Säkerhet och förtroende

1. Sammanfattning på en sida

Nose for Horse (”Nose”) är en produkt i ett tidigt skede. Vi har i dag varken SOC 2 eller ISO 27001, och vi har ännu inte beställt något externt penetrationstest. Den här sidan beskriver vilka uppgifter vi har, var de körs och vilka kategorier av kontroller som skyddar dem, så att ett säkerhetsmedvetet stall kan fatta ett välgrundat beslut.

• Vilka vi är. Nose är programvara för att driva en ridskola — planera lektioner, registrera närvaro och hur ryttarna har betalat, hantera klippkort och presentkort, beräkna instruktörernas ersättning och ge ett stalls kunder en överblick över sina egna bokningar. Nose drivs av DF Daniel Fojcik, en polsk enskild firma (NIP 6472592229 / REGON 387798601, Marklowice), under namnet Nose for Horse.
• Våra två roller. Vi är personuppgiftsansvariga för våra egna konto-, analys- och säkerhetsuppgifter, och personuppgiftsbiträde som agerar enligt varje stalls instruktioner för de ryttar- och kunduppgifter som stallet lägger in. Förhållandet som personuppgiftsbiträde regleras av vårt Personuppgiftsbiträdesavtal (PUB-avtal). Se ”Regelefterlevnad” nedan.
• Vilka uppgifter vi har. E-postadressen till kontot och valfritt profilnamn/telefonnummer; e-postadresser i inbjudningar; de verksamhetsuppgifter som ett stall lägger in om sina ryttare (namn, kontaktuppgifter, deltagande i lektioner, klippkort/presentkort, etiketter för registrering av betalningar, fritextanteckningar); schema-PIN-koder och inbjudningstokens, som bara lagras som envägshashar. Vi har inga betalkorts- eller bankuppgifter och inga hälsouppgifter. Fullständig förteckning under ”Uppgifter vi har” nedan.
• Vad som skyddar dem. Kryptering vid överföring och i vila; tenant-isolering som upprätthålls i själva databasen; validering av sessioner på serversidan; förnyad autentisering (step-up) för destruktiva och administrativa åtgärder; en strikt Content Security Policy; hastighetsbegränsning och skydd mot botar; och en granskningslogg som bara kan läggas till i (append-only). Se ”Tekniska åtgärder” nedan.
• Var det körs. I mer än en dataregion, och vi lägger till regioner i takt med att vi växer. Kunddata för stall i US-regionen lagras i USA. Tjänsten drivs, administreras och supportas från Europeiska unionen. Stall i vår EU-region betjänas från EES. Några tjänster delas av båda regionerna och körs i EES — transaktionell e-post, felövervakning, produktanalys — och några komponenter körs globalt. Regioner och överföringsmekanismer för varje leverantör finns på sidan Underbiträden.
• Vad vi ännu inte har. Ingen SOC 2, ingen ISO 27001 och inget externt penetrationstest. Om din upphandlingsprocess kräver något av detta i dag är vi ännu inte rätt val.
• Så kontaktar du oss i säkerhetsfrågor. Skicka e-post till support@nose.horse med `Security` i ämnesraden. Se ”Incidenthantering (anmälan av personuppgiftsincident inom 72 timmar)” och ”Ansvarsfullt rapporterande av sårbarheter” nedan.

2. Uppgifter vi har

Vi samlar in det minimum som krävs för att driva Tjänsten. Kategorierna nedan är de personuppgifter som Nose kommer i kontakt med.

Där det i en rad står ditt stalls region avses EU-regionen eller US-regionen — som bestämdes när stallet skapades och beskrivs närmare under ”Infrastruktur — vem som driver vad, och var” nedan.

