Personuppgiftsbiträdesavtal för kundregister och journal

Personuppgiftsansvarig: den verksamhet som har ett konto i bokin och som godkänner detta avtal (”Verksamheten”).

Personuppgiftsbiträde: Media53 AB, org.nr 559513-4908 (”bokin”), som tillhandahåller tjänsten bokin (”Tjänsten”).

2.1 Verksamheten använder bokin för bokningar, kundregister och, när Verksamheten själv slår på funktionen, journal. Verksamheten äger sitt kundregister och sina journaler och bestämmer ensam över dem. bokin behandlar uppgifterna endast för Verksamhetens räkning.

2.2 Avtalet ingås när en behörig företrädare för Verksamheten godkänner det i bokin, senast när journalen slås på. bokin sparar vilken version som godkändes, vem som godkände den och när.

2.3 Avtalet är det avtal som krävs enligt artikel 28.3 i dataskyddsförordningen. Ord och uttryck har samma betydelse som i dataskyddsförordningen.

2.4 Om detta avtal och bokins villkor för tjänsteutövare säger olika saker om behandlingen av personuppgifter gäller detta avtal.

2.5 Uppgifter som en konsument själv lägger in i sitt eget bokin-konto, till exempel kontouppgifter och bokningshistoriken i kontot, behandlar bokin som personuppgiftsansvarig enligt integritetspolicyn på bokin.se/integritet. När konsumenten bokar hos Verksamheten blir bokningen och kunduppgifterna också en del av Verksamhetens kundregister. För den delen gäller detta avtal.

3.1 Föremål och ändamål

bokin behandlar Verksamhetens uppgifter för att tillhandahålla Tjänsten till Verksamheten: kundregister, journal, hälsodeklarationer, samtycken, åtkomstloggar, export och gallring. bokin behandlar inte uppgifterna för något annat ändamål.

3.2 Behandlingens art

Insamling via formulär, registrering, lagring, kryptering, strukturering, visning för behöriga användare, sökning inom Verksamhetens egna journaler, export, säkerhetskopiering, återläsning och gallring.

3.3 Kategorier av registrerade

• Verksamhetens kunder och patienter, även tidigare kunder och patienter.
• Personer som nämns i en journal, till exempel närstående eller vårdnadshavare.
• Verksamhetens personal och andra användare, i den mån de förekommer som författare, signerande eller i åtkomstloggen.

3.4 Typer av personuppgifter

• Identitet: namn, födelsedatum, personnummer eller reservnummer.
• Kontaktuppgifter: e-postadress, telefonnummer, adress.
• Bokningar: tid, tjänst och behandlare.
• Uppgifter om hälsa (artikel 9.1 i dataskyddsförordningen): journalanteckningar, hälsodeklarationer, varningar om överkänslighet, behandlingsskisser, diagnos- och åtgärdskoder, samtycken och återkallade samtycken, invändningar, intyg.
• Uppgifter om utförda behandlingar: produkter, batchnummer och utgångsdatum, inställningar på apparater, avvikande händelser.
• Markering om skyddade personuppgifter, när Verksamheten gör en sådan markering.
• Medgivande till påminnelser och kallelser via e-post och sms.
• Åtkomstloggar: vem som gjort vad i vilken journal och när, angivet skäl, IP-adress och webbläsare.
• Om personalen: namn, titel, yrkesroll och legitimationsnummer.

3.5 Varaktighet

Avtalet gäller så länge bokin behandlar Verksamhetens uppgifter. Det gäller även när journalen är avstängd (arkivläge) och efter att Verksamheten slutat använda bokin, ända tills uppgifterna har gallrats eller lämnats ut enligt avsnitt 13.

4.1 Verksamheten är personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen. En verksamhet som bedriver hälso- och sjukvård är dessutom personuppgiftsansvarig enligt patientdatalagen (2008:355) 2 kap. 6 §.

4.2 Verksamheten ansvarar för att det finns en rättslig grund för behandlingen. En verksamhet som bedriver hälso- och sjukvård behandlar normalt uppgifter om hälsa med stöd av artikel 9.2 h i dataskyddsförordningen och patientdatalagen (2008:355) 2 kap. 7 a §. En verksamhet som inte bedriver hälso- och sjukvård kan till exempel behöva den registrerades uttryckliga samtycke enligt artikel 9.2 a. bokin bedömer inte vilken grund som gäller för Verksamheten.

