Säkerhetspolicy

Syftet med denna policy

CurNext bygger byggplatsintelligens på en industriell IoT- och molnstack. Säkerhet är en del av hur vi designar produkter, driver tjänster och arbetar med kunder - inte ett marknadsföringslager.

• - Ange CurNexts säkerhetsmål och de system som denna policy omfattar.
• - Sammanfatta organisatoriska och tekniska kontrollteman som används i produktion.
• - Förklara förväntningar kring åtkomst, sårbarhetsrapportering och incidenthantering.
• - Var ärlig om certifiering: designanpassning är inte detsamma som en genomförd tredjepartsbedömning.
• - Peka till Säkerhetsarkitektur, DPA, GDPR-policyer, Revisionsspår och Datacenter för mer detalj.

CurNext hävdar inte ISO 27001- eller SOC 2-certifiering för sig själv på offentliga sidor. Standarder som namnges på sidorna Säkerhet och Efterlevnad är designanpassning om de inte bekräftas separat skriftligen.

Omfattning

Denna policy gäller CurNext-drivna system som behandlar eller skyddar kund- och webbplatsdata, inklusive:

• - curnext.app marknadsförings- och dokumentationsytor
• - dash.curnext.app och relaterade produktupplevelser
• - API:er, SDK:er och utvecklarportaler som drivs av CurNext
• - Molnhosting, databaser, säkerhetskopior och observabilitet för produktionsstacken
• - Fält- och byggnadsedgekomponenter när de ansluter till CurNexts molntjänster (CN-FG, CN-BC och relaterade noder enligt dokumentationen på Säkerhet)
• - Personal, entreprenörer och underbiträden som agerar för CurNext på dessa system

Säkerhetsmål

CurNext designar för följande mål över hela produktstacken.

Organisatoriska åtgärder

Person- och processkontroller står sida vid sida med produktutveckling.

Åtkomstkontroll

Åtkomst till CurNexts produktytor är avsiktligt begränsad.

• - Provisionering endast via inbjudan - nya Google- eller e-postinloggningar ansluter inte automatiskt till ett projekt utan inbjudan eller medlemskap.
• - Enligt CurNexts interna policyer onboardar, bjuder vi inte in eller registrerar produktanvändare under 18 år.
• - Rollbaserad åtkomstkontroll (RBAC) avgränsar vad projektmedlemmar kan se och ändra.
• - Privilegierade roller förväntas ha starkare autentisering (MFA) och lämnar tydligare revisionsbevis.
• - Tenantisolering håller organisations- och projektdata avgränsade - inte ett delat offentligt flöde mellan kunder.

Dataskydd och hosting

Person- och platsdata i molnlagret hanteras med GDPR-orienterade kontroller och EU-förankrad produktionshosting som standard.

• - Kärnapplikation och databashosting inriktad på Tyskland / Frankfurt (EU).
• - Kryptering under överföring och i vila för kärnlager.
• - Teman för lagring, export och radering dokumenteras i GDPR-policyer, DPA och Revisionsspår.
• - Cookies på marknadsföringssajten och liknande tekniker täcks av Cookiepolicyn och samtyckeswidgeten.

Sårbarhetsrapportering

Vi föredrar samordnad rapportering. Skicka inte exploitdetaljer till support@ eller gdpr@.

• - Mejla [email protected] med tillräcklig detalj för att återskapa problemet.
• - Ange berörd produktyta (webb, API, firmware, gateway) och ungefärlig tidpunkt.
• - Undvik offentlig disclosure tills vi har haft en rimlig chans att bedöma och åtgärda.
• - Vi bekräftar rapporter och håller rapportörer informerade om väsentliga framsteg när det är lämpligt.

Säkerhetsincidenter och personuppgiftsincidenter

CurNext upprätthåller processer för att upptäcka, bedöma och hantera säkerhetsincidenter som kan påverka Tjänsterna eller personuppgifter.

Underbiträden och infrastruktur

CurNext använder hosting-, e-post-, observabilitets- och valfria AI-leverantörer under avtalsmässiga kontroller.

• - EU-inriktad hosting- och databasinfrastruktur för kärnproduktion.
• - Offentlig sammanfattning av underbiträden på sidan Personuppgiftsbiträdesavtal.
• - Assistansfunktioner med AI, när de är aktiverade, körs under produkt- och avtalskontroller - prediktion av betonghärdning använder en intern TensorFlow.js-modell.
• - Väsentliga ändringar av underbiträden följer den underrättelseprocess som beskrivs i DPA.

Kundens ansvar

Säkerhet är delad. Kunder ansvarar fortfarande för hur de konfigurerar och använder Tjänsterna inom sin organisation.

• - Bjud endast in betrodda medarbetare och ta bort åtkomst när roller ändras.
• - Skydda autentiseringsuppgifter, API-nycklar och MFA-enheter för administratörskonton.
• - Dela inte sårbarhetsdetaljer utanför samordnade rapporteringskanaler.
• - Konfigurera projektbehörigheter och exporter enligt egna policyer och avtal.
• - Rapportera misstänkt kontokompromiss till [email protected] utan dröjsmål.

Ändringar av denna policy

Vi kan uppdatera denna säkerhetspolicy när produkter, hosting eller organisatorisk praxis förändras. Datumet Senast uppdaterad ändras vid väsentliga revisioner. Arkitekturdjupet fortsätter att finnas på sidan Säkerhet.