Datasikkerhet og taushetsplikt er ikke til forhandling. Nordivé er designet fra grunnen av for å oppfylle GDPR, Advokatforeningens retningslinjer og firmaets egne sikkerhetskrav.
Nordivé har ingen database for e-postinnhold. Backend kjører på Azure i Norway East og videresender AI-kall til AWS Bedrock i Irland (eu-west-1) – alt innenfor EU/EØS. E-postinnhold passerer kun i transitt og lagres aldri verken hos oss eller hos AI-leverandøren. Analyse-resultatet lagres kryptert lokalt på advokatens egen maskin med AES-GCM 256-bit, slik at innholdet kun er tilgjengelig der.
Nordivé bruker Claude Sonnet 4.6 fra Anthropic, levert via AWS Bedrock i Irland (eu-west-1). AWS sin Enterprise-avtale med Anthropic garanterer Zero Data Retention (ZDR). Det betyr:
Nordivé er ikke selv ISO 27001- eller SOC 2-sertifisert ennå – som tidlig-fase selskap arbeider vi mot SOC 2 Type I i 2026. Det vi leverer i dag er bygd på infrastruktur som er sertifisert: Microsoft Azure (Norway East) for backend, AWS Bedrock for AI-inferens, og Vercel for frontend. Nordivé legger ingen egen lagring oppå dette – vi bruker kun de eksisterende, sertifiserte miljøene. Komplette revisjonsrapporter fra underleverandørene kan deles på forespørsel via deres respektive trust portals.
Innlogging skjer via Single Sign-On med eksisterende Microsoft 365-kontoer. Firmaets eksisterende regler for tilgangskontroll, multifaktor-autentisering og betingede tilgangspolicyer gjelder også for Nordivé. Ingen nye passord, ingen nye kontoer.
OAuth følger PKCE-standarden (uten passord-eksponering hos oss). Refresh-tokens krypteres lokalt med AES-GCM 256 og slettes automatisk ved 8 timer inaktivitet eller eksplisitt utlogging.
Token-revokering ved utlogging – ærlig presisering: Microsoft Graph (Outlook-integrasjonen vår) støtter ikke offentlig revocation av refresh-tokens for SPA-applikasjoner. Når du logger ut sletter Nordivé den lokale kopien umiddelbart, men det underliggende refresh-tokenet hos Microsoft består inntil naturlig utløp (typisk 14–90 dager) eller til IT-ansvarlig hos kunden invaliderer tokenet via Azure AD-konsollen (Sign-in > Revoke sessions, eller Conditional Access-policy). For Google Gmail-modus revokerer vi tokenet hos Google (oauth2.googleapis.com/revoke) ved utlogging.
Frontend leveres med strikt Content-Security-Policy som blokkerer eksterne scripts og iframes. X-Content-Type-Options: nosniff hindrer MIME-spoofing, og Permissions-Policy forbyr kamera/mikrofon/lokasjon (vi trenger det ikke). All AI-output rendres via React JSX som auto-escaper innhold – ingen dangerouslySetInnerHTML i kodebasen.
Før oppstart signeres en databehandleravtale i tråd med Art. 28 GDPR. Advokatfirmaet er behandlingsansvarlig – Nordivé er databehandler. Avtalen spesifiserer hvilke data som behandles, hvor lenge, av hvem, og hvordan. Mal kan deles på forespørsel.
Nordivé genererer kun utkast. Ingenting sendes, lagres eller arkiveres uten advokatens eksplisitte godkjenning. Ansvaret for juridiske vurderinger ligger alltid hos advokaten – vi er et verktøy, ikke en erstatning for faglig skjønn.
Vi svarer gjerne på konkrete spørsmål fra IT-sikkerhetsansvarlige eller compliance-team. Send en e-post til kontakt@nordiveai.no så kobler vi deg direkte mot teamet.
Vi tar compliance på alvor. Her er hvor vi står og hva vi jobber mot.
Følgende tredjeparter behandler kundedata på Nordivés vegne. Listen oppdateres ved endringer og varsel sendes kunder 30 dager før nye underbehandlere tas i bruk (jf. databehandleravtale § 4).
| Underbehandler | Tjeneste | Datasenter | Sertifisering |
|---|---|---|---|
| Microsoft Corporation | Azure Functions, Storage, Entra ID, Microsoft Graph (Outlook/OneDrive) | Norway East (Oslo) | ISO 27001, ISO 27018, SOC 2 Type II |
| Amazon Web Services, Inc. | AWS Bedrock (AI-inferens via Claude) | eu-west-1 (Dublin, Irland) | ISO 27001, SOC 2 Type II |
| Anthropic PBC | Claude AI-modell (kjøres via AWS Bedrock med Zero Data Retention) | Via AWS – ingen direkte data-tilgang | SOC 2 Type II |
| Vercel Inc. | Frontend-hosting (statisk innhold for app.nordiveai.no) | EU-regioner (Frankfurt, Dublin) | SOC 2 Type II |
All data behandles i EU/EØS. Ingen overføring til tredjeland (USA, India eller andre) skjer i normal drift. Sub-processor-listen i fullversjon finnes i offisielt dokument.
