Så hanterar vi personuppgifter

Sidoplacering.se är en fristående tjänst för att fylla i och signera överenskommelser om sidoutbildning för ST-läkare. Tjänsten drivs inte av någon region. Uppgifterna i ett avtal används bara för att tillhandahålla tjänsten: de används aldrig för marknadsföring, läggs inte i något kontaktregister och säljs inte. Utskick får bara den som själv har tackat ja till det när hen skapade ett konto – se Utskick.

Vem ansvarar?

Mamones AB, organisationsnummer 559190-3769, är personuppgiftsansvarig för behandlingen i tjänsten. Postadress: Mamones AB, Brännkyrkagatan 56, 118 22 Stockholm. E-post: info@sidoplacering.se.

En vårdgivare som vill vara personuppgiftsansvarig för avtalets innehåll kan begära vårt personuppgiftsbiträdesavtal. Så länge inget sådant avtal är tecknat är Mamones AB ansvarig.

Din arbetsgivare ansvarar för sin egen hantering av avtalet när det väl är signerat, till exempel i sitt personalsystem.

Vilka uppgifter behandlas, och om vem?

• ST-läkaren: namn, personnummer och e-postadress, samt uppgifterna om sidoutbildningen. Därutöver det som just din regions blankett frågar efter — i Stockholm adress, telefon, lön och tjänstgöringsgrad; i Skåne delmål, handledning, jourarbete och kurser.
• De som ska skriva under avtalet: namn och e-postadress. Vilka det är bestäms av regionens blankett — i Stockholm de två klinikernas verksamhetschefer, i Skåne den sändande och den mottagande studierektorn samt ST-läkaren själv. De anges av den som fyller i formuläret och informeras i det mejl de får.
• Handledare: namn, där blanketten frågar efter det.
• Kontaktpersoner på klinikerna: namn och telefonnummer, om de fylls i.
• Den vi själva har skrivit till om tjänsten: namn, roll och tjänstens e-postadress — se Om vi har skrivit till dig.
• Den som skapar ett konto: namn, e-postadress och ett lösenord som lagras som en envägs-hash.
• Teknisk logg: IP-adress och tidpunkt i serverns loggar, för att skydda tjänsten mot missbruk.

Varför, och med vilket stöd?

Uppgifterna används bara för att skapa avtalet, skicka det för signering med BankID och visa hur långt signeringen har kommit. Behandlingen bygger på ett berättigat intresse hos dig, klinikerna och oss av att avtalet kan upprättas och signeras (artikel 6.1 f i dataskyddsförordningen); för kontot gäller avtalet med dig (artikel 6.1 b). Personnumret behandlas eftersom regionens blankett kräver det för säker identifiering av den anställde. Vi fattar inga automatiserade beslut och gör ingen profilering.

Vilka uppgifter som efterfrågas bestäms av din regions egen blankett och skiljer sig åt mellan regionerna — vi frågar aldrig efter mer än den blanketten innehåller. Du ser alla fält i formuläret innan du skickar något. I några regioner signeras dokumentet inte alls; då skapas heller inget dokument hos signeringstjänsten.

Vilka får del av uppgifterna?

• De som ska skriva under avtalet — verksamhetschefer i Stockholm, studierektorer i Skåne — får det för granskning och signering.
• Inleed Docsign (Sverige) — signeringstjänsten som hanterar BankID-signeringen och det signerade dokumentet. Personuppgiftsbiträde.
• Resend (Plus Five Five, Inc.) — skickar tjänstens e-post. Bolaget finns i USA och behandlar uppgifterna där. Överföringen vilar på EU-kommissionens standardavtalsklausuler, och bolaget är certifierat under EU–USA:s ramverk för dataskydd (Data Privacy Framework). Personuppgiftsbiträde.
• Hostinger International Ltd (Cypern) — servern och databasen står i Tyskland. Personuppgiftsbiträde.

Våra egna mejl innehåller aldrig avtalet som bilaga, utan en länk som gäller i 7 dagar för en kopia och 30 dagar för det signerade avtalet. Signeringstjänsten skickar däremot, när alla har signerat, ett eget meddelande till undertecknarna med det färdiga avtalet bifogat. Det utskicket sker i deras system och under deras villkor. Hur många som skriver under bestäms av regionens blankett: i Stockholm två verksamhetschefer, i Skåne ST-läkaren och två studierektorer.

Hur skyddas uppgifterna?

Avtalens innehåll lagras krypterat i databasen, och säkerhetskopiorna krypteras. All trafik går över en krypterad anslutning. Lösenord lagras aldrig i läsbar form. Ett påbörjat formulär sparas bara i din webbläsarflik, utan personnummer och lön.

Hur länge sparas de?

• Utkast som aldrig skickas för signering raderas efter 30 dagar.
• Avtal där signeringen aldrig blir klar raderas efter 180 dagar.
• Färdigsignerade avtal sparas i 5 år efter att sidotjänstgöringen tog slut, så att de som skrev under kan hitta avtalet så länge det kan behövas under en ST. Det som sparas är det signerade avtalet som fil, med underskrifternas bevis, samt namn, kliniker, period och undertecknarnas namn och e-post. Övriga uppgifter — personnummer, lön och annat ur formuläret — finns efter signeringen bara inne i själva filen, inte som sökbara uppgifter. Om det signerade avtalet inte kunnat hämtas från signeringstjänsten raderas avtalet i stället efter 90 dagar.
• Konton där e-postadressen aldrig bekräftas raderas efter 7 dagar.
• Konton som ingen har loggat in på under 2 år raderas. Du får ett mejl 30 dagar i förväg, och det räcker att logga in för att behålla kontot.
• Säkerhetskopior sparas i 30 dagar.

