Säkerhet
GDPR tillåter överföringar utanför EU/EES med rätt rättslig grund och överföringsmekanism. EU-hosting är ett driftsval, inte ett generellt lagkrav. Underbiträdeslistan anger leverantör och datatyp; betalningsuppgifter hanteras separat.
- TLS skyddar överföringen. Känsliga rapportfält och privata bilagor krypteras med AES-256-GCM på servern. Applikationen dekrypterar för behöriga användare och serverbaserad analys; driftpersonal med tillgång till tjänsten och nycklarna kan också dekryptera.
- Vi har ingen ISO 27001-certifiering eller SOC 2-granskning. Vi lämnar ingen generell garanti om NIS 2- eller AI Act-efterlevnad.
- Ljudtillägg – kommer snart. Ljudinspelning och uppladdning av ljudfiler är inte tillgängliga. Skriftlig rapportering och begäran om fysiskt möte ingår. Organisationen ordnar sin muntliga rapporteringsväg och begärda möten enligt tillämplig lag.
Dataväg, nycklar och ansvar
TLS skyddar överföringen. Känsliga rapportfält och privata bilagor krypteras med AES-256-GCM på servern. Applikationen dekrypterar för behöriga användare och serverbaserad analys; driftpersonal med tillgång till tjänsten och nycklarna kan också dekryptera.
Vi har ingen ISO 27001-certifiering eller SOC 2-granskning. Vi lämnar ingen generell garanti om NIS 2- eller AI Act-efterlevnad.
Applikation och databas: Servern finns i Stockholm, Sverige (EU/EES) och drivs av Manpro Invest AB.
| Webbläsare → tjänst | TLS skyddar överföringen. Ljudtillägget kommer snart; ny ljudinspelning och uppladdning av ljudfiler är avstängda. Inga valfria analystjänster laddas på rapporteringssidor. |
|---|---|
| Applikation → databas | Rapporttitel, fritext, rapportörens kontaktuppgifter, chatt, ljud och känsliga ögonblicksbilder krypteras på applikationsnivå. Organisations- och kontouppgifter samt ärendestatus omfattas inte av samma fältkryptering. |
| Bilagor | Privata filer krypteras före skrivning till lagring och dekrypteras efter behörighetskontroll. Publika logotyper omfattas inte. |
| Nycklar och åtkomst | Tjänsten håller nycklarna i Vault och tillför dem som körningshemligheter. Härledda nycklar skiljer databas, filer och backup åt. Rotation kräver att tidigare nycklar behålls tills data och backuper migrerats eller gallrats. Kundägda nycklar erbjuds ännu inte. |
| Backup och återställning | Daglig backup och regelbundna återställningsprov hanteras av driftjobb. Återställning kräver både backup och rätt dekrypteringsnycklar. Databasens fältkryptering ersätter inte kryptering av hela backupfilen. |
| AI-behandling | Text kan dekrypteras för serverbaserad kategorisering på vår egen infrastruktur. Ingen ljudtranskribering eller röstförvrängning erbjuds. |
Vi publicerar inga påståenden om extern penetrationstestning eller formell certifiering utan verifierbart underlag. Begär aktuellt säkerhetsunderlag från supporten.
Verifierat driftunderlag
Kontrollerat 16 oktober 2026: befintligt rapportinnehåll har migrerats till fältkryptering. Dagliga databasbackuper krypteras som hela filer före beständig lagring och kopieras krypterade till separat lagring. Återställningsprov före och efter datamigreringen har lyckats, inklusive läsning av skyddade fält. Backuper gallras efter sju dagar.
Detta är en daterad teknisk kontroll, ingen certifiering eller utfästelse om en viss upptid. Vid en incident utreder Manpro omfattningen, begränsar skadan och informerar berörda personuppgiftsansvariga enligt DPA. Rapportera misstänkta säkerhetsproblem via kontaktvägen nedan utan att skicka ärendeinnehåll i vanlig e-post.
Leverantörernas säkerhetsunderlag
Källkontroll: 20 oktober 2026, Mailjet 22 oktober 2026. Underlagen gäller respektive leverantörs angivna tjänster. De certifierar inte Whistlechannel eller Manpros egen applikations- och databasinfrastruktur.
- Hetzner Online GmbH · Publik trafikproxy i Finland
SOCOTEC:s certifikat ZN-2025-35 V 1.1 för ISO/IEC 27001:2022 omfattar leverantörens hosting och datacenter, inklusive Tuusula i Finland. Angiven giltighet: 27 september 2025–26 september 2028.
- BunnyWay, informacijske storitve d.o.o. (bunny.net) · CDN och DNS
Leverantören uppger ISO 27001-certifiering. Certifikatets aktuella giltighet och omfattning för de tjänster vi använder är ännu inte verifierade.
- Stripe · Abonnemang och fakturering, inget rapportinnehåll
Den offentliga SOC 3-rapport som länkades från Stripe vid kontrollen gäller betalnings- och faktureringssystem för perioden 1 oktober 2024–30 september 2025. Nyare SOC-underlag och eventuella kompletteringar behöver kontrolleras i Stripe Dashboard.
- Mailjet · E-postaviseringar
Mailjet uppger lagring i Tyskland och Belgien samt ISO 27001-certifiering. Detta är leverantörens offentliga uppgifter; certifikatets aktuella omfattning har inte verifierats. Det befintliga kontot och avsändardomänen har kontrollerats utan utskick.
Utformat enligt