Säkerhet & dataskydd

Plattformen körs på en EU-baserad molninfrastruktur med data primärt lagrad i Frankfurt (Tyskland). Databaserna är inkapslade i privata nätverk, åtkomst sker via tidsbegränsade tokens och all extern trafik krypteras med TLS 1.2+ och HSTS.

Vi har redundant lagring med automatiska back-uper var sjätte timme och dagliga point-in-time-recovery-punkter i 30 dagar.

• Vilande data: AES-256 i databasen, hashade lösenord (bcrypt/argon2id) och separat krypterade fält för känsliga uppgifter.
• Data i rörelse: TLS 1.2 eller högre med starka cipher suites, HSTS preload, automatiserad certifikatförnyelse.
• Nycklar: hanteras i ett managed KMS, roteras kvartalsvis och loggas vid varje åtkomst.

Vi tillämpar least privilege och rollbaserad åtkomstkontroll (RBAC) implementerad via en separat `user_roles`-tabell i databasen, validerad genom server-side row-level security. Admin-konton kräver tvåfaktorsautentisering och varje åtkomst loggas oföränderligt.

Personal som lämnar bolaget avregistreras inom 4 timmar. Tredjepartsleverantörer har enbart åtkomst genom dedikerade granskningsbara konton.

All kod granskas innan deploy. Vi använder automatiserade beroendegranskningar (SCA), statisk analys (SAST), hemlighetsskanning och dynamiska säkerhetstester. Inga produktionsuppdateringar går live utan automatisk testsvit, manuell granskning och möjlighet till omedelbar rollback.

Vi följer OWASP Top 10 och OWASP API Security Top 10 som baslinje samt utför penetrationstester årligen av oberoende tredje part.

All känslig aktivitet loggas centralt i 12 månader. Avvikelser larmas i realtid. Vi har en dokumenterad incidentplan med RTO om 4 timmar och RPO om 30 minuter för kritiska tjänster.

Personuppgiftsincidenter rapporteras till tillsynsmyndigheten inom 72 timmar enligt artikel 33 GDPR och berörda registrerade informeras utan onödigt dröjsmål.

Workers Stay lagrar inte fullständiga kortuppgifter. All korthantering sker hos vår PCI DSS-certifierade betalleverantör Stripe. Vi omfattas av SAQ-A (lägsta omfattningsnivå) och hanterar inte CHD eller SAD i klartext.

Vi anlitar endast underleverantörer som uppfyller likvärdiga säkerhetskrav. Fullständig och uppdaterad lista finns i vår DPA. Bytet av sub-processor meddelas företagskunder med minst 30 dagars varsel.

Säkerhetsforskare ombeds rapportera potentiella sårbarheter till security@workersstay.com. Vi bekräftar mottagandet inom 48 timmar, åtgärdar enligt CVSS-prioritering och avstår från rättsliga åtgärder för rapporter som följer good-faith research-principer.

Företagskunder vars uppdrag innebär behandling av personuppgifter — bokningsformulär, CRM-integrationer, listor över medarbetare som ska bo hos oss — erbjuds ett skriftligt DPA innan tjänsten aktiveras. Vårt standard-DPA är utformat enligt artikel 28 GDPR och inkluderar EU Standard Contractual Clauses (modul 2 och 3 där tillämpligt) för samtliga underbiträden lokaliserade utanför EES. Kopia av aktuellt DPA begärs på privacy@workersstay.com.

Vi anlitar ett begränsat antal noggrant granskade underbiträden. Var och en är bunden av ett skriftligt avtal som ålägger likvärdiga dataskyddskrav. Aktuell lista:

• Google LLC / Google Ireland Ltd — Google Workspace, Analytics, Ads, Maps (EU och USA, SCCs).
• Meta Platforms Ireland Ltd — Meta Pixel och CAPI (EU).
• Supabase Inc. — applikationsdatabas och autentisering (EU-region, Frankfurt).
• Stripe Payments Europe Ltd — kortbetalningar (EU, PCI DSS Level 1).
• Resend, Inc. — transaktionell e-post (EU-region).
• Cloudflare, Inc. — DNS, WAF och edge-leverans (globalt, SCCs).
• PostHog Inc. — produktanalys (EU-region).

Vi meddelar företagskunder skriftligen minst 30 dagar innan ett underbiträde läggs till eller byts ut.

Vid en bekräftad incident som rör företagskunddata meddelar vi den berörda kunden utan onödigt dröjsmål och senast inom 48 timmar från bekräftelse. Meddelandet innehåller kategori av data som berörs, sannolika konsekvenser och de åtgärder som vidtagits för att mildra effekterna. Personuppgiftsincidenter rapporteras parallellt till tillsynsmyndigheten inom 72 timmar enligt artikel 33 GDPR.

Samtliga medarbetare och konsulter är bundna av skriftliga sekretessåtaganden som överlever uppdragets upphörande. Ömsesidiga NDA-avtal är tillgängliga på begäran innan kommersiella diskussioner inleds.

Security Office: security@workersstay.com. Dataskyddsfrågor: privacy@workersstay.com. Allmän kontakt: contact@workersstay.com. Postadress: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Storbritannien.