Regler for tilladt brug af Sentivaro

Version: 1.0

Gældende fra: 30. juli 2026

1. Formål

Sentivaro må kun bruges til autoriseret, kontrolleret og forholdsmæssig styrkelse af bevidstheden om cybersikkerhed og til at vurdere effekten af uddannelsesaktiviteter.

2. Krav om bemyndigelse

En Bruger må kun iværksætte en Kampagne, hvis:

• Brugeren handler på vegne af en verificeret Organisation;
• Brugeren er bemyndiget til at bestille Kampagnen;
• modtagerne er omfattet af det godkendte anvendelsesområde;
• Organisationen har fastlagt et lovligt behandlingsgrundlag;
• Organisationen har opfyldt eller på forsvarlig vis planlagt sine oplysningsforpligtelser;
• Kampagnen er godkendt efter Organisationens interne procedure;
• Organisationen har vurderet, om en interesseafvejning eller en konsekvensanalyse vedrørende databeskyttelse (DPIA) er nødvendig.

3. Handlinger, der er strengt forbudt

Det er forbudt at:

• udsende en Kampagne uden de bemyndigede personers viden og godkendelse i Organisationen;
• bruge Sentivaro til reel phishing, svig, chikane, overvågning eller uautoriseret adgang;
• rette Kampagner mod privatpersoner eller adresser uden for det godkendte anvendelsesområde;
• indsamle eller forsøge at indsamle adgangskoder, MFA-koder, nøgler, sessionstokens, betalingskortoplysninger, polske PESEL-numre, dokumentnumre eller helbredsoplysninger;
• gemme indhold, som er indtastet i en simuleret formular;
• bruge skadelig kode, makroer, eksekverbare filer, exploits eller metoder til at omgå sikkerhedsforanstaltninger;
• udgive sig for at være en tredjepart uden ret til at bruge dennes varemærke og materiale;
• bruge scenarier, der uden saglig begrundelse henviser til afskedigelse, dødsfald, alvorlig sygdom, familieproblemer, løn eller strafansvar;
• videregive resultater til uvedkommende;
• offentliggøre ranglister, som udstiller medarbejdere;
• diskriminere, chikanere eller udsætte deltagere for repressalier;
• lade en automatisk personalebeslutning bero alene på et Sentivaro-resultat;
• teste børn uden særskilt juridisk afklaring og Operatørens skriftlige samtykke;
• videresælge adgang eller give andre personer adgang til kontoen;
• omgå begrænsninger, sikkerhedsforanstaltninger eller verifikationskontroller;
• forstyrre Tjenesten eller undersøge dens sikkerhed uden Operatørens samtykke.

4. Tilladte scenarier

Et scenarie bør:

• afspejle Organisationens reelle risici;
• ikke fremkalde uforholdsmæssig stress;
• føre til en sikker undervisningsside;
• kun måle nødvendige hændelser;
• give mulighed for at indberette en mistænkelig besked;
• tage højde for nødvendige korrektioner som følge af automatiske scanners aktivitet;
• følges op med undervisning eller korrigerende tiltag.

Følgende scenarier foretrækkes:

• scenarier baseret på Organisationens eget brand;
• neutrale, fiktive brands stillet til rådighed af Sentivaro;
• scenarier godkendt af sikkerhedsafdelingen og HR/databeskyttelsesfunktionen;
• gradvis øget sværhedsgrad på grundlag af risikovurderingen.

5. Resultater

Organisationen bør:

• først og fremmest bruge sammenfattede data;
• begrænse adgangen til individuelle resultater;
• kontrollere et resultat, før der handles over for en person;
• tage hensyn til medarbejderens arbejdsopgaver og muligheden for fejl;
• vælge undervisning frem for sanktioner;
• slette data, når de ikke længere er nødvendige.

6. Operatørens reaktion

Ved mistanke om en overtrædelse kan Operatøren:

• sætte Kampagnen på pause;
• blokere udsendelsen;
• begrænse kontoen;
• anmode om dokumentation for bemyndigelsen;
• sikre de nødvendige oplysninger om hændelsen;
• lukke kontoen;
• underrette den berørte Organisation eller de kompetente myndigheder, hvis loven kræver det, eller det er nødvendigt for at beskytte personer.

7. Indberetning af misbrug

Misbrug skal indberettes til contact@sentivaro.com med emnet »MISBRUG«. Indberetningen bør indeholde en beskrivelse, der ikke unødigt afslører følsomme oplysninger, beskedens eller Kampagnens ID og kontaktoplysninger.