# Lagabøte AS – tillitssenter

> Lagabøte er et juridisk arbeidsverktøy for norske advokater og jurister. Her finner du hvordan vi beskytter kundedata, hvilke standarder vi arbeider etter, hvilke underleverandører vi bruker og hvordan du får tilgang til sikkerhetsdokumentasjon.

## Rammeverk og regelverk
- GDPR: Vi følger personvernforordningen (GDPR) og personopplysningsloven. Vi er databehandler for innholdet ditt og inngår databehandleravtale med alle virksomhetskunder; malen er åpen.
- Taushetsplikt: Advokater, jurister og offentlige virksomheter har lovbestemt taushetsplikt, og den gjelder også for dem som arbeider for dem. Tjenesten er bygget for at dere kan overholde den: ansatte i Lagabøte ser ikke innholdet ditt, bortsett fra når du ber om det, ved en sikkerhetshendelse eller når loven krever det.
- EUs KI-forordning: Lagabøte følger EUs KI-forordning: du får vite at du bruker KI, og generert tekst er merket. Tjenesten er ikke et høyrisikosystem etter sitt formål.
- ISO/IEC 27001: Styringssystemet for informasjonssikkerhet følger ISO/IEC 27001:2022. Vi kaller oss ikke sertifisert før sertifikatet foreligger.

## Sikkerhetstiltak
- Innlogging og økter: Du logger inn med Lagabøte-konto, som kontotjenesten vår verifiserer. Deretter får du en egen økt i tjenesten. Hver forespørsel sjekker at økten fortsatt gjelder, så utlogging, tilbaketrukne eller utløpte økter og slettede brukere avvises straks, også med et gyldig tilgangsbevis. Arbeid som allerede er satt i gang, avbrytes ikke av utlogging.
- Tilgangsstyring i tjenesten: Tilgang avgjøres for hver forespørsel ut fra medlemskap i arbeidsområdet, deltakelse i saken og delinger. Administratorer får ikke tilgang til innhold gjennom rollen. De kan styre tilganger, og gir de seg selv tilgang, registreres det i sikkerhetsloggen vår. Ukjente roller avvises.
- Hemmeligheter: Nøkler og passord forvaltes i Azure Key Vault og holdes utenfor kildekoden, og hver pull request skannes automatisk for hemmeligheter.
- Penetrasjonstest: Hele tjenesten er penetrasjonstestet før lansering etter OWASP ASVS nivå 2: Lagabøte, Lagabøte-konto og innloggingen mellom dem. Testen gjentas hvert år og etter større endringer. Sammendraget får du på forespørsel mot en konfidensialitetsavtale.
- Kryptering under overføring: Nettstedene våre svarer bare over HTTPS med TLS 1.2 eller nyere og sender HSTS. Databasene våre avviser ukrypterte forbindelser; det håndheves på databaseserveren.
- Kryptering av lagrede data: Databasene, de opplastede filene og sikkerhetskopiene er kryptert med AES-256 hos leverandørene, med nøkler de forvalter.
- Data i EU: Innholdet ditt lagres og behandles i EU/EØS, og modellkall med kundedata kjøres hos leverandører i EU og avvises heller enn å kjøres utenfor EU. Underleverandørlisten viser hvor hver leverandør behandler data, og hvilke overføringer ut av EØS som kan skje etter EUs standardavtaler: rutingen av modellkall og driftsdata uten innhold.
- Underleverandører: Vi fører et register over alle leverandører som behandler kundedata, med formål, dataregion og overføringsgrunnlag, kontrollerer det mot det faktiske oppsettet og gjennomgår det minst én gang i året. Listen over underleverandører på denne siden er hentet fra registeret.

## Underleverandører
- Anthropic (via AWS Bedrock): Språkmodell for assistenten, kjørt i EU uten trening på kundedata. Leverandøren lagrer ikke forespørslene, med unntak av forespørsler som flagges i leverandørens misbrukskontroll.
- Microsoft 365: E-post og dokumenter for teamet, også henvendelser fra kunder. EU/EØS, under Microsofts EU Data Boundary.
- Microsoft Azure: Nøkkelhvelv, sikkerhetskopier, driftsjobber og lagring av dokumenter fra domstolene i Norge øst, og innlogging for teamet (Entra ID).
- Neon: Database for kontoer, arbeidsområder og saker. Frankfurt (EU).
- OpenAI: Vektorrepresentasjoner for søk i dokumenter. Kjøres i EU uten trening på kundedata.
- Railway: Database for rettskilder og søk. Nederland (EU).
- Resend: Utsending av e-post med engangskoder og invitasjoner. Irland (EU).
- Vercel AI Gateway: Ruter kall til språkmodellene. Assistentens kall kan bare kjøres hos modelleverandører i EU og avvises ellers, men selve ruteren er ikke låst til en region, så forespørsler kan passere Vercel-servere utenfor EU, under EUs standardkontraktsbestemmelser.
- Vercel: Drift av webapplikasjonen, fillagring og bakgrunnsjobber i Frankfurt (EU). Metadata uten innhold om bakgrunnsjobber og driftslogger kan lagres utenfor EU, også i USA, under EUs standardkontraktsbestemmelser.

## Dokumenter
- Kunstig intelligens og kundedata (dokumenter/ai-and-customer-data.html): Hvordan Lagabøte bruker språkmodeller, hvor kallene kjøres og hvorfor kundedata ikke brukes til trening.
- Databehandleravtale (dokumenter/dpa.html): Standard databehandleravtale mellom kunden som behandlingsansvarlig og Lagabøte AS som databehandler, etter personvernforordningen artikkel 28.
- Hendelseshåndtering (på forespørsel): Prosedyre for håndtering av sikkerhetshendelser og brudd på personopplysningssikkerheten. Berørte kunder varsles senest 24 timer etter at vi ble kjent med bruddet, og Datatilsynet innen 72 timer når vi er behandlingsansvarlig.
- Informasjonssikkerhetspolicy (dokumenter/information-security-policy.html): Overordnet policy for informasjonssikkerhet, godkjent av daglig leder og revidert årlig.
- Personvernerklæring (dokumenter/privacy-notice.html): Hvilke personopplysninger Lagabøte AS behandler som behandlingsansvarlig, hvorfor, hvor lenge, hvem som mottar dem og hvilke rettigheter du har.
- Standardvilkår for virksomheter (dokumenter/standard-terms.html): Vilkårene for virksomheters og offentlige organers bruk av Lagabøte, med tjenestenivå, taushetsplikt, tiltenkt formål og exit. Offentlige kunder kan bruke dem som bilag 10 i statens standardavtaler for skytjenester.

Full data: https://trust.lagabote.no/trust.json