Hoppa till innehållet
PriserLadda ned
Upphandling

Svaren finns här innan ni ställer frågan

Ett biträdesavtal, en underbiträdesförteckning, en driftort och en tillgänglighetsredogörelse. Fyra bilagor som annars tar tre veckor att få ur en leverantör, och som ligger klara här.

Vi lämnar uppgifter om oss själva, med datum. Prövningen är er, och den ska göras mot regelverkets lydelse och inte mot vår text. Underlaget sågs senast över 2026-08-15.

Begär underlagetSå fungerar krypteringen
2026-06-30rättslig frysning
Fyra köpare

Krypteringen är densamma. Kraven runt omkring är det inte.

Skyddet av innehållet går inte att köpa till och går inte att köpa bort. Det som skiljer en skola från ett försvarsmaktsavtal är styrning, arkiv, drift och vem som håller nyckeln.

Skola och utbildning

Kommunen eller huvudmannen köper åt personal och elever. Frågan som avgör är nästan aldrig kryptering, den är personuppgifter om barn.

Det ni brukar kräva

  • Personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen, med förteckning över underbiträden
  • Behandling inom EU och EES, med utpekad driftort per tjänst
  • Bedömning av överföring till tredje land, eller ett svar på att ingen sker
  • Tillgänglighet enligt lag (2018:1937) och EN 301 549, med tillgänglighetsredogörelse
  • Åldersanpassad standardinställning, alltså det strängaste läget som förval för konton knutna till en elev

Vi lämnar biträdesavtalet och underbiträdesförteckningen som bilaga, före avtal och utan att ni frågar två gånger.

Myndighet och offentlig förvaltning

Här möts två krav som ser ut att utesluta varandra: innehållet ska vara krypterat, och handlingar ska kunna lämnas ut.

Det ni brukar kräva

  • Offentlighetsprincipen enligt tryckfrihetsförordningen 2 kap., alltså en fungerande väg att lämna ut en allmän handling
  • Bevarande och gallring enligt arkivlagen (1990:782) och myndighetens egen dokumenthanteringsplan
  • Registrering och diarieföring av det som ska registreras
  • Informationssäkerhet enligt myndighetens klassning, med spårbarhet i vem som gjorde vad
  • Utlämnandeframställan hanterad av myndigheten själv, inte av leverantören

Exporten körs i en klient som redan har nyckeln, alltså hos er. Vi kan inte läsa innehållet, och därför kan vi inte heller lämna ut det åt er.

Försvar och säkerhetskänslig verksamhet

Säkerhetsskyddslagen gäller före allt annat i den här kolumnen, och den ställer krav på oss som leverantör och inte bara på tjänsten.

Det ni brukar kräva

  • Säkerhetsskyddsavtal enligt säkerhetsskyddslagen (2018:585) innan arbetet börjar
  • Säkerhetsprövning av den personal som får åtkomst, i den omfattning avtalet anger
  • Drift i miljö ni själva anvisar, utan beroende av leverantörens moln
  • Nycklar som skapas och förvaras hos er, med möjlighet att spärra en enhet utan att gå genom oss
  • Granskningsbar källkod för klienten och det kryptografiska protokollet

Kravet på egen drift är det som avgör, och det är byggt in i produkten från början. Vi säljer inte en variant som kräver att data passerar oss.

Företag och organisationer

Inget upphandlingsdirektiv gäller, men samma underlag efterfrågas i varje seriös leverantörsgranskning.

Det ni brukar kräva

  • Personuppgiftsbiträdesavtal och underbiträdesförteckning
  • Driftort, återställningstid och senaste driftavbrott med orsak
  • Rutin för incidenter, med tid till besked och vem som ringer vem
  • Villkorsändringar med varsel, och tidigare nivåer kvar synliga
  • Exportformat och tid till fullständig export

Allt ovan står publicerat innan ni frågar. En leverantör som först vid granskningen kan svara har inte svaret, hen skriver det.

