Sikkerhet er ikke et tillegg —
det er fundamentet.

Hver klinikks pasientdata er strengt isolert. Ingen behandler kan lese, endre eller eksportere data fra en annen klinikk — verifisert med 33 automatiserte pytest-tester per release.

• Sentralisert `sikre_pasient_tilgang`-kontroll på hver eneste PHI-endepunkt
• Fail-closed: fravær av eierskap eller klinikk-match → HTTP 403
• Sanntids audit-log på tvers-klinikk-forsøk (Normen 6.4 krav)

Alle API-kall krever en signert JWT-token med 24-timers gyldighet. Passord lagres med bcrypt (kostfaktor 12). Ingen plaintext, ingen SHA1.

• HS256 med rotert secret per miljø
• Rate-limiting: 5 mislykkede login pr. 15 min → 15-min lockout
• Passord-reset via engangs-lenke med 60 min gyldighet

TLS 1.3 med HSTS på alle offentlige endepunkter. MongoDB Atlas med AES-256-kryptering at rest. EU/EØS-region (Frankfurt).

• HSTS preload med 1 år max-age
• TLS-sertifikat auto-fornyet via Let's Encrypt
• Databasen har ingen offentlig IP — kun private endpoints

Klient-oppgitt Content-Type ignoreres for filopplasting. Faktisk filtype bestemmes av bytes-signatur (JPEG @ 0, DICOM @ 128, PDF %PDF- osv.).

• 10+ MIME-typer verifisert (JPEG/PNG/HEIC/PDF/DICOM/WebP/TIFF/BMP)
• Filer med falsk Content-Type blir enten adoptert til korrekt type eller avvist med HTTP 415
• Beskytter mot MIME-spoofing og double-extension-angrep

Innsyn (Art. 15), portabilitet (Art. 20) og sletting (Art. 17) er én-klikk-operasjoner. Sletting anonymiserer men beholder juridisk pålagte deler (Helseregisterloven §12).

• GDPR-eksport: JSON med all pasient-data + audit-log
• Sletting med 30-dagers karantene + full logg
• Databehandleravtale (DPA) tilgjengelig for alle klinikker

Ved deling av CBCT/røntgen med spesialister fjernes 30+ PHI-tags automatisk (DICOM Supplement 142, IHE ATNA).

• PatientName, PatientID, StudyDate, InstitutionName osv. anonymiseres
• Kun kliniske pixel-data og geometri beholdes
• Delings-lenker signert med HMAC + engangsbruk

Enhver PHI-lesning, endring og sletting logges med tidsstempel, bruker-ID og IP-adresse. Loggen er append-only og oppbevares i 10 år (Normen 6.4).

• Alle audit-events har unik ID og hash-kjede
• Loggene backupes daglig til offline-lagring
• Innebygget rapport-generator for Datatilsynet

Hvert eneste AI-endepunkt (røntgentolkning, journal-copilot, taletransskripsjon, OCR) krever innlogget behandler. Ingen kan misbruke maskinlæringen anonymt, og all AI-behandling er knyttet til en identifisert bruker.

• 48+ AI-/kliniske endepunkter låst bak JWT-auth (iter 326c)
• Global Bearer-injisering — ingen kall forlater nettleseren uten token
• Pseudonymisering (NIN/navn/e-post/tlf) før sekundær AI-behandling (Normen 9.1)

Applikasjonen kjøres i EU/EØS-region med norsk drifts- og supportteam. Ingen data forlater EØS.

• Databehandler: Novagenix AS (Harstad, org.nr. 937 865 139)
• Under-databehandlere: MongoDB Atlas (EU), Emergent (compute), Stripe (betaling)
• Full leverandør-liste i Databehandleravtalen