Sikkerhed & privatliv
Hvad der rent faktisk sker med jeres data.
Sidst opdateret: 27. september 2026 · Version 1.0
Denne side beskriver den kode, der kører i produktion i dag — ikke et løfte om, hvad vi engang håber at bygge. Hvert punkt herunder kan efterprøves i vores audit-log eller i kildekoden. Se privatlivspolitikken for den juridisk bindende beskrivelse; denne side er et teknisk overblik til jer, der skal vurdere os som leverandør.
Hosting og infrastruktur
Produktionsserver
Hetzner Online GmbH, Falkenstein, Tyskland. Ingen amerikansk-ejet infrastruktur i strict_eu-stien.
Backup (offsite)
Krypteret kopi hos Hetzner Storage Box, Helsinki, Finland — adskilt fra produktionsserveren.
Hvor et kald må ende
Styres af jeres eget suverænitetsniveau (strict_eu / eu_preferred / global) — håndhævet før noget forlader EU, ikke efterfølgende.
Kryptering
- I transit: al trafik til og fra ClientRouter kører over HTTPS/TLS, med automatisk certifikatfornyelse.
- Adgangskoder og API-nøgler: Argon2id-hashet. Den rå værdi gemmes aldrig — heller ikke hos os.
- Følsomt indhold der gemmes (jeres egne udbyder-nøgler, en prompt gemt under "Fuld sporing", eller en forespørgsel der venter på godkendelse): envelope-krypteret med AES-256-GCM. Selve krypteringsnøglen ligger i en separat HashiCorp Vault-instans og forlader den aldrig i klartekst.
Datalagring — I vælger niveauet
Under Governance i dashboardet vælger I selv, hvor meget indhold der gemmes. Standardniveauet er det mindst indgribende, ikke det mest.
Minimal
Intet indhold gemmes. Ingen privat cache. Revisionsloggen indeholder kun metadata (lag, model, region, svartid).
Standard (default)
Som Minimal, men et svar kan genbruges krypteret i jeres egen private cache. Aldrig delt med andre kunder.
Fuld sporing
Som Standard, og selve prompten gemmes krypteret i revisionsloggen, læsbar for jeres egne administratorer. Hver visning logges.
Tenant-isolation
- Databaseniveau, ikke kun applikationskode: Postgres Row-Level Security håndhæver, at én kundes rækker aldrig er synlige for en anden — selv en fejl i applikationskoden kan ikke omgå det.
- Ingen delt cache: et genbrugt svar findes kun via et tenant-bundet filter i selve opslaget, aldrig på tværs af kunder.
- Persondata der forlader EU, pseudonymiseres først: personnavne (en lokalt kørende, europæisk NER-model), CPR-numre, IBAN- og kontonumre erstattes med midlertidige pladsholdere før et kald til en ikke-europæisk model.
Adgangsstyring og sporbarhed
- Uforanderlig revisionslog: hvert kald efterlader et hash-kædet log-spor. Et forsøg på at ændre en tidligere indgang kan efterprøves og opdages.
- Menneskelig godkendelse (valgfri): I kan kræve, at en administrator godkender kritisk trafik, før den når en ekstern model.
- Automatisk pausering: en agent, der sender identisk indhold unormalt mange gange i træk, pauses automatisk, indtil en administrator genaktiverer den.
- Rollestyring: dashboard-handlinger kræver en administrator-nøgle, aldrig blot en almindelig agent-nøgle.
Hvad vi aldrig gør
- Vi gemmer aldrig en prompt uden jeres eget valg — standardniveauet gemmer kun metadata.
- Vi deler aldrig data mellem kunder, hverken i databasen eller i cachen.
- Vi sælger eller videregiver aldrig kundedata til tredjepart — ud over de sprogmodel-udbydere, I selv har aktiveret, og de underdatabehandlere driften kræver (hosting, database, nøglehåndtering).
Grænser vi er ærlige om
- Ingen tredjeparts-certificering endnu. Vi har hverken ISO 27001, SOC 2 eller lignende — hverken opnået eller "i gang". Vi er en tidlig-fase virksomhed, og en formel certificering er ikke gennemført endnu.
- Vi styrer ikke en ekstern udbyders egen databehandling. Vælger I et suverænitetsniveau, der tillader en ikke-europæisk model, er det den udbyders (fx OpenAI, Googles) egne vilkår, der gælder for det, der sendes dertil — læs dem selv, hvis det er afgørende for jer.
- Systemet er ikke "fail-open". Går databasen eller kø-systemet ned, stopper trafikken — det fortsætter ikke ukontrolleret. Nogle dele (som den private cache) kan derimod falde fra uden at stoppe resten.
- Backup og overvågning er nye (indført september 2026). De er afprøvet med rigtige data og en rigtig gendannelse på produktionsserveren, men en genopbygning fra bunden på en helt ny server er endnu ikke afprøvet.
Drift og beredskab
- Krypteret backup flere gange i døgnet, med en automatisk gendannelsestest ved hver kørsel og en adskilt, ekstern kopi.
- Løbende automatisk overvågning af de tjenester, ClientRouter selv afhænger af, med alarmering ved fejl.
Spørgsmål
Skriv til info@clientrouter.dk, hvis I har spørgsmål til noget af ovenstående, eller vil bede om dokumentation til jeres egen leverandørvurdering.