Hur vi hanterar din data.

Hosting och datalagring

• Region: Stockholm, Sverige (Supabase EU-region eu-north-1)
• Inga US-cloud-beroenden för applikation, databas eller AI-anrop som hanterar kunddata
• AI-leverantörer: Anthropic via EU-residency (claude.eu), OpenAI Whisper via EU-region eller Groq EU-instans
• CDN: Netlify Edge (EU-regioner prioriterade för svenska användare)

GDPR och PUB-avtal

• GDPR-compliant sedan dag 1
• Personuppgiftsbiträdesavtal (PUB-avtal): medföljer alla pilot- och produktionsavtal, undertecknas innan första data flyttas
• Sub-processorer: publik lista uppdateras vid varje förändring (Supabase, Anthropic, Netlify, Stripe)
• Rätt att glömmas: du kan begära full data-radering via mail; vi raderar inom 30 dagar och bekräftar skriftligt
• Dataportabilitet: all din data exporterbar som JSON eller CSV på begäran

Vad lagras, vad lagras inte

• Deal-data stannar i din CRM. Vi läser via API men spegelvänder inte hela din pipeline.
• Mötesanalyser (transkript → strukturerad data) mellanlagras temporärt under bearbetning. Audio-filer raderas inom 24h efter analys är klar.
• Sparade mötesnoter lagras strukturerat så du kan söka i dem senare. Du kan radera enskilt eller alla på en gång.
• AI-prompts till Claude och Whisper innehåller inte din CRM-token eller säkerhetshemligheter.

Säkerhet

• Kryptering at rest: AES-256 (Supabase Postgres standard)
• Kryptering in transit: TLS 1.3 mellan alla komponenter
• CRM-tokens: krypterade per användare innan lagring; aldrig synliga i loggar eller felmeddelanden
• Row-Level Security (RLS): Supabase RLS på alla tabeller — du kan bara läsa data som tillhör ditt eget konto
• Rate-limiting: per user_id för att förhindra missbruk av AI-anrop
• Cost-cap: per-användar-tak på AI-token-användning per dag — du kan inte luras till en chock-faktura

Åtkomstkontroll

• Multi-tenant-isolation: varje kund ser bara sin egen data — RLS-policies verifierar detta på databas-nivå
• SSO via Microsoft Entra eller Google Workspace (Enterprise-paket)
• Roll-baserad åtkomst: säljare, manager, admin
• Audit-logg: alla viktiga handlingar (CRM-koppling, ny användare, raderingar) loggas med tidsstämpel

Vad vi INTE har idag

Vi är en ung produkt. Här är vad vi inte har — så du vet:

• ISO 27001-certifiering: inte ännu. På roadmap för Q4 2026.
• SOC 2 Type II: inte ännu. Lågare prioritet eftersom svenska EU-buyers föredrar ISO 27001.
• Penetrationstester: vi planerar första externa pentest under H2 2026 inför ISO-cert.
• SLA 99.9%: i Enterprise erbjuder vi 99.5% i nuläget; 99.9% kommer när vi har redundans i andra EU-region.

Relaterade policys

• Integritetspolicy — full lista av vad vi samlar in, retention-tider, dina rättigheter
• Sub-processorer — alla tredje-parts-tjänster som hanterar data
• Användarvillkor — abonnemang, uppsägning, SLA, ansvar

Kontakt

Säkerhets- och datafrågor: magnus@closify.se. Svar inom 24h på vardagar.

Du kan också ladda ner vårt Personuppgiftsbiträdesavtal (PUB-mall) på begäran — mejla med "PUB" i ämnesraden.