Säkerhet & compliance
Säkerhet är en egenskap hos hur ett system byggs och drivs.
Protocore bygger mjukvarulagret för betalningar, AI och blockchain-system. Här beskriver vi öppet hur vi hanterar data, hur mjukvaran drivs och var den reglerade gränsen går — inga märken att vifta med, bara den hållning vi bygger efter.
Data & integritet
Vi samlar in det ett flöde behöver, och inget mer.
Systemen vi bygger utformas utifrån dataminimering: varje flöde samlar bara in de fält det behöver för att fylla sin funktion, och sparar dem bara så länge de behövs. Där vi driftar, driftar vi inom EU — produktion körs i AWS eu-central-1, Frankfurt — och vi bygger för att ligga i linje med GDPR-praxis: rättslig grund för all behandling, hantering av begäranden om tillgång och radering, och personuppgifter som som standard hålls utanför loggar och analys.
- 01Dataminimering som standard
- 02Drift inom EU — AWS eu-central-1 (Frankfurt)
- 03GDPR-anpassad hantering: rättslig grund, tillgång, radering
- 04Personuppgifter hålls utanför loggar och analys
Så drivs det
Minsta möjliga behörighet, och privilegierade åtgärder som kräver en orsak.
Mjukvaran vi levererar är instrumenterad från första commit — loggar, mätvärden och traces — så att det som händer i produktion syns i stället för att antas. Åtkomst följer principen om minsta privilegium: varje aktör, människa eller tjänst, får den snävaste behörighet som krävs för uppgiften. Känsliga operatörsåtgärder kräver en orsak innan de körs och lämnar ett revisionsspår över vem som gjorde vad, när och varför. Det är modellen bakom Protocore Center, vår operatörskonsol — samma hållning som vi bygger in i varje system.
- 01Instrumenterat som standard — loggar, mätvärden, traces
- 02Minsta privilegium för varje aktör, människa eller tjänst
- 03Privilegierade åtgärder som kräver en orsak
- 04Ett revisionsspår över vem som gjorde vad, när och varför
Ansvarsfördelning
Vi bygger mjukvaran. Den reglerade gränsen ligger kvar hos licensen.
En betalningsprodukt är två saker i ett: det reglerade tillståndet att hålla eller flytta pengar, och mjukvaran som instruerar, stämmer av och visar det. Protocore bygger mjukvaran. Den reglerade verksamheten — att hålla medel, utfärda konton, flytta pengar — ligger hos operatörens egen licens eller hos en licensierad partner: en bank, ett EMI eller ett betalinstitut. Vi bygger flödena så att de passar de reglerade spår du själv tar med dig; vi ersätter inte det tillståndet, och det gör ingen mjukvara.
- 01Protocore bygger mjukvaran, inte licensen
- 02Reglerad verksamhet ligger hos operatören eller en licensierad partner
- 03Kortdata hanteras så att den aldrig når dina servrar
- 04Stark kundautentisering inbyggd i betalflödet
Arbetssätt
Vanorna bakom ett system du kan lita på.
Konkreta arbetssätt vi bygger in — beskrivna som mekanik, inte som märken.
Kortdata utanför dina servrar
Kortuppgifter hanteras av betalningsspåret och tokeniseras, så att råa kortnummer aldrig når operatörens egen infrastruktur.
Stark kundautentisering
SCA är inbyggt i betal- och inloggningsflöden — en andra faktor där betalningsspåret eller risken kräver det, inte påbyggt i efterhand.
Krypterat under överföring
Trafiken går över TLS hela vägen; hemligheter och autentiseringsuppgifter finns i hanterade valv och instansroller, aldrig i källkoden.
Isolerat per tenant
Där ett system betjänar många operatörer separeras varje tenants data med åtkomstkontroll, så att en tenant aldrig kan läsa en annans.
Ansvarsfull rapportering
Hittat något? Berätta för oss.
Om du tror att du har hittat en säkerhetsbrist i ett Protocore-system, mejla oss så löser vi det tillsammans med dig. Vi strävar efter att bekräfta rapporter snabbt, hålla dig uppdaterad under tiden vi åtgärdar och nämna dig vid namn om du vill när det är löst. Ge oss rimlig tid att åtgärda innan du går ut offentligt, och rör inte data som inte är din egen under testningen.
Mejla security@protocore.io med vad du hittade och hur det kan återskapas.
Vi bekräftar att vi har tagit emot rapporten och börjar undersöka, vanligtvis inom ett par arbetsdagar.
Vi åtgärdar felet och håller dig uppdaterad om framstegen ända fram till lösning.
Med ditt medgivande nämner vi dig när problemet är löst.
Frågor
Säkerhetsfrågor vi får först.
Vi beskriver vår säkerhet som arbetssätt, inte märken. Protocore bygger mjukvarulagret; där ett reglerat regelverk gäller — korthantering, till exempel — ligger den certifierade gränsen hos betalningsspåret eller operatörens licensierade partner, och vi bygger så att kortdata aldrig når dina servrar. Om ett specifikt intyg är viktigt för ditt program, säg till så kartlägger vi vem som ansvarar för vad.
Inom EU. Produktion körs i AWS eu-central-1 (Frankfurt). Vi bygger för att ligga i linje med GDPR-praxis — dataminimering, rättslig grund för behandling och hantering av begäranden om tillgång och radering.
Licensen. Protocore bygger mjukvaran som instruerar och stämmer av penningflöden; att hålla eller flytta medel ligger hos din egen licens eller hos en licensierad partner — en bank, ett EMI eller ett betalinstitut. Ingen mjukvara kan ersätta det tillståndet.
Minsta privilegium för varje aktör, och privilegierade åtgärder som kräver en orsak och lämnar ett revisionsspår. Allt är instrumenterat, så vem som gjorde vad är en dokumenterad uppgift snarare än en rekonstruktion.
Mejla security@protocore.io. Vi bekräftar snabbt, håller dig uppdaterad medan vi åtgärdar och nämner dig vid namn om du vill när det är löst.
Har du en säkerhetsfråga vi inte tagit upp?
Berätta vad du behöver se. Vi svarar med detaljer — arkitektur, dataflöden och vem som ansvarar för vilken gräns.