Isolasjon per tenant
Hver kundes data holdes isolert fra andre kunders. Kunden identifiseres ut fra innloggingen, aldri ut fra noe som kan oppgis i en forespørsel, og tilgang til data begrenses på lagringsnivå per tenant.
Kryptering
Data krypteres under overføring med TLS og i ro i lagringen, med nøkler som Azure-plattformen håndterer. Tjenestens egne hemmeligheter oppbevares i Azure Key Vault.
Hvor data lagres og behandles
Qimbas™ lagrer kundedata innenfor EU. KI-modellen som Qimbas™ bruker i analysen, kjøres som standard av en leverandør som kan behandle og lagre opplysningene utenfor EU/EØS. Kunder som krever at analysen skjer innenfor EU, kan velge det, og da kjøres også KI-modellen innenfor EU. Ytterligere to leverandører kan få tilgang til opplysninger fra steder utenfor EU/EØS: Cloudflare, som formidler og dekrypterer trafikken til tjenesten i sitt nettverk, og Microsoft, der tjenesten driftes, og som i begrensede tilfeller får tilgang til den fra steder utenfor EU/EØS for brukerstøtte og sikkerhetsarbeid. Hvilke leverandører det er, hvor behandlingen skjer og hvilket overføringsgrunnlag som gjelder, står på siden Underdatabehandlere. Utover dette overfører vi ikke kundedata utenfor EU/EØS uten kundens dokumenterte instruks.
Minste nødvendige tilgang
Kunden kobler til kildene sine gjennom en egen appregistrering i sitt eget miljø og velger selv hvilke kilder som kobles til. Tjenesten ber bare om de lesetilgangene som kreves for de valgte kildene, og kunden kan når som helst se og trekke dem tilbake i sitt eget miljø.
Sporbarhet
Tilgang til systemer som behandler kundedata, logges. Analyser i Qimbas™ oppgir hvilke kilder og tidsvinduer de bygger på, slik at resultatet kan etterprøves.
Rapportere en sårbarhet
Har dere funnet en sårbarhet i Qimbas™ eller på dette nettstedet? Send e-post til security@creedcon.se. Beskriv hva dere har funnet og hvordan det kan gjenskapes. Vi bekrefter mottak innen to virkedager og holder dere informert om tiltakene. Vi ber dere om ikke å utnytte sårbarheten mer enn det som trengs for å vise den, og ikke å skaffe dere tilgang til andre kunders data. Opplysningene finnes også i maskinlesbar form på /.well-known/security.txt.