Säkerhetspolicy

• Inloggning med lösenord (minst 8 tecken, siffra och versal) eller engångskod via e-post.
• Lösenord lagras hashade med bcrypt. Engångskoder och länkar är slumpmässiga, hashade, gäller en gång och i begränsad tid.
• Konton låses i 15 minuter efter fem misslyckade försök. Antalet koder och länkar som kan begäras är begränsat.
• Byte av lösenord loggar ut alla andra sessioner. Administratörer kan när som helst stänga av en användare.

Varje förening är en egen arbetsyta. All data är märkt med förening och alla uppslag kontrollerar att användaren tillhör föreningen. Roller (admin och medlem) styr vad som får ändras.

• All trafik går över HTTPS. Strikta säkerhetsrubriker (bl.a. Content Security Policy och HSTS) skyddar mot vanliga webbattacker.
• Databas och filer lagras krypterade i vila hos våra leverantörer inom EU.
• Filer hämtas via tidsbegränsade, signerade länkar som bara fungerar för inloggade användare i rätt förening.

Databasen säkerhetskopieras automatiskt. Ändringar i avtal loggas med vem som gjorde vad och när. Serverloggar sparas i högst 30 dagar.

Om en personuppgiftsincident inträffar informerar vi berörda föreningar utan onödigt dröjsmål och senast inom 72 timmar efter att vi fått kännedom om den, så att föreningen kan uppfylla sin anmälningsskyldighet.

Har du hittat en säkerhetsbrist? Mejla micke@mikimedia.se med en beskrivning av vad du hittat. Vi återkopplar inom fem arbetsdagar och vidtar inga rättsliga åtgärder mot den som rapporterar i god tro och inte förstör eller sprider data.