Integritetspolicy

Så behandlar vi dina personuppgifter.

Senast uppdaterad: 11 oktober 2026

Personuppgiftsansvarig

Neava Naprapatklinik är personuppgiftsansvarig för behandlingen av dina personuppgifter som vi samlar in när du besöker webbplatsen, kontaktar oss eller är patient hos oss.

För frågor om personuppgiftsbehandling, kontakta oss via info@neavakliniken.se.

Dataskyddsombud

Kliniken har bedömt att skyldighet att utse ett dataskyddsombud enligt artikel 37 GDPR inte föreligger. Bedömningen grundar sig på att verksamheten, en enskild naprapatklinik, inte utför sådan regelbunden och systematisk övervakning av registrerade i stor skala, eller behandling av särskilda kategorier av personuppgifter i stor skala, som artikeln avser. Detta är i linje med Europeiska dataskyddsstyrelsens (EDPB) vägledning om dataskyddsombud, där en enskild vårdgivare normalt inte anses bedriva storskalig behandling. Bedömningen omprövas om verksamheten förändras, exempelvis vid utökad personal eller anslutning till större vårdkedja.

Frågor som rör dina rättigheter enligt GDPR, eller klagomål, kan ändå alltid riktas till personuppgiftsansvarig via e-postadressen ovan.

Vilka uppgifter vi behandlar

Vid besök på webbplatsen

Vi använder ingen tredjeparts-tracking och inga cookies för spårning. Webbplatsen lagras hos Cloudflare, som har egen integritetspolicy för säkerhet och driftloggar.

Vid kontakt via formulär eller e-post

Om du skickar oss ett meddelande lagras ditt namn, e-postadress, telefonnummer (om angivet) och meddelandets innehåll. Vi använder dessa uppgifter för att besvara din förfrågan och spara så länge det behövs för ändamålet, dock max 12 månader om du inte blir patient.

När du bokar tid hos oss

När du bokar tid på neavakliniken.se sparar vi ditt namn, din e-postadress, ditt telefonnummer, vald behandling, behandlare och tid, samt det du eventuellt skriver i meddelandefältet. Vi använder uppgifterna för att hantera din bokning, skicka bekräftelse och avbokningslänk och kontakta dig om tiden behöver ändras. Betalning sker på plats på kliniken.

I meddelandefältet kan du kort beskriva dina besvär. Det du skriver är en uppgift om din hälsa. Den visas bara för klinikens behandlare, skickas aldrig med e-post och varje gång personalen öppnar bokningen loggas.

Bekräftelser och avbokningar via e-post innehåller bara tid, behandling, behandlare och länkar för att avboka eller boka en ny tid. De innehåller aldrig ditt namn, dina kontaktuppgifter eller ditt meddelande.

Varje gång någon i personalen öppnar eller ändrar en bokning loggas det. Loggen kan inte ändras, sparas i minst fem år och används för att kontrollera att bara behöriga tar del av uppgifterna.

När du är patient hos oss

Som vårdgivare är vi skyldiga att föra patientjournal enligt patientdatalagen (2008:355). Journalen innehåller ditt namn, ditt personnummer (eller födelsedatum om du saknar svenskt personnummer), dina kontaktuppgifter och de uppgifter om din hälsa som behövs för en god och säker vård, till exempel orsak till besöket, bakgrund, undersökning, bedömning, diagnos, behandling och plan.

Vi använder ditt personnummer för att säkert identifiera dig, så att uppgifter om dig hamnar i rätt journal. Personnumret lagras krypterat.

Varje anteckning signeras av den behandlare som har skrivit den. En signerad anteckning kan inte ändras. Behöver något rättas görs det i ett nytt, signerat tillägg där det framgår när rättelsen gjordes och av vem.

Bara behandlare som deltar i din vård får ta del av din journal. Varje gång någon i personalen läser, skriver i eller skriver ut din journal loggas det, och loggen kontrolleras regelbundet.

