Sikkerhet og datalagring

Vi bygger på en enkel regel: dataene dine skal ligge i EU, være kryptert, og du skal kunne få vite nøyaktig hvor. Her er det vi faktisk kan stå for — verifisert, ikke markedsføring.

Hvor dataene ligger

Aktsom kjører på Supabase i Dublin, Irland (EU-region). Database, autentisering og lagring ligger i EU, og hostingen (Vercel) kjører på EU-infrastruktur.

Kryptering og sertifisering

Supabase, som drifter databasen vår, er SOC 2 Type 2- og ISO 27001-sertifisert, med årlig revisjon. Data og sikkerhetskopier krypteres med AES-256 ved lagring, og all trafikk går over TLS 1.2 eller nyere i transitt. Alle tabeller er beskyttet med row-level security (RLS).

Drift og overvåking

Sikkerhet er også å oppdage feil før kundene gjør det. Aktsom kjører med:

• Feilovervåking — tekniske feil registreres automatisk i et EU-hostet feilsporingsverktøy (listet som underdatabehandler i personvernerklæringen). Personopplysninger og lenke-hemmeligheter filtreres bort før hendelsen lagres. Dette dekker også de sjeldne tilfellene der en feil hindrer hele siden i å laste.
• Oppetidsovervåking — tjenesten overvåkes kontinuerlig utenfra, slik at nedetid oppdages uten at noen må melde fra.
• Sårbarhetsskanning — avhengigheter skannes løpende for kjente sårbarheter, og hver kodeendring går gjennom automatiske sikkerhetskontroller før den settes i produksjon.
• Brannmur — en brannmur på nettverkskanten avviser kjente angreps- og skannemønstre før de når applikasjonen.
• Sikkerhetsvarsling — mistenkelig aktivitet, som gjentatte avviste forespørsler, utløser automatisk varsel til oss.
• Sanksjonslisten — EUs konsoliderte sanksjonsliste sjekkes mot EU hver natt. Mislykkes en oppdatering, varsles vi automatisk, og hver sanksjonssjekk viser hvilken listeutgave den ble kjørt mot. Er listen ufullstendig, stanses sanksjonssjekken i stedet for å svare «ingen treff».

Kildene vi bygger på

Aktsom bygger på lovtekst, tilsynets veiledning og tre offentlige kilder om landrisiko og sanksjoner. Vi kontrollerer dem automatisk: hver natt, og ITUC-indeksen hver uke. En ny utgave av ITUC- eller CPI-indeksen leses bare inn når den består kontrollene våre: hvert land én gang, samme antall land som kilden oppgir, og for ITUC de samme endringene som kilden selv lister, for CPI de samme fjorårstallene som vi har fra før. Endres lovteksten eller veiledningen, vurderer vi det før produktet endres.

Tallene leses direkte fra kontrollsporet vårt, som bare kan legges til, aldri endres. Mislykkes en kontroll, får vi varsel, og raden viser når den sist lyktes.

Databehandleravtale

Når Aktsom behandler personopplysninger på vegne av pilotkunden som ledd i tjenesten, er pilotkunden behandlingsansvarlig og AgerTechAI Consulting AS databehandler. Egen databehandleravtale signeres ved oppstart — se databehandleravtalen.

Det vi ikke skjuler

Aktsom bruker Anthropic Claude til AI-risikoscoring og til å generere utkast til redegjørelse. Når en forespørsel behandles av modellen, skjer selve prosesseringen i USA, med mindre den rutes via EU-infrastruktur. Det finnes foreløpig ingen egen EU-region for Anthropic-modellene direkte. Anthropic lagrer ikke API-data for å trene modeller, og lagrer kun input/output kortvarig for misbruksdeteksjon.

Det er den ene tingen «alt ligger i EU» ikke fullt ut dekker, og vi sier det heller rett ut enn å pynte på det. AI-resultater er beslutningsstøtte — pilotkunden og dennes styre tar alle avgjørelser om publisering og signering.

Les mer

Detaljer om hvilke opplysninger vi behandler, lagringstid og dine rettigheter finner du i personvernerklæringen.