Trust Center

Svar på vanliga frågor om säkerhet, efterlevnad, drift och hur vi hanterar din data.

• Hur skyddas data i transit?Dataskydd & krypteringNIS2GDPR

  Data i transit skyddas med TLS (version 1.2 och 1.3) med stark kryptering (AES-256) och med SSH-nyckelpar. För hanterade databastjänster tillhandahålls CA-certifikat så att ni kan verifiera och kryptera era klientanslutningar.

• Hur hanteras krypteringsnycklar?Dataskydd & krypteringNIS2GDPR

  Krypteringsnycklarna skyddas av pre-boot-autentisering med en unik nyckel per server, härledd ur serverns unika hårdvara, och låses upp först vid uppstart.

• Var lagras vår data?Dataskydd & krypteringGDPRDigital suveränitet

  Som personuppgiftsbiträde och ISO/IEC 27018-certifierat bolag lagrar vi data inom Sverige. Det innebär att informationen hålls inom EU/EES och utanför räckhåll för utländsk lagstiftning som CLOUD Act. Personuppgifter behandlas endast på laglig grund och raderas säkert när de inte längre behövs.

• Hur undviker ni inlåsning (vendor lock-in)?Dataskydd & krypteringDORADigital suveränitet

  Vi bygger på öppna standarder och öppen källkod (bland annat OpenStack och Kubernetes) så att ni kan flytta era applikationer om ni vill. Vi tillämpar inga tvingande bindningstider, och ni betalar för de resurser ni allokerar. Som svenskt företag verkar vi under svensk och europeisk jurisdiktion och är inte föremål för tredjelands lagstiftning, och vi lever upp till EU:s Data Act för att motverka inlåsningseffekter.

• Säljer eller delar ni våra data, eller använder dem för marknadsföring?Dataskydd & krypteringGDPR

  Nej. Personuppgifter som anförtros oss säljs inte och delas inte med tredje part för marknadsförings- eller reklamändamål utan uttryckligt samtycke. Er data behandlas endast för att leverera tjänsten enligt avtalet och vårt biträdesavtal (DPA).

• Hur hanterar ni begäranden om att lämna ut data, till exempel från myndigheter?Dataskydd & krypteringGDPRDigital suveränitet

  Vi lämnar inte ut data till parter utanför vår leverans annat än efter en rättsligt bindande begäran. Varje sådant utlämnande dokumenteras (vad som lämnats ut, av vem, till vem, när och på vilken rättslig grund), och där lagen tillåter informerar vi berörd kund. Som svenskt företag verkar vi under svensk och europeisk jurisdiktion och är inte föremål för tredjelands lagstiftning, varken amerikansk CLOUD Act och FISA eller motsvarande lagstiftning i andra länder. Er data är därmed inte föremål för utländska tvångsutlämnanden. Enligt GDPR artikel 48 får dessutom en dom eller ett myndighetsbeslut från ett tredje land inte erkännas som grund för att lämna ut personuppgifter annat än med stöd av ett internationellt avtal.

• Anlitar ni underbiträden (sub-processors)?Dataskydd & krypteringGDPR

  Det är ovanligt att vi anlitar underbiträden. Er data på plattformen lagras i Sverige och behandlas av oss som biträde. För vissa stödtjänster, till exempel fakturering och utskick, kan vi anlita underbiträden, och då regleras behandlingen av biträdesavtal (DPA) enligt GDPR artikel 28. Vi verifierar att underbiträdesavtal finns på plats, och vi notifierar er innan vi lägger till eller byter datacenter eller underbiträde. Eventuell åtkomst för underleverantörer till er data på plattformen sker först efter ert godkännande.

• Vad händer med våra data när avtalet upphör?Dataskydd & krypteringGDPRDigital suveränitet

  Ni kan exportera er data inför ett avslut. Vid avveckling av en tjänst eller virtuell maskin, eller på skriftlig begäran, raderas er data och tillhörande infrastruktur säkert. Lagringen vilar på självkrypterande diskar, vilket möjliggör kryptografisk radering i linje med erkända standarder för datasanering. Loggar kopplade till behandling av personuppgifter bevaras därefter endast så länge biträdesavtalet (DPA) och tillämpliga lagkrav kräver.

• Hur hjälper ni oss med registrerades rättigheter?Dataskydd & krypteringGDPR

  Som personuppgiftsbiträde bistår vi er som personuppgiftsansvarig med att besvara begäranden från registrerade - till exempel registerutdrag, rättelse, radering, begränsning och dataportabilitet - i enlighet med biträdesavtalet (DPA). Plattformen ger er tekniska möjligheter att hitta, exportera och radera personuppgifter i era egna miljöer.

