Sikkerhed og kryptering i Rimelig Udbud

Rimelig Udbud håndterer nogle af de mest fortrolige tal, en entreprenørvirksomhed har: tilbudslister, enhedspriser, forbehold, dækningsbidrag og tildelingsindstillinger. Vores sikkerhedsmodel kan koges ned til én sætning — og lige under den står, hvad der er slået til i dag:

Målet er ét: jeres data låst inde overalt — undtagen i de sekundbrøkdele, hvor computeren rent faktisk analyserer dem.

• Jeres materiale er krypteret under transport, hver gang det sendes frem og tilbage over internettet.
• Kryptering i hvile — hvor filer og de følsomme databasefelter ligger kodet og ulæseligt på vores servere — er bygget og aktiveres for jer ved onboarding. Afsnit 3–6 beskriver præcis den model, I får.
• Hver kunde får sin egen lås. Selv hvis nogen skaffede sig adgang til de rå data, kan én kundes materiale ikke bruges til at åbne en anden kundes.
• Når kundenøglen er slået til, er det eneste øjeblik, hvor materialet er “åbent”, de millisekunder, hvor vores AI faktisk læser og sammenligner buddene — og her er det beskyttet af en bindende aftale om, at intet gemmes eller genbruges.

Rimelig Udbud hjælper hovedentreprenører og bygherrer med at samle underentreprenørers tilbud på en fagentreprise (fx tømrer, VVS, el), sammenligne dem retfærdigt og lave en velbegrundet indstilling om, hvem opgaven bør tildeles. For at kunne det, opbevarer og behandler platformen forretningskritisk materiale: tilbudslister med enhedspriser, forbehold og betingelser, interne vurderinger og indstillinger samt kontaktoplysninger på bydende. Kom den slags i de forkerte hænder, kunne det skade både en igangværende udbudsproces og jeres forretning. Derfor er sikkerhed bygget ind fra bunden.

Forestil jer en bankboks. Indholdet er stadig fysisk til stede, men uden den rigtige nøgle er det utilgængeligt. Kryptering er det digitale svar: jeres data omdannes til en uforståelig talrække, og kun med den rigtige nøgle kan de læses igen.

• Uden nøglen er krypterede data værdiløse for en tyv — selv en kopi af hele disken er bare ubrugelig kodet tekst.
• Vores kryptering opdager pillerier: ændres blot ét tegn, går “låsen i baglås” og nægter at åbne i stedet for at levere forfalsket indhold. Man kan altså ikke i det skjulte ændre en pris eller et forbehold.

Standarden hedder AES-256 — samme type kryptering, som banker og myndigheder bruger, og som i praksis ikke kan brydes med nutidens teknologi.

Værdien i Rimelig Udbud er, at en kunstig intelligens (AI) læser jeres tilbudsmateriale og gør det tunge arbejde. For at kunne læse noget, må det være læsbart. Der findes derfor et kort øjeblik — typisk brøkdele af et sekund — hvor materialet må være “åbent” i computerens arbejdshukommelse, så AI’en kan analysere det.

Det betyder, at den slags “end-to-end”-kryptering, hvor selv leverandøren aldrig kan se noget (som man kender fra beskedapps), ikke er mulig for et værktøj, der analyserer indholdet. Man kan ikke få både “kun kunden kan læse det” og “vores AI læser og analyserer det”. Enhver leverandør, der påstår begge dele samtidig, taler usandt. Det, vi i stedet leverer, er den stærkest mulige realistiske model: krypteret under transport i dag, og — fra onboarding — krypteret på disken og i databasen med egen lås pr. kunde, så det eneste åbne øjeblik er selve analysen, dækket af en bindende aftale om ingen lagring og ingen træning.

1. Upload. Filen lægges op via en sikker forbindelse (som hængelåsen i netbank) og kan ikke aflyttes undervejs.
2. Lagring. Filen gemmes adskilt fra alle andre kunders materiale. Fra onboarding låses den i samme øjeblik ned med jeres organisations egen nøgle, så der aldrig ligger en læsbar fil på disken.
3. Analyse. Ved en udligning hentes filen frem, låses kortvarigt op i hukommelsen og sendes — krypteret under transport — til AI-motoren. Straks efter er klarteksten væk igen.
4. Resultatet gemmes. Selve analyseresultatet er lige så fortroligt som materialet og behandles ens — også det låses med samme kundenøgle fra onboarding.
5. Backup. Sikkerhedskopier følger nøjagtig samme model som dataene selv.

Når kundenøglen er slået til, findes klarteksten i hele rejsen kun i det korte analyseøjeblik. Alt andet er låst.

Kryptering er kun så stærk som styringen af nøglerne. Det er netop derfor, nøglemodellen aftales med jer ved onboarding, før krypteringen i hvile slås til. Vores system har tre lag — som en velindrettet bankfilial:

• Datanøglen er som nøglen til én enkelt boks. Hver fil og hver følsom post får sin egen unikke nøgle.
• Kundenøglen er en hovednøgle til netop jeres afdeling af boksrummet og pakker alle jeres datanøgler ind. Hver kunde har sin egen.
• Hovednøglen er bankens overordnede sikring, opbevaret i et separat, stærkt beskyttet nøglelager — aldrig sammen med selve dataene.

