Trygghet i Velferdsappen
Her står det vi gjør i dag, det vi ikke har ennå, og hvem som behandler dataene. Siden er skrevet for IT, personvern og innkjøp. Sist oppdatert 29. oktober 2026.
Det vi gjør i dag
- Hver ansatt har sin egen konto. Passord lagres hashet med scrypt og sammenlignes i konstant tid.
- Innloggingen bruker kapsler med
HttpOnly,SameSite=LaxogSecureover HTTPS. - Registrering er stengt til klubben setter en tilgangskode. Koden kan skiftes når som helst.
- Administratorer logger inn gjennom idgo med to-trinns bekreftelse. Tilgangslisten leses ved hver forespørsel, så en fjernet administrator mister tilgangen med en gang.
- Forsøk på å gjette passord og tilgangskode begrenses per IP-adresse. Grensen holdes i minnet og nullstilles ved omstart.
- Tjenestene kjører hos Railway i regionen EU West (Amsterdam).
- Produksjon nekter å starte uten hemmelighetene som signerer kapsler og avgjør hvem som er administrator.
Denne nettsiden
- Ingen informasjonskapsler, ingen localStorage og ingen sporing.
- Ingen tredjepartsskript, skrifter eller bilder. Alt lastes fra velferdsappen.no.
- Strenge sikkerhetshoder: Content-Security-Policy uten eksterne kilder og uten inline skript, HSTS, nosniff, Referrer-Policy, Permissions-Policy og Cross-Origin-politikker.
- MDN HTTP Observatory ga A+ (12 av 12 tester bestått) 29. oktober 2026, målt mot den offentlige adressen. Se resultatet.
- Forespørselsskjemaet sjekker opprinnelse, bruker honeypot og tidsbevis, begrenser antall forsøk og størrelse, og logger ingen personopplysninger.
- Henvendelser lagres kryptert (AES-256-GCM) og slettes automatisk 12 måneder etter at vi mottok dem.
Det vi ikke har ennå
- Ingen sertifiseringer, som ISO 27001 eller SOC 2.
- Ingen ekstern penetrasjonstest.
- Innlogging for ansatte med bedriftens egen identitetsleverandør (SSO). Ansatte logger inn med egen konto.
- Vi påstår ikke at tjenesten er «GDPR-compliant». Vi beskriver hva vi gjør, så kan dere vurdere det selv.
Hvem som behandler dataene
Railway
Hva: hosting av appen, databasen og henvendelsene fra skjemaet.
Hvor: EU West (Amsterdam). Railway er et amerikansk selskap, og overføringer skjer etter EUs rammeverk for dataoverføring og standard personvernbestemmelser.
idgo
Hva: innlogging for administratorer. Egen tjeneste, drevet av oss.
Hvor: hos Railway, som over.
Railways egne vilkår sier at primær behandling i selskapet skjer i USA. Derfor sier vi ikke at dataene aldri forlater EU.
Databehandleravtale
Vi inngår en databehandleravtale etter GDPR artikkel 28 med hver kunde før de tar appen i bruk. Endringer i underleverandører varsler vi om på forhånd.
Meld en sårbarhet
Skriv til post@velferdsappen.no. Kontaktinformasjonen står også i security.txt. Vi tar meldinger på alvor og svarer skriftlig.