Integritetspolicy för Vården.se

Version 2026-10-26 · Gäller från 26 oktober 2026.

Här beskriver vi hur vi behandlar personuppgifter när du besöker Vården.se, söker information, använder våra egna medlemstjänster och vår AI-assistent, kontaktar en vårdgivare genom oss eller deltar i de övriga funktioner som beskrivs här. Vid en viss funktion får du även information som gäller just den behandlingen. Att läsa eller använda tjänsten innebär inte att du samtycker till allt som beskrivs i policyn.

1. Vem ansvarar och hur kontaktar du oss?

Vården Online Sverige AB, organisationsnummer 556759-3156, Narvavägen 12, 115 22 Stockholm, är personuppgiftsansvarig för behandlingen i våra egna tjänster. Kontakta oss på gdpr@varden.se om personuppgifter och rättigheter, eller info@varden.se i andra frågor.

En vårdgivare ansvarar själv för sin vård, journalföring och den patientadministration som vårdgivaren bestämmer över. När vi tillhandahåller en boknings-, kontakt- eller assistentfunktion på vårdgivarens uppdrag kan vi vara personuppgiftsbiträde. Då styr vårdgivaren ändamålen, den rättsliga grunden och hur länge uppgifterna ska sparas. Vårdgivarens identitet och information ska framgå i det aktuella flödet. Vårt ansvar för egna konton, säkerhet och andra egna ändamål beskrivs i denna policy. En bokning gör inte all behandling i våra egna tjänster till vårdgivarens behandling.

2. Vilka uppgifter får vi och varifrån?

Vi får uppgifter som du själv lämnar, exempelvis namn, e-postadress, telefonnummer, kontoinställningar, önskemål, meddelanden och innehåll som du publicerar. När en funktion kräver säker identifiering kan vi behandla personnummer, namn och ett resultat av identifieringen från identifieringstjänsten. Vi använder inte personnummer för allmän marknadsföring.

I AI-chatten får vi de frågor och svar som ingår i samtalet, samtalsreferenser och uppgifter som behövs för de funktioner du väljer. Om du använder röst behandlas din röst under samtalet och tal kan omvandlas till text. Dina frågor, en vald specialitet, en bokning eller en berättelse kan avslöja hälsa även om du inte anger någon diagnos. Lämna inte fler uppgifter än frågan kräver och undvik uppgifter om andra personer.

Vi får också tekniska uppgifter när du använder tjänsten, exempelvis IP-adress, webbläsare, tidpunkt, sidförfrågningar, sessionsuppgifter, säkerhetshändelser och dina cookieval. Ett besök utan inloggning innebär därför inte att inga personuppgifter behandlas.

Den vårdgivare eller leverantör som du väljer kan lämna uppgifter som behövs för att visa tillgänglighet, bekräfta eller ändra din bokning och återkoppla på din förfrågan. Vi hämtar inte rutinmässigt din patientjournal för informationssökning. Uppgifter om yrkesverksamma i vår katalog kan komma från vårdgivaren, personen själv och offentliga verksamhetsregister eller webbplatser.

3. Ändamål och rättsliga grunder

Vi använder olika rättsliga grunder för olika ändamål. Ett avtalsgodkännande och ett samtycke är skilda saker.

Öppen webbplats och sökning. Vi behandlar de tekniska uppgifter och sökval som behövs för att leverera efterfrågade sidor och sökresultat. När inget avtal behövs stödjer vi nödvändig teknisk drift på en intresseavvägning, artikel 6.1 f i GDPR. Vårt berättigade intresse är att kunna erbjuda en fungerande och säker informations- och söktjänst. Frivillig spårning och personanpassning får inte stöd enbart av detta intresse; se punkt 8. Vi använder inte detta som ett generellt undantag för att bygga hälsoprofiler av dina sökningar.

Konto och medlemskap. Vi behandlar de konto-, kontakt- och inställningsuppgifter som behövs för att tillhandahålla medlemskapet och de funktioner du begär, artikel 6.1 b. Dit hör inloggning, sparade alternativ och nödvändiga servicebesked. Om du inte lämnar uppgifter som behövs för en viss funktion kan vi inte tillhandahålla just den funktionen. Du kan fortfarande använda öppna funktioner som inte behöver dem.

