IT-sikkerhed, databeskyttelse og certificeringer

Vi lægger vægt på adgangskontrol, beskyttelse af data og tydelig ansvarsfordeling mellem JaxiCloud, den underliggende platform, hardwareleverandører og kunden. De konkrete sikkerhedsforanstaltninger afhænger blandt andet af den valgte løsning og opsætning.

Vi dokumenterer, at teknologiudvikleren bag den anvendte platform har et ISO/IEC 27001:2022-certifikat. Det er ikke det samme som en selvstændig ISO-certificering af JaxiCloud. Se certifikatet og dets præcise omfang ovenfor.

ISO 9001 er en international standard for kvalitetsledelse. Den vedrører organisationens processer og løbende forbedringer – ikke en garanti for, at en specifik installation aldrig kan få fejl.

Den anvendte platform understøtter detaljerede adgangsrettigheder, så brugernes adgang kan afgrænses til relevante funktioner og data. De rettigheder, der faktisk gælder, afhænger af kundens konfiguration og administration.

Den underliggende hostingplatform dokumenterer mulighed for tofaktorgodkendelse. Det skal verificeres særskilt, om 2FA er aktiveret og håndhæves for alle relevante brugere, administratorer, servicekonti og integrationsadgange i den konkrete kundeløsning.

Ja, platformen understøtter rettighedsopdeling. Den konkrete adgang til køretøjer, funktioner og afdelinger skal fastlægges i kundens bruger- og rettighedsopsætning.

HTTPS kan anvendes på webadgang til platformen. Kryptering mellem en bestemt GPS-enhed, et køleaggregat, en gateway og eksterne API'er kan variere. Vi beskriver derfor ikke alle dataforbindelser som end-to-end-krypterede uden teknisk dokumentation for den konkrete installation.

Platformen har funktioner til registrering af handlinger og kommandoer. Det betyder ikke automatisk, at enhver ændring i et fysisk aggregat kan dokumenteres med brugeridentitet, tidspunkt og faktisk udført resultat. Det skal kontrolleres for den konkrete integration.

Nogle køleløsninger understøtter fjernbetjening, herunder ændring af temperatur-setpunkter. Om det er muligt i en bestemt installation afhænger af aggregatmodel, integration, aktiverede funktioner og brugerrettigheder.

Adgang til at sende kommandoer kan begrænses i platformen. Om enhedernes egne fjernstyringsfunktioner også kan låses eller frakobles, skal bekræftes for den enkelte hardware- og køleaggregatmodel.

Platformudvikleren beskriver processer for sikker softwareudvikling og sårbarhedshåndtering. Firmwareopdateringer til GPS-enheder, gateways og køleaggregater håndteres efter deres respektive producenters procedurer; signering, udrulning og opdateringshyppighed skal dokumenteres særskilt.

Platformleverandøren beskriver eksterne sikkerhedstests og risikobaseret sikkerhedskontrol. Det beviser ikke, at alle tilsluttede fysiske enheder eller kundespecifikke integrationer er penetrationstestet. Dokumentation kan undersøges ved konkrete sikkerhedskrav.

Den bagvedliggende platformleverandør beskriver etablerede processer for registrering, håndtering og opfølgning på hændelser. Konkrete varslingsfrister, kontaktveje og responstider for en kunde skal fremgå af de relevante aftaler og beredskabsprocedurer.

Platformleverandøren beskriver brug af professionelle datacentre. Den konkrete dataplacering, databehandlerkæde, eventuelle overførsler uden for EU/EØS og gældende slette- og opbevaringsperioder skal bekræftes i den aktuelle databehandlerdokumentation for kundens løsning.

Platformudvikleren oplyser, at databeskyttelse og GDPR indgår i dens processer. For en konkret kunde afhænger lovlig behandling også af formål, behandlingsgrundlag, roller, oplysninger til medarbejdere og de indgåede databehandleraftaler. En ISO-certificering er ikke i sig selv et GDPR-godkendelsesbevis.

En kundespecifik gennemgang kan omfatte brugere, adgangsrettigheder, API-adgang, enhedstyper, kommunikationsveje, fjernkommandoer, logning, databehandlerforhold og leverandørdokumentation. Gennemgangen skal aftales og udføres – den er ikke automatisk omfattet af denne FAQ.

Vi kan hjælpe med at samle offentlig leverandørdokumentation og afklare, hvilke yderligere erklæringer der kan deles. Certifikaternes gyldighed, omfang og eventuelle fortrolige bilag skal kontrolleres med den ansvarlige udsteder eller leverandør.

Ansvar er fordelt mellem softwareplatform, hardware- og aggregatproducenter, integrator, kunde og eventuelle servicepartnere. Et certifikat for softwareudvikleren omfatter ikke automatisk producentens firmware, lokale styring eller tredjepartsnetværk.