Sikkerhetsbeskrivelse

FlowDule er en B2B SaaS-plattform der behandlere og klinikker arbeider med klient-, journal- og helseopplysninger. Opplysningene er private, og sikkerhetsnivået er lagt deretter. Her kan dere og rådgiveren deres se hva vi gjør, og hva dere selv står for.

Beskrivelsen er en oversikt. Den inneholder ikke credentials, nettverksdetaljer, kjente sårbarheter eller kundespesifikke oppsett. Det bindende sikkerhetsnivået står i den databehandleravtalen dere har akseptert, og i det versjonsbundne TOMS-vedlegget.

Sikkerhetsarbeidet hviler på fire ting:

• konfidensialitet: bare identifiserte og bemyndigede personer og systemer får den tilgangen oppgaven krever;
• integritet: endringer, delinger, slettinger og administrative handlinger kan følges i etterkant;
• tilgjengelighet og robusthet: kritiske data og funksjoner kan gjenopprettes;
• innebygd personvern og personvern som standardinnstilling: minst mulig tilgang, minst mulig data, minst mulig deling og oppbevaring og færrest mulige tredjeparter er utgangspunktet.

Vi prøver ut og vurderer tiltakene regelmessig.

Ansvaret deres begrenser ikke vårt ansvar for våre egne tiltak. Og sikkerheten vår fjerner ikke plikten deres til å velge et egnet oppsett og følge med på at deres egne brukere har lovlig tilgang.

FlowDules produksjon drives hos Kinsta (Sevalla) i Google Clouds datasentre: API, database, webapp og bookingsider; databasen ligger i Frankfurt. Cloudflare leverer edge og TLS foran plattformen og objektlagring (Cloudflare R2) for medier og databasebackup. AWS (EU) brukes til innlogging, e-post, KI-tjenester og nøkkelhåndtering. Den aktuelle oversikten over leverandører, tjenester og regioner fremgår av Underdatabehandlere og leverandører.

Utvikling, staging og produksjon er atskilte miljøer. Produksjon bruker vi ikke til utprøving, og vi kopierer ikke reelle klient- og journaldata til utvikling eller alminnelig utprøving. Der bruker vi oppdiktede opplysninger eller opplysninger som på annen måte er lovlig godkjent og minimert til formålet.

Brukerne logger inn med personlige kontoer via AWS Cognito, ikke med delte påloggingsopplysninger. Tilgangen følger rollen og relasjonen etter minste privilegium, slik at en bruker bare ser det rollen i kjeden og på lokasjonen gir tilgang til.

FlowDules egne plattformbrukere logger inn med flerfaktorautentisering. Deres egne brukere kan selv slå den på for kontoen sin. Tilgangstokener valideres sentralt og har begrenset levetid.

Vi stenger en tilgang når en person slutter, når en konto er kompromittert, eller når det tjenstlige behovet faller bort, og vi gjennomgår de brede og privilegerte tilgangene med jevne mellomrom.

Supporten vår åpner bare innholdet deres i en konkret sak, etter nødvendig godkjenning, med personlig innlogging, i kortest mulig tid og med logging. Det finnes ikke en skjult permanent administratorrolle.

FlowDule er en multi-tenant plattform: flere kunder deler den samme plattformen. Kundeadskillelsen håndheves i de relevante lagene, i appen, i API-et, i applikasjonslogikken, i databasen og i filtilgangen. I databasen skjer det med row-level security. Adskillelsen prøves også ut med forsøk på tilgang på tvers av kunder, lokasjoner og roller.

Tilgang avgjøres av kjedetilhørighet, rolle, lokasjon og den konkrete arbeids- eller behandlingsrelasjonen. En bruker får ikke tilgang til en klient bare fordi brukeren hører til samme kunde, dersom den valgte kundemodellen bygger på en snevrere relasjon. Det samme prinsippet gjelder for privilegerte database- og supportveier.

Trafikken mellom dere og plattformen krypteres med TLS. Sensitive journalfelt krypteres i tillegg på feltnivå med nøkler som håndteres i AWS KMS.

