Informationssäkerhet och dataskydd

Här beskriver vi hur Wivid Arc arbetar med tekniska säkerhetsåtgärder och vår analys av dataöverföringar till tredjeland (TIA). För oss är säkerheten i Polar lika viktig som prestandan.

- Åtkomstkontroll: Administrativ åtkomst till infrastruktur och kod kräver tvåfaktorsautentisering. Bara personal med verksamhetskritiskt behov kommer åt produktionsdata, och supportåtkomst till ett företags konto loggas.

- Kryptering: Data krypteras under överföring (TLS 1.2 eller senare) och i vila (AES-256) hos molnleverantörerna.

- Kryptering på applikationsnivå: Personuppgifter om era kunder och användare krypteras med AES-256-GCM innan de lämnar applikationen. Varje företag har en egen nyckel, som i sin tur är skyddad av en huvudnyckel i AWS Key Management Service. Databasleverantören kan därför inte läsa uppgifterna.

- Behörigheter i appen: Varje användare ser bara det företag och de områden rollen ger tillgång till. Inloggningar, ändringar av säkerhetsinställningar och skrivningar via API:t loggas.

- AI-funktioner: Awroras AI-assistent använder Anthropics betalda API. Enligt Anthropics kommersiella villkor används frågor och svar inte för att träna deras modeller.

- Gallring: Personuppgifter gallras dagligen enligt fasta lagringstider, till exempel AI-konversationer efter 365 dagar.

- Säkerhetskopior: Databasen säkerhetskopieras av Supabase i Sverige (AWS Stockholm). Säkerhetskopior sparas i 30 dagar.

Att använda amerikanska molntjänster räknas enligt GDPR som överföring till tredjeland, även när data lagras på servrar inom EU. Vår bedömning bygger på:

- Fysisk lagring: All primär datalagring sker inom EU/EES.

- Rättslig grund: Amerikanska leverantörer är certifierade under EU-U.S. Data Privacy Framework eller omfattas av EU:s standardavtalsklausuler (SCC) i respektive leverantörs personuppgiftsbiträdesavtal.

- Nycklar utanför databasen: Krypteringsnycklarna lagras inte hos databasleverantören, så en läckt databas eller säkerhetskopia avslöjar inte personuppgifterna.

Våra underbiträden:

- Vercel — drift och plattform. Moderbolag i USA, AWS, Stockholm (eu-north-1).

- Supabase — databas, inloggning och filer. Moderbolag i USA, AWS, Stockholm (eu-north-1).

- Amazon Web Services — nyckelhantering (KMS). USA, [eu-north-1].

- Resend — e-post. USA, AWS, [eu-west-1].

- Upstash — begränsning av anrop. USA, AWS, [eu-centeral-1].

- Stripe — betalningar. Stripe Payments Europe, Irland, med behandling även i USA.

- Anthropic — AI-funktioner. USA.

När ett företag avslutar sitt konto raderas företagets data från produktionsmiljön, och företagets krypteringsnyckel raderas så att kvarvarande kopior inte går att läsa. Raderingen är klar senast [X] dagar efter avtalets slut, i linje med lagringstiden för säkerhetskopior.

Vi uppdaterar den här sidan när vår tekniska plattform eller lagstiftningen ändras. Väsentliga ändringar av underbiträden meddelas kunderna minst 30 dagar i förväg.