Informationssäkerhet
Certifierad enligt ISO/IEC 27001:2022
Certifierat sedan 2019, för närvarande i vår tredje certifieringscykel, av ett brittiskt certifieringsorgan ackrediterat av UKAS. Certifikatet publiceras nedan i sin helhet — kontrollera det gärna.
- Standard: ISO/IEC 27001:2022
- Certifierare ackrediterad av UKAS
- Gällande oavbrutet sedan 2019
Certifikatet i detalj
Allt på denna sida är hämtat från själva certifikatet, så det kan kontrolleras mot kopian nedan eller direkt hos certifieringsorganet.
| Fält | Värde |
|---|---|
| Certifierad organisation | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slovenien |
| Standard | ISO/IEC 27001:2022 — den aktuella revisionen av standarden |
| Omfattning | Design, utveckling, implementering och underhåll av programvarulösningar |
| Tillämplighetsförklaring | Version 3.0, daterad den 1 december 2024 |
| Certifikatnummer | 202124/A/0001/UK/En |
| Certifieringsorgan | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Storbritannien |
| Ackreditering | UKAS Management Systems, ackrediteringsnummer 0043; URS är medlem i IAF:s multilaterala erkännandeavtal |
| Ursprungligen utfärdat | 28 mars 2019 |
| Aktuell cykel utfärdad | 28 mars 2025 (utgåva 3, cykel 3) |
| Giltigt till | 27 mars 2028 |
Varför ackrediteringen betyder mer än märket
Vem som helst kan skriva ut ett certifikat. Frågan en upphandlingsenhet bör ställa är vem som har ackrediterat organet som utfärdade det.
Vårt utfärdades av URS, ett certifieringsorgan i Bournemouth i Storbritannien, ackrediterat av UKAS — United Kingdom Accreditation Service, det nationella ackrediteringsorgan som erkänns av den brittiska regeringen. UKAS ackrediteringsnummer 0043 anges på själva certifikatet.
URS är också medlem i IAF:s multilaterala erkännandeavtal, vilket gör att certifikatet betyder detsamma för ett universitet i Riyadh, Kuala Lumpur eller Dublin som i London. Ett oackrediterat certifikat har inget av detta.
Det är också värt att kontrollera vilken version av standarden en leverantör innehar. Vår är ISO/IEC 27001:2022, den aktuella revisionen. Certifikat mot den ersatta utgåvan från 2013 är fortfarande i omlopp.
- Utfärdat av ett brittiskt certifieringsorgan, inte ett oackrediterat registreringsorgan
- Ackrediterat av UKAS, ackrediteringsnummer 0043
- Medlem i IAF:s multilaterala erkännandeavtal, och därför internationellt erkänt
- Certifierat mot ISO/IEC 27001:2022, inte den ersatta utgåvan från 2013
- Gällande oavbrutet sedan mars 2019, genom tre certifieringscykler
- Omfattningen täcker uttryckligen programvarudesign, utveckling, implementering och underhåll — själva produkten, inte bara ett kontor
Vad certifieringen faktiskt förpliktar oss till
ISO/IEC 27001 är ingen produktfunktion och vi kommer inte att framställa den som en. Den certifierar ett ledningssystem: ett strukturerat, riskbaserat angreppssätt för informationssäkerhet som omfattar människor, processer och teknik, granskat av ett externt organ i en återkommande cykel i stället för att påstås en gång.
I praktiken innebär det för en institution som utvärderar oss att det finns en dokumenterad tillämplighetsförklaring, att risker bedöms och hanteras i en bestämd cykel, att åtkomst och ändringar kontrolleras och att en oberoende revisor kontrollerar allt detta mot en publicerad standard.
- Kryptering av känslig information vid lagring och vid överföring
- Regelbundna säkerhetskopior, med återställningar som testas i stället för antas
- Strikta åtkomstkontroller som begränsar exponeringen till det en roll kräver
- Dokumenterad incidenthantering och ändringshantering
- Årliga övervakningsrevisioner, med full omcertifiering vart tredje år
Personuppgifter, och lagen som styr dem
Ett schema är ingen abstrakt datamängd. Det anger var en namngiven student är klockan nio på tisdagen, och vilken lärare som är med dem. Det är personuppgifter, och i vissa kombinationer är de känsliga.
Vi har vår bas i Slovenien, inom Europeiska unionen, så att dataskyddsförordningen (GDPR) gäller för oss direkt och inte som en exportskyldighet vi valt att följa. GDPR-efterlevnad ingår i det ni köper; det är ingen avgiftsbelagd modul och det finns ingen separat efterlevnadsnivå.
