Sikkerhed og databeskyttelse

Principper

• Dataminimering: Vi indsamler kun de oplysninger der er nødvendige for cafédrift og skærmtidsstyring.
• EU-hosting: Den primære database og fillagring ligger hos Supabase i Irland. Nogle funktioner bruger leverandører, der kan behandle eller tilgå oplysninger uden for EU; det gælder blandt andet login, push, robotværn, AI-produktbilleder og support.
• Kryptering: Trafik til Flangos backend er krypteret, og database og fillagring er krypteret i hvile. Gaming-PC’ernes indbyrdes overførsel af spilfiler på husets lokale net bruger TCP uden TLS; kommunens IT skal vurdere netværksopsætningen. Kodeord hashes og lagres aldrig i klartekst. Børnenes ekspedient-PIN er derimod læsbar med vilje: den er en symbolsk kvittering ved kassen, ikke en adgangskontrol — køb kræver den ikke, og personalet skal kunne hjælpe et barn der har glemt den.
• Adgang efter behov: Rollebaseret adgangsstyring — hver bruger har kun adgang til de funktioner og data deres rolle kræver.
• Sporbarhed: Væsentlige handlinger i Flango registreres med tidspunkt og aktør. Logning er ikke fuldstændig: almindelige læseopslag, operatørens direkte databaseforespørgsler og visse konfigurationsændringer i super-admin indgår ikke i det varige applikationsspor.
• Ingen kortdata hos Flango: Forældrebetalinger håndteres af en certificeret betalingspartner — Flango ser aldrig kortnumre eller bankoplysninger.

Adgangskontrol

Flango bruger rollebaseret adgangsstyring. De forskellige typer brugere har hver især præcis den adgang de behøver — og ikke mere.

• Personale (admin) logger ind med e-mail og stærk adgangskode fra en enhed, institutionen har godkendt til netop den medarbejder — en ny enhed tages i brug med en engangskode, der udleveres personligt. Fuld adgang til egen institution.
• Børn identificeres ved fornavn eller kontonummer i café-appen. Barnets PIN er en pædagogisk rollemarkering, ikke en adgangskontrol — køb kræver den ikke.
• Forældre logger ind via forældreportalen og ser kun data for egne børn.
• Kommunalt tilsyn kan efter aftale tildeles read-only-konto til konfiguration og driftsstatus — uden adgang til børnedata.
• Support og leverandør har personlig driftsadgang. Super-admin kræver authenticator-kode og personligt godkendt enhed. Væsentlige handlinger gennem Flango logges med de begrænsninger, der er nævnt ovenfor.

Inaktive sessioner udløber automatisk.

Institutionsisolation

Institutionernes data er adskilt i databasen. Adgangen afgøres på serveren ud fra brugerens institution og rettigheder; forældre gives adgang til de børn, der er tilknyttet deres konto. Enhedskrav og MFA er endnu ikke systematisk efterprøvet på alle direkte læseveje efter omlægningen af datamodellen.

Betalingssikkerhed

Forældrebetalinger håndteres af en certificeret betalingspartner. Hver institution har sin egen betalingskonto, så indbetalinger rutes direkte til institutionens konto.

Backup og gendannelse

Databasen sikkerhedskopieres automatisk hver dag. Sikkerhedskopierne er krypteret, adskilt fra de primære systemer og opbevares i et tidsbegrænset retention-vindue, så data kan genskabes efter et nedbrud eller en fejl.

Underbehandlere

Leverandørerne afhænger af de valgte funktioner: hosting, betaling, udgående systemmail, push, Apple- eller Google-login, AI-billeder og robotværn. GitHub hoster de offentlige sider og webapps og leverer PC-opdateringer; Cloudflare Turnstile beskytter også browserlogin til caféen, kommunens flade og super-admin. For hver leverandør skal følgende være dokumenteret:

• Rolle og aftalegrundlag, herunder databehandleraftale efter GDPR art. 28, hvor leverandøren er underdatabehandler
• Datalokationer og grundlag for eventuelle overførsler eller adgang uden for EU
• Vilkår for sikkerhed og underretning ved hændelser

Den fulde liste med navn, formål og grundlag pr. leverandør indgår i databehandleraftalen.

Brug af AI

Flango bruger AI til at generere billeder. Produktikoner i caféens menu laves ud fra varens navn og — hvis personalet vælger det — et foto af madvaren. Derudover kan institutionen vælge at tilbyde en stiliseret AI-avatar som privatlivsvenligt alternativ til et rigtigt profilfoto.

Behandlingen sker hos Microsoft Azure OpenAI i en EU-ressource, hvor data i hvile ligger i EU (Sverige). Produktikoner genereres med Global Standard-inferens, som kan behandle input uden for EU; input er varenavne og eventuelle madfotos uden personoplysninger, og en teknisk ansigtsspærre afviser fotos med ansigter, før noget sendes. Avatarer, der bygger på et barns foto, behandles i Azures EU Data Zone med processering og lagring i EU. Der trænes ikke på det, der sendes ind eller kommer ud. Microsoft kan udvælge og midlertidigt gemme input og output, der flagges eller indgår i et muligt misbrugsmønster. Automatisk kontrol medfører ikke i sig selv lagring. Udvalgt materiale fra EU Data Zone kan gennemgås af autoriserede Microsoft-medarbejdere i EØS. Flango har ikke fået godkendt fravalg af denne kontrol.

AI-avataren er slået fra som udgangspunkt. Den er blokeret på platformniveau, indtil den dataansvarlige tillader den, og kræver derefter, at institutionen aktiverer funktionen, og at forældremyndighedsindehaveren giver samtykke for det enkelte barn. Uden alle tre genereres der intet.

Brud-håndtering

Flango har en etableret beredskabsproces ved sikkerhedshændelser. Institutionen eller kommunen underrettes uden unødig forsinkelse og om muligt senest 24 timer efter Flangos kendskab til et brud. Den første besked afventer ikke en fuld undersøgelse. Den dataansvarlige vurderer, om bruddet skal anmeldes; fristen er som udgangspunkt 72 timer fra den dataansvarliges eget kendskab.

Cookies

Flango bruger kun teknisk nødvendige cookies til autentifikation. Der bruges ingen tracking-, markedsførings- eller analyse-cookies fra tredjepart.

Leverandør

Flango udvikles og drives af Theison, CVR 34360642. Der indgås databehandleraftale (DPA) mellem institutionen/kommunen og Theison som del af onboarding-processen.

Kontakt: kontakt@flango.dk

Relaterede sider

• Privatlivspolitik