Integritetspolicy

Personuppgiftsansvarig

JBANORDIC (org.nr 199312274658) är personuppgiftsansvarig för den behandling som beskrivs i denna policy. Har du frågor om hur vi hanterar dina personuppgifter, eller vill utöva någon av dina rättigheter, når du oss på hi@ravnsec.com.

Vilka uppgifter vi behandlar — och varför

Vi samlar bara in uppgifter som behövs för att besvara förfrågningar och genomföra penetrationstester. Vi säljer aldrig personuppgifter och använder dem inte för marknadsföring åt tredje part.

• Offertförfrågan: namn, företagsnamn, e-postadress, telefonnummer (frivilligt) samt din beskrivning av applikationen. Ändamål: att besvara din förfrågan och ta fram en offert. Rättslig grund: artikel 6.1 b GDPR — åtgärder på din begäran innan avtal ingås.
• Frivilligt underlag inför offert: dokumentation och valda GitHub-projekt som ni delar för att hjälpa oss bedöma omfattningen. AI-analys av delad kod kräver ett separat, frivilligt godkännande. Relevanta koddelar kan då behandlas av OpenAI eller Anthropic utanför EU. Ni kan begära offert utan att dela kod eller godkänna AI-analys.
• Scopingformulär (inför ett uppdrag): kontaktuppgifter, teknisk kontaktperson, uppgift om vem som godkänt testningen, teknisk information om er miljö samt vilka system som ingår i uppdraget. Ändamål: att planera och genomföra det avtalade penetrationstestet. Rättslig grund: artikel 6.1 b GDPR — fullgörande av avtal.
• Testkonton: inloggningsuppgifter till testkonton som ni själva lägger upp för uppdraget. De krypteras (AES-256-GCM) innan de lagras och visas aldrig igen i webbläsaren. Rättslig grund: artikel 6.1 b GDPR.
• Uppladdade filer: dokumentation, källkod eller annat material ni väljer att dela inför uppdraget. Filerna lagras i en privat lagringsyta och är bara åtkomliga för JBANORDIC:s personal. Rättslig grund: artikel 6.1 b GDPR.
• Godkännande av offert: namn, roll, e-postadress, IP-adress, webbläsarinformation och tidpunkt för den som accepterar en offert. Ändamål: att kunna visa att ett avtal har ingåtts och av vem. Rättslig grund: artikel 6.1 f GDPR — vårt berättigade intresse av att kunna styrka ingångna avtal.
• Användningsanalys via PostHog, endast om du samtyckt: vi registrerar namngivna skärmar och funktioner samt produkt, plattform, miljö, webbversion och språk. En slumpmässig analysidentitet sparas lokalt och delas inte mellan produkter. Rättslig grund: artikel 6.1 a GDPR, ditt samtycke. Se avsnittet Frivillig användningsanalys för detaljer.
• E-post: när du kontaktar oss på hi@ravnsec.com behandlar vi din e-postadress och innehållet i meddelandet för att kunna svara. Rättslig grund: artikel 6.1 f GDPR — vårt berättigade intresse av att hantera korrespondens.
• Tidigare insamlad Google Analytics-statistik kan finnas kvar enligt den lagringstid som var inställd i kontot. Vi skickar inte längre nya analyshändelser till Google Analytics.

Mottagare och underbiträden

Vi delar aldrig dina uppgifter med tredje part för deras egna ändamål. Följande leverantörer behandlar uppgifter för vår räkning som personuppgiftsbiträden:

• En molnleverantör för databas och fillagring — all data lagras i region Stockholm (EU). Omfattar samtliga uppgifter du skickar in via våra formulär.
• En e-postleverantör för interna avisieringar — behandlar de kontakt- och företagsuppgifter du lämnar i offertformuläret, enbart för att meddela oss att en ny förfrågan kommit in. Uppgifterna behandlas inom EU.
• En driftleverantör för webbplatsen (hosting och CDN) behandlar tekniska uppgifter som IP-adress när du besöker webbplatsen. Automatisk besöksmätning via driftleverantören är avstängd.
• En svensk leverantör av AI-infrastruktur — vårt förvalda suveräna AI-spår. Behandlar scopinguppgifter och uppdragsmaterial när AI-analys körs.
• En amerikansk AI-leverantör (frontier-modeller) — endast om ni uttryckligen valt frontier-spåret för ert uppdrag. Se avsnittet om tredjelandsöverföring nedan.
• Google Ireland Limited kan behandla tidigare insamlad Google Analytics-statistik enligt kontots befintliga lagringstid. Ingen ny användningsanalys skickas dit.
• PostHog behandlar de uttryckligt definierade analyshändelserna i EU, endast efter aktivt samtycke. Inga formulärtexter, kontaktuppgifter eller uppdragsuppgifter skickas till PostHog.
• OpenAI eller Anthropic kan behandla relevanta delar av delad källkod för offertbedömning, endast efter ert separata godkännande. Vilket konto och vilka datavillkor som används kontrolleras innan analysen körs.

