Pharus
Logg inn
Book en gjennomgang

Databehandling

Hvordan Pharus behandler data på vegne av kundene våre, hvor dataene ligger, og hvilke underleverandører vi bruker.

Sist oppdatert 2. november 2026

Roller

Når dere bruker Pharus, er dere behandlingsansvarlig for personopplysningene i arbeidsområdet, og Pharus Development AS (org.nr. 935 144 582) er databehandler. Behandlingen reguleres av databehandleravtalen, som er en del av vilkårene dere godtar når dere oppretter et arbeidsområde.

For besøk på nettstedet, henvendelser til oss og fakturering er vi selv behandlingsansvarlig. Det er beskrevet i personvernerklæringen.

Hva vi behandler

  • Brukere: navn, jobb-e-post, rolle og innloggingshistorikk.
  • Vakt: telefonnumre og vaktplaner for dem som skal varsles.
  • Sårbarhetsarbeid: SBOM-er, treff, avgjørelser med begrunnelse, godkjenninger og kvitteringer.
  • Innboks: meldinger fra sikkerhetsforskere, som kan inneholde navn og kontaktinformasjon.

SBOM-er og sårbarhetsdata er i utgangspunktet ikke personopplysninger, men behandles med samme sikkerhetsnivå.

Formål

Vi behandler dataene bare for å levere Pharus til dere: matche komponenter mot sårbarhetskilder, varsle riktige personer, føre avgjørelsesloggen, lage rapporter og, hvis arbeidsområdet slår på AI-assistanse, skrive utkast som dere går gjennom. Vi bruker ikke kundedata til markedsføring, og verken vi eller underleverandørene våre trener maskinlæringsmodeller på dem.

Hvor dataene ligger

Kundedata lagres i EU/EØS. Der en underleverandør nedenfor behandler data utenfor EU/EØS, skjer overføringen bare med et gyldig overføringsgrunnlag etter GDPR kapittel V, og dere får beskjed på forhånd om nye.

AI-assistanse er slått av til en eier eller administrator slår det på for arbeidsområdet. Når det er på, går teksten et utkast lages fra gjennom Oppers AI-gateway i Stockholm til modellen, Claude, på Amazon Bedrock i EU. Ingen av dem lagrer forespørslene eller svarene, og ingen trener på dem. Pharus sender ingen opplysninger om medlemmer, meldere eller kontakter, og fjerner e-postadresser og telefonnumre fra tekst folk har skrevet.

Underleverandører

Disse underleverandørene behandler kundedata på våre vegne:

  • Supabase — database og autentiseringsdata. Stockholm, Sverige.
  • Vercel — drift og planlagte jobber. Stockholm, Sverige.
  • Opper — AI-gatewayen som sender tekst til AI-modellen (Claude, fra Anthropic, på Amazon Bedrock), bare for arbeidsområder som slår på AI-assistanse. Stockholm, Sverige; modellen kjører i EU. Null datalagring: verken forespørsler eller svar lagres.
  • Resend — utsending av e-post (varsler, invitasjoner, oppsummeringer) og mottak av sårbarhetsrapporter på e-post. Kan behandle data i USA.
  • Twilio — SMS-meldinger til de som har vakt. Kan behandle data i USA.
  • Sentry — feilrapporter, som inneholder interne id-er og ikke kontaktopplysninger. Kan behandle data i USA.
  • Cloudflare Turnstile — robotsjekken ved registrering. Kan behandle data i USA.

Vi varsler administratorene i arbeidsområdet minst 30 dager før vi tar i bruk en ny underleverandør, så dere kan protestere.

Tjenester dere kobler til

Når dere kobler til Slack, Microsoft Teams, en egen webhook eller et saksverktøy (Azure DevOps, Jira eller GitHub), sender Pharus data til den tjenesten etter deres instruks. Dere velger tjenestene selv, og deres egen avtale med hver leverandør regulerer hva den gjør med dataene. Varsler og saker inneholder id-er, titler, frister, fakta om komponenten og lenker tilbake til Pharus, aldri opplysninger om den som meldte sårbarheten, avgjørelser eller noens navn. Pharus lagrer adressene og tilgangsnøklene til disse tjenestene kryptert.

Sikkerhet

  • All trafikk krypteres med TLS, og data krypteres ved lagring.
  • Tilgang til produksjonsdata er begrenset til personell som trenger det.
  • Avgjørelsesloggen er bare-tilføyelse: oppføringer kan ikke endres i ettertid.

Avvik

Oppdager vi et brudd på personopplysningssikkerheten som gjelder dataene deres, varsler vi dere uten ugrunnet opphold, slik at dere kan melde fra til Datatilsynet innen fristen på 72 timer.

Når avtalen opphører

Dere kan eksportere data fra arbeidsområdet når som helst. Når et abonnement avsluttes, går arbeidsområdet over til Free-planen, og dataene beholdes så lenge arbeidsområdet er i bruk. Et arbeidsområde på Free-planen som ingen medlemmer har logget inn i på 12 måneder, slettes, etter varsel til eierne 30 og 7 dager før. Når en eier stenger arbeidsområdet, slettes kundedata 90 dager etter at den siste betalte perioden er over. I begge tilfeller kan lov kreve at vi lagrer noe lenger.

Kontakt

Spørsmål om databehandling eller ønske om signert databehandleravtale: privacy@pharussecurity.com.