Dina rättigheter.

Introduktion

Denna integritetspolicy ("Policy") är ett informationsdokument om den behandling av personuppgifter som sker inom ramen för Finditys (nedan "vi", "oss") kontoinformationstjänst respektive programvaran Companyexpense. Policyn är uppdelad i olika avsnitt beroende på om vi agerar som personuppgiftsansvarig eller personuppgiftsbiträde.

Oavsett vilken roll vi spelar eller vilken produkt vi använder när vi behandlar dina personuppgifter är din integritet viktig för oss. Om dina personuppgifter behandlas av oss ska du kunna lita på att vi hanterar dem på ett säkert sätt och med en hög skyddsnivå. Du ska också kunna känna dig säker på att vi har gjort vårt yttersta för att se till att inga utomstående kan få tillgång till dina uppgifter och att du vet vilka uppgifter om dig som vi behandlar. Vi säkerställer att personuppgifter behandlas i enlighet med den allmänna dataskyddsförordningen (EU) 2016/679 ("GDPR") och den svenska dataskyddslagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och Datainspektionens föreskrifter och allmänna råd samt annan tillämplig lagstiftning som rör produkterna ("Tillämplig dataskyddslagstiftning").

När vi behandlar dina personuppgifter har vi alltid ett legitimt syfte som grundar sig på en rättslig grund för varför vi behandlar dina personuppgifter. Vi ser till att vi endast behandlar personuppgifter som är berättigade i förhållande till de syften för vilka vi behandlar personuppgifterna. Vår ambition är att de personuppgifter som vi behandlar om dig ska vara korrekta, vilket innebär att vi kan behöva radera uppgifterna om de visar sig vara felaktiga. Dina personuppgifter lagras inte längre än nödvändigt, vilket innebär att vi raderar dem om vi inte längre har en rättslig grund och ett legitimt syfte för att behandla dem.

Vad är personuppgifter?

Personuppgifter är information om en identifierad eller identifierbar fysisk person. Med ”identifierbar fysisk person” avses en person som direkt eller indirekt kan identifieras specifikt genom hänvisning till en identifierare, t.ex. namn, identifikationsnummer, platsinformation, online-identifierare eller andra faktorer som är specifika för den fysiska, fysiologiska, genetiska, mentala, ekonomiska, kulturella eller sociala identiteten.

Vad betyder personuppgiftsbehandling?

Med behandling av personuppgifter avses en åtgärd eller en kombination av åtgärder med anknytning till personuppgifter - oavsett om den sker automatiskt eller inte - såsom insamling, registrering, organisering, strukturering, lagring, behandling eller ändring, produktion, läsning, användning, leverans genom överföring, spridning eller annat tillhandahållande, justering eller sammanslagning, begränsning, radering eller förstöring.

Behandling av personuppgifter i rollen som personuppgiftsansvarig

Findity AB, org.nr. 556838-8200, Box 108, 771 23 Ludvika, Sweden, (“Findity”) är personuppgiftsansvarig för de personuppgifter som behandlas för användare av kontoinformationstjänsten samt för behandlingen av personuppgifter enligt nedan för kontaktpersoner för kunder/partners som använder programvaran Companyexpense. Kontoinformationstjänsten, Companyexpense, kallas nedan för (”produkterna”). Findity är personuppgiftsansvarig när vi bestämmer syftet och sättet för hur personuppgifterna ska behandlas.

Varför behandlar vi personuppgifter och vilken typ av personuppgifter behandlas?

Kundavtal

För att vi ska kunna hantera kundrelationer i samband med produkterna måste vi behandla personuppgifter om våra kunders och partners kontaktpersoner samt personuppgifter om användare av vår produkt där vi är personuppgiftsansvariga. De insamlade personuppgifterna omfattar i första hand namn, telefonnummer, företagsnamn, titel och epostadress. Behandlingen sker med stöd av att behandlingen är nödvändig för att fullgöra avtal med kunden och för att fullgöra en rättslig förpliktelse eller för att vi har ett legitimt intresse av att behandla personuppgifterna. En närmare beskrivning av vilka personuppgifter vi behandlar inom ramen för våra produkter framgår av bilagorna till denna policy.

Personuppgifterna behandlas i första hand för att:

Hantera försäljnings- och avtalsprocesser med kunder.