Alle data krypteres både under overføring (in transit) og ved lagring (at rest). Krypteringsnøkler administreres av kundens egen Microsoft 365-tenant, ikke av Nordivé.
| Datatype | I transitt | I hvile | Nøkkelhåndtering |
|---|---|---|---|
| E-postinnhold (under analyse) | TLS 1.3 (Microsoft Graph → Nordivé → AWS Bedrock) | Aldri lagret hos Nordivé | n/a |
| Chat-historikk | TLS 1.3 | AES-GCM 256-bit i kundens egen OneDrive | Nøkkel derivert fra brukerens Microsoft OID – kun kunden kan dekryptere |
| Vault-dokumenter | TLS 1.3 | Forblir i kundens OneDrive (AES-256, Microsoft-administrert) | Microsoft tenant-keys |
| Saker, maler, workflows | TLS 1.3 | JSON i kundens OneDrive AppFolder | Microsoft tenant-keys |
| OAuth-tokens (refresh) | TLS 1.3 (PKCE) | AES-GCM 256 i browser localStorage | Brukerderivert nøkkel |
| Backend-logger | TLS 1.3 → Azure Monitor | AES-256, Azure Storage | Azure-administrert (Microsoft-managed keys) |
Vi gjennomfører periodiske sikkerhetstester og skanninger for å identifisere og lukke sårbarheter før de utnyttes. Funn rapporteres i tråd med vår incident-response-prosedyre (se nedenfor) når relevant for kunder.
main-branchVed sikkerhetsbrudd har vi etablerte prosedyrer for raskt deteksjon, kommunikasjon og utbedring. Vi følger GDPR Art. 33–34 sin 72-timers varslingsplikt mot Datatilsynet og berørte registrerte.
| Klassifisering | Eksempel | Initial respons | Kundevarsel |
|---|---|---|---|
| P0 – Kritisk | Bekreftet data-tap, vedvarende nedetid > 1t | < 15 min | < 4 timer |
| P1 – Høy | Sårbarhet utnyttet, autentiseringsfeil | < 1 time | < 24 timer |
| P2 – Medium | Degradert ytelse, ikke-kritisk feilkonfigurasjon | < 4 timer | Statusside-oppdatering |
| P3 – Lav | Logging-anomali, cosmetic-issues | < 24 timer | Månedsrapport (Enterprise) |
For P0/P1-hendelser som potensielt påvirker personopplysninger sender vi varsel direkte til behandlingsansvarlig (advokatfirmaet) per e-post, samt registrerer på status.nordiveai.no (lanseres 2026). Datatilsynet varsles innen 72 timer i tråd med GDPR.
Backend kjører i Azure Norway East med automatisk skalering. SLA-garanti gis avhengig av abonnementsnivå:
| Pakke | Tilgjengelighet (SLA) | Maintenance-vindu | Statusvarsel |
|---|---|---|---|
| Light / Standard / Advanced | Best-effort 99.5% | Annonsert 7 dager før | E-post + statusside |
| Enterprise | 99.9% kontraktfestet | Annonsert 14 dager før, off-peak | Direkte til kontakt + statusside |
Bakgrunns-SLA: RTO < 4 timer (recovery time objective) og RPO < 1 time (recovery point objective) ved katastrofal failure. Backups av Azure-konfigurasjon og kode i Git (immutable, replicated EU-Vest).
Hvilke krav og rammeverk Nordivé adresserer, og hvor du finner dokumentasjon:
| Krav / rammeverk | Hva det dekker | Status | Dokumentasjon |
|---|---|---|---|
| GDPR / personopplysningsloven | Personvern, rettighet til registrerte, dataminimering | Compliant | Personvernerklæring |
| Databehandleravtale (GDPR Art. 28) | Behandler-ansvarlig-forholdet | Signeres per kunde | Mal på forespørsel |
| Domstolloven § 218 (advokat-taushetsplikt) | Klient-konfidensialitet | Designet inn | Sikkerhetsarkitektur-dokumentet |
| Advokatforeningens retningslinjer for KI | Bruk av KI i advokatpraksis | Compliant | Self-attestation |
| NSM Grunnprinsipper for IKT-sikkerhet | Norsk sikkerhetsbaseline | Implementert (relevante kontroller) | Sikkerhetsarkitektur-dokumentet |
| OWASP Top 10 / ASVS L2 | Webapp-sikkerhet | Baseline | Pen-test-rapport (Q1 2027) |
| SOC 2 Type I | Sikkerhetskontroller (design) | I prosess | Forventet Q3 2026 |
| SOC 2 Type II | Sikkerhetskontroller (operasjonell) | Planlagt | Forventet 2027 |
| ISO 27001:2022 | Informasjonssikkerhetsstyring | Roadmap | Forventet 2028 |
Følgende dokumenter beskriver Nordivés sikkerhets- og personvern-praksis i detalj. De oppdateres ved vesentlige endringer; gjeldende versjon vises i header.
Sikkerhet starter med menneskene som bygger og drifter Nordivé. Vi har følgende interne kontroller:
Har du oppdaget en sårbarhet eller mistenker et sikkerhetsproblem? Vi tar alle rapporter på alvor og responderer innen 24 timer.
Send detaljer til kontakt@nordiveai.no med emne «Sikkerhetsrapport». Inkluder:
Vi forplikter oss til å ikke iverksette rettslige tiltak mot forskere som rapporterer i god tro og holder funn konfidensielt inntil utbedring. Bug bounty kommer Q2 2027.
Databehandleravtale på plass før du logger inn første gang.