Sikkerhed & compliance
Sikkerhed er en egenskab ved, hvordan et system bygges og drives.
Protocore bygger softwarelaget til betalings-, AI- og blockchainsystemer. Her fortæller vi klart, hvordan vi håndterer data, hvordan softwaren drives, og hvor den regulerede grænse går — ingen badges at vifte med, bare den praksis, vi bygger efter.
Data & privatliv
Vi indsamler det, et flow har brug for, og ikke mere.
De systemer, vi bygger, er designet omkring dataminimering: hvert flow indhenter kun de felter, det skal bruge for at gøre sit arbejde, og gemmer dem kun så længe, der er brug for dem. Hvor vi hoster, hoster vi i EU — produktion kører i AWS eu-central-1, Frankfurt — og vi bygger i tråd med GDPR-praksis: et lovligt grundlag for det, der behandles, opfyldelse af anmodninger om indsigt og sletning, og personoplysninger holdes som standard ude af logs og analytics.
- 01Dataminimering som standard
- 02EU-hosting — AWS eu-central-1 (Frankfurt)
- 03GDPR-tilpasset håndtering: lovligt grundlag, indsigt, sletning
- 04Personoplysninger holdes ude af logs og analytics
Sådan drives det
Adgang efter mindste privilegium og privilegerede handlinger, der kræver en begrundelse.
Den software, vi leverer, er instrumenteret fra første commit — logs, metrics og traces — så det, der sker i produktion, er synligt og ikke gætværk. Adgang følger princippet om mindste privilegium: alle aktører, mennesker som services, får den snævreste tilladelse, der gør det muligt at udføre deres opgave. Følsomme operatørhandlinger beder om en begrundelse, før de udføres, og efterlader et revisionsspor over, hvem der gjorde hvad, hvornår og hvorfor. Det er modellen bag Protocore Center, vores operatørkonsol — den samme praksis, som vi bygger ind i ethvert system.
- 01Instrumenteret som standard — logs, metrics, traces
- 02Mindste privilegium for alle aktører, mennesker som services
- 03Privilegerede handlinger kræver en begrundelse
- 04Et revisionsspor over, hvem der gjorde hvad, hvornår og hvorfor
Ansvarsadskillelse
Vi bygger softwaren. Den regulerede grænse forbliver hos licensen.
Et betalingsprodukt er to ting smeltet sammen: den regulerede tilladelse til at opbevare eller flytte penge og softwaren, der instruerer, afstemmer og viser det. Protocore bygger softwaren. Den regulerede aktivitet — at opbevare midler, udstede konti, flytte penge — ligger hos operatørens egen licens eller en licenseret partner: en bank, en EMI eller et betalingsinstitut. Vi bygger flowene, så de passer til de regulerede skinner, du selv medbringer; vi er ikke en erstatning for den tilladelse, og det er ingen software.
- 01Protocore bygger softwaren, ikke licensen
- 02Reguleret aktivitet ligger hos operatøren eller en licenseret partner
- 03Kortdata håndteres, så de aldrig rører dine servere
- 04Stærk kundeautentifikation indbygget i betalingsflowet
Praksis
Vanerne bag et system, du kan stole på.
Konkret praksis, vi bygger ind — beskrevet som mekanik, ikke som badges.
Kortdata væk fra dine servere
Kortoplysninger håndteres af betalingsskinnen og tokeniseres, så rå kortnumre aldrig rører operatørens egen infrastruktur.
Stærk kundeautentifikation
SCA er indbygget i betalings- og login-flows — en anden faktor, hvor skinnen eller risikoen kræver det, ikke boltet på bagefter.
Krypteret under transport
Trafikken kører over TLS fra ende til anden; hemmeligheder og legitimationsoplysninger ligger i administrerede stores og instansroller, aldrig i kildekoden.
Isoleret pr. tenant
Hvor ét system betjener mange operatører, adskilles hver tenants data via adgangskontrol, så en tenant aldrig kan læse en andens.
Ansvarlig offentliggørelse
Fundet noget? Fortæl os det.
Hvis du mener at have fundet en sikkerhedsfejl i et Protocore-system, så skriv til os, så løser vi det sammen med dig. Vi bestræber os på at bekræfte henvendelser hurtigt, holde dig opdateret undervejs og nævne dig, hvis du ønsker det, når sagen er løst. Giv os et rimeligt tidsrum til at udbedre fejlen, før den offentliggøres, og undgå at tilgå eller ændre data, der ikke er dine, under testen.
Skriv til security@protocore.io med, hvad du har fundet, og hvordan det kan genskabes.
Vi bekræfter modtagelsen og går i gang med at undersøge sagen, som regel inden for et par hverdage.
Vi udbedrer fejlen og holder dig opdateret om fremdriften helt frem til en løsning.
Med dit samtykke nævner vi dig, når sagen er løst.
Spørgsmål
Sikkerhedsspørgsmål, vi får først.
Vi beskriver vores sikkerhed som praksis, ikke som badges. Protocore bygger softwarelaget; hvor en reguleret ordning gælder — fx korthåndtering — ligger den certificerede grænse hos betalingsskinnen eller operatørens licenserede partner, og vi bygger, så kortdata aldrig rører dine servere. Hvis en bestemt attestering er vigtig for dit program, så sig til, så kortlægger vi, hvem der har hvad.
I EU. Produktion kører i AWS eu-central-1 (Frankfurt). Vi bygger i tråd med GDPR-praksis — dataminimering, et lovligt grundlag for behandling og opfyldelse af anmodninger om indsigt og sletning.
Licensen. Protocore bygger softwaren, der instruerer og afstemmer pengebevægelser; opbevaring og flytning af midler ligger hos din egen licens eller en licenseret partner — en bank, en EMI eller et betalingsinstitut. Ingen software kan erstatte den tilladelse.
Mindste privilegium for alle aktører og privilegerede handlinger, der kræver en begrundelse og efterlader et revisionsspor. Alt er instrumenteret, så hvem der gjorde hvad, er dokumenteret frem for rekonstrueret.
Skriv til security@protocore.io. Vi bekræfter hurtigt, holder dig opdateret undervejs og nævner dig, hvis du ønsker det, når sagen er løst.
Har du et sikkerhedsspørgsmål, vi ikke har dækket?
Fortæl os, hvad du har brug for at se. Vi svarer konkret — arkitektur, dataflows og hvem der har hvilken grænse.