Bilaga 1 till personuppgiftsbiträdesavtalet

Tekniska och organisatoriska åtgärder enligt artikel 32 GDPR

Datum: 25 oktober 2026 · Version: ab-2026-10-25
Personuppgiftsbiträde: Sat-iTec AB, Simeå 8097, 82167 Vallsta, Sverige (org.nr 559375-4335)
Underbiträde för drift: Sat-iTec Systemhaus GmbH (koncernbolag), drift av plattformen i Tyskland (EU)
Plattform: ChatiTec (hosting: eget datacenter i Augsburg, Tyskland, egen Proxmox-infrastruktur)

Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhet och allvar, för fysiska personers rättigheter och friheter vidtar personuppgiftsbiträdet de tekniska och organisatoriska åtgärder som beskrivs nedan för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken (artikel 32 GDPR).

Genomförande: Åtgärderna genomförs av Sat-iTec AB tillsammans med dess underbiträde Sat-iTec Systemhaus GmbH, som driver plattformen och datacentret i Tyskland (se bilaga 2). Fysiska och infrastrukturella åtgärder (särskilt avsnitt 1.1 och 3) samt drift, säkerhetskopiering och patchhantering utförs av Sat-iTec Systemhaus GmbH. Sat-iTec AB ansvarar gentemot den personuppgiftsansvarige för samtliga åtgärder och har genom avtal enligt art. 28.4 GDPR ålagt underbiträdet att vidta dem.

1. Konfidentialitet (art. 32.1 b GDPR)

1.1 Tillträdeskontroll (fysiskt tillträde till behandlingsanläggningar)

• Drift i ett datacenter i Augsburg med tillträdesskydd (t.ex. personsluss/låssystem, loggning av tillträden, kameraövervakning).
• Servrar i låsta rack; tillträde endast för behörig personal enligt behovsprincipen (need-to-know).
• Besökare åtföljs och registreras.

1.2 Inloggningskontroll (skydd mot obehörig användning av system)

• Autentisering via individuella användarkonton; inga gemensamma konton för administrativa uppgifter.
• Lösenord hashas med Argon2 (minnes- och beräkningsintensiv hashmetod med salt).
• Tvåfaktorsautentisering (TOTP-2FA) tillgänglig/kan göras obligatorisk för konton.
• JWT-baserade sessionstokens med rotation (kort giltighetstid, förnyelse/ogiltigförklaring).
• Begränsning av anropsfrekvens (rate limiting) för att avvärja brute force-attacker och missbruksförsök.
• Automatisk spärr/timeout för inaktiva sessioner.

1.3 Åtkomstkontroll (behörighetsbaserad åtkomst till data)

• Roll- och behörighetskoncept (principen om minsta privilegium); separata administratörs- och användarroller.
• Loggning av säkerhetsrelevanta åtkomster i granskningsloggen (audit log).
• Leverantörshemligheter (API-nycklar för externa AI-leverantörer) lagras krypterade med Fernet; ingen klartext i konfiguration eller kodförråd.
• Regelbunden översyn och återkallelse av behörigheter som inte längre behövs.

1.4 Separationskontroll (separering av kunder/ändamålsbegränsning)

• Separat databas-VM (datalagring på en separat virtuell maskin, åtskild från applikationstjänsterna).
• Logisk separering av olika kunders/klienters data.
• Separering av produktions-, test- och utvecklingsmiljöer.

1.5 Pseudonymisering och anonymisering

• PII-tokenisering före varje överföring till externa AI-leverantörer: personuppgifter och yrkeshemligheter identifieras automatiskt och ersätts med platshållare.
• Anonymiseringen är obligatorisk som standard (PII_FORCE_FOR_EXTERNAL=true); överföring av identifierande klartextdata till externa leverantörer förhindras av systemet.
• Återkoppling av platshållarna är möjlig uteslutande lokalt på infrastrukturen i Tyskland och är Fernet-krypterad.
• Rent lokala modeller (Ollama/vLLM) finns tillgängliga som ett överföringsfritt alternativ utan externt dataflöde.

