Säkerhet

Inloggning och åtkomst

• Du loggar in med en engångslänk som skickas till din e-post. Länken gäller en gång och en begränsad tid. Det finns inga lösenord att läcka.
• Sessionen är en signerad token i en HttpOnly-cookie som bara skickas över krypterad anslutning. Den gäller i 15 minuter och förnyas under aktiv användning.
• Roller (ägare, administratör, medlem) styr vad varje användare får göra. Data hålls åtskilt mellan organisationer.
• AI-klienter ansluter med OAuth 2.1. Anslutningens token har egen behörighet och kan återkallas i arbetsytan.
• Administrationsgränssnittet kräver tvåfaktorsinloggning och är spärrat till godkända IP-adresser.

Kryptering

• All trafik till tjänsten sker över HTTPS. Webbplatserna ligger bakom Cloudflare, och vår server har ett giltigt TLS-certifikat.
• Säkerhetskopior krypteras innan de lagras utanför servern.
• Kortuppgifter hanteras av Stripe och når aldrig våra servrar.

Skydd mot missbruk

• Hastighetsbegränsning för publik trafik, inloggade användare, API-nycklar och MCP-anslutningar.
• Skydd mot förfrågningar från andra webbplatser och begränsade tillåtna ursprung.
• Personnummer sparas aldrig och maskas i texter och dokument.

Loggning och drift

• Administration, API-nycklar och MCP-anrop loggas med tid och verktygsnamn i 24 månader för säkerhet och support.
• Applikationens delar körs som separata tjänster. Hemligheter ligger utanför koden.

Underbiträden och placering

Servrar och databas ligger hos DigitalOcean i Frankfurt, Tyskland. Se personuppgiftsbiträdesavtalet för alla underbiträden.

Incidenter och sårbarheter

Har du hittat en sårbarhet eller misstänker du en incident? Skriv till [email protected]. Vi svarar så snart vi kan. Vid en personuppgiftsincident informerar vi berörda kunder utan onödigt dröjsmål och anmäler till Integritetsskyddsmyndigheten när lagen kräver det.