Vår egen AI-assistent och hälsouppgifter. Det är frivilligt att använda den kontoanknutna AI-assistenten. För att behandla frågor, svar och sammanhang som kan innehålla hälsouppgifter i text eller röst, svara på dina informationsfrågor och tillhandahålla samtalshistoriken ber vi om ett särskilt uttryckligt samtycke. Grunderna är artikel 6.1 a och undantaget i artikel 9.2 a. Samtycket gäller det beskrivna informationsändamålet. Det omfattar inte hälsoprofilering för reklam, utlämnande till annonsplattformar eller träning av allmänna AI-modeller. Läs punkt 4 innan du väljer.

Bokning, kontakt och bevakning. För vår egen förmedling och administration behandlar vi uppgifter som behövs för den åtgärd du ber om, artikel 6.1 b. Om hälsouppgifter ska behandlas för ett eget ändamål ber vi om uttryckligt samtycke där det behövs, artikel 6.1 a och 9.2 a. När vi i stället behandlar patientuppgifter på vårdgivarens instruktioner gäller den grund och det undantag för känsliga uppgifter som vårdgivaren ansvarar för. Vårdgivarens möjlighet att använda vårdregler innebär inte att vi får använda samma uppgifter för egna, fristående ändamål. Frivilliga bevakningar avslutas när du stänger av dem.

Omdömen och diskussioner. Vi behandlar ditt bidrag och de uppgifter som behövs för att tillhandahålla publiceringsfunktionen, artikel 6.1 b. Moderering, att motverka falska omdömen och att hantera anmälningar stödjer vi på en intresseavvägning, artikel 6.1 f. Intresset är en tillförlitlig och trygg tjänst. Publicera inte andras känsliga uppgifter. Om du själv vill publicera hälsouppgifter behöver behandlingen också ett tillämpligt undantag i artikel 9. När vi ber om samtycke till en sådan publicering är det ett separat uttryckligt val enligt artikel 9.2 a. Vi behandlar inte en privat berättelse eller bara ett medlemskap som att du har offentliggjort hälsouppgifter. Se även punkt 6 om offentlig spridning.

Frivilliga utskick och undersökningar. Nyhetsbrev och erbjudanden bygger på ditt separata samtycke, artikel 6.1 a, och tillämpliga regler om elektronisk marknadsföring. En egen anmälan till en intervju eller undersökning används för att hantera det deltagande som beskrivs vid anmälan, med den rättsliga grund som anges där. Den blir inte automatiskt en reklamprenumeration. Se punkt 5.

Säkerhet, support och rättsliga skyldigheter. Begränsade uppgifter behövs för att besvara dina frågor, hantera fel och förhindra obehörig användning. Avtalsanknuten support omfattas av artikel 6.1 b; nödvändig säkerhet och missbruksbekämpning av artikel 6.1 f, med vårt och användarnas intresse av att skydda tjänsten. När en bestämd lag kräver en behandling använder vi artikel 6.1 c. Att fastställa, göra gällande eller försvara ett konkret rättsligt anspråk kan stödjas på artikel 6.1 f och, endast när det är nödvändigt för anspråket, artikel 9.2 f. Detta ger inte rätt att spara alla hälsouppgifter för framtida, ospecificerade tvister.

Yrkesuppgifter i vårdgivarkatalogen. Vi visar relevanta yrkes-, kvalifikations- och verksamhetskontaktuppgifter för att hjälpa besökare att hitta och kontakta rätt vårdgivare. När vi själva ansvarar för publiceringen är grunden artikel 6.1 f: vårt, vårdgivarens och besökarnas intresse av aktuell och relevant vårdinformation. Du kan kontakta oss för rättelse eller invända. Uppgifterna gäller yrkesrollen; vi hämtar inte privata hälsouppgifter för katalogen.

