Säkerhet och dataskydd

Så skyddar vi ditt gyms data

• Kryptering under överföring

  Allt som skickas mellan din webbläsare eller appen och våra servrar är krypterat med TLS (HTTPS). Dessutom skickar vi HSTS-huvudet, som tvingar webbläsaren att alltid använda HTTPS med oss i ett år.

• Kryptering av känsliga uppgifter

  Uppgifter som tillhör särskilda kategorier i de lagstadgade hälsoformulären (som etniskt ursprung, könsidentitet, funktionsnedsättning eller sjukförsäkringsbolag) lagras krypterade. Inloggningsuppgifterna till betalleverantörerna och till varje anläggnings integrationer lagras också krypterade, och certifikatens privata nycklar skyddas av ett lösenord som förstärks med en serverhemlighet som inte finns i databasen.

• Varje gym är isolerat från de andra

  Varje person arbetar med en profil som är knuten till ett företag och en anläggning, och behörigheter och sökningar begränsas till det området. Ett gym ser inte ett annat gyms data, och inom ett gym ser varje roll bara det som dess anläggning tillåter.

• Krypterade och testade säkerhetskopior

  Vi tar en säkerhetskopia av databaserna varje dag. Varje kopia krypteras (AES-256) innan den lämnar servern och sparas i krypterad lagring; kopiorna sparas i 15 dagar. För att vara säkra på att de verkligen fungerar gör vi ett återställningstest som startar en kopia i en separat miljö och kontrollerar att uppgifterna finns där.

• QR-koder för inpassering med engångsanvändning

  QR-koden som medlemmen visar vid spärrgrinden genereras slumpmässigt, kan bara användas en gång och förnyas så fort den har öppnat en dörr. Om den inte används går den ut efter 24 timmar och ersätts av en ny. Det finns ingen fast nyckel som kan kopieras eller vidarebefordras.

• Granskningslogg

  Relevanta åtgärder loggas med vem som utförde dem och via vilken kanal (panel, app eller assistent), så att det går att granska vad som hände och när.

Skydd av konton

• Lösenord

  Nya lösenord måste vara minst 8 tecken långa (och högst 72). De lagras aldrig i klartext.

• Spärr mot upprepade inloggningsförsök

  Om någon upprepade gånger anger fel lösenord blockeras inloggningen under en tid. Blockeringen hävs av sig själv och gör inte kontot oanvändbart.

• Tvåstegsverifiering (2FA)

  Finns med valfri kodapp (Google Authenticator, Authy och liknande), med återställningskoder om du tappar bort telefonen. Den är obligatorisk för plattformens administratörer och för teamet på de anläggningar som väljer att kräva den; den som aktiverar den på egen hand kan inte längre hoppa över den vid inloggning. Om du markerar en enhet som betrodd frågar vi inte efter den igen på 7 dagar.

• Sessioners giltighetstid

  Sessioner i panelen går ut efter 7 dagar och du måste logga in igen. Du kan se och avsluta dina aktiva sessioner.

Var uppgifterna lagras

Plattformens servrar och databaser finns hos Amazon Web Services, i ett datacenter i Spanien (Europeiska unionen). Assistenten LAIA fungerar med AI-modeller som körs på servrar i Europeiska unionen. Mer information om behandlingen av uppgifter finns i integritetspolicyn.

Leverantörer som behandlar uppgifter (underbiträden)

Det här är de leverantörer som behandlar ditt gyms uppgifter för att tjänsten ska fungera. De använder uppgifterna endast enligt våra instruktioner.

Om gymmet aktiverar integrationer med andra tjänster (bioimpedansvågar, administrationsprogram) delas uppgifterna med dem eftersom gymmet bestämmer det. När en leverantör finns utanför Europeiska ekonomiska samarbetsområdet grundas överföringen på dataskyddsramverket mellan EU och USA eller på Europeiska kommissionens standardavtalsklausuler.

Personuppgiftsbiträdesavtal (DPA)

Om ditt gym behöver teckna ett personuppgiftsbiträdesavtal med oss skickar vi det när du ber om det. Skriv till info@fitmewise.com.

Policy för rapportering av sårbarheter

Om du tror att du har hittat en säkerhetslucka i Fitmewise vill vi veta det. Tack för att du underrättar oss på ett ansvarsfullt sätt.

Så rapporterar du

Skriv till oss på info@fitmewise.com. Kontaktuppgifterna finns också i /.well-known/security.txt.

Vad rapporten bör innehålla

• Vad du har hittat och var (webbadress, skärm eller endpoint).
• Stegen för att återskapa det, med ett proof of concept om du har ett.
• Vilken påverkan du tror att det har och vilka uppgifter som kan beröras.
• Dina kontaktuppgifter, ifall vi behöver mer information (du kan skriva anonymt, men då kan vi inte svara dig).

Vad som omfattas

• fitmewise.com
• Dashboard (gymmets administrationspanel)
• Fitmewises API
• Fitmewises mobilappar och varje gyms egna appar

Vad som inte omfattas

• Överbelastningsattacker (DoS/DDoS) eller belastningstester.
• Social manipulation riktad mot personal, gym eller medlemmar (nätfiske, telefonsamtal osv.).
• Fysiska attacker mot kontor, utrustning eller lokaler.
• Utskick av skräppost eller massmeddelanden via våra formulär eller kanaler.

God tro

Om du agerar i god tro, inte tar del av fler uppgifter än vad som behövs för att visa bristen, inte ändrar eller förstör dem, inte påverkar tjänsten och ger oss rimlig tid att åtgärda den innan du offentliggör den, vidtar vi inga rättsliga åtgärder mot dig för den undersökningen.

Svarstider

Vi bekräftar mottagandet inom högst 5 arbetsdagar och håller dig informerad om hur åtgärden fortskrider.

Belöningar

Vi har inget program med ekonomiska belöningar (bug bounty): vi betalar inte för rapporter, även om vi är mycket tacksamma för insatsen.