Integritetspolicy

1. Personuppgiftsansvarig

VårdID Nordic AB, org.nr 559581-8880, Kungsgatan 43, Eskilstuna, är personuppgiftsansvarig för den behandling av personuppgifter som beskrivs i denna policy. Du når oss på info@vardid.nu.

När vårdgivare använder VårdID:s personalportal för att verifiera fullmakter ansvarar respektive vårdgivare för sin egen journalföring och sina skyldigheter enligt patientdatalagen. Vårdpersonalens uppslag registreras i VårdID:s åtkomstlogg, se avsnitt 8.

2. Vilka uppgifter vi behandlar

Vi samlar bara in de uppgifter som behövs för att tillhandahålla tjänsten:

• Identitetsuppgifter: personnummer och namn, hämtade från din BankID-legitimering. Namn och personnummer kan inte ändras i tjänsten.
• Kontaktuppgifter: mobilnummer, som verifieras med en engångskod via SMS, samt e-postadress (frivillig) som du själv anger.
• Län: den region du valt i appen, så att vi kan visa om din region är ansluten till tjänsten.
• Fullmaktsuppgifter: parternas personnummer och namn, vilka behörigheter fullmakten omfattar (de klausuler du valt), giltighetstid, status samt den signerade handlingen. Om du bjuder in någon med telefonnummer behandlas det numret som inbjudningsnyckel till dess att personen har skapat konto och verifierat numret.
• Samtyckes- och avtalsbevis: vilken version av användarvillkoren du godkänt och när, samt bevis om exakt vilka klausultexter som visades för dig när fullmakten skapades.
• Inställningen skyddad identitet: om du valt att dölja ditt namn och personnummer för den som skickar en fullmakt till ditt nummer (se avsnitt 5).
• Notisuppgifter: dina notisinställningar och uppgift om vart varje enskilt meddelande skickades (mobilnummer eller push-installation på din enhet), så att historiken förblir korrekt även om du senare byter kontaktuppgifter.
• Åtkomstuppgifter: när vårdpersonal slår upp en fullmakt registreras slagningen i en åtkomstlogg med uppgift om vem som gjorde den, när, vilken åtgärd som utfördes och med vilket resultat.
• Pilotuppgifter: under tjänstens pilotperiod kan ditt mobilnummer finnas i en förteckning över nummer som är inbjudna till piloten. Förteckningen används enbart för att styra vem som kan skapa konto under piloten.

Vi lagrar ingen journalinformation, inga diagnoser och inga vårddokument. En fullmakt kan dock avslöja att du har en vårdrelation och vad ditt vårdärende rör. Sådana uppgifter är känsliga personuppgifter enligt artikel 9 GDPR. Vi behandlar dem endast med ditt uttryckliga samtycke, som du lämnar i samband med att du skapar och signerar fullmakten, och du kan när som helst återkalla både samtycket och fullmakten.

3. Varifrån uppgifterna kommer

• Från dig själv: kontaktuppgifter, län och innehållet i de fullmakter du skapar.
• Från BankID: ditt namn och personnummer bekräftas vid legitimering och signering.
• Från en annan användare: om någon skapar en fullmakt där du är part kan vi ha fått ditt telefonnummer eller personnummer från den personen. Du ser alltid själv vad fullmakten omfattar innan du väljer att signera den, och den som bjudit in dig får inte del av ditt namn eller personnummer förrän du har signerat (se avsnitt 5).

4. Ändamål och rättslig grund

Vi behandlar personuppgifter för följande ändamål och med följande rättsliga grunder:

• Tillhandahålla tjänsten: skapa och administrera ditt konto, logga in dig med BankID och hantera dina fullmakter. Rättslig grund: fullgörande av avtalet med dig (artikel 6.1 b GDPR).
• Verifiera ditt mobilnummer: skicka och kontrollera engångskod via SMS, så att inbjudningar och säkerhetsmeddelanden kan nå rätt person. Rättslig grund: fullgörande av avtalet (artikel 6.1 b).
• Skapa och signera fullmakter: inklusive behandling av uppgifter med koppling till hälsa. Rättslig grund: ditt uttryckliga samtycke (artikel 6.1 a och 9.2 a GDPR).
• Skicka notiser: informera dig och motparten om fullmaktshändelser via SMS eller push-notis enligt dina inställningar. Rättslig grund: fullgörande av avtalet (artikel 6.1 b). Meddelanden som är nödvändiga för kontosäkerheten eller fullmaktens giltighet skickas alltid via SMS, oavsett inställningar.
• Föra åtkomstlogg: registrera vårdpersonals uppslag så att du och vårdgivaren kan se vem som tagit del av fullmakten. Rättslig grund: rättslig förpliktelse och krav på spårbarhet i vården (artikel 6.1 c).
• Säkerhet och felsökning: skydda tjänsten mot missbruk, begränsa antalet försök vid inloggning och uppslag, utreda driftstörningar och säkerställa spårbarhet. Rättslig grund: berättigat intresse (artikel 6.1 f).
• Administrera piloten: styra vilka nummer som kan skapa konto under pilotperioden. Rättslig grund: berättigat intresse av en kontrollerad införandeprocess (artikel 6.1 f).