• På kundens begäran tillhandahålla offerter för produkter.
• Marknadsföra produkterna.
• Fullgöra våra avtalsförpliktelser i förhållande till användare där vi är personuppgiftsansvariga.
• Ge support till användare av produkterna.
• Förbättra produkternas funktionalitet och användarvänlighet.
• För att hantera kundavtal genom att till exempel fakturera.
• För att kunna nå kontaktpersoner och användare.

Potentiella kunder

Vi samlar in personuppgifter om potentiella kunder för att genomföra marknadsföringsåtgärder. De insamlade personuppgifterna omfattar i första hand namn, telefonnummer, företagsnamn, titel och e-postadress. Personuppgifter samlas in på till exempel mässor, från offentliga register och företags webbplatser samt från vårt eget kontaktformulär på vår webbplats. Personuppgifterna används sedan för att boka möten med potentiella kunder, skicka ut nyhetsbrev och skicka inbjudningar till våra evenemang eller webbseminarier.

Den rättsliga grunden för vår behandling av personuppgifter om potentiella kunder är vårt kommersiellt legitima intresse av att behandla personuppgifterna. Vi anser inte heller att behandlingen har någon negativ inverkan på den registrerades privatliv, särskilt med tanke på att de personer vars uppgifter vi behandlar kan välja att inte få ta del av våra marknadsföringsutskick och att de uppgifter som behandlas inte är av känslig karaktär.

För besökare på vår webbplats lagras IP-adresser i åtkomstloggar. Denna information är anonymiserad.

För besökare på vår webbplats använder vi cookies. Hur vi använder cookies beskrivs i vår cookiepolicy.

Hur samlar vi in personuppgifter?

De personuppgifter som vi behandlar samlas i första hand in direkt från dig. När det gäller våra kunder kan vi dock också samla in personuppgifter från någon annan person som också är anställd av din arbetsgivare. När det gäller arbetssökande får vi ofta personuppgifter under ansökningsprocessen, t.ex. från en rekryterare eller direkt från dig som arbetssökande.

Vi kan också samla in personuppgifter från offentliga register, webbplatser eller när du registrerar dig som tjänsteanvändare. Vi kan också samla in personuppgifter från partners.

Vi kan även behandla personuppgifter i form av bilder som du laddar upp i produkterna, till exempel bilder av kvitton. Mängden personuppgifter som vi samlar in i samband med dessa bilder varierar beroende på vilket dokument som har fotograferats.

Hur delar vi dina personuppgifter?

Vi kan dela dina personuppgifter med tredje part, till exempel i följande situationer:

Partners

Vi delar dina personuppgifter med partners och leverantörer. Dessa kan vara leverantörer av servrar, webbyråer eller andra partners som vi samarbetar med för att leverera våra produkter.

Myndigheter

I vissa situationer kan myndigheter begära att personuppgifter lämnas ut till en myndighet. I en sådan situation kommer vi endast att lämna ut personuppgifter om det finns ett beslut från myndigheten som kräver att personuppgifterna ska lämnas ut.

Transaktioner

I samband med ett förvärv, en sammanslagning med ett annat företag eller en delning av något av företagen i Findity-koncernen kan det förvärvande företaget och/eller dess anlitade konsulter kräva tillgång till vissa personuppgifter som vi behandlar om dig. I händelse av ett sådant utlämnande kommer vi att se till att den person som får personuppgifterna omfattas av ett sekretessavtal.

Dina rättigheter

Du kan välja att inte ta emot marknadsföring från oss genom att antingen:

1. följa instruktionerna om att välja bort vår kommunikation, eller
2. kontakta oss via kontaktformulären på webbplatsen.

Grundläggande rättigheter

Du har rätt att få tillgång till dina personuppgifter som vi behandlar och att granska dem. Du har också rätt att begära dataportabilitet för de behandlade personuppgifterna. Om de personuppgifter som vi behandlar om dig är felaktiga kan du begära att vi rättar dem.

Under vissa omständigheter har du rätt att begära att de personuppgifter som vi behandlar om dig raderas. Om du begär radering måste vi radera personuppgifterna om i) personuppgifterna inte längre behövs för det ändamål för vilket de samlades in, ii) du återkallar ett samtycke, iii) personuppgifterna behandlas olagligt eller iiii) personuppgifterna måste raderas av rättsliga skäl. Du har även rätt att begära att vår behandling av dina personuppgifter begränsas samt rätt att invända mot vår behandling av dina personuppgifter.

