige mulighed for at anmelde bruddet til Datatilsynet inden for 72 timer efter GDPR art. 33.

10.2 Underretningen indeholder så vidt muligt de oplysninger, der kræves efter art. 33, stk. 3: bruddets karakter, de berørte kategorier og det omtrentlige antal registrerede og registreringer, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås. Oplysninger, der ikke er tilgængelige straks, gives løbende.

10.3 Berører et brud både Modul 1 og Modul 2 eller flere dataansvarlige, underretter Menzo hver dataansvarlig om de oplysninger, der vedrører den pågældende. En underretning til Kunden identificerer ikke, hvilke medarbejdere der har et forløb, medmindre der foreligger samtykke efter punkt 3.5.

10.4 Menzo anmelder ikke brud til Datatilsynet på den dataansvarliges vegne, medmindre det aftales særskilt. Menzos egen anmeldelsespligt for behandlinger, hvor Menzo er dataansvarlig (Bilag D), berøres ikke.

11. Ophør, tilbagelevering og opbevaring

Bestemmelsen afviger fra skabelonens punkt 11, fordi opbevaringspligten for patientjournaler kræver det. Patientjournaler slettes aldrig, fordi den dataansvarlige undlader at svare.

11.1 Udtræksperiode. Ved ophør af Vilkårene eller af Modul 1 eller 2 har den dataansvarlige 90 dage til at hente sine data i et almindeligt anvendt, maskinlæsbart format. Fristen gælder for både Modul 1 og Modul 2 og svarer til Vilkårenes afsnit Menzo Praksis § 8. Inden for samme frist meddeler den dataansvarlige skriftligt, hvordan oplysningerne skal håndteres efter punkt 11.2 eller 11.3.

11.2 Patientjournaler slettes aldrig automatisk (Modul 2).

a) Journaldata (journalnotater med versionshistorik, samtykker, videregivelser, aktindsigter, bilag og effektmålinger) må kun tilbageleveres, overdrages efter reglerne i BEK 1361 (fx til et andet behandlingssted, der overtager praksis) eller opbevares fortsat af Menzo.

b) Reagerer Behandlingsstedet ikke inden for fristen i punkt 11.1, sletter Menzo ikke. Menzo spærrer journaldata for alle andre end Behandlingsstedet og opbevarer dem fortsat. Menzo sender skriftlig påmindelse mindst hver 6. måned. Vederlag for fortsat opbevaring følger Bilag D.2.

c) Opbevaringsperioden er mindst 5 år fra den seneste optegnelse i journalen (BEK 1361 § 35, stk. 2-3). Den er 10 år, hvis journalen er tværfaglig med notater fra faggrupper omfattet af § 35, stk. 1 (§ 35, stk. 6). Den forlænges, så længe der verserer en klage-, tilsyns- eller erstatningssag (§ 35, stk. 5), og den gælder også, hvis patienten er død (§ 35, stk. 4).

d) Journaldata slettes først efter en udtrykkelig skriftlig instruks fra Behandlingsstedet, hvor Behandlingsstedet bekræfter, at opbevaringsperioden er udløbet, eller at der er et andet retligt grundlag for destruktion. Menzo dokumenterer sletningen skriftligt.

e) Er Behandlingsstedet ophørt, fx fordi indehaveren er død eller gået konkurs, fortsætter opbevaringspligten (BEK 1361 § 35, stk. 7). Menzo samarbejder med boet eller den, der overtager.

f) Påbyder Styrelsen for Patientsikkerhed Menzo som databehandler at udlevere elektroniske patientjournaler (BEK 1361 § 49), efterkommer Menzo påbuddet og orienterer Behandlingsstedet om udleveringen og om, hvad der er udleveret (§ 50, stk. 2).

11.3 Kundens administrative data (Modul 1). Ved ophør tilbageleverer eller sletter Menzo oplysningerne efter Kundens valg. Meddeler Kunden ikke et valg inden for fristen på 90 dage i punkt 11.1, sender Menzo en skriftlig påmindelse, når fristen er udløbet. Menzo sletter tidligst 30 dage efter påmindelsen, altså tidligst 120 dage efter ophør, og først efter at have tilbudt et udtræk. Oplysningerne slettes aldrig inden for udtræksperioden. Menzo bekræfter sletningen skriftligt. Oplysninger, som Menzo behandler som dataansvarlig efter Bilag D, fx bogføringsmateriale, er ikke omfattet.

11.4 Menzo kan opbevare oplysninger i det omfang, EU-ret eller dansk ret kræver det, og kun så længe og til det formål (art. 28, stk. 3, litra g).

11.5 Sikkerhedskopier slettes efter den faste rotationscyklus i Bilag C.4. Indtil da er de beskyttet efter Bilag C.2 og bruges kun til gendannelse.

