Säkerhetspaket

Lagring i EU

Rummet, kunskapsbanken och filerna lagras hos Supabase Inc.: EU – AWS eu-north-1 (Stockholm); supportåtkomst från tredje land kan förekomma.

Privata filer

Filerna ligger i en privat lagringsyta. Bara ert företags inloggade användare och Brickstreams AI-team läser dem – aldrig en annan kund. En fil ni tar bort raderas direkt; rummets egna filer raderas 90 dagar efter att rummet låsts.

AI utan träning

Frågorna, kravgenomgången och filernas text behandlas av Anthropic PBC (USA) enligt de kommersiella villkoren: träning av modeller på innehållet är spärrad, med PUB-avtal och standardavtalsklausuler.

Personuppgiftsbiträdesavtal

En mall för personuppgiftsbiträdesavtal, säkerhetsbeskrivningen och underbiträdeslistan finns i säkerhetspaketet – att läsa och ladda ned utan samtal.

Granskaren

En granskare läser bara det ni skickar till granskning, i plattformen och under sekretessavtal – inget laddas ned.

Säkerhetspaketet · Integritetspolicyn

Brickstream AB, org.nr 556792-7644, Linköping · Version 2026-10-16 · Kontakt: info@brickstream.se (ämne "Säkerhet")

Beskrivningen gäller Brickstreams tjänster till fast pris (till exempel Anbudsstöd, Kravgranskning, Testfall och Leverantörsformulär – säkerhet, kvalitet och miljö), gratisprovet och plattformen app.brickstream.se, som de är byggda och konfigurerade på versionsdatumet. Vi redovisar öppet det som ännu inte är på plats (avsnitt 11).

1. Översikt

Hela listan med skyddsåtgärder och avtal står i dokumentet Underbiträden. Brickstream har ingen egen serverpark, och vi behöver ingen åtkomst till era system: ni skickar filer.

2. Ert underlag i en beställning eller ett gratisprov

• Lagring: filerna ligger i en privat lagringsplats i Stockholm som bara er beställning når. Uppladdning och nedladdning sker med kortlivade signerade länkar. Krypterat vid överföring (TLS) och vid lagring.
• Ingen e-postbilaga: vi skickar aldrig underlag eller leverans som bilaga. Leveransen hämtar ni i plattformen, och gratisprovet som en nedladdningslänk som gäller i 30 dagar.
• Vem ser det: AI-teamet under körningen och, i en beställning, Brickstreams senior slutgranskare. Slutgranskaren arbetar under sekretessavtal, läser och rättar i plattformen med tvåstegsinloggning och kan inte ladda ned filerna; varje öppning loggas. Inga andra konsulter och inga andra kunder ser något. Två konkurrenter i samma upphandling får aldrig samma granskare.
• Bara för er beställning: underlaget förbättrar aldrig leveranser till någon annan kund och används inte i någon kunskapsbas, mall eller exempel. AI-teamet tränas på publicerade upphandlingar – aldrig på ert material.
• Radering: underlaget och leveransen raderas automatiskt 30 dagar efter leverans, och direkt om beställningen avbryts eller avböjs. Ett gratisprov och dess underlag raderas senast 30 dagar efter att provet har levererats eller avböjts. Kvar finns bara det bokföringslagen kräver.
• Brickstreams interna AI-assistent (för drift, utveckling och e-post) öppnar aldrig kunders underlag i uppdragen.

3. Det här tar vi inte emot

Säkerhetsskyddsklassificerade uppgifter eller underlag under säkerhetsskyddsavtal, och exportkontrollerad teknisk information (till exempel krigsmateriel, produkter med dubbla användningsområden, ITAR eller EAR). I ett gratisprov tar vi inte heller emot känsliga personuppgifter eller personnummer. Plattformen söker efter klassnings- och exportkontrollmärkningar innan arbetet börjar; vid träff stoppas arbetet, filerna raderas och vi hör av oss. Personuppgifter i övrigt är inget hinder – ni avgör själva om ni maskerar namn utifrån er policy.

