Slik beskytter vi dataene dine

Kryptering

• Underveis: All trafikk mellom enheten din og serverne våre er kryptert med TLS 1.3.
• Lagret: All data lagres kryptert (AES-256) i Google Cloud — både databasen (Firestore) og filene (Cloud Storage). Nøklene forvaltes av Google.
• Sensitive felter: Fødselsnummer, kontonummer og API-nøkler hashes (SHA-256) eller pseudonymiseres før lagring.

Infrastruktur

• Region: europe-west1 (Belgia) — alle data lagres innenfor EU/EØS. Tjenestene driftes av Google Cloud Platform.
• Plattformleverandør: Google Cloud / Firebase er sertifisert etter ISO 27001 og revideres etter SOC 2. Sertifiseringene gjelder plattformleverandøren, ikke KETL selv.
• App Check: Beskytter API-et mot misbruk fra apper vi ikke har godkjent.

Backup og gjenoppretting

• Daglig automatisk sikkerhetskopi av databasen, som oppbevares i 30 dager.
• Lovkrav: Vi oppbevarer regnskapsdata i minst 5 år, slik bokføringsloven § 13 krever.
• Designmål: tjenesten er oppe igjen innen 1 time (RTO), og du mister maks 24 timer med data (RPO).

Tilgangskontroll

• Tofaktorinnlogging (TOTP) som alle brukere kan slå på.
• Rollebasert tilgang per organisasjon: eier, admin, regnskapsfører og observatør.
• Dataskille mellom kunder: tilgangsreglene i databasen sjekker at du bare kan lese data fra organisasjonene du er medlem av.
• Revisjonsspor: hver opprettelse, endring og sletting logges med tidspunkt og hvem som gjorde det.

Hendelsesrespons

Ved sikkerhetsbrudd som rammer personopplysninger, varsler vi Datatilsynet innen 72 timer (GDPR art. 33) og berørte brukere uten ugrunnet opphold. Vi har en egen plan for hendelseshåndtering og overvåker feil i sanntid med Sentry.

Ansvarlig rapportering

Har du funnet et sikkerhetshull? Send e-post til security@ketl.no. Vi svarer innen 24 timer, og er takknemlige for at du sier fra til oss først. Se også security.txt.

Sikkerhetstesting

Hver kodeendring må gjennom automatiske sikkerhets- og kvalitetskontroller før den når produksjon, og tilgangsreglene som skiller kundenes data testes for seg. En uavhengig penetrasjonstest er planlagt før allmenn lansering. Les om sikkerhetstestingen.

Underleverandører

Se underleverandørlisten for alle tredjeparter som behandler data på våre vegne.