Integritetspolicy

Personuppgiftsansvarig för de personuppgifter som beskrivs i denna Policy är Osaühing Ida Portal, ett privat aktiebolag registrerat i Republiken Estlands handelsregister under registreringskod 10970449, säte: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia (”Operatören”, ”vi”). Operatören tillhandahåller sina tjänster under namnet Security Test Team.

Frågor och begäranden som gäller personuppgifter skickas till info@securitytest.team. Operatören har inte utsett något dataskyddsombud.

Denna Policy gäller för webbplatsen securitytest.team i alla dess språkversioner (”Webbplatsen”), för Webbplatsens formulär, för den bug bounty-plattform som Operatören driver på Webbplatsen (”Plattformen”) och för korrespondens med Operatören.

Denna Policy gäller inte personuppgifter som Operatören kan komma i kontakt med i en kunds system när Operatören utför en säkerhetskontroll eller en säkerhetsgranskning, eller som en säkerhetsforskares rapport innehåller. Sådana uppgifter behandlas för räkning av kunden eller av programmets ägare, som är personuppgiftsansvarig för dem, enligt avtalet och villkoren för personuppgiftsbehandling i villkoren för gratis säkerhetskontroll av webbplats och i bug bounty-plattformens villkor för ägare.

Operatören behandlar personuppgifter i enlighet med förordning (EU) 2016/679 (”GDPR”) och Republiken Estlands lag om skydd av personuppgifter. De lagar som nämns i denna Policy utan att en stat anges är lagar i Republiken Estland.

Besök på Webbplatsen. Operatören samlar inte själv in några personuppgifter om en besökare som läser Webbplatsen: Webbplatsen sätter inga cookies, för inga egna besöksloggar, skapar inga profiler och innehåller inga analys- eller reklamtekniker. Hostingleverantören, Cloudflare, Inc., behandlar IP-adressen och de tekniska uppgifterna i varje anrop i den utsträckning som krävs för att leverera sidorna och skydda tjänsten mot attacker.

Webbplatsens formulär. När du skickar en förfrågan om en tjänst, en ansökan om ett program eller en ansökan som säkerhetsforskare behandlar Operatören:

1. (a)identifierings- och kontaktuppgifter: namn, e-postadress, organisation, roll, önskad kommunikationskanal och kontot eller numret i den kanalen;
2. (b)förfrågans innehåll: tjänster av intresse, adressen till webbplatsen eller systemet, önskad start, ett programs belöningar och synlighet samt förfrågans text;
3. (c)uppgifter om en säkerhetsforskare: bosättningsland, länken till en offentlig profil och beskrivningen av erfarenhet;
4. (d)dina bekräftelser: att du har rätt att beställa testning av de system som anges i förfrågan och handlar inom ramen för din närings- eller yrkesverksamhet, att du är myndig och att du accepterar Plattformens villkor, tillsammans med versionen av de villkor som du accepterade och den version av denna Policy som visades bredvid formuläret;
5. (e)tekniska uppgifter om förfrågan: tidpunkten, sidans språk, den sida som formuläret skickades från, kampanjparametrarna i den sidans adress, det land som härleds från IP-adressen och början av webbläsarens identifieringssträng;
6. (f)en nyckelbaserad hash av IP-adressen. Själva IP-adressen lagras inte av Operatören och kan inte återskapas från hashen utan en nyckel som förvaras åtskild från uppgifterna.

Korrespondens. När du skriver till Operatören per e-post eller via en meddelandeapp behandlar Operatören din adress eller ditt konto, meddelandenas innehåll och tidpunkten då de skickades.

Avtal. När ett avtal ingås behandlar Operatören namn, befattningar och kontaktuppgifter för dem som skriver under för kunden och för kundens kontaktpersoner, uppgifterna i tillståndet till testning och i de handlingar som styrker ägarskapet till ett system, samt uppgifter om fakturor och betalningar.

Plattformen, säkerhetsforskare. När en säkerhetsforskare deltar i programmen behandlar Operatören säkerhetsforskarens rapporter, korrespondensen om dem och det namn som säkerhetsforskaren har valt. Före den första utbetalningen behandlar Operatören också de uppgifter som anges i avsnitt 4, säkerhetsforskarens uppgifter om staten för skatterättslig hemvist, den stat där säkerhetsforskningen bedrivs och betalningsmottagaren, resultatet av identitetskontrollen och av kontrollerna mot förteckningarna över internationella sanktioner, samt uppgifter om betalningarna. Om betalningsmottagaren är en juridisk person behandlar Operatören även uppgifter om dess företrädare och om de personer som äger 50 % eller mer av den eller kontrollerar den.