5. Så fungerar fullmakten: vad motparten ser och när

Tjänsten är byggd för att inte lämna ut mer om dig än nödvändigt, och inte tidigare än nödvändigt.

Motparten signerar först

Den som skapar en fullmakt (initiativtagaren) signerar sist. Fullmakten skickas först till motparten, som granskar och signerar eller avvisar. Först när motparten har signerat får initiativtagaren tillgång till sin egen signering och till den sammanställda handlingen med motpartens fullständiga personnummer. Syftet är att ingen ska kunna använda tjänsten för att ta reda på vem som står bakom ett telefonnummer.

Skyddad identitet

I appens profil kan du slå på skyddad identitet. När inställningen är på ser den som skickar en fullmakt till ditt nummer att numret finns i VårdID, men inte ditt namn och inte ditt personnummer, varken när numret slås upp, i fullmaktens uppgifter, i aviseringar eller i notisflödet. På den handling som signeras ersätts ditt namn av din roll (”Fullmaktsgivare” eller ”Fullmaktstagare”). Uppgifterna visas för motparten först när du själv har signerat fullmakten, och du kan stänga av inställningen när du vill.

Du som blir inbjuden ser alltid initiativtagarens namn och maskerade personnummer innan du signerar. Den uppgiften behöver du för att kunna bedöma om du vill godkänna fullmakten.

6. Lagringstider

Uppgifterna sparas inte längre än vad ändamålet kräver. Följande tider gäller, och är föremål för slutlig juridisk bekräftelse. [Under fastställande]

• Kontouppgifter behandlas så länge du har ett konto. Om du raderar kontot anonymiseras det, se avsnitt 10.
• Fullmakter och samtyckesbevis bevaras i tio år efter att fullmakten upphört (återkallats, avvisats eller löpt ut), eftersom de utgör bevis om en rättshandling. Därefter raderas eller anonymiseras de, och den signerade handlingen tas bort hos vår signeringsleverantör.
• Åtkomstloggar bevaras i tio år för att uppfylla vårdens krav på spårbarhet. Socialstyrelsens föreskrifter kräver minst fem år; vi har valt en längre tid eftersom loggen ska kunna svara på frågor om äldre fullmakter under hela deras bevarandetid.
• Notishistorik bevaras i 24 månader och raderas därefter automatiskt.
• Inbjudningar som aldrig används raderas när inbjudningstiden går ut (14 dagar), och det inbjudna numret tas bort ur fullmakten.
• Engångskoder för nummerverifiering raderas automatiskt inom 24 timmar.
• Säkerhetskopior av databasen sparas i upp till 35 dagar. Uppgifter du raderat kan därför finnas i en säkerhetskopia under den tiden, men återställs bara vid en driftincident.
• Driftloggar som kan innehålla tekniska identifierare sparas i 365 dagar. Personnummer skrivs aldrig till driftloggar.

7. Mottagare och personuppgiftsbiträden

Vi säljer aldrig personuppgifter. Uppgifter delas endast med leverantörer som behövs för att tjänsten ska fungera, och endast de uppgifter respektive leverantör behöver:

• Svensk e-identitet AB (GrandID) och Finansiell ID-Teknik BID AB: BankID-legitimering (personnummer, namn).
• Scrive AB: elektronisk signering av fullmakten. Den signerade handlingen lagras hos Scrive (parternas personnummer och namn samt fullmaktens innehåll). Scrive skickar inga egna meddelanden till dig.
• HelloSMS (Zooma Away AB): utskick av SMS (mobilnummer och meddelandetext).
• Microsoft (Azure): drift av tjänsten i datacenter i Sverige. Push-notiser hanteras av Azure Notification Hubs i Microsofts datacenter i Tyskland, alltså inom EU/EES.
• Apple (APNs) respektive Google (Firebase Cloud Messaging): teknisk leverans av push-notiser till din enhet (tekniska identifierare och notistext).
• Inera AB (SITHS): legitimering av vårdpersonal som använder personalportalen. Inga patientuppgifter lämnas till Inera.

