TOMS-vedlegg til databehandleravtalen

Dette vedlegget beskriver de tekniske og organisatoriske tiltakene som FlowDule ApS bruker når FlowDule behandler personopplysninger på vegne av kunden, jf. GDPR artikkel 28 og 32. Vedlegget er en del av databehandleravtalen.

Vedlegget er versjonert. Den versjonen kunden har akseptert sammen med databehandleravtalen, identifiseres ved versjon og dato. Endringer publiseres som en ny versjon, og vesentlige endringer krever ny aksept etter databehandleravtalen.

Kundens dokumenterte instruks er kjedens egne innstillinger i plattformen (aktiverte moduler og KI-funksjonene i dem, oppbevaringsregler og landprofil) sammen med den aksepterte databehandleravtalen. Tiltakene nedenfor gjelder for alle kjeder; hvilke funksjoner og leverandører som er i bruk for den enkelte kjeden, avhenger av kjedens innstillinger.

• Brukere logger inn med personlige kontoer via AWS Cognito.
• Flerfaktorautentisering (MFA) kreves for FlowDules egne plattformbrukere. Kjedens brukere kan selv slå på MFA for sin konto.
• Tilgang tildeles etter rolle. En bruker ser bare de dataene som brukerens rolle i kjeden og på lokasjonen gir tilgang til.

Plattformen deles av flere kunder. Hver kjedes data holdes adskilt i applikasjonen, og databasen håndhever radbasert tilgangskontroll (row-level security), slik at en spørring bare kan se rader for den kjeden den utføres for.

Serveren avgjør ved hvert kall hvilken kjede og hvilke roller den innloggede brukeren har tilgang til. ID-er i innholdet i forespørselen brukes ikke til å gi tilgang.

• Trafikk mellom brukerne og plattformen krypteres med TLS via Cloudflare.
• Journalopplysninger krypteres på feltnivå med AES-256-GCM under nøkler som beskyttes av AWS KMS.
• Søk i utvalgte krypterte felt skjer via HMAC-baserte blindindekser, slik at klarteksten ikke lagres i søkbar form.

• Oppslag i journaler registreres i en tilgangslogg.
• Det utløses automatiske alarmer ved feil, ved mislykkede skrivinger til revisjonsloggen, ved masseoppslag i journaler og når en ny plattformeier opprettes.
• Alarmer samles i en oppsummeringsmail, og kritiske alarmer eskaleres via SMS.

Produksjonen kjører på Kinsta (Sevalla) i Google Clouds datasentre. Det gjelder API-et, databasen og bookingsidene; databasen ligger i Google Clouds region europe-west3 (Frankfurt). Webappen er et statisk Sevalla-nettsted.

Cloudflare leverer edge og TLS foran alle Sevalla-apper, objektlagring (Cloudflare R2) for medier (bilder, dikteringslyd og eksporter) og for databasens sikkerhetskopier samt Turnstile-botsjekk på det trinnet der en booking eller arrangementspåmelding sendes inn, på kontaktskjemaet og på nettbutikkens skjema for lagervarsel.

Fra AWS i EU brukes Cognito (innlogging), SES (e-post), Amazon Bedrock (KI), Amazon Transcribe (diktering), Amazon Textract (tekstgjenkjenning) og AWS KMS (nøkler til feltkryptering). Amazon Translate brukes bare til supportsaker og plattformmeldinger.

SMS sendes via GatewayAPI (ONLINECITY.IO), der plattformen oppbevarer meldingsdata i EU (Google, Belgia). Betalinger håndteres av Stripe; klientbetalinger gjennomføres direkte på kjedens egen Stripe-konto. Adresseoppslag for virksomhets-, lokasjons- og arrangementsadresser bak innlogging skjer via Postcode.eu. Push-varsler er slått av i produksjonen, og det sendes ingen push-meldinger.

Video leveres av LiveKit (LiveKit Incorporated, USA) for kjeder som slår på videomodulen. LiveKit Cloud sender hver sesjon til nærmeste server, slik at behandlingen ikke er bundet til EU. Overføringen skjer etter LiveKits databehandlertillegg, som er en del av LiveKits vilkår: EU-US Data Privacy Framework der LiveKit er sertifisert, og ellers EUs standardkontraktsbestemmelser. Det brukes ikke opptak, egress, agenter eller inferens. De behandlede dataene er sesjons-ID, en pseudonym deltaker-ID, visningsnavn samt lyd, video og eventuell chat under overføringen.

