Sikkerhedsspørgeskema

Ideanote er afhængig af din tillid. Uden dig er der ikke noget os. Innovation og deling af ideer kan indeholde yderst fortrolige oplysninger og bør altid beskyttes mod skade. Derfor har vi indført omfattende sikkerheds- og kontrolprocesser, der bidrager til at sikre oplysningerne. Ideanote er stolt af at kunne tilbyde sikkerhed på enterprise-niveau til alle.

Dine data er sikre hos os, fordi vi lægger vægt på, at du kan føle dig tryg, mens du opbygger dit innovationsfællesskab med Ideanote. Nedenfor besvarer vi nogle af de mest almindelige spørgsmål, vi har modtaget fra kunder, så du hurtigt kan få et overblik og konkrete svar.

Datacenterfunktioner

Hvor opbevares kundedata?

Ideanote opbevarer løbende kundedata på Google Cloud Platform med servere placeret i EU, Frankfurt og Dublin. Kundeindhold (ideer, kommentarer osv.) opbevares ikke hos andre tredjepartsudbydere. Derudover har vi indgået databehandlertillæg (DPA'er) med alle underdatabehandlere, der behandler kundedata. Du kan se en komplet liste over vores underdatabehandlere på ideanote.io/terms#sub-processors.

Hvilke sikkerhedsfunktioner tilbyder Ideanotes datacentre?

Google Cloud Platforms datacentre overvåges 24/7 af indendørs og udendørs kameraer i høj opløsning, der kan registrere og spore uvedkommende. Adgangslogfiler, aktivitetsregistreringer og kameraoptagelser er tilgængelige, hvis der opstår en hændelse. Adgang til Googles datacenterområde er kun mulig via en sikkerhedskorridor, hvor der benyttes multifaktoradgangskontrol med sikkerhedskort og biometri.

Kun godkendte medarbejdere med specifikke roller må få adgang. Derudover benytter Googles datacentres fysiske sikkerhed en lagdelt sikkerhedsmodel med sikkerhedsforanstaltninger såsom specialdesignede elektroniske adgangskort, alarmer, adgangsbarrierer for køretøjer, perimeterhegn, metaldetektorer og biometriske løsninger. Datacentrenes gulve er desuden udstyret med laserbaseret indbrudsdetektion. Google registrerer omhyggeligt placeringen og status for alt udstyr i sine datacentre fra anskaffelse til installation, udfasning og destruktion ved hjælp af stregkoder og aktivmærker. Metaldetektorer og videoovervågning anvendes for at sikre, at intet udstyr forlader datacentrenes gulve uden tilladelse.

Hvis en komponent på noget tidspunkt i sin levetid ikke består en funktionstest, fjernes den fra lageret og tages ud af drift. Googles harddiske benytter teknologier såsom FDE (fuld diskkryptering) og drevlåsning for at beskytte lagrede data. Når en harddisk tages ud af drift, kontrollerer autoriserede personer, at disken er slettet ved at skrive nuller til drevet og gennemføre en verifikationsproces i flere trin for at sikre, at drevet ikke indeholder data. Hvis drevet af en eller anden grund ikke kan slettes, opbevares det sikkert, indtil det kan destrueres fysisk. Fysisk destruktion af diske er en proces i flere trin, der begynder med en knuser, som deformerer drevet, efterfulgt af en makulator, der findeler drevet. Delene genanvendes derefter på et sikkert anlæg. Hvert datacenter følger en streng politik for bortskaffelse, og eventuelle afvigelser håndteres straks.

Overholder Ideanote SOC2?

Vores datacenterleverandør overholder naturligvis SOC2, og du er altid velkommen til at kontakte os, hvis du ønsker, at vi sender dig deres overensstemmelsesrapport. For at fremskynde processen beder vi dig venligst om at oplyse tilstrækkelige kontaktoplysninger samt en begrundelse for din anmodning.

Hvordan sikkerhedskopieres kundedata?

Alle kundedata sikkerhedskopieres fuldt ud dagligt til flere datacentre i EU, Frankfurt og Dublin.

Kan Ideanote slette kundedata efter anmodning?

Kund data kan i øjeblikket slettes efter en skriftlig anmodning fra kunden til Ideanote. Som led i vores arbejde med at overholde GDPR opdaterer vi vores muligheder for sletning af data, så de bliver tilgængelige i brugergrænsefladen.