Överföring till tredjeland

Med det suveräna förvalet behandlas ert uppdragsmaterial i Sverige och EU. Väljer ni frontier-spåret överförs uppdragsdata (till exempel teknisk dokumentation och testresultat) till en amerikansk AI-leverantör. Överföringen sker med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU-U.S. Data Privacy Framework, artikel 45 GDPR) eller EU-kommissionens standardavtalsklausuler (artikel 46 GDPR).

Godkänner du analyscookies överförs viss besöksdata till Google Ireland Limited för Google Analytics, som kan vidarebefordra den till Google LLC i USA. Överföringen sker med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU-U.S. Data Privacy Framework, artikel 45 GDPR) eller standardavtalsklausuler (artikel 46 GDPR) — samma rättsliga grund som för frontier-spårets AI-leverantör ovan.

Hur länge vi sparar uppgifterna

• Offertförfrågningar som inte leder till uppdrag raderas senast 12 månader efter vår senaste kontakt.
• Allt material som skickas in i scopingformuläret — tekniska uppgifter om er miljö, uppladdade filer och testkonton — raderas senast 30 dagar efter avslutat uppdrag. Testkontonas inloggningsuppgifter raderas skyndsamt redan när testningen är klar.
• Kontaktuppgifter och avtalsinformation sparas i 24 månader efter avslutat uppdrag, för uppföljning och för att kunna hantera eventuella rättsliga anspråk.
• Uppgifter i fakturaunderlag sparas i sju år enligt bokföringslagen. Rättslig grund: artikel 6.1 c GDPR — rättslig förpliktelse.
• Besöksdata från Google Analytics sparas enligt den lagringstid vi ställt in i vårt Google Analytics-konto (Googles standardvärde är 14 månader för användarnivådata).
• Godkännandet för kodanalys kan återkallas via er privata länk eller genom att kontakta oss. Återkallning eller frånkoppling av GitHub raderar analysunderlaget hos oss och stoppar framtida åtkomst. Det tar inte tillbaka kod som redan behandlats av AI-leverantören; leverantörens tillämpliga datavillkor gäller för den behandlingen.

Säkerhet

Säkerhet är vår kärnverksamhet, och vi behandlar era uppgifter därefter. All data krypteras under överföring och i vila, känsliga uppgifter som testkonton krypteras dessutom separat med AES-256-GCM, och åtkomsten är begränsad till behörig personal genom åtkomstkontroll på radnivå i databasen.

Dina rättigheter

Enligt GDPR har du rätt att:

• få tillgång till de personuppgifter vi behandlar om dig, ett så kallat registerutdrag (artikel 15)
• få felaktiga uppgifter rättade (artikel 16)
• få dina uppgifter raderade (artikel 17)
• begära att behandlingen begränsas (artikel 18)
• få ut dina uppgifter i ett maskinläsbart format och flytta dem till en annan aktör, så kallad dataportabilitet (artikel 20)
• invända mot behandling som stödjer sig på berättigat intresse (artikel 21)

Kontakta oss på hi@ravnsec.com så hjälper vi dig — vi svarar senast inom en månad. Du har också alltid rätt att lämna in klagomål till Integritetsskyddsmyndigheten (IMY), www.imy.se.

Automatiserat beslutsfattande

Vi fattar inga automatiserade beslut som har rättsliga följder eller på liknande sätt i betydande grad påverkar dig (artikel 22 GDPR). JBANORDIC:s AI-agenter arbetar som verktyg under ledning av våra penetrationstestare — bedömningar och rapporter granskas alltid av människor.

Ändringar i denna policy

Vi kan komma att uppdatera policyn, till exempel när tjänsten utvecklas eller lagstiftningen ändras. Den senaste versionen finns alltid på den här sidan, och datumet överst visar när den senast ändrades. Vid väsentliga ändringar informerar vi pågående kunder direkt.

Frivillig användningsanalys

Om du aktivt tillåter användningsanalys skickar appen eller webbplatsen uttryckligt definierade händelser till PostHog i EU: namngiven skärm, använd funktion, produkt, plattform, miljö, appversion, språk och fasta tekniska felkoder. Felmeddelanden och stack traces skickas inte. Analysen använder ett slumpmässigt lokalt identifieringsnummer utan namn eller kontoidentifiering. Identiteter delas inte mellan olika produkter.

Vi skickar inte kontaktuppgifter, formulärtexter, söktexter, AI-konversationer, kunders säkerhetsuppgifter eller tokenbärande URL:er. Automatisk klickinsamling och skärminspelning är avstängda. PostHog är inställt att inte lagra klientens IP-adress.

Samtycke är frivilligt. Du kan neka eller återkalla det via Hantera cookies i sidfoten. Återkallat samtycke stoppar nya händelser och återställer den lokala analysidentiteten; tidigare insamlade händelser raderas inte automatiskt. Kontakta hi@ravnsec.com vid frågor eller begäran om radering. PostHogs gratisgräns kan stoppa insamlingen.