Havio Clinic Integritetspolicy

Senast uppdaterad: 5 oktober 2026 · Read in English

Denna policy förklarar hur Havio Clinic hanterar dina personuppgifter när du använder vår patientportal och när du är vår patient. Havio Clinic är en digital specialistklinik för postinfektiösa och postvirala sjukdomar, och eftersom vi är en legitimerad vårdgivare skyddas dina uppgifter inte bara av GDPR utan också av svensk hälso- och sjukvårdslagstiftning: patientdatalagen (2008:355), patientsäkerhetslagen (2010:659) och den tystnadsplikt som gäller för all vår kliniska personal.

1. Vem ansvarar för dina uppgifter?

Havio Health AB, org.nr 559430-1250, Birger Jarlsgatan 57C, 113 65 Stockholm är personuppgiftsansvarig och registrerad vårdgivare. Vi är registrerade i IVO:s vårdgivarregister och står under Inspektionen för vård och omsorgs (IVO) tillsyn.

Dataskyddskontakt (dataskyddsombud): dataskyddsombud@haviohealth.com.

2. Vilka uppgifter behandlar vi?

Identitets- och kontaktuppgifter: namn, e-postadress och, när du identifierar dig med e-legitimation (BankID), ditt personnummer.
Din hälsoprofil, innan du bokar: det du väljer att fylla i eller ladda upp i patientportalen: dina svar om dina besvär, din historia, din vård och din vardag, och filer som provsvar. Tills du bokar är det här din egen profil. Den är ingen patientjournal och våra läkare läser den inte. Vår personal kan se att profilen finns och hur långt den har kommit (vilka delar som är påbörjade eller klara, vilka slags filer du har lagt till och vilken tjänst du har valt), så att vi kan hjälpa dig med praktiska frågor.
Din patientjournal: allt som dokumenteras i din vård: den hälsoprofil och de filer du skickar till oss när du bokar, besöksanteckningar (video och text), bedömningar, vårdplaner, recept, remisser och provsvar.
Hälsouppgifter du lämnar: formulär, symtom du följer och uppgifter du väljer att dela med ditt vårdteam.
Betalnings- och administrativa uppgifter: bokningar, fakturor, betalningsstatus.
Om du anmäler dig till vår väntelista eller skriver till oss innan du är patient: din e-postadress, ditt namn om du anger det och det meddelande du skriver. Meddelandet kan innehålla hälsouppgifter om du väljer att ta med dem. Detta är inte en del av någon patientjournal.
Tekniska uppgifter: det minimum som krävs för att driva tjänsten säkert (säkra sessionsuppgifter, åtkomstloggar som krävs enligt lag).

