Compliance & Dokumentation

Data i EU

Jeres data — samtaler, bookinger og kontaktoplysninger — opbevares i EU: database og filer i Frankfurt, og vores egen software kører i Frankfurt. Stemme og AI-analyse leveres af underdatabehandlere i USA på EU's standardkontraktbestemmelser; de står alle i databehandleraftalen.

Sletning

Persondata på en booking viskes, når ordren er behandlet, og ventekort viskes automatisk efter en uge. Fristen for samtalelogs og optagelser fastsættes i databehandleraftalen.

Databehandleraftale (DPA)

Vi indgår en databehandleraftale efter GDPR artikel 28 med hver kunde, før Nora tager det første opkald. Den bygger på Datatilsynets standardaftale med bilag om behandlingen, sikkerheden og underdatabehandlerne.

Dataminimering

Nora beder kun om det, opgaven kræver — typisk navn og mobilnummer — og spørger aldrig om CPR-nummer, betalingskort eller helbredsdetaljer. Persondata på en booking viskes, når ordren er gennemført.

Registreredes rettigheder

Anmodninger om indsigt, berigtigelse og sletning besvares inden for GDPR's frist på 30 dage — for jeres kunder efter jeres instruks som dataansvarlig.

Databrud

Ved brud på persondatasikkerheden underretter vi jer uden unødig forsinkelse, så anmeldelsen til Datatilsynet kan ske inden 72 timer — og for vores egne data anmelder vi selv.

Oplysning om AI (Article 50)

Nora oplyser, at hun er en AI-assistent: i hilsenen hos jeres kunder — og altid, hvis nogen spørger, om de taler med et menneske.

Et menneske er altid inden for rækkevidde

Beder den, der ringer, om et menneske, oplyser Nora jeres nummer og tager en besked, som lander hos jer i Bagland med det samme. Direkte omstilling af opkaldet er undervejs.

Log på alle samtaler

Alle samtaler logges med tidspunkt, samtale-ID, transskription og resumé — og som lydoptagelse, hvis I har slået "Gem lyd" til i jeres indstillinger. Så kan I altid se, hvad der blev sagt og aftalt.

Risikoklassificering

Nora er et AI-system med begrænset risiko under AI-forordningen (gennemsigtighedskrav i Article 50). Vi vedligeholder teknisk dokumentation af, hvordan hun er bygget og styres.

Menneskeligt tilsyn

I styrer Nora fra Bagland: regler, hilsen, åbningstider, akut-instruks og hvornår hun skal tage besked. Alt, hun gør, kan ses og rettes af et menneske.

Løbende overholdelse

Vi følger vejledningen fra EU's AI-kontor og Datatilsynet og opdaterer Nora, når kravene ændrer sig.

Kryptering

Al kommunikation krypteres i transit (TLS), og data krypteres i hvile hos vores databehandlere. Adgang til produktionsdata kræver personligt login.

Ingen sundhedsfaglig rådgivning

Nora giver aldrig sundhedsfaglig rådgivning eller vurderinger — hun booker, tager besked og henviser til behandleren.

Leverandørernes sikkerhed

Vores databehandlere dokumenterer selv deres sikkerhed med uafhængige revisionsrapporter, som vi indhenter ved behov.

ISO 27001

ISO 27001-certificering er et mål for Svarflow. Vi bygger efter standardens principper — mindst mulig adgang, styr på leverandørerne og løbende gennemgang af risici — men vi er ikke certificeret endnu.

Adgangskontrol

Produktionsnøgler ligger kun i krypteret miljøkonfiguration hos vores hosting-leverandør og deles aldrig i klartekst. Adgang til Bagland kræver personligt login, og staff-funktioner er låst til godkendte konti.

Sikkerhedstest

Vi har endnu ikke fået lavet en ekstern sikkerhedstest af tredjepart — den er på listen. Indtil da tester vi selv hver ændring med automatiske låse, holder afhængigheder opdaterede og lukker fund med det samme.