12. Revision, herunder inspektion

12.1 Menzo stiller alle oplysninger til rådighed, der er nødvendige for at påvise, at art. 28 og denne aftale overholdes. Menzo giver mulighed for og bidrager til revisioner, herunder inspektioner, som den dataansvarlige eller en revisor med fuldmagt foretager (art. 28, stk. 3, litra h).

12.2 Procedurerne står i Bilag C.7 og C.8.

12.3 Menzo giver tilsynsmyndigheder (Datatilsynet og Styrelsen for Patientsikkerhed inden for deres kompetence) adgang til Menzos faciliteter mod behørig legitimation.

13. Andre forhold

13.1 Erhvervsforhold. Aftalen indgås mellem erhvervsdrivende eller med offentlige myndigheder. Forbrugerretlige regler finder ikke anvendelse.

13.2 Ansvar. Hver part bærer ansvaret efter GDPR art. 82 over for de registrerede. I forholdet mellem parterne gælder ansvarsbestemmelserne i Vilkårene (Menzo Care § 8 for Modul 1 og Menzo Praksis § 10 for Modul 2), dog sådan at (a) de ikke begrænser de registreredes rettigheder efter art. 82 eller tilsynsmyndighedernes beføjelser, og (b) en part, der har betalt fuld erstatning til en registreret, kan kræve den del dækket af den anden part, der svarer til den anden parts ansvar (art. 82, stk. 5).

13.3 Forrang. Andre aftaler mellem parterne må ikke direkte eller indirekte stride mod denne aftale eller forringe de registreredes rettigheder.

13.4 Lovvalg og værneting. Aftalen er underlagt dansk ret. Tvister søges løst i mindelighed. Kan enighed ikke opnås, afgøres tvisten ved Retten i Horsens som første instans. Det er Menzos hjemting, og det svarer til Vilkårene (Menzo Care § 9 og Menzo Praksis § 12). Et andet værneting kan kun aftales udtrykkeligt i samarbejdsaftalen.

14. Ikrafttræden og ophør

14.1 Aftalen træder i kraft, når den accepteres eller underskrives af den dataansvarlige, for Modul 1 og Modul 2 hver for sig. Accepten dokumenteres og opbevares af begge parter, også elektronisk.

14.2 Hver part kan kræve aftalen genforhandlet, hvis lovændringer eller uhensigtsmæssigheder giver anledning til det.

14.3 Aftalen gælder, så længe Menzo behandler personoplysninger på den dataansvarliges vegne, herunder i den fortsatte opbevaringsperiode efter punkt 11.2. Den kan ikke opsiges særskilt, så længe Vilkårene gælder, eller så længe Menzo opbevarer journaldata.

14.4 Ændringer kræver skriftlig aftale. Ensidige ændringer af Vilkårene (Menzo Praksis § 11) gælder ikke for denne aftale. Undtaget er opdatering af Bilag B efter punkt 7.3 og af Bilag C efter punkt 6.4.

14.5 Underskrift eller accept:

15. Kontaktpersoner

Bilag A1: Behandlingen i Modul 1 (Kunden som dataansvarlig)

A1.1 Formål. At Kunden kan henvise medarbejdere til psykolog- og kriseforløb under Menzo Care, administrere sine bevillinger, følge op på Menzos levering, anmode om en second opinion efter punkt 5.6 og administrere sine egne brugere og kontaktpersoner.

A1.2 Behandlingens karakter. Indsamling, registrering, opbevaring, søgning, brug, begrænsning og sletning eller tilbagelevering efter punkt 11.3.

A1.3 Typer af personoplysninger.

• Almindelige oplysninger: navn, e-mail, telefon, stilling og arbejdssted for Kundens brugere og kontaktpersoner. Navn og kontaktoplysninger for den henviste medarbejder og Kundens eventuelle reference. Kunden ser i platformen og i eksporten af klientlisten kun de e-mailadresser på medarbejderen, Kunden selv har indtastet, da Kunden inviterede medarbejderen, og aldrig en e-mailadresse, medarbejderen selv har tilføjet (punkt 3.5, litra e).
• Bevilling: bevilget antal sessioner, forlængelser, antal afregnede sessioner og Kundens anmodninger om second opinion.
• Helbredsoplysninger (art. 9): at en navngiven person er henvist til et psykologforløb, er i sig selv en helbredsoplysning. Det samme gælder Kundens egen angivelse ved henvisningen af klientens arbejdssituation (i arbejde, i arbejde men med risiko for sygemelding, delvist sygemeldt eller sygemeldt; for borgere også ledig, under uddannelse, i fleksjob eller ressourceforløb eller andet) og af baggrunden for sagen (hændelse med datoen for hændelsen, generel belastning/stress, samarbejde/konflikt på arbejdspladsen, organisatoriske forandringer, private forhold med betydning for arbejdet eller andet; fra 13. november 2026), som Kunden kan rette senere, og som indgår i kvartalsrapporten som samlede tal over mindst 10 personer (fra 12. november 2026). Det er Kundens egne oplysninger, ikke medarbejderens eget svar. Om forløbet modtager Kunden kun det, klienten har sagt ja til (ved Kundens invitation, når et forløb knyttes til Kunden, eller i platformen), og højst 12 måneder ad gangen: forløbets status, afslutnings- og slutdato og tider (punkt 3.5, litra b-d). Med klientens særskilte samtykke desuden den korte konklusion af en second opinion, Kunden har bestilt, som specialisten skriver til Kunden (punkt 3.5, litra f; fra 13. november 2026). Aldrig fremmøde, afbud eller udeblivelser.
• CPR-nummer: behandles ikke i Modul 1.

