Säkerhetsarkitektur
och kontroller.

01 — Kryptering

All data krypteras i transit (TLS 1.2+) och i vila med AWS KMS customer-managed keys (CMK) — nycklar vi själva äger och kontrollerar, till skillnad från AWS standardnycklar. Det gäller databasen för konto-/synkmetadata, revisionsloggar, och de hemligheter (API-nycklar, tokens) workern läser.

02 — Hosting: Stockholm, EU-only

Hela plattformen körs i AWS Europa (Stockholm), eu-north-1. Persondata lämnar aldrig EU. Regionen är fast konfigurerad i infrastrukturkoden för varje del av systemet.

03 — Ingen lagring

Transkript processas enbart i minnet. Inga transkript, ljudfiler eller härledda dokument lagras någonsin — varken krypterat eller okrypterat. Den enda data som sparas är teknisk metadata (vilka konton som är aktiva, var i tiden senaste synkningen kom) i en KMS-krypterad databas med point-in-time recovery.

Eftersom ingen kunddata lagras är återställning efter en incident en ren omdistribuering: hela plattformen kan byggas om från källkod när som helst.

04 — Pipeline-arkitektur

Subtonal är en transkript-extraktionspipeline: den hämtar samtal och möten från era mötesverktyg, redigerar bort persondata, och vidarebefordrar den redigerade posten till en konfigurerad analysendpoint.

• Workern körs som en schemalagd container-uppgift (AWS Fargate) som startar, processar och avslutas — ingen server går kontinuerligt, inga inkommande endpoints är exponerade.
• Poll-only-design: Subtonal initierar varje anslutning utåt. Inga webhooks, inga publikt nåbara endpoints.
• Valfritt: workern kan self-hostas i er egen miljö, så att transkriptinnehåll aldrig når Subtonals infrastruktur överhuvudtaget.

05 — PII-redaktion

Två redigeringspass körs innan någon data lämnar motorn:

• Regelbaserat pass: deterministiska, granskningsbara mönster för svenska personnummer, organisationsnummer, telefonnummer, e-post, IBAN och betalkort.
• Named-entity-pass: Microsoft Presidio körs lokalt inne i workern (svensk NER-modell) — transkriptinnehåll skickas aldrig till något externt PII- eller AI-API.

Bara den redigerade versionen vidarebefordras nedströms — aldrig råtranskript.

06 — Åtkomst & credentials

• Leverantörsuppgifter (API-nycklar) lagras i AWS Secrets Manager, krypterade med samma customer-managed nyckel.
• Varje hemlighet har en egen resurspolicy som nekar läsning för alla utom workerns specifika roll — även en administratör i AWS-konsolen nekas att läsa värdet.
• IAM-roller följer principen om minsta privilegium: workern kan läsa exakt de hemligheter och poster den behöver, inget annat.
• All administrativ åtkomst till AWS-kontona är centraliserad via SSO och fullständigt loggad; management-kontot kör inga arbetslaster.

07 — Kontinuerlig övervakning

• En organisationsomfattande CloudTrail-logg registrerar varje hanterings- och dataåtkomsthändelse över samtliga AWS-konton, inklusive varje nyckelanvändning.
• Loggarna levereras till ett separat, dedikerat revisionskonto skyddat med S3 Object Lock (Write-Once-Read-Many) och sparas i sju år.
• Amazon GuardDuty, AWS Security Hub och AWS Config körs kontinuerligt över alla konton, med resultat aggregerade organisationsövergripande.
• Applikationsloggar är PII-rensade redan innan de skrivs.

08 — AWS AI-träning: opt-out

Subtonal har på AWS-organisationens rotnivå stängt av att AWS AI-tjänster använder kontodata för att träna sina egna modeller. Detta gäller organisationsövergripande och kan inte överstyras av enskilda konton.

09 — Infrastructure as code

Hela plattformen är definierad och driftsatt som Infrastructure as Code (AWS CDK) — versionshanterad och reproducerbar. All konfiguration och källkod är versionshanterad och säkerhetskopierad utanför AWS.

10 — Efterlevnad

• GDPR: gäller löpande. Ett personuppgiftsbiträdesavtal (DPA) finns tillgängligt på begäran — kontakta security@subtonal.se.
• Pre-certifiering: vi innehar ännu inte tredjeparts-certifieringar. Vi arbetar utifrån ramverken för SOC 2 och ISO 27001 och förbereder för revision.
• Sårbarhetsrapportering: rapporter till security@subtonal.se bekräftas inom två arbetsdagar, med statusuppdatering inom fem.

Underleverantörer

• AWS (Stockholm, eu-north-1) — infrastrukturleverantör för insamling, redaktion och revisionsloggning.
• Källintegrationer (per kund, opt-in): t.ex. Meetric. Varje integration sker under kundens eget avtal med den leverantören.
• Analys-endpointen tar emot enbart den redigerade posten, över TLS med tokenautentisering — den mottar aldrig persondata.

Rekommendationer till er

• Begränsa de leverantörsuppgifter ni utfärdar till Subtonal till skrivskyddad transkriptåtkomst där leverantören stödjer det.
• Skydda er mottagande analysendpoint med TLS och en autentiseringstoken, och rotera token regelbundet.
• Vid self-hosting: håll containeravbildningen uppdaterad när nya versioner släpps.