Säkerhet

Applikationsservern

Körs hos Akamai Connected Cloud (Linode), Stockholm, Sverige, i containrar byggda från versionshanterad kod.

Databas och filer

Google Cloud Firestore och Cloud Storage i regionen europe-west1 (Belgien). Regionen är låst vid skapandet och kan inte flyttas i tysthet.

Inloggning

Google Firebase Authentication. Vi lagrar aldrig lösenord — de hanteras och hashas hos Firebase.

Besöksstatistik

Vår egen Plausible-installation på samma server. Ingen extern analysleverantör tar emot data.

Huvuddelen av behandlingen sker alltså inom EU/EES. Vilka leverantörer som behandlar data utanför EU/EES, och på vilken grund, framgår av underbiträdesförteckningen.

• All trafik till och från tjänsten går över HTTPS med TLS 1.2 eller senare. Anrop till underbiträden sker över TLS.
• Databas och fillagring krypteras i vila av plattformsleverantören.
• Portalinloggningar och egna AI-nycklar krypteras dessutom en gång till i applikationslagret, med AES-256-GCM, innan de skrivs till databasen.

Varje affärsprofil är en egen datamängd med eget lagringsutrymme. Behörigheten kontrolleras av regler i databasen som utvärderas vid varje enskild läsning och skrivning — inte av gränssnittet. Ett anrop som försöker läsa en annan kunds data avvisas av databasen även om det kommer förbi appen.

Känsliga fält kan bara skrivas serverside. Det gäller bland annat abonnemangsstatus, AI-credits, medlemskap i delade profiler och de krypterade hemligheterna. En klient kan aldrig ge sig själv fler credits eller lägga till sig själv i någon annans profil.

Delas en profil får medlemmarna full åtkomst till den. Ägaren styr vilka som bjuds in och kan ta bort behörigheter när som helst.

• Lösenord måste vara minst åtta tecken och innehålla versal och siffra.
• E-postadressen måste verifieras innan kontot kan användas.
• Inloggning med Google stöds som alternativ till lösenord.
• Lösenordsåterställning sker via engångslänk till den registrerade adressen.
• Lösenord lagras aldrig i klartext, och når aldrig våra egna system i läsbar form.

Servernycklar, tjänstekonton och krypteringsnycklar finns som miljövariabler på servern, med begränsad läsbehörighet. De ligger inte i källkoden och exponeras aldrig mot webbläsaren.

Lägger du in en egen AI-nyckel eller en portalinloggning går den krypterad till databasen direkt vid mottagandet, och läses tillbaka bara i det ögonblick ett anrop faktiskt ska göras. Den visas aldrig igen i gränssnittet — appen visar bara att en nyckel finns.

Vi för drift- och åtkomstloggar för att kunna felsöka och upptäcka missbruk. De innehåller tidpunkt, begärd adress, felkod och konto-id, och gallras löpande.

Innehållsloggning av AI-anrop — där prompt och svar sparas — är avstängd som standard. Slår du på den i inställningarna sparas posterna i din egen profil och raderas automatiskt efter 30 dagar.

• All kod är versionshanterad, och ändringar granskas innan de når produktion.
• Automatiserade tester, statisk analys och typkontroll körs före driftsättning.
• Driftsättning sker från byggda avbildningar via en automatiserad kedja — inga manuella ändringar på servern.
• Beroenden hålls uppdaterade, och säkerhetsuppdateringar prioriteras.
• Utveckling sker mot lokala emulatorer med testdata, inte mot produktionsdata.

Vid misstänkt eller konstaterad incident begränsar vi först skadan, utreder omfattningen och åtgärdar orsaken.

• Berörda kunder underrättas utan onödigt dröjsmål, och senast inom 48 timmar från att vi fått kännedom om en incident som rör deras uppgifter.
• Rör incidenten personuppgifter där vi är personuppgiftsansvariga anmäler vi till Integritetsskyddsmyndigheten inom 72 timmar när det krävs.
• Är vi personuppgiftsbiträde är det kunden som gör anmälan; vi lämnar det underlag som behövs.
• Vi återkopplar med orsak och åtgärd när utredningen är klar.

Vi håller antalet leverantörer lågt med avsikt. Varje leverantör som behandlar kunddata omfattas av ett dataskyddsavtal, och överföring utanför EU/EES sker bara med giltig överföringsmekanism. Listan finns på Underbiträden och ändringar aviseras 30 dagar i förväg.

• Vi tränar inte AI-modeller på din data, och våra AI-leverantörer gör det inte heller på det vi skickar till dem.
• Vi säljer inte data och lämnar inte ut den till tredje part för deras egna ändamål.
• Vi läser inte kunders dokument annat än när du ber om hjälp med ett konkret ärende, eller när det krävs för att åtgärda ett driftfel.
• Vi använder inga spårningscookies och ingen annonsspårning.
• Vi kör inte utveckling eller test mot produktionsdata.

Vi är ett litet team och redovisar hellre luckorna än döljer dem. Följande är inte på plats i dag:

• Vi är inte ISO 27001-certifierade och har inte genomgått revision enligt SOC 2. Vi arbetar mot ISO 27001-principerna men saknar certifiering.
• Tvåfaktorsautentisering för kundkonton finns ännu inte i tjänsten. Behöver du det i dag är inloggning med Google, där du kan aktivera tvåstegsverifiering hos Google, det närmaste alternativet.
• Vi har ännu ingen återkommande extern penetrationstestning.
• Vi har ingen formell SLA för tillgänglighet.

Har du ett krav i en upphandling eller en internpolicy som något av detta påverkar — hör av dig, så beskriver vi läget rakt istället för att du ska behöva gissa.

Har du hittat en säkerhetsbrist vill vi höra det direkt: info@pataholmsystem.se. Skriv gärna "Säkerhet" i ämnesraden.

Vi bekräftar mottagandet inom två arbetsdagar och håller dig informerad om åtgärden. Vi vidtar inga rättsliga åtgärder mot dig som rapporterar i god tro, förutsatt att du inte försökt komma åt eller ändra andra kunders data, inte försämrat driften och gett oss rimlig tid att åtgärda innan du berättar för någon annan.