Sikkerhed hos Viti

Alle applikationsdata hostes på Microsoft Azure i Sweden Central, og modelinferens kører udelukkende gennem EU-behandlingsruter. Førsteparts-endpoints, der behandler uden for EU, udelukkes fra kataloget ved validering — i kode.

Persondata findes og erstattes med reversible pladsholdere, før en forespørgsel forlader vores infrastruktur på vej mod en modelleverandør, og gendannes på vejen tilbage. Pladsholder-hvælvet lever kun i hukommelsen, så længe en enkelt forespørgsel varer, og gemmes aldrig. Hvis privatlivstjenesten er utilgængelig, afvises de berørte forespørgsler i stedet for at blive sendt videre ubeskyttet.

Hver lejers data adskilles med row-level security i PostgreSQL, håndhævet af databasen selv og ikke kun af applikationskoden. Uploadede filer ligger i privat lager under lejer-præfiksede nøgler.

Al trafik er krypteret under transport med TLS — mellem dig og Viti og mellem Viti og hver leverandør. Data i hvile krypteres af de underliggende Azure-tjenester.

Leverandørers API-nøgler og andre hemmeligheder opbevares i Azure Key Vault og slås op ved kørsel. De committes aldrig til kildekode eller konfigurationsfiler.

Har du fundet en sårbarhed? Skriv til security@viti.fo. Vi kvitterer for indberetninger inden for to arbejdsdage og retsforfølger ikke forskning i god tro.

Viti har i dag hverken ISO 27001- eller SOC 2-certificering, og vi vil ikke antyde andet. Det, vi offentliggør her, er det, der faktisk er bygget og håndhævet.