1. Vårt förhållningssätt
Säkerhet är inbyggt i varje lager av Samdrift — inte något som lagts till i efterhand. Vi hanterar känsliga föreningsuppgifter som medlemsregister, ekonomiska handlingar och styrelsehandlingar, och vi tar det ansvaret på allvar.
2. Infrastruktur
- Hostat inom EU — Våra servrar körs på Hetzners infrastruktur i Finland, och säkerhetskopiorna förvaras i Tyskland. Dina uppgifter lämnar aldrig EU för lagring eller behandling.
- Kryptering vid överföring — Alla anslutningar använder TLS 1.2 eller högre. Okrypterad HTTP omdirigeras automatiskt till HTTPS.
- Kryptering i vila — Lagrad data krypteras med AES-256-likvärdig kryptering.
- Säkerhetskopior — Databasen säkerhetskopieras varje natt till en separat plats, sparas i 30 dagar och återställs regelbundet för att verifiera att rutinen fungerar.
3. Applikationssäkerhet
- Ramverksskydd — Byggt på Django, som har inbyggt skydd mot CSRF, XSS, SQL-injektion och clickjacking.
- Lösenordshashning — Lösenord hashas med branschstandardalgoritmer (Argon2/PBKDF2). Vi lagrar aldrig lösenord i klartext.
- Hastighetsbegränsning — Inloggning och API-endpoints är hastighetsbegränsade för att förhindra brute force-attacker.
- Åtkomstkontroll — Rollbaserade behörigheter säkerställer att styrelsemedlemmar, ombud och vanliga medlemmar bara ser det de är behöriga att se.
4. Betalningssäkerhet
Samdrift tar inte emot kortbetalningar. Betalplaner faktureras via Fortnox och betalas med banköverföring, så vi tar aldrig emot, behandlar eller lagrar kortuppgifter.
5. Dataåtkomst
- Minsta behörighet — Åtkomst till produktionssystem är strikt begränsad och följer principen om minsta behörighet.
- Åtkomst till kunddata — Vi får bara åtkomst till kunddata när det behövs för support, och enbart med lämplig behörighet.
- Mandantseparering — Föreningsdata är logiskt separerad. En förening kan inte komma åt en annans data.
6. Övervakning och incidenthantering
- Felövervakning — Vi använder Sentry för felspårning i realtid och hälsokontroller för driftövervakning.
- Incidenthantering — Vi följer en strukturerad process: upptäcka, begränsa, meddela och åtgärda.
- Incidentmeddelande — Vid en bekräftad dataintrång meddelar vi berörda kunder inom 72 timmar i enlighet med GDPR.
7. Utvecklingsrutiner
- Kodgranskning av alla ändringar före driftsättning
- Regelbundna beroendeuppdateringar och sårbarhetsskanning
- Ingen kunddata i utvecklings- eller testmiljöer
8. Ansvarsfull rapportering
Om du upptäcker en säkerhetsbrist i Samdrift, vänligen rapportera den till info@samdrift.se. Vi uppskattar ansvarsfull rapportering och bekräftar din rapport omgående. Ge oss rimlig tid att åtgärda problemet innan det offentliggörs.