Säkerhet & dataskydd

Era uppgifter, under kontroll

Ni lägger regelefterlevnad i våra händer, och då är det rimligt att veta hur vi hanterar det ni lämnar ifrån er. Den här sidan förklarar det utan teknisk jargong — vad som skyddas, vem som kommer åt vad, och vad som händer när ni vill ha ut era uppgifter eller få dem borttagna.

Har ni en fråga som inte besvaras här, hör av er.

Allt som läses eller skrivs passerar samma skyddslager.

Ert företag, för sig

Varje uppgift i systemet tillhör ett bestämt företag, och den gränsen dras i databasen.

Åtkomst till företagets uppgifter styrs av medlemskap och rättigheter. Särskild åtkomst finns för behörig plattformspersonal och anlitade granskningsbyråer.
Arbetar du i flera företag byter du mellan dem — rollen följer företaget, inte inloggningen.
Gränsen kontrolleras varje gång något läses, inte bara när menyn ritas.

Var och en ser sitt

Behörighet är något man får, inte något man råkar ha.

En administratör hos er bestämmer vem som får göra vad.
Att publicera ett dokument är en egen rättighet — den ges medvetet.
Tas en behörighet bort försvinner den direkt, inte vid nästa inloggning.
Ett företag kan släppa in sin egen e-postdomän, så att kollegor med en adress på den blir medlemmar direkt. Domänen måste först bevisas med en DNS-post som bara den som äger domänen kan lägga upp, och den avgör vem som kommer in — aldrig vad de får göra.

Ert arbete, låst med er egen nyckel

Det ni skriver i modulerna låses i er webbläsare innan det skickas, med nycklar som bara hör till ert företag.

Varje företag har egna nycklar, en för varje modul. Ett annat företags nyckel öppnar ingenting av ert.
Det ni skriver i modulerna ligger låst i databasen. En kopia av databasen öppnar det inte utan nycklarna.
Nycklarna lämnas bara ut till den som får se modulen hos er, och till en byrå ni anlitat för en granskning — för den modul granskningen gäller.
Vi förvarar nycklarna, inlåsta med en huvudnyckel som inte finns i databasen. Öppnar vår personal ert arbete i tjänsten syns det i er logg.
Titlar, status och datum är inte låsta, eftersom listor och sökningar behöver dem. Historikens rubriker och sammanfattningar, samtalet i en extern granskning, företagsprofilen samt frågorna och svaren i en medarbetarundersökning är inte heller låsta. Svaren lämnas utan inloggning och därmed utan nyckel. Uppladdade filer är inte heller låsta. Allt detta skyddas av behörigheterna, som allt annat.

Bara er nyckel öppnar det ni skrivit — inte ett annat företags, och inte en kopia av databasen.

Tvåstegsverifiering och inloggning

Ett lösenord ensamt räcker inte för konton som når känsliga uppgifter.

Tvåstegsverifiering med engångskod i en autentiseringsapp — ett krav för vår personal, och något varje användare kan slå på.
Tappar du telefonen med appen hjälper vår support dig att lägga upp tvåstegsverifieringen på nytt.
Inloggning via era befintliga konton hos en identitetsleverantör (OAuth) — då gäller era egna regler för lösenord och MFA.

Skyddad överföring och lagring

Uppgifterna är krypterade på vägen och där de ligger.

All trafik går krypterad mellan er webbläsare och tjänsten.
Åtkomstregler skyddar uppladdade filer. Behöriga medlemmar, plattformspersonal och en anlitad granskningsbyrå kan få tillgång enligt sina rättigheter.
Lösenord lagras aldrig i klartext — de går inte att läsa ut, inte ens av oss.

Dina uppgifter är dina

Du kan när som helst begära en kopia av allt vi har om dig. GDPR artikel 15.

Ett zip-arkiv med uppgifterna och de filer du laddat upp.
Hämta det själv under Mitt konto, eller be oss mejla det till din adress.
Varje utlämning antecknas — vem som tog ut den, när och hur.

Det går att följa vad som hänt

Sparningar, publiceringar, raderingar och utlämnanden antecknas.

Loggen visar vad som gjordes, av vem och när.
Loggposter skyddas mot vanlig ändring och radering i tjänsten. Särskilda drift- och raderingsrutiner har annan behörighet; skyddet innebär inte att teknisk administration av databasen är omöjlig.
Den innehåller vad som hände, inte en extra kopia av era uppgifter.