4. Ditt val för AI-chatten

Innan du lämnar samtycke får du veta att Vården Online Sverige AB använder de uppgifter du själv lämnar i AI-chatten, i text och röst, för att svara på informationsfrågor och visa din historik. Google Cloud behandlar det samtalsinnehåll som behövs för att skapa svar; lagring och övriga mottagare beskrivs i punkt 6. Egen samtalshistorik sparas i 730 dagar efter det senaste meddelandet i varje konversation, om du inte begär radering tidigare och det inte finns ett konkret lagligt undantag.

Du kan avstå från samtycket och ändå använda medlemsfunktioner och öppen informationssökning som inte behöver denna behandling. Du kan när som helst återkalla samtycket i kontoinställningarna eller genom gdpr@varden.se. Återkallelsen stoppar fortsatt behandling för det samtyckesbaserade ändamålet, även i ett pågående samtal. Den påverkar inte lagligheten av det som redan har gjorts. När du återkallar hälsosamtycket raderar vi dina kopplade AI-konversationer ur aktiv användning. Begränsade undantag för lagkrav eller konkreta rättsliga anspråk och kvarvarande återställningskopior beskrivs i punkt 9. Du kan också begära radering utan att avsluta hela medlemskapet. Vi byter inte till intresseavvägning enbart för att fortsätta samma behandling efter att du återkallat samtycket.

AI-assistenten är ett automatiserat informationsverktyg och kan ge felaktiga svar. Den fattar inte beslut om din rätt till vård, försäkring eller ersättning. För information om tjänstens användningsområde, läs användarvillkoren. Samtycke till databehandling ersätter inte en medicinsk bedömning.

5. Nyhetsbrev, erbjudanden och anpassning

Du kan välja att få Vården.se:s nyheter, guider, tips, undersökningar och erbjudanden inom hälsa och vård. Utskicken kan även innehålla erbjudanden från våra samarbetspartner, men skickas av Vården.se. De innebär inte att samarbetspartner får dina kontaktuppgifter för egen reklam. Du väljer de kontaktkanaler som erbjuds. Vi använder e-postadress och prenumerationsval för e-postutskick; ett eventuellt SMS-val behöver ditt telefonnummer och ett eget kanalval.

Nyhetsbrev är frivilliga och ett nej påverkar inte medlemskap, bokning eller annan oberoende funktion. Du kan när som helst avsluta via avregistreringslänken i e-postutskick, det avslutssätt som anges för en annan vald kanal eller genom att kontakta oss. Nödvändiga boknings-, konto- och säkerhetsbesked skickas oberoende av reklamvalet.

Om vi erbjuder anpassning efter vanliga intressen anges uppgifterna och ändamålet vid det valet. Anpassning med hälsouppgifter behöver ett separat uttryckligt samtycke där det framgår exakt vilka hälsorelaterade intressen som får användas. Om en namngiven partner ska få uppgifter för egen marknadsföring krävs ett särskilt val med information om mottagaren. Dessa möjligheter aktiveras inte av att du godkänner användarvillkoren eller ett vanligt nyhetsbrev.

Vi använder inte din AI-historik, dina bokningar eller dina hälsorelaterade sökningar för reklam med stöd av ett vanligt utskickssamtycke. Reklamens samtycke omfattar inte heller automatiskt spårning av öppningar och klick med icke nödvändig teknik; sådana val hanteras separat när de krävs.

6. Vilka får uppgifter?

Vi ger tillgång till uppgifter som behövs för det beskrivna ändamålet. Behöriga medarbetare och anlitad support omfattas av sekretess och begränsade behörigheter. Leverantörer som behandlar uppgifter på vårt uppdrag omfattas av personuppgiftsbiträdesavtal. En leverantör får inte därför använda hälsouppgifter för egna fria marknadsföringsändamål.

