Sikkerhet og personvern
Dataene er kommunens.
Et FDV-system inneholder opplysninger om bygg, men også om ansatte, leietakere og innmeldere. Her er hvordan SmartFDV håndterer det.
Drift innenfor EØS
SmartFDV driftes på profesjonell skyinfrastruktur innenfor EØS. Behandlingslokasjoner og underdatabehandlere oppgis konkret i databehandleravtalen, ikke som en generell formulering.
Innlogging og tilgangsstyring
Innlogging skjer med kommunens egne brukere via EntraID eller annen OIDC-leverandør. Kommunen styrer selv hvem som får tilgang, gjennom sine ordinære gruppemedlemskap — og en ansatt som slutter, mister tilgangen samtidig som resten av kontoene stenges.
Tilgangen inne i systemet er delt i tre lag:
- Rolle — hvilke moduler brukeren når
- Tilgangsgruppe — hvilke bygg og eiendommer brukeren ser
- Tilgangsnivå — om brukeren kan lese, skrive eller administrere i den enkelte modulen
En renholder ser sine bygg. En leverandør ser sine oppdrag. Ingen ser mer enn de skal, og bred tilgang koster ikke ekstra i lisens.
Sporbarhet
Systemet fører logg over hvem som har gjort hva og når. Oppslag på personopplysninger logges særskilt, slik at kommunen kan svare på innsynsforespørsler og undersøke mistanke om urettmessig oppslag.
Full eksport fra dag én
Full eksport av kommunens data er tilgjengelig fra første dag, ikke som en tjeneste som må kjøpes hvis avtalen en gang skal avsluttes. Eksporten er begrenset til systemadministrator.
Hvorfor vi gjør det slik
En kunde som når som helst kan ta med seg dataene sine, forblir kunde fordi løsningen er god nok — ikke fordi det er for dyrt å komme seg ut.
Personvern
- Behandling av personopplysninger reguleres i databehandleravtale med kommunen
- Behandlingsformål, kategorier av opplysninger, lagringstid, underdatabehandlere og sletterutiner beskrives konkret i avtalens bilag
- Sletting og tilbakelevering ved avtaleslutt er avtalefestet
Styringssystem for informasjonssikkerhet
JProfessionals har etablert styringssystem for informasjonssikkerhet basert på ISO/IEC 27001 og NSMs grunnprinsipper for IKT-sikkerhet. Det er ikke tredjepartssertifisert, og vi oppgir det ikke som om det var.
Overvåking og support
Overvåking og automatisk varsling går døgnkontinuerlig. Bemannet support er på hverdager. Ved kritiske hendelser utenfor arbeidstid håndteres beredskap etter definert rutine.
Vi lover ikke bemannet support døgnet rundt, fordi vi ikke leverer det.
Universell utforming
SmartFDV utvikles etter WCAG. Tilgjengelighet er et krav i utviklingen, ikke en etterarbeidsoppgave.
Spørsmål?
Sikkerhets- og personverndokumentasjon oversendes gjerne på forespørsel.