Sikkerhed hos DPP Host
Senest gennemgået 30. september 2026
DPP Host drives af Qubites ApS i Danmark. Her kan du læse, hvad vi gør for at beskytte produktpas og kundedata, og hvor vi står på hver enkelt kontrol i ISO/IEC 27002:2022.
Vores status
DPP Host er ikke certificeret efter ISO/IEC 27001.
Vi har selv vurderet vores kontroller op imod de 93 kontroller i ISO/IEC 27002:2022 og gennemgået resultatet den 30. september 2026. Ingen auditor har kontrolleret vurderingen. Alle kontroller og deres status står nedenfor.
- 28 På plads Fungerer i dag, og vi kan dokumentere det.
- 53 Delvist En del af den fungerer. Resten er beskrevet og har en ansvarlig.
- 7 Planlagt Har en ansvarlig og en udløsende hændelse. Intet fungerer endnu.
- 5 Ikke relevant Gælder ikke for DPP Host. Begrundelsen er dokumenteret.
Det gør vi
Hvor dine data opbevares
Databasen, login-tjenesten og serverfunktionerne kører i Frankfurt (EU). Udgivne produktpas, billeder og leverandørfiler opbevares i Cloudflare R2 under EU-jurisdiktion. Nogle data behandles uden for EU. Cloudflare leverer fx siderne fra det datacenter, der ligger nærmest den besøgende, Resend opbevarer kopier af de e-mails, vi sender, i 30 dage i USA, og forbindelser til AI-apps opbevares i Cloudflare Workers KV, som ikke er begrænset til EU.
Hvem kan se hvad
Alle tabeller i databasen har adgangsregler på rækkeniveau. Medlemmer af én organisation kan ikke læse en anden organisations data. Den offentlige nøgle, som websitet bruger, kan hverken læse eller skrive i nogen tabel. Data fra ejerservice holdes adskilt fra produktpassene og når aldrig de offentlige kopier.
Ingen udgivelse uden et menneske
En AI-assistent eller en integration kan forberede et produktpas. En person i din organisation godkender det efter at have logget ind igen. Kun en API-nøgle, som en administrator har givet ret til at udgive, kan udgive på egen hånd.
API-nøgler
API-nøgler vises én gang og gemmes kun som nøglebaserede hashes. De udløber, kan udskiftes med en overlapsperiode og holder op med at virke, når den, der oprettede dem, forlader organisationen.
Under overførsel og i hvile
Alle forbindelser bruger TLS med HSTS. Websitet, dashboardet og passiderne sender en Content Security Policy. Data i hvile krypteres af vores udbydere.
Sikkerhedskopier og kontinuitet
Udgivne produktpas vises fra en statisk kopi, som er tilgængelig, også når dashboardet eller databasen er nede. Hvert udgivet produktpas kopieres hver nat til et separat lager i EU. Vores mål er at genskabe udgivne produktpas inden for 8 timer med højst 24 timers datatab. Udgivne produktpas forbliver online i 10 til 15 år fra udgivelsen, og en skriftlig plan for afvikling beskriver, hvordan de forbliver online, hvis DPP Host lukker.
Integritet
Hver udgivet version har en indholdshash med et uafhængigt tidsstempel. Alle kan kontrollere, at den ikke er ændret.
Sikkerhedshændelser
Vi har en skriftlig procedure for sikkerhedshændelser og brud på persondatasikkerheden. Den dækker pligten til at anmelde brud inden for 72 timer efter databeskyttelsesforordningen og mekanismen for anmeldelse og aktion efter forordningen om digitale tjenester.
De 93 kontroller
ISO/IEC 27002:2022 indeholder 93 kontroller i fire grupper. Hver række viser kontrollens nummer, dens titel i standarden og vores status pr. 30. september 2026. Hvad vi gør for hver kontrol, og hvor, forbliver internt; det kan udleveres under en fortrolighedsaftale (NDA).
