Säkerhetsöversikt

Innehåll

1. 1. I korthet
2. 2. Var dina data lagras
3. 3. Kryptering
4. 4. Att hålla varje företags data åtskilda
5. 5. Skydd vid inloggning
6. 6. Granskningslogg och upptäckt av manipulering
7. 7. Säkerhetskopior och återställning
8. 8. Betalningar och pengar
9. 9. Artificiell intelligens
10. 10. Vårt teams åtkomst
11. 11. Övervakning och incidenthantering
12. 12. Certifieringar
13. 13. Vad du kan göra
14. 14. Rapportera en sårbarhet

Version: 1.2 · Publicerad: 16 oktober 2026 · Ikraftträdande: vid godkännande för nya Arbetsytor; för Arbetsytor som godkände en tidigare Version, den dag som STAK anger i sin underrättelse enligt punkt 20 i Tjänstevillkoren för kunder · Styrande text: engelska (punkt 23.9 i Tjänstevillkoren för kunder)

Utfärdad av: STAK Global, LLC, ett bolag med begränsat ansvar bildat i delstaten Delaware i Amerikas förenta stater (registreringsnummer 10798493), som äger STAK (ستاك) och Tjänsterna. Kontakt: [email protected].

Denna Säkerhetsöversikt förklarar med enkla ord hur vi skyddar ditt företags data och sparar kopior av dem, så som läget är på Ikraftträdandedatumet för denna Version. Vi uppdaterar den när det ändras. Den är endast till information. Våra avtalsenliga åtaganden finns i Personuppgiftsbiträdesavtalet. Uttryck som definieras i STAK:s tjänstevillkor för kunder har samma betydelse i denna Säkerhetsöversikt.

1. I korthet

• Dina data krypteras medan de överförs och medan de lagras i våra system.
• Varje företags data hålls åtskilda från alla andras i själva databasen.
• Vi tar kontinuerliga Säkerhetskopior och sparar dagliga och månatliga kopior i ett annat land, skyddade mot förtida radering.
• Vi lagrar inte kortnummer och vi tar aldrig emot eller håller dina pengar.
• Varje viktig ändring registreras i en granskningslogg som ingen Användare kan ändra.
• Vi har för närvarande ingen ISO 27001-certifiering eller SOC 2-rapport. Vi anger det här när vi får dem.

2. Var dina data lagras

2.1 Tjänsterna körs på molninfrastruktur från Amazon Web Services i Frankfurtregionen i Förbundsrepubliken Tyskland. Säkerhetskopior kopieras till en separat Amazon Web Services-region i Republiken Irland. Denna uppdelning innebär att en kopia av dina data kan bevaras även om hela den primära hostingregionen havererar.

2.2 Vi kan i framtiden flytta hostingen till en annan region. Vi underrättar dig minst 30 dagar i förväg. Att tillfälligt köra Tjänsterna från Säkerhetskopiorna i Republiken Irland efter förlusten av den primära hostingregionen är inte en flytt, och vi berättar det för dig utan dröjsmål.

2.3 STAK tillhandahålls av STAK Global, LLC, ett bolag bildat i Amerikas förenta stater. Vår hostingleverantör och vissa av våra tjänsteleverantörer omfattas också av amerikansk lag. Vi skyddar dina data mot olaglig åtkomst från vilken regering som helst så som anges i punkt 13 i Personuppgiftsbiträdesavtalet: vi lämnar ut data endast på en bindande begäran, underrättar dig om inte lagen förbjuder det, begränsar utlämnandet till det minimum som krävs och bestrider begäranden som vi rimligen anser vara olagliga. Dina data krypteras medan de lagras och medan de överförs.

3. Kryptering

3.1 Varje anslutning till Tjänsterna krypteras med TLS version 1.2 eller senare, och applikationen verifierar databasserverns identitet vid varje anslutning.

3.2 Databaser, diskar, filer, Säkerhetskopior och lagringen för hemligheter krypteras i vila med AES-256, med nycklar som hanteras via Amazons nyckelhanteringstjänst eller av hostingleverantören.

3.3 Dina anställdas akter och kliniska journaler krypteras dessutom i applikationen med separata nycklar, och nycklarna för anslutning till Betaltjänstleverantörer och andra leverantörer förvaras i en separat lagring för hemligheter som krypteras med en separat nyckel.

