Sikkerhet og tillit

1. Sammendrag på én side

Nose for Horse («Nose») er et produkt i tidlig fase. Vi har ikke SOC 2 eller ISO 27001 i dag, og vi har ennå ikke bestilt en ekstern penetrasjonstest. Denne siden beskriver hva vi oppbevarer, hvor det kjører, og hvilke klasser av kontroller som beskytter det, slik at en sikkerhetsbevisst stall kan ta en informert beslutning.

• Hvem vi er. Nose er programvare for å drive en rideskole — planlegge ridetimer, registrere oppmøte og hvordan ryttere har betalt, administrere klippekort og gavekort, beregne instruktørenes inntekter og gi en stalls kunder innsyn i sine egne bestillinger. Nose drives av DF Daniel Fojcik, et polsk enkeltpersonforetak (NIP 6472592229 / REGON 387798601, Marklowice), under navnet Nose for Horse.
• Våre to roller. Vi er behandlingsansvarlig for våre egne konto-, analyse- og sikkerhetsdata, og databehandler som handler etter hver stalls instrukser for rytter-/kundedataene den stallen legger inn. Databehandlerforholdet reguleres av vår databehandleravtale. Se «Etterlevelse av regelverk» nedenfor.
• Hva vi oppbevarer. E-postadressen for kontoen og valgfritt profilnavn/telefonnummer; e-postadresser i invitasjoner; driftsoppføringene en stall legger inn om rytterne sine (navn, kontaktopplysninger, deltakelse i ridetimer, klippekort/gavekort, merkelapper for registrering av betaling, fritekstnotater); PIN-koder for timeplanen og invitasjonstokener lagres bare som enveishasher. Vi oppbevarer ingen betalingskort- eller bankdata og ingen helsedata. Fullstendig oversikt under «Data vi oppbevarer» nedenfor.
• Hva som beskytter dem. Kryptering under overføring og av lagrede data; tenant-isolasjon håndhevet i selve databasen; validering av økter på serversiden; ny autentisering (step-up) for destruktive handlinger og administratorhandlinger; en streng Content Security Policy; hastighetsbegrensning og beskyttelse mot roboter; og en revisjonslogg der oppføringer bare kan legges til (append-only). Se «Tekniske tiltak» nedenfor.
• Hvor det kjører. I mer enn én dataregion, og vi legger til regioner etter hvert som vi vokser. Kundedata for staller i US-regionen lagres i USA. Drift, administrasjon og brukerstøtte for tjenesten skjer fra Den europeiske union. Staller i EU-regionen vår betjenes fra EØS. Noen få tjenester deles av begge regionene og kjører i EØS — transaksjonell e-post, feilovervåking og produktanalyse — og noen få komponenter kjører globalt. Regioner og overføringsmekanismer for hver leverandør står på siden Underdatabehandlere.
• Hva vi ennå ikke har. Ingen SOC 2, ISO 27001 eller ekstern penetrasjonstest. Hvis innkjøpsprosessen din krever noe av dette i dag, er vi ennå ikke det rette valget.
• Slik kontakter du oss om sikkerhet. Send e-post til support@nose.horse med `Security` i emnefeltet. Se «Hendelseshåndtering (varsling av brudd innen 72 timer)» og «Ansvarlig avsløring av sårbarheter» nedenfor.

2. Data vi oppbevarer

Vi samler inn det minimum som trengs for å drive Tjenesten. Kategoriene nedenfor er de personopplysningene som kommer i berøring med Nose.

Der det i en rad står regionen til stallen din, betyr det EU-regionen eller US-regionen — fastsatt da stallen ble opprettet, og beskrevet nærmere under «Infrastruktur — hvem som drifter hva, og hvor» nedenfor.