Egen nøgle pr. kunde giver ægte adskillelse: et brud hos én kunde kan ikke sprede sig til en anden, og jeres data kan slettes rent ved at destruere netop jeres nøgle. Nøglelageret ligger inden for EU og er uafhængigt af de store globale cloud-udbydere.

Rimelig Udbud bruger Anthropic Claude som AI-motor. I det øjeblik AI’en arbejder, sendes materialet — over en krypteret forbindelse — til motoren. Den del kan ikke beskyttes med kryptering (AI’en skal jo læse indholdet); i stedet er den beskyttet af en bindende juridisk aftale:

• Intet gemmes hos AI-udbyderen efter analysen.
• Ingen træning: jeres data bruges aldrig til at oplære AI-modeller.
• AI-udbyderen er registreret som underdatabehandler i vores databehandleraftale.

For de allermest følsomme udbud kan AI-udligningen slås helt fra pr. udbud. Så mister I den automatiske analyse, men intet indhold sendes til nogen tredjepart. Valget er jeres.

Når jeres materiale er låst med jeres egen kundenøgle, kan vi opnå en fuldstændig og verificerbar sletning ved at destruere den nøgle. Bagefter er alt jeres indhold — filer, databasefelter, endda gamle backups — permanent ulæseligt. Ikke bare skjult, men reelt umuligt at genskabe. Fagligt kaldes det kryptografisk sletning, og det er en ren, dokumenterbar måde at efterleve fx GDPR’s “ret til at blive glemt”.

• Kun jeres eget hold: hvert udbud, hver fagentreprise og hvert bud hører til én organisation. Kun dens medlemmer har adgang.
• Egen lås pr. kunde giver — fra onboarding — en ekstra, kryptografisk mur mellem kunderne, oven på den adgangsstyring der adskiller organisationerne i dag.
• Revisionsspor: administrative handlinger og aktivitet i et udbud logges, så der er ansvarlighed bag hvem der gjorde hvad.
• Privatliv i vores eget overblik: Rimeligs interne overblik viser bevidst kun aktivitet og driftsomkostninger på organisationsniveau — ikke jeres projektnavne, budgetter, budpriser eller enkeltpersoners aktivitet.

Ærlighed om grænserne er et tegn på seriøs sikkerhed. Derfor er vi åbne om, hvad modellen ikke beskytter mod:

• En fuldt overtaget, kørende server: nøgler skal være i hukommelsen, mens systemet kører. En angriber med fuld kontrol over serveren ville kunne se data, der behandles i det øjeblik. Det forsvares med drifts-hærdning — ikke med kryptering alene.
• AI-udbyderen i selve analyseøjeblikket: dækket af aftalerne om ingen lagring og ingen træning, ikke af kryptering.
• En ondsindet, betroet medarbejder hos Rimelig: imødegås med adgangsstyring, revisionsspor og de kundespecifikke nøgler, der begrænser skaden — men ingen kryptering kan alene udelukke en insider fuldstændigt.

Vi påstår altså ikke “end-to-end — vi kan aldrig se jeres data”. Det ville være usandt for enhver tjeneste, der kører AI-analyse på indholdet. Vi fortæller hellere sandheden.

Kryptering

at omdanne data til en uforståelig kode, som kun kan læses med den rette nøgle. Som en bankboks for digitale filer.

AES-256

den anerkendte krypteringsstandard vi bruger; samme type som banker og myndigheder anvender.

Nøgle

den hemmelige “kode”, der låser data op. Uden den er krypterede data ubrugelige.

Konvolut-kryptering

at pakke nøgler ind i andre nøgler i lag, så en nøgle kan skiftes eller destrueres uden at røre selve dataene.

I hvile (at-rest)

når data blot ligger og venter på en disk eller i en database.

Under transport (in-transit)

når data sendes over et netværk, fx fra jeres browser til os.

Kryptografisk sletning

at slette data endeligt ved at destruere nøglen, så indholdet aldrig kan genskabes.

Zero-Data-Retention

en aftale om, at en tjeneste ikke gemmer data efter behandlingen.

Underdatabehandler

en tredjepart (her AI-udbyderen), som på vores vegne behandler data, og som fremgår af databehandleraftalen.

GDPR

EU’s databeskyttelsesforordning, herunder “retten til at blive glemt”.

Drifts-hærdning

de mange praktiske sikkerhedsforanstaltninger omkring den kørende server: opdateringer, begrænset adgang, overvågning m.m.

Skal I bruge en databehandleraftale, en liste over underdatabehandlere eller en dybere teknisk gennemgang til jeres egen sikkerhedsafdeling, er I velkomne til at skrive til udbud@rimelig.dk.