Dataskyddsbeskrivning

Hur Treat behandlar dina uppgifter.

Uppdaterad 15 juli 2026. Sama suomeksi · Same in English.

Denna dataskyddsbeskrivning omfattar hälsoappen Treat: insamlingen av patientens förhandsuppgifter, den samtalsbaserade symtomkartläggningen och den bedömning som görs av en yrkesutbildad person inom hälso- och sjukvården.

Hälsoappen Treat (endast Google Cloud)

Själva appen körs i Google Cloud i Finland (region europe-north1, avgränsad med Assured Workloads EU Data Boundary). Cloudflare ingår inte i appens dataflöde. Punkterna nedan följer strukturen för en finländsk dataskyddsbeskrivning.

1 — Personuppgiftsansvariga

Treats tjänst har två personuppgiftsansvariga, beroende på vilka uppgifter det gäller.

Treat Health Oy (FO-nummer 3618620-6), Helsingfors, är personuppgiftsansvarig för uppgifterna om ditt användarkonto och din användning av plattformen (nedan kontouppgifter): identifierings- och kontaktuppgifter, autentisering, godkännanden av användarvillkoren och samtycken till marknadsföring, fakturering, tjänsteloggar och respons.

Den yrkesutbildade person inom hälso- och sjukvården som gör bedömningen — en läkare, sjukskötare, terapeut eller annan yrkesutbildad person som registrerats av Tillstånds- och tillsynsverket och verkar som självständig serviceproducent — är personuppgiftsansvarig för de patientuppgifter som uppstår i vårdrelationen, det vill säga för patientregistret enligt lagen om patientens ställning och rättigheter (785/1992, nedan patientlagen); dessa uppgifter kallas nedan uppgifter i patientregistret. Treat Health Oy behandlar uppgifterna i patientregistret för den yrkesutbildade personens räkning som personuppgiftsbiträde (GDPR art. 28). Den yrkesutbildade personen omfattas av tystnadsplikt enligt 17 § i lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994).

2 — Kontaktuppgifter

I dataskyddsfrågor kan du kontakta oss på adressen [email protected]. Samma adress gäller också ärenden som rör uppgifterna i patientregistret: vi vidarebefordrar din begäran till den yrkesutbildade person som är personuppgiftsansvarig. Du kan alltid lämna in klagomål till Dataombudsmannens byrå, Bangårdsvägen 9, 00520 Helsingfors.

3 — Ändamål med och rättslig grund för behandlingen

4 — Uppgifter som behandlas

Kontouppgifter (personuppgiftsansvarig Treat Health Oy):

• Identifierings- och kontaktuppgifter: namn, personbeteckning, e-postadress, telefonnummer, kontaktspråk och en permanent identifierare från autentiseringen.
• Samtycken: godkännande av Treats användarvillkor samt eventuellt samtycke till marknadsföring.
• Faktureringsuppgifter: fakturarader, betalningens status och vid behov identifierare för FPA-ersättningar.
• Tjänsteloggar: IP-adress, tidsstämplar för förfrågningar och uppgifter om webbläsaren; personbeteckningen och fritt formulerade kliniska fält tas bort ur loggarna redan på applikationsnivå.
• Respons: vitsord för tjänsten, vitsord för den yrkesutbildade personen och en fritt formulerad kommentar.

Uppgifter i patientregistret (personuppgiftsansvarig den yrkesutbildade person som gör bedömningen; Treat som personuppgiftsbiträde):

