TOMS-bilaga till personuppgiftsbiträdesavtalet

Denna bilaga beskriver de tekniska och organisatoriska åtgärder som FlowDule ApS tillämpar när FlowDule behandlar personuppgifter för kundens räkning, jfr artikel 28 och 32 i GDPR. Bilagan är en del av personuppgiftsbiträdesavtalet.

Bilagan är versionshanterad. Den version som kunden har accepterat tillsammans med personuppgiftsbiträdesavtalet identifieras genom version och datum. Ändringar publiceras som en ny version, och väsentliga ändringar kräver ny accept enligt personuppgiftsbiträdesavtalet.

Kundens dokumenterade instruktion är kedjans egna inställningar i plattformen (aktiverade moduler och AI-funktionerna i dem, lagringsregler och landsprofil) tillsammans med det accepterade personuppgiftsbiträdesavtalet. Åtgärderna nedan gäller för alla kedjor; vilka funktioner och leverantörer som används för den enskilda kedjan beror på kedjans inställningar.

• Användare loggar in med personliga konton via AWS Cognito.
• Multifaktorautentisering (MFA) krävs för FlowDules egna plattformsanvändare. Kedjans användare kan själva slå på MFA för sitt konto.
• Åtkomst tilldelas efter roll. En användare ser endast de data som användarens roll i kedjan och på platsen ger åtkomst till.

Plattformen delas av flera kunder. Varje kedjas data hålls åtskilda i applikationen, och databasen upprätthåller radbaserad åtkomstkontroll (row-level security), så att en fråga endast kan se rader för den kedja den körs för.

Servern avgör vid varje anrop vilken kedja och vilka roller den inloggade användaren har åtkomst till. ID:n i förfrågans innehåll används inte för att ge åtkomst.

• Trafik mellan användarna och plattformen krypteras med TLS via Cloudflare.
• Journaluppgifter krypteras på fältnivå med AES-256-GCM under nycklar som skyddas av AWS KMS.
• Sökning i utvalda krypterade fält sker via HMAC-baserade blindindex, så att klartexten inte lagras i sökbar form.

• Uppslag i journaler registreras i en åtkomstlogg.
• Automatiska larm utlöses vid fel, vid misslyckade skrivningar till revisionsloggen, vid massuppslag i journaler och när en ny plattformsägare skapas.
• Larm samlas i ett sammanfattningsmejl, och kritiska larm eskaleras via sms.

Produktionen körs på Kinsta (Sevalla) i Google Clouds datacenter. Det gäller API:et, databasen och bokningssidorna; databasen ligger i Google Clouds region europe-west3 (Frankfurt). Webbappen är en statisk Sevalla-webbplats.

Cloudflare levererar edge och TLS framför alla Sevalla-appar, objektlagring (Cloudflare R2) för media (bilder, dikteringsljud och exporter) och för databasens säkerhetskopior samt Turnstile-botkontroll på det steg där en bokning eller eventanmälan skickas in, på kontaktformuläret och på webbshoppens formulär för lageravisering.

Från AWS i EU används Cognito (inloggning), SES (e-post), Amazon Bedrock (AI), Amazon Transcribe (diktering), Amazon Textract (textigenkänning) och AWS KMS (nycklar för fältkryptering). Amazon Translate används endast för supportärenden och plattformsmeddelanden.

Sms skickas via GatewayAPI (ONLINECITY.IO), vars plattform lagrar meddelandedata i EU (Google, Belgien). Betalningar hanteras av Stripe; klientbetalningar genomförs direkt på kedjans eget Stripe-konto. Adressuppslag för företags-, plats- och eventadresser bakom inloggning sker via Postcode.eu. Pushnotiser är avstängda i produktionen, och inga pushmeddelanden skickas.

Video levereras av LiveKit (LiveKit Incorporated, USA) för kedjor som slår på videomodulen. LiveKit Cloud skickar varje session till närmaste server, så behandlingen är inte bunden till EU. Överföringen sker enligt LiveKits personuppgiftsbiträdestillägg, som är en del av LiveKits villkor: EU-US Data Privacy Framework där LiveKit är certifierat, och annars EU:s standardavtalsklausuler. Inspelning, egress, agenter eller inferens används inte. De behandlade uppgifterna är sessions-ID, ett pseudonymt deltagar-ID, visningsnamn samt ljud, video och eventuell chatt under överföringen.

