Säkerhet och dataskydd

Det viktigaste först

Lagras i EU

Databasen, servern och serverloggen finns i Googles region europe-west4 i Nederländerna.

Krypterat

All trafik går över HTTPS. Allt som lagras krypteras av Google.

Inga enskilda svar

Patientpuls sparar bara summor per månad, fråga och svarsalternativ.

Minst 10 svar

Ni ser en månad först när den är slut och minst 10 personer har svarat.

Biträdesavtal ingår

Avtalet ingår i villkoren för Patientpuls. Er egen mall går också bra.

En person med åtkomst

Bara grundaren har ett personligt konto i driftmiljön.

Dokument

Det här brukar ert dataskyddsombud vilja ha. Dokumenten är PDF:er med datum och version.

• Säkerhetsbeskrivning Vårdbetyg (PDF)Samma uppgifter som på den här sidan, som dokument med datum och version.
• Personuppgiftsbiträdesavtal för Patientpuls (PDF)Avtalet ur villkoren för Patientpuls, med fält för parter och underskrift. Er egen mall går också bra.
• Konsekvensbedömning (DPIA) Patientpuls (PDF)Vår bedömning av behandlingen, riskerna och åtgärderna, som underlag för er egen konsekvensbedömning.

Var uppgifterna lagras

Vårdbetyg drivs på Google Cloud. Servern (Firebase App Hosting och Cloud Run) och databasen (Cloud SQL med PostgreSQL) ligger i regionen europe-west4 i Nederländerna.

Plattformens serverlogg ligger i samma region sedan den 30 oktober 2026. Rader från tiden före det ligger kvar i Googles globala region tills de raderas efter 30 dagar, alltså senast den 29 november 2026. Googles egen logg över ändringar i projektet, till exempel att en inställning har ändrats, sparas i Googles globala region i 400 dagar. Den innehåller inga anrop från besökare eller patienter.

Anropen tas emot i Googles nätverk, och Googles CDN kan spara kopior av sajtens offentliga sidor närmare besökaren. Enkäten och inloggningen sparas aldrig där.

Kryptering

Trafiken mellan webbläsaren och oss går alltid över HTTPS. Den som skriver http:// skickas vidare till https://, och webbläsaren får besked (HSTS) att i två år bara ansluta krypterat, även till underdomäner. Certifikatet kommer från Google Trust Services och förnyas automatiskt.

Allt som lagras, alltså databasen, servrarnas diskar och loggarna, krypteras med Googles standardkryptering och nycklar som Google hanterar. Vi använder inte egna, kundstyrda nycklar.

Sidorna skickar också säkerhetsrubriker som hindrar andra webbplatser från att bädda in dem och begränsar vilka skript som får köras.

Vad Patientpuls sparar

Patientpuls är en kort enkät med fasta frågor som er vårdcentral skickar till sina egna patienter, i ett SMS, på ett kvitto eller med en QR-kod i väntrummet. Ni skickar länken själva, och samma länk går till alla. Enkäten har sex frågor och tre frivilliga tillvalsfrågor om bemötande, delaktighet och information, alltså upp till nio. Ni väljer vilka av dem en länk ställer.

• Ett svar sparas aldrig som en egen rad. Det räknas direkt in i summor per vårdcentral, månad, fråga och svarsalternativ.
• Ingen IP-adress, ingen uppgift om webbläsaren och ingen tid finare än månaden sparas med svaren.
• Formuläret har bara fasta svarsalternativ och inga fritextfält. Ett svar med ett okänt fält avvisas helt.
• Formuläret sparar inget i webbläsaren, varken kakor eller annat. Det har ingen besöksmätning och inga skript från andra företag.
• Vi tar aldrig emot namn, personnummer, telefonnummer eller mottagarlistor.
• Länkens kod står efter tecknet # i adressen, och det gör också ert korta namn och en slumpkod i den korta länken (vardbetyg.se/puls#abrahamsberg-k7x2qm9f). Den delen skickar webbläsaren aldrig till servern, så serverloggen ser inte vilken vårdcentral ett svar gäller. Formuläret skickar koden eller namnet i själva meddelandet.
• Den korta länken fungerar inte utan sin slumpkod (40 bitar). Ett gissat namn, en fel kod och en stängd enkät får exakt samma svar, så ingen kan se vilka vårdcentraler som använder Patientpuls. Ni kan byta koden i Min mottagning, och då slutar den gamla länken att fungera direkt.
• Svarsmönster och räkning per dygn, som behövs för att upptäcka om någon fyller i många gånger, raderas när månaden är slut. Månadssummorna raderas efter 24 månader.
• Ett provsvar, när ni själva testar enkäten med Testa själv i Min mottagning, räknas aldrig. Vi sparar bara när ert senaste provsvar kom fram, aldrig något om svaret, och raderar det efter 24 timmar.
• Svaren visas aldrig offentligt, påverkar aldrig ert betyg och finns aldrig i våra öppna data. Ett automatiskt test stoppar varje ändring som skulle låta sajtens offentliga sidor, betygsberäkningen eller exporten läsa enkätens tabeller.