• Uppgifter om vårdnadshavare när patienten är minderårig: vårdnadshavarens namn, personbeteckning och kontaktuppgifter samt en uppgift som visar vårdnaden.
• Kanta-samtycke: samtycke till hämtning av Kanta-uppgifter (omfattning, textversion och tidsstämpel).
• Kliniska förhandsuppgifter: symtom och svar som du skriver eller dikterar, allergier, läkemedel som du använder och relevanta tidigare hälsouppgifter.
• Samtalslogg från AI-assistenten: strukturerade följdfrågor och dina svar, utifrån vilka ett förberedande sammandrag sammanställs för den yrkesutbildade person inom hälso- och sjukvården som gör bedömningen.
• Ärende och beslut: sammandraget från den yrkesutbildade person inom hälso- och sjukvården som gör bedömningen, preciserande meddelanden, recept eller remisser som utfärdats via Treat samt ärendets status.
• Kanta-uppgifter som du har gett ditt samtycke till att vi hämtar (recept, handlingar som du valt) — de kopieras tillfälligt till ärendet och sparas inte längre än lagringstiden.

5 — Uppgiftskällor

• Från dig själv, när du registrerar dig, för ett samtal eller skickar ett formulär.
• Från den yrkesutbildade person inom hälso- och sjukvården som gör bedömningen, när personen lägger till anteckningar, beslut eller preciserande meddelanden i ditt ärende.
• Från den nordiska identifieringsförmedlingstjänsten Idura vid inloggningen: namn, personbeteckning (eller motsvarande nordisk identifierare) och en permanent OIDC-identifierare — hela flödet beskrivs i punkt 10.
• Från det nationella Kanta-arkivet, när du uttryckligen har samtyckt till att en handling hämtas.
• Automatiskt genererade av våra servrar i samband med att tjänsten används (ärendeidentifierare, tidsstämplar, loggar).

6 — Lagringstider

För lagringen av uppgifterna i patientregistret ansvarar den yrkesutbildade person som är personuppgiftsansvarig; Treat lagrar uppgifterna för dennes räkning. Patientuppgifter lagras i enlighet med bestämmelserna om förvaring av journalhandlingar (patientlagen och social- och hälsovårdsministeriets förordning om journalhandlingar 298/2009): vanligtvis 12 år efter patientens död eller 120 år efter födelsen. Uppgifter om samtycken lagras lika länge, så att det vid behov kan visas att samtycket funnits. Fakturerings- och bokföringsmaterial: sex år (bokföringslagen). Tjänsteloggar: som standard 90 dygn; längre endast när det behövs för en särskilt angiven informationssäkerhetsutredning.

7 — Utlämnande av uppgifter

Personuppgifter lämnas ut endast när det finns en laglig grund för det. Om utlämnande av uppgifter i patientregistret beslutar den yrkesutbildade person som är personuppgiftsansvarig.

• Kanta (det nationella hälsoarkivet som upprätthålls av FPA): den yrkesutbildade person som gör bedömningen ansvarar för journalanteckningarna; Treat lämnar recept, journalhandlingar och tillhörande strukturerade uppgifter till Kanta för den yrkesutbildade personens räkning i enlighet med lag och ditt samtycke.
• Andra aktörer inom hälso- och sjukvården, när du samtycker till det eller när lagen kräver det (till exempel för vårdens kontinuitet, 13 § i patientlagen).
• Myndigheter (domstolar, polisen, Skatteförvaltningen, socialförsäkringsinrättningar och tillsynsmyndigheter), när det finns en laglig grund för begäran.
• En köpare av Treats affärsverksamhet i samband med ett företagsarrangemang; på uppgifterna tillämpas då samma skyddsåtgärder, och vi meddelar dig om överföringen.
• Inkassobolag och juridiska ombud endast i den mån indrivningen av en obetald faktura kräver det.

Vi lämnar inte ut dina uppgifter till annonsörer eller dataförmedlare och vi säljer inte dina uppgifter.

8 — Personuppgiftsbiträden (underleverantörer)

Följande parter behandlar personuppgifter för Treats räkning med stöd av ett undertecknat personuppgiftsbiträdesavtal (GDPR art. 28). I fråga om uppgifterna i patientregistret verkar de som underbiträden i kedjan yrkesutbildad person → Treat → nedan nämnt personuppgiftsbiträde:

När vi lägger till eller byter ett personuppgiftsbiträde uppdaterar vi denna förteckning innan det nya biträdet börjar behandla uppgifter. Gällande undertecknade avtal kan du när som helst begära på adressen [email protected].