4. AI-bearbetningen

• AI-teamet anropar Anthropics modeller (Claude) via Anthropics kommersiella API – inte en chattapp eller konsumenttjänst.
• Innehållet används inte för att träna modellerna (Anthropics kommersiella villkor).
• Bearbetningen sker i dag i USA, under EU-kommissionens standardavtalsklausuler i Anthropics biträdesvillkor. Hos AI-leverantören raderas in- och utdata inom 30 dagar; längre bara om något flaggas för brott mot leverantörens användarregler.
• AI-bearbetning i EU är förberedd (Claude via Amazon Bedrock i Stockholm, eu-north-1, med en EU-profil som håller bearbetningen inom EU). Den är inte påslagen ännu. Samma dag som den slås på ändras den här beskrivningen, underbiträdeslistan och integritetspolicyn. Kräver er policy EU-behandling: säg det innan ni laddar upp något.
• Under körningen har AI-teamet ingen åtkomst till internet eller till andra kunders data. Text i ert underlag behandlas som data: instruktioner i det följs inte.
• Allt AI-teamet tar fram i en beställning slutgranskas av en människa. Gratisprovet är ett AI-utkast som inte är slutgranskat och är märkt så.

5. Inloggning och behörighet

• Inloggning utan lösenord: engångslänk och engångskod via e-post, med en mellansida som skyddar mot e-postskannrar.
• Tvåstegsverifiering (TOTP) krävs för Brickstreams konton, för slutgranskare och för kundanvändare utan företagsinloggning. Kravet kontrolleras i databasen, inte bara i gränssnittet.
• Behörighet per rad i databasen (Row Level Security) på alla tabeller: en kund ser bara sin egen organisations beställningar, och linjechefer ser inga priser.
• Sessioner för Brickstreams konton och kundanvändare avslutas efter högst 12 timmar.

6. Kryptering och hemligheter

All trafik går över TLS med HSTS. Data i vila krypteras av leverantörerna. API-nycklar finns bara som skyddade miljövariabler hos driftleverantören, aldrig i koden eller i loggar.

7. Loggning

Säkerhetsloggen kan inte ändras i efterhand: databasen stoppar ändringar och borttag, och raderna länkas med en SHA-256-hashkedja. Loggas bland annat: inloggningar, beställningar och intyg, uppladdade filer (namn, storlek, kontrollsumma), varje öppning och nedladdning av underlag och leverans, tilldelning av granskare och radering. Ni kan be om ett utdrag för er beställning.

8. Drift, övervakning och ändringar

Tillgängligheten kontrolleras var femte minut, och driften följs dagligen. Varje vecka kontrollerar plattformen själv att dess nycklar till leverantörerna fungerar, utan att någon ser nycklarna. Koden finns i ett privat repo; varje ändring passerar typkontroll, automatiska tester och bygge innan den driftsätts, och databasändringar görs additivt. Drift, utveckling och säkerhetskontroller görs till stor del av Brickstreams AI-team under VD:s ansvar och enligt en skriftlig arbetsordning; teamet får aldrig lätta på säkerhet eller behörigheter eller hantera hemligheter.

9. Om något händer

Om ert underlag kan ha hamnat hos någon som inte ska ha det, eller något annat säkerhetsproblem har påverkat det, meddelar vi er inom 24 timmar från att vi upptäckt det: vad som har hänt, vad som berörs, vad vi har gjort och vad vi gör härnäst. Vi stoppar bearbetningen av berört material tills orsaken är klarlagd. Gäller det personuppgifter i ert underlag får ni beskedet utan onödigt dröjsmål, så att ni kan anmäla till Integritetsskyddsmyndigheten inom 72 timmar.

Rapportera säkerhetsproblem till info@brickstream.se med ämnet "Säkerhet" (se också /.well-known/security.txt).

10. Avtal

Villkoren för uppdrag (brickstream.se/villkor/uppdrag) innehåller sekretess och ett personuppgiftsbiträdesavtal (bilaga 1). Vill ni ha ett eget undertecknat PUB-avtal finns mallen i det här paketet, och ett sekretessavtal tecknar vi på begäran.

11. Kända begränsningar

Brickstream AB, org.nr 556792-7644, Linköping · Version 2026-10-16 · Kontakt: info@brickstream.se (ämne "Säkerhet")

Mall enligt artikel 28.3 i dataskyddsförordningen. Samma innehåll som bilaga 1 i villkoren för uppdrag, som gäller utan underskrift när ni godkänner en offert. Den här mallen används när er organisation vill ha ett fristående, undertecknat avtal. Ni kan också använda er egen mall.

Parter

Personuppgiftsansvarig: [Organisationens namn], org.nr [ ], nedan "Kunden".

Personuppgiftsbiträde: Brickstream AB, org.nr 556792-7644, Linköping, e-post info@brickstream.se, nedan "Brickstream".

