Livscykel och support

Anger hur länge Privera får support och säkerhetsuppdateringar, hur snabbt sårbarheter åtgärdas, hur uppdateringar levereras och vad som händer när produkten når sitt slut. Där något är ett åtagande som inte är byggt står det uttryckligen.

1. Sammanfattning

2. Supportperiod

Supportperioden beslutades 2026-10-23.

Från version 1.0. Itha AB ger säkerhetsrättningar för Privera i 5 år räknat från den dag version 1.0 ges ut. Datumet för 1.0, och därmed supportperiodens slutdatum, anges i månad och år när 1.0 ges ut, på privera.se och i avtalet. Version 1.0 är inte utgiven, och något datum för den är inte fastställt.

Under betan. Privera är i dag en beta före 1.0. Den aktuella versionen är 0.9.0-beta22. Betan får säkerhetsrättningar fram till att version 1.0 ges ut, och därefter gäller femårsperioden ovan. I övrigt gäller köpvillkoren: uppdateringar och support ingår så länge abonnemanget löper, och e-postsupport ges helgfria vardagar klockan 09 till 18.

Förhållande till CRA. EU:s cyberresiliensförordning, förordning (EU) 2024/2847, kräver i artikel 13.8 en supportperiod på minst fem år, om produkten inte förväntas användas kortare tid, och i artikel 13.19 att slutdatumet anges vid köpet. Kraven gäller från 2027-12-11. Fem år från version 1.0 motsvarar huvudregeln i artikel 13.8. Hur perioden ska räknas för ett program som säljs löpande, från version 1.0 eller från varje senare försäljning, har vi inte låtit bedöma juridiskt. Artikel 13.9 kräver dessutom att varje utgiven säkerhetsuppdatering finns tillgänglig i minst 10 år efter utgivningen, eller resten av supportperioden om den är längre. I dag lämnar uppdateringskanalen och nedladdningen bara ut den senaste installern, och äldre versioner finns inte tillgängliga för kunderna. Planerat före 2027-12-11: att varje utgiven säkerhetsuppdatering hålls tillgänglig så som artikel 13.9 kräver. Hur det ska ordnas är inte bestämt.

3. Säkerhetsuppdateringar

• Vilken version. Säkerhetsrättningar ges ut i en ny version av programmet. Bara den senaste versionen får rättningar. Äldre versioner rättas inte; kunden uppdaterar till den senaste, som ingår i abonnemanget.
• Kostnad. Säkerhetsuppdateringar ingår i abonnemanget utan extra kostnad.
• Vem som får dem. Uppdateringar, även säkerhetsrättningar, lämnas bara ut till licenser som har rätt att köra programmet: provperiod, aktivt abonnemang, uppsagt abonnemang till periodens slut och misslyckad kortdragning medan betalningen försöks igen, i samtliga fall till slutet av den betalda perioden eller provperioden plus 3 dagar. Det är samma regel som aktiveringen och licensförnyelsen använder. En uppsagd, obetald, pausad eller utgången licens får inga uppdateringar. Det följer av köpvillkoren (uppdateringar ingår så länge abonnemanget löper) och av att en sådan installation inte kan bearbeta dokument: utan giltigt licensbevis visar programmet bara licensrutan (avsnitt 6). Den som tecknar abonnemanget igen får den senaste versionen vid nästa start.
• Funktions- och säkerhetsändringar. I dag levereras säkerhetsrättningar i samma versioner som andra ändringar. När en rättning inte kan vänta på nästa planerade version ges en separat version ut.
• Tredjepartskomponenter. Electron och Chromium, Python-paket, Tesseract med bibliotek och språkmodellen omfattas. Larm från GitHub om sårbara beroenden (Dependabot) bevakar npm-beroendena sedan 2026-10-23. Python-paketen och Tesseract med bibliotek bevakas manuellt. Programmet levereras med Electron 44.6.0. Electron ger säkerhetsrättningar för de tre senaste stabila serierna; enligt Electrons tidsplan upphör stödet för 44-serien 2027-03-02, och programmet behöver byta serie före dess, se Säker utveckling.
• Meddelanden. Rättade sårbarheter av grad Medel eller högre redovisas i säkerhetsmeddelanden, se Sårbarhetshantering.

4. Åtgärdstider

Tiderna är fastställda 2026-10-23 och är desamma som i Sårbarhetshantering, där graderna också definieras. De räknas från att bedömningen av sårbarheten är klar. Första bedömning görs inom 5 arbetsdagar från mottagandet. Åtgärd betyder en rättad version i uppdateringskanalen eller, om det inte går i tid, en publicerad skyddsåtgärd.

Kan en tidsram inte hållas meddelas berörda kunder med skäl och ny tidpunkt (för Kritisk och Hög). Aktivt utnyttjade sårbarheter och allvarliga incidenter rapporteras enligt CRA artikel 14.

Inkorgen bevakas helgfria vardagar. Det finns ingen jour dygnet runt.

