Tellus integritetspolicy

Tellu har utvecklats enligt principerna för inbyggt integritetsskydd. I denna integritetspolicy redogörs för hur medborgarens/användarens och tjänsteleverantörens integritet skyddas vid användning av Tellu-tjänsten. Information om vår behandling av medborgarens/användarens uppgifter ska vara tydlig och lättillgänglig så att medborgaren/användaren har en god överblick över hur uppgifterna behandlas. Om invånaren/användaren har några frågor som rör deklarationen eller behandlingen av personuppgifter ska den vårdorganisation som ansvarar för den vårdtjänst där Tellu ingår kontaktas. Detaljerad information om databehandling och dataskyddsåtgärder finns tillgänglig för vårdorganisationen via Tellus tjänstebeskrivning och databehandlingsvillkor.

Ändamålet med behandlingen av personuppgifter

Tellu är en tjänst för att följa upp incidenter relaterade till användningen av välfärdsteknik för dem som får vård från en vårdorganisation. Det kan t.ex. vara hemtjänsten eller en institution som följer upp anmälningar om incidenter och planerade inspektioner. Tjänstemottagaren samtycker och ingår avtal med vårdorganisationen om användningen.

Laglig grund för behandling av personuppgifter

Följande lagar reglerar vilka personuppgifter som får behandlas och villkoren för behandlingen:

Patient- och brukarrättighetslagen ger den enskilde rätt till nödvändig vård och omsorg (vilket kan innefatta välfärdsteknik) från kommunen och specialistsjukvården. Lagen ger även patientens närstående rätt till information om patienten samtycker till det.

Hälso- och sjukvårdslagen ålägger kommunen att tillhandahålla nödvändiga och ändamålsenliga hälso- och sjukvårdstjänster.

Lagen om hälso- och sjukvårdspersonal ålägger hälso- och sjukvårdspersonal en skyldighet att dokumentera hälso- och sjukvård i journaler.

Personuppgiftslagen och den allmänna dataskyddsförordningen (GDPR) ålägger sjukvårdsorganisationen (personuppgiftsansvarig) och leverantörer (personuppgiftsbiträden) att hantera personuppgifter på ett ansvarsfullt sätt, inklusive behovet av personlig integritet, privatliv och tillräcklig kvalitet på personuppgifterna.

Patientjournallagen kräver att hälso- och sjukvårdsorganisationer underlättar snabb och effektiv tillgång till nödvändig information av god kvalitet, liksom patient- och användarintegritet, patientsäkerhet och rätten till information och deltagande. Lagen skyddar mot att hälsouppgifter lämnas ut till obehöriga personer.

Ansvarig för databehandling

Vårdorganisationen ansvarar för att tillhandahålla hälso- och sjukvård och/eller omsorgstjänster till sina invånare/patienter och är personuppgiftsansvarig för all behandling av personuppgifter som rör tjänsten. Den personuppgiftsansvarige ansvarar för kontrollåtgärder för att säkerställa att ingen obehörig får tillgång till personuppgifterna. Vårdorganisationen ansvarar för att bedöma konsekvenserna för dataskyddet för den enskilde innan tjänsten tas i bruk.

Medborgares/användares rättigheter

Medborgare/användare har rätt att få tillgång till sin egen information och behandling. Det gäller allmänna personuppgifter, loggar över vem som har haft tillgång till personuppgifterna, loggar över vem som har utfört vården, åtkomstloggar etc. Det är vårdgivaren som är personuppgiftsansvarig och som ska tillvarata medborgarens/brukarens rättigheter. Medborgaren/brukaren har rätt att få felaktig information rättad och rätt att få information som de anser inte borde ha registrerats raderad. Medborgaren/användaren ska i så fall kontakta den vårdorganisation som ansvarar för tjänsten.

Dataskyddsombud

Medborgaren/användaren, i egenskap av registrerad enligt GDPR, vänder sig till vårdorganisationens dataskyddsombud.

Personuppgifter som registreras eller samlas in

Tellu-tjänsten kan användas både med direkt personligt identifierbar information och baserat på pseudonymer. Det är vårdorganisationen som bestämmer hur tjänsten ska användas för sitt ändamål och som registrerar eventuella personuppgifter. Tjänsten samlar in en översikt över all användning av applikationen, sensorer och kamera för lösningens händelselogg. Tellu samlar inte in personuppgifter från kamerabilder eller videor. Automatisk bildanalys, t.ex. rörelsedetektering, görs endast lokalt i kameran.

Behandling av personuppgifter

I det följande beskrivs på en allmän nivå hur personuppgifter behandlas: Tellu-tjänsten kan användas från en servicetelefon som upprättats av den enskilda vårdorganisationen. Tjänsteleverantören loggar in med hjälp av den offentliga ID-porten/annan inloggning på högsta säkerhetsnivå eller med hjälp av användarnamn/lösenord. Om tjänsteleverantören använder användarnamn och lösenord kan detta endast göras från i förväg godkända enheter som identifieras med IP-adress. Tjänsten har rollbaserad åtkomstkontroll som gör det möjligt för vårdorganisationen att begränsa åtkomsten till funktionalitet och personuppgifter i enlighet med vårdpersonalens affärsbehov. Inga personuppgifter lagras i tjänsteleverantörens mobiltelefon. All kommunikation med tjänstens centrala datalösningar är krypterad. All kommunikation med kameror är krypterad. Datoriserade analyser av bilder/video, t.ex. rörelsedetektering, utförs lokalt i den enskilda kameran. Endast meddelanden om incidenter kommuniceras vidare. All åtkomst till personuppgifter, inklusive kameraanvändning, loggas i lösningens händelselogg i Tellu Admin och är kontinuerligt tillgänglig för vårdorganisationen. Alla personuppgifter lagras inom EU/EES.