Plattformen, ägare. När ägaren till ett program verifieras behandlar Operatören uppgifter om ägarens företrädare och om de personer som äger 50 % eller mer av ägaren eller kontrollerar den, uppgifterna i de handlingar som styrker rätten att företräda ägaren och ägarens kontroll över systemen i programmet, resultatet av kontrollerna mot förteckningarna över internationella sanktioner och, för en ägare som är en fysisk person, resultatet av identitetskontrollen.

Operatören tar också emot personuppgifter från andra källor än den berörda personen:

1. (a)från en kund eller en ägare: namn, befattningar och kontaktuppgifter för dess företrädare, för dem som skriver under för den och för dess kontaktpersoner;
2. (b)från den som gör en förfrågan: uppgifter om andra personer som anges i förfrågan;
3. (c)från en säkerhetsforskare: uppgifter om företrädarna för en betalningsmottagare som är en juridisk person och om de personer som äger eller kontrollerar den;
4. (d)från offentliga register, som är allmänt tillgängliga: företrädarna för en ägare eller en betalningsmottagare och de personer som äger eller kontrollerar den;
5. (e)från den sida som en säkerhetsforskare länkar till i en ansökan, som är allmänt tillgänglig: uppgifterna i den offentliga profilen;
6. (f)från de offentliga förteckningarna över internationella sanktioner: om en person är förtecknad;
7. (g)från Europeiska unionens och medlemsstaternas elektroniska gränssnitt: om ett skatteregistreringsnummer eller ett momsregistreringsnummer är giltigt.

När Operatören kontaktar en person vars uppgifter Operatören har fått från en annan källa hänvisar Operatören den personen till denna Policy senast i sitt första meddelande.

Operatören begär inte särskilda kategorier av personuppgifter, uppgifter om fällande domar i brottmål, lösenord eller åtkomstnycklar, och ber dig att inte skicka sådana via formulären eller per e-post.

Att lämna personuppgifter via ett formulär är varken ett lagstadgat eller ett avtalsenligt krav; utan de uppgifter som är markerade som obligatoriska kan Operatören inte besvara förfrågan. De uppgifter som en säkerhetsforskare lämnar före den första utbetalningen (avsnitt 4) krävs enligt lag och enligt bug bounty-plattformens villkor för säkerhetsforskare; utan dem betalas ingen belöning ut.

Operatören behandlar personuppgifter för följande ändamål och på följande rättsliga grunder:

Operatören fattar inga beslut som enbart grundas på automatiserad behandling och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig, utför ingen profilering, använder inte personuppgifter för reklam och säljer inte personuppgifter.

Operatören behandlar inte personuppgifter för ett ändamål som är oförenligt med de ändamål som anges i detta avsnitt.

Operatören är en rapporterande plattformsoperatör enligt rådets direktiv 2011/16/EU, ändrat genom rådets direktiv (EU) 2021/514, och enligt kapitel 2⁴ i lagen om utbyte av skatteinformation. Detta avsnitt informerar varje säkerhetsforskare och varje betalningsmottagare om att uppgifter om dem samlas in och rapporteras, så som artikel 25.4 i det direktivet kräver.

Före den första utbetalningen samlar Operatören in följande uppgifter om varje säkerhetsforskare och varje betalningsmottagare som är en fysisk person, och registrerar de belöningar som betalas ut till dem:

1. (a)förnamn och efternamn, huvudsaklig adress och födelsedatum;
2. (b)varje skatteregistreringsnummer och den stat som har utfärdat det eller, om inget har utfärdats, födelseorten;
3. (c)momsregistreringsnumret, om ett sådant har utfärdats;
4. (d)för en enskild näringsidkare, det register där verksamheten är införd och dess registreringskod;
5. (e)identifieringsuppgiften för det konto som belöningar betalas ut till och namnet på kontohavaren;
6. (f)de belöningar som har betalats ut under varje kvartal och antalet rapporter för vilka de har betalats ut.

Operatören kontrollerar uppgifterna mot de handlingar som Operatören tar emot, mot offentliga register och mot de elektroniska gränssnitt som Europeiska unionen och medlemsstaterna tillhandahåller kostnadsfritt för kontroll av skatteregistreringsnummer och momsregistreringsnummer.

Varje år, senast den 31 januari följande år, rapporterar Operatören dessa uppgifter om de säkerhetsforskare och betalningsmottagare som har hemvist i en medlemsstat i Europeiska unionen, eller i en jurisdiktion som Estlands skatte- och tullmyndighet har förtecknat, till Estlands skatte- och tullmyndighet. Myndigheten utbyter uppgifterna med skattemyndigheterna i hemviststaten eller hemviststaterna.

