Privatlivspolitik

a) Klientdata (organisationen)

• Kontodata — e-mailadresse på den udpegede person, organisationens navn.
• Offentlig krypteringsnøgle — genereret og lagret til E2E-kryptering af indberetninger.
• Kommunikation — indholdet af e-mails sendt til os, supporthenvendelser.

b) Whistleblowerdata

c) Automatisk indsamlede data (kun på dashboard)

• Tekniske data — IP-adresse, browsertype (kun for godkendte brugere på dashboardet).
• Sessionscookies — i henhold til cookiepolitikken.

• Levering af tjenester — oprettelse og administration af kontoen, drift af indberetningskanalen, kryptering og lagring af indberetninger.
• Servicekommunikation — notifikationer om nye indberetninger, udløb af lovmæssige frister, platformopdateringer.
• Sikkerhed — beskyttelse af infrastrukturen, opdagelse af misbrug, forebyggelse af uautoriseret adgang.
• Lovmæssig overensstemmelse — opfyldelse af juridiske forpligtelser (Direktiv (EU) 2019/1937, GDPR, skattelovgivning).

Vi sælger, udlejer eller deler ikke brugernes persondata med tredjeparter til markedsføringsformål.

Vi behandler persondata på følgende retsgrundlag (art. 6 GDPR):

• Kontodata — i kontoens levetid og maksimalt 30 dage efter anmodning om sletning.
• Krypterede indberetninger — i henhold til klientens opbevaringspolitik og forpligtelserne i Direktiv (EU) 2019/1937 (minimum 5 år fra indberetningsdatoen).
• Tekniske data (dashboard) — maksimalt 12 måneder fra indsamling.
• Kommunikation og supporthenvendelser — maksimalt 3 år fra sidste kommunikation.
• Faktureringsdata — 10 år i henhold til rumænsk skattelovgivning (lov nr. 82/1991).

Persondata kan tilgås eller behandles af følgende underdatabehandlere:

For dataoverførsler uden for EØS anvender vi standardkontraktbestemmelser (SCCs) godkendt af Europa-Kommissionen.

Vigtigt: Indberetningernes indhold er E2E-krypteret og er ikke tilgængeligt for nogen underdatabehandler.

I henhold til GDPR har du følgende rettigheder:

• Ret til indsigt (art. 15) — at modtage en kopi af de behandlede persondata.
• Ret til berigtigelse (art. 16) — rettelse af unøjagtige eller ufuldstændige data.
• Ret til sletning (art. 17) — sletning af data i henhold til lovgivningen.
• Ret til begrænsning (art. 18) — begrænsning af behandlingen i visse situationer.
• Ret til dataportabilitet (art. 20) — modtagelse af data i et struktureret format (JSON/CSV).
• Ret til indsigelse (art. 21) — indsigelse mod behandling baseret på legitim interesse.
• Ret til tilbagetrækning af samtykke (art. 7) — tilbagetrækning til enhver tid.
• Ret til ikke at blive underlagt automatiseret beslutningstagning (art. 22) — herunder profilering.

For at udøve dine rettigheder, send en e-mail til contact@whistle-box.eu med emnet "GDPR-anmodning WhistleBox".

Vi implementerer passende tekniske og organisatoriske foranstaltninger til beskyttelse af persondata:

• End-to-end-kryptering (E2E) af indberetningernes indhold.
• Kryptering under transport (TLS 1.2+) for al kommunikation med serveren.
• Adgangskoder lagres med sikre hashing-algoritmer (bcrypt med salt).
• Begrænset adgang til databaser og infrastruktur baseret på princippet om mindste privilegium.
• Servere i Den Europæiske Union (Hetzner Online GmbH, Tyskland).
• Regelmæssige og krypterede sikkerhedskopier.
• Løbende overvågning af adgang og anomalier.
• Godkendelse via JWT-token med begrænset varighed.
• Indberetningssiderne (/r/) sætter ingen cookies og indsamler ingen identificeringsdata.

Operatøren kan opdatere denne politik med jævne mellemrum. Brugere vil blive underrettet via e-mail og/eller en meddelelse på platformen mindst 15 dage inden væsentlige ændringer træder i kraft.