Säkerhet och dataskydd

Bounded hanterar avtal, leverantörsinformation och andra underlag som kan vara känsliga för våra kunder. Därför är säkerhet, åtkomstkontroll, dataminimering och europeisk databehandling grundläggande delar av hur plattformen är byggd.

Bounded är ett svenskt bolag och tjänsten är utformad för europeiska krav på säkerhet, dataskydd och leverantörskontroll.

Kunddata och avtalsfiler lagras krypterat på europeisk infrastruktur inom EU. Åtkomst till kunddata är begränsad, behörighetsstyrd och loggad.

Originalfiler skickas inte till AI-modeller. När AI används sker det endast på nödvändiga, förbehandlade och minimerade textutdrag.

Bounded samlar endast in den information som behövs för att tillhandahålla tjänsten. Kunddata skyddas genom kryptering, åtkomstkontroll, loggning, separerade miljöer och interna säkerhetsrutiner.

På begäran kan Bounded tillhandahålla relevant säkerhets- och integritetsunderlag, inklusive personuppgiftsbiträdesavtal, information om underbiträden, beskrivning av tekniska och organisatoriska åtgärder samt beskrivning av vår AI-användning.

Bounded är utformat för att kunddata och avtalsfiler ska lagras och behandlas inom EU/EES.

Plattformen driftas på europeisk infrastruktur genom Hetzner, en tysk molnleverantör, med datacenter inom EU. Bounded granskar underbiträden utifrån säkerhet, integritet och krav på internationella överföringar.

När AI används sker det på avgränsade och minimerade textutdrag. Originalfiler skickas inte till AI-modeller.

Bounded använder AI för att analysera avtal och leverantörsunderlag. Det kan till exempel handla om att identifiera avtalsstruktur, säkerhetsåtaganden, incident- och rapporteringsklausuler, underleverantörsvillkor, dataplacering och andra riskindikatorer.

AI-användningen är avgränsad. Originalfiler skickas inte till AI-modeller. Innan AI-analys delas relevant text upp, förbehandlas och minimeras.

Personuppgifter, namn, belopp och andra känsliga eller irrelevanta uppgifter maskeras eller tas bort i den utsträckning de inte behövs för analysen. AI-analysen begränsas till de delar av texten som krävs för den aktuella bedömningen.

Skydd av avtalsfiler och kunddata

Avtalsfiler och kundunderlag lagras krypterat i en skyddad miljö inom EU.

Åtkomst till filerna är begränsad. Behörigheter styrs utifrån roll och faktisk arbetsuppgift. Det innebär att åtkomst bara ges till personer som behöver informationen för att kunna utföra sitt arbete.

Administrativ åtkomst är begränsad till behöriga personer, sker endast vid behov och loggas.

Kunddata skyddas genom bland annat:

• kryptering vid överföring,
• kryptering vid lagring,
• begränsad och loggad åtkomst,
• separation mellan produktions-, test- och utvecklingsmiljöer,
• rutiner för säker radering när data inte längre behövs.

Kryptering och skydd av känsliga uppgifter

Bounded skyddar känsliga uppgifter med stark kryptering. Krypteringsnycklar lagras isolerat från den krypterade datan i ett dedikerat nyckelvalv, OpenBao, som körs på en separat instans inom EU.

Känslig data skyddas med AES-256-GCM. Varje dokument får en egen unik nyckel, vilket innebär att en eventuell kompromettering av ett enskilt dokument inte kan spridas till andra dokument.

Åtkomst till nyckelvalvet är begränsad och kontrollerad. Administrativ åtkomst kräver federerad inloggning, och applikationers åtkomst sker med kortlivade tokens. Varje operation i nyckelvalvet revisionsloggas.

Åtkomst och autentisering

Bounded använder Zitadel, en open source-plattform för identitetshantering, som central autentiseringspunkt för både kundkonton och intern administrativ åtkomst. Plattformen stöder Single Sign-On (SSO) och multifaktorautentisering. Kunder med egen identitetshantering kan federera mot Bounded via SAML eller OIDC för att integrera tjänsten med sina befintliga inloggningsflöden.

Åtkomst inom plattformen styrs genom rollbaserad behörighetskontroll på organisationsnivå. Det innebär att användare endast får tillgång till den information och de funktioner som är relevanta för deras roll och organisationstillhörighet.

Administrativ åtkomst till Boundeds produktionsmiljö går genom samma identitetslager och kräver multifaktorautentisering. Autentiseringshändelser revisionsloggas i Zitadel, åtskilt från applikationens egna loggar. Åtkomst till nyckelvalv och infrastruktur sker med tidsbegränsade tokens och endast via ett privat nätverkssegment utan publik åtkomstpunkt.