Den fullständiga listan med juridiska enheter, ändamål, datakategorier, behandlingsplatser och överföringsgrunder framgår av Underbiträden och leverantörer.

Databasen säkerhetskopieras dagligen till Cloudflare R2 med 30 dagars rotation. Som en del av återställningsproceduren ska återställning prövas i en isolerad miljö, och registrerade raderingar och legal holds ska tillämpas på nytt innan en återställd miljö öppnas.

Lagring och radering följer kedjans lagringsregler och landsprofil samt personuppgiftsbiträdesavtalet. Säkerhetskopior raderas genom den löpande rotationen på 30 dagar, och registrerade raderingar respekteras även vid återställning, jfr avsnitt 7. När avtalet upphör återlämnas, exporteras och raderas uppgifterna enligt personuppgiftsbiträdesavtalet.

• AI-funktionerna i journalen är tillgängliga för kedjor som har aktiverat journalmodulen och för kedjans användare utifrån deras roll; det finns inget särskilt aktiveringssteg för varje enskild AI-funktion. FlowDule stänger av AI för en kedja efter begäran, med de undantag som framgår av AI-informationen.
• Textbaserad AI, inklusive översättning av journal, katalog och texter, körs på Amazon Bedrock med Anthropic Claude via EU-inferensprofilen, så att förfrågningarna behandlas i EU-regioner. Diktering transkriberas med Amazon Transcribe, och textigenkänning sker med Amazon Textract.
• Formaterad text och text från bild förs in i en journal först när användaren sparar anteckningen. Dikterad text infogas i skrivverktyget, och anteckningens text ändras först när användaren sparar; dikteras det till en anteckning som redan har skapats sparas den råa transkriptionen tillsammans med anteckningen så snart den är klar. Sammanfattning, nyckelord och nästa steg skrivs på anteckningen när användaren har begärt dem; användaren ska läsa dem och kan rätta eller ta bort dem. Vissa resultat godkänns inte var för sig: den automatiska anteckningsåterkopplingen, maskinöversättningen av delat innehåll för klienten och översättningen av supportärenden och plattformsmeddelanden.
• Kundens data används inte för att träna AI-modeller.

Säkerhetsincidenter registreras, begränsas och utreds. FlowDule underrättar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör kundens personuppgifter, och bistår kunden med de uppgifter som kunden behöver för sin egen bedömning och eventuella anmälan. Misstanke om en säkerhetsincident rapporteras till security@flowdule.com.

FlowDules interna policyer fastställer bland annat:

• namngivna roller och ledningsgodkännande;
• konfidentialitet och behovsbaserad åtkomst;
• ändringshantering, kodgranskning och säkerhetstest;
• incidentrapportering och kundbistånd;
• leverantörskontroll och dokumenterad instruktion;
• utbildning i säkerhet, dataskydd och AI;
• riskbaserad kontroll och dokumentation.

FlowDule är inte certifierat enligt ISO 27001 eller SOC 2.

• Minderåriga klienter får registreras när kundens inställning för minderåriga är påslagen och en myndig kontaktperson med e-post eller telefon är registrerad på klienten. Meddelanden, kvitton och betallänkar skickas till kontaktpersonen, inte till den minderåriga.
• Kontaktpersonen får ingen åtkomst till lösningen.
• Använder kunden journalmodulen för hälsojournal, får endast klienter som har fyllt 18 år registreras. Det framgår av kundens inställning för minderåriga och är inte en teknisk spärr.
• Vårdnadshavar- och fullmaktsmodeller är fortfarande utanför den produkt som avtalet omfattar och får inte användas; ingen loggar in för någon annans räkning.
• Forskning, journalhärledda anonyma datamängder och autonoma AI-funktioner är fortfarande utanför den produkt som avtalet omfattar, eller avstängda. De AI-funktioner som används framgår av avsnitt 9 och AI-informationen.

• GDPR artikel 25 och 32
• Den danska dataskyddsmyndighetens (Datatilsynet) katalog över säkerhetsåtgärder