5 Organisatoriske kontroller
37 kontroller: 14 på plads, 21 delvist, 2 planlagt, 0 ikke relevant.
| Nr. | Kontrol | Status |
|---|---|---|
| 5.1 | Politikker for informationssikkerhed | Delvist |
| 5.2 | Roller og ansvarsområder | På plads |
| 5.3 | Funktionsadskillelse | Delvist |
| 5.4 | Ledelsens ansvar | På plads |
| 5.5 | Kontakt med myndigheder | Delvist |
| 5.6 | Kontakt med særlige interessegrupper | Delvist |
| 5.7 | Trusselsefterretninger | Delvist |
| 5.8 | Informationssikkerhed i projektledelse | På plads |
| 5.9 | Fortegnelse over information og andre tilknyttede aktiver | På plads |
| 5.10 | Acceptabel brug af information og andre tilknyttede aktiver | På plads |
| 5.11 | Returnering af aktiver | Planlagt |
| 5.12 | Klassifikation af information | På plads |
| 5.13 | Mærkning af information | Delvist |
| 5.14 | Overførsel af information | På plads |
| 5.15 | Adgangsstyring | På plads |
| 5.16 | Identitetsstyring | På plads |
| 5.17 | Autentifikationsinformation | Delvist |
| 5.18 | Adgangsrettigheder | Delvist |
| 5.19 | Informationssikkerhed i leverandørforhold | Delvist |
| 5.20 | Håndtering af informationssikkerhed i leverandøraftaler | Delvist |
| 5.21 | Styring af informationssikkerhed i IKT-forsyningskæden | Delvist |
| 5.22 | Overvågning, gennemgang og ændringsstyring af leverandørydelser | Delvist |
| 5.23 | Informationssikkerhed ved brug af cloudtjenester | På plads |
| 5.24 | Planlægning og forberedelse af håndtering af hændelser | Delvist |
| 5.25 | Vurdering af og beslutning om informationssikkerhedshændelser | På plads |
| 5.26 | Reaktion på informationssikkerhedshændelser | Delvist |
| 5.27 | Læring fra hændelser | På plads |
| 5.28 | Indsamling af beviser | Delvist |
| 5.29 | Informationssikkerhed under driftsforstyrrelser | Delvist |
| 5.30 | IKT-parathed til forretningskontinuitet | Delvist |
| 5.31 | Juridiske, lovbestemte, regulatoriske og kontraktlige krav | Delvist |
| 5.32 | Immaterielle rettigheder | På plads |
| 5.33 | Beskyttelse af registreringer | Delvist |
| 5.34 | Privatlivets fred og beskyttelse af personoplysninger | Delvist |
| 5.35 | Uafhængig gennemgang af informationssikkerheden | Planlagt |
| 5.36 | Overholdelse af politikker, regler og standarder | Delvist |
| 5.37 | Dokumenterede driftsprocedurer | På plads |
6 Personrelaterede kontroller
8 kontroller: 0 på plads, 3 delvist, 5 planlagt, 0 ikke relevant.
| Nr. | Kontrol | Status |
|---|---|---|
| 6.1 | Screening | Planlagt |
| 6.2 | Ansættelsesvilkår | Planlagt |
| 6.3 | Bevidsthed om samt uddannelse og træning i informationssikkerhed | Delvist |
| 6.4 | Disciplinær proces | Planlagt |
| 6.5 | Ansvar efter ansættelsens ophør eller ændring | Planlagt |
| 6.6 | Fortroligheds- eller hemmeligholdelsesaftaler | Planlagt |
| 6.7 | Fjernarbejde | Delvist |
| 6.8 | Rapportering af informationssikkerhedshændelser | Delvist |
7 Fysiske kontroller
14 kontroller: 0 på plads, 10 delvist, 0 planlagt, 4 ikke relevant.
| Nr. | Kontrol | Status |
|---|---|---|
| 7.1 | Fysisk perimetersikring | Delvist |
| 7.2 | Fysisk adgang | Delvist |
| 7.3 | Sikring af kontorer, lokaler og faciliteter | Delvist |
| 7.4 | Fysisk sikkerhedsovervågning | Ikke relevant |
| 7.5 | Beskyttelse mod fysiske og miljømæssige trusler | Delvist |
| 7.6 | Arbejde i sikre områder | Ikke relevant |
| 7.7 | Ryddeligt skrivebord og blank skærm | Delvist |
| 7.8 | Placering og beskyttelse af udstyr | Delvist |
| 7.9 | Sikring af aktiver uden for organisationens lokaler | Delvist |
| 7.10 | Lagringsmedier | Delvist |
| 7.11 | Forsyningssikkerhed | Ikke relevant |
| 7.12 | Sikring af kabler | Ikke relevant |
| 7.13 | Vedligeholdelse af udstyr | Delvist |
| 7.14 | Sikker bortskaffelse eller genbrug af udstyr | Delvist |
8 Teknologiske kontroller
34 kontroller: 14 på plads, 19 delvist, 0 planlagt, 1 ikke relevant.