Den fullstendige listen med juridiske enheter, formål, datakategorier, behandlingssteder og overføringsgrunnlag fremgår av Underdatabehandlere og leverandører.

Databasen sikkerhetskopieres daglig til Cloudflare R2 med 30 dagers rotasjon. Som ledd i gjenopprettingsprosedyren skal gjenoppretting prøves ut i et isolert miljø, og registrerte slettinger og legal holds skal anvendes på nytt før et gjenopprettet miljø åpnes.

Oppbevaring og sletting følger kjedens oppbevaringsregler og landprofil samt databehandleravtalen. Sikkerhetskopier slettes ved den løpende rotasjonen på 30 dager, og registrerte slettinger respekteres også ved gjenoppretting, jf. avsnitt 7. Ved avtalens opphør tilbakeleveres, eksporteres og slettes data etter databehandleravtalen.

• KI-funksjonene i journalen er tilgjengelige for kjeder som har slått på journalmodulen, og for kjedens brukere etter deres rolle; det finnes ikke et særskilt aktiveringstrinn for hver enkelt KI-funksjon. FlowDule slår av KI for en kjede etter forespørsel, med de unntakene som framgår av AI-informasjonen.
• Tekstbasert KI, herunder oversettelse av journal, katalog og tekster, kjører på Amazon Bedrock med Anthropic Claude via EU-inferensprofilen, slik at forespørslene behandles i EU-regioner. Diktering transkriberes med Amazon Transcribe, og tekstgjenkjenning skjer med Amazon Textract.
• Formatert tekst og tekst fra bilde kommer først inn i en journal når brukeren lagrer notatet. Diktert tekst settes inn i skriveverktøyet, og notatets tekst endres først når brukeren lagrer; dikteres det til et notat som allerede er opprettet, lagres den rå transkripsjonen sammen med notatet så snart den er ferdig. Sammendrag, nøkkelord og neste steg skrives på notatet når brukeren har bedt om dem; brukeren skal lese dem og kan rette eller fjerne dem. Noen resultater godkjennes ikke enkeltvis: den automatiske notattilbakemeldingen, maskinoversettelsen av delt innhold for klienten og oversettelsen av supportsaker og plattformmeldinger.
• Kundens data brukes ikke til å trene KI-modeller.

Sikkerhetshendelser registreres, begrenses og undersøkes. FlowDule varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som gjelder kundens personopplysninger, og bistår kunden med de opplysningene kunden trenger til sin egen vurdering og eventuelle melding. Mistanke om en sikkerhetshendelse rapporteres til security@flowdule.com.

FlowDules interne retningslinjer fastsetter blant annet:

• navngitte roller og ledelsesgodkjenning;
• konfidensialitet og behovsbestemt tilgang;
• endringsstyring, kodegjennomgang og sikkerhetstest;
• hendelsesrapportering og kundebistand;
• leverandørkontroll og dokumentert instruks;
• opplæring i sikkerhet, personvern og KI;
• risikobasert kontroll og dokumentasjon.

FlowDule er ikke ISO 27001- eller SOC 2-sertifisert.

• Mindreårige klienter kan registreres når kundens innstilling for mindreårige er slått på, og en myndig kontaktperson med e-post eller telefon er registrert på klienten. Meldinger, kvitteringer og betalingslenker sendes til kontaktpersonen, ikke til den mindreårige.
• Kontaktpersonen får ingen tilgang til løsningen.
• Bruker kunden journalmodulen til helsefaglig journal, kan bare klienter som har fylt 18 år, registreres. Det framgår av kundens innstilling for mindreårige og er ikke en teknisk sperre.
• Verge- og fullmaktsmodeller er fortsatt utenfor det produktet avtalen omfatter, og skal ikke brukes; ingen logger inn på vegne av en annen.
• Forskning, journalavledede anonyme datasett og autonome KI-funksjoner er fortsatt utenfor det produktet avtalen omfatter, eller slått av. De KI-funksjonene som er i bruk, framgår av avsnitt 9 og AI-informasjonen.

• GDPR artikkel 25 og 32
• Det danske Datatilsynets katalog over sikkerhetstiltak