Data og sikkerhet
Referansedokument for tekniske team og personvernavdelinger hos kunden. Her finner du hvor vi hoster data, hvordan vi beskytter dem, i hvilket juridisk rammeverk vi behandler dem, og hvordan vi behandler dem i sammenheng med AI-funksjonene.
Dataene dine blir værende i Den europeiske union
Vi hoster GC.Platform utelukkende i datasentre lokalisert i Den europeiske union. Vi bruker tre skyregioner: Microsoft Azure i Polen, Microsoft Azure i Tyskland og Oracle Cloud i Tyskland.
Transaksjons- og konfigurasjonsdata lagrer vi i Azure SQL. Produktdata (MDM-laget) — i Oracle Cloud, der strukturen og spørringseffektiviteten er avgjørende. Trafikken fra kundene dine håndterer vi gjennom Cloudflare — edge-laget, som gir DDoS-beskyttelse, WAF-filtrering og innholdsakselerasjon.
Data overføres ikke utenfor Den europeiske unions territorium — dette gjelder også backups.
Flerlags beskyttelse i Enterprise-skyens standard
Vi bruker sikkerhetsmekanismene som er innebygd i Microsoft Azure og Oracle Cloud — miljøer der personvernstandardene er sertifiserte og regelmessig revidert.
Kryptering under overføring
All kommunikasjon mellom klienten og GC.Platform samt inne i plattformen skjer via TLS 1.2 eller høyere. Påtvunget på infrastrukturnivå — ukrypterte forbindelser avvises.
Kryptering i hvile
Dataene i Azure SQL-databaser krypteres automatisk av mekanismen Transparent Data Encryption (TDE). Kryptografiske nøkler og hemmelige verdier lagrer vi i Azure Key Vault — en tjeneste som beskytter dem mot uautorisert tilgang selv innenfor vår egen infrastruktur.
Backups og driftskontinuitet
Regelmessige, automatiske Azure SQL-backups med oppbevaringspolicy. Høy tilgjengelighet (HA) realisert gjennom Azure App Service og Azure SQL med Zone Availability-mekanismen — gir automatisk skalering og motstand mot feil på enkeltkomponenter.
Sertifisert infrastruktur
Microsoft Azure og Oracle Cloud, som GC.Platform kjører på, er sertifisert etter ISO 27001, SOC 1, SOC 2 og SOC 3. Datasentrene oppfyller standardene for fysisk og logisk beskyttelse som gjelder i enterprise-infrastruktur.
Begrenset, kontrollert, fullt revidert tilgang
Tilgang til produksjonsdata for kundene har et smalt, dedikert team som vedlikeholder GC.Platform. Hver tilgang autoriseres individuelt etter prinsippet om minste rettigheter (least privilege).
Teamet logger på gjennom Microsoft Entra ID med påtvunget flerfaktorautentisering (MFA). Rettigheter administrerer vi gjennom Azure Role-Based Access Control (RBAC). Hver innlogging, hver produksjonsoperasjon og hver konfigurasjonsendring logges i Azure Log Analytics og Application Insights — med mulighet for tilbakevirkende revisjon.
Hver uke analyserer teamet sikkerhetsanbefalingene fra Azure Advisor og planlegger gjennomføring av endringer. Det er en rutine, ikke en reaksjon på en hendelse.
Som databehandler, i henhold til artikkel 28 GDPR
I SaaS-modellen forblir du behandlingsansvarlig for dine data. GearCode er databehandleren, som behandler data på dine vegne og etter din instruks, i henhold til artikkel 28 i Forordning (EU) 2016/679 (GDPR).
Parallelt med SaaS-lisensavtalen inngår vi en databehandleravtale med deg. Den er basert på standard avtaleklausuler godkjent av Europakommisjonen (Gjennomføringsbeslutning 2021/915 av 4. juni 2021) — altså på en mal som oppfyller GDPR-kravene på en måte som er anerkjent av regulatoren.
Listen over våre underdatabehandlere (infrastrukturleverandører og andre enheter som har tilgang til data som en del av tjenesteleveransen) er tilgjengelig for deg. Vi informerer deg om enhver planlagt endring av denne listen — tilføyelse av en ny underdatabehandler eller utskiftning av en eksisterende — minst 14 dager i forveien, slik at du har tid til å fremsette innsigelse.
Hvordan vi behandler data i AI-funksjoner
Du leser denne delen fordi du sannsynligvis lurer på hva som skjer med samtalene mellom kundene dine og AI.Assistant. Vi svarer ærlig.
Vi gjennomgår brukernes samtaler med AI.Assistant. Teamet vårt gjør det manuelt, for å forstå hvordan samtaleflyten mellom kunde og assistent faktisk ser ut — der assistenten klarer seg bra, der den tar feil, der brukeren mister tråden. På dette grunnlaget forbedrer vi produktet: vi finjusterer samtalelogikken, retter opp i kanttilfeller, legger til støtte for nye typer henvendelser. Slik blir AI.Assistant gradvis bedre over tid.
Dataene dine mater ikke eksterne AI-modeller. Vi samarbeider med leverandører av språkmodeller som kontraktsfestet forplikter seg overfor oss til at samtaler med AI.Assistant ikke skal brukes til å trene modellene deres — verken våre eller de offentlig tilgjengelige. Det betyr at dine data, dataene til kundene dine og dataene til leverandørene dine forblir utelukkende innenfor tjenesten du bruker.
Med andre ord: AI.Assistant lærer å betjene kundene dine bedre, men ikke på bekostning av personvernet til dataene dine eller risikoen for at de havner i modeller som brukes av noen andre.
Kjøretøyidentifikasjonsdatabase (VIN og registreringsnumre)
Noen av våre bilkataloger — inkludert demonstrasjonsversjonen på catalog-gearcode.eu — gjør det mulig å identifisere et kjøretøy ved hjelp av registreringsnummer eller VIN. Der det ikke er tilgang til offentlige registre eller bruken av dem ikke er aktuell for kunden, benytter vi vår egen GearCode-identifikasjonsdatabase.
Databasen bygges av AI.Assistant-brukere. Før hver tilføyelse ber AI.Assistant brukeren om en bevisst bekreftelse på å knytte registreringsnummeret eller VIN-en til et bestemt kjøretøy. I databasen lagrer vi utelukkende tekniske kjøretøydata; vi knytter dem ikke til personopplysninger om kjøretøyets eiere eller brukere.
Den felles databasen gjelder utelukkende kataloger i multitenant-modell levert innenfor rammene av et GearCode-abonnement. Kunder som benytter et dedikert abonnement har full dataseparasjon på dette området.
Utgang uten gisseltaking
Etter at avtalen er avsluttet, returneres dataene dine til deg eller slettes permanent — innen 30 dager etter at samarbeidet er avsluttet, i henhold til beslutningen du tar som behandlingsansvarlig. Slettingen bekrefter vi med protokoll innen de neste 14 dagene.
Detaljene i prosedyren beskrives i databehandleravtalen vi signerer med hver kunde. De kontraktsmessige vilkårene for avslutning av samarbeidet finner du på siden for samarbeidsmodellen.
Spørsmål om personvern?
Vi har hos GearCode en dedikert personvernrådgiver som svarer på spørsmål fra kunder, compliance-team og juridiske avdelinger.
Personvernrådgiver
+48 41 201 07 55Tilbake til GC.Platform
Her finner du den fullstendige beskrivelsen av plattformen, modulene og implementeringsscenariene.