Säkerhet i Flowen

1. Vår säkerhetsfilosofi

Flowen är byggt på EU-infrastruktur, av ett svenskt bolag, utan utländskt ägande. Kunduppgifter stannar inom EU/EES. Stark kryptering är standard, inte ett tillval.

Den här sidan beskriver de åtgärder vi har på plats i dag, och de vi arbetar med. Vi berättar hellre vad som inte är klart än låter påskina att allt är det.

2. Drift och infrastruktur

• EU-suveränitet. All behandling och lagring sker inom EU/EES. Ingen amerikansk leverantör behandlar produktionsdata, så det finns ingen exponering mot CLOUD Act.
• DDoS-skydd genom OVH:s alltid påslagna skyddsinfrastruktur.
• Två platser. Produktion i Frankrike, backuper i Tyskland, så att förlusten av en plats inte innebär förlusten av dina uppgifter.
• Nätverksisolering. Administrativa endpoints är begränsade, och interna tjänster går inte att nå från internet.

3. Kryptering

4. Autentisering och åtkomstkontroll

• E-postverifiering krävs innan ett konto aktiveras.
• JWT-baserad autentisering med separata access- och refresh-tokens.
• Rollbaserad åtkomstkontroll på team- och resursnivå. Varje kund är ett eget utrymme; en kund kan inte nå en annan kunds uppgifter.
• Lösenordsåterställning genom signerade, tidsbegränsade tokens som skickas med e-post.
• OAuth för integrationer (Microsoft Graph, LinkedIn, Facebook), där autentiseringen delegeras till leverantören.
• Mjuk radering av kritiska poster, så att en radering av misstag går att ångra.

5. Härdning av infrastrukturen

• Endast SSH-nyckelautentisering — inloggning med lösenord är avstängd.
• fail2ban blockerar automatiskt försök till lösenordsknäckning.
• Geoblockering på administrativa endpoints.
• Hemligheter hanteras i en egen Vaultwarden-instans i vår egen EU-miljö. Vi använder inte tredjeparts lösenordshanterare internt.
• Säkerhetsuppdateringar installeras på produktionsservrarna regelbundet.
• Driftsättning utan avbrott genom PM2 reload, så att rättningar kan läggas in utan att tjänsten stannar.
• Åtkomst till produktionsservern är begränsad till systemets ägare.

6. Backup och återställning

• Nattliga backuper av databasen, tagna 03:00 och krypterade innan de lämnar produktionsservern.
• Två platser inom EU: produktionsservern i Frankrike och en server i Tyskland.
• Automatisk verifiering. Varje backup kontrolleras mot rimlig storlek och korrekt kryptering innan den överförs. Slår någon av kontrollerna fel avbryts körningen och larm går, i stället för att en fungerande backup skrivs över med en trasig.
• Lagringstid: 7 dagar lokalt, 30 dagar i Tyskland. Mjukt raderade poster i applikationen sparas i 90 dagar.
• Test av återläsning. Återläsning testas mot en separat testdatabas, inte mot produktion.

7. Underbiträden

Vi anlitar följande underbiträden. Listan hålls aktuell, och kunder underrättas minst 30 dagar innan ett nytt underbiträde anlitas.

Samtliga underbiträden är etablerade inom EU. Fortnox och Ongoing anlitas endast för kunder som har aktiverat respektive integration.

8. Övervakning

Flowen loggar applikationsfel internt, med den kontext som behövs för att utreda dem. Vi använder ingen tredjepartstjänst för felrapportering som skulle skicka potentiellt känsliga uppgifter utanför EU.

Webbanalys sker i egen regi med Umami på analytics.flowen.eu, som är GDPR-anpassat i grunden och varken använder kakor eller spårpixlar.

9. Regelefterlevnad

10. Incidenthantering

Vi har en dokumenterad rutin för personuppgiftsincidenter. I korthet:

1. Begränsning — omedelbara åtgärder för att begränsa skadan.
2. Bedömning — vilka uppgifter och vilka kunder som berörs.
3. Underrättelse — berörda kunder informeras inom 24 timmar från att vi fått kännedom om incidenten.
4. Anmälan till tillsynsmyndighet — Integritetsskyddsmyndigheten (IMY) underrättas inom 72 timmar när vi är personuppgiftsansvariga. När kunden är personuppgiftsansvarig lämnar vi de uppgifter kunden behöver för sin anmälan.
5. Uppföljning — orsaksanalys och förebyggande åtgärder inom två veckor.

Hela rutinen lämnas till kunder på begäran och vid revision.

Ingen säkerhetsincident som berört kunduppgifter har inträffat i Flowens produktionsdrift.

11. Rapportering av sårbarheter

Vi tar gärna emot rapporter från säkerhetsgemenskapen.

12. Vad vi arbetar med

Vi namnger hellre luckorna än låter påskina att nuläget är komplett.

13. Dokument

• Personuppgiftsbiträdesavtal (DPA) — finns i den juridiska översikten
• Integritetspolicy
• Användarvillkor
• Redogörelse för AI-förordningen
• Juridisk översikt

14. Kontakt