Europeiska molnleverantörer
På Repejo använder vi uteslutande europeiska molnleverantörer för behandling och lagring av den information där vi är personuppgiftsbiträde. Det innebär att vi inte genomför någon tredjelandsöverföring. Våra leverantörer är europeiska företag, inte amerikanska molnjättar. Det innebär att varken vi eller våra leverantörer omfattas av CLOUD Act. Ni kan alltså vara helt trygga med att alla personuppgifter stannar inom EU. Vi använder oss av svenska GleSYS, finska Upcloud och nederländska AppSignal. Alla tre är certifierade enligt ISO 27001:2013. Alla personuppgifter behandlas och lagras på datacenter i Sverige.
Kryptering
Repejo följer branchstandarder när det gäller kryptering. Vi använder stark standardkryptering, eller den kryptering som vår samarbetspartner kräver, för all kommunikation. Personuppgifter som lagras hos våra leverantörer lagras krypterad, sk. encryption at rest. Våra tjänster finns bara tillgängliga över krypterade anslutningar.
Organisatoriska säkerhetsåtgärder
Varje organisation som är kund hos oss får ett eget, separat databasschema. Detta innebär att kunders data aldrig blandas och minskar risken för personuppgiftsincidenter. Repejos personal har inte tillgång till er databas. Vill ni ha hjälp av vår support behöver ni bjuda in oss till er organisation. Det innebär att det är ni som kontrollerar vem som har tillgång till era givares personuppgifter. All vår personal omfattas av sekretessavtal.
Tekniska säkerhetsåtgärder
Vi använder oss uteslutande av tvåfaktorsautentisering för vår egen inloggning hos våra leverantörer.
Repejo är utvecklat i ramverken Phoenix och Ecto som har inbyggt skydd mot SQL injection, XSS och CSRF. Vi följer etablerad praxis för de ramverk oct verktyg som vi använder.
GDPR
I relation till givaren är ni personuppgiftsansvariga och Repejo är ert personuppgiftsbiträde. Förutom att vi följer GDPR genom de tekniska och organisatioriska åtgärder vi vidtar så hjälper vi er såklart att hantera era givares rättigheter. Det innebära att vi hjälper med att till exempel ta fram registerutdrag och radera personuppgifter. Eftersom vi inte har klientmedelskonton, sparar några kvitton eller bokföringsuppgifter menar vi att om en givare begär att raderas så kan ni radera hens personuppgifter helt från våra system. Giva Sverige rekommenderar att man gallrar uppgifter om givande efter 36 månader om givaren inte längre är aktiv och det är standarden i våra system. Gallringen sker automatiskt om ni inte meddelar oss något annat. Gallring sker genom anonymisering vilket innebär att ni fortfarande kan få statistik på transaktioner, men inte knyta dem till en person.
Kort sagt, vi hjälper er uppfylla GDPR och det ingår såklart i det fasta priset. För mer information kan ni läsa personuppgiftsbiträdesavtal i våra villkor. Länken till avtalet finns längst ner i sidfoten.