4.3 Verksamheten ansvarar för att informera de registrerade enligt artiklarna 13 och 14 i dataskyddsförordningen och, i hälso- och sjukvård, enligt patientdatalagen (2008:355) 8 kap. 6 §. bokin tillhandahåller en mall.

4.4 Verksamheten ansvarar för vem som får behörighet till journalen, för sin behovs- och riskanalys, för kontroller av loggarna och för att dess användare skyddar sina inloggningsuppgifter. Vad det innebär i detalj står i journalvillkoren.

4.5 Verksamheten ansvarar för att dess instruktioner till bokin är förenliga med dataskyddsförordningen och annan tillämplig lag.

5.1 bokin behandlar uppgifterna endast enligt Verksamhetens dokumenterade instruktioner (artikel 28.3 a). Instruktionerna består av detta avtal, journalvillkoren och de val som Verksamheten och dess behöriga användare gör i Tjänsten.

5.2 Om lag i EU eller Sverige kräver att bokin behandlar uppgifterna på annat sätt informerar bokin Verksamheten om det innan behandlingen sker, om inte lagen förbjuder sådan information.

5.3 bokin informerar Verksamheten omedelbart om bokin anser att en instruktion strider mot dataskyddsförordningen eller mot annan dataskyddsbestämmelse (artikel 28.3 andra stycket).

5.4 bokin använder aldrig Verksamhetens uppgifter för egna ändamål. Journaluppgifter används inte för statistik, analys, marknadsföring, supportverktyg, behandling med AI eller bokföringskopplingar, och de lämnas aldrig till bokins partner.

5.5 Om Verksamheten själv kopplar Tjänsten till ett bokföringsprogram, en partners plattform eller något annat externt verktyg sker överföringen dit på Verksamhetens instruktion och enligt villkoren för den kopplingen. Journaluppgifter följer aldrig med i sådana överföringar.

6.1 bokin säkerställer att varje person som arbetar för bokin, anställd eller uppdragstagare, och som kan komma åt Verksamhetens uppgifter, har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt (artikel 28.3 b). Åtagandet gäller även efter att uppdraget har upphört.

6.2 När Verksamheten bedriver enskild hälso- och sjukvård deltar de som arbetar för bokin i den verksamheten på grund av uppdrag. De får då inte obehörigen röja vad de har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, enligt patientsäkerhetslagen (2010:659) 6 kap. 16 §. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikt enligt brottsbalken 20 kap. 3 §.

6.3 bokin förbinder sig att skydda uppgifter om patienter mot obehörig åtkomst på det sätt som anges i HSLF-FS 2016:40 6 kap. 1 §: personliga lösenord och hjälpmedel för autentisering får inte bli tillgängliga för någon annan, och datorer och andra enheter lämnas inte utan att uppgifterna är skyddade. Detta är det åtagande som Verksamheten ska få enligt HSLF-FS 2016:40 6 kap. 2 §.

7.1 bokin vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen (artikel 28.3 c). Åtgärderna beskrivs närmare i säkerhetsbeskrivningen som bokin tar fram varje år. bokin får ändra åtgärderna, men aldrig så att skyddsnivån sänks.

7.2 Kryptering. All trafik går krypterad. Journalinnehållet krypteras, och en kopia av databasen eller en säkerhetskopia innehåller ingen läsbar journaltext.

7.3 Åtkomst. Endast personal som Verksamheten uttryckligen har gett behörighet till journalen kan öppna den. Behörigheten följer aldrig automatiskt av att någon är administratör eller ägare i kontot, och bokins plattformsadministratörer kan inte öppna journaler. Den som öppnar journalen loggar in med en andra faktor (flerfaktorsautentisering enligt HSLF-FS 2016:40 3 kap. 15 §). Journalen låses efter en tids inaktivitet.

7.4 Loggning. Varje öppning, ändring, signering, export och nekat försök loggas. Loggen kan inte ändras och sparas i 10 år.

7.5 Oföränderlighet. En signerad anteckning kan inte ändras eller tas bort. En rättelse görs som en ny anteckning som visar vem som rättade och när, och det ursprungliga står kvar läsbart. Varje signerad anteckning skyddas med kontrollsummor, så att en ändring i efterhand går att upptäcka.

7.6 Säkerhetskopior. Uppgifterna säkerhetskopieras krypterat.

7.7 Inga spårare. På journalens sidor och på sidan för hälsodeklarationer finns inga analysverktyg, chattfönster eller spårningspixlar.

