Integritetspolicy för ST-Blanketter

1. Om tjänsten

ST-Blanketter är en webbtjänst för ST-läkare, handledare och administratörer. Tjänsten används för att skapa, spara, följa upp och exportera blanketter och relaterad ST-dokumentation.

2. Personuppgifter som kan behandlas

När du använder tjänsten kan följande uppgifter behandlas:

• konto- och profiluppgifter (t.ex. namn, e-post, roll, organisation, specialitet)
• uppgifter du fyller i i blanketter
• uppgifter om handledarkopplingar, möten och progression
• egna förberedelsepunkter och kommentarer inför specialistbevisansökan
• uppgifter om provperiod, tjänsteåtkomst, manuella administratörsgrants och eventuell köphistorik
• jourschemafiler som du själv laddar upp lokalt i webbläsaren eller vidarebefordrar via e-postfunktionen
• teknisk användningsdata (loggar, felsökning och aggregerad statistik)

Ange inte fler känsliga personuppgifter än vad som behövs för ditt administrativa ändamål.

3. Hur uppgifterna hanteras

• Uppgifter kan sparas i tjänstens databas för att möjliggöra inloggning, fortsatt arbete och uppföljning.
• Om du aktiverar kryptering krypteras privata blankettfält, användarens egna blankett-noteringar, handledarmötesinnehåll, specialistansökningsdata samt titel och kommentar i egna specialistförberedelser i din webbläsare innan de sparas. Tjänsten sparar då endast den klartext som behövs för ST-plan, delmålsprogression, tidsprogression, status, räknare, bilagekopplingar och liknande översiktsfunktioner.
• Uppgifter kan visas för behöriga användare enligt roll, organisation och eventuella kopplingar.
• Tjänsten sparar status för provperiod, köpta eller administrativt tilldelade tjänster och återkallad åtkomst för att kunna visa och administrera behörigheter.
• När du exporterar PDF/CSV skapas filer som du eller din organisation ansvarar för att hantera säkert.
• Jourschemafiler som laddas upp på webbsidan behandlas lokalt i webbläsaren. Om du vidarebefordrar jourschema via e-post behandlas mailet och bilagan på servern och av e-postleverantören för att kunna skapa ett automatiskt ICS-svar. Appens e-postlogg sparar inte schemafilens innehåll, avsändaradress eller ämnesrad.
• För ST-träffar sparas din egen anmälan för att visa vad du ska delta i och för att kunna skapa din kalenderprenumeration. Tjänsten visar inte deltagarlistor för andra användare.

4. Åtkomst och behörighet

Tjänsten använder roll- och behörighetsstyrning (t.ex. ST-läkare, huvudhandledare, admin). Vissa funktioner och informationssidor visas enbart för specifika målgrupper.

Krypterade uppgifter kan bara läsas efter att användaren låst upp krypteringen i webbläsaren. Administratörer och huvudhandledare kan därför inte läsa privata E2EE-krypterade blankettfält, blankett-noteringar eller specialistansökningssektioner utan en framtida separat nyckeldelningsmodell.

5. Cookies, lokal lagring och sessionshantering

Tjänsten kan använda nödvändig teknisk lagring/sessionshantering för inloggning och säker funktionalitet. Tjänsten är inte avsedd att använda sådan lagring för marknadsföring.

Exempel på lokal lagring som kan förekomma:

• inställning för cookie-banner (om den har stängts)
• tillfälliga UI-val i tjänsten
• val att dölja "Kom igång"-kort på startsidan tills vidare (separat för inloggade och oinloggade)
• lokalt skyddad krypteringsnyckel för att kunna låsa upp E2EE-uppgifter på samma enhet

6. Tredjepartstjänster

Tjänsten kan använda tredjepartstjänster för drift och funktioner, exempelvis:

• drift och databas/autentisering
• analys och driftövervakning
• kontaktformulär med spam-skydd (t.ex. captcha)
• e-postutskick och inkommande e-post (t.ex. påminnelser, daglig digest och automatiska Jourschema-svar)
• CDN/hostade bibliotek och typsnitt

När tredjepart används kan tekniska uppgifter (t.ex. IP-adress, user-agent och tidpunkt) behandlas enligt respektive leverantörs policy.