1. Omfattning

Avtalet gäller när material som Kunden skickar till Brickstream i en beställning eller ett gratisprov innehåller personuppgifter. Det kompletterar villkoren för uppdrag och den offert Kunden har godkänt ("Huvudavtalet"). Vid motstridighet gäller detta avtal i frågor om personuppgifter.

2. Instruktioner

Brickstream behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner: Huvudavtalet, beställningen och Bilaga 1. Anser Brickstream att en instruktion strider mot dataskyddsreglerna informeras Kunden utan dröjsmål.

3. Tystnadsplikt

Alla som får åtkomst till uppgifterna hos Brickstream, inklusive slutgranskare, är bundna av tystnadsplikt eller sekretessavtal.

4. Säkerhet

Brickstream vidtar de tekniska och organisatoriska åtgärder som beskrivs i Säkerhetsbeskrivningen (Bilaga 2) och som krävs enligt artikel 32.

5. Underbiträden

Kunden lämnar ett allmänt förhandsgodkännande till underbiträdena i Bilaga 3. Brickstream informerar Kunden minst 30 dagar före ett byte eller tillägg, och Kunden får invända av sakliga skäl. Brickstream ålägger underbiträden motsvarande skyldigheter och ansvarar för deras behandling som för sin egen.

6. Överföring till tredje land

Överföring utanför EU/EES sker bara med skyddsåtgärder enligt kapitel V, till exempel EU-kommissionens standardavtalsklausuler eller EU–US Data Privacy Framework. I dag sker AI-bearbetningen i USA (Bilaga 3).

7. Bistånd

Brickstream hjälper Kunden att besvara de registrerades begäranden (artiklarna 12–22) och med säkerhet, konsekvensbedömningar och förhandssamråd (artiklarna 32–36), med hänsyn till behandlingens art.

8. Personuppgiftsincidenter

Brickstream underrättar Kunden utan onödigt dröjsmål och senast 24 timmar efter att en incident som berör Kundens uppgifter har upptäckts, med den information som krävs enligt artikel 33.3.

9. Granskning

Brickstream lämnar den information som behövs för att visa att skyldigheterna fullgörs och möjliggör granskningar efter skälig förvarning, högst en gång per år utom vid incident.

10. Radering

Brickstream raderar materialet och leveransen 30 dagar efter leverans och direkt om beställningen avbryts eller avböjs; ett gratisprov och dess underlag senast 30 dagar efter att provet har levererats eller avböjts. Kvar finns bara uppgifter som måste sparas enligt lag (bokföringsunderlag).

11. Ansvar och giltighet

Ansvar enligt Huvudavtalet och artikel 82. Avtalet gäller så länge Brickstream behandlar personuppgifter för Kundens räkning.

Bilaga 1 – Behandlingen

Bilaga 2 – Säkerhetsåtgärder

Säkerhetsbeskrivningen, version 2026-10-16 (brickstream.se/sakerhetspaket).

Bilaga 3 – Underbiträden

Underbiträdeslistan, version 2026-10-16 (brickstream.se/sakerhetspaket). För uppdrag och gratisprov: Supabase (lagring, Stockholm), Vercel (webbserver, Stockholm), Anthropic PBC (AI-bearbetning, USA, standardavtalsklausuler) och slutgranskare (Sverige, bundna av granskaravtal med samma skyldigheter).

Ort och datum: ____________________

För Kunden: ____________________ För Brickstream AB: ____________________

Brickstream AB, org.nr 556792-7644, Linköping · Version 2026-10-16 · Kontakt: info@brickstream.se (ämne "Säkerhet")

Listan är densamma som i integritetspolicyn (version 2026-10-23a). För uppdrag och gratisprov behandlas ert underlag bara av Supabase (lagring), Vercel (webbserver) och Anthropic (AI-bearbetning), och av slutgranskaren i en beställning. Ändringar meddelas kunder minst 30 dagar i förväg.

Supabase Inc.

• Vad: Databas, inloggning och fillagring (CV, avtal och fakturor)
• Var: EU – AWS eu-north-1 (Stockholm); supportåtkomst från tredje land kan förekomma
• Skydd och avtal: PUB-avtal (DPA) med standardavtalsklausuler för eventuell support från tredje land

Vercel Inc.