A1.4 Kategorier af registrerede. Kundens brugere og kontaktpersoner. Medarbejdere, som Kunden henviser til forløb.

A1.5 Varighed. Så længe Vilkårene gælder og indtil tilbagelevering eller sletning efter punkt 11.3.

Bilag A2: Behandlingen i Modul 2 (Behandlingsstedet som dataansvarlig)

A2.1 Formål. At Behandlingsstedet kan føre patientjournal efter autorisationslovens § 21 og BEK 1361, booke og administrere sessioner, sende påmindelser til klienter, gennemføre videosamtaler, gennemføre effektmåling, registrere samtykker og videregivelser, efterkomme anmodninger om aktindsigt, give en specialist i psykoterapi (godkendt af Dansk Psykolog Forening) adgang efter punkt 5.6 og, efter tilvalg, få fakturakladder overført til sit eget regnskabssystem og, når Behandlingsstedet har slået det til, sende Behandlingsstedets egne klienter en evaluering af forløbet efter Bilag C.1.6. Når Behandlingsstedet har tilkøbt det, kan Behandlingsstedet også få et AI-udkast til et journalnotat efter Bilag C.1.8.

A2.2 Behandlingens karakter. Indsamling, registrering, opbevaring med versionering, søgning, brug, udtræk, overførsel til Behandlingsstedets egen kalender og eget regnskabssystem efter tilvalg, videregivelse til Kunden kun efter punkt 3.5, og tilbagelevering, overdragelse eller fortsat opbevaring efter punkt 11.2.

A2.3 Typer af personoplysninger.

• Almindelige oplysninger: klientens navn, adresse, e-mail, telefon, fødselsdato, nærmeste pårørende, når det er relevant (BEK 1361 § 14), bookingoplysninger og henvisende instans.
• Personnummer: klientens personnummer, som skal fremgå af patientjournalen (BEK 1361 § 12, jf. databeskyttelseslovens § 11, stk. 2, nr. 1).
• Helbredsoplysninger (art. 9): journalnotater, årsag til henvendelse eller henvisning, undersøgelser og vurderinger, behandlingsplan, effektmålinger, samtykker, videregivelser og aktindsigter (BEK 1361 § 29), samt oplysninger, klienten selv har givet ved intake, i det omfang de indgår i journalen.
• Fakturaoplysninger (Menzo Praksis § 7): ved en privat klient klientens navn, adresse og e-mail, ydelse, antal, pris og måned. Personnumre, journalnotater, problemområder og datoer for de enkelte samtaler overføres ikke til regnskabssystemet.
• AI-journaludkast (C.1.8): billeder af psykologens håndskrevne noter, udkastet og, når optagelse tages i brug, lydoptagelsen og udskriften af den. Indholdet er helbredsoplysninger. Udkastet er ikke en del af patientjournalen, før psykologen selv har gemt det som et journalnotat.
• Evalueringssvar (C.1.6): klientens svar på Behandlingsstedets evaluering af forløbet og psykologen, klientens valg om psykologen må se svaret, og tidspunkter for udsendelse og svar. Svarene er helbredsoplysninger, fordi de viser, at klienten har været i behandling. De er ikke en del af patientjournalen, medmindre Behandlingsstedet selv fører dem ind.

A2.4 Kategorier af registrerede. Klienter (patienter), pårørende og Behandlingsstedets psykologer og personale.

A2.5 Varighed. Så længe Modul 2 gælder, og derefter i den fortsatte opbevaringsperiode efter punkt 11.2: mindst 5 år fra seneste optegnelse og 10 år ved tværfaglige journaler (BEK 1361 § 35).

Bilag B: Underdatabehandlere

B.1 Godkendte underdatabehandlere ved aftalens indgåelse. Oplysningerne er tjekket 3. nov. 2026 på leverandørernes egne sider og på dataprivacyframework.gov.

Menzo sætter ikke andre leverandører ind uden varsel efter punkt 7.3.

B.2 Betingelser. Menzo må ikke bruge en underdatabehandler til andre behandlingsaktiviteter end dem, der er beskrevet i B.1, uden at ændringen er varslet efter punkt 7.3.