Hva vi ikke oppbevarer

• Ingen betalingskort- eller bankdata. Nose er aldri part i en betaling og håndterer aldri kortdata. Betalingsmåter utenfor nett («kontant», «klippekort», «gavekort», «bankoverføring») er merkelapper for registrering som en stall fører — ikke transaksjoner Nose gjennomfører. For stallens abonnementsfakturering (Stripe for polske staller, Dodo Payments som Merchant of Record for ikke-polske staller) og for nettbetalinger fra ryttere der en stall aktiverer dem (Stripe, med oppgjør til stallens egen konto), håndteres kortdataene utelukkende i betalingsleverandørens egen betalingsløsning og når aldri oss — derfor forblir vi utenfor virkeområdet for PCI DSS (se «Etterlevelse av regelverk» nedenfor).
• Ingen identitetsdokumenter eller adresser. Vi samler ikke inn hjemmeadresser, ID-dokumentnumre eller offentlige identifikatorer.
• Ingen særlige kategorier av personopplysninger (helsedata). Vi har ikke til hensikt å samle inn opplysninger etter artikkel 9 i GDPR, og produktet er ikke utformet for å lagre dem. Staller er instruert (i databehandleravtalen) om ikke å legge inn særlige kategorier av personopplysninger i fritekstfelt. Notater om en hest gjelder et dyr, ikke en person, og faller utenfor GDPR.
• Ingen annonseprofiler, identifikatorer for retargeting eller sporing på tvers av nettsteder. Ingen Meta-/LinkedIn-/X-/TikTok-piksler; ingen fingeravtrykk av nettlesere.
• Ingen data selges, leies ut eller lånes ut til tredjeparter.
• Ingen trening av KI-/ML-modeller på dataene dine. Vi verken trener, finjusterer eller evaluerer noen KI- eller maskinlæringsmodell på personopplysninger hentet fra Nose.

3. Infrastruktur — hvem som drifter hva, og hvor

Nose driftes på administrert skyinfrastruktur, med et lite sett spesialiserte leverandører («underdatabehandlere») som hver håndterer en smal del. Ingen av dem har ende-til-ende-tilgang til alt. Nose har to dataregioner: en EU-region og en US-region. Kundedata for staller i US-regionen lagres i USA. Drift, administrasjon og brukerstøtte for tjenesten skjer fra Den europeiske union. En stalls driftsdata ligger bare i databasen i stallens egen region — det finnes ingen replikering mellom regionene og ingen applikasjonsvei som leser på tvers av dem. Tre tjenester deles av begge regionene og blir værende i EØS — transaksjonell e-post, feilovervåking og produktanalyse.

Den kanoniske, alltid oppdaterte listen over leverandører — med formål, kategorier av personopplysninger, behandlingsregion per dataregion og overføringsmekanisme for hver av dem — er siden Underdatabehandlere. Personvernerklæringen og databehandleravtalen lenker til den samme kilden i stedet for å ha avvikende kopier, og det gjør også denne siden.

4. Tekniske tiltak

Dette er klassene av kontroller som faktisk er på plass i dag. Dette er også innholdet bak Databehandleravtale → «Konfidensialitet, sikkerhet og underdatabehandlere», som viser hit for våre tekniske og organisatoriske tiltak.

Nettverk og overføring

• TLS for all trafikk, med HSTS preload.
• Ikke noe blandet innhold — usikre ressurser avvises av Content Security Policy.

Tenant-isolasjon og autorisasjon

• Radnivåsikkerhet avgrenset til hver stall på hver driftstabell, håndhevet i selve databasen — én stalls data kan ikke leses av en annen, selv om applikasjonskoden skulle ha en feil. Dette er det primære forsvaret på tvers av tenanter.
• Rollekontroller i applikasjonslaget som ekstra forsvarslag (defence-in-depth) oppå databaseisolasjonen, aldri som den eneste forsvarslinjen.

Autentisering

• Innlogging uten passord — innloggingslenke på e-post, eller valgfri innlogging med Google eller «Logg på med Apple». Ingen passord lagres.
• Validering av økten på serversiden ved hver beskyttet forespørsel — man stoler aldri på informasjonskapselen for innlogging alene.
• Ny autentisering (step-up) for destruktive og administrative handlinger; manglende eller utløpt step-up fører til avvisning.

Håndtering av hemmeligheter og påloggingsopplysninger

• PIN-koder for timeplanen og invitasjonstokener lagres bare som enveishasher; invitasjonstokener kan bare brukes én gang og er tidsbegrensede, og rå tokener lagres aldri.
• Privilegerte påloggingsopplysninger for tjenester finnes bare på serveren — de sendes aldri til nettleseren; en kontroll ved bygging håndhever dette.

Håndtering av inndata og utdata

• Alle inndata på serveren skjemavalideres — validering på klientsiden regnes bare som brukeropplevelse (UX); serveren er tillitsgrensen.
• En streng Content Security Policy og et herdet sett med sikkerhetshoder brukes på hvert svar.
• Automatisk escaping av utdata; brukerskrevet innhold er ren tekst på dette stadiet.

Beskyttelse mot misbruk og robottrafikk

• Hastighetsbegrensning og robotbeskyttelse brukes på endepunkter for autentisering og andre sensitive endepunkter.

