Sikkerhet

1. Vår tilnærming

SRVY håndterer opplysninger som folk deler i tillit: undersøkelsessvar, også anonyme, kontaktopplysninger for invitasjoner og kontoene til virksomhetsbrukerne som gjennomfører undersøkelser. Denne siden beskriver sikkerhetstiltakene vi bruker. De kjører i produksjon, og vi beskriver dem uten å hevde sertifiseringer vi ikke har.

2. Drift og infrastruktur

SRVY kjører på dedikert infrastruktur levert av Hetzner Online GmbH. Den nåværende driftslokasjonen er dokumentert operasjonelt. Applikasjonsservere, databasen, opplastede filer og sikkerhetskopier driftes i dette miljøet. Databaseverten er ikke eksponert mot det offentlige internett og er kun tilgjengelig fra vårt eget applikasjonslag over et privat nettverk. Administrativ tilgang er begrenset til kjente adresser. Hetzner driver ISO 27001-sertifiserte datasentre som vår infrastrukturleverandør.

Enkelte tilleggstjenester, særlig transaksjons-e-post og analyse, leveres av underdatabehandlere som kan behandle begrensede personopplysninger utenfor EØS under egnede garantier. Den gjeldende listen finnes i vedlegget til vår databehandleravtale.

3. Kryptering

• Under overføring: TLS (HTTPS) på all offentlig trafikk, terminert hos vår administrerte lastbalanserer med et administrert sertifikat som fornyes automatisk.
• Påloggingsopplysninger: passord til virksomhetsbrukere lagres som enveis-hasher med plattformens standard passordhashing. De lagres aldri i klartekst eller skrives til noen logg.
• E-postadresser: adresser som brukes til tokeniserte lenker og undertrykking, lagres som nøkkelbaserte HMAC-SHA256-hasher, slik at avmeldinger og undertrykking etter returer kan håndheves uten å beholde adressen i klartekst der det ikke er nødvendig.
• Sikkerhetskopier: kopier utenfor stedet overføres over SSH, slik at de er kryptert under overføring til atskilt lagring.

4. Autentisering og tilgangskontroll

• Passordinnlogging med databasebaserte økttokener, levert som HttpOnly, vertsbundne informasjonskapsler per flate og revalidert mot databasen ved hver forespørsel.
• Innlogging gir en enhetlig feilmelding som ikke røper om en konto finnes, og øktidentifikatoren fornyes ved innlogging.
• Rolle- og rettighetsbasert tilgangskontroll for virksomhetsbrukere.
• CSRF-beskyttelse på hver tilstandsendrende forespørsel.
• Administrasjonsportalen bruker egen innlogging, informasjonskapsel og autorisasjonsflyt atskilt fra kundens Insight-portal.

5. Dataisolasjon

SRVY er flerleietaker, og hver virksomhets data holdes atskilt. For virksomhetseide e-postdata (kontakter, abonnementer, lister og distribusjoner) er datatilgangslaget bygget rundt en håndhevet virksomhetsavgrensning, slik at en spørring mot disse dataene ikke kan utføres uten å navngi én virksomhet. Tilgang til en virksomhets undersøkelser, svar og analyser er begrenset til virksomhetens autoriserte brukere gjennom applikasjonens autorisasjonskontroller. Respondenters anonymitet håndheves separat, slik det er beskrevet i vår personvernerklæring, slik at svar holdes atskilt fra enhver identitet eller invitasjon.

6. Sikkerhetskopier og katastrofegjenoppretting

• Automatiske databasekopier kjøres daglig på databaseverten og speiles deretter til atskilt lagring utenfor stedet (en Hetzner Storage Box) over SSH.
• Oppbevaringen følger en «grandfather-father-son»-plan: 7 daglige, 4 ukentlige og 12 månedlige kopier, rotert automatisk.
• Gjenopprettingsrutiner er dokumentert, slik at en sikkerhetskopi kan gjenopprettes ved behov.

7. Overvåking og logging

Vi fører varige logger over e-postleveranser, returer og klager, og en tilføy-bare revisjonslogg over endringer i selskapers registeridentiteter. Innlogging registrerer et tidsstempel for siste pålogging, og logger på servernivå fanger feil og driftshendelser. Logger lagres i en begrenset periode og brukes til å undersøke feil og misbruk.

8. Sårbarhetshåndtering

Vi holder operativsystemer og kjøretidsavhengigheter oppdatert, vurderer tredjepartsbiblioteker før vi tar dem i bruk, og håndterer rapporterte problemer etter prioritet, med hastesaker behandlet utenom den vanlige planen.

9. Underdatabehandlere

Et lite antall underdatabehandlere behandler personopplysninger i USA, under standardavtaleklausuler (SCC) og, der det er relevant, EU–US Data Privacy Framework. Se vedlegget til vår databehandleravtale for den gjeldende listen, og vår personvernerklæring for hvordan dette henger sammen.

10. Ansvarlig varsling

Tror du at du har funnet en sikkerhetssårbarhet i SRVY, send en e-post til security@srvy.app med detaljer og, om mulig, steg for å reprodusere den. Vi tilstreber å bekrefte mottak av rapporter innen to virkedager. Vi forfølger ikke rettslig personer som handler i god tro, tester kun mot egne kontoer og unngår forstyrrelser eller personvernbrudd som rammer andre brukere eller respondenter.

11. Kontakt

HR Cluster AS
Sikkerhet: security@srvy.app
Personvern: privacy@srvy.app