B.3 Den dataansvarliges egne leverandører. Følgende er ikke Menzos underdatabehandlere. Menzo overfører oplysninger til dem efter den dataansvarliges instruks og tilvalg, og leverandøren behandler oplysningerne efter den dataansvarliges egen aftale med leverandøren:

• Microsoft 365 (Outlook-kalender, Teams og Microsoft Graph), når Behandlingsstedet forbinder sin egen Microsoft-konto (Modul 2). Lokationen følger Behandlingsstedets egen Microsoft-lejer (for EU-lejere: EU Data Boundary), og overførselsgrundlaget følger Behandlingsstedets aftale med Microsoft. Menzos egen brug af Microsoft 365 til e-mail og support står i B.1.
• Visma e-conomic, når Behandlingsstedet forbinder sit eget regnskab (Modul 2, Menzo Praksis § 7).

B.4 Matchning uden eksterne leverandører. Matchningen mellem klient og psykolog sker i platformen efter faste regler og involverer ingen ekstern leverandør eller sprogmodel. Klientens fritekst indgår ikke i matchningen.

Bilag C: Instruks og sikkerhedsforanstaltninger

C.1 Behandlingens genstand og instruks

C.1.1 (Modul 1) Menzo leverer funktionerne i Bilag A1: henvisning af medarbejdere, administration af bevillinger, anmodning om second opinion (punkt 5.6) og Kundens brugerstyring, med de begrænsninger der følger af punkt 3.5.

C.1.2 (Modul 2) Menzo leverer funktionerne i Bilag A2: journalføring, booking, påmindelser, videosamtaler, effektmåling, registrering af samtykker og videregivelser, udtræk til aktindsigt, kalendersynkronisering, overførsel af fakturakladder efter tilvalg og evaluering efter tilvalg (C.1.6). Efter tilkøb leverer Menzo også AI-journaludkast (C.1.8).

C.1.3 Menzo må ikke sende data fra Modul 1 eller 2 til en ekstern AI-tjeneste. Den eneste undtagelse er AI-journaludkast efter C.1.8, når Behandlingsstedet har tilkøbt funktionen, og kun til de underdatabehandlere, der står i Bilag B.1 for den. Enhver anden brug kræver en særskilt skriftlig instruks og en opdateret konsekvensanalyse.

C.1.4 Anonymisering og samlede tal.

a) Hovedregel. Menzo anonymiserer og aggregerer ikke data fra Modul 1 eller 2, medmindre den dataansvarlige skriftligt har instrueret om det. Journalnotater, psykologens vurderinger og fritekst indgår aldrig.

b) Effektstatistik i Menzo Care. Medarbejderne kan svare på WHO-5 og to spørgsmål om arbejdsliv ved forløbets start og afslutning. (Gælder fra 13. november 2026.) Kunden ser aldrig svarene eller scoren, hverken den enkeltes eller som samlede tal, heller ikke med samtykke. Svarene og scoren vises kun for medarbejderens psykolog i platformen; Menzo sender dem ikke videre til Kunden eller andre. Menzo udarbejder som selvstændig dataansvarlig (punkt 2.4, nr. 9, og Bilag D.1) en samlet statistik til Kunden og forpligter sig over for Kunden og Behandlingsstederne til at følge litra c. Statistikken omfatter medarbejdernes eget svar på startsiden om deres arbejdssituation ved forløbets start (i arbejde, delvist sygemeldt, sygemeldt eller ikke i arbejde), vist i kvartalsrapporten som en fordeling i bånd for de forløb, der er afsluttet i kvartalet. Det svar tæller kun for medarbejdere, hvis samtykke efter litra c, nr. 1, udtrykkeligt nævner arbejdssituationen ved forløbets start, og svaret "Vil ikke oplyse" tæller ikke med. Bruger et Behandlingssted svarene i behandlingen, er de journaldata efter Modul 2 og omfattet af litra a.

