Juridik & säkerhet
Säkerhet och drift
Senast uppdaterad: 2026-04-26
Kvota hanterar dina kunduppgifter och dina kunders kontaktinformation — ofta även personnummer för ROT. Den här sidan är en ärlig beskrivning av hur vi skyddar den datan. Står något inte här gör vi det heller inte.
Var data lagras
Databasen och fillagringen körs hos Supabase. Den webbapplikation du ser hostas hos Vercel (USA-region, omfattas av EU-amerikanska standardklausuler — SCC). Alla underbiträden listas i databehandlaravtalet.
Kryptering
All trafik mellan din webbläsare och Kvota går över TLS 1.2 eller högre. Data i vila krypteras med AES-256 hos våra biträden. Lösenord lagras aldrig i klartext — vi använder moderna hash-algoritmer (bcrypt/argon2).
Åtkomstkontroll
Endast ett fåtal personer hos Invox AB har administrativ åtkomst till produktionsmiljön. Åtkomsten är rollbaserad, loggad och begränsad till det som krävs för drift och support.
Backup
Databasen säkerhetskopieras automatiskt av Supabase i deras hanterade miljö. Återställningstest görs vid behov. Exakt frekvens och retention dokumenteras internt och justeras innan publik lansering.
Incidenthantering
Vid en personuppgiftsincident anmäler vi dig som personuppgiftsansvarig inom 48 timmar. Du får en beskrivning av incidenten, sannolika konsekvenser och vilka åtgärder vi vidtagit. Detaljerna regleras i databehandlaravtalet.
Compliance
Kvota är byggt för att följa EU:s dataskyddsförordning (GDPR), den svenska dataskyddslagen och ePrivacy-direktivets cookie-regler. Vi har inte SOC 2- eller ISO 27001-certifiering idag — om sådan kommer på roadmappen uppdaterar vi sidan.
Geografi och leverantörer
Vi använder ett fåtal noggrant valda underbiträden för att leverera tjänsten. Alla har skriftliga biträdesavtal som uppfyller GDPR artikel 28, och vid överföring utanför EU/EES tillämpas EU-kommissionens standardavtalsklausuler (SCC).
En komplett och uppdaterad lista finns i databehandlaravtalet.
Kryptering
Vi krypterar både data i transit och i vila:
- I transit: TLS 1.2+ via Vercel/Cloudflare — HSTS aktiverat och alla certifikat förnyas automatiskt.
- I vila: AES-256 i Supabase databas och fillagring.
- Lösenord: hashas med bcrypt eller argon2 via Supabase Auth innan de skrivs till databas. Klartextlösenord lagras aldrig.
- API-nycklar och hemligheter: hanteras som Vercel Environment Variables med åtkomst begränsad till produktionsmiljön.
Backup och återställning
Databasen säkerhetskopieras automatiskt i Supabases hanterade miljö. Backuper raderas inom det rullande backupfönstret — exakt frekvens och retention dokumenteras internt och kan begäras ut av betalande kunder.
Du kan när som helst exportera dina egna data från appen. Önskar du en fullständig export i samband med uppsägning hjälper vi dig — kontakta hej@kvota.se.
Åtkomstkontroll
Endast ett fåtal personer hos Invox AB har administrativ åtkomst till produktionsmiljön. Åtkomst är:
- Rollbaserad och begränsad till det som krävs för drift och support.
- Loggad — vi kan i efterhand se vem som gjort vad.
- Skyddad bakom autentisering hos Vercel, Supabase och Resend.
Vid offboarding av personal stängs all åtkomst inom samma arbetsdag.
Incidenthantering — så rapporterar du
Hittar du en sårbarhet eller misstänker att något inte står rätt till? Kontakta oss direkt:
E-post: hej@kvota.se
Ämnesrad: "Säkerhet" eller "Sårbarhet"
Vi bekräftar mottagandet inom ett arbetsdygn och håller dig informerad om åtgärder. Vi har inte ett formellt bug bounty-program idag, men vi uppskattar ansvarsfull rapportering och belönar gärna återkommande och vassa rapporter med t.ex. gratisperioder eller swag.
Compliance och certifieringar
Vad vi har idag:
- Efterlevnad av GDPR och svenska dataskyddslagen.
- Cookie-banner enligt ePrivacy-direktivet.
- Standardavtalsklausuler (SCC) för tredjelandsöverföringar.
- Skriftliga biträdesavtal med samtliga underbiträden.
Vad vi inte har idag: SOC 2-rapport, ISO 27001-certifiering eller formellt bug bounty-program. Skulle något av detta hamna på roadmappen uppdaterar vi den här sidan.
Mer information
- Integritetspolicy — vad vi samlar in och varför.
- Databehandlaravtal — våra åtaganden som biträde.
- Cookie-policy — komplett tabell över cookies.