Om du har några frågor eller vill utöva dina rättigheter kan du kontakta vårt dataskyddsombud på privacy@findity.com

Om du har invändningar eller kommentarer om vår behandling av personuppgifter kan du också kontakta Integritetsskyddsmyndigheten på följande adress:

Integritetsskyddsmyndigheten

Box 8114
104 20 Stockholm,
Sverige

Eller via email: imy@imy.se

När du kontaktar oss för att hävda dina rättigheter kan vi komma att begära ID-handlingar eller kopior av ID-handlingar för att du ska kunna verifiera din identitet. Vi behandlar dessa personuppgifter så att vi kan uppfylla våra skyldigheter i enlighet med tillämplig lagstiftning. Dessa uppgifter kommer att raderas så snart vi har verifierat din identitet.

Hur vi behandlar och lagrar dina personuppgifter

När vi behandlar dina personuppgifter är alla i vår verksamhet skyldiga att följa tillämplig dataskyddslagstiftning och det som anges i detta dokument för att upprätthålla en hög skyddsnivå för din integritet.

När vi behandlar dina personuppgifter måste vi:

• förhindra obehörig åtkomst till dina personuppgifter,
• förhindra spridning av dina personuppgifter, och
• förhindra andra avvikelser när vi behandlar dina personuppgifter.

Vi ser till att dina personuppgifter behandlas konfidentiellt, att din integritet inte riskeras av vår behandling av personuppgifter och att vi garanterar tillgången till personuppgifter i enlighet med gällande tillämplig dataskyddslagstiftning.

För att uppnå en lämplig skyddsnivå när vi behandlar dina personuppgifter använder vi rimliga tekniska och organisatoriska åtgärder. Rimligheten bedöms utifrån den kategori av personuppgifter som vi behandlar i förhållande till den risk som kan uppstå i händelse av en överträdelse av våra system eller vår verksamhet och kostnaderna för att införa skyddsåtgärder.

Organisatoriska åtgärder

• Vi har utsett ett dataskyddsombud
• Vi har inrättat processer för hur vi ska agera i händelse av en dataskada.
• Vi håller regelbundna utbildningstillfällen för våra anställda om frågor som rör behandling av personuppgifter.
• Vi har ett databehandlingsavtal med alla våra leverantörer och andra berörda parter som behandlar personuppgifter för vår räkning.
• Vi har upprättat instruktioner för IT-hantering inom organisationen.

Tekniska åtgärder

• Vi använder 256-bitars kryptering (128-bitars för vissa äldre telefoner med hårdvarubegränsningar) och 2048-bitars nycklar.
• All kommunikation till och från användare krypteras med TLS. Data som lagras i servermiljöer krypteras med ZFS-kryptering.
• Kontroller för att upptäcka och förhindra skadlig kod körs regelbundet med hjälp av verktyg för att upptäcka och ta bort rootkit.
• IDS/IDP-övervakare kontrollerar och raderar skadlig kod kontinuerligt.
• Våra produkter är i drift på servrar i datacenter som övervakas och bemannas dygnet runt.
• All data lagras på två olika platser i Sverige.
• Data säkerhetskopieras varje timme.
• Datacentren är klimatkontrollerade och brandskyddade.
• Datacentren är utrustade med sekundär strömförsörjning och dieselgeneratorer för att säkerställa strömförsörjningen till servrarna.
• Vår servermiljö och våra nätverk är skyddade av brandväggar.

Hur länge behandlar vi dina personuppgifter?

Vi kommer att behandla dina personuppgifter så länge det är nödvändigt för det syfte för vilket vi har samlat in personuppgifterna och så länge som vi har en rättslig grund för behandlingen av personuppgifterna. Detta innebär att vi kan behandla dina personuppgifter en tid efter att ett avtalsförhållande har upphört. Så snart vi inte längre behöver personuppgifterna eller inte har någon rättslig grund för att behandla dem, raderar vi dem.

Behandling av personuppgifter i egenskap av personuppgiftsbiträde

Som en del av vårt tillhandahållande av produkterna kommer vi under vissa förutsättningar att behandla personuppgifter om användare och kundrepresentanter för våra kunders räkning i partner- och direkta kundtransaktioner, eftersom dessa parter har fått rätt att tillhandahålla produkterna i sitt eget namn. I dessa situationer bestämmer våra kunder och partners ändamålen och sättet för behandlingen av personuppgifter. Det innebär att vi i dessa situationer endast behandlar personuppgifter på kundens eller partnerns vägnar och att vi endast får behandla sådana personuppgifter i enlighet med de instruktioner som de ger oss. Förhållandet mellan oss och en sådan partner eller kund regleras i ett personuppgiftsbiträdesavtal.

