Säkerhet

Säkerhet är inbyggt i Nodary snarare än påklistrat. Vi följer principerna om minsta behörighet, djupförsvar och säker konfiguration som standard, och vi håller angreppsytan liten genom att förlita oss på hanterad och granskad infrastruktur. Den här sidan sammanfattar åtgärderna; hur vi hanterar personuppgifter beskrivs i integritetspolicyn.

Nodary körs helt på Amazon Web Services, vars datacenter har ledande oberoende certifieringar, däribland SOC 2 Typ II och ISO 27001.

• Databasen körs på hanterad PostgreSQL inuti ett privat virtuellt nätverk (VPC), inte exponerat mot det publika internet.
• Beräkningar körs på isolerade, kortlivade serverlösa funktioner med snävt avgränsade IAM-behörigheter.
• Filer lagras i åtkomstkontrollerad objektlagring med signerade och tidsbegränsade URL:er.

• Lösenord hashas med bcrypt; vi lagrar dem aldrig i klartext och visar dem aldrig igen.
• Sessioner använder signerade http-only-tokens med återkallande per session och ”logga ut överallt”.
• Valfri tvåfaktorsautentisering (TOTP) med reservkoder och skydd mot återuppspelning.
• Rollbaserad åtkomstkontroll inom varje arbetsyta, tillämpad på servern vid varje begäran och inte bara dold i gränssnittet.
• E-postverifiering, tokenkontroller i konstant tid och engångslänkar för verifiering och lösenordsåterställning.

• Kryptering under överföring (TLS) för alla anslutningar.
• Kryptering i vila för databas, fillagring och säkerhetskopior.
• Strikt dataisolering per arbetsyta, tillämpad vid varje fråga samt i fakturerings- och AI-lagren.
• Automatiska, krypterade säkerhetskopior med återställning till valfri tidpunkt i den hanterade databasen.

AI-funktioner körs på grundmodeller som driftas inom AWS (Amazon Bedrock) enligt ett avtal som förbjuder att dina uppgifter används för att träna deras modeller.

• Validering av indata på servern, med schemakontroll.
• Skiktad hastighetsbegränsning på autentiserings-, API- och AI-slutpunkter, både i minnet och distribuerat.
• Content Security Policy och sedvanliga härdande svarshuvuden.
• Revisionsloggning av känsliga åtgärder och synlig hantering av aktiva sessioner för varje användare.
• Webhooks verifieras med signatur och behandlas idempotent för att förhindra återuppspelning.

Betalningar hanteras av Stripe, en certifierad PCI-DSS Level 1-leverantör. Kortuppgifter anges direkt hos Stripe och når aldrig våra servrar; vi lagrar endast icke-känsliga faktureringsmetadata.

Om du tror att du har hittat en säkerhetsbrist, rapportera den konfidentiellt till support@nodary.ai med tillräckliga detaljer för att kunna återskapa den. Vi bekräftar din rapport, utreder skyndsamt och håller dig informerad. Ge oss gärna skälig tid att åtgärda innan någon offentliggörs, och undvik att komma åt eller ändra uppgifter som inte är dina.

Vid en personuppgiftsincident underrättar vi behörig tillsynsmyndighet och berörda användare inom de tidsfrister som GDPR kräver, och vi agerar för att begränsa och avhjälpa incidenten.