Kanta (FPA) är inte personuppgiftsbiträde i denna kedja. Kanta är ett separat nationellt register som upprätthålls av FPA och har sin egen lagstadgade grund; den yrkesutbildade person som är personuppgiftsansvarig för patientregistret och FPA är självständiga personuppgiftsansvariga för de uppgifter som utbyts med ditt uttryckliga samtycke.

9 — AI-stödd symtomkartläggning

Samtalet för symtomkartläggning använder Googles tjänst Vertex AI (Gemini) inom EU (eu.rep.googleapis.com). Vi stänger av cachelagringen av prompter och anropar tjänsten med autentisering via ett tjänstekonto — vi använder inte den Gemini-tjänst som riktar sig till konsumenter. Gemini ställer endast strukturerade följdfrågor; den ställer inte diagnoser, fattar inte vårdbeslut, bedömer inte hur brådskande ärendet är och fattar inte heller sådana automatiserade beslut som avses i artikel 22 i GDPR — vårdbeslutet fattas alltid av den yrkesutbildade person inom hälso- och sjukvården som gör bedömningen. Vi har ansökt om undantag för Treats projekt från loggningen inom Googles övervakning av missbruk; tills undantaget har beviljats utgår vi inte från att inga uppgifter alls lagras för Gemini-anropen och markerar detta tydligt i våra interna loggar.

10 — Stark autentisering (Idura)

För att uppfylla de identifieringskrav som ställs på en hälsotjänst sker inloggningen via Idura ApS (danskt bolag, CVR 35142207, Gammel Kongevej 3E, 1610 København V; dataskyddsbeskrivning). Idura är en nordisk identifieringsförmedlingstjänst som förmedlar de nationella identifieringsverktygen för vår räkning, så att vi inte behöver integrera var och en separat:

• Finland: bankidentifiering via Finnish Trust Network och Mobilcertifikat.
• Sverige: BankID och Freja ID.
• Norge: BankID och Vipps.
• Danmark: MitID.

Hur autentiseringen går till. Din webbläsare styrs till Idura, som styr dig vidare till leverantören av den identifieringsmetod du valt. Leverantören verifierar din identitet (till exempel med fingeravtryck, PIN-kod eller bekräftelsekod), varefter Idura returnerar en signerad OpenID Connect-token till Treat. Treat sparar endast de uppgifter ur denna token som behövs: namn, nationell identifierare (personbeteckning eller motsvarande nordisk identifierare) och en permanent identifierare med vars hjälp du känns igen vid senare inloggningar.

Roller. Idura är vårt personuppgiftsbiträde i fråga om förmedlingen av identifieringshändelsen och är bundet av ett personuppgiftsbiträdesavtal (se punkt 8). De bakomliggande utfärdarna av identifieringsverktyg — banker, teleoperatörer, MitID, Freja och andra — är för egen del självständiga personuppgiftsansvariga för identifieringshändelsen och publicerar sina egna dataskyddsbeskrivningar. Treat får aldrig dina nätbankskoder, din MitID-kod eller dina biometriska uppgifter — endast de verifierade personuppgifter som räknas upp ovan.

Var uppgifterna rör sig. Idura förbinder sig i sin egen dataskyddsbeskrivning att identifieringstrafiken och tillhörande personuppgifter stannar inom Europeiska unionen — Idura överför inte sådana uppgifter utanför EU. Uppgifterna om identifieringshändelsen finns hos Idura endast tillfälligt, och inte heller vi sparar dem längre än inloggningen varar; de permanenta uppgifterna finns i ditt Treat-konto (se punkterna 4 och 6).

