Sikkerhet hos Justparity

Sikkerhetsarkitektur

Justparity er bygget på en moderne, isolert plattform med forsvar i flere lag:

• Isolering mellom kunder: Row-Level Security (RLS) på tabeller med personopplysninger, logisk isolering mellom kunder testet og herdet (sist i april 2026). Ingen kjent eksponering mellom kunder etter herdingen.
• Autentisering: Supabase Auth med JWT, støtte for tofaktorautentisering (MFA), herdede sesjoner og begrensning av antall innloggingsforsøk.
• Kryptering under overføring: TLS 1.3 overalt. HSTS-preload er sendt inn.
• Kryptering ved lagring: AES-256 for databasen og alle filer (Supabase Storage).
• Nettverksisolering: Tilgangen til databasen er beskyttet av Row-Level Security, JWT og TLS. Ingen direkte SQL-eksponering mot internett.
• Observability: Sentry for feilovervåking i nettleseren.

OWASP Top 10

Justparity utvikles med OWASP Top 10 som grunnlinje. Status ved den siste interne gjennomgangen (18. januar 2026):

Sertifiseringer og veikart

Vi arbeider mot formelle sertifiseringer for å møte kravene fra større virksomhetskunder:

Penetrasjonstesting

Den interne sikkerhetsgjennomgangen ble avsluttet 18. januar 2026 (herdingssprint). En ekstern penetrasjonstest er under forberedelse. Når testen er gjennomført, kan rapporten deles under taushetserklæring (NDA) på forespørsel til security@justparity.com.

Lagring og sletting av opplysninger

Opplysninger fra lønnsintegrasjonen oppbevares bare så lenge det er nødvendig for etterlevelsesrapporteringen og kundens aktive abonnement:

• Aktiv kunde: Opplysningene er tilgjengelige så lenge abonnementet er aktivt.
• Ved opphør: Personopplysninger slettes innen 30 dager. Aggregerte etterlevelsesrapporter (anonymiserte) oppbevares i samsvar med gjeldende lovkrav.
• Rett til sletting: Enkeltpersoner kan kontakte oss gjennom arbeidsgiveren sin, eller direkte, for å bruke rettighetene sine etter artikkel 17 i personvernforordningen. Se /gdpr.
• Revisjonslogger: Sikkerhetsrelevante logger oppbevares i 12 måneder av hensyn til etterlevelse.

Slettingen hos oss endrer ikke plikten dere selv har som arbeidsgiver til å oppbevare dokumentasjon. Etter likestillings- og diskrimineringsloven § 26 skal offentlige virksomheter, og private virksomheter med mer enn 50 ansatte, kartlegge lønnsforholdene fordelt etter kjønn annethvert år, og etter § 26 a skal virksomheten gjøre rede for arbeidet hvert år, med resultatet av lønnskartleggingen i anonymisert form. Regnskapsmateriale oppbevares etter bokføringsloven.

Ansvarlig melding av sårbarheter

Oppdager du en sårbarhet i Justparity, ber vi deg melde fra om den på en ansvarlig måte:

Merk: fristene over (48 timer, 7 dager, 90 dager) gjelder ansvarlig melding av sårbarheter. Melding om brudd på personopplysningssikkerheten følger databehandleravtalen (senest 24 timer til behandlingsansvarlig), se punkt 10.1, slik at behandlingsansvarlig rekker å melde bruddet til Datatilsynet i Norge innen 72 timer etter artikkel 33 i personvernforordningen. Just Parity ApS er etablert i Danmark, og det danske Datatilsynet er ledende tilsynsmyndighet for vår egen behandling etter artikkel 56.

Invitasjonen gjelder melding. Den gir ingen rett til å teste mot produksjonsmiljøet eller til å se opplysninger som tilhører andre kunder, og urettmessig tilgang til datasystemer er straffbart etter straffeloven.

Vi driver i dag ikke et formelt bug bounty-program, men vi krediterer alltid ansvarlige sikkerhetsforskere i en hall of fame når rettelsen slippes.

Underdatabehandlere og dataflyt

Justparity bruker følgende underdatabehandlere. Den fullstendige listen med formål og plassering står i databehandleravtalen.

• Supabase (database og autentisering, EU-region)
• Netlify (nettstedsdrift, EU-edge)
• Google Ireland Limited (transaksjons-e-post, EU/USA)
• Slack Technologies (interne varsler, EU)
• Sentry (feilovervåking i nettleseren; EU-region med EU-organisasjon)

Begrensningen av antall forespørsler skjer i minnet til plattformen selv og involverer ingen ekstern leverandør.

Norge er en del av EØS. Overføring av personopplysninger mellom Norge og land i EU eller EØS er derfor ikke overføring til tredjeland.