Säkerhetsbeskrivning

FlowDule är en B2B SaaS-plattform där behandlare och kliniker arbetar med klient-, journal- och hälsouppgifter. Uppgifterna är privata, och säkerhetsnivån är lagd därefter. Här kan du och er rådgivare se vad vi gör och vad ni själva ansvarar för.

Beskrivningen är en överblick. Den innehåller inte credentials, nätverksdetaljer, kända sårbarheter eller kundspecifika konfigurationer. Den bindande säkerhetsnivån står i det personuppgiftsbiträdesavtal som ni har accepterat och i den versionsbundna TOMS-bilagan.

Säkerhetsarbetet vilar på fyra saker:

• konfidentialitet: endast identifierade och behöriga personer och system får den åtkomst som uppgiften kräver;
• riktighet: ändringar, delningar, raderingar och administrativa åtgärder kan följas i efterhand;
• tillgänglighet och robusthet: kritiska uppgifter och funktioner kan återställas;
• dataskydd genom design och dataskydd som standard: minsta möjliga åtkomst, minsta möjliga uppgifter, minsta möjliga delning och lagring och färrast möjliga tredje parter är utgångspunkten.

Vi prövar och utvärderar åtgärderna regelbundet.

Ert ansvar begränsar inte vårt ansvar för våra egna åtgärder. Och vår säkerhet tar inte bort er skyldighet att välja en lämplig konfiguration och följa upp att era egna användare har laglig åtkomst.

FlowDules produktion drivs hos Kinsta (Sevalla) i Google Clouds datacenter: API, databas, webbapp och bokningssidor; databasen ligger i Frankfurt. Cloudflare levererar edge och TLS framför plattformen samt objektlagring (Cloudflare R2) för media och databasbackup. AWS (EU) används för inloggning, e-post, AI-tjänster och nyckelhantering. Den aktuella översikten över leverantörer, tjänster och regioner framgår av Underbiträden och leverantörer.

Utveckling, staging och produktion är åtskilda miljöer. Produktion använder vi inte för test, och vi kopierar inte verkliga klient- och journaluppgifter till utveckling eller vanlig test. Där använder vi påhittade uppgifter eller uppgifter som på annat sätt lagligt är godkända och minimerade för ändamålet.

Användarna loggar in med personliga konton via AWS Cognito, inte med delade inloggningsuppgifter. Åtkomsten följer rollen och relationen enligt minsta behörighet, så att en användare bara ser det som rollen i kedjan och på platsen ger åtkomst till.

FlowDules egna plattformsanvändare loggar in med multifaktorautentisering. Era egna användare kan själva slå på den för sitt konto. Åtkomsttokens valideras centralt och har begränsad livslängd.

Vi stänger en åtkomst när en person slutar, när ett konto är komprometterat eller när arbetsbehovet faller bort, och vi ser regelbundet över de breda och privilegierade åtkomsterna.

Vår support öppnar bara ert innehåll i ett konkret ärende, efter nödvändigt godkännande, med personlig inloggning, under kortast möjliga tid och med loggning. Det finns ingen dold permanent administratörsroll.

FlowDule är en multi-tenant-plattform: flera kunder delar samma plattform. Kundseparationen upprätthålls i de relevanta lagren, i appen, i api:et, i applikationslogiken, i databasen och i filåtkomsten. I databasen sker det med row-level security. Separationen prövas också med försök till åtkomst över kund-, plats- och rollgränser.

Åtkomst avgörs av kedjetillhörighet, roll, plats och den konkreta arbets- eller behandlingsrelationen. En användare får inte åtkomst till en klient enbart för att användaren hör till samma kund, om den valda kundmodellen bygger på en snävare relation. Samma princip gäller för privilegierade databas- och supportvägar.

Trafiken mellan er och plattformen krypteras med TLS. Känsliga journalfält krypteras dessutom på fältnivå med nycklar som hanteras i AWS KMS.