Iduras egna underleverantörer. Idura publicerar sin förteckning över underleverantörer på adressen trustcenter.idura.eu/subprocessors. Vid denna dataskyddsbeskrivnings datering omfattar förteckningen Microsoft Azure (Irland / Nederländerna) och AWS (Tyskland) som driftsleverantörer för identifieringstrafiken samt HubSpot som Iduras interna CRM-system — HubSpot tar inte emot Treats identifieringsuppgifter. Idura har intyg (attesteringar) avseende FTN, MitID, NSIS, DORA, GDPR och NIS 2.

Tillitsnivå. Vi kräver att identifieringen uppfyller FTN:s tillitsnivå väsentlig (eng. substantial; i de andra nordiska länderna motsvarande nivå), som finländska myndigheter kräver för åtkomst till hälsotjänster.

11 — Internationella överföringar

Personuppgifterna stannar inom EES. Treats uppgifter är genom avtal avgränsade till EU-regioner för alla personuppgiftsbiträden (Google Cloud europe-north1 och avgränsningen Assured Workloads EU Data Boundary; Cloudflares EU-datalokalisering; Idura endast inom EU, se punkt 10). Om ett framtida undantagsfall skulle kräva en överföring utanför EES, använder vi standardavtalsklausuler som godkänts av Europeiska kommissionen och meddelar dig om det.

12 — Informationssäkerhet

Våra konkreta åtgärder enligt artikel 32 i GDPR:

• Kryptering i vila: databasen, objektlagringen och hemligheterna krypteras med kundhanterade KMS-nycklar i regionen europe-north1.
• Kryptering under överföring: TLS 1.2 eller nyare på alla slutpunkter; databasen godkänner endast krypterade förbindelser.
• Principen om minsta behörighet: åtkomsträttigheterna till produktionsmiljön är begränsade per tjänstekonto med Googles IAM; det finns inga delade inloggningsuppgifter, och användningen loggas.
• Stark autentisering för patienter (identifiering via Idura) och nyckelbaserad inloggning (passkey); lösenord skyddas med hashalgoritmen Argon2.
• Pseudonymisering och maskering: personbeteckningen och fritt formulerade kliniska fält tas bort ur tjänsteloggarna på applikationsnivå.
• Säkerhetskopior med återställning till en given tidpunkt (point-in-time recovery), krypterade med samma KMS-nycklar och lagrade inom de lagstadgade gränserna.
• Sekretessförbindelser i varje arbets- och underleverantörsavtal; yrkesutbildade personer inom hälso- och sjukvården omfattas dessutom av 17 § i lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994).
• Hantering av personuppgiftsincidenter: vi anmäler en incident till dataombudsmannen inom 72 timmar och informerar berörda användare utan onödigt dröjsmål, när tröskeln för anmälan enligt GDPR överskrids.

13 — Den registrerades rättigheter

Du har rätt att få tillgång till dina uppgifter och att begära att de rättas eller raderas eller att behandlingen begränsas, att få dina uppgifter överförda till en annan personuppgiftsansvarig, att återkalla ett samtycke som du gett och att invända mot behandling som grundar sig på berättigat intresse. En del av rättigheterna är begränsade när uppgifterna hör till ett patientregister enligt patientlagen. Kontakta oss på adressen [email protected] — vi svarar inom en månad och vidarebefordrar begäranden som gäller uppgifterna i patientregistret till den yrkesutbildade person som är personuppgiftsansvarig. Du har också alltid rätt att lämna in klagomål till Dataombudsmannens byrå.

14 — Kakor

Appen använder endast nödvändiga kakor (session, CSRF-skydd och språkval). Inga reklam- eller analyskakor från tredje part sätts. Marknadsföringssidan kan sätta en anonym analyskaka från första part, som beskrivs i sidans eget meddelande om kakor.

15 — Ändringar

Om vi gör väsentliga ändringar i denna dataskyddsbeskrivning uppdaterar vi datumet överst på sidan och meddelar ändringen i förväg, innan den träder i kraft, till användare som är inloggade i appen.