1. Vem är vi – den personuppgiftsansvarige

Följande enheter är gemensamt personuppgiftsansvariga i den mening som avses i artikel 4.7 i AVG/GDPR:

• Cosmotrend BV — KBO BE 0891.559.167 — Ringlaan 7, 9900 Eeklo, Belgien
• Cosmofarma BV — Ringlaan 7, 9900 Eeklo, Belgien

Tillsammans bedriver de sin verksamhet under namnet Cosmogroup EU. Det slutgiltiga ansvaret för behandlingen av personuppgifter ligger hos ledningsgruppen för Cosmogroup EU – inte hos en enskild person.

För frågor eller förfrågningar som rör integritet: info@cosmogroup.eu

2. Vilka uppgifter behandlar vi?

2.1 Besökare på webbplatsen

• IP-adress (avkortad – kan inte kopplas till en enskild person)
• Webbläsartyp, skärmupplösning, språkinställning
• Sidvisningar, sessionens varaktighet, hänvisningssida
• Cookie-inställningar

2.2 Kontaktformulär och förfrågningar

• Efternamn, förnamn
• Professionell e-postadress
• Institution eller organisation
• Meddelandets innehåll

2.3 Portalanvändare – vårdpersonal (FarmacoBiomics)

• Uppgifter om yrkesverksamma (namn, institution, RIZIV-nummer – valfritt)
• Studie-ID:n för analyser — aldrig patientnamn
• Uppladdade dokument (endast efter uttryckligt medgivande)
• Nedladdningar av rapporter och tidsstämplar

2.4 Biologiska analysdata (My InnerSelfie, FarmacoBiomics, CosmoPulse)

2.5 CosmoPulse — data om idrottsprestationer

• CRAS-poäng, PDI-värden, pulstyper — pseudonym (spelarkod)
• Kopplat till teamkontot — inte till den offentliga identiteten

3. Varför och på vilken grund

Bearbetning	Syfte	Rättslig grund (GDPR)
Webbplatsbesök — anonym statistik	Förbättring av webbplatsen	Art. 6.1 f — berättigat intresse
Kontaktformulär	Besvara förfrågningar	Art. 6.1 b — fullgörande av avtal / före avtalsingående
Portaltillgång för vårdpersonal	Tjänstens tillhandahållande	Art. 6.1 b — fullgörande av avtalet
Biologiska analysdata	Genomförande av multi-omik-analys och rapportering	Art. 9.2 a – uttryckligt samtycke · Art. 9.2 h – medicinsk vård
Prestandadata för CosmoPulse	Prestationsintelligens för klubben/organisationen	Art. 6.1 b — avtal med klubben
Analytiska cookies	Webbplatsoptimering	Art. 6.1 a — samtycke via en cookie-banner
Marknadsföringscookies (LinkedIn)	B2B-räckvidd	Art. 6.1 a — uttryckligt samtycke
Fakturering och bokföring	Lagstadgad skyldighet	Art. 6.1 c — rättslig skyldighet

4. Lagringstider

Datatyp	Lagringstid	Efter förfallodagen
Anonym webbplatsstatistik	13 månader	Borttaget automatiskt
Kontaktformulär	2 år efter den senaste kontakten	Borttaget på begäran eller automatiskt
Analysdata från My InnerSelfie	6 månader efter rapportens upprättande	Borttaget automatiskt — rapporten finns kvar i kontot så länge kontot är aktivt
Analysdata för Full Monty	1 år efter rapportens upprättande	Borttaget automatiskt — rapporten finns kvar i kontot
FarmacoBiomics analysdata	6 månader efter rapporten	Automatiskt borttaget — rapporten finns kvar i portalen så länge kontot är aktivt
Prestandadata för CosmoPulse	1 månad efter införseln	Borttaget automatiskt
Portalkonton	Så länge kontot är aktivt	Borttaget inom 30 dagar efter uppsägningen
Fakturauppgifter	7 år (enligt lag)	Arkiverat i enlighet med belgisk redovisningslagstiftning
Logg över samtycke till cookies	12 månader	Borttaget automatiskt