Rättslig grund

Behandlingen sker med stöd av följande rättsliga grunder:

  • Patientjournal: rättslig förpliktelse (artikel 6.1 c GDPR) att föra patientjournal enligt patientdatalagen (2008:355) 3 kap. Uppgifter om hälsa behandlas med stöd av artikel 9.2 h GDPR för att ge hälso- och sjukvård, med stöd av patientdatalagen 2 kap. 7 a § och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning 3 kap. 5 §. All personal har tystnadsplikt enligt patientsäkerhetslagen (2010:659) 6 kap. 12 §. Uppgifter i journalen får behandlas även om du motsätter dig det, med undantag för rätten till spärr nedan (patientdatalagen 2 kap. 2 §).
  • Bokningar: avtal (artikel 6.1.b GDPR) och fullgörande av vårduppdrag
  • Kontaktförfrågningar: berättigat intresse (artikel 6.1.f GDPR)
  • Marknadsföring (om du tackat ja): samtycke (artikel 6.1.a GDPR)

Lagringstider

  • Patientjournal: minst 10 år efter att den sista uppgiften fördes in i journalen, enligt patientdatalagen (2008:355) 3 kap. 17 §.
  • Logg över åtkomst till bokningar och journal: minst 5 år, enligt Socialstyrelsens föreskrifter HSLF-FS 2016:40 4 kap. 9 b §.
  • Bokningar och bokföring: 7 år enligt bokföringslagen (1999:1078) 7 kap. 2 §
  • Kontaktförfrågningar utan vidare relation: max 12 månader

Dina rättigheter

Enligt GDPR har du rätt att:

  • Få information om vilka uppgifter vi behandlar om dig
  • Begära rättelse av felaktiga uppgifter
  • Begära radering av uppgifter (med undantag för patientjournal som måste bevaras enligt lag)
  • Begränsa behandlingen
  • Invända mot behandling som sker på grund av berättigat intresse
  • Få ut dina uppgifter i ett strukturerat format (dataportabilitet)

Du har också rätt att lämna in klagomål till Integritetsskyddsmyndigheten ( imy.se (öppnas i ny flik)).

Särskilt om din patientjournal

  • Journalkopia. Du har rätt att läsa din journal eller få en kopia av den så snart som möjligt (patientdatalagen 8 kap. 2 §). Kopian innehåller alla signerade anteckningar och tillägg samt sammanfattningen och dess tidigare versioner. Den första kopian är kostnadsfri (artikel 15.3 GDPR).
  • Loggutdrag. Du har rätt att få veta vem i personalen som har tagit del av eller ändrat uppgifter om dig, och när (patientdatalagen 8 kap. 5 §).
  • Så begär du. Kontakta oss på info@neavakliniken.se, ring 0733-14 99 98 eller fråga i receptionen. Vi kontrollerar din identitet innan vi lämnar ut något. Vi svarar senast inom en månad (artikel 12.3 GDPR). Journalkopior skickas aldrig med vanlig e-post.
  • Rättelse. Uppgifter i en journal får inte tas bort eller göras oläsliga. Anser du att en uppgift är fel eller missvisande antecknar vi det i journalen, och fel rättas med ett tillägg (patientdatalagen 3 kap. 8 och 14 §§).
  • Radering. Rätten till radering gäller inte journalen så länge vi är skyldiga att bevara den (artikel 17.3 b GDPR). Du kan ansöka hos Inspektionen för vård och omsorg (IVO) om att journalen helt eller delvis förstörs (patientdatalagen 8 kap. 4 §).
  • Dataportabilitet och invändning gäller inte journalen, eftersom journalen förs på grund av en rättslig förpliktelse (artiklarna 20.1 och 21.1 GDPR).
  • Spärr. Du har rätt att motsätta dig att uppgifter som dokumenterats hos en vårdenhet görs elektroniskt tillgängliga för personal vid en annan vårdenhet hos oss (patientdatalagen 4 kap. 4 §). Kliniken har i dag en vårdenhet.
  • Sekretess och säkerhet. All personal har tystnadsplikt (patientsäkerhetslagen 6 kap. 12 §). Den som arbetar hos oss får bara ta del av uppgifter om dig om hen deltar i din vård eller annars behöver dem för sitt arbete (patientdatalagen 4 kap. 1 §). Åtkomst loggas och kontrolleras (patientdatalagen 4 kap. 3 §).
  • Uppgiftsskyldighet. I vissa fall kan vi enligt lag vara skyldiga att lämna uppgifter till myndigheter.
  • Sökbegrepp, direktåtkomst och utlämnande. Din journal söks fram med personnummer eller i klinikens patientlista. Andra vårdgivare har ingen direktåtkomst till din journal, och journalsystemet är inte anslutet till sammanhållen vård- och omsorgsdokumentation. Journalkopior lämnas ut som PDF eller på papper (patientdatalagen 5 kap. 6 §).
  • Skadestånd. Du har rätt till ersättning för skada som orsakats av behandling av personuppgifter i strid med reglerna (artikel 82 GDPR och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning 7 kap. 1 §).