4. Att hålla varje företags data åtskilda

4.1 Varje post med ett företags data i databasen bär identifieraren för den Verksamhet den tillhör. Databasen själv tillämpar säkerhetsregler på radnivå (row-level security) som hindrar applikationen från att läsa eller skriva en annan Verksamhets poster. Detta är ett oberoende skyddslager under applikationens egna kontroller.

4.2 Det databaskonto som applikationen använder har ingen behörighet att kringgå dessa regler.

5. Skydd vid inloggning

5.1 Du kan logga in med:

• en verifieringskod som skickas via WhatsApp till ett verifierat nummer;
• en passkey, med ansikts- eller fingeravtrycksigenkänning;
• ett Google-, Apple- eller Microsoft-konto.

En autentiseringsapp kan användas som ett andra steg efter inloggningen. Vi använder inte lösenord.

5.2 Du kan kräva tvåstegsinloggning för vissa roller, och Ägare och Administratörer får en avisering när någon ändrar sina verifieringsmetoder. Varje person får en avisering när det egna Kontot används från en ny enhet. I de Planer som omfattar det kan du också ange en tidsgräns för inaktiva sessioner, och Ägare får en avisering när någon loggar in från en ny enhet.

5.3 Varje Personalmedlem får en definierad roll och definierade behörigheter, och åtkomsten kan begränsas till vissa Filialer. Personal på delade Enheter använder en sexsiffrig personlig identifieringskod (PIN), och inloggning med den spärras efter fem felaktiga försök.

6. Granskningslogg och upptäckt av manipulering

6.1 Varje viktig ändring registreras i en granskningslogg, med uppgift om vem som gjorde den, när, varifrån och från vilken IP-adress. Ingen Användare kan ändra eller radera denna logg, förutom att när en begäran om radering av en Slutkunds data genomförs tas den personens identitet bort från loggens poster, medan det som gjordes, av vem och när bevaras. Loggen raderas tillsammans med Kunddata vid uppsägning enligt Villkoren.

6.2 Bokföringsposter länkas i en kedja som avslöjar varje senare ändring av dem, och du kan kontrollera deras integritet från sidan Säkerhet.

7. Säkerhetskopior och återställning

7.1 Vi tar kontinuerliga Säkerhetskopior av databaserna, som gör det möjligt att återställa dem till vilken tidpunkt som helst under de senaste 35 dagarna. Vi tar också:

• dagliga Säkerhetskopior, som sparas i 35 dagar;
• månatliga Säkerhetskopior, som sparas i 12 månader;
• en logisk Säkerhetskopia av databasen (en databasdump) varje natt, som sparas i 35 dagar i låst lagring.

7.2 Dagliga och månatliga Säkerhetskopior kopieras till Irland. Policyn för säkerhetskopieringsvalven i Frankfurt och Irland hindrar vem som helst, inklusive vårt eget team, från att radera en Säkerhetskopia innan dess lagringstid löper ut eller ändra den tiden. Valven är också låsta i hostingleverantörens efterlevnadsläge (compliance mode), som är utformat så att ingen, inklusive den som skulle kunna ta över ett av våra konton hos hostingleverantören, kan radera en Säkerhetskopia under dess första 35 dagar.

7.3 Varje månad testar vi att återställa databasen från Säkerhetskopior. Vårt mål är att förlora högst 15 minuters data om en databas havererar och högst 24 timmar om hela hostingregionen går förlorad, i linje med återställningsmålen i Servicenivåavtalet.

7.4 Vi sparar Säkerhetskopior för att kunna återställa tjänsten, inte som ett arkiv åt dig. Exportera därför dina data regelbundet från sidan för plan och fakturering eller från varje App.

8. Betalningar och pengar

8.1 Tjänsterna är utformade så att kortnummer inte passerar genom eller lagras i våra system: betalning sker på Betaltjänstleverantörernas egna sidor eller på deras certifierade kortterminaler och appar. Tjänsternas skärmar innehåller inget fält för kortnummer eller deras säkerhetskoder, och du kan från sidan Säkerhet begära att textfält söks igenom efter kortnummer som angetts av misstag.