c) Regler for alle samlede tal til Kunden.
1. Kun svar fra medarbejdere, der særskilt har givet Menzo samtykke, indgår. Ved tilbagekaldelse udgår personen fra de følgende opgørelser.
2. Hvert viste tal bygger på mindst 10 forskellige personer. Det gælder særskilt for start, slut og ændring. Grænsen kan hæves, men ikke sænkes under 10, uden at denne aftale ændres.
3. Enhver forskel mellem to viste tal, som Kunden kan beregne, skal også bygge på mindst 10 personer. Tallene opgøres for faste, ikke-overlappende perioder, fryses ved periodens udgang og genberegnes ikke.
4. Der vises kun gennemsnit, rundet til hele tal, og fordelinger i højst fire bånd. Et bånd med under 3 personer vises ikke, og et skjult tal må ikke kunne udledes af de øvrige. Ligger alle personer i samme bånd, vises kun gennemsnittet.
5. Ingen opdeling på afdeling, psykolog, køn, alder, problemområde eller andre undergrupper under 10 personer. Ingen filtre, Kunden selv kan sætte.
6. Kunden får ikke at vide, hvem der har svaret eller givet samtykke. Antal besvarelser vises kun i intervaller.
7. Ingen personhenførbare svar forlader Menzos database. Kundens API og eksport udleverer kun de samme samlede tal.
8. Grænsen og perioden fastsættes i Menzos administration, og hver ændring logges.
9. Anden samlet rapportering til Kunden, fx forbrug og aktivitet, vises også kun, når tallet bygger på mindst 10 forskellige personer. (Gælder fra 13. november 2026.) Det gælder ikke nøgletallene "Aktive forløb" og "Tid til tildeling" på Kundens klientside og Menzos procestider ("Sådan leverer Menzo" og kvartalsrapporten): de bygger kun på forløbets status, datoer og tider, som Kunden allerede ser for hvert forløb efter punkt 3.5, og vises derfor uden en mindste grænse. Tal om klienten selv, fx mål og målopnåelse, arbejdssituation og evalueringer, følger fortsat grænserne ovenfor. Tal om trivsel (WHO-5 og spørgsmålene om arbejdsliv) får Kunden aldrig, jf. litra b.

d) Resultatet efter litra c skal hverken kunne føres tilbage til enkeltpersoner eller til et enkelt Behandlingssted.

C.1.5 Hændelseslog over sendte SMS'er og e-mails (gælder, når funktionen lanceres).

a) Platformen logger de SMS'er og e-mails, der sendes fra platformen, til brug for drift, fejlsøgning og support (punkt 2.4, nr. 7).

b) Den behandlende psykolog ser kun hændelser for sine egne klienter.

c) Menzos administratorer ser kun metadata: type eller skabelon, tidspunkt, modtagerens rolle og leveringsstatus. Klienten vises med et pseudonymt id. Navnet vises kun for navngivne supportpersoner med to-faktor-godkendelse, når der er angivet en begrundelse, og hver visning logges (Bilag C.2 nr. 9).

d) Menzos administratorer ser aldrig indholdet af beskeder mellem klient og psykolog eller journalindhold. Indholdet af en bestemt mail eller SMS fra platformen kan kun ses efter punkt 5.4.

e) Organisationen (Kunden) har ikke adgang til hændelsesloggen.

f) Loggen gemmes i højst 13 måneder og slettes derefter automatisk.

C.1.6 (Modul 2) Evaluering fra Behandlingsstedets egne klienter (gælder, når funktionen lanceres).

a) Tilvalg. Funktionen er slået fra, indtil Behandlingsstedet selv slår den til i platformen. Tilvalget er Behandlingsstedets skriftlige instruks efter punkt 4.2 og registreres med tidspunkt og tekstversion. Behandlingsstedet kan altid slå funktionen fra. Så sendes der ikke flere evalueringer.

b) Udsendelse. Når et forløb hos en klient, som ikke er henvist af en Kunde, afsluttes, sender Menzo på Behandlingsstedets vegne en evaluering til klienten med e-mail og som et kort på klientens forside. Evalueringen vises med Behandlingsstedets navn som dataansvarlig og med Behandlingsstedets oplysningstekst. SMS bruges kun, hvis Behandlingsstedet har valgt det, og kun efter Bilag B.

c) Frivilligt. Klienten vælger selv, om klienten vil svare. Svarene indgår kun, hvis klienten har sagt ja i skemaet.

d) Hvad Behandlingsstedet ser. Behandlingsstedet ser et samlet tal for sine egne klienter, når det bygger på mindst 5 forskellige klienter i et fast halvår, der ikke genberegnes. Et bånd med under 3 klienter vises ikke. Den enkelte klients svar ser Behandlingsstedet kun, hvis klienten særskilt har sagt ja til det, og kun så længe ja'et ikke er trukket tilbage.

e) Hvad Menzo ser. Menzos medarbejdere ser ikke svar fra Behandlingsstedets klienter. De enkelte svar kan kun ses ved support efter punkt 5.4, litra a-e, på Behandlingsstedets skriftlige anmodning i en konkret sag, og hver visning logges.

f) Ingen anden brug. Svarene indgår aldrig i tal til en Kunde, i Menzo Care-statistik, i Menzos egne samlede tal eller i Menzos vurdering af psykologen, medmindre Behandlingsstedet har givet en særskilt skriftlig instruks efter C.1.4, litra a, og klienten er oplyst om det.

g) Sikkerhed. Svar og valg krypteres efter Bilag C.2 nr. 7, og hver dekryptering logges efter nr. 9.

h) Opbevaring. Efter Bilag C.4.