2. Integritet (art. 32.1 b GDPR)

2.1 Överföringskontroll (transport)

• Transportkryptering med TLS (certifikat via Let's Encrypt) för alla anslutningar till plattformen.
• Externa överföringar sker uteslutande krypterat och uteslutande i anonymiserad form.

2.2 Inmatningskontroll (spårbarhet)

• Granskningslogg (audit log) för loggning av säkerhetsrelevanta händelser (t.ex. inloggningar, administrativa ändringar).
• Tidsstämpling och – i den mån det krävs – koppling till de användarkonton som utlöst händelsen.
• Skydd av loggarna mot obehörig ändring.

3. Tillgänglighet och motståndskraft (art. 32.1 b och c GDPR)

• Säkerhetskopiering: daglig fullständig säkerhetskopiering av databasen med automatisk rimlighetskontroll; lagring i 14 dagar; dessutom säkerhetskopiering av systemen i en fysiskt åtskild brandcell som oföränderlig onlinekopia (immutable backup, skydd mot radering och kryptering genom skadlig kod); nyckelmaterial förvaras åtskilt från säkerhetskopiorna.
• Återställningsrutiner och regelbundna tester av förmågan att återställa (art. 32.1 c GDPR).
• Drift på Proxmox-virtualisering med separata virtuella maskiner för applikation, databas och säkerhetskopiering.
• Skyddsåtgärder mot överbelastning och attacker (bl.a. rate limiting, övervakning).
• Avbrottsfri kraftförsörjning och klimatisering tillhandahålls av datacentret.
• Skydd mot skadlig kod (härdning, snabb patchhantering).

4. Kryptering (art. 32.1 a GDPR)

• Transport: TLS för alla externa anslutningar.
• Hemligheter (secrets): Fernet-kryptering av leverantörernas API-nycklar och av de lokala PII-kopplingsdata.
• Lösenord: Argon2-hashning (ingen reversibel lagring).
• Kryptering av lagrat innehåll på applikationsnivå: chattinnehåll, platshållarkopplingar och minnesposter krypteras med Fernet (AES-128-CBC + HMAC-SHA256), med nycklar härledda per kund (klient).

5. Förfarande för regelbunden testning, undersökning och utvärdering (art. 32.1 d GDPR)

• Process för dataskyddshantering med regelbunden översyn av de tekniska och organisatoriska åtgärdernas effektivitet.
• Regelbunden patch- och sårbarhetshantering; snabb installation av säkerhetsrelevanta uppdateringar.
• Uppdragskontroll: avtalsmässig bindning och övervakning av underbiträden, inklusive koncernbolaget Sat-iTec Systemhaus GmbH (se bilaga 2).
• Skriftliga sekretessåtaganden för de anställda hos Sat-iTec AB och Sat-iTec Systemhaus GmbH avseende personuppgifter och allt kundinnehåll, även innehåll som omfattas av kundens yrkesmässiga tystnadsplikt (se § 3 i personuppgiftsbiträdesavtalet); medvetandehöjande åtgärder/utbildning.
• Incidenthanteringsprocess för personuppgiftsincidenter (upptäckt, bedömning, anmälan enligt § 7 i personuppgiftsbiträdesavtalet).
• Regelbundna interna säkerhetsgranskningar av applikationen och konfigurationen samt snabb installation av säkerhetsuppdateringar.

6. Inbyggt dataskydd och dataskydd som standard (artikel 25 GDPR)

• Uppgiftsminimering genom anonymisering som är obligatorisk som standard före extern behandling.
• Möjlighet till helt lokal drift utan extern överföring som integritetsvänlig standardinställning för behandlingar som kräver särskilt skydd.
• Avaktivering av leverantörer med förhöjd tredjelandsproblematik (DeepSeek avaktiverad som standard).

Datum: 25 oktober 2026 · Version: ab-2026-10-25 – Åtgärderna ses över regelbundet och anpassas till den senaste tekniska utvecklingen.