8.2 Dina pengar avvecklas direkt från Betaltjänstleverantören till ditt bankkonto. Vi tar aldrig emot eller håller dem.

8.3 Att ändra det bankkonto som är registrerat i STAK för att ta emot avvecklingar kräver ett extra verifieringssteg och träder i kraft först efter 48 timmar. Ägare får en avisering omedelbart så att de kan avbryta ändringen.

9. Artificiell intelligens

9.1 Data skickas till AI-leverantören endast när en Användare begär en AI-funktion, laddar upp ett dokument för att en sådan ska läsa det, till exempel ett kvitto, eller när en automatisering som en Användare har ställt in kör ett AI-steg, och endast de data som behövs för den begäran eller det steget skickas.

9.2 Dina data används inte för att träna modeller för artificiell intelligens. AI-funktioner ändrar en post endast efter din uttryckliga bekräftelse, eller inom ramen för en automatisering som en behörig Användare har ställt in och aktiverat.

10. Vårt teams åtkomst

Åtkomst till Produktionsmiljön är förbehållen ett begränsat antal namngivna medarbetare och kräver flerfaktorsautentisering, och början av varje åtkomstsession loggas. Administrativ åtkomst till servrar sker endast via Amazons tjänst för systemhantering, utan direkt inloggning på servrarna.

Vi tittar på dina data endast i dessa fall:

• för att ge den support du begär;
• för att driva, underhålla och återställa Tjänsterna;
• för att utreda en Säkerhetsincident eller ett misstänkt brott mot Policyn för godtagbar användning;
• där lagen kräver det.

11. Övervakning och incidenthantering

11.1 Vi övervakar molninfrastrukturen automatiskt dygnet runt, med omedelbara larm till vårt team. Varje administrativ åtgärd i molninfrastrukturen loggas, och hot och överflödiga behörigheter upptäcks automatiskt.

11.2 Om en Personuppgiftsincident påverkar dina data underrättar vi dig utan onödigt dröjsmål: inom 24 timmar efter att vi fått kännedom om den där det är möjligt, och i vilket fall som helst inom 48 timmar. Vi berättar vad som har hänt och vad vi har gjort åt det.

12. Certifieringar

Vi har för närvarande ingen ISO 27001-certifiering eller SOC 2-rapport. Vi har inte heller någon PCI DSS-certifiering, eftersom Tjänsterna är utformade så att kortdata inte passerar genom våra system: de behandlas på Betaltjänstleverantörernas egna sidor eller deras certifierade terminaler och appar. De Betaltjänstleverantörer som du ansluter till Tjänsterna har sina egna certifieringar. Vi förtecknar här varje certifiering som vi får i framtiden.

Om du tar emot kortbetalningar via dina STAK-sidor skickas köparen till din Betaltjänstleverantörs egen sida, eller så använder du dess certifierade terminaler och appar, så att STAK:s sidor aldrig samlar in kortdata. Kontrollera dina egna PCI DSS-skyldigheter med din Betaltjänstleverantör; ett företag som använder en sådan omdirigering fyller vanligtvis i det kortaste självbedömningsformuläret (SAQ A). STAK gör inte anspråk på PCI DSS-certifiering.

13. Vad du kan göra

• Aktivera tvåstegsinloggning för Ägare och Administratörer.
• Ge varje Personalmedlem endast de behörigheter som arbetet kräver, och ta bort åtkomsten för den som slutar omedelbart.
• Exportera dina data regelbundet, minst en gång i månaden.
• Håll kassasystemets Enheter anslutna tills försäljning som registrerats offline har synkroniserats klart, innan du rensar eller loggar ut från någon Enhet.
• Håll systemen och webbläsarna på dina enheter uppdaterade.
• Berätta omedelbart för oss om all misstänkt aktivitet.

14. Rapportera en sårbarhet

Om du upptäcker en säkerhetssårbarhet ska du skicka e-post till oss på [email protected]. Vi hanterar rapporter konfidentiellt. Vi tillåter säkerhetstestning i god tro inom gränserna i punkt 10 i Policyn för godtagbar användning, och vi gör ingen anmälan och framställer inget krav mot den som håller sig inom dessa gränser och utan dröjsmål rapporterar sårbarheten till oss.