Det ni behöver kunna svara på

Kraven i en upphandling handlar sällan om kryptering

De handlar om diarieföring, utlämnande, loggning, drift och vad som händer den dag ni vill byta leverantör. Nedan står svaren, och de går att kontrollera mot avtalet.

  • En handling som ska diarieföras går att exportera i öppet format.
  • Utlämnandet sker hos er, där nycklarna finns.
  • Driften kan ligga hos er, hos oss eller hos er molnleverantör.
  • Revisionsloggen skriver vem som gjorde vad, och när.
  • Källkoden ligger i deposition i den suveräna nivån.
  • Ett rum utan anslutning ut fungerar likadant som ett med.
Den svåra frågan

Hur går en krypterad chatt ihop med offentlighetsprincipen?

Den frågan fäller de flesta krypterade tjänster i en offentlig upphandling, och de flesta svarar undvikande på den. Här är vårt svar rakt ut.

En myndighet måste kunna lämna ut en allmän handling och måste kunna bevara och gallra enligt sin dokumenthanteringsplan. En tjänst där leverantören inte kan läsa innehållet ser då ut att vara omöjlig att använda.

Den slutsatsen bygger på ett antagande som inte stämmer: att det är leverantören som ska lämna ut. Det är det inte. Utlämnandet görs av myndigheten, av en handläggare hos myndigheten, ur myndighetens eget material.

Därför ligger exporten i en klient som redan har nyckeln, alltså hos er. Ni tar ut ett rum, en period eller en tråd, i ett format som går att arkivera, och varje uttag skriver en rad i er egen revisionslogg. Vi ser att ett uttag skedde. Vi ser inte vad som stod i det.

Det gör två saker samtidigt. Handlingen går att lämna ut, och den kan inte lämnas ut av oss, inte till en främmande stat och inte till oss själva. Ett föreläggande riktat mot oss kan inte ge något vi inte har.

Bedömningen av vad som är en allmän handling hos just er myndighet är er, inte vår. Vi bygger vägen, ni avgör vad som ska gå genom den.

ingen väg ut ur din miljö
En allmän handling förblir en allmän handling. Krypteringen ändrar var den lämnas ut, inte om.
Två saker som ofta blandas ihop

En sanktionslista och artikel 5k är inte samma sak

Vi skriver ut skillnaden, eftersom den avgör om ni får tilldela ett kontrakt eller inte, och eftersom den slarvas bort i nästan varje leverantörssvar.

Ett förbud

Artikel 5k i förordning (EU) 833/2014

Ett förbud mot att tilldela och mot att fullgöra, inte en uteslutningsgrund att väga. Det når även underleverantörer och den som lånar ut kapacitet över en viss andel av kontraktsvärdet. Är kontraktsvärdet okänt går andelen inte att räkna, och då finns inget svar att ge.

Inte ett hinder i sig

Förekomst i en sanktionslista

Att en leverantör förekommer i en sanktionslista är enligt Upphandlingsmyndigheten inte i sig ett hinder för att delta. Det är en uppgift att pröva, med proportionalitet och med leverantörens rätt att yttra sig.

Varje kontroll ska göras mot den listversion som gäller den dag ni prövar. En träff utan listversion och hämtningsdatum är inte en träff. Vi lämnar uppgift om ägarstruktur och etableringsland; kontrollen och bedömningen är er.

Färdiga svar

Nio frågor ur en leverantörsgranskning

Sju av dem svarar vi på. Två gör vi inte, och skälet står utskrivet, eftersom en leverantör som svarar på dem svarar på något som inte är leverantörens att avgöra.

