Säkerhetsstandarder

På ProcureLabs är säkerhet grundläggande för vår plattform. Den här sidan beskriver de åtgärder som finns på plats för att skydda dina inköpsdata och vad de omfattar respektive inte omfattar.

Efterlevnad av certifieringar

Datakryptering

Infrastruktursäkerhet

• Molninfrastruktur: Hostas på AWS, som innehar SOC 2-, ISO 27001- och PCI DSS-certifieringar. Detta är AWS:s certifieringar, inte ProcureLabs certifieringar.
• Dataisolering: Säkerhet på radnivå är aktiverad för de databastabeller som innehåller kunddata, så att en inloggad användares frågor endast returnerar rader från den egna organisationen. Bakgrundsjobb och administrativa sökvägar som körs med förhöjd databasåtkomst passerar inte genom säkerhet på radnivå; de tillämpar tenant-filtret i applikationskoden.
• Tillgänglighet: En enda AWS-region (Singapore); ingen redundans mellan regioner
• Katastrofåterställning: Databassäkerhetskopior med återställning till en viss tidpunkt, som tillhandahålls av vår databasvärd (Supabase)

Åtkomstkontroll

Säkerhetsövervakning och incidenthantering

• Sårbarhetshantering: Varje merge request skannas efter incheckade hemligheter (Gitleaks) och åtgärdningsbara kritiska sårbarheter i beroenden (Trivy).
• Incidenthantering: Incidenter hanteras av ProcureLabs grundare med hjälp av plattformens handlingsplaner för incidenthantering, och berörda kunder meddelas via e-post.
• Säkerhetsproblem kan rapporteras till vår säkerhetskontakt nedan.

Säkerhet vid AI-databehandling

Våra AI-funktioner är utformade med hänsyn till säkerhet och integritet:

• Behandling hos OpenAI OpenAI stöder chatt, analys och avgränsade Decisions-bedömningar för verktygsval och inköpsunderlag. Med förbehåll för aktuellt kundtillstånd och den överenskomna regionala konfigurationen tar Decisions emot minimerad, maskerad kontext och frågor för det tillåtna ändamålet. OpenAI-API-data används för modellträning endast vid uttryckligt deltagande. Decisions kan behålla krypterat tillstånd i promptcachen i upp till 24 timmar och vanliga loggar för övervakning av missbruk i upp till 30 dagar, med förbehåll för tillämpliga undantag för säkerhet, skydd eller rättsliga krav.
• Tillstånd för Decisions-behandling Decisions-behandling kräver aktuella kundinstruktioner och tillstånd för det specifika ändamålet, kontot, personuppgiftsbiträdet och överföringen till USA. Att stänga av AI eller återkalla den tillämpliga behörigheten förhindrar nya Decisions-förfrågningar. Åtgärder med konsekvenser omfattas fortsatt av nödvändiga skyddsåtgärder och oberoende granskning.
• Lagringen följer tillämplig datakategori, kundinstruktioner, rättsliga bevarandekrav och leverantörsvillkor. Chatthistorik, härlett innehåll, revisionsuppgifter och leverantörsloggar har separata lagringsvillkor. Raderingsbegäranden hanteras enligt personuppgiftsbiträdesavtalet och tillämplig lag.
• Valfria AI-funktioner kan inaktiveras av administratörer
• AI-funktioner kan stängas av för hela organisationen av en administratör eller av varje användare för egen del
• Revisionslogg över beslut om AI-föreslagna åtgärder

Datalagring

All kunddata lagras i en enda region. AI-funktioner behandlar de data de behöver hos AI-leverantörer i USA. Ytterligare lagringsregioner är inte tillgängliga i dag.

Styrning

• Vi har en skriftlig informationssäkerhetspolicy med ett register över våra policyer och rutiner, som granskas minst årligen.
• Vi har en skriftlig uppförandekod som omfattar ärlighet, konfidentialitet och intressekonflikter.
• ProcureLabs har tre grundare. David Hodge, CEO och Director, ansvarar för säkerhet och dataskydd. Granskning av medgrundare och oberoende återställningsarrangemang dokumenteras och verifieras.
• Vi har ett skriftligt riskregister som granskas minst årligen och före betydande förändringar.
• Vi har en skriftlig process för kontroll och granskning av våra underbiträden. Den fysiska säkerheten för servrarna som kör ProcureLabs tillhandahålls av AWS och Supabase; vi driver inga egna datacenter.
• Vi har en skriftlig kontinuitetsplan som granskas minst årligen.
• Vi har en skriftlig rutin för teståterställning av vår databas från säkerhetskopia. En återställningsövning som endast omfattade databasen har slutförts och den tillfälliga kopian har raderats. Fullständig återställning av applikation, autentisering och objektlagring samt oberoende åtkomst för alternativ operatör återstår att verifiera.

Ändringshantering och behandlingsintegritet

• Kodändringar når vår huvudgren via merge requests som måste klara obligatoriska pipelinekontroller, inklusive skanning efter hemligheter, kontroller av databasmigreringar och en kontroll av att säkerhets- och integritetsuttalandena på denna webbplats fortfarande överensstämmer med koden. Produktion distribueras endast från den grenen. Ett automatiserat test misslyckas om en obligatorisk kontroll tas bort eller tillåts misslyckas.
• Kända svagheter i koden registreras i baslinjer och i vårt register över efterlevnadsunderlag. En ändring som lägger till en ny svaghet, exempelvis en felhanterare som tyst ignorerar ett fel eller ett publicerat påstående vars stödjande kod har ändrats, blockeras tills den åtgärdas eller registreras.
• De flesta skrivande slutpunkter i vårt API kontrollerar varje request body mot ett deklarerat schema och avvisar en begäran som inte matchar med ett 400-fel.
• Varje körning av våra detekteringsmotorer registrerar för varje detektor om den slutfördes och hur många resultat den returnerade, eller att den misslyckades. Ett misslyckande registreras som ett misslyckande, aldrig som ”inga fynd”.