• Vercel tillhandahåller webb- och applikationsdrift. Supabase med underleverantören AWS tillhandahåller databaser och säkerhetskopiering. Databasernas primära lagring finns i Stockholm.
• Clerk hanterar inloggning och kontoidentitet i de tjänster som använder Clerk. BankID och anslutna identifieringstjänster används där du väljer ett BankID-flöde. Inloggningsleverantörerna behöver identitets- och sessionsuppgifter, inte innehållet i din AI-konversation.
• Google Cloud tillhandahåller AI-bearbetning och infrastruktur för vår egen AI-assistent. För den tjänsten används den förstärkta vägen till Googles europeiska AI-endpoint för text och röst. Samtalsinnehåll och de verktygsresultat som behövs för svaret behandlas där. Röst kan bli text och ingå i historiken. Det är inte ett löfte om att ingen teknisk leverantörskopia eller säkerhetsbehandling någonsin förekommer. Google kan under tillämpliga tjänstevillkor lagra misstänkta AI-frågor i upp till 90 dagar för att utreda missbruk, med möjlig granskning av behörig personal. Vi ger inte tillstånd till träning av Googles allmänna modeller på din konversation.
• Sentry och driftleverantörernas loggtjänster används för fel- och säkerhetshantering med begränsade tekniska uppgifter. De är inte avsedda som lagringsplats för dina hälsofrågor.
• Mailchimp, inom Intuit, hanterar e-postadress, prenumerationsval och samtyckesunderlag när du väljer våra nyhetsbrev. Din AI-konversation lämnas inte till Mailchimp för utskick.
• Den vårdgivare du väljer och dess boknings- eller journalsystem får uppgifterna som behövs för den bokning eller förfrågan du skickar. Vårdgivaren ansvarar för sin fortsatta behandling. Om ett särskilt telefonflöde använder en telefonileverantör, exempelvis Telnyx, omfattar det telefonnummer, kopplingsuppgifter och ljud i den kanalen. Det innebär inte att en vanlig textfråga skickas till en telefonileverantör.
• En betalningsleverantör får nödvändiga betalningsuppgifter om den funktion du valt kräver en betalning. Mottagare och betalningsvillkor visas i betalningsflödet.

Om du publicerar ett omdöme eller inlägg blir det innehåll som visas offentligt tillgängligt för andra besökare och kan hittas av sökmotorer eller kopieras av andra. De kontaktuppgifter som bara används för verifiering ska inte visas som offentlig del av bidraget. Var därför försiktig med vad du väljer att offentliggöra.

Uppgifter kan behöva lämnas till en myndighet när lag kräver det och till juridiska rådgivare för ett konkret rättsligt ärende. En företagsöverlåtelse ger inte fri rätt att använda uppgifterna för andra ändamål; en sådan behandling behöver egen laglig grund, skyddsåtgärder och information när lagen kräver det.

7. Behandling utanför EU/EES

Att vår huvudsakliga databas finns i Sverige eller att AI använder en europeisk endpoint betyder inte att all behandling stannar inom EU/EES. Konto-, drift-, support- och utskicksleverantörer kan behandla uppgifter eller ge åtkomst utanför EU/EES. Bland våra leverantörer finns bolag i USA och Singapore. Clerk har exempelvis kontobehandling i USA. De uppgifter som berörs beror på funktionen; ett utskicksavtal ger inte rätt att överföra hela din hälsohistorik.

Överföringar ska ha stöd i ett tillämpligt beslut om adekvat skyddsnivå eller andra tillåtna skyddsåtgärder, normalt EU-kommissionens standardavtalsklausuler med bedömning av mottagarland och kompletterande skydd där det behövs. För en certifierad amerikansk mottagare kan EU–US Data Privacy Framework vara tillämpligt. Vi använder inte ditt godkännande av policyn eller ditt vanliga hälsosamtycke som ett generellt samtycke till tredjelandsöverföringar. Kontakta gdpr@varden.se för information om mottagare och länder i en viss behandling och en kopia av tillämpliga skyddsåtgärder.

8. Cookies och liknande teknik

Nödvändig teknik används för att leverera funktioner du begär, exempelvis inloggning, säkerhet och att komma ihåg ditt integritetsval. Frivillig statistik-, personaliserings- och marknadsföringsteknik väljer du separat i cookieinställningarna. Där får du information om aktuella mottagare, ändamål och varaktighet. Du kan ändra eller återkalla valet där.

Ett nej till frivilliga cookies tar inte bort tillgången till funktioner som inte behöver dem. Ett godkännande av användarvillkoren eller nyhetsbrevet ersätter inte cookievalet. Vi beskriver inte spårning som anonym enbart för att namn saknas; uppgifter som kan knytas till en person omfattas fortfarande av dataskyddsreglerna.