| Nr. | Kontrol | Status |
|---|---|---|
| 8.1 | Slutbrugerenheder | Delvist |
| 8.2 | Privilegerede adgangsrettigheder | Delvist |
| 8.3 | Begrænsning af adgang til information | På plads |
| 8.4 | Adgang til kildekode | Delvist |
| 8.5 | Sikker autentifikation | Delvist |
| 8.6 | Kapacitetsstyring | Delvist |
| 8.7 | Beskyttelse mod malware | Delvist |
| 8.8 | Styring af tekniske sårbarheder | Delvist |
| 8.9 | Konfigurationsstyring | På plads |
| 8.10 | Sletning af information | Delvist |
| 8.11 | Datamaskering | På plads |
| 8.12 | Forebyggelse af datalæk | Delvist |
| 8.13 | Sikkerhedskopiering af information | Delvist |
| 8.14 | Redundans i informationsbehandlingsfaciliteter | Delvist |
| 8.15 | Logning | Delvist |
| 8.16 | Overvågningsaktiviteter | Delvist |
| 8.17 | Tidssynkronisering | På plads |
| 8.18 | Brug af privilegerede systemprogrammer | Delvist |
| 8.19 | Installation af software på driftssystemer | På plads |
| 8.20 | Netværkssikkerhed | Delvist |
| 8.21 | Sikkerhed i netværkstjenester | Delvist |
| 8.22 | Opdeling af netværk | På plads |
| 8.23 | Webfiltrering | Ikke relevant |
| 8.24 | Brug af kryptografi | Delvist |
| 8.25 | Sikker udviklingslivscyklus | På plads |
| 8.26 | Sikkerhedskrav til applikationer | På plads |
| 8.27 | Principper for sikker systemarkitektur og systemudvikling | På plads |
| 8.28 | Sikker kodning | På plads |
| 8.29 | Sikkerhedstest under udvikling og godkendelse | På plads |
| 8.30 | Outsourcet udvikling | Delvist |
| 8.31 | Adskillelse af udviklings-, test- og driftsmiljøer | Delvist |
| 8.32 | Ændringsstyring | På plads |
| 8.33 | Testinformation | På plads |
| 8.34 | Beskyttelse af informationssystemer under audittest | På plads |
Leverandører
DPP Host bruger disse leverandører. Certificeringerne er dem, hver leverandør selv oplyser på sin sikkerhedsside. Vi tjekkede dem den 30. september 2026 og tjekker dem igen en gang om året. De dækker leverandøren, ikke DPP Host: Vores egen status står ovenfor.
| Leverandør | Opgave for DPP Host | Certificeringer ifølge leverandøren |
|---|---|---|
| Cloudflare | Edge-netværk, Workers, R2-lager, DNS, videresendelse af e-mail | ISO/IEC 27001, 27701 og 27018; SOC 2 Type II; PCI DSS |
| Supabase | Database, login-tjeneste og serverfunktioner i Frankfurt | ISO/IEC 27001; SOC 2 Type 2; HIPAA |
| GitHub | Kildekode og CI | ISO/IEC 27001; SOC 1 og SOC 2 Type 2 |
| Resend | Afsendelse af e-mails | SOC 2 Type II |
| Scaleway | Eksterne kopier: bygget, slået fra indtil videre | ISO/IEC 27001; HDS |
Dokumenter og certificering
Den fulde anvendelseserklæring (Statement of Applicability) og vores politikker kan fås på anmodning under en fortrolighedsaftale (NDA): hello@dpphost.eu.
Certificering: når en kunde eller EU-reglerne for udbydere af tjenester til digitale produktpas kræver det.
Rapportering af sikkerhedsproblemer: hello@dpphost.eu. Databeskyttelse: privacy@dpphost.eu. Vi offentliggør ingen garanti for oppetid.
Statusserne er gennemgået den 30. september 2026. Siden ændres, når anvendelseserklæringen ændres.