Varför vi bara sparar summor

Att Patientpuls sparar summor i stället för enskilda svar bestämde vi innan tjänsten byggdes.

Dataminimering. För att se hur patienterna upplever till exempel tillgänglighet och kontinuitet räcker det att veta hur många som svarade vad. Det som inte behövs samlar vi inte in.

Anonymitet på små enheter. På en mottagning med få besök kan ett enskilt svar med en tidpunkt ibland kopplas till en viss patient. En summa för en hel månad, med minst 10 svar, går inte att koppla på samma sätt.

Enklare dataskydd för er. Det som sparas är anonym statistik. Det finns inget register med patienters svar att skydda, lämna ut eller radera.

Det innebär att ni inte får några kommentarer i fritext, och att resultatet inte går att dela upp per dag, kanal eller länk. Ingen, varken ni eller vi, kan se hur en enskild person har svarat. Skulle någon komma åt databasen finns det inga enskilda svar att läcka, bara summor.

Vad ni ser av resultatet

Resultatet visas bara i er inloggning i Min mottagning, och bara för månader som är slut. Under en pågående månad ser ni bara hur många som har svarat hittills.

En månad visas först när minst 10 personer har svarat, och varje fråga först när minst 10 har svarat på just den frågan. Andelarna avrundas till hela 5 procentenheter, och en grupp med ett eller två svar visas som "färre än 3" utan siffra. En avslutad månad ändras aldrig i efterhand, så det går inte att räkna fram ett enskilt svar genom att jämföra före och efter.

Vem som kommer åt vad

Er inloggning

Kontona i Min mottagning är personliga och skapas bara på inbjudan från oss. Aktiveringslänken gäller i 72 timmar. Lösenordet ska ha minst 10 tecken och sparas bara som en scrypt-hash med ett eget salt, aldrig i klartext.

Inloggningen bärs sedan av en signerad sessionskaka. Skript på sidan kan inte läsa den och den skickas bara krypterat. Den slutar gälla efter 7 dagar utan besök och senast 14 dagar efter inloggningen, även om den används hela tiden. Vi sparar ingen IP-adress för inloggningen.

Varje session kontrolleras mot kontot vid varje sidvisning. Under Kontakt i Min mottagning finns knappen Logga ut från alla enheter, som gör att alla inloggningar med kontot slutar gälla direkt, i alla webbläsare. Detsamma händer när ni får en ny aktiveringslänk och väljer ett nytt lösenord.

Misslyckade inloggningar räknas, och efter för många försök under samma timme stoppas alla inloggningar innan lösenordet ens prövas. Svaret är detsamma för fel adress och fel lösenord, så det går inte att ta reda på vilka konton som finns.

En inloggning når bara den egna vårdcentralens uppgifter. Vilken vårdcentral det gäller läses alltid ur den signerade sessionen, aldrig ur det som webbläsaren skickar. Min mottagning och enkäten sparas inte i någon cache, indexeras inte av sökmotorer och laddar inga skript från andra företag.

Hos oss

Vårdbetyg drivs som enskild firma av grundaren Arvid Pilhall. Hans konto är det enda personliga kontot i Googles driftmiljö. De andra kontona där är tjänstekonton som kör sajten. Databasen tar inte emot direkta anslutningar från internet, bara via Googles egen anslutning för Cloud SQL med ett behörigt konto.

Det finns ingen intern vy där vi läser era enkätresultat. Grundaren kan som driftansvarig nå databasen, men där finns bara summorna.