5. Uppdateringskanal

• Programmet frågar licens.privera.se efter en ny version när det startar. Frågan skickas bara om programmet har en licensnyckel.
• Servern lämnar ut uppdateringen, och installern via privera.se/download/, bara till en licensnyckel vars licens har rätt att köra programmet (avsnitt 3). Övriga får samma svar som en okänd nyckel.
• Uppdateringen laddas ner i bakgrunden. Programmet kontrollerar filens SHA-512 och signaturen innan den installeras. Från 0.9.0-beta22 krävs Itha AB:s hela utgivarnamn och den version som uppdateringsmanifestet angav, och kan äktheten inte kontrolleras installeras uppdateringen inte, se IT-drift avsnitt 5.
• Uppdateringen installeras när användaren klickar på beskedet i programmet, eller vid nästa normala avslut. Omstart tvingas aldrig fram.
• Programmet installeras förvalt per användare, utan administratörsbehörighet. Installern kan också köras tyst och per dator, se IT-drift.

Central styrning (från 0.9.0-beta21). Organisationen kan styra uppdateringarna med grupprincip, Intune eller registret: stänga av dem och rulla ut nya versioner själv, eller låta programmet bara meddela att en ny version finns. En ADMX-mall finns. Detaljerna står i IT-drift avsnitt 5 och 6. Med uppdateringarna avstängda ansvarar organisationen för att rulla ut säkerhetsrättningarna, som bara ges i den senaste versionen (avsnitt 3).

Saknas i dag: MSI-paket.

6. Drift utan licensservern

• Licensservern utfärdar ett signerat licensbevis som gäller i högst 14 dagar, och aldrig längre än till slutet av den betalda perioden plus 3 dagar.
• Programmet börjar förnya beviset när halva giltighetstiden har gått, alltså normalt efter 7 dagar, och försöker därefter en gång i timmen.
• När beviset har gått ut slutar programmet bearbeta dokument. Det kontrolleras både i gränssnittet och i programmets huvudprocess.

Följden: om licensservern inte går att nå fungerar programmet i högst 14 dagar efter senaste lyckade förnyelse, om inte ett avvecklingsbesked har lästs in (avsnitt 8). Beviset gäller aldrig längre än till slutet av den betalda perioden eller provperioden plus 3 dagar. Försvinner servern under de sista dagarna av en betalperiod kan det därför bli bara några dagar kvar, i värsta fall cirka 3. Marginalen på 3 dagar förlänger aldrig tiden utan nät; den kan bara korta den.

7. Slut på support

För en version. Rättningar ges i den senaste versionen (avsnitt 3). Det enda som krävs av kunden är att uppdatera till den senaste versionen, som ingår i abonnemanget. Varslet nedan gäller supporten för produkten, inte enskilda versioner.

För produkten. Itha AB meddelar kunderna minst 6 månader innan supporten för Privera upphör. Meddelandet skickas med e-post till kundens registrerade adress och till kontaktpersonen i avtalet. Under varselperioden ges säkerhetsuppdateringar som vanligt.

Saknas i dag: besked om supportens slut inne i programmet. Det är planerat men inte byggt.

8. Om Itha AB upphör eller slutar med Privera

Åtagande. Om Itha AB upphör med verksamheten, försätts i konkurs eller slutar tillhandahålla Privera får kunderna en slutversion av programmet som fungerar utan licensservern. Slutversionen lämnas ut via uppdateringskanalen medan den finns kvar, och som installer direkt till kunden. Det gäller även kunder vars abonnemang redan är uppsagt: när beskedet är publicerat lämnar licensservern ut slutversionen till varje känd licensnyckel. Beskedet publiceras och slutversionen läggs ut innan abonnemangen avslutas.

Hur. Itha AB utfärdar ett avvecklingsbesked som signeras med en egen Ed25519-nyckel, avvecklingsnyckeln. Den är skild från licensserverns nyckel och finns inte i licensservern. Den privata nyckeln ska flyttas till förvaring offline; per 2026-10-23 är det inte gjort. Programmet tar emot beskedet från licensservern vid en förnyelse, eller som fil under Inställningar eller på licensskärmen. Med ett giltigt besked kör programmet utan tidsgräns, utan licenskontroller och utan uppdateringskontroller. Besked som är falska, ändrade eller signerade med fel nyckel avvisas. Se Avvecklingsläge.

Läget i dag. Mekanismen finns från version 0.9.0-beta20. Versioner till och med 0.9.0-beta19 saknar den och slutar bearbeta dokument inom högst 14 dagar utan licensservern (avsnitt 6). Åtagandet gäller därför kunder som har uppdaterat till 0.9.0-beta20 eller senare. Läget är provat i automatiska tester av programmets licensdel och av licensservern, men inte i ett installerat program på en ren dator.

Källkodsdeposition (escrow) erbjuds inte i dag.

Kundens data påverkas inte. Dokumenten behandlas bara på kundens dator. Original, exporterade filer, exportloggar och säkerhetsloggar ligger kvar hos kunden oavsett vad som händer med Itha AB eller licensservern. Avinstallation tar inte bort programmets datamapp.

9. Kontakt