Credentials, tokener, krypteringsnøkler og andre hemmeligheter ligger ikke i kildekode, i alminnelige logger eller på skjermen. Tilgang til dem gis etter behov, registreres og roteres ved kompromittering og etter nøkkelplanen.

Detaljer om krypteringen og tilgangen til nøkler gir vi bare etter behov og gjennom en sikker kanal.

Handlinger med klient- og journaldata kan spores til en navngitt bruker eller en entydig systemkomponent. Avhengig av risikoen omfatter det blant annet lesing, søk, oppretting, endring, nedlasting, eksport, deling, tilbakekalling, sletting og administrative handlinger med utvidede rettigheter.

Logger inneholder den sammenhengen som skal til for å undersøke en handling, men ikke journaltekst, passord eller tokener. De er beskyttet mot endring og uautorisert lesing, lagres i en fast periode og slettes deretter automatisk. Oppfølging av logger er saklig, begrenset til et formål og tilgangsbegrenset.

Oppslag i journaler logges. Vi har automatiske alarmer ved feil, ved mislykkede skrivinger til revisjonsloggen, ved masseoppslag i journaler og når en ny plattformeier opprettes. Alarmene samles i en e-post, og de kritiske eskaleres i tillegg via sms.

Dere følger selv opp om deres egne brukeres oppslag er arbeidsbetingede. Vi leverer funksjonen og den avtalte bistanden.

Endringer går gjennom automatiske tester og kodegjennomgang før de frigis. Avhengighetene i API-et overvåkes automatisk med Dependabot, som varsler om nye versjoner og foreslår oppdateringer. Finner vi et kritisk forhold, blokkerer, begrenser eller tilbakefører vi endringen. Endringer i dataflyt, tilgang, nettverk, kryptering, logging, oppbevaring, regioner og leverandører vurderes for risiko først, og de kan rulles tilbake.

Vi begrenser opplastinger etter filtype, størrelse, filsignatur og den funksjonen filen hører til. Verken filen eller metadataene dens gir vei utenom kundeadskillelsen, tilgangsreglene eller den sikre filvisningen.

Opplastede filer virusskannes ikke.

Før en leverandør mottar personopplysninger, ser vi på:

• leverandørens juridiske rolle, tjenesten, de opplysningene den behandler, og de registrerte;
• avtalegrunnlaget, herunder databehandleravtalen og de relevante sikkerhetsgarantiene;
• behandlingsland, fjernsupport og underleverandørkjeden;
• tilgang, kryptering, logger, oppbevaring, sletting, hendelser og exit;
• et eventuelt overføringsgrunnlag og de supplerende tiltakene.

Vi inngår en databehandleravtale med de nødvendige sikkerhetsgarantiene.

Hosting i EU utelukker ikke i seg selv overføring til tredjeland, for eksempel via fjernsupport eller en leverandør utenfor EU. Videomodulen bruker LiveKit (USA); sesjonene er ikke bundet til EU, og overføringen skjer etter LiveKits databehandlertillegg, som er en del av LiveKits vilkår: EU-US Data Privacy Framework der LiveKit er sertifisert, ellers EUs standardkontraktsbestemmelser. Den aktuelle leverandøroversikten finnes i Underdatabehandlere og leverandører.

Databasen sikkerhetskopieres daglig til Cloudflare R2 med 30 dagers rotasjon. Som ledd i gjenopprettingsprosedyren skal gjenoppretting prøves ut i et isolert miljø, og registrerte slettinger og legal holds skal anvendes på nytt før miljøet åpnes.

FlowDule lover ikke bestemte RPO-, RTO-, backup- eller oppetidsmål, med mindre de er uttrykkelig avtalt i en SLA. Deres lokale nødprosedyre skal kunne fungere uten usikre private e-poster, chatter, delte dokumenter eller uautoriserte enheter.

Etter en gjenoppretting gjennomgår vi at dataene er teknisk fullstendige. Dere gjennomgår deres egne kritiske faglige opplysninger og etterregistrerer det som mangler, slik at det kan spores.

