TOMS-bilag til databehandleraftalen

Dette bilag beskriver de tekniske og organisatoriske foranstaltninger, som FlowDule ApS anvender, når FlowDule behandler personoplysninger på kundens vegne, jf. GDPR artikel 28 og 32. Bilaget er en del af databehandleraftalen.

Bilaget er versioneret. Den version, kunden har accepteret sammen med databehandleraftalen, identificeres ved version og dato. Ændringer udgives som en ny version, og materielle ændringer kræver ny accept efter databehandleraftalen.

Kundens dokumenterede instruks er kædens egne indstillinger i platformen (aktiverede moduler og AI-funktionerne i dem, opbevaringsregler og landeprofil) sammen med den accepterede databehandleraftale. Foranstaltningerne nedenfor gælder for alle kæder; hvilke funktioner og leverandører der er i brug for den enkelte kæde, afhænger af kædens indstillinger.

• Brugere logger ind med personlige konti via AWS Cognito.
• Multifaktorgodkendelse (MFA) kræves for FlowDules egne platformsbrugere. Kædens brugere kan selv slå MFA til på deres konto.
• Adgang tildeles efter rolle. En bruger ser kun de data, som brugerens rolle i kæden og på lokationen giver adgang til.

Platformen deles af flere kunder. Hver kædes data holdes adskilt i applikationen, og databasen håndhæver rækkebaseret adgangskontrol (row-level security), så en forespørgsel kun kan se rækker for den kæde, den udføres for.

Serveren afgør ved hvert kald, hvilken kæde og hvilke roller den indloggede bruger har adgang til. Id’er i forespørgslens indhold bruges ikke til at give adgang.

• Trafik mellem brugerne og platformen krypteres med TLS via Cloudflare.
• Journaloplysninger krypteres på feltniveau med AES-256-GCM under nøgler, der beskyttes af AWS KMS.
• Søgning i udvalgte krypterede felter sker via HMAC-baserede blindindeks, så klarteksten ikke gemmes i søgbar form.

• Opslag i journaler registreres i en adgangslog.
• Der udløses automatiske alarmer ved fejl, ved mislykkede skrivninger til revisionsloggen, ved masseopslag i journaler og når en ny platformsejer oprettes.
• Alarmer samles i en opsamlingsmail, og kritiske alarmer eskaleres via SMS.

Produktionen kører på Kinsta (Sevalla) i Google Clouds datacentre. Det gælder api’et, databasen og bookingsiderne; databasen ligger i Google Clouds region europe-west3 (Frankfurt). Webappen er et statisk Sevalla-site.

Cloudflare leverer edge og TLS foran alle Sevalla-apps, objektlager (Cloudflare R2) til medier (billeder, dikteringslyd og eksporter) og til databasens sikkerhedskopier samt Turnstile-bottjek på det trin, hvor en booking eller eventtilmelding indsendes, på kontaktformularen og på webshoppens formular til lagerbesked.

Fra AWS i EU anvendes Cognito (login), SES (e-mail), Amazon Bedrock (AI), Amazon Transcribe (diktering), Amazon Textract (tekstgenkendelse) og AWS KMS (nøgler til feltkryptering). Amazon Translate bruges kun til supportsager og platformsmeddelelser.

SMS sendes via GatewayAPI (ONLINECITY.IO), hvis platform opbevarer beskeddata i EU (Google, Belgien). Betalinger håndteres af Stripe; klientbetalinger gennemføres direkte på kædens egen Stripe-konto. Adresseopslag for virksomheds-, lokations- og eventadresser bag login sker via Postcode.eu. Push-notifikationer er slået fra i produktionen, og der sendes ingen push-beskeder.

Video leveres af LiveKit (LiveKit Incorporated, USA) for kæder, der slår videomodulet til. LiveKit Cloud sender hver session til den nærmeste server, så behandlingen er ikke bundet til EU. Overførslen sker efter LiveKits databehandlertillæg, som er en del af LiveKits vilkår: EU-US Data Privacy Framework, hvor LiveKit er certificeret, og ellers EU’s standardkontraktbestemmelser. Der anvendes ikke optagelse, egress, agenter eller inferens. De behandlede data er sessions-id, et pseudonymt deltager-id, visningsnavn samt lyd, video og eventuel chat under overførslen.