3. Varför behandlar vi dina uppgifter, och med vilken rättslig grund?

Ändamål	Rättslig grund
Att spara din hälsoprofil i portalen innan du bokar, visa dig din egen hälsobild och de tjänster som passar det du har berättat, och skicka meddelanden till dig om din egen profil. Om du fyller i våra formulär på papper och ber oss om det: att läsa in dina fotograferade sidor i din profil med en AI-tjänst inom EU, som du sedan kontrollerar (se §6)	Ditt uttryckliga samtycke (art. 6.1 a och 9.2 a GDPR), som du lämnar när du startar din profil, och en separat kryssruta varje gång du ber oss läsa in dina sidor. Du återkallar det genom att radera din profil, se §4
Att ge dig vård: bedömning, diagnos, behandling, recept, remisser	Art. 9.2 h GDPR (hälso- och sjukvård som ges av personal med tystnadsplikt) tillsammans med art. 6.1 c/e; patientdatalagen
Att föra din patientjournal (journalföring)	Rättslig förpliktelse: patientdatalagen kräver att vi dokumenterar din vård. Det är en lagstadgad skyldighet, inget vi ber om samtycke till
Kvalitetssäkring, kvalitetsutveckling och statistik: uppföljning av vården vi ger, förståelse för mönster och utfall bland våra patienter, planering och organisering av kliniken samt förbättring av medicinsk kvalitet, säkerhet och tillgänglighet	Art. 6.1 e med art. 9.2 h GDPR och patientdatalagen 2 kap. 4 §: kvalitetssäkring, planering och statistik är uttryckliga lagstadgade ändamål; patientsäkerhetslagen inkl. SOSFS 2011:9
Förbättring av själva plattformen (användningsmönster, feedback), utförs på pseudonymiserade uppgifter, där direkta identifierare tagits bort före analys	Berättigat intresse (art. 6.1 f): du kan invända (opt-out) när som helst
Fakturering och bokföring	Avtal (art. 6.1 b) och rättslig förpliktelse (bokföringslagen)
Marknadsföring av våra egna tjänster till dig som befintlig patient (t.ex. nyheter om kliniken), aldrig baserad på dina hälsouppgifter	Berättigat intresse (art. 6.1 f) med marknadsföringslagens regler för befintliga kunder: varje utskick innehåller en avregistreringslänk, och din invändning stoppar alltid utskicken
Att svara dig, och höra av oss när vård öppnar, när du anmäler dig till väntelistan eller kontaktar oss innan du är patient	Ditt samtycke (art. 6.1 a); för hälsouppgifter i ditt meddelande ditt uttryckliga samtycke (art. 9.2 a). Du kan när som helst återkalla det genom att skriva till oss, så raderar vi dina uppgifter
Nyhetsbrev och marknadsföring till den som inte är patient	Ditt samtycke: alltid separat, alltid återkalleligt
Att fastställa, göra gällande eller försvara rättsliga anspråk	Berättigat intresse (art. 6.1 f)
Företagstransaktioner (fusion, förvärv, omstrukturering): kontinuitet i din vård och dina journaler	Berättigat intresse (art. 6.1 f); din journal förblir skyddad av patientdatalagen hos en eventuell efterträdande vårdgivare

När du bokar. Det är genom att boka som du ber oss om vård. Du bekräftar din profil och skickar den till din läkare, och från och med då är det du har skickat en del av din vård: det hanteras enligt patientdatalagen i stället för med stöd av ditt samtycke, och reglerna för patientjournalen i §4 gäller.

Viktigt: eftersom journalföring är en lagstadgad skyldighet baserar vi inte, och får inte basera, din patientjournal på samtycke. Det som ALLTID är ditt val: valfria funktioner, om du vill ta emot marknadsföring (ett klick stoppar den), forskningskontakt och kvalitetsregister (se §8) samt om andra vårdgivare får ta del av dina journaluppgifter (se §7). Observera att behandling som krävs eller tillåts enligt patientdatalagen (vård, journalföring, kvalitetssäkring och statistik) kan fortsätta även om du invänder: där styr lagen, inte ditt samtycke.

4. Din profil och din patientjournal: dina rättigheter och deras gränser

Innan du bokar: din hälsoprofil. Du kan själv radera din profil i portalen när som helst innan du bokar. Dina svar och filer tas då bort från våra system, och från våra säkerhetskopior inom 7 dagar. Det som finns kvar är noteringen i vår säkerhetslogg om att profilen har funnits och när den raderades. En profil som inte har använts på 24 månader raderas av oss.

När du har bokat: din patientjournal.

Bevarande: vi är skyldiga att bevara din patientjournal i minst 10 år efter den sista anteckningen (patientdatalagen 3 kap. 17 §).
Tillgång: du har rätt att läsa din journal och få en kopia.
Rättelse: du kan få sakfel noterade och rättade i journalen.
Radering: GDPR:s rätt till radering gäller inte patientjournalen. Borttagande av journalinnehåll kräver en ansökan till IVO (patientdatalagen 8 kap. 4 §). Vi förklarar gärna hur du gör om du vill ansöka.
Loggutdrag: varje elektronisk åtkomst till din journal loggas. Du har rätt att få en förteckning över vilka som tagit del av din journal. Fråga oss.
Inre sekretess: vår personal får bara öppna din journal om de deltar i din vård eller behöver den för sitt arbete. Behörigheter är rollbaserade och loggranskningar görs systematiskt.

