Evolve Unlimited AB ("vi", "oss", "vår") driver ExposureIndex på exposureindex.io. Denna integritetspolicy förklarar hur vi samlar in, använder, lagrar och skyddar personuppgifter i enlighet med GDPR, den svenska dataskyddslagen och tillämpliga krav under NIS2 och ISO 27001.

---

1. Personuppgiftsansvarig

Personuppgiftsansvarig är Evolve Unlimited AB, registrerat i Sverige. Kontakt: exposureindex@evolvecybersec.se .

2. Uppgifter vi samlar in

Vi samlar in följande kategorier av personuppgifter:

• Kontakt- och kontouppgifter: namn, e-postadress, telefonnummer, jobbtitel, företagsnamn och -adress, momsregistreringsnummer.
• Tekniska uppgifter: IP-adresser, webbläsartyp, operativsystem — insamlade vid nätfiskesimuleringar och plattformsanvändning.
• Betalningsmetadata: transaktions-ID, paket-typ, valuta — behandlas via Stripe. Vi lagrar inga kortnummer.
• Skanningsdata: domännamn, subdomänlistor, sårbarhetsfynd, e-postsäkerhetsposter — genererade som del av säkerhetsbedömningen.

3. Rättsliga grunder för behandling

• Avtalets fullgörande (Art. 6(1)(b) GDPR): för att leverera de beställda säkerhetstesttjänsterna.
• Berättigat intresse (Art. 6(1)(f) GDPR): bedrägeriförebyggande, plattformssäkerhet och tjänsteförbättring.
• Rättslig förpliktelse (Art. 6(1)(c) GDPR): där det krävs enligt tillämplig lag, inklusive NIS2-incidentrapporteringsskyldigheter.

4. Lagringstid

privacy.s4_body

5. Tredjepartsleverantörer

Vi delar uppgifter endast med följande underleverantörer under GDPR-kompatibla databehandlingsavtal:

• Stripe Payments Europe Ltd — betalningshantering (Dublin, Irland, EU-adekvat).
• Brevo SAS (tidigare Sendinblue) — transaktionell e-postleverans (Paris, Frankrike, EU).

6. Dina rättigheter

Enligt GDPR (Art. 15–22) har du rätt att:

• Få tillgång till de personuppgifter vi har om dig.
• Rätta felaktiga uppgifter.
• Begära radering ("rätten att bli bortglömd"), med förbehåll för lagliga lagringskrav.
• Ta emot dina uppgifter i ett portabelt, maskinläsbart format.
• Invända mot behandling baserad på berättigat intresse.
• Begära begränsning av behandling medan ett klagomål utreds.

För att utöva dessa rättigheter, skicka e-post till exposureindex@evolvecybersec.se. Vi svarar inom 30 dagar. Du har också rätt att lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY) på imy.se.

7. Säkerhetsåtgärder

Vi implementerar tekniska och organisatoriska säkerhetsåtgärder i linje med ISO 27001, SOC 2 Type II och NIST SP 800-53, inklusive: kryptering under transport (TLS 1.2+) och i vila, åtkomstkontroll med minsta-privilegie-principer, regelbundna sårbarhetsbedömningar, granskningsloggning och incidentresponsprocedurer.

8. Cookies

Vi använder endast strikt nödvändiga cookies: en sessionscookie för inloggade användare och en språkinställningscookie ("lang") för att komma ihåg ditt valda språk. Inga tredjepartsspårnings- eller analyscookies används.

9. Internationella överföringar

Uppgifter behandlas inom Europeiska ekonomiska samarbetsområdet (EES). Eventuell överföring utanför EES sker med lämpliga skyddsåtgärder (standardavtalsklausuler eller EU-adekvansbe-slut).

10. Ändringar av denna policy

Vi meddelar registrerade användare om väsentliga ändringar minst 30 dagar i förväg via e-post. Den aktuella versionen finns alltid tillgänglig på exposureindex.io/privacy-policy.

---

Dataskyddskontakt

För integritetsfrågor, kontakta: exposureindex@evolvecybersec.se | Evolve Unlimited AB, Sverige.