Vad vi inte har

• Inga betalkorts- eller bankuppgifter. Nose är aldrig part i en betalning och hanterar aldrig kortuppgifter. Offlinemetoder (”kontant”, ”klippkort”, ”presentkort”, ”banköverföring”) är etiketter som ett stall använder för registrering — inte transaktioner som Nose genomför. För stallets prenumerationsfakturering (Stripe för polska stall, Dodo Payments som Merchant of Record för icke-polska stall) och för ryttares onlinebetalningar där ett stall aktiverar dem (Stripe, med utbetalning till stallets eget konto) hanteras kortuppgifterna helt i betalningsleverantörens egen kassa och når aldrig oss — därför står vi utanför tillämpningsområdet för PCI DSS (se ”Regelefterlevnad” nedan).
• Inga identitetshandlingar eller adresser. Vi samlar inte in hemadresser, nummer på identitetshandlingar eller myndighetsutfärdade identifierare.
• Inga särskilda kategorier av personuppgifter (hälsouppgifter). Vi har inte för avsikt att samla in uppgifter som omfattas av artikel 9 i GDPR, och produkten är inte utformad för att lagra sådana. Stallen instrueras (i Personuppgiftsbiträdesavtalet) att inte föra in särskilda kategorier av personuppgifter i fritextfält. Anteckningar om en häst gäller ett djur, inte en person, och faller utanför GDPR.
• Inga annonsprofiler, identifierare för retargeting eller spårning över webbplatser. Inga pixlar från Meta/LinkedIn/X/TikTok; ingen fingeravtrycksidentifiering av webbläsare.
• Inga uppgifter säljs, hyrs ut eller lånas ut till tredje part.
• Ingen träning av AI-/ML-modeller på dina uppgifter. Vi varken tränar, finjusterar eller utvärderar någon AI- eller maskininlärningsmodell på personuppgifter som hämtats från Nose.

3. Infrastruktur — vem som driver vad, och var

Nose drivs på hanterad molninfrastruktur, med ett litet antal specialiserade leverantörer (”underbiträden”) som var och en hanterar en avgränsad del. Ingen av dem har heltäckande åtkomst till allt. Nose har två dataregioner: en EU-region och en US-region. Kunddata för stall i US-regionen lagras i USA. Tjänsten drivs, administreras och supportas från Europeiska unionen. Ett stalls verksamhetsuppgifter finns bara i databasen i stallets egen region — det finns ingen replikering mellan regionerna och ingen väg i applikationen som läser över regiongränserna. Tre tjänster delas av båda regionerna och stannar i EES — transaktionell e-post, felövervakning och produktanalys.

Den kanoniska, alltid aktuella listan över leverantörer — med varje leverantörs ändamål, kategorier av personuppgifter, behandlingsregion per dataregion och överföringsmekanism — finns på sidan Underbiträden. Integritetspolicyn och Personuppgiftsbiträdesavtalet länkar till samma källa i stället för att ha egna, avvikande kopior, och det gör även den här sidan.

4. Tekniska åtgärder

Det här är de kategorier av kontroller som faktiskt finns på plats i dag. Det är också innehållet bakom Personuppgiftsbiträdesavtal → ”Sekretess, säkerhet och underbiträden”, som hänvisar hit för våra tekniska och organisatoriska åtgärder.

Nätverk och överföring

• TLS för all trafik, med HSTS preload.
• Inget blandat innehåll — Content Security Policy avvisar osäkra resurser.

Tenant-isolering och behörighet

• Säkerhet på radnivå (row-level security) avgränsad till varje stall på varje verksamhetstabell, upprätthållen i själva databasen — ett stalls uppgifter kan inte läsas av ett annat stall ens om applikationskoden skulle innehålla ett fel. Detta är det primära skyddet över tenant-gränserna.
• Rollkontroller i applikationslagret som ytterligare skyddslager (defence-in-depth) ovanpå databasisoleringen, aldrig som enda försvarslinje.

Autentisering

• Lösenordsfri inloggning — inloggningslänk via e-post, eller valfri inloggning med Google eller Logga in med Apple. Inga lösenord lagras.
• Validering av sessionen på serversidan vid varje skyddad begäran — inloggningscookien ensam betraktas aldrig som tillförlitlig.
• Förnyad autentisering (step-up) för destruktiva och administrativa åtgärder; saknas step-up eller har den gått ut nekas åtgärden (fail closed).

Hantering av hemligheter och inloggningsuppgifter

• Schema-PIN-koder och inbjudningstokens lagras bara som envägshashar; inbjudningstokens kan bara användas en gång och är tidsbegränsade, och råa tokens sparas aldrig.
• Privilegierade inloggningsuppgifter för tjänster finns bara på servern — de skickas aldrig till webbläsaren; en kontroll vid bygget säkerställer detta.

Hantering av in- och utdata

• All indata till servern schemavalideras — validering på klientsidan räknas bara som användarupplevelse (UX); servern är förtroendegränsen.
• En strikt Content Security Policy och en härdad uppsättning säkerhetshuvuden tillämpas på varje svar.
• Automatisk escaping av utdata; innehåll som användare skriver är ren text i nuläget.

Skydd mot missbruk och botar

• Hastighetsbegränsning och skydd mot botar tillämpas på autentiseringen och andra känsliga slutpunkter.