Innan uppgifterna rapporteras, och senast den 31 januari, ger Operatören varje person de uppgifter om personen som Operatören kommer att rapportera, så att personen kan utöva rättigheterna enligt avsnitt 9 i tid.

Uppgifterna krävs enligt lag och enligt bug bounty-plattformens villkor för säkerhetsforskare. En belöning betalas ut först när uppgifterna har lämnats och kontrollerats.

Inom Operatören har de kundansvariga som besvarar förfrågningar och de specialister som förbereder offerter, granskar rapporter och fullgör avtal åtkomst till personuppgifter, i den utsträckning som deras arbetsuppgifter kräver.

Ägaren till ett program får rapporterna om sina system under det namn som säkerhetsforskaren har valt. Operatören lämnar inte ut en säkerhetsforskares identitet till en ägare utan säkerhetsforskarens samtycke, såvida inte säkerhetsforskaren har agerat utanför programmet eller Plattformens regler och ägaren behöver identiteten för att fastställa, göra gällande eller försvara rättsliga anspråk, eller lagen kräver att identiteten lämnas ut.

Operatören lämnar ut personuppgifter till följande mottagare:

När Operatören behandlar personuppgifter för räkning av en kund eller av ägaren till ett program enligt beskrivningen i avsnitt 1 anlitar Operatören ett underbiträde: Cloudflare, Inc., USA, för hosting och för lagring av data i Europeiska unionen. Operatören skickar inte sådana uppgifter per e-post eller via meddelandeappar och lägger inte in dem i sin e-postlåda: rapporter och bevis utbyts via den säkra kanal som anges i avtalet.

Operatören lämnar ut personuppgifter till domstolar, tillsynsmyndigheter och brottsbekämpande myndigheter endast när lagen ålägger Operatören att göra det, och endast i den utsträckning som krävs.

De mottagare enligt avsnitt 5 som är etablerade utanför Estland, och de grunder på vilka personuppgifter överförs till dem utanför Europeiska ekonomiska samarbetsområdet, är följande:

Databasen med förfrågningar lagras i Europeiska unionen. Webbplatsen, formulären, kontrollen mot missbruk och behandlingen av e-post körs i Cloudflares globala nätverk, som omfattar datacenter utanför Europeiska ekonomiska samarbetsområdet.

Via en meddelandeapp kommer Operatören endast överens om nästa steg. Inloggningsuppgifter, nycklar och detaljer om sårbarheter utbyts endast via den säkra kanal som har avtalats med dig.

En kopia av de skyddsåtgärder som gäller för en viss överföring tillhandahålls på begäran som skickas till info@securitytest.team.

En förfrågan som skickas via ett formulär sparas i 365 dagar från den dag då den togs emot och raderas därefter automatiskt. I upp till sju dagar efter raderingen finns den kvar i databasens återställningshistorik, Cloudflare D1 Time Travel, från vilken den kan återställas endast genom att hela databasen återställs till en tidigare tidpunkt. Operatören raderar den kopia av en förfrågan som har levererats till Operatörens e-postlåda inom samma tid; därefter kan Google behålla den raderade kopian under de tider som anges i Googles egen integritetspolicy. Operatören håller förhandsvisningarna i Cloudflare Email Service avstängda; den funktionen skulle behålla en kopia av varje skickat meddelande i cirka sju dagar.

Korrespondens som inte ledde till ett avtal raderas senast 365 dagar efter det sista meddelandet.

Om en förfrågan leder till ett test flyttar Operatören den bekräftelse av behörighet som lämnades i förfrågan till avtalets akt. Den bekräftelsen och det underskrivna tillståndet till testning sparas tillsammans med avtalet till dess att preskriptionstiderna för de anspråk och brott som har samband med testet har löpt ut, och under alla omständigheter i minst fem år efter testet.

Uppgifter om en säkerhetsforskare och en ägare sparas under avtalets giltighetstid och därefter under de tider som anges i detta avsnitt. Operatören sparar ingen kopia av en id-handling; Operatören sparar registreringen av identitetskontrollen tillsammans med uppgifterna enligt avsnitt 4.

Uppgifterna enligt avsnitt 4 och registreringarna av de åtgärder som har vidtagits för att samla in och kontrollera dem sparas minst under det innevarande kalenderåret och de sex föregående kalenderåren, och inte längre än tio år (§ 8(3) i lagen om utbyte av skatteinformation). Registreringen av en kontroll mot förteckningarna över internationella sanktioner sparas tillsammans med handlingarna om den betalning som kontrollen föregick.

