Hur vi skyddar era efterlevnadsdata

Var era data lagras

Varje byte av kunddata ligger inom europeisk jurisdiktion, på europeiskt-hostad infrastruktur. Inga kunddata behandlas eller lagras av USA-baserade molnleverantörer — inte ens i deras "EU-regioner," på grund av USA:s CLOUD Act och FISA 702.

• Applikationshosting: Hetzner Online GmbH — Falkenstein / Helsingfors
• Produktionsdatabas: UpCloud Ltd hanterad PostgreSQL — Finland
• Objektlagring: Hetzner — Tyskland / Finland
• Identitetsleverantör: Zitadel Cloud — Schweiz (EU-adekvansbeslut)
• AI-inferens: Mistral AI SAS — Frankrike
• E-postleverans: Brevo / Sendinblue SA — Frankrike
• Analys: Plausible Insights OÜ — Estland (utan cookies, inga personuppgifter)
• Webbsidans CDN: BunnyCDN — Slovenien, endast EU-noder konfigurerade

Data under överföring och vid lagring

• TLS 1.2 minimum, TLS 1.3 föredraget. HTTP-trafik omdirigeras till HTTPS vid lastbalanseraren.
• Databaskryptering vid lagring är aktiverad (UpCloud hanterad PostgreSQL tillhandahåller detta nativt).
• Bevisfiler i objektlagring är krypterade vid lagring och bundna till den uppladdande organisationen via lagringssökväg.
• Lösenord hashas av Zitadel med Argon2id (vi ser aldrig kundlösenord; OAuth-flöden hanterar det från ände till ände).

Autentisering och åtkomst

• OIDC / OAuth 2.0 via Zitadel. Standard-JWT:n valideras av både webbappen och API:et.
• Tvåfaktorsautentisering tillgänglig för slutanvändare (TOTP, WebAuthn / passkeys). Organisationsadmins kan tvinga MFA för alla medlemmar.
• Kortlivade access tokens (15 min) med säker förnyelse.
• Omautentisering krävs för känsliga åtgärder: ändra e-post eller lösenord, modifiera MFA, ta bort konto, ändra fakturering, generera API-nycklar, ändra organisationsroller.
• OAuth-leverantörer: endast Google och Microsoft. Ingen SMS-baserad MFA — den är sårbar för SIM-swap-attacker.
• Hastighetsbegränsning på varje API-endpoint. Misslyckade autentiseringsförsök loggas med IP och tidsstämpel och lagras i minst 90 dagar.

AI-behandlingssäkerhet

• Kundtext skrubbas från PII (namn, e-post, telefonnummer, adresser) innan något av det når en AI-modell. Originalen stannar i vår databas; endast de skrubbade kopiorna passerar API-gränsen.
• Mistral tränar inte på data vi skickar in (avtalsenligt enligt personuppgiftsbiträdesavtalet).
• Varje AI-resultat är ett utkast. Inga automatiserade beslut med rättsverkan enligt artikel 22 GDPR.
• Alla AI-körningar loggas med metadata (modell, tokens, verifierarens konfidens, expertgranskningsflagga) — aldrig med råa prompter som innehåller PII.

Loggning och incidenthantering

• Varje materiell åtgärd loggas: autentiseringshändelser, behörighetsnekanden, dataexporter, raderingar, faktureringshändelser, AI-klassificeringar och godkännanden.
• Loggar är strukturerad JSON. Inga personuppgifter i loggkroppar.
• Säkerhetslogglagring: minst 90 dagar.
• Vi informerar berörda kunder inom 72 timmar efter en bekräftad personuppgiftsincident, i linje med GDPR artikel 33 och NIS2 incidentrapportering.

Sårbarhetshantering

• Publik sårbarhetsrapportering: mejla security@maditon.com. Vi siktar på att bekräfta rapporter inom 48 timmar.
• Sårbarhetsskanning av beroenden körs i CI (pnpm audit, pip-audit). Kritiska sårbarheter blockerar driftsättning.
• Dependabot är den enda automatiserade bot som tillåts öppna PR:er. Automatisk merge är inaktiverad.
• Säkerhetsgranskning vid varje release och vid större versionsmilstolpar.

Verksamhetsfortsättning

• Automatiserade dagliga backuper med 30 dagars lagring.
• Backup-återställning testas kvartalsvis.
• Recovery Time Objective (RTO): 4 timmar för applikationen, 2 timmar för databasen.
• Recovery Point Objective (RPO): 24 timmar (dagliga backuper).

Integritet by design

• Självbetjäning GDPR artikel 15 / 20 dataexport (personuppgifter + JSON Schema + README).
• Självbetjäning EU Dataförordningen artikel 4 export (alla organisationsdata, maskinläsbara).
• Självbetjäning GDPR artikel 17 radering: omedelbar anonymisering, hård radering inom 30 dagar.
• 30 dagars mjukraderingsfönster för AI-system och bevisfiler.
• Inga kundPII i tredjeparts analys, felspårning eller marknadsföringsverktyg.

Vad vi inte har (ännu)

Ärligt om mognadsstadiet:

• ISO 27001-certifiering: inte ännu. Vi bygger till ISO 27001 Annex A-standarder men den formella certifieringen ligger på roadmappen för 2027.
• SOC 2 Type II: inte på roadmappen. SOC 2 är ett amerikanskt ramverk. ISO 27001 är EU:s motsvarighet och den mer relevanta meriten för våra kunder.
• Publikt SLA för upptid: inte på nuvarande abonnemang. Vi övervakar upptid internt men förbinder oss inte ännu till ett avtalsenligt SLA.

Leverantörsbedömningar och personuppgiftsbiträdesavtal

Vi kan signera ett personuppgiftsbiträdesavtal (DPA) med vilken kund som helst som begär det. Mejla privacy@maditon.com med ert standard-DPA eller begär vårt. Den fullständiga listan över våra egna underbiträden finns i Integritetspolicyn.

Rapportera ett säkerhetsproblem

Om du tror att du har hittat en sårbarhet i Maditon, mejla security@maditon.com. Vi driver för närvarande inte ett bug bounty-program, men vi krediterar rapportörer publikt i den här sidans changelog (med tillstånd) och vår tacksamhet är genuin.

Ge oss gärna ett rimligt fönster — minst 14 dagar — att utreda och patcha innan ni offentliggör. Vi förbinder oss att svara på alla rapporter.