Säkerhet och dataskydd

Gosoft Connect används på webbplatser som tillhör andra företag, vilket gör att nästan allt tjänsten kommer i kontakt med är någon annans uppgifter. Den här sidan beskriver vad vi gör åt det - tillräckligt konkret för att kunna kontrolleras i stället för att tas på förtroende.

När vi agerar för en kunds räkning är vi personuppgiftsbiträde och kunden är personuppgiftsansvarig. Gosofts integritetspolicy som personuppgiftsbiträde och vårt personuppgiftsbiträdesavtal beskriver det förhållandet i sin helhet. Den här sidan beskriver våra åtgärder som de ser ut i dag, och de ändras när tjänsten utvecklas. De säkerhetsåtaganden som binder oss finns i avsnitt 6.3 i personuppgiftsbiträdesavtalet; om den här sidan och avtalet skiljer sig åt har avtalet företräde.

Inbyggt dataskydd

Inga cookies. Gosoft Connect sätter inga, på någon kundwebbplats. Det widgeten behöver för att fungera lagras i webbläsarens lokala lagring och sessionslagring, avgränsat till just den webbplatsen. Det räknas som utgånget 30 minuter (som standard) efter att besökaren lämnat sidan och raderas vid nästa besök, eller direkt via chattens integritetsmeny. Markeringar för en popup eller hälsning som visas en gång eller som stängts, och ett sparat samtyckesval, kan finnas kvar tills besökaren rensar webbläsarens lagrade data. Reglerna om lagring på enheten gäller denna lagring på samma sätt som cookies, så det är kundens beslut som personuppgiftsansvarig om webbplatsen ska be om samtycke. När inställningen för samtycke till analys är på (standard för nya arbetsytor) sparas ingenting på besökarens enhet för analys förrän besökaren samtycker; fram till dess räknas besöken under en räknenyckel för samma dag (se nedan).

Besökares IP-adresser lagras inte med besökaruppgifterna. En IP-adress används i minnet för att begränsa antalet förfrågningar och stoppa missbruk och, på webbplatser som väntar på samtycke, för att bilda en räknenyckel för samma dag med ett salt som byts ut och raderas varje dag. Själva adressen skrivs aldrig till vår databas eller till någon applikationslogg. Vi för inga åtkomstloggar på webbservern alls - den vanliga loggraden per förfrågan om vem som besökte vad är avstängd, inte bara roterad. Webbserverns fellogg kan fortfarande registrera en klientadress vid fel som timeouts; det är driftloggar som sparas i 14 dagar. Vi lagrar IP-adressen för en inloggad portalanvändare på tre ställen: granskningsloggen, godkännandet av våra användarvillkor och personuppgiftsbiträdesavtalet, och begäranden om lösenordsåterställning. Det gäller personal och kundens användare, aldrig en besökare på webbplatsen.

Inga tredjepartsspårare. Vi lägger inte till några annonspixlar, ingen tredjepartsanalys och ingen session replay. Sökningen i kunskapsbasen och dess inbäddningar (embeddings) körs på vår egen infrastruktur. En kund kan välja att skicka widgethändelser till sin egen Google Analytics; det är avstängt som standard. Ett typsnitt som kunden väljer kan laddas från typsnittsleverantörens server, som då ser besökarens IP-adress; nya arbetsytor laddar inga externa typsnitt.

Profilering. Besökarprofilering, som härleder egenskaper som roll, intressen och avsikter ur ett samtal, är avstängd och kan inte slås på i portalen. Sammanfattningar av leads är påslagna som standard: när en besökare skickar ett formulär eller sina kontaktuppgifter i chatten går en AI-skriven sammanfattning av konversationen till kundens team tillsammans med leaden. Kunden kan stänga av dem i arbetsytans inställningar.

Kryptering

Under överföring - TLS för alla webbanslutningar mellan besökare, kunder, våra servrar och våra underbiträden. Utgående e-post, till exempel aviseringar och formulärsvar som skickas per e-post, använder TLS när den mottagande e-postservern erbjuder det, utan att serverns certifikat verifieras, och skickas okrypterad när servern inte erbjuder TLS. En anslutning till en tjänst som kunden kopplar in går till den adress kunden anger: en webhook och en kalenderadress måste använda HTTPS. En webbplats eller ett produktflöde som kunden lägger till i sin kunskapsbas läses från den adress kunden anger, som kan vara okrypterad HTTP.