Har Ideanote mulighed for at rense computerressourcer for klientdata, hvis en kunde forlader Ideanote?

Google er vores hostingudbyder til produktionsmiljøet. Googles harddiske anvender teknologier som FDE (fuld diskkryptering) og drevlåsning til at beskytte lagrede data. Når en harddisk tages ud af drift, kontrollerer autoriserede personer, at disken er slettet, ved at skrive nuller til drevet og gennemføre en verifikationsproces i flere trin for at sikre, at drevet ikke indeholder data. Hvis drevet af en eller anden grund ikke kan slettes, opbevares det sikkert, indtil det kan destrueres fysisk. Fysisk destruktion af diske er en proces i flere trin, der begynder med en knuser, som deformerer drevet, efterfulgt af en makulator, der bryder drevet ned i små stykker, som derefter genanvendes på et sikkert anlæg. Hvert datacenter følger en streng politik for bortskaffelse, og eventuelle afvigelser håndteres straks.

Opbevarer Ideanote kundeoplysninger efter aftalens ophør?

Ideanote giver kunder mulighed for når som helst at eksportere deres rådata i det branchestandardiserede JSON-format efter skriftlig anmodning fra kunden. Kundedata kan desuden slettes efter anmodning ved aftalens ophør eller slettes i overensstemmelse med Ideanotes interne politikker for dataopbevaring.

Datasikkerhed og -administration

Holder Ideanote den enkelte kundes data adskilt?

Alle følsomme kundedata er kun tilgængelige efter en vellykket udveksling af et sessionstoken fra vores API, som medfører forskellige grader af adgangsrettigheder til en bestemt kundes data, afhængigt af flere faktorer, såsom indstillingerne for arbejdsområdet, den specifikke bruger, der forsøger at få adgang til ressourcen, samt den handling, der forsøges udført på ressourcen. Dette giver en logisk adskillelse mellem data, der tilhører flere kunder. Kundedata opbevares på databasesystemer, der indeholder data tilhørende flere kunder, men vores logiske kontroller for autentificering og autorisation adskiller én kundes data fra en anden kundes data.

Understøtter Ideanote enkeltlogon og multifaktorgodkendelse?

Vores produkt understøtter enkeltlogon (SSO). Vi understøtter SAML-standarden, herunder integration med Active Directory-protokollen (AD).. Du kan selv konfigurere SSO under /space-settings/sso.

Kryptering og adgangskodeadministration

Krypterer Ideanote kundedata?

Når en bruger besøger et website eller en applikation, hvor Ideanote er integreret, registreres oplysninger om vedkommendes interaktioner og sendes til Ideanote via HTTPS. Alle data, der overføres via HTTPS, er krypteret. Ideanote tillader udelukkende forbindelser via HTTPS for at sikre, at data krypteres under overførslen. Ideanote bruger cipher suites, der overholder NIST Suite B, til at sikre data under overførsel og i hvile.

Google Cloud Platform krypterer som standard kundedata, der er lagret. Data i Google Cloud Platform opdeles i mindre dele til lagring, og hver del krypteres på lagerniveau med en individuel krypteringsnøgle. Den nøgle, der bruges til at kryptere dataene i en del, kaldes en datakrypteringsnøgle (DEK). På grund af det store antal nøgler hos Google og behovet for lav latenstid og høj tilgængelighed lagres disse nøgler tæt på de data, de krypterer. DEK'erne krypteres med (eller „indpakkes“ af) en nøglekrypteringsnøgle (KEK). Se https://cloud.google.com/security/#dataencryption for flere oplysninger.

Hvilke procedurer følger Ideanote for adgangskodehåndtering?

Krypteringsnøgler til kundedata i hvile administreres af vores cloududbyder, Google. Du kan finde yderligere oplysninger om Googles procedurer for nøgleadministration her:https://cloud.google.com/kms/. Vi bruger offentlige/private nøgler til at sikre adgangen til kodelagre. Nøgler, der bruges af medarbejdere, genereres individuelt af Ideanotes medarbejdere og gemmes på lokale maskiner). Adgang til kodelagrene kan tildeles eller tilbagekaldes af ledende medarbejdere inden for teknik.

Er kundernes adgangskoder krypteret?

Ja. Adgangskoder hashes ved hjælp af den brancheanerkendte kryptografiske algoritme Blowfish-blokchiffer, som er en adaptiv hashfunktion baseret på en teknik kaldet key stretching, der anbefales af NIST.