Grundaren har dessutom en administratörsinloggning till Min mottagning, med lösenord och en engångskod från en app i telefonen (tvåstegsverifiering), som gäller en timme i taget. Där kan han se Min mottagning som en viss vårdcentral ser den, men aldrig Patientpuls, och ingenting kan ändras därifrån. Varje sådan visning skrivs i en logg med vem, vilken vårdcentral och när.

Loggar

Googles plattform sparar varje anrop till sajten i en serverlogg med IP-adress, webbläsarens identifiering, adressen, adressen besökaren kom ifrån och tidpunkten. Loggen raderas automatiskt efter 30 dagar och ligger i EU sedan den 30 oktober 2026. För enkäten står bara adressen /puls i loggen, samma för alla vårdcentraler.

Vi använder loggen för drift och säkerhet och för att räkna sammanlagda besök per sida, aldrig för att följa en enskild person. Hur loggen beskrivs för besökarna står i integritetspolicyn.

Underbiträden och andra leverantörer

• Google (Google Cloud EMEA Limited enligt Googles villkor för kunder i EES) kör servern, databasen och loggen i EU med Firebase App Hosting, Cloud Run, Cloud SQL och Cloud Logging. Googles villkor för personuppgiftsbehandling i molntjänsterna gäller. Google är det enda underbiträdet för Patientpuls.
• Cloudflare sköter bara namnuppslagningen (DNS) för vardbetyg.se och ser inte trafiken till enkäten eller Min mottagning. Cloudflares besöksmätning och robotskydd finns på sajtens offentliga sidor, men inte i enkäten eller inloggningen.
• Resend skickar aktiveringsmejlet när vi skapar ett konto. Mejlet innehåller mottagarens adress och länken, inget annat.
• Anthropic tar fram AI-analysen i Insikt. Dit går bara er vårdcentrals öppna siffror och summor av besöken på er sida hos oss, aldrig enkätsvar, åtgärder, anteckningar eller kontouppgifter.

Vi meddelar er 30 dagar innan ett underbiträde för Patientpuls byts eller läggs till.

Överföring utanför EU

Uppgifterna lagras i EU, men Google är ett amerikanskt företag. Google kan därför i vissa fall behandla uppgifter utanför EU, till exempel vid support och felsökning, och amerikansk lag kan ge myndigheter där rätt att begära ut uppgifter från amerikanska företag. Sådana överföringar har stöd i EU-kommissionens beslut om EU-US Data Privacy Framework, där Google LLC är certifierat, och i EU:s standardavtalsklausuler i Googles villkor.

För Patientpuls gäller frågan i praktiken serverloggen, eftersom databasen bara har summor. Resend och Anthropic finns i USA. Till Anthropic går inga personuppgifter, och till Resend bara mottagarens e-postadress i aktiveringsmejlet.

Personuppgiftsbiträdesavtal

För Patientpuls är er vårdcentral personuppgiftsansvarig och Vårdbetyg personuppgiftsbiträde. Biträdesavtalet ingår i villkoren som ni godkänner i Min mottagning innan ni skapar den första länken.

Enligt avtalet behandlar vi uppgifterna bara efter era instruktioner och aldrig för egna syften. Den som arbetar för oss har tystnadsplikt. Vi meddelar er inom 24 timmar vid en incident, bistår med underlag till er konsekvensbedömning och raderar era länkar och er statistik inom 30 dagar efter att avtalet upphört.

Avtalet finns också som eget dokument med fält för parter och underskrift under Dokument ovan. Har er region eller koncern en egen mall för biträdesavtal går det bra att använda den. Skicka den till hej@vardbetyg.se, så går vi igenom den.

Om något går fel

Upptäcker vi en personuppgiftsincident som rör er meddelar vi er inom 24 timmar, så att ni hinner bedöma om den ska anmälas till IMY. Detsamma gäller om patientuppgifter av misstag har hamnat i en länk eller i formuläret. Då raderar vi dem.

Ni kan stoppa en enskild länk direkt i Min mottagning, och vi kan stänga av hela enkättjänsten för alla med en inställning. Sajten kontrolleras varje minut från flera platser, och vi får ett larm om den slutar svara.

Det här har vi inte i dag

Vi har ingen certifiering för informationssäkerhet. Lagrad data krypteras med Googles nycklar, inte med nycklar som ni eller vi styr själva. Vårdcentralernas inloggning i Min mottagning har inte tvåstegsverifiering. Fråga oss gärna om något av det betyder något för er upphandling.