Efterlevnad & dataskydd

Vårt arbetssätt

Vi är ett litet specialiserat team, och vårt efterlevnadsarbete speglar det. GDPR är den rättsliga grunden för allt vi gör med personuppgifter. Våra interna säkerhetsrutiner utgår från ISO 27001-kontroller, utan att vi innehar en certifiering, och det säger vi rakt ut i stället för att antyda något annat.

Kunduppdrag körs på Microsoft Azure och Microsoft 365. Det har betydelse för efterlevnaden: infrastrukturen bär Microsofts certifieringar och revisionsrapporter, och vi utformar lösningar så att plattformskontrollerna faktiskt gäller för er arbetslast.

GDPR

• Personuppgiftsbiträdesavtal (DPA) för alla kunduppdrag
• Personuppgifter behandlas som standard i EU/EES-regioner (Sweden Central där det är möjligt)
• Dataminimering: vi hanterar bara de data ett uppdrag kräver
• Underbiträden begränsas till stora molnplattformar (Microsoft Azure); aktuell lista lämnas på begäran
• Rutiner för incidentrapportering i linje med GDPR artikel 33–34
• Registrerades rättigheter respekteras och stöds i system vi bygger

Informationssäkerhet

• Säkerhetsrutiner som utgår från ISO 27001-kontroller (ej certifierade, vi påstår inte något annat)
• Microsoft Entra ID med MFA för alla interna system
• Minsta möjliga behörighet i kundmiljöer, avslutas när uppdraget är klart
• Kryptering under överföring och i vila för allt vi lagrar
• Enhetshantering och diskkryptering på alla arbetsdatorer

Plattformscertifieringar (Microsofts, inte våra)

Azure och Microsoft 365 har certifieringar som ISO 27001, ISO 27017/27018 och SOC 1/2/3, och omfattas av EU Data Boundary. De intygar Microsofts infrastruktur och tjänster. När vi driftar er arbetslast på Azure ärver den dessa plattformskontroller, vårt jobb är att konfigurera datahemvist, identitet, nätverk och loggning så att arvet blir verkligt och inte teoretiskt.

EU:s AI-förordning

Vi följer AI-förordningen noga (vår blogg täcker den på djupet) och bygger kundsystem med dess krav i åtanke: transparens för AI-system som möter människor, loggning och mänsklig tillsyn vid högre risk, och ärliga påståenden om förmågor. För vår egen webbplats produceras AI-genererat innehåll under redaktionell granskning med verifierade källor.

Vi hjälper er med er efterlevnad

En stor del av vårt arbete är att hjälpa kunder uppfylla sina krav: GDPR-säkra AI-arkitekturer, beredskap för EU:s AI-förordning, NIS2-medveten drift samt revisionsvänlig loggning och dokumentation på Azure. Är er organisation certifierad (ISO 27001, SOC 2) eller reglerad (finans, offentlig sektor) arbetar vi inom ert kontrollramverk och tar fram de underlag era revisorer begär.

Det här kan vi tillhandahålla

• Signerat personuppgiftsbiträdesavtal och lista över underbiträden
• Översikt över säkerhetsrutiner för leverantörsbedömningar
• Uppdragsspecifik säkerhets- och dataflödesdokumentation
• Azure-efterlevnadsdokumentation för er driftsatta arkitektur (via Microsofts Service Trust Portal)