Mistanke om tap av konfidensialitet, integritet eller tilgjengelighet behandler vi som en sikkerhetshendelse. Vi registrerer, begrenser og undersøker den og bevarer det nødvendige materialet uten å lage unødvendige kopier av sensitivt innhold.

Gjelder et brudd på personopplysningssikkerheten opplysningene deres, varsler vi dere uten ugrunnet opphold og gir dere de opplysningene vi har, etter hvert som vi har dem. Dere beslutter som behandlingsansvarlig om bruddet skal meldes til tilsynsmyndigheten, og om de registrerte skal informeres. Vår egen prosess forsinker ikke fristen deres.

Har du mistanke om en sikkerhetshendelse, så skriv straks til security@flowdule.com. Alminnelige supportspørsmål sender du til support@flowdule.com.

Oppbevaringsprofilen deres følger faggruppe, land, datakategori og formål. Vi legger ikke automatisk en helserettslig journalfrist på selvstendige psykoterapeuter som ikke er omfattet av den særregelen.

En sletting omfatter de relevante databasene, filene, delingene, køene, cachene, eksportfilene og andre aktive kopier. Sikkerhetskopier utfases gjennom den løpende rotasjonen. Til de utløper, er de beskyttet og brukes ikke til noe annet.

Legal hold bruker vi bare ved en konkret plikt, en tvist eller en lovlig instruks. Det avgrenses til de nødvendige personene, objektene og datakategoriene, vurderes med jevne mellomrom og oppheves sporbart.

KI-funksjonene i journalen er en del av journalmodulen og ikke en generell tilgang til dataene deres. De er tilgjengelige for kjedens brukere etter deres rolle; det finnes ikke et særskilt aktiveringstrinn for hver enkelt KI-funksjon. Modell, data, regioner, oppbevaring og leverandører fremgår av AI-informasjonen, dataene deres brukes ikke til å trene KI-modeller, og vi kan straks slå av en funksjon eller modell ved alvorlige eller gjentatte feil.

KI-utdata som skal brukes i journalen eller overfor en klient, er et utkast. En fagperson skal gjennomgå kilde, fakta, negasjoner, tall, datoer, person og faglig sammenheng før resultatet lagres eller deles. Noen resultater godkjennes ikke enkeltvis, blant annet den automatiske notattilbakemeldingen og maskinoversettelsen av delt innhold for klienten. FlowDules KI treffer ikke selv diagnose-, triage-, behandlings- eller tilgangsavgjørelser.

Ytterligere informasjon finnes i AI-informasjon.

Alle med intern eller privilegert tilgang har taushetsplikt. De blir instruert før de får tilgang, og deretter med jevne mellomrom i blant annet phishing, credentials, journaldata, supporttilgang, logging, hendelser, KI og umiddelbar rapportering.

Vi registrerer hvem som har tilgang, og når de er instruert. Bevisst misbruk, deling av credentials, omgåelse av sikkerhetsregler eller fortielse stenger tilgangen umiddelbart og kan få arbeids- eller kontraktsrettslige følger.

Dere kan få dokumentasjon og gjennomføre revisjon etter Databehandleravtalen. Utgangspunktet er det TOMS-vedlegget dere har akseptert, resultater av våre egne utprøvinger, leverandørenes egen dokumentasjon og eventuelle uavhengige erklæringer. Opplysninger som kan svekke sikkerheten eller andre kunders konfidensialitet, gir vi bare videre gjennom en sikker og fortrolig prosess.

Denne beskrivelsen er ikke en SLA og gir ikke i seg selv garanti for bestemt oppetid, gjenopprettingstid, datatapsgrense eller sertifisering. FlowDule er ikke ISO 27001- eller SOC 2-sertifisert.

Hvis teksten avviker fra det aksepterte, versjonsbundne TOMS-vedlegget, går TOMS-vedlegget foran for den konkrete kunden. En senere forbedring endrer ikke stilltiende kundens avtalte instruks eller sikkerhetsnivå.

• GDPR artikkel 25 og 32
• Det danske Datatilsynets katalog over sikkerhetstiltak
• Det danske Datatilsynets veiledning om logging