Passet är ett löfte.
Så här håller vi det.

Applikationens serverfunktioner körs i Frankfurt (fra1), intill den primära datalagringen, ett hanterat Postgres-kluster i AWS eu-central-1 (Frankfurt). Där lagras kundinnehåll, tenantposter och granskningsloggar. AI-funktionerna skickar texten de arbetar med till Googles Gemini API, som behandlar den i USA.

Statiska filer och publika passidor levereras från ett globalt edge-nätverk, från den plats som ligger närmast läsaren; bara publika, icke-känsliga resurser (logotyper, marknadstexter, HTML för passidorna) cachas där. Autentiserade API-svar går enligt policy förbi cachen.

Egna tenantdomäner (till exempel dpp.brand.com) levereras av samma plattform. Vi har ingen reservmiljö som skulle flytta lagrad data utanför EU.

Alla anslutningar till passtjänsten, tenantens admin och API:t avslutas på TLS 1.2 eller högre. HSTS tillämpas med två års max-age och preload. Sidor levereras med X-Frame-Options SAMEORIGIN och Referrer-Policy strict-origin-when-cross-origin; en Content-Security-Policy körs i report-only-läge.

I vila är Postgres lagringsvolymer AES-256-krypterade av leverantören. Inloggningsuppgifter för integrationer (Akeneo, Centra, Shopify, inriver, Delogue, egna REST-tokens) ligger i ett krypterat valv per tenant; krypteringsnyckeln hålls utanför databasen. API-nycklar till språkmodeller som tenanten själv tillhandahåller (BYOK) krypteras på samma sätt.

Inloggning sker med magisk länk via e-post eller med Google. Sessioner sparas i Secure-, SameSite=Lax-cookies som är begränsade till vår domän.

Varje tabell med kundinnehåll skyddas av Row-Level Security i databasen. En tenantanvändare kan aldrig läsa data som tillhör en annan tenant — begränsningen upprätthålls i databaslagret, inte bara i applikationskoden. Personalens åtkomst avgränsas separat via tabellen staff_users och kräver ett verksamhetsskäl som registreras i granskningsloggen.

Rollerna inom en tenant är admin, editor och viewer — en admin hanterar medlemmar och allt därunder, en editor arbetar med pass och data men kan inte ändra vem som har åtkomst, en viewer läser. Vid sidan av dem finns roller för myndigheter och andra aktörer i det publika passet (economic-operator, distributor, refurbisher, recycler, market-surveillance, competent-authority). Personal kan bara agera som en användare via ett signerat och loggat flöde.

Applikationens hemligheter finns enbart i krypterade miljövariabler på plattformen. Ingen hemlighet checkas in i versionshanteringen, ingen hemlighet loggas, och API-nycklar som klistras in i en chatt behandlas som röjda och byts ut direkt.

När en tenant integrerar med ett externt system lagras inloggningsuppgiften per tenant i det krypterade valvet som beskrivs ovan. Byten, utgångsdatum och ändrade behörigheter visas i panelen Integrationer; misslyckade åtkomstförsök loggas i tenantens granskningslogg.

Den primära databasen säkerhetskopieras löpande med återställning till valfri tidpunkt inom ett rullande fönster. Dagliga krypterade ögonblicksbilder sparas enligt ett schema som passar tenantens plan; långtidslagring finns på begäran för reglerade kategorier.

För kunder som behöver en oberoende backupvärd (enligt EN 18221 §4.5) skriver vi parallellt till en separat lagringsnivå, så att passet går att nå även om den primära applikationen inte är tillgänglig. Specifikationen för backupvärdens leverantör finns för presumtiva kunder under NDA.

Aktuell driftstatus — tillgänglighet, incidenter och planerat underhåll — publiceras på status.dppagent.com. Tidigare incidenter beskriver vad som hände, vad vi ändrade och vad vi upptäckte nästa gång.

Vi tar emot rapporter om ansvarsfullt avslöjande på security@dppagent.com. Rapporter bedöms inom en arbetsdag och åtgärdas enligt ett schema efter allvarlighetsgrad. Forskare som agerar i god tro skyddas mot rättsliga åtgärder, krediteras på begäran och behöver inte skriva under ett NDA för att rapportera.

Vid bekräftade incidenter som påverkar kunder följer vi en dokumenterad incidentrutin: först begränsning, sedan besked till tenantens ägare inom den tid avtalet anger, en incidentrapport publicerad på statussidan och åtgärd av grundorsaken som följs upp tills den är stängd.

DPP Agents system och det som det producerar är byggda enligt standardserien från CEN/CENELEC JTC 24 (EN 18216 åtkomst, EN 18219 identifierare, EN 18221 livscykel och kontinuitet, EN 18223 struktur och interoperabilitet), referensprofilen CIRPASS-2 samt kraven på fältnivå i ESPR (förordning 2024/1781) och EU:s batteriförordning (2023/1542). Passdata följer GS1 Digital Link med Application Identifiers för GTIN, parti, CPV och serienummer.

Som personuppgiftsansvarig / personuppgiftsbiträde med verksamhet i EU omfattas vi av GDPR och erbjuder ett standardiserat personuppgiftsbiträdesavtal (DPA) på begäran. Hur kunddata flödar dokumenteras i vår lista över underbiträden, som vid väsentliga ändringar uppdateras med 30 dagars varsel.

Vi har i dag ingen SOC 2- eller ISO 27001-certifiering. När en certifiering är på plats publicerar vi rapporten och granskningens omfattning här. Enterprise-kunder kan under NDA begära det aktuella säkerhetspaketet, en sammanfattning av penetrationstest och checklistan för interna kontroller.