7.8 Meddelanden. E-post och sms som Tjänsten skickar till Verksamhetens kunder innehåller aldrig uppgifter om hälsa.

8.1 Verksamheten ger bokin ett allmänt förhandstillstånd att anlita underbiträden (artikel 28.2) för följande uppgifter:

• drift, lagring och säkerhetskopiering av Tjänsten;
• nätverk och skydd mot överbelastning;
• utskick av e-post;
• utskick av sms, endast om Verksamheten använder sms.

8.2 Ett underbiträde får bara tillgång till uppgifterna i den utsträckning som behövs för dess uppgift. E-post och sms innehåller aldrig uppgifter om hälsa.

8.3 En aktuell förteckning över underbiträdena, med namn och var de behandlar uppgifterna, lämnas till Verksamheten på begäran till [email protected].

8.4 bokin ingår med varje underbiträde ett skriftligt avtal som ger samma skydd för uppgifterna som detta avtal (artikel 28.4). bokin ansvarar fullt ut gentemot Verksamheten för att underbiträdena fullgör sina skyldigheter.

8.5 bokin meddelar Verksamhetens journaladministratörer och kontots ägare i kontot och via e-post minst 30 dagar innan ett underbiträde läggs till eller byts ut. Verksamheten kan invända inom samma tid. Kan parterna inte enas får Verksamheten säga upp avtalet och få ut sina uppgifter enligt avsnitt 13.

9.1 Uppgifterna lagras inom EU och EES.

9.2 Om ett underbiträde behandlar uppgifter utanför EU och EES sker överföringen med stöd av ett beslut om adekvat skyddsnivå (artikel 45 i dataskyddsförordningen) eller kommissionens standardavtalsklausuler (artikel 46).

9.3 bokin för inte över Verksamhetens uppgifter till ett land utanför EU och EES på något annat sätt än som anges här, om inte Verksamheten först har informerats enligt punkt 8.5.

10.1 bokin hjälper Verksamheten att svara på begäranden från de registrerade (artikel 28.3 e). Tjänsten har verktyg för detta:

• kopia av journalen som PDF och i strukturerat format (artikel 15; patientdatalagen (2008:355) 8 kap. 2 §), där varje utlämnande antecknas i journalen (patientdatalagen (2008:355) 3 kap. 11 §);
• rapport om vem som har tagit del av journalen och när (patientdatalagen (2008:355) 8 kap. 5 §; HSLF-FS 2016:40 4 kap. 10 §);
• anteckning om att patienten anser att en uppgift är oriktig eller missvisande (patientdatalagen (2008:355) 3 kap. 8 §);
• rättelse som visar vem som rättade och när (patientdatalagen (2008:355) 3 kap. 14 §; artikel 16);
• anteckning om samtycke och återkallat samtycke;
• möjlighet att stänga ute namngiven personal från en viss journal;
• förstöring av en journal efter beslut (patientdatalagen (2008:355) 8 kap. 4 §; artikel 17).

10.2 Om en registrerad vänder sig till bokin skickar bokin begäran vidare till Verksamheten utan onödigt dröjsmål. bokin svarar inte i sak själv.

bokin hjälper Verksamheten att fullgöra skyldigheterna i artiklarna 32-36 i dataskyddsförordningen (artikel 28.3 f), med hänsyn till behandlingens art och den information bokin har:

• säkerhet: detta avtal och den årliga säkerhetsbeskrivningen;
• personuppgiftsincidenter: avsnitt 12;
• konsekvensbedömning: bokins egen konsekvensbedömning, som Verksamheten får använda som underlag för sin;
• förhandssamråd med Integritetsskyddsmyndigheten: de uppgifter om Tjänsten som behövs;
• ledningssystem: driftdokumentation, mall för beslut om idrifttagande, beskrivning av säkerhetskopieringen och säkerhetsbeskrivning (HSLF-FS 2016:40 3 kap. 7, 8, 12, 13 och 18 §§).

12.1 bokin underrättar Verksamheten utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som rör Verksamhetens uppgifter (artikel 33.2). Underrättelsen går till Verksamhetens journaladministratörer och kontots ägare, i kontot och via e-post.

12.2 Underrättelsen innehåller det som artikel 33.3 kräver, i den mån bokin känner till det: vad som har hänt, vilka kategorier av registrerade och uppgifter som berörs och ungefär hur många, sannolika följder och vilka åtgärder bokin har vidtagit eller föreslår. Det som inte är känt direkt lämnas så snart det är känt.

