Integritetspolicy

1. Personuppgiftsansvarig

Secvra är ett varumärke som tillhör StackX AB, organisationsnummer 559598-7313 (”vi”, ”oss”). StackX AB är personuppgiftsansvarig för den behandling som beskrivs i den här policyn. Frågor om personuppgifter skickar du till [email protected].

När vi utför uppdrag åt ett kundföretag – till exempel ett penetrationstest där vi kan komma åt kundens personuppgifter – är vi i stället personuppgiftsbiträde åt kunden. Den behandlingen regleras i ett separat personuppgiftsbiträdesavtal och omfattas inte av den här policyn.

2. Gratis säkerhetsskanning

När du använder vår gratis skanning på /skanna sparar vi:

• den adress (URL och domän) du ber oss skanna,
• resultatet av skanningen, det vill säga de tekniska iakttagelser vi gör om den publika webbplatsen och domänen, samt betyg och tidpunkt,
• en hashad IP-adress. Din IP-adress omvandlas med en hemlig nyckel till en kontrollsumma innan den sparas. Vi sparar inte IP-adressen i klartext. Kontrollsumman används för att begränsa antalet skanningar per användare och upptäcka missbruk.

Skanningen läser bara information som redan är publik. Resultatet kan ändå innehålla personuppgifter om sådana finns publikt på den skannade webbplatsen eller i dess DNS-uppgifter, till exempel en kontaktadress.

Rättslig grund: berättigat intresse (artikel 6.1 f i dataskyddsförordningen, GDPR). Vårt intresse är att kunna leverera tjänsten, visa dig resultatet och skydda tjänsten mot missbruk.

Lagringstid: skanningsresultat och hashade IP-adresser sparas i högst 12 månader och raderas därefter. Om du blir kund och kopplar skanningen till ditt konto sparas den så länge kontot finns.

3. Kontaktformulär och offertförfrågningar

När du kontaktar oss via formulär, e-post eller telefon sparar vi de uppgifter du lämnar: namn, företag, e-postadress, telefonnummer, vilken tjänst du är intresserad av, ditt meddelande och i förekommande fall vilken skanning förfrågan gäller.

Rättslig grund: berättigat intresse av att besvara din förfrågan och följa upp den (artikel 6.1 f), eller åtgärder innan ett avtal ingås när du begär en offert (artikel 6.1 b).

Lagringstid: 24 månader efter senaste kontakt, om det inte uppstår ett kundförhållande. Då gäller avsnitt 4.

4. Kunder och kundportalen

För kunder och användare av kundportalen behandlar vi:

• namn, e-postadress och vilket företag du företräder,
• inloggningsuppgifter – lösenord sparas endast som en saltad hash, aldrig i klartext – samt sessionsuppgifter och tidpunkt för senaste inloggning,
• en hashad IP-adress för de nätverk du har loggat in från. Loggar du in från en ny IP-adress mejlar vi en engångskod, så att ett läckt lösenord inte räcker för att komma in. IP-adressen sparas inte i klartext, och kontrollsumman tas bort när kontot avslutas,
• uppgifter om de tjänster och system ni låter oss övervaka eller testa, fynd, rapporter och övervakningshistorik,
• fakturerings- och avtalsuppgifter.

Rättslig grund: fullgörande av avtal (artikel 6.1 b) och, för kontaktpersoner hos kundföretag, berättigat intresse av att administrera kundförhållandet (artikel 6.1 f). Bokföringsunderlag behandlas för att uppfylla rättsliga förpliktelser (artikel 6.1 c).

Lagringstid: under avtalstiden och 12 månader därefter. Bokföringsunderlag sparas i sju år enligt bokföringslagen (1999:1078).

5. Säkerhetsrapporter

Om du rapporterar en sårbarhet till [email protected] (se security.txt) sparar vi din kontaktinformation och rapporten för att kunna åtgärda problemet och återkoppla till dig. Rättslig grund är berättigat intresse. Uppgifterna sparas i högst 24 månader efter att ärendet avslutats.

6. Cookies och tekniska loggar

Vi använder endast cookies som är nödvändiga för att tjänsten ska fungera, till exempel den sessionscookie som håller dig inloggad i kundportalen. Vi använder inte cookies för annonsering eller spårning mellan webbplatser. Om vi inför analysverktyg som kräver samtycke kommer vi att be om det först och uppdatera den här policyn. Alla cookies vi använder finns listade på sidan Cookies.

Våra servrar loggar tekniska uppgifter som IP-adress, tidpunkt och efterfrågad adress för att upptäcka och utreda säkerhetshändelser. Sådana loggar sparas i högst 90 dagar, om de inte behövs längre för att utreda en konkret incident.

7. Vilka vi delar uppgifter med

Vi säljer aldrig personuppgifter. Vi delar uppgifter endast med:

• personuppgiftsbiträden som hjälper oss att driva tjänsten, till exempel leverantörer av serverdrift, databas och utskick av e-post. De får bara behandla uppgifterna enligt våra instruktioner och har skrivit personuppgiftsbiträdesavtal med oss,
• myndigheter när vi är skyldiga enligt lag, till exempel vid en polisutredning,
• rådgivare som revisorer och jurister, som har tystnadsplikt.

Vi lagrar personuppgifter inom EU/EES. Om en leverantör behandlar uppgifter utanför EU/EES, till exempel för e-postutskick, säkerställer vi att det finns ett giltigt skydd enligt kapitel V i GDPR – till exempel ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler.

8. Hur vi skyddar uppgifterna

Vi skyddar personuppgifter med tekniska och organisatoriska åtgärder: kryptering vid överföring och lagring, behörighetsstyrning efter behov, hashade lösenord och IP-adresser, loggning och regelbunden granskning av våra egna system.

9. Dina rättigheter

Enligt GDPR har du rätt att:

• få veta vilka personuppgifter vi behandlar om dig och få en kopia (registerutdrag),
• få felaktiga uppgifter rättade,
• få uppgifter raderade, när de inte längre behövs eller om du återkallar ett samtycke,
• begära att behandlingen begränsas,
• invända mot behandling som grundar sig på berättigat intresse,
• få ut uppgifter du lämnat till oss i ett maskinläsbart format (dataportabilitet).

Kontakta oss på [email protected] för att använda dina rättigheter. Vi svarar inom en månad. Eftersom hashade IP-adresser inte kan kopplas tillbaka till dig utan IP-adressen kan vi behöva be dig om den för att hitta uppgifterna.

10. Klagomål

Är du missnöjd med hur vi behandlar dina personuppgifter vill vi gärna att du hör av dig till oss först. Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), som är tillsynsmyndighet i Sverige: imy.se.

11. Ändringar

Vi uppdaterar policyn när vår behandling ändras. Datumet högst upp visar när den senast ändrades. Vid väsentliga ändringar informerar vi kunder via e-post.