Den fulde liste med juridiske enheder, formål, datakategorier, behandlingssteder og overførselsgrundlag fremgår af Underdatabehandlere og leverandører.

Databasen sikkerhedskopieres dagligt til Cloudflare R2 med 30 dages rotation. Som led i gendannelsesproceduren skal gendannelse afprøves i et isoleret miljø, og registrerede sletninger og legal holds skal genanvendes, før et gendannet miljø åbnes.

Opbevaring og sletning følger kædens opbevaringsregler og landeprofil samt databehandleraftalen. Sikkerhedskopier slettes ved den løbende rotation på 30 dage, og registrerede sletninger respekteres også ved gendannelse, jf. afsnit 7. Ved aftalens ophør tilbageleveres, eksporteres og slettes data efter databehandleraftalen.

• AI-funktionerne i journalen er tilgængelige for kæder, der har slået journalmodulet til, og for kædens brugere efter deres rolle; der er ikke et særskilt aktiveringstrin for hver enkelt AI-funktion. FlowDule slår AI fra for en kæde efter anmodning, med de undtagelser, der fremgår af AI-informationen.
• Tekstbaseret AI, herunder oversættelse af journal, katalog og tekster, kører på Amazon Bedrock med Anthropic Claude via EU-inferensprofilen, så forespørgslerne behandles i EU-regioner. Diktering transskriberes med Amazon Transcribe, og tekstgenkendelse sker med Amazon Textract.
• Formateret tekst og tekst fra billede kommer først i en journal, når brugeren gemmer notatet. Dikteret tekst sættes ind i skriveværktøjet, og notatets tekst ændres først, når brugeren gemmer; dikteres der til et notat, der allerede er oprettet, gemmes den rå transskription sammen med notatet, så snart den er færdig. Resumé, nøgleord og næste skridt skrives på notatet, når brugeren har bedt om dem; brugeren skal læse dem og kan rette eller fjerne dem. Nogle resultater godkendes ikke enkeltvis: den automatiske notatfeedback, maskinoversættelsen af delt indhold for klienten og oversættelsen af supportsager og platformmeddelelser.
• Kundens data bruges ikke til at træne AI-modeller.

Sikkerhedshændelser registreres, begrænses og undersøges. FlowDule underretter kunden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører kundens personoplysninger, og bistår kunden med de oplysninger, kunden har brug for til sin egen vurdering og eventuelle anmeldelse. Mistanke om en sikkerhedshændelse rapporteres til security@flowdule.com.

FlowDules interne politikker fastlægger blandt andet:

• navngivne roller og ledelsesgodkendelse;
• fortrolighed og behovsbestemt adgang;
• ændringsstyring, kodegennemgang og sikkerhedstest;
• hændelsesrapportering og kundebistand;
• leverandørkontrol og dokumenteret instruks;
• træning i sikkerhed, privacy og AI;
• risikobaseret kontrol og dokumentation.

FlowDule er ikke ISO 27001- eller SOC 2-certificeret.

• Mindreårige klienter kan registreres, når kundens indstilling for mindreårige er slået til, og en myndig kontaktperson med e-mail eller telefon er registreret på klienten. Beskeder, kvitteringer og betalingslinks sendes til kontaktpersonen, ikke til den mindreårige.
• Kontaktpersonen får ingen adgang til løsningen.
• Bruger kunden journalmodulet til sundhedsfaglig journal, må der kun registreres klienter, der er fyldt 18 år. Det fremgår af kundens indstilling for mindreårige og er ikke en teknisk spærring.
• Værge- og fuldmagtsmodeller er fortsat uden for det produkt, aftalen omfatter, og må ikke bruges; ingen logger ind på en andens vegne.
• Forskning, journalafledte anonyme datasæt og autonome AI-funktioner er fortsat uden for det produkt, aftalen omfatter, eller slået fra. De AI-funktioner, der er i brug, fremgår af afsnit 9 og AI-informationen.

• GDPR artikel 25 og 32
• Datatilsynets katalog over sikkerhedsforanstaltninger