Tredjepartstjänster

Vi använder följande leverantörer som personuppgiftsbiträden. De får bara behandla uppgifterna enligt våra instruktioner.

  • Supabase (Supabase, Inc.): databas och inloggning för bokningssystemet och patientjournalen. Uppgifterna lagras inom EU (Stockholm). Supabase personuppgiftsbiträdesavtal ingår i deras villkor och använder EU-kommissionens standardavtalsklausuler för eventuell överföring utanför EES.
  • Cloudflare (Cloudflare, Inc.): driftmiljö för bokningssidan och webbplatsen samt för personalens system där journalen visas och journalkopior skapas. Journaluppgifter behandlas där när sidorna visas, samt DNS och säkerhet. Överföring till USA sker med stöd av EU-US Data Privacy Framework och, i andra hand, EU-kommissionens standardavtalsklausuler.
  • Resend (Plus Five Five, Inc.): utskick av bokningsbekräftelser och avbokningar. Inga journaluppgifter skickas med e-post. E-posten skickas från EU (Irland), men Resend lagrar kontodata, e-postmetadata, loggar och API-uppgifter i USA. Överföringen sker med stöd av EU-US Data Privacy Framework och EU-kommissionens standardavtalsklausuler.
  • Google Workspace (Google): klinikens e-post och personalens inloggning till bokningssystemet och journalen, med tvåstegsverifiering. När du kontaktar oss via e-post lagras meddelandet i Gmail. Personalens aviseringar om nya bokningar innehåller inte ditt namn eller dina kontaktuppgifter.
  • Klang (Klang AI AB, org.nr 559378-4571, Helsingborg): tjänst som gör om ett inspelat samtal till text. Kliniken använder Klang som personuppgiftsbiträde när personuppgiftsbiträdesavtal har ingåtts. Till dess spelas inga samtal med patienter in, och behandlaren skriver journalen själv. När Klang används gäller följande: om du samtycker spelar behandlaren in samtalet i Klangs app, Klang gör om ljudet till text, och behandlaren läser, rättar och för in texten i journalen. Du kan säga nej utan att det påverkar din vård, och datumet för ditt samtycke antecknas i journalen. Klangs tjänst drivs hos Scaleway i Frankrike, och Klang använder inte innehållet för att träna AI. Innan inspelningen börjar uppdaterar vi denna policy med Klangs underbiträden, om uppgifter överförs utanför EU/EES och hur länge ljud och text sparas.
  • Sanity: innehållshantering för webbplatsen. Behandlar inga patientuppgifter.
  • Domeneshop: domänregistrar. Behandlar inga patientuppgifter.

Säkerhet

Vi tillämpar tekniska och organisatoriska säkerhetsåtgärder för att skydda dina uppgifter, bland annat HTTPS-kryptering, inloggning med tvåstegsverifiering för personalen, behörighet till journalen bara för behandlare som deltar i din vård, krypterat personnummer och en logg över all åtkomst som inte kan ändras.

Ändringar i denna policy

Vi kan komma att uppdatera denna integritetspolicy. Datumet för senaste uppdatering visas högst upp på denna sida.