Lagrede data og revisjonsspor

• Kryptering av lagrede data i databasen og fillagringen.
• En revisjonslogg der oppføringer bare kan legges til (append-only) registrerer sikkerhetsrelevante hendelser (autentisering, endringer i roller og medlemskap, økonomiske hendelser, eksporter, slettinger). Den skrives alltid og er atskilt fra driftstelemetri.
• Feilovervåking med fjerning av personopplysninger — personopplysninger fjernes fra feilrapporter før de forlater systemene våre; det som gjenstår, er teknisk kontekst pluss pseudonyme identifikatorer.

Sikkerhetskopier og gjenoppretting

• Automatiske daglige sikkerhetskopier av databasen med et rullerende tidsvindu for lagring. Tidligere utrullinger beholdes, slik at en feilaktig versjon raskt kan rulles tilbake.

5. Organisatoriske tiltak

• Produksjonsdata blir på administrert infrastruktur. Dumper av produksjonsdatabasen lagres ikke på lokale maskiner; lokal utvikling bruker en separat database med syntetiske data.
• Minste privilegium for tjenestekontoer. Privilegerte påloggingsopplysninger er begrenset til bruk på serversiden; databasetilgang fra nettleseren går gjennom en begrenset nøkkel bak radnivåsikkerhet.
• Tilgangslogging hos leverandørene. Administrative handlinger hos leverandørene våre logges av disse leverandørene og gjennomgås.
• Konfidensialitet. Alle med tilgang til produksjonsmiljøet er bundet av konfidensialitetsplikt når det gjelder personopplysninger som behandles gjennom Tjenesten, slik det fremgår av databehandleravtalen.

6. Hendelseshåndtering (varsling av brudd innen 72 timer)

Overvåking. Feil og sikkerhetsrelevante hendelser overvåkes, og revisjonsloggen, der oppføringer bare kan legges til, gir en varig registrering for etterforskning.

Vår forpliktelse til å varsle om brudd. Hvis det oppstår et brudd på personopplysningssikkerheten som sannsynligvis vil medføre en risiko for de berørte personenes rettigheter og friheter, vil vi:

• Varsle den kompetente tilsynsmyndigheten — presidenten for UODO i Polen — uten ugrunnet opphold og, når det er mulig, innen 72 timer etter at vi ble kjent med bruddet (artikkel 33 i GDPR).
• *Der bruddet sannsynligvis vil medføre en høy* risiko for de berørte personene, varsle dem uten ugrunnet opphold, med en beskrivelse av bruddets art, de berørte kategoriene av opplysninger, de sannsynlige konsekvensene og tiltakene som er truffet (artikkel 34 i GDPR**).
• Der vi opptrer som databehandler for en stall, varsle den stallen (den behandlingsansvarlige) uten ugrunnet opphold, slik at den kan oppfylle sine egne forpliktelser etter artikkel 33/34 overfor rytterne sine.

Dette tilsvarer personvernerklæringen og databehandleravtalen. Det beskriver hvordan vi oppfyller en forpliktelse GDPR allerede pålegger — det er ikke et ytterligere kontraktsløfte utover GDPR.

Kontakt. Ikke hastesaker: support@nose.horse. Sikkerhet (hastesaker): send e-post til support@nose.horse med `Security` i emnefeltet.

7. Hva vi ennå ikke har

Vi har ennå ikke SOC 2 eller ISO 27001, og vi har ennå ikke bestilt en ekstern penetrasjonstest. Vi publiserer en sertifisering når vi har den, ikke før. Hvis innkjøpsprosessen til en stall som vurderer oss, krever noe av dette i dag, er vi ikke det rette valget nå — og det sier vi fra om i stedet for å trekke ut samtalen.

8. Etterlevelse av regelverk

GDPR (forordning 2016/679). Nose opererer i en dobbel rolle: behandlingsansvarlig for dataene der Nose bestemmer formål og midler (besøkende på markedsføringsnettstedet, konto- og kontaktdata for stallenes administratorer og instruktører, innloggingsidentiteten til hver kontoinnehaver uansett rolle, produktanalyse, og data for sikkerhet og forebygging av misbruk), og databehandler for rytter-/kundedriftsdataene en stall legger inn — der er stallen behandlingsansvarlig, og Nose behandler dataene etter stallens dokumenterte instrukser i henhold til databehandleravtalen (artikkel 28 i GDPR). Underdatabehandlere opererer under avtaler etter artikkel 28 (databehandleravtale + SCCs/DPF, UK Addendum eller en tilsvarende mekanisme der en overføring krysser regioner) — se siden Underdatabehandlere.