9. Hur länge sparas uppgifter?

Perioderna gäller olika kategorier och räknas inte om enbart för att du besöker en annan del av tjänsten.

• Egen AI-samtalshistorik: 730 dagar efter det senaste meddelandet i varje konversation. Kopplade sammanfattningar och andra härledda samtalsuppgifter följer samma frist. Aktivitet i en annan konversation eller vanlig inloggning förlänger inte den. Tidigare radering kan följa av din begäran eller återkallat samtycke.
• Konto, inställningar och sparade alternativ: under tiden du har kontot och begär funktionerna. Vid avslut raderas eller avskiljs uppgifter som inte längre behövs. Ett avslut av inloggningen är inte i sig ett besked om att alla uppgifter i andra system har raderats.
• Avtals- och samtyckesbevis: de uppgifter som behövs för att visa vilken text du fick se, ditt val och tidpunkten medan vi förlitar oss på godkännandet. Efteråt begränsas bevarandet till vad som behövs för att hantera en återkallelse eller styrka efterlevnad och konkreta rättsliga anspråk under den tillämpliga fristen. Detta är inte en grund för att behålla samtalsinnehåll lika länge.
• Nyhetsbrev: kontakt- och prenumerationsuppgifter så länge prenumerationen gäller. Efter avregistrering kan ett begränsat samtyckesunderlag och en spärruppgift behöva behållas för att visa det tidigare valet och förhindra nya oönskade utskick. Uppgifterna får då inte användas för reklam.
• Boknings- och kontaktärenden: egna förmedlingsuppgifter tills ärendet, återkopplingen och nödvändig uppföljning har hanterats; därefter bara uppgifter som behöver behållas för en bestämd skyldighet eller ett konkret anspråk. Patientuppgifter som vårdgivaren ansvarar för följer dennes regler, inte vår AI-historiks 730 dagar.
• Omdömen och inlägg: det offentliga bidraget medan det är publicerat och relevant för tjänstens ändamål. Verifierings- och modereringsunderlag begränsas till den tid som behövs för att kontrollera bidraget och hantera anmälningar eller tvister. Du kan begära radering; vi prövar den enligt tillämpliga regler, bland annat om andras yttrandefrihet.
• Support, säkerhetsloggar och leverantörsdata: under den tid som behövs för det aktuella ärendet, felsökningen eller säkerhetsutredningen och den aktuella leverantörens avtalade loggrotation. Vi begränsar innehållet och använder inte tekniska loggar som en separat, obegränsad historik över dina hälsofrågor. Vanliga Cloud Logging-poster roterar efter 30 dagar. Där röstdiagnostik finns är perioden 30 dagar; teknisk telemetri i förstärkta röstflöden kan behållas i 12 månader. Detta är inte en extra period för att spara hela konversationer. Googles eventuella loggar för missbruksövervakning kan sparas i upp till 90 dagar enligt punkt 6 och ska skiljas från vår synliga samtalshistorik.
• Yrkesuppgifter i katalogen: så länge uppgifterna behövs för en aktuell presentation av yrkesverksamheten. Felaktiga eller inaktuella uppgifter ska rättas, uppdateras eller tas bort när behovet upphör.

Om en bestämd lag eller ett konkret rättsligt anspråk kräver ett begränsat fortsatt bevarande skiljer vi det från den vanliga användningen och begränsar åtkomsten. Vi kan ge dig information om period eller kriterier för ditt ärende. Riktig anonymisering innebär att uppgifter inte längre kan knytas till dig. En kod eller ett borttaget namn är inte i sig anonymisering.

Säkerhetskopior. Uppgifter som raderas ur aktiv användning kan finnas kvar i åtkomstbegränsade återställningskopior tills kopiorna löper ut eller ersätts vid sin ordinarie rotation. De används för återställning, inte för fortsatt användning eller marknadsföring. För huvuddatabasen är perioderna 7 dagar för löpande återställning, upp till 12 månader för månadskopior och upp till 5 år för årskopior. AI-chattens separata databas har sin egen rullande återställning; huvuddatabasens årsarkiv är inte en generell lagringstid för AI-konversationer. Vid en återställning ska tidigare raderingar tillämpas igen innan uppgifterna tas i bruk. Du kan fråga oss vilka kopior som omfattar dina uppgifter.

