Passi on lupaus.
Näin pidämme sen.

Sovelluksen palvelinfunktiot toimivat Frankfurtissa (fra1) ensisijaisen tietovaraston vieressä, joka on hallinnoitu Postgres-klusteri AWS:n alueella eu-central-1 (Frankfurt). Asiakassisältö, tenanttitietueet ja muutoslokit säilytetään siellä. Tekoälyominaisuudet lähettävät käsittelemänsä tekstin Googlen Gemini API:lle, joka käsittelee sen Yhdysvalloissa.

Staattiset resurssit ja julkiset passisivut tarjoillaan maailmanlaajuisesta reunaverkosta lukijaa lähimmästä sijainnista; vain julkiset, ei-arkaluonteiset resurssit (logot, markkinointitekstit, resolverisivujen HTML) tallennetaan sinne välimuistiin. Todennetut API-vastaukset ohittavat välimuistin periaatteen mukaisesti.

Tenanttien omat verkkotunnukset (esimerkiksi dpp.brand.com) tarjoillaan samalta alustalta. Emme ylläpidä varajärjestelmää, joka siirtäisi tallennettuja tietoja EU:n ulkopuolelle.

Kaikki yhteydet resolveriin, tenantin hallintaan ja API-rajapintaan päättyvät TLS 1.2:een tai uudempaan. HSTS on käytössä kahden vuoden max-age-arvolla ja preload-asetuksella. Sivut tarjoillaan otsakkeilla X-Frame-Options SAMEORIGIN ja Referrer-Policy strict-origin-when-cross-origin; Content-Security-Policy toimii report-only-tilassa.

Levossa palveluntarjoaja salaa Postgres-tallennustaltiot AES-256-salauksella. Integraatioiden tunnistetiedot (Akeneo, Centra, Shopify, inriver, Delogue, mukautetut REST-tunnisteet) ovat tenanttikohtaisessa salatussa holvissa; salausavainta säilytetään tietokannan ulkopuolella. Tenanttien omat LLM-API-avaimet (BYOK) salataan samalla tavalla.

Kirjautuminen tukee sähköpostin kertakirjautumislinkkiä ja Googlea. Istunnot säilytetään Secure- ja SameSite=Lax-evästeissä, jotka on rajattu verkkotunnukseemme.

Jokainen asiakassisältöä sisältävä taulu on suojattu tietokannan rivitason suojauksella (Row-Level Security). Tenantin käyttäjä ei voi koskaan lukea toiselle tenantille kuuluvia tietoja — rajoitus pannaan täytäntöön tietokantatasolla, ei vain sovelluskoodissa. Henkilöstön pääsy rajataan erikseen staff_users-taulun kautta, ja se edellyttää audit-lokiin kirjattua operatiivista syytä.

Tenantin sisäiset roolit ovat admin, editor ja viewer — admin hallitsee jäseniä ja kaikkea alempaa, editor työskentelee passien ja tietojen parissa mutta ei voi muuttaa käyttöoikeuksia, viewer lukee. Niiden rinnalla ovat julkisen passin viranomaisille suunnatut roolit (economic-operator, distributor, refurbisher, recycler, market-surveillance, competent-authority). Henkilöstö voi esiintyä käyttäjänä vain allekirjoitetun ja auditoidun prosessin kautta.

Sovelluksen salaisuudet ovat yksinomaan salatuissa alustan ympäristömuuttujissa. Yhtään salaisuutta ei viedä versionhallintaan, yhtään salaisuutta ei kirjata lokiin, ja chattiin liitetyt API-avaimet katsotaan vaarantuneiksi ja vaihdetaan välittömästi.

Kun tenantti integroituu ulkoiseen järjestelmään, tunnistetieto tallennetaan tenanttikohtaisesti edellä kuvattuun salattuun holviin. Vaihdot, vanhenemiset ja oikeuksien muutokset näytetään Integraatiot-paneelissa; pääsyvirheet kirjataan tenantin audit-lokiin.

Ensisijainen tietokanta varmuuskopioidaan jatkuvasti, ja palautus mihin tahansa ajankohtaan on mahdollinen liukuvan ikkunan sisällä. Päivittäiset salatut tilannevedokset säilytetään tenantin pakettiin sopivan aikataulun mukaan; pitkäaikainen säilytys on saatavilla pyynnöstä säännellyille tuoteryhmille.

Asiakkaille, jotka tarvitsevat riippumattoman varmuuskopiopalvelimen (EN 18221 §4.5:n mukaisesti), ylläpidämme rinnakkaiskirjoitusta erilliseen tallennuskerrokseen, jotta passi pysyy resolvoitavissa, vaikka ensisijainen sovellus ei olisi käytettävissä. Varmuuskopiopalvelimen palveluntarjoajan eritelmä on saatavilla mahdollisille asiakkaille salassapitosopimuksella.

Infrastruktuurin reaaliaikainen tila — käytettävyys, häiriöt ja suunnitellut huoltokatkot — julkaistaan osoitteessa status.dppagent.com. Aiemmista häiriöistä kerrotaan, mitä tapahtui, mitä muutimme ja mitä havaitsimme seuraavalla kerralla.

Otamme vastaan vastuullisen julkistamisen ilmoituksia osoitteeseen security@dppagent.com. Ilmoitukset luokitellaan yhden arkipäivän kuluessa ja korjataan vakavuuden mukaisen aikataulun mukaan. Hyvässä uskossa toimivat tutkijat ovat suojassa oikeustoimilta, heidät mainitaan pyynnöstä, eikä heidän tarvitse allekirjoittaa salassapitosopimusta ilmoituksen tekemiseksi.

Vahvistetuissa asiakkaisiin vaikuttavissa häiriöissä noudatamme dokumentoitua häiriönhallinnan toimintaohjetta: ensin rajaaminen, tenantin omistajan ilmoittaminen sopimuksessa määritellyssä ajassa, häiriön jälkeinen raportti tilasivulle ja juurisyyn korjaaminen seurattuna loppuun asti.

DPP Agentin ajoympäristö ja sen tuotos on rakennettu CEN/CENELEC JTC 24 -standardisarjan (EN 18216 pääsy, EN 18219 tunnisteet, EN 18221 elinkaari ja jatkuvuus, EN 18223 rakenne ja yhteentoimivuus), CIRPASS-2-viiteprofiilin sekä ESPR:n (asetus 2024/1781) ja EU:n akkuasetuksen (2023/1542) kenttätason vaatimusten mukaisesti. Passitiedot noudattavat GS1 Digital Linkiä GTIN-, erä-, CPV- ja sarjanumerosovellustunnisteineen.

EU:sta toimivana rekisterinpitäjänä / henkilötietojen käsittelijänä meitä koskee GDPR, ja tarjoamme pyynnöstä vakiomuotoisen tietojenkäsittelysopimuksen. Asiakastietojen kulku on dokumentoitu alikäsittelijäluettelossamme, jota muutetaan olennaisten muutosten osalta 30 päivän ennakkoilmoituksella.

Meillä ei tällä hetkellä ole SOC 2- tai ISO 27001-sertifiointia. Kun sertifiointi saavutetaan, julkaisemme raportin ja auditoinnin laajuuden täällä. Enterprise-asiakkaat voivat pyytää ajantasaisen tietoturvakatsauspaketin, tunkeutumistestauksen yhteenvedon ja sisäisen valvonnan tarkistuslistan salassapitosopimuksella.