Så hanterar vi
företagsuppgifter.

Översikt: var förvaras vad?

Kundportal med inloggning

Konton skapas eller godkänns manuellt av oss. Lösenord lagras som hash, inloggning spärras efter upprepade felförsök och kunden ser bara sina egna uppgifter. Portalen lagrar kontouppgifter, anteckningar om utfört arbete och eventuella analyser i en databas hos portalens driftleverantör (anges på begäran). Kontot och dess uppgifter raderas på begäran eller av kunden själv. Inga mejl skickas automatiskt från portalen.

Förslagsportal med länk och kod

Kundportalen är byggd för att kunna köras som en vanlig webbplats utan egen server. Det påverkar vad den skyddar mot, och vad den inte gör.

• Kryptering: varje företags förslag ligger som en krypterad fil (AES-256-GCM). Nyckeln härleds ur åtkomstkoden med PBKDF2 (SHA-256, 600 000 varv). Innehållet dekrypteras i er egen webbläsare och skickas inte vidare.
• Separata kanaler: länken och åtkomstkoden skickas på olika sätt, och koden är lång och slumpmässig.
• Ingen spårning: inga cookies, ingen inloggningslogg och ingen analys i portalen.
• Giltighet: filen tas bort när offerten gått ut.

Det förslagsportalen inte gör

• Den är inte ett användarkonto med personlig inloggning. Den som har länken och koden kan öppna förslaget.
• Den krypterade filen är teknisk sett offentlig. Skyddet bygger på att åtkomstkoden är hemlig och svår att gissa.
• Det finns ingen spärr mot upprepade försök och ingen logg över vem som öppnat förslaget.
• Att ta bort åtkomst innebär att filen raderas. Kopior som redan hämtats, och äldre versioner i arkivets historik, kan finnas kvar. Vid behov roterar vi koden och rensar historiken.

Därför lägger vi aldrig lösenord, personnummer, betalningsuppgifter eller uppgifter om enskilda personer i portalen.

Vem har åtkomst hos oss

Endast personer som behöver uppgifterna för uppdraget. Verksamheten drivs av en person, som är den enda med åtkomst. Konton till e-post, GitHub och bokföring skyddas med tvåfaktorsautentisering.

Underleverantörer

• Vercel Inc.: webbhotell för webbplatsen. Behandling kan ske i USA.
• GitHub Inc. (Microsoft): kodarkiv för webbplatsen och krypterade kundportalfiler. Behandling kan ske i USA.
• E-posttjänst: leverantör anges på begäran.
• Bokföring: leverantör anges på begäran.

Personuppgiftsincident

Om vi upptäcker en incident som rör era uppgifter underrättar vi er utan onödigt dröjsmål och senast inom 48 timmar efter att vi fått kännedom, så att ni som personuppgiftsansvarig kan göra en anmälan till Integritetsskyddsmyndigheten inom 72 timmar när det krävs. Vi dokumenterar händelsen och vidtar åtgärder, som att byta åtkomstkod eller ta bort en fil.

Radering och återlämning

På begäran, och när uppdraget eller offerten upphör, raderar eller återlämnar vi era uppgifter, med undantag för det vi är skyldiga att spara enligt lag, som räkenskapsinformation. Skicka begäran till kontakt@nordgivotech.se.

Det här gör vi inte

• Vi säljer inte kunduppgifter och delar dem inte med tredje part utöver det som behövs för uppdraget.
• Vi tränar inte AI-modeller på era uppgifter, och vi matar inte in känsliga uppgifter i AI-tjänster utan att ni godkänt det.
• Vi ber inte om lösenord via formulär eller e-post.

Checklista för er

• Dela inte åtkomstkoden vidare utanför de personer som ska ta del av förslaget.
• Skicka inte känsliga uppgifter via kontaktformuläret eller i kundportalen.
• Kontakta oss direkt om ni tror att koden hamnat hos fel person.