I förordningens språk är er institution personuppgiftsansvarig och Wise Technologies är personuppgiftsbiträde. Den distinktionen är viktig: data förblir era, vi behandlar dem bara enligt era dokumenterade instruktioner och vi använder dem inte för andra syften. Vi säljer eller hyr inte ut personuppgifter, vi använder inte er institutions data för att träna något och vi utvinner inte information ur dem för vår egen analys.
Vi försöker också ha mindre av dem från första början. Ett schemaläggningssystem behöver inte en students hemadress, och att be om fält vi aldrig kommer att använda vore en belastning för oss båda. Där en institution kan skicka gruppidentifierare i stället för namngivna personer ser vi hellre att den gör det.
- Ett personuppgiftsbiträdesavtal finns tillgängligt och vi undertecknar ert eget om ni föredrar er egen lydelse
- Personuppgifter överförs inte utanför Europeiska ekonomiska samarbetsområdet om inte tillräckliga skyddsåtgärder finns, såsom EU:s standardavtalsklausuler
- Underbiträden är begränsade, redovisas på begäran och bundna av likvärdiga skyldigheter
- Registrerades rättigheter — tillgång, rättelse, radering, begränsning, dataportabilitet, invändning — stöds, och vi hjälper er att besvara förfrågningar som ert biträde
- Lagringstiden är bestämd i stället för obegränsad: kontodata under prenumerationens löptid, importerade schemadata så länge ni använder tjänsten
- Skyldigheter att anmäla incidenter är avtalsenliga, inte valfria
- Fullständig lokal driftsättning där policy eller nationell lag kräver att data aldrig lämnar ert nätverk
Bortom GDPR
Institutioner utanför Europeiska unionen har sina egna skyldigheter, och vi diskuterar dem hellre tidigt än upptäcker dem sent. Institutioner i Gulfstaterna lyder alltmer under nationella dataskyddslagar med krav på datalagring i landet; amerikanska institutioner tar upp FERPA; flera av våra kunder svarar också inför sektorstillsynsmyndigheter.
Vi påstår inte att vi har en heltäckande certifiering mot varje regelverk, eftersom ett sådant påstående inte vore ärligt. Det vi kan säga är att det lokala alternativet uppfyller krav på datalagring i landet fullt ut, att våra avtalsvillkor kan anpassas och att vi talar om rakt ut om något ni behöver ligger utanför vad vi kan åta oss.
Läs integritetspolicyn för hur vi hanterar personuppgifter i detalj, och villkoren för den avtalsmässiga ställningen.
Certifikatet
Återgivet i sin helhet. Det undertecknade PDF-dokumentet är länkat ovan och nedan.
Var era data finns är fortfarande ert beslut
Certifieringen styr hur vi arbetar; den förpliktar er inte att hosta något hos oss. Molnhosting körs på AWS med dagliga säkerhetskopior och regionalt fördelad infrastruktur, och fullständig lokal installation är ett stött alternativ med identisk funktionalitet, support och uppgraderingsvillkor.
För institutioner i jurisdiktioner med regler om datalagring i landet håller lokal installation varje post inom ert eget nätverk. Mer om hosting och driftsättning.
Frågor som upphandlare ställer
Fyller ni i vår enkät om informationssäkerhet?
Ja, och vi är vana vid det. Skicka den med er tidsram så återkommer vi; vi besvarar hellre fyrtio frågor före ett avtal än upptäcker en missanpassning efter ett.
Om ni behöver certifikatet, hänvisningen till tillämplighetsförklaringen eller bekräftelse direkt från certifieringsorganet, säg till så ordnar vi det.
Kan vi verifiera certifikatet oberoende?
Gör gärna det. Certifikatnumret är 202124/A/0001/UK/En och det utfärdande organet är URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Storbritannien. URS publicerar kontaktuppgifter för äkthetskontroller på själva certifikatet.
UKAS för också ett offentligt register över de organ det ackrediterar, där URS finns under ackrediteringsnummer 0043.
Är omfattningen bred nog att täcka programvaran vi skulle köpa?
Ja. Den certifierade omfattningen är 'Design, utveckling, implementering och underhåll av programvarulösningar', vilket omfattar hur Wise Timetable byggs, driftsätts och stöds — inte bara hur vårt kontor drivs. Snäva omfattningar begränsade till ett huvudkontor är något man ofta bör kontrollera, och det är värt att kontrollera hos varje leverantör.
Vad händer om vi måste behålla data inom vårt land?
Vi installerar helt på er egen infrastruktur. Det är ett standardalternativ för driftsättning med samma funktionalitet, support och uppgraderingsvillkor som molnhosting, inte ett motvilligt undantag.
Genomför ni en säkerhetsgranskning?
Skicka oss enkäten och tidsfristen. Vi fyller i den ordentligt och talar rakt ut om allt vi inte kan uppfylla.