Säkerhet & dataskydd
Omsio hanterar känsliga personuppgifter för familjehemsvård, HVB, stödboende och öppenvård. Här visar vi hur skyddet ser ut i appen: vem som kommer in, vad varje roll ser, vad som inte går att ändra i efterhand och vem som har varit inne.
- Data lagrad i Sverige
- Inloggning med BankID
- AES-256 och TLS 1.2+
- Personuppgiftsbiträdesavtal
BankID i stället för lösenord
Personalen loggar in med svenskt BankID via Idura, och bara den som blivit inbjuden och aktiverat sitt konto kommer in. Det finns inget lösenord att gissa, återanvända eller nätfiska.
I appen väljer var och en hur den ska låsas: med Face ID eller fingeravtryck, som låser efter två minuter borta från appen, eller med BankID, som loggar ut efter tio. På webben loggas den som varit inaktiv i 15 minuter ut.
Var och en ser det rollen behöver
Sex roller avgör vilka sidor som ens finns i menyn: huvudadministratör, administratör, anställd, familjehem, socialsekreterare och samarbetspartner. Socialsekreteraren ser bara de rapporter som delats med hen, aldrig den löpande journalen.
Under Behörigheter slår huvudadministratören av och på det som gäller placeringar, journal, dokument och mer, för hela verksamheten på en gång. Varje läsning och skrivning kontrolleras i databasen, inte bara i gränssnittet.
En signerad anteckning går inte att ändra
Journalanteckningar signeras med namn, befattning och tidpunkt. Därefter är de låsta och kan varken redigeras eller raderas, inte ens av en administratör.
Blev något fel görs en rättelse: originalet står kvar genomstruket och den rättade texten får en egen signatur. Det gäller också datum, kontaktform och deltagare, och allt följer med i akt-exporten.
Varje rad säger vem som var inne
Huvudadministratören ser vem som skapade, ändrade eller raderade placeringar, journaler, dokument, avvikelser, avtal och användarroller. Loggen går inte att redigera eller radera, sparas i fem år och kan exporteras till CSV.
Raden namnger den som agerade även när det inte är en medarbetare: socialsekreteraren som öppnade en delad rapport står med namn och med hur hen legitimerade sig, och Omsios support står som Omsio. Filtrera på aktörstyp så ser ni direkt om någon utanför verksamheten har varit inne.
Supporten ser er vy bara när ni säger ja
Omsios personal kommer aldrig in i er app på egen hand. Behöver supporten se det ni ser frågar de en namngiven användare, som får frågan i appen med vem som frågar och varför, och kan godkänna eller neka.
En godkänd session är skrivskyddad, varar i högst 30 minuter och kan avslutas från en banderoll i appen. Frågan, svaret och sessionen står i er aktivitetslogg.
Mer om skyddet
Var data lagras, hur den krypteras och vad som gäller för drift, gallring och AI-assistenten Lisa.
Data lagrad i Sverige
Journaldata och kärndata lagras i Sverige (Supabase EU-norra/AWS Stockholm) och behandlas inom EU/EES. Slår ni på AI-assistenten Lisa behandlas hennes frågor i USA under EU:s standardavtalsklausuler (SCC). Marknadsförings- och analystjänster på omsio.se kan också innebära överföring under SCC. Alla underleverantörer står på sidan Underleverantörer.
Kryptering i alla led
All data krypteras vid lagring (AES-256) och vid överföring (TLS 1.2+). Inga uppgifter skickas eller lagras i klartext.
Låsta personuppgifter
Personnummer, hälsouppgifter, bakgrund, behov och hotbildsbedömning för klienter, och personnummer och kontaktuppgifter för användare, är låsta kolumn för kolumn i databasen. Listor hämtar dem aldrig; de visas bara när en behörig användare öppnar just den akten.
Skyddade identiteter
Placeringar med sekretessmarkering, skyddad folkbokföring eller fingerade personuppgifter syns bara för administratörer, ansvarig konsulent, socialsekreteraren och familjehemmet där klienten bor. Notiser om dem anonymiseras.
Mandantisolering
Varje verksamhet är isolerad på databasnivå. Varje läsning och skrivning filtreras mot verksamhetens identitet innan den når data. Det stöder tystnadsplikten för den som arbetar i enskild verksamhet, 17 kap. 11 § socialtjänstlagen (2025:400).
Inloggning från kontorets nätverk
Som tillval kan inloggningen låsas till verksamhetens egna IP-adresser. Begränsningen kan gälla alla roller eller bara vissa, enskilda medarbetare kan undantas, och den som loggar in från annat håll under en pågående session loggas ut. Omsio slår på tillvalet tillsammans med er.
AI-assistenten Lisa
AI-assistenten Lisa är ett tillägg för personalen. Hon läser bara det den inloggade användaren själv får se, låsta personuppgifter skickas aldrig till AI-tjänsten och skyddade placeringar röjs aldrig. Huvudadministratören väljer vilka roller som får använda henne, och hon kan stängas av helt för verksamheten.
Signeringscertifikat
Avtal signeras med BankID. Varje signerat avtal får ett signeringscertifikat med dokumentets SHA-256-hash, båda parters namn, tidpunkter, IP-adresser och verifieringsstatus. Juridiskt bindande enligt eIDAS-förordningen (EU) 910/2014.
Gallring
Inbyggd gallring för avslutade placeringar enligt 17 kap. 2 § socialtjänstlagen (2025:400), två år efter sista anteckningen. Varje gallring skapar ett gallringsprotokoll som går att visa för IVO. Stöd för överlämning till socialnämnd enligt 17 kap. 3–4 §§.
IVO-anpassad dokumentation
Journalföring, inrapportering och avvikelser följer strukturer anpassade för IVO:s tillsyn: lex Sarah-markering, åtgärdsplaner, gallring och spårbarhet. Dokumentationen uppfyller 14 kap. 3–7 §§ socialtjänstlagen (2025:400), som 17 kap. 1 § gör tillämpliga i enskild verksamhet.
Systematiskt informationssäkerhetsarbete
Säkerhetsarbetet styrs i ett internt ledningssystem för informationssäkerhet, med riskregister, styrdokument, leverantörsförteckning, åtkomststyrning och incidenthantering.
Drift och incidenthantering
Vi eftersträvar 99,5 % tillgänglighet per kalendermånad, exklusive planerade underhållsfönster; avtalet anger det som ett mål, utan garanti eller vite. Underhåll sker nattetid och aviseras minst fem vardagar i förväg. Krypterade backuper tas dagligen och lagras inom EU i sju dagar, med en återställningstid (RTO) under fyra timmar och en maximal dataförlust (RPO) på 24 timmar. Driftpåverkande incidenter meddelas inom en timme via e-post.
Frågor om säkerhet?
Vi svarar gärna på frågor om säkerhet och GDPR, också i en frågelista eller kravspecifikation. Personuppgiftsbiträdesavtalet och listan över underleverantörer finns öppet här på webben.