Bilaga 5 – Informationssäkerhet och underbiträden

1. Säkerhetsprinciper

• Principen om minsta privilegium och behovsstyrd åtkomst.
• Separering av kunddata genom logisk multi-tenant-kontroll och behörighetsmodell.
• Krypterad transport för webb, API och andra stödda gränssnitt.
• Kryptering av lagrad data där det är lämpligt utifrån risk och datatyp.
• Loggning av relevanta administrativa och säkerhetsrelaterade händelser.
• Sårbarhets- och patchhantering för av Leverantören kontrollerade komponenter.
• Backup och återställningsförmåga för relevanta produktionsdata.
• Incidenthanteringsprocess och begränsning av åtkomst till produktionsmiljön.

2. Identitet och åtkomst

• Rollbaserad åtkomst (RBAC) för Kundens och Leverantörens behörigheter.
• Separata administrativa och kundinriktade behörighetsgränser där arkitekturen stödjer detta.
• Starka autentiseringsmekanismer för privilegierad åtkomst.
• Regelbunden översyn av privilegierade behörigheter.

3. Kryptering och nycklar

• TLS används för webbaserad kommunikation och API där protokollet stödjer detta.
• Lagringstjänster konfigureras med kryptering i vila där det är lämpligt.
• Nyckel- och hemlighetshantering sker i särskilt avsedd tjänst eller säkert system för hemligheter.
• RUF-originalrapporter lagras krypterade och lämnas ut endast som krypterad arkivfil enligt Bilaga 1 punkt 5.

4. Loggning och övervakning

• Applikations- och infrastrukturloggar används för drift, säkerhet, felsökning och spårbarhet.
• Larm och övervakning används för relevanta fel-, säkerhets- och kapacitetshändelser.
• Loggar skyddas mot obehörig åtkomst och har definierad lagringstid enligt Bilaga 1 punkt 7.

5. Sårbarhet och utvecklingssäkerhet

• Kodgranskning och automatiserade tester används i utvecklingsprocessen i lämplig omfattning.
• Beroenden och kända sårbarheter följs upp med automatiserade eller manuella verktyg.
• Utvecklings-, test- och produktionsmiljöer är separerade från varandra.
• Produktionsdata används inte i utvecklings- eller testmiljöer.
• Ändringar till produktion sker genom kontrollerad releaseprocess.
• Kritiska eller tidskänsliga säkerhetsuppdateringar får införas i produktion utan föregående avisering när Leverantören bedömer att detta skäligen krävs för att begränsa en sårbarhet, säkerhetsrisk eller pågående incident.

6. Backup, kontinuitet och återställning

Backup- och återställningsrutiner anpassas efter Tjänstens datatyper. Mål för återställningstid och dataförlust (RTO och RPO) är inte garanterade om de inte uttryckligen anges i Beställningen eller Bilaga 3.

7. RUF-specifika kontroller

• Kort lagringstid för originalrapporter jämfört med aggregerad rapportdata.
• Begränsad åtkomst till RUF-innehåll.
• Pseudonymisering med nycklad HMAC-SHA256 före lagring för ordinarie analys.
• Kryptering av lagrade originalrapporter.
• Möjlighet för Kunden att avstå från eller inaktivera RUF-funktionalitet.

8. Underbiträden

Ett bolag tas upp som underbiträde endast om det behandlar personuppgifter för Kundens räkning.

9. Process för nya underbiträden

1. Leverantören gör en dataskydds- och säkerhetsbedömning av det planerade underbiträdet innan behandling påbörjas.
2. Leverantören ingår de biträdes-, dataskydds- och andra avtal som krävs för att underbiträdet ska omfattas av relevanta dataskydds- och säkerhetskrav.
3. Kunden informeras minst trettio (30) dagar innan ett nytt eller ersättande underbiträde påbörjar behandling av personuppgifter för Kundens räkning. Informationen ska beskriva underbiträdets identitet, behandlingens art, vilka personuppgifter som kan behandlas, var behandlingen sker samt, i förekommande fall, tillämplig mekanism för tredjelandsöverföring.
4. Kunden får inom femton (15) dagar från mottagandet av informationen framställa en konkret och sakligt grundad invändning som avser dataskydd, informationssäkerhet eller tillämplig lagstiftning. Vad som utgör en sakligt grundad invändning framgår närmare av Bilaga 4 punkt 9.
5. Vid en sakligt grundad invändning ska Parterna skyndsamt försöka finna en rimlig lösning. Leverantören får exempelvis, om det är praktiskt och kommersiellt rimligt, avstå från att använda det berörda underbiträdet för Kundens behandling eller erbjuda en alternativ teknisk eller organisatorisk lösning.
6. Så länge en sakligt grundad invändning är föremål för hantering ska det nya eller ersättande underbiträdet inte påbörja den behandling av Kundens personuppgifter som omfattas av invändningen, om inte Parterna skriftligen kommer överens om annat.
7. Om Parterna inte kan finna en rimlig lösning och Leverantören inte skäligen kan tillhandahålla den berörda delen av Tjänsten utan det aktuella underbiträdet, har Kunden rätt att säga upp den del av Tjänsten som påverkas av förändringen. Om den berörda delen inte skäligen kan separeras från Tjänsten i övrigt har Kunden rätt att säga upp Avtalet i sin helhet.
8. Sådan uppsägning ska inte medföra någon extra uppsägningsavgift eller annan särskild kostnad för Kunden. Om Kunden har betalat abonnemangsavgift i förskott ska Leverantören återbetala den proportionella del av den förskottsbetalade avgiften som avser tiden efter uppsägningens ikraftträdande. Ingen ytterligare ersättning eller kompensation utgår enbart med anledning av sådan uppsägning.

10. Kontaktuppgifter