Passet er et løfte.
Slik holder vi det.

Applikasjonens serverfunksjoner kjører i Frankfurt (fra1), ved siden av hoveddatalageret, en forvaltet Postgres-klynge i AWS eu-central-1 (Frankfurt). Kundeinnhold, leietakerdata og revisjonsspor lagres der. AI-funksjonene sender teksten de arbeider med, til Googles Gemini API, som behandler den i USA.

Statiske ressurser og offentlige passider leveres fra et globalt edge-nettverk, fra lokasjonen nærmest leseren; bare offentlige, ikke-sensitive ressurser (logoer, markedstekst, HTML for resolversider) mellomlagres der. Autentiserte API-svar går utenom mellomlageret etter fastsatt regel.

Egne leietakerdomener (for eksempel dpp.brand.com) leveres av den samme plattformen. Vi har ingen reserveløsning som ville flyttet lagrede data ut av EU.

Alle tilkoblinger til resolveren, leietakeradministrasjonen og API-et termineres med TLS 1.2 eller høyere. HSTS håndheves med to års max-age og preload satt. Sidene leveres med X-Frame-Options SAMEORIGIN og Referrer-Policy strict-origin-when-cross-origin; en Content-Security-Policy kjører i report-only-modus.

Ved lagring er Postgres-volumene AES-256-kryptert av leverandøren. Påloggingsdata for integrasjoner (Akeneo, Centra, Shopify, inriver, Delogue, egne REST-tokens) ligger i et kryptert hvelv per leietaker; krypteringsnøkkelen holdes utenfor databasen. API-nøkler til LLM som leietakeren selv leverer (BYOK), krypteres på samme måte.

Innlogging støtter magisk lenke på e-post og Google. Øktene lagres i Secure-, SameSite=Lax-informasjonskapsler avgrenset til domenet vårt.

Hver tabell med kundeinnhold er beskyttet av Row-Level Security i databasen. En leietakerbruker kan aldri lese data som tilhører en annen leietaker — begrensningen håndheves i databaselaget, ikke bare i applikasjonskoden. Tilgang for ansatte avgrenses separat gjennom en staff_users-tabell og krever en driftsmessig begrunnelse som registreres i revisjonsloggen.

Rollene i en leietaker er admin, editor og viewer — en admin administrerer medlemmer og alt under, en editor arbeider med pass og data, men kan ikke endre hvem som har tilgang, en viewer leser. Ved siden av disse finnes roller rettet mot myndigheter for det offentlige passet (economic-operator, distributor, refurbisher, recycler, market-surveillance, competent-authority). Ansatte kan bare opptre som en annen bruker gjennom en signert, loggført flyt.

Applikasjonshemmeligheter ligger utelukkende i krypterte miljøvariabler på plattformen. Ingen hemmelighet legges i versjonskontrollen, ingen hemmelighet logges, og API-nøkler som limes inn i en chat, behandles som kompromitterte og roteres på stedet.

Der en leietaker integrerer med et eksternt system, lagres påloggingsdataene per leietaker i det krypterte hvelvet beskrevet ovenfor. Rotasjoner, utløp og endringer i tilganger vises i integrasjonspanelet; mislykkede tilganger logges i leietakerens revisjonsspor.

Hoveddatabasen sikkerhetskopieres kontinuerlig med gjenoppretting til et vilkårlig tidspunkt innenfor et løpende vindu. Daglige krypterte øyeblikksbilder oppbevares etter en plan tilpasset leietakerens plan; langtidsoppbevaring er tilgjengelig på forespørsel for regulerte kategorier.

For kunder som krever en uavhengig vert for sikkerhetskopi (etter EN 18221 §4.5), kjører vi parallell skriving til et atskilt lagringsnivå, slik at passet fortsatt kan slås opp selv om hovedapplikasjonen er utilgjengelig. Spesifikasjonen for leverandøren av sikkerhetskopiverten er tilgjengelig for potensielle kunder under taushetserklæring.

Sanntidsstatus for infrastrukturen — oppetid, hendelser og planlagt vedlikehold — publiseres på status.dppagent.com. Tidligere hendelser beskriver hva som skjedde, hva vi endret, og hva vi oppdaget neste gang.

Vi tar imot rapporter om ansvarlig varsling på security@dppagent.com. Rapportene prioriteres innen én virkedag og utbedres etter en plan basert på alvorlighetsgrad. Forskere som handler i god tro, er beskyttet mot rettslige skritt, krediteres på forespørsel og trenger ikke signere en taushetserklæring for å sende inn.

Ved bekreftede hendelser som rammer kunder, følger vi en dokumentert prosedyre for hendelseshåndtering: inndemming først, varsling av leietakerens eier innen fristen fastsatt i kontrakten, en etterrapport publisert på statussiden, og utbedring av grunnårsaken fulgt opp til den er lukket.

Runtimen i DPP Agent og det den leverer, er bygget etter standardene fra CEN/CENELEC JTC 24 (EN 18216 tilgang, EN 18219 identifikatorer, EN 18221 livsløp og kontinuitet, EN 18223 struktur og interoperabilitet), referanseprofilen i CIRPASS-2 og kravene på feltnivå i ESPR (forordning 2024/1781) og EUs batteriforordning (2023/1542). Passdataene følger GS1 Digital Link med Application Identifiers for GTIN, parti, CPV og serienummer.

Som behandlingsansvarlig / databehandler med virksomhet i EU er vi underlagt GDPR og tilbyr en standard databehandleravtale på forespørsel. Kundedataflyten er dokumentert i listen over underdatabehandlere, som endres med 30 dagers varsel ved vesentlige endringer.

Vi har i dag ingen SOC 2- eller ISO 27001-sertifisering. Når en sertifisering er oppnådd, publiserer vi rapporten og revisjonsomfanget her. Enterprise-kunder kan be om den gjeldende sikkerhetspakken, et sammendrag av penetrasjonstesten og sjekklisten for internkontroll under taushetserklæring.