Compliance & Dokumentation

EU-hosting

Alle kundedata hostes udelukkende i EU (Frankfurt, AWS eu-central-1). Ingen overførsler til tredjelande.

Automatisk sletning

Samtalelogs og optagelser slettes automatisk efter 90 dage. Konfigurerbar ned til 30 dage på Pro og Enterprise.

Databehandleraftale (DPA)

Færdig og klar til underskrift. GDPR artikel 28-compliant. Leveres inden onboarding.

Anonymisering

Følsomme oplysninger (CPR-numre, helbredsdata, betalingskort) detekteres og anonymiseres automatisk inden AI-behandling.

Registreredes rettigheder

Indsigt, berigtigelse og sletning håndteres via dashboard. Svar inden 72 timer.

Databrud-notifikation

Automatisk varsling til dataansvarlig og Datatilsynet inden for 72 timer ved brud, i overensstemmelse med artikel 33.

Article 50 Disclosure

Nora oplyser altid ved samtalens start, at den er en AI-assistent. Kravene fra Article 50 er opfyldt fra dag 1.

Eskaleringsret

Slutbrugere kan til enhver tid anmode om at blive viderestillet til et menneske. Eskaleringslogik er hardkodet og kan ikke deaktiveres.

Audit-log

Alle samtaler logges med tidsstempel, AI-respons-ID og operator-konfiguration til fuld revisionsspor.

Risikoklassificering

Nora klassificeres som "Limited Risk" under EU AI Act. Vi vedligeholder teknisk dokumentation i overensstemmelse med Article 11.

Menneskelig tilsyn

Operator-dashboard giver fuld kontrol. Nora kan sættes i "human-handoff"-tilstand for højrisiko-interaktioner.

Løbende overholdelse

Vi følger GPAI Code of Practice og opdaterer implementeringen i takt med vejledning fra EU AI Office.

End-to-end kryptering

Al kommunikation krypteres med TLS 1.3 i transit. Data krypteres med AES-256 at rest.

Ingen CPR- eller sundhedsdata

CPR-numre og sundhedsoplysninger detecteres automatisk og ekskluderes fra AI-modellens kontekst.

SOC 2 Type II

Vores underprocessorer (AWS, Anthropic) er SOC 2 Type II-certificerede. Svarflow selv er under certificering.

ISO 27001

ISO 27001-certificering er planlagt til Q4 2026. ISMS er implementeret og intern audit er gennemført.

Adgangskontrol

RBAC med mindste-privilegium. Alle produktionssystem-adgange kræver MFA og logges til SIEM.

Penetrationstest

Ekstern pentest gennemføres minimum halvårligt af akkrediteret tredjepart. Seneste rapport: Q1 2026.