Uppgift från ossVar behandlas uppgifterna?
Inom EU och EES. Driftorten pekas ut per tjänst i biträdesavtalet, och den ändras inte utan varsel enligt villkoren.
Uppgift från ossVilka underbiträden anlitas?
Förteckningen lämnas som bilaga och uppdateras med varsel. Ett nytt underbiträde träder inte in innan varselperioden har löpt ut.
Uppgift från ossSker överföring till tredje land?
Nej för innehållet, som är krypterat med nycklar vi inte har. För driftdata står svaret i biträdesavtalet, per tjänst.
Uppgift från ossUppfyller tjänsten tillgänglighetskraven?
Klienterna byggs mot WCAG 2.2 nivå AA och EN 301 549. Tillgänglighetsredogörelsen ligger publikt och namnger det som inte når kravet.
Uppgift från ossFinns leverantören i någon sanktionslista?
Nej. Vi lämnar uppgift om ägarstruktur och etableringsland så att ni kan göra kontrollen själva mot den listversion som gäller den dag ni prövar.
Uppgift från ossOmfattas leverantören av förbudet i artikel 5k?
Nej. Bolaget är svenskt och har inget ryskt ägande eller kontroll. Uppgiften är vår, prövningen är er, och den ska göras mot förordningens lydelse och inte mot vår text.
Uppgift från ossÄr tjänsten ett AI-system med hög risk?
Chatten bedömer ingen människa och fattar inga beslut om personer, så den faller inte under någon punkt i bilaga III till förordning (EU) 2024/1689. Transparenskravet i artikel 50 gäller ändå, och en agent i ett rum är alltid märkt som agent.
Svarar vi inte påVad gäller för tröskelvärden i vår upphandling?
Det svarar vi inte på. Beloppen ändras, och de ska läsas ur Upphandlingsmyndighetens gällande tabell och inte ur en leverantörs sajt. Vi lämnar underlag, inte juridisk bedömning.
Svarar vi inte påKan ni intyga att vi får handla upp er direkt?
Nej. Valet av förfarande är köparens bedömning och beror på ert kontraktsvärde och er situation. Vi kan lämna varje uppgift ni behöver för att göra bedömningen, med datum.
Drift

Var det körs, och vem som når det

Egen drift är inte en dyrare variant av samma sak. Det är samma kod, i er miljö, med era nycklar.

  • Ett kopplingsfält i en telefonväxel
    Vår drift. Kopplingen sker hos oss, innehållet passerar krypterat.
  • En chiffermaskin
    Er drift. Samma klient, samma protokoll, era nycklar och er maskin.
  • Ett hänglås på en grind
    Spärr av en enhet görs av er, utan att gå genom oss.
Frågor

Det upphandlare brukar fråga sist

Vanliga frågor

Kan ni fylla i vårt egenförsäkransformulär?

Ja, med uppgifter om bolaget och tjänsten. Vi undertecknar inte påståenden om hur ert regelverk ska tolkas, och vi kryssar inte i en ruta som förutsätter en bedömning som är er.

Vad gäller om vi behöver egen drift senare?

Bytet från vår drift till er är dokumenterat och kostar ingen ombyggnad av klienterna. Det står i avtalet från början, så att det inte blir en förhandling den dag ni behöver det.

Hur hanteras samordnad registerkontroll?

En samordnad registerkontroll med Bolagsverket som byggare av IT-stödet föreslås i prop. 2025/26:177. Vi skriver föreslås och inte gäller, och vi uppdaterar den här raden när något annat är kontrollerat. Fram till dess lämnar vi de registerutdrag ni begär.

Kan ni garantera att vi klarar en överprövning?

Nej, och en leverantör som säger ja har lovat något hen inte råder över. Vi kan se till att inget svar från oss är det som fäller er: varje uppgift bär datum, källa och en kontaktväg för den som vill kontrollera den.

Vad kostar det för en myndighet?

Samma publicerade nivåer som för alla andra. Vi förhandlar inte fram en enskild nivå, eftersom en individuellt förhandlad nivå går att höja i ett svep och eftersom den gör jämförelsen omöjlig för nästa köpare. Se priserna.

Begär hela underlaget

Biträdesavtal, underbiträdesförteckning, driftorter, tillgänglighetsredogörelse och svaren ovan i ett dokument ni kan bifoga. Ni får det utan att teckna något.

Begär underlagetLäs om krypteringen