Sikkerhet og datalagring

Vi bygger på en enkel regel: dataene dine skal ligge i EU, være kryptert, og du skal kunne få vite nøyaktig hvor. Her er det vi faktisk kan stå for — verifisert, ikke markedsføring.

Hvor dataene ligger

HR-Kompis kjører på Supabase i Stockholm (EU-region). Database, innlogging og lagring ligger i EU, og hostingen (Vercel) kjører på EU-infrastruktur (Frankfurt).

Kryptering og sertifisering

Supabase, som drifter databasen vår, er SOC 2 Type 2- og ISO 27001-sertifisert, med årlig revisjon. Data og sikkerhetskopier krypteres med AES-256 i ro, og all trafikk går over TLS 1.2 eller nyere i transitt.

Innlogging og tilgang

• To-faktor er påkrevd, ikke valgfritt. Alle brukere bekrefter innlogging med en engangskode fra en autentiseringsapp, i tillegg til e-postlenken. Personaldata skal ikke ligge bak bare en e-postlenke som kan videresendes.
• Gjenopprettingskoder deles ut ved oppsett, og autentiseringsappen kan byttes selvbetjent — mister du telefonen, står du ikke låst ute.
• Roller styrer tilgangen: bare daglig leder kan endre abonnement, invitere og fjerne brukere, og godkjenne at et regnskapsbyrå får innsyn.

Drift og overvåking

Sikkerhet handler ikke bare om hvor dataene ligger, men om at vi oppdager når noe er galt.

• Feilovervåking: uventede feil fanges opp av et EU-hostet overvåkingsverktøy, slik at vi ser problemer før de rammer deg. Personopplysninger sendes ikke med, og innloggingslenker filtreres bort før en feilrapport forlater nettleseren din. Dette dekker også de sjeldne tilfellene der en feil hindrer hele siden i å laste.
• Oppetidsovervåking: tjenesten sjekkes utenfra hvert femte minutt, med automatisk varsling ved nedetid.
• Sårbarhetsskanning: avhengigheter overvåkes løpende for kjente svakheter, og en sikkerhetsportvakt i byggekjeden blokkerer kjente feilmønstre før de når produksjon.
• Brannmur: skanner- og utnyttelsestrafikk blokkeres på kanten, før den treffer tjenesten.
• Sikkerhetsvarsling: gjentatt misbruk eller mistenkelig aktivitet utløser automatiske varsler internt.

Betaling

Kortbetaling håndteres av Stripe, som er sertifisert på kortbransjens strengeste nivå (PCI DSS Level 1). Kortopplysninger legges inn direkte hos Stripe og berører aldri våre servere — hos oss lagres bare abonnementsstatus. Velger du faktura, utsteder vi den fra vårt eget regnskaps-/fakturasystem med 14 dagers forfall.

Databehandleravtale

Vi tilbyr databehandleravtale (DPA) til virksomheter som tar i bruk HR-Kompis. Når dine ansatte nevnes i en chatlogg knyttet til et HR-spørsmål, er din virksomhet behandlingsansvarlig og AgerTechAI databehandler. En oppdatert oversikt over underdatabehandlere finner du i personvernerklæringen.

Det vi ikke skjuler

HR-Kompis bruker Anthropic Claude til å generere svar og Voyage AI til semantisk søk. Når en forespørsel behandles av disse modellene, skjer selve prosesseringen i USA, med mindre den rutes via EU-infrastruktur. Det finnes foreløpig ingen egen EU-region for Anthropic-modellene direkte. Anthropic lagrer ikke API-data for å trene modeller, og lagrer kun input/output kortvarig for misbruksdeteksjon.

Det er den ene tingen "alt ligger i EU" ikke fullt ut dekker, og vi sier det heller rett ut enn å pynte på det.

Les mer

Detaljer om hvilke opplysninger vi behandler, lagringstid og dine rettigheter finner du i personvernerklæringen.