Credentials, tokens, krypteringsnycklar och andra hemligheter ligger inte i källkod, i vanliga loggar eller på skärmen. Åtkomst till dem ges efter behov, registreras och roteras vid komprometterande och enligt nyckelplanen.

Detaljer om krypteringen och åtkomsten till nycklar lämnar vi endast efter behov och genom en säker kanal.

Åtgärder med klient- och journaldata kan spåras till en namngiven användare eller en entydig systemkomponent. Beroende på risken omfattar det bland annat läsning, sökning, skapande, ändring, nedladdning, export, delning, återkallelse, radering och administrativa åtgärder med utökade behörigheter.

Loggar innehåller den kontext som krävs för att undersöka en åtgärd, men inte journaltext, lösenord eller tokens. De är skyddade mot ändring och obehörig läsning, sparas under en bestämd period och raderas därefter automatiskt. Uppföljning av loggar är saklig, begränsad till ett ändamål och åtkomstbegränsad.

Uppslagningar i journaler loggas. Vi har automatiska larm vid fel, vid misslyckade skrivningar till revisionsloggen, vid massuppslagningar i journaler och när en ny plattformsägare skapas. Larmen samlas i ett e-postmeddelande, och de kritiska eskaleras dessutom via sms.

Ni följer själva upp om era egna användares uppslagningar är arbetsbetingade. Vi levererar funktionen och det avtalade biståndet.

Ändringar går igenom automatiska tester och kodgranskning innan de frisläpps. Beroendena i api:et övervakas automatiskt med Dependabot, som varnar om nya versioner och föreslår uppdateringar. Hittar vi ett kritiskt förhållande blockerar, begränsar eller återställer vi ändringen. Ändringar i dataflöde, åtkomst, nätverk, kryptering, loggning, lagring, regioner och leverantörer riskbedöms först, och de kan rullas tillbaka.

Vi begränsar uppladdningar efter filtyp, storlek, filsignatur och den funktion som filen hör till. Varken filen eller dess metadata ger en väg förbi kundseparationen, åtkomstreglerna eller den säkra filvisningen.

Uppladdade filer virusskannas inte.

Innan en leverantör tar emot personuppgifter ser vi på:

• leverantörens juridiska roll, tjänsten, de uppgifter den behandlar och de registrerade;
• avtalsgrunden, däribland personuppgiftsbiträdesavtalet och de relevanta säkerhetsgarantierna;
• behandlingsländer, fjärrsupport och underleverantörskedjan;
• åtkomst, kryptering, loggar, lagring, radering, incidenter och exit;
• en eventuell överföringsgrund och de kompletterande åtgärderna.

Vi ingår ett personuppgiftsbiträdesavtal med de nödvändiga säkerhetsgarantierna.

Hosting inom EU utesluter inte i sig överföring till tredjeland, till exempel via fjärrsupport eller en leverantör utanför EU. Videomodulen använder LiveKit (USA); sessionerna är inte bundna till EU, och överföringen sker enligt LiveKits personuppgiftsbiträdestillägg, som är en del av LiveKits villkor: EU-US Data Privacy Framework där LiveKit är certifierat, annars EU:s standardavtalsklausuler. Den aktuella leverantörsöversikten finns i Underbiträden och leverantörer.

Databasen säkerhetskopieras dagligen till Cloudflare R2 med 30 dagars rotation. Som en del av återställningsproceduren ska återställning prövas i en isolerad miljö, och registrerade raderingar och legal holds ska tillämpas på nytt innan miljön öppnas.

FlowDule utlovar inte bestämda RPO-, RTO-, backup- eller upptidsmål om de inte uttryckligen är avtalade i ett SLA. Er lokala nödrutin ska kunna fungera utan osäkra privata e-postmeddelanden, chattar, delade dokument eller obehöriga enheter.

Efter en återställning går vi igenom att uppgifterna är tekniskt fullständiga. Ni går igenom era egna kritiska verksamhetsuppgifter och efterregistrerar det som saknas, så att det kan spåras.

