Europæiske cloud-udbydere
Hos Repejo benytter vi udelukkende europæiske cloud-udbydere til behandling og opbevaring af de oplysninger, hvor vi fungerer som databehandler. Det betyder, at vi ikke foretager nogen overførsel til tredjelande. Vores udbydere er europæiske virksomheder, ikke amerikanske cloud-giganter. Det betyder, at hverken vi eller vores udbydere er omfattet af CLOUD Act. I kan altså være helt sikre på, at alle personoplysninger forbliver inden for EU. Vi benytter det svenskeGleSYS,detfinskeUpcloudogdet nederlandskeAppSignal. Alle tre er certificeret i henhold til ISO 27001:2013. Alle personoplysninger behandles og opbevares i datacentre i Sverige.
Kryptering
Repejo overholder branchestandarder for kryptering. Vi anvender stærk standardkryptering – eller den kryptering, som vores samarbejdspartner kræver – til al kommunikation. Personoplysninger, der opbevares hos vores leverandører, lagres i krypteret form, såkaldt »encryption at rest«. Vores tjenester er kun tilgængelige via krypterede forbindelser.
Organisatoriske sikkerhedsforanstaltninger
Hver organisation, der er kunde hos os, får sit eget, separate databaseskema. Det betyder, at kundernes data aldrig blandes sammen, hvilket mindsker risikoen for brud på persondatasikkerheden. Repejos medarbejdere har ikke adgang til jeres database. Hvis I ønsker hjælp fra vores support, skal I invitere os ind i jeres organisation. Det betyder, at det er jer, der bestemmer, hvem der har adgang til jeres donorers personoplysninger. Alle vores medarbejdere er omfattet af fortrolighedsaftaler.
Tekniske sikkerhedsforanstaltninger
Vi anvender udelukkende tofaktorautentificering, når vi logger ind hos vores leverandører.
Repejo er udviklet i rammerne Phoenix og Ecto, som har indbygget beskyttelse mod SQL-injection, XSS og CSRF. Vi følger den etablerede praksis for de rammer og værktøjer, vi bruger.
GDPR
I forhold til donoren er I den dataansvarlige, og Repejo er jeres databehandler. Ud over at vi overholder GDPR gennem de tekniske og organisatoriske foranstaltninger, vi træffer, hjælper vi jer naturligvis også med at håndtere jeres donorers rettigheder. Det betyder, at vi blandt andet hjælper med at udarbejde registerudtræk og slette personoplysninger. Da vi ikke har klientmidlerkonti og ikke gemmer kvitteringer eller regnskabsoplysninger, mener vi, at hvis en donor anmoder om sletning, kan I slette vedkommendes personoplysninger fuldstændigt fra vores systemer. Giva Sverige anbefaler, at oplysninger om donorer slettes efter 36 måneder, hvis donoren ikke længere er aktiv, og det er standarden i vores systemer. Sletningen sker automatisk, medmindre I meddeler os andet. Sletningen sker ved anonymisering, hvilket betyder, at I stadig kan få statistik over transaktioner, men ikke kan knytte dem til en bestemt person.
Kort sagt hjælper vi jer med at overholde GDPR, og det er naturligvis inkluderet i den faste pris. For yderligere oplysninger kan I læse aftalen om databehandler i vores vilkår. Linket til aftalen findes nederst i sidefoden.