Hvilke adgangskodekrav gælder for Ideanotes virksomhedskunder?

Vi bruger Google G-Suite som vores virksomhedsplatform til single sign-on. Denne applikation styrer vores adgang til de forskellige applikationer, som Ideanote bruger. Ideanote bruger multifaktorautentificering for at få adgang til systemet. Hvad angår adgangskodepolitikken specifikt, er den fastsat således: (a) adgangskoder skal være på mindst 8 tegn; (b) de skal indeholde små bogstaver, og de må ikke indeholde en del af brugernavnet; og (c) brugere låses ude efter 10 mislykkede loginforsøg. Hvis du vil vide mere om sikkerheden i G-Suite som identitetsudbyder, kan du se static.googleusercontent.com/media/gsuite.google.com/en/security/g-suite-security-ebook.pdf

HR- og virksomhedspolitikker

Foretager Ideanote baggrundstjek af sine medarbejdere?

Vi foretager baggrundstjek af alle nyansatte medarbejdere og entreprenører, der skal arbejde på et af Ideanotes kontorer, inden de begynder hos virksomheden. Derudover underskriver alle medarbejdere fortrolighedsaftaler for at beskytte kundeoplysninger.

Underleverer Ideanote nogen af sine tjenester?

Ideanote benytter tredjepartsleverandører til at levere vores tjenester, herunder Google Cloud Platform til permanent opbevaring af kundedata. Ideanote benytter desuden leverandører til at overvåge vores tjenesters ydeevne og til kommunikationsformål, efter at de er blevet vurderet og har underskrevet de relevante kontraktmæssige databeskyttelsesforpligtelser. I forbindelse med vores overholdelse af GDPR offentliggør vi den fulde liste over vores underdatabehandlere på ideanote.io/term#sub-processors.

GDPR

Behandler Ideanote personoplysninger?

Ideanotes kunder kan tilpasse og bestemme, hvilke oplysninger der sendes til vores database, med visse begrænsninger som fastsat i vores aftale med en kunde. Dette kan omfatte personoplysninger, men om der sendes personoplysninger, afgøres i sidste ende af kunden og kundens beslutninger om, hvilke data der sendes til Ideanote med henblik på behandling.

Er Ideanote dataansvarlig eller databehandler?

Når kunder sender data til Ideanote-platformen, er Ideanote databehandler som defineret i GDPR med henblik på de leverede tjenester; kunden er dataansvarlig.

Ja. Du kan finde flere oplysninger i Ideanotes databehandleraftale på ideanote.io/legal/dpa

Ja, vi har indgået skriftlige databehandleraftaler (”DPA”) med alle vores underdatabehandlere. Ideanote pålægger hver underdatabehandler databeskyttelsesvilkår vedrørende deres sikkerhedsforanstaltninger og gældende regler for beskyttelse af personoplysninger. Inden vi engagerer en underdatabehandler, foretager vi en omfattende due diligence, herunder en detaljeret sikkerhedsmæssig og juridisk analyse. Vi engagerer ikke en underdatabehandler, medmindre vores kvalitetsstandarder er opfyldt.

Revision

Gennemfører Ideanote regelmæssige sikkerhedsrevisioner?

Vi udfører regelmæssige, automatiserede sårbarhedsscanninger af vores eksterne og interne netværk. Derudover er sikkerhedsgennemgang en integreret del af vores udviklingslivscyklus og indgår i vores design-, implementerings- og testprocesser.

Logger Ideanote hændelser med et revisionsspor?

Adgangen til revisionssporet er begrænset til vores udviklingsteam, men det kan ikke ændres. Registreringer i revisionssporet opbevares i mindst 1 år. Ideanote logger automatisk aktiviteter udført af udviklingsteamet og alle brugere af tjenesten, efterhånden som de finder sted, ved hjælp af Googles indbyggede StackDriver-overvågning af revisionslogning. Alle logfiler forbliver uforanderlige, tidssynkroniserede, filtrerbare og eksporterbare. Vi samarbejder med kunder på Enterprise-abonnementet om at besvare forespørgsler om revisionssporet og imødekomme rimelige anmodninger om eksport af revisionssporet rettidigt.

Håndtering af trusler og sårbarheder

Har Ideanote installeret antimalwareprogrammer?