När våra kunder eller partner är ansvariga för personuppgifter är det kunden eller partnern som måste se till att de har en rättslig grund för att behandla personuppgifterna och att de registrerade informeras i enlighet med kraven i tillämplig dataskyddslagstiftning.

När våra kunder eller partner använder produkterna måste vi se till att produkterna uppfyller kraven i tillämplig lagstiftning om dataskydd. Vi kommer också att samarbeta med våra kunder och partner så att de kan uppfylla sina skyldigheter gentemot dem vars personuppgifter behandlas.

Användning av personuppgiftsbiträden och underbiträden

I vår behandling av personuppgifter kan vi i vissa situationer använda andra aktörer för att behandla personuppgifter för vår räkning. När vi ger dessa personuppgiftsbiträden eller underbiträden i uppdrag att behandla personuppgifter för vår räkning kommer personuppgifterna som regel inte att behandlas utanför EU/EES.

När vi ger dessa personuppgiftsbiträden eller underbiträden i uppdrag att behandla personuppgifter för vår räkning ser vi till att de kan uppfylla kraven för behandling av personuppgifter i enlighet med tillämplig dataskyddslagstiftning. Vi ingår alltid personuppgiftsbiträdesavtal med sådana aktörer för att säkerställa att de uppfyller dessa krav. Om den person som vi ger uppdrag åt är en aktör som kan komma att behandla dina personuppgifter utanför EU/EES, ser vi till att vidta de åtgärder som krävs enligt tillämplig dataskyddslagstiftning för att en överföring till ett land utanför EU/EES ska anses vara laglig. En fullständig förteckning över våra underbiträden finns i bilaga 2

Länkar till andra webbplatser

Om vår webbplats innehåller länkar till tredje parts webbplatser eller material som publiceras av tredje part, är dessa länkar endast avsedda för information. Eftersom vi inte har någon kontroll över materialet eller behandlingen av personuppgifter på dessa sidor tar vi inget ansvar för behandlingen av personuppgifter i samband med sådana sidor.

Ändringar av denna policy

Om denna policy ändras kommer en uppdaterad version av dokumentet att göras tillgänglig på vår webbsida. För att hålla dig uppdaterad om dess innehåll rekommenderar vi därför att du besöker vår webbsida regelbundet. Om vi gör betydande ändringar i detta dokument, till exempel ändrar syftet med behandlingen av personuppgifter, kommer vi också att skicka ett e-postmeddelande eller lägga ut ett meddelande via våra sociala medier.

Kontaktuppgifter

Om du har några frågor om denna policy, dina personuppgifter eller om du misstänker att vi bryter mot dina rättigheter, vänligen kontakta oss på något av följande sätt:

Findity AB
P.O. Box 108
771 23 Ludvika
Sverige

Email: privacy@findity.com

Ladda ned bilaga.

INTRODUCTION

DEFINITION

RESPONSIBILITY

FOCUS

SERVICES AND INFRASTRUCTURE

APPLICATION OPERATIONS, SOFTWARE AND SERVICES DEVELOPMENT AND MAINTENANCE

SUPPORT SYSTEMS

• Source code management: GIT on an internal GIT server
• Build environment: Jenkins on a dedicated server

PATCH MANAGEMENT

Patch management includes controls for vulnerabilities, patches, and fixes. Patch management is manual and includes a review of all physical and virtual machines once a week. System patching includes evaluating available patches and manually applying them to affected systems.

PHYSICAL SECURITY

FINDITY's system is deployed at dedicated data centers. The data center service provider limits physical access to authorized personnel. Registration is required for admission. Perimeter security consists of intrusion, fire, and water alarm systems, video surveillance, code locks, and physical locks.

REDUNDANCY

The server environment consists of several physical servers in separate rack cabinets with associated separate disk cabinets for storage. Each server has redundant power, network cards, and cooling. The network infrastructure consists primarily of redundant, physically separated switches and redundant network cards in each server.

POWER SUPPLY

The data center uses a redundant power supply which is backed up by diesel generators in the event the main power supply is disrupted. Each physical server and disk cabinet has a redundant power supply and is also backed up by UPS for battery operation.

DESTRUCTION OF STORAGE MEDIA

Destruction of unneeded storage media containing sensitive information is by multiple overwriting followed by physical destruction by a trusted third party, where the destruction is documented by the third party.