10. Radering och dina övriga rättigheter

Kontakta gdpr@varden.se för att begära tillgång till dina uppgifter och en kopia, rättelse, radering, begränsning eller dataportabilitet där den rätten gäller. När behandlingen grundas på samtycke kan du återkalla det när som helst. När grunden är intresseavvägning kan du invända utifrån din situation; vi måste då pröva om behandlingen får fortsätta. Du har alltid rätt att invända mot direktmarknadsföring, inklusive profilering för sådan marknadsföring.

Du kan begära radering av uppgifter i våra egna tjänster även om de finns under olika inloggnings- eller ärendeidentiteter. Vi behöver säkerställa att begäran gäller rätt person och kan be om nödvändiga kompletteringar. Skicka inte en ID-kopia eller känsliga patientuppgifter i ett vanligt första e-postmeddelande; vi ordnar en lämplig verifiering om det behövs. Att en knapp stänger ett konto eller tar bort en profil betyder inte automatiskt att historik, bokningar och uppgifter hos andra personuppgiftsansvariga är borta.

Vi svarar normalt inom en månad från att vi fått din begäran. Om lagen tillåter en förlängning på grund av begärans komplexitet eller antal informerar vi dig inom den första månaden om orsaken och den nya fristen. Det finns ingen generell begränsning till ett kostnadsfritt registerutdrag om året. Begäranden är som huvudregel kostnadsfria; lagens undantag för uppenbart ogrundade eller orimliga begäranden kan bli tillämpliga.

Rättigheterna har lagstadgade begränsningar. Om vi inte kan tillmötesgå din begäran fullt ut förklarar vi varför, vilka uppgifter som berörs och hur du kan gå vidare. Vi hanterar de uppgifter vi ansvarar för och hjälper dig att hitta rätt vårdgivare när den ansvarar. Om vi behöver informera en mottagare om en rättelse, radering eller begränsning gör vi det enligt GDPR.

Du kan klaga till Integritetsskyddsmyndigheten, www.imy.se, och har de rättigheter till rättslig prövning som följer av lag. Du är välkommen att kontakta oss först men måste inte göra det.

11. Barn, automatisering och säkerhet

Eget medlemskonto och Vårdens egen kontoanknutna AI är avsedda för personer som har fyllt 18 år. Barn kan läsa öppen information och det kan finnas särskilda vårdgivarflöden som stöder bokning för barn genom en behörig företrädare. Vårdgivarens ansvar och barnets rättigheter gäller där. Vi påstår därför inte att barnuppgifter aldrig förekommer i någon tjänst.

Sökresultat kan sorteras automatiskt och AI-svar skapas automatiskt. Det är inte detsamma som ett automatiserat beslut om din rätt till vård eller försäkring. Vi använder inte den egna informationsassistenten för enbart automatiserade beslut som har rättsliga följder eller på liknande sätt betydande påverkan på dig. Om en särskild funktion skulle innebära sådan behandling behövs information och stöd för just den funktionen innan den används.

Vi använder behörighetsstyrning och tekniska och organisatoriska säkerhetsåtgärder anpassade till uppgifterna och riskerna. Ingen internetransport eller tjänst kan garanteras vara helt riskfri. Kontakta oss om du misstänker att någon obehörig har fått tillgång till dina uppgifter.

12. Ändringar i informationen

Den här versionen gäller från 26 oktober 2026 och ersätter den tidigare allmänna integritetspolicyn för den behandling som den omfattar. Version och datum visas ovan. Om en ändring har väsentlig betydelse för dig informerar vi dig på ett lämpligt sätt. Ett nytt ändamål som kräver samtycke börjar inte gälla bara för att vi ändrar denna text; då behöver du få information och göra ett nytt val. Äldre avtalsgodkännanden och samtyckesversioner behålls som bevis på vad som faktiskt visades och valdes, inte som ett tillstånd till nya ändamål.