Misstanke om förlust av konfidentialitet, riktighet eller tillgänglighet behandlar vi som en säkerhetsincident. Vi registrerar, begränsar och utreder den och sparar det nödvändiga materialet utan att göra onödiga kopior av känsligt innehåll.

Rör en personuppgiftsincident era uppgifter underrättar vi er utan onödigt dröjsmål och ger er de uppgifter vi har, allteftersom vi har dem. Ni beslutar som personuppgiftsansvarig om incidenten ska anmälas till tillsynsmyndigheten och om de registrerade ska informeras. Vår egen rutin försenar inte er frist.

Misstänker du en säkerhetsincident, så skriv omedelbart till security@flowdule.com. Vanliga supportfrågor skickar du till support@flowdule.com.

Er lagringsprofil följer yrkesgrupp, land, datakategori och ändamål. Vi lägger inte automatiskt en hälso- och sjukvårdsrättslig journalfrist på egenföretagande psykoterapeuter som inte omfattas av den särregeln.

En radering omfattar de relevanta databaserna, filerna, delningarna, köerna, cacharna, exportfilerna och andra aktiva kopior. Säkerhetskopior fasas ut genom den löpande rotationen. Fram till utgången är de skyddade och används inte till något annat.

Legal hold använder vi endast vid en konkret skyldighet, en tvist eller en laglig instruktion. Det avgränsas till de nödvändiga personerna, objekten och datakategorierna, omprövas regelbundet och hävs spårbart.

AI-funktionerna i journalen är en del av journalmodulen och inte en generell åtkomst till era uppgifter. De är tillgängliga för kedjans användare utifrån deras roll; det finns inget särskilt aktiveringssteg för varje enskild AI-funktion. Modell, uppgifter, regioner, lagring och leverantörer framgår av AI-informationen, era data används inte för att träna AI-modeller, och vi kan omedelbart stänga av en funktion eller modell vid allvarliga eller upprepade fel.

AI-utdata som ska användas i journalen eller gentemot en klient är ett utkast. En yrkesperson ska gå igenom källa, fakta, negationer, siffror, datum, person och yrkesmässig kontext innan resultatet sparas eller delas. Vissa resultat godkänns inte var för sig, bland annat den automatiska anteckningsåterkopplingen och maskinöversättningen av delat innehåll för klienten. FlowDules AI fattar inte själv beslut om diagnos, triage, behandling eller åtkomst.

Ytterligare information finns i AI-information.

Alla med intern eller privilegierad åtkomst har tystnadsplikt. De instrueras innan de får åtkomst och därefter regelbundet i bland annat phishing, credentials, journaluppgifter, supportåtkomst, loggning, incidenter, AI och omedelbar rapportering.

Vi registrerar vem som har åtkomst och när de har instruerats. Medvetet missbruk, delning av credentials, kringgående av säkerhetsregler eller undanhållande stänger åtkomsten omedelbart och kan få anställnings- eller avtalsrättsliga följder.

Ni kan få dokumentation och genomföra revision enligt Personuppgiftsbiträdesavtalet. Utgångspunkten är den TOMS-bilaga som ni har accepterat, resultaten av våra egna prövningar, leverantörernas egen dokumentation och eventuella oberoende rapporter. Uppgifter som kan försvaga säkerheten eller andra kunders sekretess lämnar vi endast vidare genom en säker och konfidentiell process.

Denna beskrivning är inte ett SLA och ger inte i sig garanti för viss upptid, återställningstid, gräns för dataförlust eller certifiering. FlowDule är inte ISO 27001- eller SOC 2-certifierat.

Om texten avviker från den accepterade, versionsbundna TOMS-bilagan har TOMS-bilagan företräde för den konkreta kunden. En senare förbättring ändrar inte stillatigande kundens avtalade instruktion eller säkerhetsnivå.

• GDPR artikel 25 och 32
• Den danska dataskyddsmyndighetens (Datatilsynet) katalog över säkerhetsåtgärder
• Den danska dataskyddsmyndighetens (Datatilsynet) vägledning om loggning