Arbetssätt vi håller oss till

Etablerade principer, tillämpade hela vägen ned i databasen.

Minsta möjliga behörighet: ingen når mer än sin uppgift kräver.
Åtkomstregler kontrolleras i databasen och på servern, även när ett anrop inte kommer från gränssnittets knappar.
Varje ändring testas mot en tom databas innan den släpps, med ett tusental automatiska kontroller.
Vi går igenom systemet mot OWASP:s lista över vanliga sårbarheter med jämna mellanrum.

Kontakt för dataskyddsfrågor

Pure Management ansvarar för att hantera frågor om säkerhet och dataskydd.

Mejla vår dataskyddsfunktion på dataskyddsombud@puremanagement.se.
Undrar du hur något fungerar i er egen miljö tittar vi på det tillsammans.
Behöver ni underlag till en egen granskning eller ett leverantörsbeslut hjälper vi till med det.

Så skyddas enkätsvaren

En medarbetarundersökning är bara värd något om folk vågar svara ärligt, och det gör man inte om man tror att chefen kan se vad man skrev.

Arbetsgivaren ser vilka som har svarat för att kunna skicka påminnelser. Resultatvyn visar inte vem som lämnat ett visst svar.
Mottagarlistan och svaren lagras separat utan en direkt personkoppling i svarslistan. Det är ingen garanti mot identifiering genom tekniska driftuppgifter, fritext eller kännedom om gruppen.
Resultatet visas först när minst fem personer har svarat. Gränsen minskar risken att peka ut någon i en liten grupp, men tar inte bort den. Undvik identifierande uppgifter i fritext.

Resultatvyn kopplar inte ihop person och svar. Fritext eller kännedom om gruppen kan ändå göra någon igenkännbar.

Och de går att ta bort

Rätten att bli glömd, artikel 17, med en spärr mot misstag.

Du begär raderingen och bekräftar med ditt lösenord.
Vi granskar den. Godkänns den tas uppgifterna ur bruk direkt — kontot går inte längre att använda.
Efter tre dygn raderas de permanent. Fram till dess går det att ångra, om något visar sig ha blivit fel.
Publicerade dokument och inskickade rapporter tillhör företaget och ligger kvar. Signaturer och underlag som lagen kräver att vi sparar gör också det — artikel 17.3 b och e.
Kvitton, samtycken och säkerhetsloggar stannar, eftersom vi måste kunna visa vad som hänt: att bokföringen stämmer, att ett samtycke fanns, att ingen läst något de inte fick läsa. Varje sådan uppgift har ett nedskrivet skäl, och provet är vad vi inte längre skulle kunna göra utan den.
Det som stannar slutar namnge dig. Loggen visar fortfarande att en och samma hand gjorde det ena och sedan det andra, men inte vems — din adress byts mot en markör och kontot som gav id:t en betydelse finns inte längre.
Filer ni laddat upp försvinner tillsammans med posterna om dem. Det sker i två steg — posten först, filen därefter — och steget som återstår står kvar i kö tills det är gjort, så ingenting blir liggande om något krånglar på vägen.
Bevarade uppgifter behöver en beslutad lagringstid och en rutin för gallring. Tjänstens kontroll av passerade lagringstider rapporterar vad som förfallit, men raderar inte dessa uppgifter automatiskt. Den kontrollen ska inte förväxlas med raderingsflödet efter en godkänd begäran.

Vad som händer när någon vill bli borttagen

Radering är oåterkallelig, så den sker aldrig med en knapptryckning. Den går genom fyra steg, och mellan det tredje och det fjärde finns ett fönster där ett misstag fortfarande kan rättas.

1
Begäran
Personen begär det själv och bekräftar med sitt lösenord. Ingen annan kan begära det åt någon.
2
Granskning
Vi går igenom begäran och kontrollerar vem den gäller. Ingenting tas bort i det här steget.
3
Ur bruk
Kontot stängs och uppgifterna slutar användas. De finns kvar, men ingen kommer åt dem.
4
Borta
Efter tre dygn raderas de permanent, automatiskt. En kopia kan finnas kvar i våra säkerhetskopior av databasen i upp till sju dagar till, och efter det finns ingenting att hämta tillbaka.

Att uppgifter är ur bruk är inte samma sak som att de är borta. Under de tre dygnen används de inte till någonting — men de är inte raderade förrän steg fyra är klart, och vi skriver inte att de är det innan dess.