←Tilbage til Tootela

Sikkerhed

Tootela er styresystemet for din virksomhed. Tillid er det eneste, der betyder noget. Sådan fortjener vi den : ærligt, uden at love for meget.

Senest opdateret 2026-07-16
Kort fortalt. Data krypteres under overførsel og i hvile af vores infrastrukturudbydere. Din database ligger i EU (eu-west-3 (Paris, France)). Intet kundeindhold bruges til at træne AI. Fundet en sårbarhed? Skriv til contact@tootela.net.

Tootela drives af Tootela SAS, et fransk selskab. Denne side stilles til rådighed for bekvemmelighedens skyld; i tilfælde af tvist gælder fransk ret, som anført i vores Servicevilkår.

Overblik

Denne side beskriver de sikkerhedsforanstaltninger, som Tootela reelt har på plads i dag : hverken mere eller mindre. Vi er et lille selskab, og vi vælger bevidst at bygge på hærdet, revideret infrastruktur (Vercel, Supabase, Stripe) frem for at drive vores egen. Efterhånden som vi indfører nye foranstaltninger, opdaterer vi denne side.

Kryptering

Under overførsel

Alle forbindelser til Tootela er beskyttet med TLS. Trafik mellem vores applikation og vores database, lagring og tredjepartsudbydere krypteres også under overførsel.

I hvile

Kundedata krypteres i hvile af vores infrastrukturudbydere : database, sikkerhedskopier og objektlagring krypteres på disken af Supabase (på AWS-infrastruktur), med nøgler, der administreres af udbyderen.

Adgangskoder

Autentificeringen håndteres af Supabase Auth (GoTrue). Adgangskoder hashes af Supabase og gemmes eller logges aldrig i klartekst af Tootela.

Autentificering

  • Tofaktorautentificering: tilgængelig for alle brugere via en engangskode sendt på e-mail. Verificerede enheder huskes i 30 dage.
  • Sessionshåndtering: adgangs- og opdateringstokens administreret af Supabase, ugyldiggjort ved log ud.
  • E-mailverificering ved registrering.
  • Google-login (OAuth) tilgængeligt som alternativ til adgangskoder.

Vi tilbyder i øjeblikket ikke SAML-SSO eller autentificering med hardwarenøgle / passkey (WebAuthn). Hvis din organisation har brug for det, så sig til : det hjælper os med at prioritere.

Adgangskontrol

  • Inde i appen: rollebaseret adgangskontrol inden for hvert arbejdsområde og sikkerhed på rækkeniveau i databasen, så et arbejdsområde aldrig kan se et andet arbejdsområdes data.
  • Inde i Tootela: adgang til produktion er begrænset til et meget lille antal autoriserede personer.

Infrastruktur

Tootela kører på en lille, bevidst valgt stak:

  • Applikation: Next.js, udrullet på Vercel. Serverløs, automatisk skaleret, DDoS-beskyttet ved kanten.
  • Database, autentificering, lagring: Supabase. Postgres med sikkerhed på rækkeniveau som den primære tillidsgrænse. Region: eu-west-3 (Paris, France).
  • E-mail: Resend.
  • Betalinger: Stripe. Kortdata rører aldrig vores servere.
  • AI-funktioner: Google Gemini API. Indhold sendes kun, når du bruger en AI-funktion, udelukkende for at generere svaret, og vores aftale med Google forbyder træning på det.

Enhver udbyder, der kan tilgå kundedata, har en skriftlig databehandleraftale, der dækker GDPR. Se listen over underdatabehandlere i vores DPA.

Databehandling

  • Placering: databasen hostes i EU (eu-west-3 (Paris, France)).
  • Sikkerhedskopier: vores databaseudbyder tager automatiske daglige krypterede sikkerhedskopier.
  • Adskillelse af lejere: data fra ét arbejdsområde kan ikke forespørges fra et andet. Håndhæves på databasens rækkeniveau, ikke kun i applikationslaget.
  • Ingen træning på kundedata. Indhold, du lægger i Tootela, bruges aldrig til at træne AI-modeller, hverken vores eller andres.

Udviklingspraksis

  • TypeScript overalt: typekontroller køres før hver udrulning.
  • Håndtering af hemmeligheder: hemmeligheder ligger i Vercels og Supabases miljøvariabler, aldrig i kodebasen.
  • Adskilte miljøer: ændringer udrulles og verificeres i et udviklingsmiljø, før de når produktion.
  • Opdatering af afhængigheder: afhængigheder holdes opdateret og gennemgås, når der offentliggøres sikkerhedsanbefalinger.

Hændelseshåndtering

Hvis en sikkerhedshændelse påvirker dine data, informerer vi dig uden unødig forsinkelse : inden for 48 timer efter, at vi bliver bekendt med den, som vi forpligter os til i vores DPA : om hvad der er sket, hvilke data der var involveret, og hvilke skridt vi tager. Hvor GDPR kræver det, underretter vi CNIL inden for 72 timer. Servicehændelser offentliggøres på vores statusside.

Overholdelse

  • GDPR: Tootela er et fransk selskab; GDPR regulerer, hvordan vi behandler personoplysninger. Se vores Privatlivspolitik og vores DPA.
  • EU-dataplacering: databasen hostes i EU som standard. For underdatabehandlere uden for EU baserer vi os på EU’s standardkontraktbestemmelser (SCC’er) samt supplerende foranstaltninger.
  • Certificeringer: vi har i øjeblikket ikke SOC 2- eller ISO 27001-certificeringer, og vi vil ikke antyde andet. Begge er på vores mere langsigtede køreplan. Vores kerneudbydere offentliggør deres egne certificeringer (Supabase: SOC 2 Type II; Stripe: PCI DSS Level 1).

Hvis dit indkøbsteam har brug for et sikkerhedsspørgeskema, så send det til contact@tootela.net.

Ansvarlig offentliggørelse

Hvis du mener at have fundet en sikkerhedssårbarhed i Tootela, så rapportér den til contact@tootela.net. Medtag nok detaljer til at gengive den og, hvis muligt, et proof of concept. Vi forpligter os til at:

  • Bekræfte din rapport hurtigt, normalt inden for to arbejdsdage
  • Holde dig opdateret om fremdriften i afhjælpningen
  • Kreditere dig (eller holde dig anonym, dit valg), når problemet er løst

Udnyt ikke sårbarheden ud over, hvad der er nødvendigt for at demonstrere den, tilgå ikke data, der ikke er dine, og kør ikke automatiserede scanninger i produktion. At handle i god tro beskytter dig under vores safe harbour-politik.

Uden for omfang: denial-of-service-angreb, social engineering af vores medarbejdere, fysiske angreb, sårbarheder i tredjepartstjenester, vi er afhængige af (rapportér dem til leverandøren).

Spørgsmål?

Kontakt vores sikkerhedsteam på contact@tootela.net.