Säkerhetskopior - krypteras med asymmetrisk kryptering så snart de skapats: den okrypterade arbetskopian finns bara i en privat tillfällig mapp på plattformsservern och raderas när körningen är klar. Servern som kör plattformen har endast den publika halvan och kan alltså skapa säkerhetskopior men inte läsa tillbaka någon av dem. Den privata halvan finns på en separat backupserver utan publika tjänster. Den som komprometterade vår applikationsserver skulle kunna läsa den aktiva databasen, men inte de säkerhetskopior som redan gjorts.

Uppgifter i den aktiva databasen skyddas av åtkomstkontrollen och infrastruktursäkerheten nedan, inte av fullständig diskkryptering. Vi säger hellre det rakt ut än antyder en skyddsåtgärd vi inte använder.

Åtkomstkontroll

Åtkomst sker i dag via inbjudan: självregistrering, som våra användarvillkor och vårt personuppgiftsbiträdesavtal redan omfattar, är byggd men avstängd, och den här sidan ändras när den öppnas. Varje begäran är avgränsad till en organisation och en arbetsyta och kontrolleras på servern; arbetsytans ägarskap verifieras vid varje anrop, så en administratör i en organisation kan inte nå en annans uppgifter genom att gissa identifierare. Lösenord hashas med argon2id. Administrativa AI-endpoints lyssnar endast på loopback och avvisar begäranden som kommit via en publik proxy.

Granskningslogg

Läsningar av kundens personuppgifter i portalen registreras: vem som fick åtkomst till vilken kategori av uppgifter, i vilken arbetsyta, när och varifrån. Loggen innehåller inget meddelandeinnehåll. Detta omfattas i dag: att öppna en konversation, exportera en konversationsutskrift, lista formulärsvar, exportera formulärsvar, ladda ner en inskickad fil, öppna modereringskön, fråga Kollega, radera en arbetsyta, återställa en arbetsyta, radera en arbetsyta slutgiltigt och lista bokningar.

Detta omfattas inte: sammanställda förhandsvisningar i översiktsvyer; listvyer som visar en förhandsvisning av det senaste meddelandet eller en besökares e-postadress; rapporter som sammanställts av konversationer, såsom rapporten om luckor i kunskapsbasen och sammanställningar; och direkt databasåtkomst av en administratör med skalåtkomst till servern. Det sista begränsas av att produktionsåtkomst endast ges till namngivna administratörer, i stället för genom loggning, och vi säger hellre det än antyder en fullständighet som vi inte kan leverera. Loggen skrivs efter bästa förmåga, så att ett loggningsfel aldrig stoppar en begäran.

Kunder kan när som helst hämta sin egen granskningslogg via portalens API: en administratör i organisationen kan anropa det. Portalen har ännu ingen egen sida för den, så vi skickar den också på begäran. Att kontrollera vem som har tittat på dina uppgifter ska inte vara beroende av oss.

Motståndskraft

Säkerhetskopior körs varje natt och kopieras till en separat server i ett annat land; databasdumpen kontrolleras när den skapas. Plattformsservern behåller sina 14 senaste arkiv. Backupservern raderar ett arkiv när det är mer än 30 dagar gammalt, och endast efter en lyckad kopieringskörning, så om kopieringen misslyckas finns äldre arkiv kvar där tills den fungerar igen. Den backupservern har ingen publik IPv4-adress, blockerar all inkommande trafik i leverantörens brandvägg och nås endast via ett privat nätverk.

Automatiska hälsokontroller körs var tredje minut och larmar vid tjänstavbrott, certifikat som håller på att gå ut, samt säkerhetskopior som slutar komma, blir för gamla eller skrivs okrypterade.

Underbiträden

Alla tre är anlitade under personuppgiftsbiträdesavtal med skyldigheter i fråga om dataskydd som ger minst samma skyddsnivå som våra skyldigheter mot våra kunder, i den mån de gäller deras behandling, och vi förblir ansvariga gentemot kunden för deras utförande. OpenAI och Google kan överföra uppgifter till sina koncernbolag och sina egna underbiträden utanför EES, även till USA. Deras villkor för personuppgiftsbehandling med oss kräver att varje sådan överföring grundar sig på Europeiska kommissionens standardavtalsklausuler eller på ett beslut av kommissionen om adekvat skyddsnivå, till exempel beslutet om ramverket för dataskydd mellan EU och USA (Data Privacy Framework) när mottagaren är certifierad enligt det. Enligt OpenAI:s API-villkor används data som skickas via API:et inte för att träna OpenAI:s modeller, och OpenAI kan spara den i upp till 30 dagar för att upptäcka missbruk. Den auktoritativa förteckningen finns i avsnitt 7 i vårt personuppgiftsbiträdesavtal.