Raderingen sker automatiskt.

Utskick – bara om du har tackat ja

När du skapar ett konto kan du kryssa i att du vill få information och erbjudanden som rör ST-tjänstgöring och sidoutbildning via e-post. Rutan är frivillig och aldrig förkryssad, och kontot fungerar likadant utan den. Att fylla i ett avtal lägger aldrig till dig, och ingen som nämns i ett avtal — den som skriver under, en handledare eller en kontaktperson — läggs någonsin till.

• Vad som sparas: namn och e-postadress, den exakta text du godkände, när du gjorde det och när du bekräftade din adress. Inget ur något avtal – aldrig personnummer, lön eller adress.
• Rättslig grund: ditt samtycke (artikel 6.1 a). Det gäller först när du har bekräftat din e-postadress.
• Hur länge: 2 år från bekräftelsen, sedan raderas uppgiften om du inte tackar ja igen.
• Ångra dig: länken ”avregistrera” finns i varje utskick och fungerar utan inloggning. Uppgiften att du har avregistrerat dig sparas i 90 dagar och raderas sedan.
• Om tjänsten byter ägare: kontaktregistret hör till tjänsten och följer med den. Du får besked i förväg och kan avregistrera dig innan något lämnas över. Den nya ägaren får bara använda uppgifterna för det du tackade ja till.

Om vi har skrivit till dig

När tjänsten börjar stödja en regions blankett skriver vi till dem som enligt blanketten ska skriva under — till exempel regionens ST-studierektorer — för att berätta att den finns. Ditt namn, din roll och din e-postadress har vi då hämtat från regionens eller vårdgivarens egen offentliga webbsida, där de står som kontaktväg för just den rollen. Vi har inga andra uppgifter om dig.

• Rättslig grund: vårt berättigade intresse av att de som berörs av blanketten får veta att tjänsten finns (artikel 6.1 f).
• Var uppgifterna finns: i en lista hos oss, skild från tjänstens databas. De läggs aldrig i kontaktregistret för utskick och lämnas inte vidare.
• Hur länge: ett år, eller tills du säger ifrån.
• Säg ifrån: svara på mejlet eller skriv till info@sidoplacering.se, så tar vi bort dig och skriver inte igen. Det räcker att du vill det.

Förteckningen över randningsplatser

Sidan Randningsplatser listar kliniker och mottagningar ur Inspektionen för vård och omsorgs vårdgivarregister, som är en allmän handling: vårdgivarens namn, verksamhetens namn, ort och anmälda inriktningar; gatuadress bara för regionernas och statens verksamheter. Enskilda firmor ingår inte, och poster som IVO har belagt med sekretess är utelämnade. Uppgifterna gäller företag och myndigheter, men ett bolagsnamn kan innehålla ett personnamn. Vi behandlar dem med stöd av ett berättigat intresse av att ST-läkare ska kunna hitta platser för sin sidotjänstgöring. Vill du att en post rättas eller tas bort, skriv till oss så gör vi det.

Dina rättigheter

Du kan begära att få veta vilka uppgifter som finns om dig, få dem rättade, raderade i förtid eller begränsade, och du kan invända mot behandlingen. Det gäller även dig som är verksamhetschef, studierektor, handledare eller kontaktperson. Skriv till info@sidoplacering.se. Vi svarar inom en månad. Du kan också klaga hos Integritetsskyddsmyndigheten (imy.se).

Besöksstatistik – räknad, inte spårad

Klart. Den här webbläsaren räknas inte längre.

Vi räknar hur många som besöker sidorna, vilken sorts sida de kom ifrån (till exempel ett mejl eller en sökmotor) och hur långt i formuläret de kommer. Räkningen görs på vår egen server. Det som sparas är antal per dag – aldrig en rad om dig. Ingen IP-adress, ingen webbläsaruppgift och inget annat som kan kopplas till en person lagras, och ingen annan än vi får uppgifterna. Vad du skriver i formuläret ingår aldrig. Sidorna hämtar ingenting från någon annan än oss: inget mätverktyg, ingen spårningspixel och inga typsnitt från tredje part.

För att en besökare inte ska räknas flera gånger samma dag görs din IP-adress och webbläsartyp om till ett engångsvärde med en nyckel som bara finns i serverns minne och kastas vid midnatt. Värdet sparas aldrig, och efter midnatt kan ingen – inte heller vi – avgöra om två besök var samma person. Har du bett din webbläsare att inte bli spårad (Do Not Track eller Global Privacy Control) räknas du inte alls. Rättslig grund är vårt berättigade intresse av att veta om tjänsten används och var formuläret är svårt (artikel 6.1 f).

Vill du inte räknas kan du välja bort besöksstatistiken i den här webbläsaren. Valet sparas i din webbläsare och gäller tills du ångrar dig. Tjänsten fungerar likadant utan.

Kakor och lagring i webbläsaren

Tjänsten använder inga kakor för spårning eller reklam, och besöksstatistiken använder inga kakor alls. Om du loggar in sätts en inloggningskaka som bara servern kan läsa och som försvinner när du loggar ut. Ett påbörjat formulär sparas i webbläsarfliken tills den stängs eller avtalet skickas.

Se även användarvillkoren.