12.3 bokin dokumenterar varje incident och vidtar de åtgärder som behövs för att begränsa skadan.

12.4 Verksamheten beslutar om anmälan till Integritetsskyddsmyndigheten, en anmälan som ska göras inom 72 timmar (artikel 33.1), och om information till de registrerade (artikel 34). En verksamhet som bedriver hälso- och sjukvård bedömer också om händelsen ska anmälas till Inspektionen för vård och omsorg enligt patientsäkerhetslagen (2010:659) 3 kap. 5 §. bokin anmäler inte i Verksamhetens ställe.

13.1 Export. Verksamheten kan när som helst exportera sina journaler som PDF och i strukturerat format, även när journalen är avstängd.

13.2 När journalen stängs av. Ingenting raderas. Journalen går över i arkivläge. Verksamhetens journaladministratörer behåller läs- och exportåtkomst, och allt återställs om journalen slås på igen.

13.3 När Verksamheten slutar använda bokin. Verksamheten behåller sitt journalarkiv utan kostnad tills bevarandetiden har löpt ut.

13.4 Gallring. En journal bevaras i 10 år efter den sista anteckningen, i enlighet med patientdatalagen (2008:355) 3 kap. 17 §, om inte Verksamheten förlänger tiden och anger skäl. När tiden har löpt ut förstörs journalen: innehållet raderas och kan inte återskapas, och kvar finns bara en markering om att journalen har funnits och förstörts. En journal kan också förstöras tidigare efter beslut, antingen ett beslut av Inspektionen för vård och omsorg enligt patientdatalagen (2008:355) 8 kap. 4 § eller Verksamhetens eget beslut enligt dataskyddsförordningen. Beslutets typ och referens sparas.

13.5 Säkerhetskopior. En förstörd journal försvinner ur alla säkerhetskopior inom 125 dagar och kommer aldrig tillbaka om en säkerhetskopia återställs.

13.6 Nödexport. bokin exporterar Verksamhetens journaler utan dess egen medverkan endast

1. efter beslut av Inspektionen för vård och omsorg enligt patientdatalagen (2008:355) 9 kap.,

2. på skriftlig begäran av Verksamheten, dess dödsbo, konkursbo eller likvidator (HSLF-FS 2016:40 8 kap. 1 §), eller

3. när bokin har en rättslig skyldighet att göra det.

En nödexport kräver en referens till beslutet eller begäran och loggas i åtkomstloggen för varje journal som berörs. Verksamhetens journaladministratörer underrättas, om inte en lag förbjuder bokin att informera.

13.7 När uppgifterna har exporterats till Verksamheten eller gallrats raderar bokin alla kopior, med den tidsgräns som anges i punkt 13.5 (artikel 28.3 g).

14.1 bokin ger Verksamheten den information som behövs för att visa att skyldigheterna i detta avtal och i artikel 28 fullgörs, i första hand detta avtal, bokins konsekvensbedömning och den årliga säkerhetsbeskrivningen (artikel 28.3 h).

14.2 Om informationen inte räcker, eller om en tillsynsmyndighet kräver det, får Verksamheten låta en oberoende granskare med tystnadsplikt granska bokins efterlevnad av avtalet. Granskningen meddelas minst 30 dagar i förväg, sker på Verksamhetens bekostnad, får inte störa Tjänsten och ger aldrig åtkomst till andra verksamheters uppgifter.

14.3 Tillsynsmyndigheter får granska enligt vad som följer av lag.

15.1 Ansvaret gentemot de registrerade följer av artikel 82 i dataskyddsförordningen.

15.2 Mellan parterna gäller ansvarsbestämmelserna i bokins villkor för tjänsteutövare (business.bokin.se/villkor), även för brott mot detta avtal.

bokin får ändra avtalet. En ändring meddelas i kontot och via e-post minst 30 dagar innan den börjar gälla, och en journaladministratör godkänner den nya versionen. En ändring som krävs enligt lag eller beslut av en myndighet får börja gälla tidigare.

Svensk rätt gäller. Tvister prövas enligt bokins villkor för tjänsteutövare.

• bokin: Media53 AB, [email protected], även för frågor om säkerhet och incidenter.
• Verksamheten: de kontaktuppgifter och journaladministratörer som finns i kontot.