Aviseringar till kundens personal går via deras webbläsares push-tjänst (Apple, Google, Microsoft eller Mozilla), end-to-end-krypterade, så att dessa tjänster inte kan läsa innehållet.

Vi underrättar kunder per e-post minst 30 dagar innan ett nytt eller ersättande underbiträde börjar behandla deras uppgifter, och en kund kan invända på sakliga grunder, enligt avsnitt 7 i personuppgiftsbiträdesavtalet.

Certifiering av datacentren

Båda datacentren som lagrar dina uppgifter - Helsingfors för plattformen och Falkenstein för säkerhetskopior - hör till de platser som omfattas av Hetzners ISO/IEC 27001:2022-certifikat, som gäller till och med den 26 september 2028. Hetzner har dessutom en BSI C5:2020 Type 2-attestering för sina hostingprodukter, bland annat dedikerade servrar, molnservrar och lagring; den publicerade attesteringen anger inte vilka platser den omfattar. TÜV Rheinland i-sec har inspekterat deras tekniska och organisatoriska åtgärder på plats, och den senaste rapporten noterar inga avvikelser. Hetzner publicerar åtgärderna på hetzner.com/AV/TOM_en.pdf, vilket är dokumentet att läsa för detaljerna. Vi har vårt eget avtal enligt artikel 28 med Hetzner och deras granskningsrapport; Hetzner har märkt båda som konfidentiella, så vi delar dem under sekretessavtal i stället för att publicera dem.

För tydlighetens skull: detta är vår driftleverantörs certifieringar och gäller deras datacenter och hostingtjänster. Gosoft Oy är inte självt ISO 27001-certifierat och vi påstår inte det. Åtgärderna på denna sida är våra egna och beskrivna så att de går att kontrollera.

Lagringstider

I de tre första raderna sker raderingen automatiskt, inte på begäran. Gallringen körs en gång per dygn klockan 03:00 i arbetsytans egen tidszon och raderar uppgifterna på riktigt, inte bara genom en dold markering. Raderade uppgifter finns kvar i de krypterade säkerhetskopiorna tills de roteras bort (se Motståndskraft). En separat körning varje timme stänger inaktiva konversationer och rensar utgångna tokens.

Lagringstiderna är standardvärden som upprätthålls i koden. En kund kan ställa in var och en av tiderna i de tre första raderna till 1-365 dagar via portalens API eller be oss göra det; portalen har ännu ingen egen sida för det.

Webbplatsbesökares rättigheter

Besökare kan ladda ner eller radera sina egna uppgifter direkt i chattwidgetens integritetsmeny, autentiserat med en hemlighet som finns i deras egen webbläsare. Radering omfattar de konversationer, meddelanden, formulärsvar, uppladdade filer, leads, den eventuella profil och de analyshändelser som är kopplade till webbläsarens identifierare, inklusive filerna på disk; detta är testat från början till slut. Raderingen tar också bort besökarens namn eller e-postadress ur rubriken på en bokning som gjorts via ett formulär. Den når inte ett tidigare besök som sparats under en identifierare som redan har gått ut, kopior som redan skickats till kunden, till exempel per e-post, rapporter som redan byggts av många konversationer eller de kopior som OpenAI sparar för att upptäcka missbruk.

Om hemligheten har gått förlorad riktas begäran till den som driver webbplatsen, som personuppgiftsansvarig, och vi agerar enligt dennes instruktion.

Var vi finns

Gosoft Oy är ett finländskt bolag, FO-nummer 3454099-6, med säte i Helsingfors. Vår primära datalagring finns inom EU/EES. Våra avtal regleras av finsk rätt.

Frågor

Säkerhetsformulär, begäranden om granskning enligt artikel 28.3 h och begäranden om vårt register över behandling enligt artikel 30 går till privacy@gosoft.fi. Rapportera en säkerhetssårbarhet till abuse@gosoft.fi, som vår security.txt anger. Vi svarar hellre på en konkret fråga än skickar ett standardpaket.