COMMUNICATIONS AND OPERATIONS

FINDITY’s services are operated exclusively within its own infrastructure in the form of physical and virtual servers

EXTERNAL NETWORK CONNECTIONS

External network connections are hardened and configured to protect against unauthorized traffic. All external connections to the services are made through a DMZ and registered in an auth log. Tagged VLANs separate internal networks (TEST, DMZ, PROD) where external traffic is separated from internal traffic by a firewall and separate VLANs. Externally, only ports 25 (inbound mail receipts), 80, 443 (HTTP/s), and 1194 (UDP for VPN) are open for incoming traffic. Outgoing traffic is allowed over ports 22, 80, 443, 7590 (backup), 9418 (source code management) and 2196 (Apple Push).

SYSTEM ACCESS AND LOGGING

Access control lists, authentication, and encryption using OpenVPN Access Server in the DMZ provide backend security. Only system operators have backend access and are registered on the VPN Access Server. All traffic goes through the DMZ. Local auth logging of all login attempts to the backend takes place in the DMZ. Authentication logging for production systems and services takes place in Graylog on each application server and with redundancy.

ENCRYPTION

All communications to and from FINDITY’s services, system to system or program to program, transmitted external to the backend, are encrypted. Information transmitted between the Internet and the backend is encrypted using HTTPS/SSL or SSH. Public TLS certificates for SPARAKVITTOT.SE and FINDITY.COM are issued by DigiCert.

MALWARE CHECKS

Checks to detect and prevent malware from running are carried out regularly using rootkit detection and removal tools.

INFORMATION SHARING

FINDITY handles sensitive financial information and must prevent unauthorized access to external or Internet-exposed applications and their information. Partners' data are separated into unconnected database tables and protected using access control lists in order to prevent unauthorized access to information where it is processed on shared servers. Firewalls separate web and application servers from database servers. Public web servers are also separated from application and database servers in the backend by a DMZ.

SYSTEM ACCESS

Access to the production system’s backend is only possible through wired networks and encrypted connections (VPNs). Access to the backend is granted based on functional requirements for the service and is limited to those resources required to meet the company's needs. Connections to backend services require authentication and encryption over OpenVPN and Cisco AnyConnect respectively (in development). Access to backend operating systems requires SSH (with keys). The exchange of credentials (such as usernames, passwords, and digital certificates) between clients and applications on networks has been implemented so that account details and passwords/keys are transmitted over different systems.

EVENT LOGS

Event logs are generated for systems and networks used within the service’s framework and are stored for at least 180 days. Event logs can be analyzed for security-related events. Event logs for accounts with privileged access to the backend are logged and analyzed in a separate system.

SUBCONTRACTORS

Hired subcontractors only have access to those parts of the services that are necessary for the subcontractors to be able to perform the service or services they have been hired to do. Subcontractor access is regulated by access control lists, authentication, and encryption using OpenVPN Access Server in the DMZ and through dedicated VLANs for the relevant services.

BACKUP

Backups are made exclusively to ZFS-based disk systems and are done at several distinct levels File system development has focused on data integrity, that is, the protection of information on storage media against bit rot, phantom writes, etc. Such problems can, among others, manifest themselves by the data on the hard drives spontaneously starting to change and becoming incorrect, without any intervention from a user or operating system, or as the result of mechanical or external factors such as cosmic radiation or power surges. ZFS provides very good protection against bit rot and other data corruption and also includes built-in backup functionality.

• Backups run locally with redundancy to separate disks across two physical servers.
• Local ZFS snapshots of application servers and databases are taken every hour.
• A full ZFS backup is run every night.
• Results are logged in the file system journal. Markup is done using timestamps.
• Redundant remote backup takes place over SSH to dedicated backup volumes at a different physical location.
• Backup volumes are verified weekly using the ZFS zpool scrub command.
• Backed-up data integrity is verified regularly by performing recovery from backup.

MISCELLANEOUS RISK ASSESSMENTS

AND VULNERABILITY ANALYSIS

FINDITY regularly conducts risk assessments and vulnerability analysis using the OWASP Top 10 as the minimum requirement level.

Security reviews of the production system are carried out by a trusted third party using standardized intrusion prevention tools. The results of the security reviews are documented separately and placed in a backlog for prioritization according to assessed risk.

The current architecture and implementation are deemed robust with regard to redundancy and backup procedures. However, there is no geographical redundancy and we intend to address this as soon as possible.

SYSTEM DOCUMENTATION

System documentation is secured using authentication and encryption over HTTPS. Access is limited solely to employees in the development department.