5. Vilka kan ta del av dina uppgifter?

All klinisk personal omfattas av lagstadgad tystnadsplikt (patientsäkerhetslagen 6 kap.). Utöver ditt vårdteam lämnar uppgifter kliniken endast:

Till personuppgiftsbiträden enligt biträdesavtal: vårt journalsystem The Patient Company AB samt de stödjande IT-tjänster vi använder för video, bokning, betalning och drift. Biträden agerar endast enligt våra instruktioner.
Till E-hälsomyndigheten: när vi utfärdar ett e-recept är vi enligt lag skyldiga att överföra det till Nationella läkemedelslistan (NLL). E-hälsomyndigheten är egen personuppgiftsansvarig för NLL. Din förskrivare behöver i regel ditt samtycke för att läsa din fullständiga läkemedelslista; du kan se din lista och hantera samtycken och spärrar i Läkemedelskollen (ehalsomyndigheten.se).
Till myndigheter när lagen kräver det: t.ex. anmälningsskyldigheter enligt patientsäkerhetslagen eller smittskyddslagen.
Försäkring: om du begär patientskadeersättning lämnas relevanta journaluppgifter till vår patientförsäkringsgivare (se användarvillkoren).

Din patientjournal och identifierbara hälsouppgifter lagras alltid inom EU/EES. För stödjande IT-tjänster (t.ex. drift, supportverktyg, analys) kan vissa leverantörer behandla begränsade tekniska eller administrativa uppgifter utanför EU/EES, för närvarande USA. När det sker använder vi godkända överföringsmekanismer: EU:s beslut om adekvat skyddsnivå där sådana finns, samt EU:s standardavtalsklausuler med kompletterande skyddsåtgärder.

Vi säljer aldrig dina uppgifter, och vi använder aldrig dina hälsouppgifter för reklam.

6. AI i din vård

Våra läkare kan använda AI-baserade verktyg som stöd i arbetet, till exempel för att utforma dokumentation från besök eller organisera den information du delat.

En specialistläkare fattar alltid, och ansvarar alltid för, varje medicinskt beslut. AI avgör aldrig din diagnos, behandling eller dina recept.
AI-stödd dokumentation granskas alltid av klinisk personal innan den förs in i din journal.
Om du inte vill att AI-stödd transkribering används vid ditt besök, säg till din läkare. Din vård påverkas inte.
Våra AI-leverantörer behandlar uppgifter enligt biträdesavtal och får inte använda dina uppgifter för att förbättra sina produkter eller för egna ändamål.
Dina pappersformulär. Om du fyller i våra formulär på papper och ber oss läsa in dem gör en AI-tjänst inom EU om dina fotograferade sidor till svaren i din egen profil. Inget sparas förrän du själv har kontrollerat varje svar och bekräftat det; ingen läkare läser det innan du bokar.

AI i kvalitetsarbetet. Som en del av det kvalitets- och statistikarbete som beskrivs i §3 kan vi också använda AI-verktyg för att analysera pseudonymiserade patientuppgifter, det vill säga uppgifter där namn, personnummer och kontaktuppgifter tagits bort, för att hitta mönster bland våra patienter och förbättra vården vi ger. Denna behandling sker inom EU/EES, enligt samma biträdesavtal och förbud mot sekundäranvändning som ovan, och dess resultat ändrar aldrig en enskild patients vård utan en legitimerad läkares granskning och beslut.

