Riktlinjer

Säkerhetspolicy

Hur vi skyddar tjänsten och hur du rapporterar sårbarheter.

Version 1.0Gäller från 9 november 20263 kapitelCirka 1 min läsning

Innehåll

Denna policy beskriver hur Norvek skyddar plattformen och hur du rapporterar en säkerhetsbrist på ett ansvarsfullt sätt. Beskrivningen är allmän och utgör inte en garanti om fullständig säkerhet.

Kapitel 1

Skyddsåtgärder

1.1

Tekniska åtgärder

Plattformen skyddas bland annat genom:

  • krypterad trafik med https och strikta säkerhetshuvuden
  • lösenord som lagras som hashvärden och aldrig i klartext
  • åtkomstnycklar till butiker och betalreferenser som krypteras med AES-256-GCM
  • begränsning av antalet försök för inloggning och andra känsliga funktioner
  • separat administratörsinloggning med egen adress och händelselogg
1.2

Säkerhetskopiering

Databasen säkerhetskopieras varje natt och kopiorna sparas i 14 dagar inom EU.

1.3

Behörighet

Tillgång till produktionsmiljön är begränsad till personer som behöver den för sitt arbete.

Kapitel 2

Incidenter

2.1

Hantering

Säkerhetsincidenter utreds och åtgärdas skyndsamt. Personuppgiftsincidenter anmäls till Integritetsskyddsmyndigheten och berörda personer när det krävs enligt artiklarna 33 och 34 GDPR.

2.2

Din roll

Kontakta kontakt@norvek.se omedelbart om du misstänker att ditt konto har använts av någon obehörig. Använd ett unikt och starkt lösenord.

Kapitel 3

Ansvarsfull rapportering

3.1

Så rapporterar du

Skicka en beskrivning av bristen, hur den kan återskapas och dess möjliga konsekvenser till kontakt@norvek.se. Vi bekräftar mottagandet så snart vi kan.

3.2

Regler för testning

Vid undersökning av en brist får du inte:

  • komma åt, ändra eller radera andras uppgifter mer än vad som krävs för att påvisa bristen
  • störa Plattformens drift, genom till exempel överbelastning
  • använda social manipulation eller fysiska intrång
  • offentliggöra bristen innan vi har haft skälig tid att åtgärda den
3.3

God tro

Vi avser inte att vidta rättsliga åtgärder mot den som i god tro följer dessa regler. Detta innebär inget tillstånd att bryta mot lag och binder inte tredje part. Vi betalar för närvarande ingen belöning för rapporter.