Lagrade data och granskningsspår

• Kryptering i vila för databasen och fillagringen.
• En granskningslogg som bara kan läggas till i (append-only) registrerar säkerhetsrelevanta händelser (autentisering, ändringar av roller och medlemskap, ekonomiska händelser, exporter, raderingar). Den skrivs alltid och är åtskild från driftstelemetri.
• Felövervakning med rensning av personuppgifter — personuppgifter rensas bort från felrapporter innan de lämnar våra system; det som återstår är teknisk kontext plus pseudonyma identifierare.

Säkerhetskopior och återställning

• Automatiska dagliga säkerhetskopior av databasen med ett rullande lagringsfönster. Tidigare driftsättningar sparas, så att en felaktig release snabbt kan rullas tillbaka.

5. Organisatoriska åtgärder

• Produktionsdata stannar på hanterad infrastruktur. Dumpar av produktionsdatabasen lagras inte på lokala datorer; lokal utveckling använder en separat databas med syntetiska data.
• Minsta behörighet för tjänstekonton. Privilegierade inloggningsuppgifter är begränsade till användning på serversidan; webbläsarens åtkomst till databasen går via en begränsad nyckel bakom säkerhet på radnivå.
• Åtkomstloggning hos leverantörerna. Administrativa åtgärder hos våra leverantörer loggas av leverantörerna själva och granskas.
• Sekretess. Alla med åtkomst till produktionsmiljön är bundna av sekretess i fråga om personuppgifter som behandlas genom Tjänsten, så som det framgår av Personuppgiftsbiträdesavtalet.

6. Incidenthantering (anmälan av personuppgiftsincident inom 72 timmar)

Övervakning. Fel och säkerhetsrelevanta händelser övervakas, och granskningsloggen, som bara kan läggas till i, ger en beständig registrering för utredning.

Vårt åtagande om anmälan av personuppgiftsincidenter. Om en personuppgiftsincident inträffar som sannolikt leder till en risk för de berörda personernas rättigheter och friheter kommer vi att:

• Anmäla incidenten till den behöriga tillsynsmyndigheten — ordföranden för UODO i Polen — utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter att vi fått vetskap om incidenten (artikel 33 i GDPR).
• *Om incidenten sannolikt leder till en hög* risk för de berörda personerna, informera dem utan onödigt dröjsmål och beskriva incidentens art, vilka kategorier av uppgifter som berörs, de sannolika konsekvenserna och de åtgärder som vidtagits (artikel 34 i GDPR**).
• När vi agerar som personuppgiftsbiträde för ett stall, underrätta det stallet (den personuppgiftsansvarige) utan onödigt dröjsmål, så att stallet kan fullgöra sina egna skyldigheter enligt artikel 33/34 gentemot sina ryttare.

Det här motsvarar Integritetspolicyn och Personuppgiftsbiträdesavtalet. Det beskriver hur vi fullgör en skyldighet som GDPR redan ålägger oss — det är inte ett ytterligare avtalsmässigt löfte utöver GDPR.

Kontakt. Ej brådskande: support@nose.horse. Säkerhet (brådskande): skicka e-post till support@nose.horse med `Security` i ämnesraden.

7. Vad vi ännu inte har

Vi har ännu inte SOC 2 eller ISO 27001, och vi har ännu inte beställt något externt penetrationstest. Vi publicerar en certifiering när vi har den, inte förr. Om upphandlingsprocessen hos ett stall som överväger oss kräver något av detta i dag är vi för närvarande inte rätt val — och det säger vi hellre rakt ut än att dra ut på samtalet.

8. Regelefterlevnad

GDPR (förordning 2016/679). Nose har en dubbel roll: personuppgiftsansvarig för de uppgifter där Nose bestämmer ändamål och medel (besökare på marknadsföringswebbplatsen, konto- och kontaktuppgifter för stallens administratörer och instruktörer, inloggningsidentiteten för varje kontoinnehavare oavsett roll, produktanalys samt uppgifter för säkerhet och förebyggande av missbruk), och personuppgiftsbiträde för de ryttar- och kunduppgifter i verksamheten som ett stall lägger in — där är stallet personuppgiftsansvarigt, och Nose behandlar uppgifterna enligt stallets dokumenterade instruktioner i enlighet med Personuppgiftsbiträdesavtalet (artikel 28 i GDPR). Underbiträden arbetar under avtal enligt artikel 28 (PUB-avtal + SCC/DPF, UK Addendum eller en likvärdig mekanism när en överföring sker mellan regioner) — se sidan Underbiträden.

