Drift
HONESTAS körs på en av två platser, med samma programvara på båda.
- Vårt EU-moln. Datacenter på Irland. Era data lagras och behandlas i Europeiska unionen, och ni väljer var varje typ av data ska sparas: i vårt EU-moln eller i ert eget datacenter.
- Ert eget datacenter. HONESTAS installerat på er egen hårdvara, bakom era egna nätverkskontroller. Uppdateringar levereras som signerade paket som ni godkänner innan de körs.
I båda fallen skrivs förseglade poster till ett arkiv utanför installationen, med en extern tidsstämpel, så att ett intrång i en installation inte kan skriva om dess historik.
Kryptering och nycklar
- Data krypteras under överföring och i vila, med en separat nyckel för varje bolag.
- Ni kan förvara era egna nycklar i er egen nyckelförvaring. Drar ni tillbaka nyckeln kan de data den skyddar inte längre läsas.
- Nycklarna som förseglar poster hålls åtskilda från nycklarna som skyddar data, och är aldrig tillgängliga för de personer som signerar beslut.
- AI-anrop körs via era egna konton och nycklar hos modellleverantören, under era egna avtal. Varje anrop registreras med den nyckel, modell och version som använts.
- Kortnummer når aldrig HONESTAS. Kunder skriver in dem i betalningsleverantörens egna fält.
Isolering
Varje anrop i HONESTAS anger tre saker: vilket bolag det tillhör, vems data det gäller och vilken enhet som frågar. Ett anrop som inte anger alla tre nekas med koden SCOPE_REFUSED, och nekandet registreras.
- Mellan bolag. Varje försäkringsgivare, förmedlare, MGA eller TPA har sitt eget utrymme och sina egna nycklar. I ett delat placeringsrum kontrolleras spärren mellan försäkringsgivare innan varje meddelande skickas.
- Mellan ägare. En TPA eller förmedlare som arbetar för många uppdragsgivare håller varje uppdragsgivares poster under den uppdragsgivarens namn.
- Mellan enheter. Team som utredningsenheten kan avgränsas med informationsspärrar inom ett och samma bolag.
Varje uppladdad fil öppnas i en isolerad testmiljö utan nätverksåtkomst, läses och slängs sedan.
Åtkomst
- Användare loggar in via er egen identitetsleverantör över SAML eller OIDC, där konton hålls synkroniserade via SCIM. Signaturer på beslut använder passkeys på personens egen enhet.
- Roller styr vad varje person får se och göra. Riskfyllda ändringar, som en ny teckningsbehörighet eller en ny modellversion, kräver godkännande från en andra person.
- I en nödsituation kan en administratör ges full åtkomst under en kort tid, medan en andra person övervakar och varje steg registreras.
- Åtkomst för personal på Adverant är begränsad, godkänd och registrerad.
Loggning
Varje inloggning, läsning, ändring, AI-anrop och administratörsåtgärd loggas med vem, vad, när och varifrån. Loggar sparas utanför er installation, kan inte redigeras och behålls under den period ni anger. Ni kan skicka dem till era egna säkerhetsverktyg via händelse-API:et.
Testning
- Oberoende testare testar HONESTAS för sårbarheter. Vi åtgärdar fynd i ordning efter allvarlighetsgrad.
- Varje bygge signeras, och programvaran det innehåller kontrolleras för kända sårbarheter innan det levereras.
- Kontrollerna som nekar beslut, förseglingen och spärrarna mellan bolag testas vid varje ny version.
Incidenter
Om en incident påverkar era data meddelar vi er utsedda säkerhetskontakt utan onödigt dröjsmål och följer planen i ert avtal. Vi ger er en tidslinje från det första larmet och de fakta ni behöver för att uppfylla era egna rapporteringskrav enligt DORA och GDPR.
Rapportera ett problem
Mejla security@honestas.ai. Vänligen inkludera:
- vad ni hittade och var (adress, vy eller komponent);
- stegen för att återskapa det, med eventuell proof-of-concept-kod eller skärmbilder;
- vad en angripare skulle kunna göra med det, som ni ser det;
- hur vi når er, och om ni vill få ett omnämnande.
Skriv gärna på engelska om ni kan. En tydlig rapport är mer användbar än flera korta. Vänligen inkludera inte personuppgifter som ni råkat på; beskriv dem i stället. Vi åtgärdar de allvarligaste problemen först, meddelar er när åtgärden är släppt och kommer överens med er om när detaljerna kan delas.
Vad som omfattas
- honestas.ai och dess underdomäner, inklusive HONESTAS-konsolen;
- HONESTAS så som vi kör det i vårt EU-moln, inklusive inloggning, arkivet och postverifieraren;
- HONESTAS-apparna för iOS och Android, butiks-SDK:et och det publika API:et.
Utanför omfattningen: angrepp mot vår personal (nätfiske, social manipulation), fysiska angrepp, överbelastningsattacker, fynd som kräver en redan komprometterad enhet samt rapporter från automatiserade skannrar utan påvisad effekt. En installation i en kunds eget datacenter tillhör den kunden; vänligen rapportera problem där till såväl dem som till oss.
Regler för säkerhetsforskare
- Använd endast konton och data som är era egna, eller som ni har fått för testning.
- Gör inte mer än vad som krävs för att bevisa problemet. Stanna upp och meddela oss så fort ni når ett annat bolags data.
- Ändra eller radera inte data, försämra inte tjänsten och behåll inte åtkomst längre än nödvändigt.
- Håll detaljerna privata tills vi har kommit överens om ett datum för offentliggörande.
Fredad zon
Om ni agerar i god tro och följer dessa regler kommer vi att behandla er forskning som auktoriserad. Vi kommer inte att vidta rättsliga åtgärder mot er eller anmäla er till myndigheterna för den, och om någon annan gör det kommer vi att klargöra att ni agerade med vårt tillstånd. Detta omfattar inte handlingar som bryter mot lagen på sätt som dessa regler inte kan ge tillstånd till.
Offentliggörande
Vi föredrar att publicera detaljer efter att en åtgärd finns tillgänglig för alla som behöver den. Vi kommer överens om tidpunkten med er, och vi kommer inte att be er att tiga längre än vad som krävs för att skydda våra kunder. Om vi är oense berättar vi varför.
Om ni är kund, rapportera en misstänkt incident via säkerhetskontakten i ert avtal eller via supporten inuti HONESTAS, så att vi kan följa er incidentplan. För information om var era data finns och vilka regelverk vi kartlägger, besök säkerhetscentret.
Senast uppdaterad 23 oktober 2026