Vårdgivare som är anslutna till tjänsten tar del av uppgifter om dina fullmakter när deras personal gör ett uppslag, och behöriga administratörer hos vårdgivaren tar del av åtkomstloggen vid sin logguppföljning. Vårdgivaren är personuppgiftsansvarig för sin egen behandling av de uppgifterna.

Leverantörer som behandlar personuppgifter för vår räkning gör det som personuppgiftsbiträden, enligt våra instruktioner och tecknade personuppgiftsbiträdesavtal.

8. Var uppgifterna behandlas

Tjänsten driftas i Microsofts datacenter i Sverige. Ditt konto, dina fullmakter och åtkomstloggen lagras och behandlas i Sverige.

Ett undantag inom EU/EES: push-notiser hanteras i Microsofts datacenter i Tyskland. Där lagras den tekniska registreringen av din enhet (ett slumpmässigt id och enhetens push-adress), och notistexten passerar igenom. Notistexten kan innehålla motpartens namn, men aldrig personnummer och aldrig uppgifter om hälsa. Har du skyddad identitet visas aldrig ditt namn i en notis.

Två undantag kan innebära att uppgifter behandlas utanför EES:

• Push-notiser levereras till din enhet via Apples och Googles system, vilket innebär att tekniska identifierare och notistexten, som kan innehålla motpartens namn, behandlas utanför EES.
• Microsoft är ett amerikanskt bolag och kan i begränsad omfattning behöva åtkomst till driftmiljön för support och underhåll.

Sådana överföringar sker med stöd av EU-kommissionens standardavtalsklausuler eller annat godkänt överföringsverktyg enligt kapitel V GDPR, tillsammans med kompletterande skyddsåtgärder. Den exakta grunden per leverantör framgår av respektive personuppgiftsbiträdesavtal. [Under fastställande]

9. Så skyddar vi uppgifterna

Vi arbetar systematiskt med informationssäkerhet och skyddar personuppgifterna med lämpliga tekniska och organisatoriska åtgärder, bland annat:

• All kommunikation med tjänsten är krypterad, och databasanslutningar tillåts endast med aktuella TLS-versioner.
• Personnummer, telefonnummer, e-postadress och fritextfält krypteras i vila med AES-256-GCM. Krypteringsnyckeln förvaras i Microsoft Azure Key Vault, åtskild från databasen.
• Sökning på personnummer och telefonnummer sker mot en envägskodad (nycklad) form av uppgiften. Vi behöver aldrig läsa numret i klartext för att hitta rätt post, och personnummer skrivs aldrig till loggar eller exporter i läsbar form.
• Åtkomstloggen är hash-kedjad: varje post binds kryptografiskt till den föregående, så att en ändring eller borttagning i efterhand kan upptäckas.
• Vårdpersonals åtkomst är personlig och kräver SITHS-legitimering. Sessioner avslutas automatiskt efter 15 minuters inaktivitet och senast efter 8 timmar.
• Behörigheter styrs efter roll, miljöerna för test och drift är åtskilda, och antalet försök vid inloggning och uppslag begränsas.
• Om vårdpersonal slår upp en fullmakt lagrar vi bara det som behövs för spårbarheten: personalens namn och uppdrag registreras i loggposten för den enskilda slagningen, men lagras inte som personalkonto hos oss.
• Säkerhetskopior tas löpande med möjlighet till återställning till valfri tidpunkt inom 35 dagar. Nyckelvalvet är skyddat mot borttagning, och nyckel- och databasresurser är låsta mot radering av misstag.
• Programvara och behållarbilder granskas automatiskt mot kända sårbarheter vid varje driftsättning, och driftsättning sker endast via automatiserad kedja med genomförda tester.

Vi kan i appen visa dig vilka slagningar som gjorts på dina fullmakter, se avsnitt 9.

10. Din insyn i vem som tagit del av uppgifterna

I appen finns en åtkomstlogg (Inställningar → Profil → Åtkomstlogg) där du ser varje slagning vårdpersonal gjort på dina fullmakter: när slagningen gjordes, vilken vårdgivare den gjordes hos och med vilket resultat. Du kan också exportera loggen som text- eller CSV-fil.

Det motsvarar den rätt till loggutdrag som patientdatalagen ger (8 kap. 5 § patientdatalagen). Vårdgivaren gör dessutom egen systematisk logguppföljning enligt Socialstyrelsens föreskrifter (HSLF-FS 2016:40).