• Vilka tekniska och organisatoriska åtgärder tillämpar ni för att skydda personuppgifter?Dataskydd & krypteringGDPR

  Vårt personuppgiftsbiträdesavtal (PUB-avtal) specificerar de tekniska och organisatoriska åtgärder vi tillämpar. Organisatoriskt arbetar vi enligt ISO/IEC 27001 med rollbaserad behörighet, obligatoriska onboarding- och offboarding-rutiner och personliga sekretessförbindelser för all personal. Tekniskt krypteras data i vila med AES-256 och i transit med TLS 1.2 och 1.3, och infrastrukturen övervakas löpande med sårbarhetsskanning, DDoS-skydd och central manipuleringssäker loggning. Mer detalj finns under respektive ämne i FAQ:n.

• Hur säkerställer ni att biträdesavtalen (PUB-avtal) är uppdaterade?Dataskydd & krypteringGDPR

  Vårt personuppgiftsbiträdesavtal och tillhörande instruktioner hålls under löpande versionskontroll. Revideringar som föranleds av ändrad lagstiftning, nya myndighetskrav eller uppdaterade säkerhetsåtgärder dokumenteras i en ändringshistorik, så att ni alltid kan se vad som gäller och varför det ändrats.

• Vad omfattar ert ansvar som personuppgiftsbiträde?Dataskydd & krypteringGDPR

  Som personuppgiftsbiträde behandlar vi personuppgifter uteslutande enligt era skriftliga instruktioner och utan insyn i det faktiska datainnehållet. Vi ansvarar för säkerheten, tillgängligheten och motståndskraften i den underliggande molninfrastrukturen, inklusive fysisk säkerhet i datacentren, sårbarhetsskydd på plattformsnivå och support dygnet runt. Ni ansvarar för er applikation, era autentiseringsuppgifter och konfigurationen av era egna backuper. En fullständig ansvarsfördelning finns i biträdesavtalet och i vår molnsäkerhetspolicy (ISO/IEC 27017).

• Hur utvecklar ni säker programvara?Säker utvecklingNIS2

  Vår interna utveckling följer en rutin för säker utveckling. Säkerhetskrav definieras tidigt, kod genomgår obligatorisk granskning av kollega (peer review) och automatisk statisk säkerhetsanalys (SAST) av containeravbildningar och inga hemligheter eller nycklar lagras i källkoden. Källkoden ligger i åtkomststyrda förråd med MFA, där behörighet styrs av utvecklarroll och branch protection tillämpas. Bygg- och driftsättningsflöden är automatiserade, och förändringar testas i isolerade testmiljöer innan de når produktion. Inga riktiga kunddata eller personuppgifter används i utvecklings- eller testmiljöer.

• Bidrar ni till de öppna projekt ni bygger på?Säker utveckling

  Ja. Vi är aktiva och bidrar kontinuerligt till OpenStack och Kubernetes, de projekt vi själva bygger på och använder. Våra bidrag rör bland annat OpenStack (compute, identitet och nätverk) och Kubernetes, inklusive Cluster API. Övriga bidrag förekommer mer sporadiskt. Det ger oss tidig insyn i säkerhetsuppdateringar och möjlighet att påverka kommande standarder.

• Separation av utvecklings-, test- och driftmiljöerSäker utveckling

  Utvecklings-, test- och driftmiljöer separeras för att minska risken för obehörig åtkomst eller ändringar i driftmiljön.

• Hur styr ni systemändringar under utvecklingen?Säker utveckling

  Ändringar i system under utvecklingslivscykeln styrs med formella rutiner för ändringskontroll. Det innebär till exempel att ändringar dokumenteras och godkänns, att kod granskas av kollega (peer review) före sammanslagning, att automatiserade tester körs och att det finns dokumenterade rutiner för att återställa (rollback) om något går fel.

• Hur konstruerar ni säkra system?Säker utveckling

  Vår interna utveckling utgår från principen om djupförsvar (Defense in Depth) i alla tekniska lager och från etablerade säkerhetsriktlinjer, bland annat OWASP Top 10. Vi tillämpar säkra kodningsprinciper, till exempel parametriserade databasfrågor mot SQL-injektion och kontextbaserad escaping mot skriptattacker (XSS), och källkoden skannas automatiskt i våra byggflöden. Konfiguration hanteras som kod från granskade, oföränderliga baslinjer, och sessioner skyddas med säkra cookie-inställningar.

• Säker utvecklingsmiljöSäker utveckling

  Säkra utvecklingsmiljöer för systemutveckling och integration är etablerade och skyddade genom hela utvecklingslivscykeln. Affärskritiska applikationer granskas och testas noggrant efter plattformsändringar, så att ändringar i driftplattformar inte påverkar verksamheten eller säkerheten negativt.

• Utlagd utvecklingSäker utveckling

  Vi lägger i allmänhet inte ut systemutveckling och undviker det i största möjliga mån. I de fall det förekommer övervakas arbetet och följer organisationens standarder och regulatoriska krav.

• Avidentifierad testdataSäker utveckling

  Inga riktiga kund- eller personuppgifter används vid test. Testdata är avidentifierad eller syntetisk och hanteras därför inte med samma skyddskrav som produktionsdata.