6.1 AI-funktioner

Vissa frivilliga funktioner använder ett AI-API för att generera eller förbättra texter och för att läsa av uppladdade blanketter. Dessa funktioner är paywallade och slås på explicit av användaren via en samtyckes-modal.

Användardata-funktionerna (generera beskrivning, förbättra text, skanna blankett) använder som standard Mistrals API. Mistral är ett franskt bolag med AI-infrastruktur i EU — din data lämnar inte EU för dessa funktioner. Operatören kan konfigurera en annan leverantör (t.ex. OpenAI eller Azure OpenAI) via miljöinställningar.

Admin-funktionen för att generera delmålsförklaringar använder OpenAI:s API. Denna funktion hanterar endast publicerad, icke-personlig data (officiella Socialstyrelsens delmålsbeskrivningar) och används enbart av administratörer.

När du använder AI-funktionerna skickas följande till leverantören:

• vilka delmål du valt (delmålens id, korta titel och officiella beskrivning från Socialstyrelsen)
• den placeringstitel du själv skrivit in (t.ex. "Akutkirurgi, KS Solna")
• eventuella egna anteckningar du själv väljer att skicka med
• specialitet och föreskriftsversion (2015 / 2021 / BT) för kontextualisering
• av admin förkurerade exempeltexter

Detta skickas aldrig: namn, personnummer, e-post, eller övrigt blankettinnehåll från krypterade fält.

Användarens ansvar: skriv inga personuppgifter i fritextfälten.

Viktig ansvarsfriskrivning: Fältet "Placering" och fältet "Egna anteckningar" skickas som klartext till AI-leverantören. Vår server validerar bara fältens längd, inte deras innehåll.

Skriv därför aldrig:

• patienters namn, personnummer eller andra identifierbara uppgifter
• kollegors namn eller annan identifierande personinformation
• andra personuppgifter eller känsliga uppgifter som kan kopplas till en specifik person

Beskriv arbetet generellt: t.ex. "Akutkirurgi, KS Solna" och "fokus på akut buk och trauma", inte enskilda fall, kollegor eller patienter.

Användaren är personligen ansvarig för att inte skicka personuppgifter via dessa fritextfält. Vid upptäckt läckage ska tjänsteleverantören och i förekommande fall Integritetsskyddsmyndigheten informeras.

Lagring och loggning: Mistral och OpenAI tränar inte sina modeller på data som skickas via deras API. Vi loggar att en AI-förfrågan gjorts (för månadstak och felsökning) men loggar aldrig själva texten eller den genererade beskrivningen.

Den text AI:n returnerar visas i ditt formulär för granskning innan du sparar. När du sparar krypteras texten med ditt E2EE-konto om du har det aktiverat.

Du kan när som helst stänga av AI-funktionerna i Inställningar.

AI-skanning av blankett (vision): När du laddar upp en bild eller fotograferar en fysisk blankett skickas själva bilden (efter eventuell svärtning som du själv ritar i appen) till AI-leverantören. Innan upload re-encodas bilden via canvas vilket tar bort EXIF/GPS-metadata.

Vad servern returnerar: ett strukturerat JSON-svar med värden för de fält som ingår i blanketten, exklusive personnummer, namnteckningar och andra fält som är markerade som känsliga eller E2EE-krypterade. Sådana fält finns inte ens i schemat som AI:n får, så ingen text för dessa returneras till klienten.

Pixlar i bilden ses dock av leverantörens vision-modell. Använd därför svärtningsverktyget för att maskera personnummer, namnteckningar, patientuppgifter och annat du inte vill skicka. Vi varnar tydligt om detta i scan-modalen.

Bildlagring: Bilder lagras aldrig på vår server. De finns i process-minnet under en begäran och kastas direkt efter att AI-svaret returnerats. Vi loggar antalet bilder och tokens i ai_usage_log, men aldrig bildens innehåll eller den extraherade texten.

