Säkerhet

Pavio hanterar känsliga uppgifter — personnummer, löneunderlag, frånvaro. Här beskriver vi konkret hur data skyddas i tjänsten. Sidan uppdateras när säkerhetsarbetet utvecklas vidare.

Kryptering

All trafik till och från Pavio går via HTTPS/TLS

Datalagring

Servrar och databas inom EU/EES

Betalningar

Kortuppgifter hanteras enbart av Stripe — Pavio lagrar aldrig kortnummer

Kundseparation

Varje kunds data är logiskt separerad från andra kunders

Inloggning och konton

Lösenord lagras aldrig i klartext — endast som saltade hashvärden (bcrypt).
Sessionskakor är märkta HttpOnly och Secure, vilket förhindrar att de kan läsas av skadlig JavaScript eller skickas okrypterat.
Vid inloggning skapas en ny sessions-id (skydd mot så kallad session fixation).
Upprepade felaktiga inloggningsförsök spärras automatiskt en tid, som skydd mot automatiserade intrångsförsök.
Roller (anställd, löneansvarig, administratör) styr vad varje konto kan se och göra — en anställd kan till exempel aldrig se en kollegas uppgifter.

Applikationssäkerhet

Alla formulär som ändrar data skyddas mot CSRF-attacker (förfalskade förfrågningar från andra webbplatser).
All datalagring sker via parametriserade databasfrågor, vilket skyddar mot SQL-injektion.
Varje databasfråga är begränsad till det inloggade företagets eget company_id — det finns ingen kodväg där ett företag kan nå ett annat företags data.

Underleverantörer

Pavio delar aldrig data för marknadsförings- eller analysändamål. De underbiträden som används för att leverera tjänsten:

Leverantör	Syfte	Plats
Websupport a.s.	Serverdrift och datalagring	EU/EES
Brevo (Sendinblue SA)	Transaktionsmejl (välkomstmejl, lösenordsåterställning)	EU (Frankrike)
Stripe	Betalningshantering	EU/Irland, med standardavtalsklausuler (SCC) där det krävs

Fullständig information om hur personuppgifter behandlas finns i vårt personuppgiftsbiträdesavtal och vår integritetspolicy.

Hantering av frånvaro och hälsodata

Sjukdagar och VAB registreras endast som förekomst och datum. Pavio efterfrågar och sparar aldrig diagnos, symtom eller annan hälsoinformation.

Pavio är i dagsläget inte formellt certifierat enligt ramverk som ISO 27001 eller SOC 2 — det är ett naturligt nästa steg i takt med att företaget växer. Har ni specifika säkerhetskrav i er upphandling, kontakta oss gärna på hej@pavio.se så går vi igenom dem tillsammans.

Rapportera en säkerhetsbrist

Har du hittat en säkerhetsbrist i Pavio? Vi vill gärna veta det. Mejla hej@pavio.se med detaljer, så återkommer vi så snart vi kan.