Enheter som används för åtkomst till produktionsresurser skyddas med diskkryptering, ändpunktsskydd och skärmlås.

Infrastruktur och drift

Produktionsmiljön är separerad från utvecklings- och testmiljöer. Det minskar risken för att testdata, utvecklingsverktyg eller ofärdiga funktioner påverkar den miljö där kunddata behandlas.

Nätverksåtkomst begränsas genom privata nätverk, subnät och brandväggsregler. Administrativ trafik och tjänstetrafik begränsas till de anslutningar som behövs.

System sätts upp från säkra grundkonfigurationer och uppdateras löpande. Loggar och mätvärden samlas centralt för att kunna upptäcka avvikelser och följa upp säkerhetshändelser.

Applikationssäkerhet

Ändringar i mjukvaran följer en säker utvecklingsprocess. Kod granskas och automatiserade kontroller används för att identifiera vanliga säkerhetsbrister och kända sårbara beroenden.

Hemligheter, till exempel API-nycklar, certifikat och åtkomstuppgifter, lagras inte i källkod. De hanteras separat med begränsad åtkomst och rutiner för rotation.

Övervakning och sårbarhetshantering

Bounded övervakar infrastruktur, applikation och identitetslager för avvikande beteenden.

Sårbarheter i kod, systemkomponenter och infrastruktur bedöms löpande. De prioriteras utifrån allvarlighetsgrad, sannolikhet och möjlig påverkan.

Kritiska brister hanteras skyndsamt. Lägre risker åtgärdas enligt riskbaserad prioritering.

Ändringshantering

Ändringar i produktionsmiljön sker enligt en dokumenterad process. Det innebär att ändringar testas, granskas och införs kontrollerat.

När det är lämpligt sker utrullning stegvis för att minska risken för driftstörningar eller oönskade effekter.

Incidenthantering

Bounded har rutiner för att hantera säkerhetsincidenter. Rutinerna omfattar upptäckt, bedömning, begränsning, åtgärd och återställning.

Om kunddata påverkas underrättar Bounded berörd kund utan onödigt dröjsmål. Vi tillhandahåller relevant information om incidenten, vilka åtgärder som vidtas och om det finns rekommenderade åtgärder för kunden.

Efter en incident görs en uppföljning för att identifiera lärdomar och säkerställa att relevanta förbättringar genomförs.

Kontinuitet och återställning

Säkerhetskopior krypteras och tas enligt fastställda intervall. Återställningsrutiner testas regelbundet.

Systemarkitekturen är utformad för att minska risken för dataförlust vid enskilda komponentfel. Mål för återställning, inklusive RPO och RTO, fastställs med hänsyn till kundbehov och de berörda komponenternas betydelse.

Bounded arbetar med informationssäkerhet på ett sätt som är anpassat till principerna i ISO/IEC 27001.

Ansvar för säkerhet är fördelat och dokumenterat. Våra interna riktlinjer omfattar bland annat åtkomstkontroll, hantering av tillgångar, ändringshantering, incidenthantering, leverantörsrisk och kontinuitet.

Risker bedöms löpande och säkerhetsarbetet följs upp med dokumenterade resultat. Teammedlemmar genomgår säkerhets- och integritetsutbildning anpassad efter roll.

Bounded använder ett begränsat antal specialiserade leverantörer för bland annat hosting, lagring, övervakning och kundsupport.

Varje leverantör bedöms ur säkerhets- och integritetsperspektiv innan den tas i bruk och granskas därefter minst årligen. Vi upprätthåller en lista över leverantörer som anger vilken tjänst de tillhandahåller och vilka typer av data som behandlas.

Listan finns tillgänglig på begäran. Kunder underrättas i förväg om väsentliga förändringar i enlighet med våra åtaganden.

Säkerhet i molntjänster är ett delat ansvar. Bounded tillhandahåller plattformen, säkerhetskontrollerna och vägledning.

Kunden ansvarar för sin egen konfiguration, sina användare och sina interna åtkomstpolicyer. Det omfattar till exempel att ta bort användare som inte längre ska ha åtkomst och att använda SSO och MFA där det är relevant.

Konfigurationsstöd och rekommenderade arbetssätt finns tillgängliga på begäran.

På begäran kan Bounded tillhandahålla relevant säkerhets- och integritetsunderlag, inklusive:

• personuppgiftsbiträdesavtal,
• information om underbiträden,
• beskrivning av tekniska och organisatoriska åtgärder,
• beskrivning av AI-användning och dataminimering,
• information om dataplacering och drift,
• information om incidenthantering och kontinuitet.

För frågor om säkerhet eller regelefterlevnad, kontakta: info@boundedsystems.com