Barns uppgifter. Ridskolor undervisar regelbundet barn, så Nose behandlar medvetet minderårigas uppgifter för ett stalls räkning (till exempel ett barn som har lagts in som deltagare i en lektion, ofta av en förälder som är stallets kund). Stallet ansvarar för den rättsliga grunden och för eventuellt samtycke eller bemyndigande från förälder som krävs enligt den lag som gäller för stallet (artikel 8 i GDPR i EU och Storbritannien; COPPA och delstatlig lagstiftning i USA); Nose minimerar det som lagras om ett barn och varken riktar sig direkt till eller marknadsför sig direkt mot barn. Se Integritetspolicy → ”Barns integritet”.

Den registrerades rättigheter stöds, bland annat genom självbetjäning för tillgång/dataportabilitet via en JSON-export på /account/export och radering via /account/delete (en återställningsperiod på 30 dagar, under vilken raderingen kan ångras, och förnyad autentisering (step-up) gäller; vid radering tar vi bort direkta identifierare i stället för att radera permanent — pseudonymisering enligt artikel 4.5 i GDPR, inte fullständig anonymisering enligt skäl 26; se lagringstabellen i Integritetspolicy → ”Hur länge vi sparar uppgifter (lagringstid)” för detaljer på fältnivå). För ryttaruppgifter är stallet personuppgiftsansvarigt, så en ryttare utövar sina rättigheter gentemot sitt stall och Nose bistår som personuppgiftsbiträde; undantaget är ryttarens inloggningsidentitet, som Nose är personuppgiftsansvarig för, så rättigheterna avseende den utövas direkt hos Nose.

PCI DSS — gäller inte Nose. Vi varken hanterar, lagrar eller överför kortuppgifter. För stallets prenumerationsfakturering hanteras kortuppgifterna helt av betalningsleverantören i dess hostade kassa — Stripe (betalningsförmedlare) för polska stall, med Nose som säljare, och Dodo Payments som Merchant of Record för icke-polska stall. För ryttares onlinebetalningar, där ett stall aktiverar dem, hanteras kortuppgifter, uppgifter om digitala plånböcker eller (i Polen) BLIK-uppgifter helt av Stripe (via Stripe Connect), och betalningarna går till stallets eget Stripe-konto — stallet är säljaren och Stripe är den PCI-kompatibla betalningsförmedlaren, medan Nose bara vidarebefordrar instruktioner och aldrig tar emot kortuppgifter. I samtliga fall tar Nose aldrig emot kortuppgifter och förblir utanför PCI-tillämpningsområdet.

EU:s AI-förordning — gäller inte. Nose är ett verksamhetsverktyg för ridskolor; det varken tränar, utvecklar eller driftsätter AI-modeller, och ingen komponent använder maskininlärning eller generativ AI för att behandla personuppgifter. Om det ändras kommer vi att publicera ett ställningstagande om EU:s AI-förordning och ett åtagande om ”ingen träning på personuppgifter” innan funktionen lanseras.

ePrivacy / cookies. Valfri analys laddas bara efter samtycke (i USA: tills du stänger av den); strikt nödvändiga cookies är undantagna enligt artikel 5.3 i ePrivacy-direktivet. Se Cookiepolicyn.

9. Ansvarsfullt rapporterande av sårbarheter

Om du tror att du har hittat en säkerhetssårbarhet i Nose:

• Skicka e-post till [support@nose.horse](mailto:support@nose.horse) med `Security` i ämnesraden. (En särskild `security@`-adress och en PGP-nyckel är planerade.)
• Ta med tillräckligt med detaljer för att problemet ska kunna återskapas.
• Ge oss rimlig tid att utreda och åtgärda problemet innan något offentliggörs.

Det här kan du förvänta dig av oss:

• En bekräftelse och en första bedömning så snart det rimligen är möjligt; vi låter inte en trovärdig rapport ligga obehandlad.
• Statusuppdateringar med rimliga mellanrum medan problemet bedöms eller åtgärdas.
• Omnämnande i ett eventuellt offentliggörande efter åtgärden, om du vill (frivilligt). Vi betalar inte ut någon belöning i pengar för rapporter.

Omfattning och skydd för god tro (safe harbour). Säkerhetsforskning i god tro som följer den här policyn, håller sig inom dina egna konton, undviker att försämra Tjänsten för andra och inte innebär åtkomst till andra uppgifter än dina egna kommer inte att behandlas som en överträdelse av vår Policy för godtagbar användning eller våra Användarvillkor. Försök inte komma åt ett annat stalls eller en annan ryttares uppgifter, och kör inte automatiserad skrapning eller tester av överbelastningsattacker (denial of service) mot Tjänsten.

10. Ändringslogg