C.1.7 (Modul 2) Betaling fra Behandlingsstedets private klienter.

a) Behandlingsstedets egen Stripe-konto. Funktionen virker kun, når Behandlingsstedet selv har forbundet sin egen konto hos Stripe fra platformen. Stripe er Behandlingsstedets egen betalingsudbyder efter Behandlingsstedets aftale med Stripe og er ikke Menzos underdatabehandler. Betalingen går direkte til Behandlingsstedets konto.

b) Betalingslink. Når psykologen beder om det for en samtale, opretter Menzo på Behandlingsstedets vegne et betalingslink på Behandlingsstedets Stripe-konto med beløbet og teksten "Samtale" og sender linket til klientens e-mail. Klientens e-mail står som forudfyldt felt på betalingssiden hos Stripe. Ingen andre oplysninger om klienten eller forløbet sendes til Stripe.

c) Status. Menzo henter betalingens status fra Stripe og viser psykologen, om samtalen er betalt. Menzo ser aldrig klientens kortoplysninger.

C.1.8 (Modul 2) AI-journaludkast (tilkøb til Menzo Praksis) (gælder, når funktionen tages i brug).

a) Tilkøb. Funktionen er slået fra, indtil Behandlingsstedet har tilkøbt den, og Menzo har slået den til for den enkelte psykolog. Tilkøbet er Behandlingsstedets skriftlige instruks efter punkt 4.2. Behandlingsstedet kan altid få funktionen slået fra. Så sendes der ikke mere.

b) Billede af håndskrevne noter. Psykologen tager et billede af sine egne håndskrevne noter og sender det fra en sag i platformen. Billedet sendes til sprogmodellen Claude (udviklet af Anthropic) gennem Amazon Bedrock hos Amazon Web Services (Bilag B.1), som returnerer en udskrift og et udkast til et journalnotat. Platformen sender kun billedet og en fast instruks, aldrig klientens navn, CPR-nummer eller andre oplysninger fra sagen. Det, der står på papiret, sendes med.

c) Optagelse af en samtale (gælder først, når Menzo har slået optagelse til, og ikke før underdatabehandleren til tale-til-tekst er valgt og står i Bilag B.1 uden forbehold). En samtale optages kun, når klienten selv har givet samtykke i sit eget login i platformen. Samtykket registreres med tidspunkt og tekstversion og skrives ind i det gemte journalnotat. Klienten kan trække samtykket tilbage, og så slettes optagelsen og udkastet.

d) Kun i EU og uden lagring hos leverandøren. Forespørgslen sendes fra AWS-regionen eu-west-1 (Irland) gennem Amazon Bedrocks EU-inferensprofil, som kun må sende den videre til AWS-regioner i EU. Platformen afviser at starte med en anden region eller en anden model end den, der står her, og sender intet, hvis profilen kan sende til en region uden for EU. Datalagring i Amazon Bedrock indstilles for hver region for sig og gælder i den region, hvor forespørgslen behandles. Platformen sender derfor kun, når Bedrocks datalagring står på "none" i hver eneste region, profilen kan sende til, og den kontrollerer det før forsendelsen. Modellen skal tillade "none"; kræver modellen, at AWS gemmer data, afviser AWS forespørgslen, og intet behandles. Når betingelserne er opfyldt, gemmer AWS ikke billeder, tekst eller svar. Anthropic har ikke adgang til forespørgsler eller svar. Billeder, tekst og svar bruges ikke til at træne modeller.

e) Psykologens gennemgang. Svaret vises tydeligt markeret som AI-udkast. Intet bliver en del af journalen, før psykologen har læst og rettet AI-udkastet og selv har valgt at gemme det. Det gemte notat får en linje om, at det bygger på et AI-udkast, og hvornår det blev godkendt. Psykologen er ansvarlig for notatets indhold efter autorisationsloven og BEK 1361.

f) Opbevaring hos Menzo. Udkast og udskrifter krypteres efter Bilag C.2 nr. 7, og hver dekryptering logges efter nr. 9. Et udkast, der ikke gemmes, slettes efter højst 14 dage, og al tekst fra et udkast slettes senest en måned efter, at det blev lavet. Billedet af noterne gemmes krypteret som bilag til journalen, når psykologen gemmer notatet, og opbevares derefter som journalen (punkt 11.2). En lydoptagelse gemmes aldrig i journalen og slettes senest 24 timer efter, at den er modtaget.

g) Log uden indhold. Hver forsendelse til en underdatabehandler logges i forvejen med leverandør, model, region og endepunkt, men uden indhold. Fejl gemmes som korte koder, aldrig som tekst fra leverandøren.

h) Konsekvensanalyse. Menzo har lavet en konsekvensanalyse (GDPR art. 35) af funktionen og udleverer den på anmodning.

C.2 Implementerede sikkerhedsforanstaltninger

Sikkerhedsniveauet skal afspejle, at der behandles helbredsoplysninger og patientjournaler om personer i en sårbar situation, at platformen tilgås via internettet, og at et brud kan have alvorlige konsekvenser for de registrerede.

