Sikkerhed og databeskyttelse

Sådan beskytter vi dit centers data

• Kryptering under overførsel

  Alt, der sendes mellem din browser eller appen og vores servere, er krypteret med TLS (HTTPS). Derudover sender vi HSTS-headeren, som forpligter browseren til altid at bruge HTTPS over for os i et år.

• Kryptering af følsomme data

  Data om særlige kategorier i de lovpligtige sundhedsskemaer (som etnisk oprindelse, kønsidentitet, handicap eller sundhedsforsikringsselskab) gemmes krypteret. Legitimationsoplysningerne til betalingsudbyderne og til hver afdelings integrationer gemmes også krypteret, og certifikaternes private nøgler er beskyttet af en adgangskode, der er forstærket med en serverhemmelighed, som ikke findes i databasen.

• Hvert center er adskilt fra de andre

  Hver person arbejder med en profil, der er knyttet til en virksomhed og en afdeling, og tilladelser og forespørgsler er begrænset til det område. Et center kan ikke se et andet centers data, og inden for et center ser hver rolle kun det, som dens afdeling tillader.

• Krypterede og afprøvede sikkerhedskopier

  Vi tager en daglig sikkerhedskopi af databaserne. Hver kopi krypteres (AES-256), før den forlader serveren, og gemmes i krypteret lager; kopierne opbevares i 15 dage. For at være sikre på, at de virkelig virker, kører vi en gendannelsestest, som starter en kopi i et separat miljø og kontrollerer, at dataene er der.

• QR-koder til adgang til engangsbrug

  QR-koden, som medlemmet viser ved drejekorset, genereres tilfældigt, kan kun bruges én gang og fornyes, så snart den har åbnet en dør. Hvis den ikke bruges, udløber den efter 24 timer og erstattes af en ny. Der findes ingen fast nøgle, som kan kopieres eller videresendes.

• Revisionslog

  Relevante handlinger registreres sammen med, hvem der udførte dem, og via hvilken kanal (panel, app eller assistent), så det er muligt at gennemgå, hvad der skete, og hvornår.

Beskyttelse af konti

• Adgangskoder

  Nye adgangskoder skal være på mindst 8 tegn (og højst 72). De gemmes aldrig i klartekst.

• Bremse på loginforsøg

  Hvis nogen gentagne gange indtaster en forkert adgangskode, blokeres adgangen i et stykke tid. Blokeringen ophæves af sig selv og gør ikke kontoen ubrugelig.

• Totrinsbekræftelse (2FA)

  Tilgængelig med enhver kodeapp (Google Authenticator, Authy og lignende), med gendannelseskoder, hvis du mister telefonen. Den er obligatorisk for platformens administratorer og for teamet i de afdelinger, der beslutter at kræve den; den, der aktiverer den på eget initiativ, kan ikke længere springe den over ved login. Hvis du markerer en enhed som betroet, bliver du ikke spurgt igen i 7 dage.

• Sessionens udløb

  Sessioner i panelet udløber efter 7 dage, og du skal logge ind igen. Du kan se og afslutte dine aktive sessioner.

Hvor dataene opbevares

Platformens servere og databaser ligger hos Amazon Web Services, i et datacenter i Spanien (Den Europæiske Union). Assistenten LAIA fungerer med AI-modeller, der kører på servere i Den Europæiske Union. Du kan læse mere om behandlingen af data i privatlivspolitikken.

Leverandører, der behandler data (underdatabehandlere)

Det er de leverandører, der behandler dit centers data, for at tjenesten kan fungere. De bruger kun dataene efter vores instrukser.

Hvis centret aktiverer integrationer med andre tjenester (bioimpedansvægte, administrationssoftware), deles dataene med dem, fordi centret beslutter det. Når en leverandør befinder sig uden for Det Europæiske Økonomiske Samarbejdsområde, bygger overførslen på dataprivatlivsrammen mellem EU og USA eller på Europa-Kommissionens standardkontraktbestemmelser.

Databehandleraftale (DPA)

Hvis dit center skal indgå en databehandleraftale med os, sender vi den til dig, når du beder om det. Skriv til info@fitmewise.com.

Politik for indberetning af sårbarheder

Hvis du mener, at du har fundet en sikkerhedsfejl i Fitmewise, vil vi gerne vide det. Tak, fordi du giver os besked på en ansvarlig måde.

Sådan indberetter du

Skriv til os på info@fitmewise.com. Kontaktoplysningerne findes også i /.well-known/security.txt.

Hvad indberetningen bør indeholde

• Hvad du har fundet, og hvor (webadresse, skærmbillede eller endpoint).
• Trinnene til at gengive det, med et proof of concept, hvis du har et.
• Hvilken indvirkning du mener, det har, og hvilke data der kan blive berørt.
• Dine kontaktoplysninger, hvis vi har brug for flere oplysninger (du kan skrive anonymt, men så kan vi ikke svare dig).

Hvad der er omfattet

• fitmewise.com
• Dashboard (centrets administrationspanel)
• Fitmewises API
• Fitmewises mobilapps og hvert centers egne apps

Hvad der ikke er omfattet

• Denial-of-service-angreb (DoS/DDoS) eller belastningstests.
• Social engineering rettet mod personale, centre eller medlemmer (phishing, telefonopkald osv.).
• Fysiske angreb mod kontorer, udstyr eller faciliteter.
• Udsendelse af spam eller masseudsendelser via vores formularer eller kanaler.

God tro

Hvis du handler i god tro, ikke får adgang til flere data, end det er nødvendigt for at påvise fejlen, ikke ændrer eller ødelægger dem, ikke påvirker tjenesten og giver os en rimelig frist til at rette den, før du offentliggør den, vil vi ikke indlede retlige skridt mod dig på grund af den undersøgelse.

Svartider

Vi bekræfter modtagelsen inden for højst 5 hverdage og holder dig orienteret om, hvordan rettelsen skrider frem.

Belønninger

Vi har ikke et program med økonomiske belønninger (bug bounty): Vi betaler ikke for indberetninger, selvom vi er meget taknemmelige for indsatsen.