Säkerhet och dataskydd

Uppladdade dokument lagras i en privat lagringsyta per organisation. Filer nås aldrig via gissbara adresser – åtkomst sker via kortlivade signerade länkar som bara behöriga användare i er organisation kan skapa. Dokument fingeravtryckas (SHA-256) så att oförändrat innehåll inte skickas till AI i onödan.

Alla ändringar av produkter, dokument och åtgärder loggas i en revisionsspårning som inte kan kringgås av klienter.

E-postbekräftelse är obligatorisk vid registrering. Lösenordsåterställning sker via tidsbegränsade länkar. Varje användare tillhör en eller flera organisationer med roller (administratör, redigerare, läsare) som styr vad som får ändras. Medlemskap och inbjudningar hanteras via skyddade serverfunktioner – aldrig direkt från klienten.

Databas och dokumentlagring: AWS eu-central-1 (Frankfurt, Tyskland) – verifierat via teknisk konfiguration och leverantörsdokumentation.

Serverfunktioner körs i ett globalt edge-nätverk (Cloudflare) – exekveringsregion är inte verifierad och kan ligga utanför EU. AI-bearbetning sker via plattformens AI-gateway till OpenAI-modeller – EU-only-bearbetning garanteras inte i nuvarande konfiguration. Säkerhetskopior hanteras av plattformen dagligen; kopiornas lagringsregion är inte oberoende bekräftad.

All trafik sker över TLS. Databasleverantören dokumenterar AES-256-kryptering i vila för all kunddata. Hemligheter (nycklar, tokens) lagras i plattformens hemlighetshantering och exponeras aldrig i klientkod. Betalningsuppgifter lagras aldrig hos TRACEO – kortuppgifter hanteras uteslutande av Stripe (PCI DSS Level 1).

Ett digitalt produktpass publiceras först efter godkännande av en behörig administratör i er organisation. Varje publicerad version är en oföränderlig ögonblicksbild. Ni väljer per fält vad som är offentligt, begränsat eller internt. Publika pass nås via en stabil adress som överlever versionsuppdateringar; begränsade och interna uppgifter lämnar aldrig den interna databasen.

TRACEO agerar personuppgiftsbiträde för den tekniska dokumentation ni laddar upp, och personuppgiftsansvarig för era kontouppgifter (e-postadresser för inloggning). Ett kundvänt personuppgiftsbiträdesavtal (DPA) enligt GDPR artikel 28 är framtaget som utkast och inväntar juridisk granskning och undertecknande – kontakta oss för att få utkastet.

Internationell överföring kan förekomma: AI-bearbetning och edge-exekvering är inte garanterade inom EU. Vi redovisar detta öppet i stället för att lova något vi inte kan styrka.

• Anthropic Claude (valbart QA-alternativ / optional QA alternative)Dokumentanalys och assistentsvar för godkända QA-testerStandardretention upp till 30 dagar med undantag enligt leverantörsvillkor; kontoavtal, underbiträden och överföringar behöver granskas före kundaktiveringEU-only ej verifierat; direkt API
• Lovable Cloud (Supabase on AWS)Databas, inloggning, fillagringSOC 2 Type 2, ISO 27001 (leverantörsdokumenterat)eu-central-1
• Amazon Web ServicesUnderliggande molninfrastrukturISO 27001, SOC 1/2/3 (leverantörsdokumenterat)eu-central-1
• CloudflareServerfunktioner och webbhotell (edge)ISO 27001, SOC 2 (leverantörsdokumenterat)globalt
• Lovable AI GatewayRoutning av AI-anropIngen oberoende rapport granskadej verifierad
• OpenAI (via gateway)Språkmodeller för dokumentanalysSOC 2 (leverantörsdokumenterat); TRACEO har inget direktavtalej verifierad
• Lovable Emails (notify.traceo.se)Transaktionsmejl (bekräftelse, återställning)Domän verifierad; bearbetningsregion ej dokumenteradej verifierad
• StripeBetalningshantering (kortuppgifter lagras aldrig hos TRACEO)PCI DSS Level 1 (leverantörsdokumenterat)globalt

TRACEO har inga egna certifieringar (ISO 27001, SOC 2) och påstår inte det. Infrastrukturleverantörernas certifieringar redovisas i listan ovan och är leverantörsdokumenterade – vi har inte granskat själva revisionsrapporterna. Certifiering är inte generellt obligatorisk för att driva tjänsten, men vi vet att vissa kunder kräver det.

Administratörer exporterar all organisationsdata som JSON direkt i inställningarna. Hela organisationen kan raderas permanent – produkter, dokument och produktpass tas bort och publicerade pass slutar fungera. Plattformens dagliga säkerhetskopior rullas bort enligt plattformens retention (cirka 14 dagar).

Har du hittat ett säkerhetsproblem eller har frågor om dataskydd? Kontakta oss via kontaktsidan – ange inte känsliga detaljer eller personuppgifter i första meddelandet.

Kontakta TRACEO