Ved aftalens indgåelse har Menzo implementeret disse foranstaltninger:

Menzo vurderer løbende, om foranstaltningerne er tilstrækkelige, og underretter den dataansvarlige skriftligt, hvis Menzo vurderer, at de ikke er. Nye foranstaltninger tilføjes efter punkt 6.4, når de er implementeret.

C.3 Bistand til den dataansvarlige

• Henvendelser fra registrerede videresendes inden 2 arbejdsdage efter punkt 9.1 a.
• (Modul 2) Udtræk til aktindsigt leveres efter punkt 9.1 b.
• Ved brud bistår Menzo med oplysningerne i punkt 10.2.

C.4 Opbevaringsperiode og sletterutine

• (Modul 2) Journaldata: punkt 11.2. Ingen automatisk sletning.
• (Modul 1) Kundens administrative data: så længe Vilkårene gælder, derefter punkt 11.3.
• Sikkerhedskopier: slettes automatisk efter hostingleverandørens faste rotationscyklus. Menzo oplyser cyklussen på anmodning.
• Spørgeskemasvar i Menzo Care (Bilag C.1.4): så længe forløbet varer og 12 måneder derefter. Samlede, anonyme tal gemmes.
• Hændelseslog over SMS og e-mail (Bilag C.1.5): højst 13 måneder.
• (Modul 2) Evalueringssvar fra Behandlingsstedets egne klienter (C.1.6): 24 måneder efter forløbets afslutning. Derefter slettes de automatisk. Samlede tal, der ikke kan føres tilbage til enkeltpersoner, gemmes.
• (Modul 2) AI-journaludkast (C.1.8): et udkast, der ikke gemmes, slettes efter højst 14 dage, og al tekst fra et udkast senest efter en måned. En lydoptagelse slettes senest 24 timer efter modtagelsen. Et gemt notat og billedet af noterne er journaldata (punkt 11.2).
• Evalueringssvar i Menzo Care (Bilag D.1): 24 måneder efter forløbets afslutning. Derefter slettes de automatisk. Samlede, anonyme tal gemmes.

C.5 Lokalitet for behandling

Behandling må uden den dataansvarliges skriftlige godkendelse kun ske hos de underdatabehandlere og på de lokaliteter, der står i Bilag B, på Menzos adresse, Alkenvej 23, 8660 Skanderborg, og fra sikrede fjernarbejdspladser via krypteret forbindelse.

C.6 Instruks om overførsel til tredjelande

Med aftalens indgåelse giver den dataansvarlige Menzo instruks om disse overførsler:

Menzo underretter den dataansvarlige uden unødig forsinkelse, hvis en leverandør mister sin DPF-certificering, eller hvis afgørelse (EU) 2023/1795 bliver underkendt. Overførslen fortsætter da kun efter SCC og en opdateret TIA. Der gives ikke instruks om andre overførsler. Ønsker den dataansvarlige ikke overførslen til USA, skal det aftales særskilt i samarbejdsaftalen.

C.7 Revision af Menzo

• Menzo stiller én gang årligt en skriftlig redegørelse for sin overholdelse af aftalen til rådighed, herunder de implementerede foranstaltninger og ændringer i underdatabehandlere. Redegørelsen udleveres uden beregning.
• Den dataansvarlige kan med 4 ugers skriftligt varsel gennemføre en inspektion, herunder fysisk, højst én gang årligt, medmindre der er konkret mistanke om misligholdelse eller et brud. Inspektionen omfatter ikke journalindhold eller andre dataansvarliges data. Hver part bærer sine egne omkostninger, medmindre inspektionen afdækker væsentlig misligholdelse.

C.8 Tilsyn med underdatabehandlere

Menzo fører tilsyn med underdatabehandlerne mindst én gang årligt ved at gennemgå deres revisionserklæringer eller certificeringer og deres databehandlervilkår. Dokumentationen udleveres på anmodning.

Bilag D: Andre forhold

D.1 Behandlinger, hvor Menzo er dataansvarlig

Behandlingerne er ikke omfattet af instruksen i denne aftale og er beskrevet her, så grænsen er gennemsigtig. Menzos privatlivspolitik gælder for dem.

D.2 Vederlag

• Udtræk ved ophør inden for 90 dage (punkt 11.1), videresendelse af henvendelser, underretning om brud og bistand ved brud, der skyldes forhold hos Menzo, er uden vederlag.
• Anden bistand efter punkt 9, som går ud over det, der er nødvendigt efter GDPR art. 28, afregnes efter Menzos gældende timepris, medmindre andet står i samarbejdsaftalen.
• Fortsat opbevaring af journaldata efter ophør (punkt 11.2 b) afregnes efter Menzos gældende prisliste, som oplyses på anmodning.