11. Dina rättigheter

Du har rätt att:

• få tillgång till de personuppgifter vi behandlar om dig (registerutdrag),
• få felaktiga uppgifter rättade,
• få dina uppgifter raderade,
• få behandlingen begränsad och invända mot behandling som grundas på berättigat intresse,
• få ut uppgifter du själv lämnat i ett maskinläsbart format (dataportabilitet),
• när som helst återkalla ett lämnat samtycke, utan att det påverkar lagligheten av behandling som skett innan återkallelsen.

Namn och personnummer kommer från din BankID-legitimering och kan inte rättas i tjänsten. De hämtas på nytt vid varje legitimering. Kontaktuppgifter och län ändrar du själv i appens profil.

Registerutdrag och dataportabilitet sköter du själv i appen: Inställningar → Profil → Hämta dina uppgifter ger dig hela ditt innehav som en maskinläsbar fil, direkt. Ditt konto raderar du själv under samma rubrik, se avsnitt 10. För rättelse, begränsning eller invändning, eller om du inte kan använda appen, kontaktar du oss på info@vardid.nu. Vi besvarar din begäran inom en månad och kan behöva bekräfta din identitet innan vi lämnar ut eller ändrar uppgifter.

12. Radering och anonymisering

Du kan radera ditt konto när du vill, direkt i appen. Eftersom en signerad fullmakt är ett bevis om en rättshandling, även för motparten, sker radering genom anonymisering: dina uppgifter tas bort, medan det som måste bevaras sparas i en form där du inte längre kan identifieras (artikel 17.3 b och e GDPR).

Det här tas bort

• Ditt namn, ditt personnummer, ditt mobilnummer, din e-postadress och ditt län.
• Dina notisinställningar, uppgift om vart dina notiser skickades och registreringen av din enhet för push-notiser.
• Ditt nummer i pilotförteckningen, om det finns där.
• Den kopia av ditt personnummer och dina kontaktuppgifter som kan finnas på en fullmakt du bjudits in till.

Det här sparas, utan att det kan knytas till dig

• Signerade fullmakter och samtyckesbevis, som motpartens bevis. I appen och portalen visas du därefter som ”Raderad användare”.
• Den signerade handlingen hos vår signeringsleverantör, under fullmaktens bevarandetid (se avsnitt 6).
• Åtkomstloggen, som vården är skyldig att bevara. Loggposterna innehåller ditt personnummer endast i envägskodad form och kan inte skrivas om i efterhand, men efter anonymiseringen visas inget namn i dem.

Så går det till

När du raderar kontot återkallas dina aktiva fullmakter och pågående ärenden dras tillbaka, med sedvanlig avisering till motparten. Appen visar hur många fullmakter som berörs innan du bekräftar. Därefter anonymiseras kontot och du loggas ut; pågående inloggningar upphör att gälla omedelbart. Åtgärden kan inte ångras.

Om du senare legitimerar dig igen med samma personnummer aktiveras kontot på nytt med uppgifter från din BankID-legitimering, och din historik hör åter till dig. Vill du inte det ska du inte skapa ett nytt konto.

Uppgifter du raderat kan finnas i säkerhetskopior i upp till 35 dagar (se avsnitt 6).

13. Cookies och lokal lagring

Webbplatsen www.vardid.nu använder inga kakor (cookies) och inga analys- eller spårningsverktyg. En enstaka funktionell inställning kan sparas lokalt i din webbläsare (localStorage); den innehåller inga personuppgifter och skickas aldrig till oss.

VårdID-appen lagrar dina inloggningsuppgifter skyddat på din enhet. Appen använder inga spårnings- eller annonsverktyg och samlar inte in uppgifter för marknadsföring.

14. Ändringar av policyn

Vi kan komma att uppdatera policyn, till exempel när tjänsten utvecklas eller lagstiftningen ändras. Datumet överst på sidan visar när policyn senast ändrades. Vid väsentliga ändringar informerar vi dig i appen eller via de kontaktuppgifter du angett innan ändringen börjar gälla.

15. Klagomål

Om du anser att vi behandlar dina personuppgifter felaktigt vill vi gärna att du hör av dig till oss först, så att vi kan rätta till det. Du har alltid rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), www.imy.se.

16. Kontakt

Frågor om dessa dokument eller om hur VårdID behandlar personuppgifter ställs till:

• VårdID Nordic AB, org.nr 559581-8880
• Kungsgatan 43, Eskilstuna
• E-post: info@vardid.nu