En verifieringsplattform måste själv vara säker. Här är vad vi konkret gör för att skydda medlemsdata i klartext, utan marknadsspråk.
Kryptering
All trafik går över TLS 1.2+ (HTTPS). Data lagras krypterad i vila (AES-256) hos vår managed Postgres-leverantör. Lösenord hashas med bcrypt, vi kan aldrig se ditt lösenord.
Inloggning & kontosäkerhet
Inloggning sker med e-post + lösenord eller magisk länk (engångslänk till din e-post fungerar som andra faktor). Sessioner går ut automatiskt. Efter flera misslyckade försök låses kontot tillfälligt (account_locks). Verifiering av admin-rättigheter sker alltid server-side, aldrig via cookies eller localStorage.
Åtkomstkontroll (RLS)
Varje databastabell har Row-Level Security aktiverat. Det innebär att databasen själv vägrar leverera rader som användaren inte äger eller inte har rätt att se, inte bara appen. Roller (admin/användare) ligger i en separat user_roles-tabell för att förhindra privilege escalation.
Vad vi ser, och inte ser
Admin ser aggregerad statistik, verifieringsansökningar och rapporter. Admin kan inteläsa privata chattmeddelanden mellan medlemmar, de skyddas av RLS så att bara samtalets två parter kommer åt innehållet. Innehållsfiltrering (spam/hot) sker regelbaserat, inte genom att en människa läser.
Hosting & backup
Applikationen körs på Cloudflare Workers (edge). Databas och auth ligger hos en europeisk managed Postgres-leverantör (EU-region) med automatiska dagliga backuper och point-in-time recovery. Loggar rensas efter 30 dagar om inte incident utreds.
Dina rättigheter (GDPR)
Du kan när som helst begära export eller radering av dina data via /gdpr. Vi svarar inom 30 dagar. Personuppgiftsbiträdesavtal (DPA) tillhandahålls på begäran för företagskonton.
Incidenthantering
Vid misstänkt intrång eller dataläcka: vi undersöker, stoppar exponeringen, informerar berörda medlemmar och rapporterar till Integritetsskyddsmyndigheten (IMY) inom 72 timmar när GDPR kräver det. Kontakta oss omedelbart på info.northcircle@gmail.com vid misstanke.
Ansvarsfull avslöjande (responsible disclosure)
Hittat en säkerhetsbrist? Mejla info.northcircle@gmail.com med rubriken "Security". Rapportera inte genom att exploatera mot riktiga användarkonton. Vi bekräftar mottagning inom 3 arbetsdagar.
Ärlig disclaimer: ingen plattform är 100 % säker. Vi följer branschstandard men kan inte garantera absolut säkerhet. Använd starkt lösenord, dela aldrig magiska länkar, och rapportera misstänkt aktivitet direkt.
