Personuppgiftsbiträdesavtal

1. Föremål, instruktion och varaktighet

PB lagrar, organiserar, visar, säkerhetskopierar och möjliggör export av patientjournaler och relaterad information endast enligt PA:s dokumenterade instruktioner. Avtalet gäller så länge PB behandlar uppgifter för PA:s räkning.

PA ansvarar för laglig grund, vårdgivaransvar och att instruktionerna är förenliga med GDPR, PDL och annan tillämplig rätt. PB ska underrätta PA om en instruktion bedöms strida mot lag.

2. Registrerade och uppgifter

• Patienter och närstående: identitet, kontaktuppgifter, hälsouppgifter, journal, formulär, bokningar, betalnings- och kommunikationsmetadata.
• Personal och uppdragstagare: identitet, BankID-personnummer, yrkesroll, medlemskap, behörighet, autentiserings- och aktivitetslogg.
• Kundkontakter: organisations-, avtals-, support- och faktureringsuppgifter.

3. PB:s skyldigheter

• Behandla endast enligt instruktion, säkerställa sekretess och vidta åtgärder enligt artikel 32 GDPR.
• Bistå PA med registrerades rättigheter, säkerhet, incidenter, konsekvensbedömning och myndighetskontakt.
• Ge PA information för granskning och möjliggöra revision inom avtalade ramar.
• Återlämna eller radera uppgifter efter upphörande enligt PA:s dokumenterade val och tillämplig lag.

4. Underbiträden och behandling

PA ger allmänt förhandsgodkännande för förtecknade underbiträden. Materiellt tillägg eller byte meddelas minst 30 dagar i förväg och PA får invända på saklig grund.

• Supabase — databas, autentisering och fillagring i vald Frankfurtregion.
• Vercel — applikationshosting i Stockholmregionen samt plattformens nätverks- och loggkedja.
• Stripe — betalning och fakturering; kliniska uppgifter ska inte skickas.
• Resend och Twilio — transaktionell e-post och SMS utan kliniskt innehåll.
• Whereby — videomöten utan avsedd inspelning.
• Idura ApS — BankID för personal och patienter. Publicerad DPA och faktisk avtalsversion/rollfördelning ska verifieras före externt kundavtal.

5. Säkerhetsåtgärder och faktisk backupnivå

• TLS, kryptering i vila, krypterade personnummer, RLS och organisations-/klinikscopad behörighet.
• BankID-only för personal, 30 minuters inaktivitetslås och åtta timmars maximal personalsession.
• Signerade journalanteckningar kan inte skrivas över; versioner och makulering bevaras.
• Auditloggen registrerar bland annat patient- och journalläsning och är skyddad mot ändring, radering och TRUNCATE.
• Dagliga fysiska Supabase-backuper med sju dygns retention. PITR och separat backup är inte aktiverade och får inte utfästas.

6. Personuppgiftsincident

PB underrättar PA utan onödigt dröjsmål och senast inom 24 timmar från vetskap om en incident i PA:s data. Första beskedet får vara preliminärt och kompletteras löpande. PA beslutar om anmälan till IMY och information till registrerade; PB bistår med tillgängligt underlag.

7. Upphörande, export och radering

PA väljer återlämnande eller radering. Vid återlämnande erbjuds normalt en säker exportperiod om högst 90 dagar. PA ansvarar för journalarkivering. Aktiv data raderas efter verifierad instruktion och backupkopior faller ur den dokumenterade retentioncykeln.

8. Granskning, ansvar och lagval

PA får granska efterlevnaden själv eller genom sekretessbunden revisor. Parternas inbördes ansvar kompletteras av artikel 82 GDPR och tvingande lag. PBA har företräde framför användarvillkoren i dataskyddsfrågor. Svensk lag gäller och Stockholms tingsrätt är första instans.

9. Kvar före externt avtal

• Svensk dataskyddsjurist ska slutgranska rollfördelning, ansvar, PDL-exit och digital acceptans.
• Faktiska avtal, bolagsparter, supportåtkomster och vidareöverföringar för samtliga underbiträden ska verifieras.
• PITR förblir avstängt under den dokumenterade budgetrisken. Den beslutade krypterade fyratimmars EU-backupen för databas och Storage ska aktiveras och ett protokollfört restore-test ska godkännas innan nivån får utfästas som faktiskt skydd.
• De fyra medicinska beräkningsmodulerna ska vara tekniskt avstängda och verifieras per pilotkund. En extern MDR-second opinion är frivillig under denna avgränsning.