Materialet en IT-avdelning behöver, innan ni frågar efter det.
Ett inköp av ett vårdsystem stannar oftast hos någon som inte satt i säljmötet: en IT-ansvarig, ett dataskyddsombud, en upphandlare. Det de behöver läsa ligger här.
Tre dokument, oredigerade.
Sidorna nedan genereras direkt ur källfilerna i produktens eget kodförråd. De kan därför inte säga något annat än originalen säger, och de kan inte bli inaktuella utan att ett test failar.
-
Tillgänglighetsredogörelse
PubliceradHur appen förhåller sig till WCAG 2.1 AA, punkt för punkt. Redogörelsen innehåller brister som ännu inte är åtgärdade, och de står kvar i den publicerade versionen.
-
Underbiträdesförteckning
PubliceradVarje underleverantör som behandlar personuppgifter för min räkning, med ändamål och region. Det ert dataskyddsombud behöver för artikel 28.2. Även här står öppna punkter kvar i texten.
-
Tekniskt faktablad
PubliceradArkitektur, datalagring, behörighetsmodell, backup och återställningstid. Skrivet för att läsas av en IT-avdelning, inte av en inköpare.
Fyra dokument som skickas samma dag ni frågar.
De här är färdiga men publiceras inte öppet. Ett avtal och ett DPIA-underlag är det som tagit längst tid att ta fram, och de går till den som faktiskt överväger ett köp, inte till en sökmotor. Skicka ett mejl så kommer de.
| Dokument | Vad det är | Status |
|---|---|---|
| PUB-avtalsmall | Personuppgiftsbiträdesavtal enligt artikel 28, färdig mall att fylla i per kund | Upprättad 2026-07-26 |
| DPIA-underlag | Faktaunderlaget er egen konsekvensbedömning behöver, skrivet för en icke-teknisk läsare | Senast uppdaterat 2026-07-31 |
| Incidentresponsplan | Hur en incident upptäcks, begränsas och rapporteras, med 72-timmarsfristen inräknad | Version 1.7 |
| Upphandlingssvar | Färdiga svar på de frågor som återkommer i kravlistor och anbudsunderlag | Löpande |
En sak att veta i förväg: underbiträdesförteckningen ovan innehåller en öppen brist som jag inte lyft ut ur den publicerade versionen. Den står kvar därför att ett dokument som redovisar leverantörskedjan tappar hela sitt värde om just det obekväma redigeras bort.
Det som inte är ett påstående utan en körning.
Siffrorna nedan är räknade ur kodförrådet, inte uppskattade. De ändras när koden ändras, och den här sidan kan inte ange fel tal utan att projektets egen testsvit blir röd.
406 behörighetstester
Automatiska tester som körs mot databasens egna säkerhetsregler. De körs vid varje kodändring, inte inför en release.
187 av dem om en enda sak
Att en vårdorganisation aldrig kan läsa, skriva eller radera en annan organisations data, prövat roll för roll och collection för collection.
10 säkerhetsgenomgångar
Dokumenterade genomgångar sedan starten, var och en med datum, omfattning och vad den ledde till.
Räknade 2026-09-06 ur produktens regeltestsvit respektive säkerhetsrapportens tilläggsblock, och bevakade av ett test som failar om sidan och koden går isär.
Ett testantal säger ingenting om hur bra testerna är, och det ska inte läsas som ett säkerhetsbevis. Det det säger är att isoleringen mellan organisationer är byggd som en kontrollerad egenskap och inte som en förhoppning. Och att påståendet går att slå hål på genom att köra sviten själv under en genomgång.
Be om resten.
Skriv vilket dokument ni vill ha, eller be om hela paketet. Det går bra att fråga innan ni bestämt er för något.