- Spire
- Sikkerhet
Sikkerhet
Bygget for å bli revidert
Dataene som går gjennom Spire handler om ekte selskaper og ekte mennesker. Denne siden beskriver hva vi gjør for å beskytte dem, hva du kan be om dokumentasjon på, og hvordan du sier fra hvis du finner noe.
ISO 27001
Sertifisert styringssystem for informasjonssikkerhet siden 2024, revidert årlig av akkreditert tredjepart. Sertifikatet kan deles med kunder under NDA.
To datasentre i Norge
All lagring og prosessering i to geografisk adskilte datasentre i Norge, aktivt-aktivt. Ingen data forlater EØS, heller ikke for støtteverktøy, logging eller backup.
Kryptering
TLS 1.3 for all trafikk, AES-256 for data i ro, nøkler i HSM. Signerte dokumenter kan krypteres med kundeeid nøkkel på Enterprise.
Tilgangskontroll
Minst mulig tilgang for alle ansatte. Produksjonstilgang krever godkjenning, er tidsbegrenset og logges. Ingen har stående tilgang til kundedata.
Revisjonsspor
Hvert API-kall har en Spire-Request-Id som kan slås opp i 13 måneder. All administrativ tilgang logges uforanderlig. Eksport til kundens SIEM på Skala og Enterprise.
Overvåking og respons
Døgnbemannet vakt for driftshendelser. Sikkerhetshendelser varsles berørte kunder innen 24 timer, Datatilsynet innen 72 der loven krever det.
Sikker utvikling
Kodegjennomgang på alt, statisk analyse og avhengighetsskanning i hver utrulling, årlig penetrasjonstest av ekstern leverandør med rapport tilgjengelig under NDA.
Ansatte
Bakgrunnssjekk ved ansettelse, sikkerhetsopplæring hvert halvår, og alle i ledelsen har én dag i supportkøen i måneden for å kjenne risikoene i praksis.
Data
Hva vi lagrer, og hvor lenge
| Data | Lagres | Hvorfor |
|---|---|---|
| API-logg (metadata, maskert kropp) | 13 måneder | Feilsøking, revisjon, fakturagrunnlag |
| Fakturaer og kreditnotaer | 10 år | Bokføringsloven, for deg og for oss |
| Signerte dokumenter | Som du velger, 0–3650 dager | Ditt arkiv. Signaturbevis uten dokument i 10 år. |
| Meldinger (SMS, e-post) | Innhold 7 dager, metadata 30 dager | Leveringsrapport og feilsøking |
| Webhook-leveranser | 7 dager til 13 måneder etter plan | Feilsøking og ny sending |
| Oppslag du har gjort | Lagres ikke utover API-loggen | Vi bygger ikke profiler av hvem som slår opp hvem |
| Sikkerhetskopier | 35 dager, kryptert, i Norge | Gjenoppretting |
Dokumentasjon
Hva du kan be om
Kunder på alle planer kan be om dokumentene under. Noen krever signert konfidensialitetsavtale, som vi sender med Signering.
- ISO 27001-sertifikat og erklæring om omfang
- Siste penetrasjonstestrapport (sammendrag åpent, full rapport under NDA)
- Databehandleravtale, standard eller tilpasset på Enterprise
- Liste over underleverandører med land og formål
- Beredskapsplan og resultat fra siste gjenopprettingstest
- Utfylt sikkerhetsspørreskjema (vi har svar klare for de vanligste)
Ansvarlig avsløring
Fant du en sårbarhet?
Takk for at du sier fra. Send en beskrivelse via kontaktskjemaet med emnet «Sikkerhet», eller kryptert med PGP-nøkkelen under. Vi bekrefter mottak innen én virkedag, holder deg oppdatert underveis og sier fra når det er rettet.
Vi lover å ikke forfølge rettslig den som tester i god tro, innenfor disse rammene: ingen tilgang til andres data utover det som trengs for å vise problemet, ingen tjenestenekt, ingen sosial manipulering av ansatte, og ingen publisering før vi har rettet (vi sikter på 90 dager). Vi betaler for alvorlige funn; beløpet avhenger av alvorlighet og settes etter dialog.
8F3K 2M9Q 4X7V 1N5B C0DE 0000 FAKE 0000 (fiktiv nøkkel: Spire er et eksempelselskap)Spørsmål om sikkerhet?
Sikkerhetsteamet svarer på tekniske spørsmål, hjelper med spørreskjemaer og deltar i kundens risikovurdering når det trengs.