5. Tredje parter och internationell överföring

Cosmogroup EU samarbetar med följande personuppgiftsbiträden. Ett avtal om personuppgiftsbiträde (DPA) har ingåtts med varje personuppgiftsbiträde i enlighet med artikel 28 i GDPR:

Bearbetare	Roll	Plats
Amazon Web Services (AWS)	Molnhosting — alla plattformar	EU — Irland (eu-west-1). Ingen vidarebefordran utanför EES.
Netlify	Hostingportal & Intel-plattform	CDN globalt — datalagring i EU
Airtable	Datahanteringsportal	USA — SCC:er ingångna + datalagring inom EU
WordPress (självhostat)	Webbplats-CMS	EU (Amsterdam)
Shopify	Transaktionsplattform — kit	USA — SCC-avtal ingångna · betalningsdatum via Shopify Payments

Cosmogroup EU säljer aldrig personuppgifter till tredje part och delar inte uppgifter för tredje parts marknadsföringsändamål.

6. Dina rättigheter

Enligt GDPR har du följande rättigheter:

• Rätt till insyn (art. 15) — du kan begära att få veta vilka uppgifter vi behandlar om dig
• Rätt till rättelse (artikel 16) — ni kan begära att felaktiga uppgifter rättas
• Rätt till radering (art. 17) — du kan begära att uppgifterna raderas ("rätten att bli bortglömd")
• Rätt till begränsning (artikel 18) — du kan begära att behandlingen begränsas
• Rätt till överförbarhet (artikel 20) — ni har rätt att få era uppgifter i ett läsbart format
• Rätt att framföra invändningar (art. 21) — Du kan invända mot behandlingen på grundval av berättigat intresse
• Rätt att återkalla samtycke — Du kan när som helst återkalla ditt samtycke

Förfrågningar besvaras inom 30 dagar. Vid identitetsverifiering kan du bli ombedd att lämna ytterligare uppgifter. Skicka din begäran till: info@cosmogroup.eu

7. Säkerhet

• All data krypteras både under överföring (TLS 1.3) och i lagrad form (AES-256)
• Biologiska analysdata är alltid anonymiserade — de lagras aldrig i klartext
• Åtkomstkontroll via rollbaserad åtkomst — minimala behörigheter per användare
• AWS-infrastruktur i Irland — ISO 27001, SOC 2, GDPR-kompatibel
• Belgiska dataskyddsmyndighetens 72-timmarsprotokoll vid dataläckage — anmälan till dataskyddsmyndigheten
• Regelbundna säkerhetsgranskningar

8. Cookies

Cosmogroup EU använder tre kategorier av cookies: nödvändigt, analytiskt och marknadsföring. Du kan ställa in dina inställningar via cookie-bannern vid ditt första besök eller via cookie-ikonen längst ned till vänster på varje sida. Se vår fullständiga cookiepolicy för en detaljerad översikt per cookie.

9. Hälsouppgifter — särskild kategori (artikel 9 i GDPR)

• På grundval av uttryckligt samtycke (artikel 9.2 a) om den berörda personen via den behandlande vårdgivaren
• Inom ramen för medicinsk vård eller behandling (artikel 9.2 h) av en vårdpersonal
• Med en Study ID-system — aldrig namn eller BSN/INSZ i Cosmogroups system
• Med obligatoriskt informerat samtycke före varje analys
• I enlighet med det belgiska DPA-protokollet – anmälan av dataintrång inom 72 timmar

Kopplingen mellan ett studie-ID och en patientidentitet ligger uteslutande hos den behandlande vårdgivaren och faller utanför Cosmogroup EU:s ansvar som personuppgiftsansvarig.

10. Kontakt och klagomål