1. Inledning

Den här integritetspolicyn beskriver hur Evidora (“vi”, “oss”) samlar in och behandlar personuppgifter när du använder tjänsten på www.evidora.se. Vi följer EU:s allmänna dataskyddsförordning (GDPR) och svensk dataskyddslag.

Evidora är ett kliniskt beslutsstöd riktat till legitimerad vårdpersonal i Sverige. Tjänsten är inte avsedd för patienter eller för att ersätta klinisk bedömning.

2. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är Evidora. Kontakt i frågor om dina uppgifter: info@evidora.se.

3. Vilka uppgifter vi behandlar

Vi behandlar följande kategorier av personuppgifter:

Kontouppgifter — e-postadress (och, vid inloggning med Google, namn och profilbild som Google delar med oss).
Sessioner och frågor — innehållet i samtal du för med AI-assistenten, inklusive frågor, svar, sparade sessionstitlar och valfritt ifylld patientkontext (ålder, kön, vikt, eGFR, komorbiditeter, aktuella läkemedel).
Tekniska uppgifter — IP-adress, webbläsartyp, och grundläggande användningsstatistik som Vercel Analytics samlar in anonymiserat för att mäta sidprestanda.
Feedback — det meddelande och (frivilligt) det namn och den e-postadress du anger när du skickar feedback via formuläret i appen.

Patientidentifierande information. Evidora är inte avsett för identifierbara patientuppgifter. Mata inte in namn, personnummer eller annan information som gör det möjligt att koppla innehållet till en specifik patient. Ansvaret för att följa patientdatalagen och GDPR vid klinisk användning ligger hos den behandlande läkaren och vårdgivaren.

4. Ändamål och rättslig grund

Vi behandlar uppgifterna för följande ändamål:

Tillhandahålla tjänsten — dina frågor skickas till vår AI-leverantör för att generera ett svar, och dina sessioner sparas så att du kan komma tillbaka till dem. Rättslig grund: avtal (GDPR art. 6.1.b).
Konto och inloggning — hantera autentisering och behålla dig inloggad mellan besök. Rättslig grund: avtal (art. 6.1.b).
Säkerhet och missbruksskydd — förebygga och upptäcka obehörig användning. Rättslig grund: berättigat intresse (art. 6.1.f).
Förbättring av tjänsten — anonymiserad statistik över användning och feedback för att prioritera produktarbete. Rättslig grund: berättigat intresse (art. 6.1.f).

5. Tredjepartstjänster

Vi använder följande leverantörer för att driva tjänsten. Var och en är personuppgiftsbiträde till Evidora och behandlar uppgifter enligt instruktion från oss:

Supabase (Singapore, servrar i EU) — autentisering och lagring av sessioner.
Google (via Vercel AI Gateway) — AI-modellen som genererar svar. Frågor skickas krypterat till Google för inferensberäkning. Google använder enligt Vercels avtal inte dina frågor för att träna sina modeller.
Vercel (USA, med EU-edge) — värd för webbapplikationen och edge-funktioner.
Resend (USA) — e-postleverans för feedbackformuläret.

Vid överföringar utanför EES använder leverantörerna EU-kommissionens standardavtalsklausuler (SCC) som rättslig grund för överföringen.

6. Lagringstid

Kontouppgifter sparas så länge ditt konto är aktivt. Radera ditt konto genom att kontakta oss — då tas alla kopplade uppgifter bort inom 30 dagar.
Sessioner och frågor sparas så länge ditt konto är aktivt. Du kan själv ta bort enskilda sessioner när som helst via sidomenyn.
Feedback sparas så länge det är relevant för att följa upp ditt ärende, men högst 24 månader.
Tekniska loggar rotateras och raderas automatiskt efter högst 30 dagar.

7. Dina rättigheter enligt GDPR

Du har rätt att:

begära ett utdrag av de uppgifter vi har om dig (rätt till tillgång),
få felaktiga uppgifter rättade,
få dina uppgifter raderade (“rätten att bli glömd”),
begära begränsning av behandlingen,
invända mot behandling som vi gör med stöd av berättigat intresse,
begära dataportabilitet (exempelvis en export av dina sessioner),
återkalla ett samtycke du tidigare gett.

Skicka din begäran till info@evidora.se. Vi besvarar inom 30 dagar. Om du är missnöjd med hur vi hanterar dina uppgifter har du rätt att klaga hos Integritetsskyddsmyndigheten (IMY), se imy.se.

8. Säkerhet

Vi använder TLS-kryptering för all trafik, låter alla tjänsteleverantörer köra med branschstandard för kryptering i vila, och begränsar intern åtkomst till personuppgifter till personer som behöver den för sitt arbete. Vid misstänkta personuppgiftsincidenter anmäler vi till IMY inom 72 timmar om det föreligger risk för dina rättigheter.

9. Cookies och lokal lagring

Vi använder nödvändiga cookies för inloggning och session (hanteras av Supabase) och lokal lagring (localStorage) i din webbläsare för att spara sessionshistorik. Vi använder inte cookies för marknadsföring eller spårning över flera webbplatser.

10. Ändringar i policyn

Vi kan uppdatera den här policyn över tid. Datumet högst upp på sidan anger när den senast ändrades. Vid väsentliga förändringar informerar vi dig via e-post eller via en notis i tjänsten.

11. Kontakt

Har du frågor om hur vi behandlar dina uppgifter? E-posta info@evidora.se.