D.3 Fakturering til offentlige kunder

Regninger til offentlige myndigheder sendes elektronisk med myndighedens EAN-lokationsnummer og reference (bekendtgørelse nr. 206 af 11. marts 2011 om elektronisk afregning med offentlige myndigheder). Fakturalinjer indeholder ikke diagnoser, journalindhold eller fritekst, og oplysninger, der identificerer klienten, kun efter punkt 3.5.

Tillæg 1 – Nøgletal på klientsiden (12. november 2026)

Fra 13. november 2026 vises de to nøgletal uden en mindste grænse efter punkt C.1.4, litra c, nr. 9, for alle Kunder. Tillægget har derfor ikke længere virkning, og en tiltrædelse eller opsigelse ændrer intet.

Tillægget ændrer punkt C.1.4, litra c, nr. 2 og 9, for to tal og gælder kun for en Kunde, der har tiltrådt det. Kunden tiltræder det skriftligt i platformen ved en administrator, og tiltrædelsen registreres med tidspunkt, bruger og tekstversion (punkt 14.4). Uden tiltrædelse gælder grænsen på 10 personer uændret.

a) Nøgletallene "Aktive forløb" og "Tid til tildeling" på Kundens klientside vises, når tallet bygger på mindst 5 forskellige personer, og når forskellen til det samme tal, vist samtidig for resten af Kundens organisation uden for brugerens enheder, også bygger på mindst 5 forskellige personer.

b) "Aktive forløb" er antallet af igangværende forløb. "Tid til tildeling" er medianen af, hvor lang tid Menzo brugte, fra forløbet var klar, til klienten fik tildelt en psykolog, for forløb tildelt de seneste 90 dage. Begge er samlede tal over Kundens egne forløb og viser aldrig den enkelte klient.

c) Alle andre tal til Kunden, herunder effektstatistik, evalueringer, forbrug og aktivitet, følger fortsat grænsen på 10 personer i C.1.4.

d) Kunden kan opsige tillægget skriftligt til Menzo (persondata@menzo.dk). Menzo registrerer opsigelsen senest 5 arbejdsdage efter, at den er modtaget, og fra da gælder grænsen på 10 personer igen for begge tal.

Ændringer i version 3.4 (13. november 2026)

Version 3.4 afløser version 3.3 af 9. november 2026. Ingen Kunde havde tiltrådt version 3.3, da version 3.4 blev offentliggjort, og der var derfor ikke brug for en skriftlig aftale om ændringerne efter punkt 14.4. De væsentligste ændringer er:

• Punkt 3.5, litra b-d: Kunden ser forløbets status, datoer og tider på grundlag af klientens ja til invitationen, for hvert forløb og højst 12 måneder ad gangen. Klienten kan trække sit ja tilbage og sige ja igen. Listen over, hvad Kunden ser, er gjort udtømmende.
• Punkt 3.5, litra e: Kunden ser aldrig en e-mailadresse, som klienten selv har tilføjet.
• Punkt 3.5, litra f, punkt 5.6 og Bilag C.2, nr. 11: Kunden kan med klientens særskilte samtykke få den korte konklusion af en second opinion, Kunden har bestilt.
• Punkt 3.5, litra e, punkt 2.4, nr. 10, og Bilag D.1: Kunden kan se gennemsnittet af klientens evaluering af et afsluttet forløb, når klienten særskilt har sagt ja til netop det.
• Punkt 2.4, nr. 9, Bilag C.1.4, litra b, og Bilag D.1: Klientens eget svar om sin arbejdssituation ved forløbets start indgår i Menzos effektstatistik, når klientens samtykke nævner det.
• Bilag A1.1: Nyt formål: at Kunden kan følge op på Menzos levering.
• Bilag A1.3: Kundens egen angivelse af klientens arbejdssituation og baggrunden for sagen, de e-mailadresser, Kunden selv har indtastet, og forlængelser.
• Bilag C.1.4, litra c, nr. 9: Nøgletallene "Aktive forløb" og "Tid til tildeling" og Menzos procestider vises uden en mindste grænse, fordi de kun bygger på oplysninger, Kunden allerede ser for hvert forløb.
• Tillæg 1 (12. november 2026) har ikke længere virkning, jf. nr. 9 ovenfor.
• Bilag C.1.4, litra b og c, nr. 9, og Bilag D.1 (13. november 2026): Kunden får aldrig tal om medarbejdernes svar på WHO-5 og spørgsmålene om arbejdsliv, heller ikke samlede. Ændringen begrænser kun, hvad Kunden får.
• Punkt 2.4, nr. 9, Bilag C.1.4, litra b, og Bilag D.1 (13. november 2026): Teksten lover ikke længere, at medarbejderen selv ser sine svar og sin score i platformen; en sådan visning findes ikke. Svarene og scoren vises kun for medarbejderens psykolog i platformen.

Menzo ApS · Alkenvej 23, 8660 Skanderborg · CVR-nr. 46729358 · persondata@menzo.dk