Bokförings- och skattehandlingar sparas under följande tider; om flera tider gäller för en handling gäller den längsta:

1. (a)verifikationer, såsom fakturor och handlingar om betalningar: sju år från utgången av det räkenskapsår under vilket transaktionen bokfördes (§ 12(1) i lagen om bokföring);
2. (b)avtal, bokföringsböcker, rapporter och övriga affärshandlingar som behövs för att rekonstruera transaktioner: sju år från utgången av det räkenskapsår som de avser (§ 12(2) i lagen om bokföring);
3. (c)handlingar som rör långsiktiga rättigheter och skyldigheter, såsom avtalen med kunder, ägare och säkerhetsforskare och licenserna till rapporter: sju år efter att de har upphört att gälla (§ 12(3) i lagen om bokföring);
4. (d)fakturor: sju år från utfärdandet eller mottagandet (§ 36 i lagen om mervärdesskatt);
5. (e)övriga handlingar av betydelse för beskattningen: sju år från den 1 januari året efter att de upprättades eller togs emot (§ 58 i lagen om skatteförfarande).

Uppgifter som behövs för att fastställa, göra gällande eller försvara ett rättsligt anspråk sparas till dess att anspråket har avgjorts slutligt, och i annat fall till dess att preskriptionstiden för anspråket har löpt ut.

Webbplatsen sätter inga cookies och lagrar ingenting på din enhet. Den automatiska kontrollen mot missbruk av formulären tillhandahålls av Cloudflare Turnstile. Den startar först när du börjar fylla i ett formulär eller skickar det. Vad den lagrar och läser på din enhet beskrivs i cookiepolicyn.

I den omfattning och på de villkor som anges i GDPR har du rätt:

1. (a)att få bekräftelse på om dina personuppgifter behandlas, tillgång till uppgifterna och en kopia av dem (artikel 15);
2. (b)att få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade (artikel 16);
3. (c)att få dina uppgifter raderade (artikel 17);
4. (d)att få behandlingen begränsad (artikel 18);
5. (e)att få ut de uppgifter som du har lämnat i ett strukturerat, allmänt använt och maskinläsbart format och att överföra dem till en annan personuppgiftsansvarig (artikel 20);
6. (f)att av skäl som hänför sig till din specifika situation invända mot behandling som grundas på ett berättigat intresse (artikel 21);
7. (g)att när som helst återkalla ett samtycke, om behandlingen grundas på det. Återkallandet påverkar inte lagligheten av den behandling som utfördes innan samtycket återkallades (artikel 7.3).

För att utöva en rättighet skriver du till info@securitytest.team och anger, om du har skickat en förfrågan via ett formulär, dess referens. Operatören kan be om de uppgifter som behövs för att bekräfta din identitet. Som regel bekräftar Operatören din identitet genom den adress eller det konto som Operatören känner till från din förfrågan eller din korrespondens, och Operatören ber inte om en kopia av en id-handling.

Operatören svarar inom 28 dagar efter att begäran har tagits emot. Om det behövs med hänsyn till hur komplicerade begärandena är och hur många de är kan tiden förlängas med högst två ytterligare månader i enlighet med artikel 12.3 i GDPR; du informeras om förlängningen och om skälen för den inom den ursprungliga tiden. Det är kostnadsfritt att utöva rättigheterna.

Du har rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där du har din vanliga vistelseort, där du har din arbetsplats eller där den påstådda överträdelsen har begåtts. Operatörens tillsynsmyndighet är den estniska dataskyddsinspektionen (Andmekaitse Inspektsioon), Tatari 39, 10134 Tallinn, Estonia, info@aki.ee, www.aki.ee.

Operatören tillämpar tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till risken, bland annat följande:

1. (a)Webbplatsen och formulären levereras endast via krypterade anslutningar;
2. (b)den tjänst som lagrar förfrågningar kan inte nås från internet och tar endast emot data från Webbplatsen;
3. (c)IP-adresser lagras som nyckelbaserade hashar;
4. (d)åtkomst till lagrade förfrågningar är begränsad till de personer som besvarar dem;
5. (e)förfrågningar raderas automatiskt när lagringstiden löper ut.

De åtgärder som skyddar kundernas information beskrivs i informationssäkerhetspolicyn.

Webbplatsen riktar sig till organisationer och till personer som handlar inom ramen för sin närings- eller yrkesverksamhet. Operatören behandlar inte medvetet personuppgifter om barn.

Versionen av denna Policy är det datum från vilket den gäller. Den aktuella versionen är 2026-09-29.

En förfrågan registrerar den version av denna Policy som visades bredvid formuläret när förfrågan skickades, som bevis på vilken information den som gjorde förfrågan fick. Registreringen är inte ett samtycke.

Operatören publicerar ändringar på denna sida. En ändring gäller inte behandling som slutfördes innan ändringen trädde i kraft.