• Vad: Drift av webbapplikationen (serverfunktioner), vidarebefordran av plattformens AI-förfrågningar till Anthropic via Vercel AI Gateway och besöksstatistik utan kakor för de publika sidorna (Vercel Web Analytics)
• Var: EU – region arn1 (Stockholm) för serverfunktioner; globalt CDN för statiska filer (inga personuppgifter); AI Gateway kan behandla AI-förfrågningar i USA
• Skydd och avtal: PUB-avtal (DPA), standardavtalsklausuler och EU–US Data Privacy Framework

Anthropic PBC

• Vad: AI-tolkning av CV (bara om du kryssar i det), kunders behovstexter, avrop och inköpsordrar (bara om kunden godkänt) svar i hjälpassistenten "Fråga oss" när du själv ställer en fråga (för inloggade även de kontouppgifter som behövs för svaret) och i Anbudsrum kundens frågor, kravgenomgången och texten i kundens filer i rummet och kunskapsbanken (CV, referenser, certifikat, upphandlingsdokument). Förfrågningarna når Anthropic via Vercel AI Gateway (Vercel Inc.) eller direkt via Anthropics API. Dessutom Brickstreams interna AI-assistent (Claude) för drift, felsökning, utveckling, support och e-post
• Var: USA
• Skydd och avtal: Plattformens AI-anrop och uppdragsleveranser: Vercels och Anthropics kommersiella villkor med PUB-avtal och standardavtalsklausuler, träning av modeller spärrad och bara Anthropic tillåten som leverantör. Brickstreams interna AI-assistent: Anthropics villkor för Claude Max, där Anthropic är personuppgiftsansvarig och inget PUB-avtal finns; träning är avstängd i kontots inställningar, och assistenten läser bara de uppgifter som behövs för uppgiften och aldrig kunders underlag i uppdragen

Resend (Plus Five Five Inc.)

• Vad: Utskick av e-post från plattformen, avsändare info@brickstream.se: inloggningsmejl, notiser och fakturor som PDF (namn, e-postadress, meddelandets innehåll och bilagor)
• Var: EU-region (Irland) för utskick; bolaget i USA
• Skydd och avtal: PUB-avtal (DPA), standardavtalsklausuler och EU–US Data Privacy Framework

Zigned AB

• Vad: Elektronisk signering av avtal med BankID (namn, e-post, IP-adress, enhetsinformation och avtalets innehåll för den som signerar; vid identitetskontroll även personnummer, som Zigned hashar)
• Var: Sverige (bolaget). Avtal och signaturer lagras i EU (Heroku och Google Cloud); e-postutskick via Mailgun och viss support (Typeform, Zapier, Slack) sker i USA. Signerat avtal och verifieringsbilaga sparas även hos oss (Supabase, Stockholm)
• Skydd och avtal: Zigneds personuppgiftsbiträdesavtal (v1.0); överföring till USA med EU–US Data Privacy Framework eller standardavtalsklausuler

Google (Google Workspace)

• Vad: Bolagets e-post på brickstream.se (bl.a. info@brickstream.se) när du mejlar oss eller vi mejlar dig, med eventuella bilagor. Vår interna AI-assistent kan läsa och skriva mejl
• Var: EU och USA (Googles datacenter)
• Skydd och avtal: Googles databehandlingsvillkor (Cloud Data Processing Addendum), standardavtalsklausuler och EU–US Data Privacy Framework

Cloudflare Inc.

• Vad: Botskydd (Cloudflare Turnstile) i formulären för inloggning, registrering, gratisprov och förfrågan: din IP-adress och tekniska signaler från webbläsaren och enheten (t.ex. webbläsartyp, språk och hur sidan körs) bedöms för att avgöra om formuläret skickas av en människa. Inga kakor för spårning och ingen annonsering; formulärets innehåll skickas inte till Cloudflare
• Var: Cloudflares globala nätverk (närmaste datacenter, normalt i EU); bolaget i USA
• Skydd och avtal: Cloudflares PUB-avtal (DPA) med standardavtalsklausuler och EU–US Data Privacy Framework

Wint AB

• Vad: Bokföring och redovisning: kund- och självfakturor, utbetalningar, kvitton och verifikationer (namn, bolag, belopp och fakturauppgifter)
• Var: Sverige/EU
• Skydd och avtal: PUB-avtal (personuppgiftsbiträdesavtal) med Wint

Slutgranskare

• Vad: granskar och rättar leveransen i en beställning, i plattformen med tvåstegsinloggning, utan att kunna ladda ned filerna.
• Var: Sverige.
• Skydd och avtal: granskaravtal med sekretess och samma skyldigheter som i PUB-avtalet; jävskontroll före varje tilldelning.