Så läser du personuppgiftsbiträdesavtalet

Vad dokumentet är

Avtalet har två delar. Klausul 1 till 10 är EU-kommissionens standardavtalsklausuler för personuppgiftsbiträden, beslut (EU) 2021/915, i oförändrad svensk lydelse. Bilaga I till IV är det som är särskilt för din klinik och för oss.

Klausulerna kan inte förhandlas. Det är inte vi som bestämt det utan klausulerna själva: Klausul 2 säger att parterna inte får ändra dem. Det är också poängen med dem. När texten är kommissionens egen slipper du undra om något är gömt i formuleringarna, och vi slipper skriva ett eget avtal som en jurist måste granska. Det enda vi har gjort är att välja mellan de alternativ mallen erbjuder och fylla i bilagorna.

Läs det här innan du signerar

Bilaga I är parterna, alltså din klinik och Fysiocare Nordic AB. Den fylls i från dina företagsuppgifter. De tre bilagor som säger något är II, III och IV.

1. 01

   Bilaga II: vad vi gör med uppgifterna

   Vilka personer det handlar om, patienter och dina behandlare. Vilka uppgifter, från namn och telefonnummer till journal. För vilka ändamål: bokning, journalföring, bekräftelser och påminnelser, underlag till din fakturering, behörigheter. Och hur länge. Läs bevarandetabellen. Journalen ska bevaras i minst tio år efter sista anteckningen, men det ansvaret är ditt som vårdgivare. Vi håller systemet, du håller skyldigheten.

   Bilaga II
2. 02

   Bilaga III: hur vi skyddar dem

   Våra säkerhetsåtgärder, ordnade efter ISO 27001. BankID för inloggning, kryptering av journaltexten, loggning av all åtkomst till patientuppgifter, separation mellan kliniker i databasen. Läs särskilt punkt 4.6 om återställning. Där står rakt ut att vi inte har återställning till valfri tidpunkt påslagen, och att upp till ett dygns dokumentation kan gå förlorad vid en allvarlig incident. Vi tar en egen krypterad kopia varje natt, till lagring i Stockholm som inte går att radera, och sparar den i högst 35 dagar. Det är den avvägning vi gjort, och den ska du se innan du skriver under.

   Bilaga III punkt 4.6
3. 03

   Bilaga IV: vilka andra som rör uppgifterna

   Våra underleverantörer med namn, vad de gör och var. Drift, databas, e-post och felövervakning ligger inom EU. Ett undantag: supportkanalen till dig som klinikägare går via Slack i USA, under EU:s standardavtalsklausuler, och den rör aldrig patientuppgifter. Lägger vi till eller byter en underleverantör får du besked skriftligt minst 30 dagar innan, och du kan invända.

   Bilaga IV

Ett ställningstagande gör du själv genom att signera: en behandlare kan välja att prenumerera på sitt schema i sin egen kalender, till exempel Google eller Apple. Flödet innehåller patientens förnamn och tjänstens namn. Vill du inte det kan flödet begränsas till upptagetblock utan patientuppgifter. Säg till oss vilket som ska gälla.

Om något händer

Klausul 9 styr incidenter. Upptäcker vi en personuppgiftsincident underrättar vi dig utan onödigt dröjsmål, med vad som hänt, vilka som berörs och vad vi gjort. Anmälan till Integritetsskyddsmyndigheten inom 72 timmar är din skyldighet som ansvarig. Vi ger dig underlaget, vi anmäler inte åt dig om du inte uttryckligen ber om det.

Klausul 7.6 ger dig rätt att granska oss, själv eller genom en oberoende revisor. I praktiken börjar det med en fråga till oss. Vi har dokumentation per säkerhetsåtgärd i vårt ledningssystem och lämnar ut det som behövs för att du ska kunna visa att avtalet följs.

Får en patient en fråga om sina uppgifter, till exempel en begäran om registerutdrag, vänder sig patienten till dig. Vi svarar inte patienten direkt. Det du behöver, patientens samlade journal i ett maskinläsbart format och patientens rader ur åtkomstloggen, tar du fram i systemet eller ber oss om.

När du slutar använda fysio.care

Klausul 10 styr avslut. Du väljer om uppgifterna ska återlämnas eller raderas. För journaler är svaret alltid återlämning först, eftersom bevarandeplikten enligt patientdatalagen är din och överlever avtalet. Du exporterar själv i systemet under hela avtalstiden, och vid avslut får du hela klinikens uppgifter i ett strukturerat format. När du bekräftat att du har dem raderar vi våra kopior och bekräftar det skriftligt.

• Journaluppgifter lämnas alltid tillbaka innan något raderas.
• Säkerhetskopior försvinner av sig själva när deras 35 dagar gått ut.
• Går ditt samarbetsavtal och PUB-avtalet isär i någon fråga om personuppgifter gäller PUB-avtalet. Det står i Klausul 4.

Vanliga frågor

Kan vi ändra något i avtalet?

Inte i klausulerna, det förbjuder Klausul 2. Bilagorna är våra uppgifter om hur vi behandlar och skyddar, och de ändras när verkligheten ändras, inte per klinik. Ser du något i en bilaga som inte stämmer med hur du arbetar, hör av dig innan du signerar.

Varför står det Bilaga III, ISO 27001 och sådant, när vi är en liten klinik?

För att uppgifterna är desamma oavsett klinikens storlek. En journal är en journal. Bilagan beskriver vad vi faktiskt gör, inte vad du måste göra.

Måste jag läsa hela innan jag signerar?

Signeringen släpper inte fram knappen förrän du bläddrat till slutet, så ja, du kommer att ha sett varje sida. Det du ska läsa ordentligt är Bilaga II, punkt 4.6 i Bilaga III och Bilaga IV. Klausulerna kan du läsa som det de är: EU:s standardtext.

Vem signerar, och hur?

Klinikens ägare, med BankID, under Inställningar, Profil och Avtal. Du intygar själv att du får teckna avtalet för kliniken. Samarbetsavtalet signeras på samma sätt, som ett eget dokument.

Vad händer om ni byter underleverantör?

Du får ett skriftligt besked minst 30 dagar innan bytet, med vad du behöver för att ta ställning. Invänder du löser vi det innan den nya leverantören börjar behandla något.

Vad är rutan Om detta dokument på första sidan?

En läsanvisning med samma innehåll som den här artikeln i kortform. Den är inte en del av avtalet och ändrar ingenting i det. Den finns där för att man ska hitta rätt utan att ha läst den här sidan först.