Vores produktionsservere kører Linux, hvor vi opnår sikkerhed ved at køre alle vores tjenester i sandkassebeskyttede containere, som udskiftes fuldstændigt ved hver udrulning. Dette forhindrer malware i at etablere et vedvarende fodfæste og sikrer, at tidsrummet, hvor malware kan forblive resident i hukommelsen, er minimalt. Efter vores vurdering er denne tilgang mere robust end at basere sig på en reaktiv tilgang til at forhindre kompromittering som følge af malware.

Hvordan fungerer kontoadministration hos Ideanote?

Ideanote-tjenesten har 4 sikkerhedsniveauer for konti: ejer, administrator, medlem og gæst. Ejerkontoen (én pr. arbejdsområde) har fuld adgang til alle indstillinger for arbejdsområdet og fakturering. Administratorer har fuld adgang til at oprette og slette indhold, missioner og teams samt invitere personer og administrere medlemsroller. Medlemmer og gæster kan oprette indhold ud fra de adgangsniveauer, som administratorerne har tildelt.

Opbevares mine data privat?

Når du gør krav på et Ideanote-arbejdsområde, er det dit og kun dit. Adgangen til datalageret er begrænset til nogle få udvalgte for at opretholde et højt sikkerhedsniveau og minimere risikoen.

Når en kunde støder på en fejl eller en bug, beder vi enten om direkte adgang til det pågældende arbejdsområde, bruger skærmdelingssoftware eller udfører ganske enkelt tests i et udviklingsmiljø. Du behøver aldrig at give adgang til noget, hvis du ikke ønsker det. Så enkelt er det. Data opbevares i et meget sikkert miljø, som kun kan tilgås med 2FA. Ideanote vil aldrig, uanset årsag eller omstændigheder, sælge dine data til tredjeparter.

Får Ideanotes medarbejdere adgang til eller bruger de kundedata eller -indhold?

Ideanote ejer, kontrollerer eller styrer ikke brugen af data, som vores kunder lagrer eller behandler, når de bruger vores tjeneste. Dette omfatter adgang til, hentning af og direkte brug af sådanne data. Vi er generelt ikke bekendt med, hvad der lagres eller på anden måde gøres tilgængeligt internt i et arbejdsområde.

Ejerskabet af indholdet forbliver hos kunden og dennes brugere. Som beskrevet i vores servicevilkår har Ideanote og dets medarbejdere på intet tidspunkt tilladelse til at se kundens indhold, medmindre kunden udtrykkeligt giver samtykke til dette med henblik på gyldig support, eller hvis vi er forpligtet hertil ved lov eller en gyldig juridisk anmodning eller myndighedsanmodning. Vi må på intet tidspunkt bruge kundens indhold til egne formål.

Ideanotes medarbejdere, såsom vores supportmedarbejdere, har som udgangspunkt ikke adgang til kundens arbejdsområde. Medarbejdere får kun adgang til arbejdsområder på grundlag af gyldige og hastende supportanmodninger, og de oplæres i korrekt adgangshåndtering. Adgangen overvåges for at forhindre misbrug.

Selvom der ikke opnås adgang til kundens indhold, indsamles og anvendes generaliserede kundedata i form af hændelser og brugsstatistikker med henblik på generelle forbedringer af brugeroplevelsen og produktfeedback. Direkte produktfeedback, som gives til kundesupportmedarbejdere, betragtes ikke som kundens indhold og kan også bruges til at forbedre vores tjenester.

Hændelseshåndtering hos Ideanote

I tilfælde af et sikkerhedsbrud underretter Ideanote dig om enhver uautoriseret adgang til dine kundedata inden for 72 timer efter, at vi først er blevet opmærksomme på bruddet. Selvom det er meget usandsynligt, at en sådan hændelse indtræffer, har vi grundige politikker og procedurer for hændelseshåndtering, så vi kan håndtere den med størst mulig omhu og effektivitet. Som led i vores overholdelse af GDPR skal vi også indberette en sådan hændelse til de ansvarlige lokale myndigheder, Datatilsynet.

Hvor længe opbevares data?

Vi opbevarer alle data i op til 10 år, medmindre din konto slettes. I så fald sletter vi alle data i overensstemmelse med vores servicevilkår og privatlivspolitik inden for 60 dage. Oplysninger om juridiske transaktioner mellem kunder og Ideanote opbevares i op til 10 år.