Integritetspolicy

a) Kundens uppgifter (organisation)

• Kontouppgifter — den utsedda personens e-postadress, organisationens namn.
• Publik krypteringsnyckel — genererad och lagrad för E2E-kryptering av rapporter.
• Kommunikation — innehållet i e-postmeddelanden som skickas till oss, supportförfrågningar.

b) Rapportörens uppgifter

c) Automatiskt insamlade uppgifter (enbart på dashboarden)

• Tekniska uppgifter — IP-adress, webbläsartyp (enbart för autentiserade användare på dashboarden).
• Sessionscookies — i enlighet med Cookiepolicyn.

• Tillhandahållande av Tjänster — skapande och hantering av kontot, drift av rapporteringskanalen, kryptering och lagring av rapporter.
• Tjänsterelaterad kommunikation — notifieringar om nya rapporter, utgående lagstadgade tidsfrister, plattformsuppdateringar.
• Säkerhet — skydd av infrastrukturen, upptäckt av missbruk, förebyggande av obehörig åtkomst.
• Regelefterlevnad — uppfyllande av lagstadgade skyldigheter (Direktiv (EU) 2019/1937, GDPR, skattelagstiftning).

Vi säljer, hyr inte ut och delar inte användarnas personuppgifter med tredje part i marknadsföringssyfte.

Vi behandlar personuppgifter på följande rättsliga grunder (art. 6 GDPR):

• Kontouppgifter — under kontots livstid och högst 30 dagar efter begäran om radering.
• Krypterade rapporter — i enlighet med Kundens lagringspolicy och skyldigheterna enligt Direktiv (EU) 2019/1937 (minst 5 år från rapportens datum).
• Tekniska uppgifter (dashboard) — högst 12 månader efter insamling.
• Kommunikation och supportförfrågningar — högst 3 år efter senaste kommunikation.
• Faktureringsuppgifter — 10 år i enlighet med rumänsk skattelagstiftning (Legea 82/1991).

Personuppgifter kan nås eller behandlas av följande underbiträden:

För överföringar av uppgifter utanför EES förlitar vi oss på Standardavtalsklausuler (SCCs) godkända av Europeiska kommissionen.

Viktigt: Innehållet i rapporter är E2E-krypterat och är inte tillgängligt för något underbiträde.

Enligt GDPR har du följande rättigheter:

• Rätt till tillgång (art. 15) — att erhålla en kopia av de personuppgifter som behandlas.
• Rätt till rättelse (art. 16) — korrigering av felaktiga eller ofullständiga uppgifter.
• Rätt till radering (art. 17) — radering av uppgifter i enlighet med lagen.
• Rätt till begränsning (art. 18) — begränsning av behandlingen i vissa situationer.
• Rätt till dataportabilitet (art. 20) — att erhålla uppgifter i ett strukturerat format (JSON/CSV).
• Rätt att göra invändningar (art. 21) — invändning mot behandling baserad på berättigat intresse.
• Rätt att återkalla samtycke (art. 7) — återkallelse när som helst.
• Rätt att inte bli föremål för automatiserat beslutsfattande (art. 22) — inklusive profilering.

För att utöva dina rättigheter, skicka ett e-postmeddelande till contact@whistle-box.eu med ämnesraden "GDPR-begäran WhistleBox".

Vi implementerar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter:

• End-to-end-kryptering (E2E) av rapporters innehåll.
• Kryptering vid överföring (TLS 1.2+) för all kommunikation med servern.
• Lösenord lagras med säkra hashalgoritmer (bcrypt med salt).
• Begränsad åtkomst till databaser och infrastruktur enligt principen om minsta privilegium.
• Servrar i Europeiska unionen (Hetzner Online GmbH, Tyskland).
• Regelbundna och krypterade säkerhetskopior.
• Kontinuerlig övervakning av åtkomst och avvikelser.
• Autentisering via JWT-tokens med begränsad giltighetstid.
• Rapporteringssidorna (/r/) sätter inga cookies och samlar inte in identifierande uppgifter.

Operatören kan uppdatera denna policy med jämna mellanrum. Användare meddelas via e-post och/eller genom ett meddelande på Plattformen minst 15 dagar innan väsentliga ändringar träder i kraft.