Passet er et løfte.
Sådan holder vi det.

Applikationens serverfunktioner kører i Frankfurt (fra1), ved siden af det primære datalager, en administreret Postgres-klynge i AWS eu-central-1 (Frankfurt). Kundeindhold, tenant-poster og revisionsspor opbevares dér. AI-funktioner sender den tekst, de arbejder med, til Googles Gemini API, som behandler den i USA.

Statiske filer og offentlige passider leveres fra et globalt edge-netværk, fra den placering, der er nærmest læseren; kun offentlige, ikke-følsomme ressourcer (logoer, markedsføringstekst, HTML for resolver-sider) caches dér. Autentificerede API-svar springer cachen over som fast regel.

Tenants’ egne domæner (for eksempel dpp.brand.com) leveres af den samme platform. Vi har ingen reserveløsning, der ville flytte opbevarede data uden for EU.

Alle forbindelser til resolveren, tenant-administrationen og API’et afsluttes på TLS 1.2 eller nyere. HSTS håndhæves med en max-age på to år og preload slået til. Siderne leveres med X-Frame-Options SAMEORIGIN og Referrer-Policy strict-origin-when-cross-origin; en Content-Security-Policy kører i report-only-tilstand.

I hvile er Postgres-lagringsvolumenerne AES-256-krypteret af udbyderen. Loginoplysninger til integrationer (Akeneo, Centra, Shopify, inriver, Delogue, egne REST-tokens) ligger i en krypteret boks pr. tenant; krypteringsnøglen opbevares uden for databasen. LLM-API-nøgler leveret af tenanten (BYOK) krypteres på samme måde.

Login understøtter magisk link via e-mail og Google. Sessioner gemmes i Secure-, SameSite=Lax-cookies, der er begrænset til vores domæne.

Alle tabeller med kundeindhold er beskyttet af Row-Level Security i databasen. En tenant-bruger kan aldrig læse data, der tilhører en anden tenant — begrænsningen håndhæves i databaselaget, ikke kun i applikationskoden. Medarbejderadgang afgrænses separat via en staff_users-tabel og kræver en driftsmæssig begrundelse, der registreres i revisionsloggen.

Rollerne i en tenant er admin, editor og viewer — en admin administrerer medlemmer og alt derunder, en editor arbejder med pas og data, men kan ikke ændre, hvem der har adgang, en viewer læser. Ved siden af dem findes roller over for myndigheder og andre aktører for det offentlige pas (economic-operator, distributor, refurbisher, recycler, market-surveillance, competent-authority). Medarbejdere kan kun optræde som en bruger via et signeret forløb, der logges til revision.

Applikationens hemmeligheder ligger udelukkende i krypterede miljøvariabler på platformen. Ingen hemmelighed committes til versionsstyring, ingen hemmelighed logges, og API-nøgler, der indsættes i en chat, betragtes som kompromitterede og roteres med det samme.

Når en tenant integrerer med et eksternt system, gemmes loginoplysningerne pr. tenant i den krypterede boks, der er beskrevet ovenfor. Rotationer, udløb og ændringer af adgang vises i panelet Integrationer; fejl ved adgang logges i tenantens revisionsspor.

Den primære database sikkerhedskopieres løbende med gendannelse til et vilkårligt tidspunkt inden for et rullende vindue. Daglige krypterede snapshots opbevares efter en plan, der passer til tenantens plan; langtidsopbevaring kan fås efter anmodning for regulerede kategorier.

For kunder, der har brug for en uafhængig backupvært (efter EN 18221 §4.5), kører vi parallel skrivning til et adskilt lagringslag, så passet fortsat kan slås op, selv hvis den primære applikation ikke er tilgængelig. Specifikationen for udbyderen af backupværten kan udleveres til potentielle kunder under NDA.

Infrastrukturens aktuelle status — oppetid, hændelser og planlagt vedligeholdelse — offentliggøres på status.dppagent.com. Tidligere hændelser beskriver, hvad der skete, hvad vi ændrede, og hvad vi opdagede næste gang.

Vi modtager rapporter om ansvarlig offentliggørelse på security@dppagent.com. Rapporter vurderes inden for én arbejdsdag og udbedres efter en plan baseret på alvorlighed. Forskere, der handler i god tro, beskyttes mod retslige skridt, krediteres efter ønske og skal ikke underskrive en NDA for at indsende.

Ved bekræftede hændelser, der påvirker kunder, følger vi en dokumenteret procedure for hændelseshåndtering: inddæmning først, underretning af tenantens ejer inden for den frist, der er fastsat i kontrakten, en gennemgang efter hændelsen offentliggjort på statussiden og udbedring af grundårsagen fulgt til dørs.

DPP Agents platform og dens output er bygget efter CEN/CENELEC JTC 24-standarderne (EN 18216 adgang, EN 18219 identifikatorer, EN 18221 livscyklus og kontinuitet, EN 18223 struktur og interoperabilitet), CIRPASS-2-referenceprofilen og kravene på feltniveau i ESPR (forordning 2024/1781) og EU’s batteriforordning (2023/1542). Pasdataene følger GS1 Digital Link med Application Identifiers for GTIN, batch, CPV og serienummer.

Som dataansvarlig / databehandler med base i EU er vi omfattet af GDPR og tilbyder en standarddatabehandleraftale efter anmodning. Kundedatastrømme er dokumenteret i vores liste over underdatabehandlere, som ved væsentlige ændringer ændres med 30 dages varsel.

Vi har i øjeblikket ikke en SOC 2- eller ISO 27001-certificering. Når en certificering er opnået, offentliggør vi rapporten og revisionens omfang her. Enterprise-kunder kan under NDA anmode om den aktuelle sikkerhedspakke, et resumé af penetrationstest og den interne kontroltjekliste.