Barns data. Rideskoler underviser jevnlig barn, så Nose behandler bevisst mindreåriges data på vegne av en stall (for eksempel et barn som er registrert som deltaker i en ridetime, ofte av en forelder som er stallens kunde). Stallen er ansvarlig for det rettslige grunnlaget og for eventuelt foreldresamtykke eller foreldrefullmakt som kreves etter lovgivningen som gjelder for den (artikkel 8 i GDPR i EU og Storbritannia; COPPA og delstatslovgivning i USA); Nose minimerer det som lagres om et barn, og verken retter seg direkte mot eller markedsfører direkte til barn. Se Personvernerklæring → «Barns personvern».

Rettighetene til de registrerte støttes, inkludert selvbetjent innsyn/dataportabilitet via en JSON-eksport på /account/export og sletting via /account/delete (det gjelder en gjenopprettingsperiode på 30 dager der slettingen kan omgjøres, og det kreves ny autentisering (step-up); ved sletting fjerner vi direkte identifikatorer i stedet for å slette permanent — pseudonymisering etter GDPR art. 4 nr. 5, ikke full anonymisering etter fortalepunkt 26; se lagringstabellen i Personvernerklæring → «Hvor lenge vi lagrer data» for detaljer på feltnivå). For rytterdata er stallen behandlingsansvarlig, så en rytter utøver rettighetene sine overfor stallen sin, og Nose bistår som databehandler; unntaket er rytterens innloggingsidentitet, der Nose er behandlingsansvarlig, så rettighetene knyttet til den utøves direkte overfor Nose.

PCI DSS — gjelder ikke for Nose. Vi verken håndterer, lagrer eller overfører kortdata. For stallens abonnementsfakturering håndteres kortdataene utelukkende av betalingsleverandøren i dens hostede betalingsløsning — Stripe (betalingsbehandler) for polske staller, med Nose som selger, og Dodo Payments som Merchant of Record for ikke-polske staller. For nettbetalinger fra ryttere, der en stall aktiverer dem, håndteres kort-, mobillommebok- eller (i Polen) BLIK-dataene utelukkende av Stripe (via Stripe Connect), og oppgjøret går til stallens egen Stripe-konto — stallen er selgeren, og Stripe er den PCI-kompatible betalingsbehandleren, mens Nose bare formidler instrukser og aldri mottar kortdata. I alle tilfeller mottar Nose aldri kortdata og forblir utenfor PCI-virkeområdet.

EUs KI-forordning (EU AI Act) — gjelder ikke. Nose er et driftsverktøy for rideskoler; det verken trener, utvikler eller tar i bruk KI-modeller, og ingen komponent bruker maskinlæring eller generativ KI til å behandle personopplysninger. Hvis det endres, vil vi publisere et standpunkt til EUs KI-forordning og en forpliktelse om «ingen trening på personopplysninger» før funksjonen lanseres.

ePrivacy / informasjonskapsler. Valgfri analyse lastes bare med samtykke (i USA: til du slår den av); strengt nødvendige informasjonskapsler er unntatt etter artikkel 5 nr. 3 i ePrivacy-direktivet. Se Retningslinjer for informasjonskapsler.

9. Ansvarlig avsløring av sårbarheter

Hvis du mener at du har funnet en sikkerhetssårbarhet i Nose:

• Send e-post til [support@nose.horse](mailto:support@nose.horse) med `Security` i emnefeltet. (En egen `security@`-adresse og en PGP-nøkkel er planlagt.)
• Ta med nok detaljer til at problemet kan reproduseres.
• Gi oss en rimelig frist til å undersøke og utbedre problemet før det skjer noen offentliggjøring.

Hva du kan forvente av oss:

• En bekreftelse på mottak og en første vurdering så snart det er rimelig praktisk mulig; vi vil ikke la en troverdig rapport bli liggende uten oppfølging.
• Statusoppdateringer med rimelige mellomrom mens problemet vurderes eller utbedres.
• Kreditering i en eventuell offentliggjøring etter utbedringen, hvis du ønsker det (valgfritt). Vi gir ingen pengebelønning for rapporter.

Omfang og trygg havn (safe harbour). Sikkerhetsforskning i god tro som følger denne policyen, holder seg innenfor dine egne kontoer, unngår å forringe Tjenesten for andre og ikke innebærer tilgang til andre data enn dine egne, vil ikke bli behandlet som et brudd på våre Retningslinjer for akseptabel bruk eller Brukervilkår. Ikke forsøk å skaffe deg tilgang til en annen stalls eller en annen rytters data, og ikke kjør automatisert skraping eller tester av tjenestenekt (denial of service) mot Tjenesten.

10. Endringslogg