Default-kvot för AI-skanning är 0 skanningar per månad. Admin måste explicit aktivera per användare via tjänster & åtkomst. Funktionen kräver ett separat samtycke (ai_scan_consent) utöver det generella AI-samtycket.

6.2 Överföring till tredjeland

Användardata-funktionerna (generera beskrivning, förbättra text, skanna blankett) använder som standard Mistrals API med infrastruktur i EU (Frankrike). Ingen överföring till tredjeland sker för dessa funktioner i standardkonfigurationen.

Admin-funktionen för delmålsförklaringar skickar data till OpenAI, vars behandling kan ske i USA. Denna funktion hanterar enbart publicerade, icke-personliga Socialstyrelsens delmålsbeskrivningar och används bara av administratörer. Överföringen sker med stöd av EU-kommissionens standardavtalsklausuler (SCC).

Om operatören konfigurerar OpenAI som provider för användardata-funktioner (AI_USER_DATA_PROVIDER=openai) kan även dessa anrop behandlas i USA, med stöd av SCC. Informationen i samtyckes-modalen och integritetspolicyn ska i så fall uppdateras av operatören.

AI-funktionerna är frivilliga och aktiveras först efter ditt uttryckliga samtycke. Tjänstens kärnfunktioner fungerar utan dem.

6.3 Automatiserat beslutsfattande

Tjänsten fattar inga automatiserade beslut som har rättsliga följder för dig eller på liknande sätt påverkar dig i betydande grad enligt artikel 22 i GDPR.

AI-funktionerna föreslår text och läser av uppladdade blanketter, men resultatet visas alltid för dig innan något sparas och du avgör själv om det ska användas. Ingen profilering används för att bestämma din behörighet eller åtkomst i tjänsten.

7. Rättslig grund (GDPR)

Behandling kan ske med stöd av exempelvis:

• berättigat intresse (drift, support och förbättring av tjänsten)
• rättslig förpliktelse/allmänt intresse vid vårdadministrativa processer
• avtal, när behandling krävs för att tillhandahålla tjänsten

Vilken grund som gäller i ett enskilt fall beror på användningskontext och personuppgiftsansvarig organisation.

8. Personuppgiftsansvar

Personuppgiftsansvarig är den organisation som driver aktuell instans av ST-Blanketter och bestämmer ändamål och medel för behandlingen.

9. Lagringstid

Uppgifter lagras så länge de behövs för ändamålet, eller enligt organisationens arkiv- och gallringsregler. Inaktiva eller onödiga uppgifter bör rensas enligt fastställda rutiner.

10. Dina rättigheter

Om GDPR är tillämplig kan du ha rätt till:

• tillgång
• rättelse
• radering
• begränsning av behandling
• invändning
• dataportabilitet
• klagomål till Integritetsskyddsmyndigheten (IMY)

Kontakta personuppgiftsansvarig organisation för att utöva dina rättigheter.

Du kan själv utöva två rättigheter direkt i tjänsten under "Profilinställningar":

• Dataportabilitet (art. 20): "Ladda ner all din data" under fliken Export skapar en ZIP med alla dina rader, dekrypterade lokalt i webbläsaren.
• Radering (art. 17): "Radera konto" tar bort din profil, all cascade-relaterad data och din auth-rad. Säkerhets- och adminloggar anonymiseras (user_id sätts till NULL) men behålls för incidentutredning enligt art. 32.

11. Informationssäkerhet

Organisationen som driver tjänsten bör ha lämpliga tekniska och organisatoriska säkerhetsåtgärder, t.ex.:

• åtkomstkontroller och minsta behörighet
• säker hantering av inloggning och nycklar
• loggning, uppföljning och incidentrutiner
• rutiner för säkert omhändertagande av exporterade filer

12. Ändringar i policyn

Policyn uppdateras vid förändringar i tjänsten eller lagkrav. Aktuellt datum för senaste uppdatering anges längst upp.