Lokalisering på servicetelefoner

Tellu används på servicetelefoner inom den aktuella vårdorganisationen. Ansvarig för vårdorganisationen bedömer om lokalisering av servicetelefonen ska användas för att:

- Visa hur långt det är att resa till användaren och hitta vägen

- Automatiskt registrera att tjänsteleverantören har nått fram till den hjälpbehövande

Tellu lagrar endast tidpunkten då servicetelefonen anländer till brukarens hem. Detta görs genom att definiera ett område på 100 meter runt brukarens hem/den plats där brukaren befinner sig.

Tellus ansvar som leverantör och personuppgiftsbiträde

Tellu är vårdorganisationens leverantör av programvara och utrustning och utför rollen som personuppgiftsbiträde i enlighet med personuppgiftsbiträdesavtalet mellan Tellu och vårdorganisationen. Tellu har utvecklat tjänsten och utför löpande driftstjänster, men har inte tillgång till personuppgifter om inte vårdorganisationen skriftligen kontaktar Tellu med en begäran om teknisk assistans. Tellu ansvarar för uppföljning och kontroll av personuppgiftssäkerheten hos sina underleverantörer.

Tellus underleverantörer

Microsoft - äger och driver ett datacenter, hårdvara och tjänst för säkerhetskopiering av data. Personuppgifter lagras krypterat. Microsoft driver och stödjer IaaS med driftspersonal från olika länder, men de har inte tillgång till krypteringsnycklarna.

Amazon Web Services - äger och driver datacenter med backup-data. Personuppgifter är krypterade. AWS driver och stödjer IaaS med driftspersonal från olika länder, men de har inte tillgång till krypteringsnycklarna.

Vid användning av svarscentraltjänster:

Skyrespons - äger och driver plattform och programvara för svarscentraltjänst. Hämtar information om medborgaren/användaren från Tellu till berörd vårdorganisation vid uppföljning av incidenter. Åtkomsten till informationen är åtkomststyrd utifrån roller och tillhörande rättigheter. Skyresponse driftspersonal har inte tillgång till personuppgifter annat än vid skriftliga förfrågningar från Tellu i samband med support/felsökning för vårdorganisationens räkning.

Vid användning av trygghetslarm och andra sensorer:

Legrand - äger och driver programvara för konfiguration och driftövervakning av personlig gateway. Olika typer av välfärdsteknik är anslutna till gatewayen vid incidenter som meddelas till vårdpersonal. Ingen personligt identifierbar information kommuniceras eller lagras till eller via lösningar som hanteras av Legrand.

När du använder Mobil Trygghetsalarm:

Safemate - äger och driver programvara för konfiguration och kommunikation med Safemates mobila trygghetslarm. Safemates driftspersonal har inte tillgång till personuppgifter annat än vid skriftliga förfrågningar från Tellu i samband med support/felsökning för vårdorganisationens räkning.

Vid användning av kameraövervakning:

Axis Communications - äger och driver programvara för konfiguration och kommunikation med kameran. Axis driftpersonal har inte tillgång till personuppgifter annat än vid skriftlig begäran från Tellu om support/felsökning för sjukvårdsorganisationens räkning.

Morphean - äger och driver en tjänst för videostreaming. Inga personuppgifter lagras, endast överföring.

Vid användning av medicindispensrar:

Evondos - Äger och driver programvara för konfiguration och kommunikation med läkemedelsautomaten Evondos E300. Som standard har Evondos driftpersonal inte tillgång till personuppgifter. Support/felsökning på uppdrag av vårdorganisationen innebär dock att vissa av Evondos medarbetare ibland måste ges tillgång till person- och hälsoinformation. Detta loggas i behörighets- och aktivitetsloggen som övriga anställda i verksamheten.

Dignio - Äger och driftar programvara för konfiguration och kommunikation med läkemedelsautomaterna Karie, Medido Clock och Pilly. Som standard har Dignios driftspersonal inte tillgång till personuppgifter. Support/felsökning på uppdrag av vårdorganisationen innebär dock att vissa av Dignios medarbetare ibland måste ges tillgång till person- och hälsouppgifter. Detta loggas i behörighets- och aktivitetsloggen som tillsynspersonal för verksamheten.

Rapportering av avvikelser

Om du som medborgare/användare eller anhörig misstänker olämplig eller problematisk behandling av personuppgifter i tjänsten ska du rapportera avvikelser direkt till den vårdorganisation som ansvarar för den hälso- och sjukvård där denna tjänst ingår. Vårdgivaren är i egenskap av personuppgiftsansvarig ansvarig för att följa upp eventuella avvikelser.

Om du som tjänsteleverantör som använder Tellu i ditt dagliga arbete misstänker olämplig eller problematisk behandling av personuppgifter i tjänsten, ska du anmäla avvikelserna till den ansvariga personen i din vårdorganisation.

Om du vill kontakta vårt dataskyddsombud kan du göra det via den här e-postadressen: privacy@tellu.no.