Sikkerhet

Sikkerhet er bygget inn i Nodary, ikke satt på i etterkant. Vi følger prinsippene om minste privilegium, forsvar i dybden og sikker konfigurasjon som standard, og vi holder angrepsflaten liten ved å basere oss på forvaltet og revidert infrastruktur. Denne siden oppsummerer tiltakene; hvordan vi behandler personopplysninger er beskrevet i personvernerklæringen.

Nodary kjører i sin helhet på Amazon Web Services, hvis datasentre har ledende uavhengige sertifiseringer, blant annet SOC 2 Type II og ISO 27001.

• Databasen kjører på forvaltet PostgreSQL inne i et privat virtuelt nettverk (VPC), ikke eksponert mot det offentlige internett.
• Beregninger kjøres på isolerte, kortlevde serverløse funksjoner med snevert avgrensede IAM-tillatelser.
• Filer lagres i tilgangsstyrt objektlagring med signerte URL-er med begrenset varighet.

• Passord hashes med bcrypt; vi lagrer dem aldri i klartekst og viser dem aldri igjen.
• Økter bruker signerte http-only-tokener med tilbakekalling per økt og «logg ut overalt».
• Valgfri tofaktorautentisering (TOTP) med reservekoder og beskyttelse mot gjenspilling.
• Rollebasert tilgangskontroll i hvert arbeidsrom, håndhevet på serveren ved hver forespørsel og ikke bare skjult i grensesnittet.
• E-postbekreftelse, tokenkontroller i konstant tid og engangslenker for bekreftelse og tilbakestilling av passord.

• Kryptering under overføring (TLS) for alle tilkoblinger.
• Kryptering i ro for database, fillagring og sikkerhetskopier.
• Streng dataisolering per arbeidsrom, håndhevet ved hver spørring og i fakturerings- og KI-lagene.
• Automatiske, krypterte sikkerhetskopier med gjenoppretting til et gitt tidspunkt i den forvaltede databasen.

KI-funksjoner kjører på grunnmodeller som driftes innenfor AWS (Amazon Bedrock) under en avtale som forbyr bruk av dataene dine til å trene modellene deres.

• Validering av inndata på serveren, med skjemakontroll.
• Lagdelt hastighetsbegrensning på autentiserings-, API- og KI-endepunkter, både i minnet og distribuert.
• Content Security Policy og vanlige herdende svarhoder.
• Revisjonslogging av sensitive handlinger og synlig håndtering av aktive økter for hver bruker.
• Webhooks verifiseres med signatur og behandles idempotent for å hindre gjenspilling.

Betalinger håndteres av Stripe, en sertifisert PCI-DSS Level 1-leverandør. Kortopplysninger legges inn direkte hos Stripe og berører aldri serverne våre; vi lagrer bare ikke-sensitive faktureringsmetadata.

Tror du at du har funnet en sikkerhetssårbarhet, meld den fortrolig til support@nodary.ai med nok detaljer til å kunne gjenskape den. Vi bekrefter meldingen din, undersøker raskt og holder deg oppdatert. Gi oss gjerne rimelig tid til å utbedre før eventuell offentliggjøring, og unngå å få tilgang til eller endre data som ikke er dine.

Ved et brudd på personopplysningssikkerheten varsler vi rette tilsynsmyndighet og berørte brukere innenfor fristene GDPR krever, og vi handler for å begrense og utbedre hendelsen.