7. Delning med andra vårdgivare (sammanhållen vård- och omsorgsdokumentation)

Vi deltar för närvarande inte i sammanhållen vård- och omsorgsdokumentation. Dina journaluppgifter görs inte tillgängliga för andra vårdgivares system. Om vi ansluter oss till ett sådant system (t.ex. NPÖ) informerar vi dig först. Du skulle då ha rätt att när som helst spärra dina uppgifter för andra vårdgivare, och andra vårdgivare skulle endast kunna ta del av dina uppgifter med ditt samtycke (i en nödsituation är åtkomst möjlig om du inte kan samtycka).

8. Kvalitetsregister och medicinsk forskning

Vi rapporterar för närvarande inte till något nationellt kvalitetsregister. Innan några uppgifter om dig någonsin förs in i ett sådant informerar vi dig. Du har en ovillkorlig rätt att stå utanför och att när som helst få dina uppgifter raderade ur registret.

Forskning. Postvirala tillstånd är underbeforskade, och det vill vi ändra på, men dina uppgifter används för forskning endast i enlighet med svensk forskningslagstiftning: efter godkännande av Etikprövningsmyndigheten och med separat information till dig om det specifika projektet (etikprövningslagen; GDPR art. 9.2 j). Denna policy är inte ett forskningssamtycke. Vid registrering kan du separat välja om vi får kontakta dig om framtida forskningsprojekt. Att tacka nej (eller inte svara) påverkar aldrig din vård.

9. Hur vi skyddar dina uppgifter

Krypterad överföring (all trafik över öppna nät krypteras); inloggning till din hälsoprofil med en engångskod till din e-post eller med e-legitimation (BankID), och e-legitimation när du bokar och skickar din profil till oss; rollbaserad åtkomststyrning med loggad och granskad journalåtkomst, pseudonymisering där det är möjligt samt datalagring inom EU/EES. Vårt ledningssystem (enligt SOSFS 2011:9) omfattar systematisk riskanalys och avvikelsehantering.

10. Bevarandetider i sammandrag

Uppgifter	Hur länge
Hälsoprofil i portalen, innan du bokar	Tills du raderar den, eller 24 månader efter att du senast använde den
Patientjournal, inklusive den profil och de filer du skickade när du bokade	≥ 10 år efter sista anteckningen (lagkrav)
Vårdstatistik och kvalitetssammanställningar	5 år från sammanställningen (journaluppgifterna i sig: enligt raden ovan)
Boknings-/administrativa uppgifter	Så länge ditt konto är aktivt, därefter enligt bokföringsreglerna
Fakturerings-/bokföringsunderlag	7 år (bokföringslagen)
Plattformsanvändning och feedback (produktförbättring)	3 år från insamlingen, eller tills du invänder
Väntelista och kontakt innan du är patient (e-post, meddelande)	Gås igenom 12 månader efter din anmälan eller vår senaste kontakt och raderas, om du inte fortfarande väntar på vård som vi har lovat att höra av oss om. Raderas direkt om du ber om det
Marknadsföring (befintlig kund-regeln och samtycken)	Tills du avregistrerar dig
Tekniska loggar/åtkomstloggar	Journalåtkomstloggar: minst 5 år (HSLF-FS 2016:40)

11. Dina rättigheter enligt GDPR

Rätten till tillgång, rättelse, begränsning, invändning och dataportabilitet gäller, med de begränsningar för patientjournalen som beskrivs i §4. Samtyckesbaserad behandling (din hälsoprofil innan du bokar, marknadsföring, valfria funktioner) kan återkallas när som helst utan att din vård påverkas. Kontakta dataskyddsombudet (§1) för alla förfrågningar; vi svarar inom en månad.

Klagomål på hur vi hanterar dina uppgifter: Integritetsskyddsmyndigheten (IMY), imy.se. (Klagomål på själva vården beskrivs i användarvillkoren, §10.)

12. Ändringar

Väsentliga ändringar meddelas på denna sida och, där det är lämpligt, till dig direkt. Datumet överst visar den aktuella versionen.