Sikkerhed og privatliv
Lyden fra dine jobsamtaler
bor aldrig på vores servere.
SubcueAI er bygget native, krypteret under transport og i hvile og bevidst tilstandsløs, når det gælder lyden fra dine jobsamtaler. Her er præcis hvordan.
Senest opdateret: 10. oktober 2026
Håndtering af lyd
Lyd fra jobsamtaler transskriberes i skyen — og gemmes aldrig.
- Optaget lokalt: macOS-/Windows-appen bruger ScreenCaptureKit (Mac) og WASAPI loopback (Win) til at optage lyd fra dit videoopkald. Desktop-appen kræver ingen browserudvidelse og ingen mødebot.
- Streamet til talegenkendelse: lyd streames (ikke gemmes) til en udbyder af talegenkendelse til transskription i realtid. Lydbufferen fjernes fra hukommelsen, så snart transskriptionsstykket er landet.
- Ingen lagring på serveren: vi skriver aldrig lydbølgeformen til disk på vores backend. R2 / D1 / KV indeholder kun transskriptioner og metadata.
- Du bestemmer, om transskriptionen slettes: sletning af den enkelte post fra /dashboard/records fjerner både transskriptionen og AI-analysen med det samme.
Kryptering
Under transport + i hvile
Under transport
TLS 1.3
Gennemtvunget HTTPS via Cloudflare. HSTS preloaded med max-age=63072000 (2 år).
I hvile
AES-256
Cloudflare R2 (CV’er / jobopslag / udgivelsesfiler) bruger som standard SSE-256-kryptering på serversiden.
Godkendelse
PBKDF2 + JWT
Hashing af adgangskoder: PBKDF2 med 100.000 iterationer. Sessionstokens: JWT signeret med HMAC-SHA256.
Underdatabehandlere
Hvem rører ved dine data
Subcue AI LLC er dataansvarlig. Følgende underdatabehandlere håndterer bestemte dele af kundedata under kontrakt. Hver post angiver, hvad de ser, og hvor deres infrastruktur ligger.
| Udbyder | Formål | Region |
|---|---|---|
| Cloudflare | Hosting, CDN, D1 (database), KV, R2 (objektlagring), Vectorize (embeddings), Workers AI (søgeindeks til transskriptioner, tekstgenkendelse i CV-billeder), AI Gateway (videresender AI-forespørgsler), Turnstile (botbeskyttelse) | Globalt edge-netværk / USA-EU |
| OpenAI | AI-svarforslag, spørgsmål i prøvesamtaler, analyse af jobsamtaler, indlæsning og optimering af CV’er, svar i supportchatten | USA |
| xAI | Stemme i prøvesamtaler (tekst til tale); alternativ AI-model til ovenstående funktioner (Grok) | USA |
| Anthropic | Indlæsning af CV’er fra scannede eller rent billedbaserede PDF-filer (Claude) | USA |
| Log ind med Google, fakturering via Google Play, alternativ AI-model til indlæsning af CV’er (Gemini) | USA | |
| Alibaba Cloud (Qwen) | AI-funktioner og stemme i prøvesamtaler for brugere i lande, hvor vores standardudbydere ikke er tilgængelige | Kina |
| DeepSeek | Alternativ AI-model for brugere i lande, hvor vores standardudbydere ikke er tilgængelige | Kina |
| ElevenLabs | Talegenkendelse (i realtid) | USA |
| Deepgram | Talegenkendelse i lande, hvor ElevenLabs ikke er tilgængelig | USA |
| Stripe | Betalingsbehandling, fakturering og beregning af moms/salgsafgift (Stripe Tax) | USA |
| Apple | App Store-køb i appen (iOS-/macOS-brugere), Log ind med Apple | USA |
| Paddle | Betalingsbehandling for køb foretaget før juli 2026 | Storbritannien |
| Resend | Transaktionsmails (bekræftelseskoder, meddelelser om konto og fakturering, svar fra support) | USA |
| Google Analytics | Webanalyse — anonymiserede brugsmålinger (IP-maskeret) | USA |
| Microsoft Clarity | Analyse af brug af webstedet (sidevisninger, klik, scrolling; indtastningsfelter maskeret) | USA |
Opdateringer af denne liste annonceres i revisioner af Servicevilkår.
Adgang og godkendelse
Tokens, sessioner, tilbagekaldelse
- JWT-adgangstokens med 1 times levetid.
- Refresh-tokens gemmes i HttpOnly Secure SameSite=Lax-cookies og hashes på serveren, før de gemmes.
- Tilbagekaldelsesliste på serversiden — udlogning ugyldiggør tokens med det samme på alle enheder.
- OAuth-flows (Google / Apple) foregår fra server til server; adgangstokens når aldrig browserens JavaScript.
- Desktop-appen bruger den tilpassede protokol subcue:// med udveksling af en engangsgodkendelseskode — samme sikkerhedsmodel som native OAuth-flows på macOS / Windows.
HTTP-sikkerhedsheadere
Det bærer hvert svar
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
Compliance
Regionale regler
GDPR (EU / EØS / Storbritannien)
Vi behandler persondata fra EU på lovlige grundlag, herunder samtykke, opfyldelse af kontrakt og legitime interesser. Dine rettigheder som registreret (indsigt, berigtigelse, sletning, dataportabilitet) respekteres — send din anmodning til contact@subcueai.com.
CCPA (Californien)
Indbyggere i Californien har ret til at få at vide, slette og fravælge salg af data. Vi sælger ikke persondata. Send CCPA-anmodninger til samme adresse som GDPR.
Opbevaring af data
Hvad vi gemmer, og hvor længe
- Kontodata: opbevares, så længe din konto er aktiv.
- Transskriptioner af jobsamtaler: opbevares, indtil du sletter posten. Sletning af den enkelte post er mulig på /dashboard/records.
- Lydbølgeformer: gemmes aldrig.
- Sletning af konto: alle persondata slettes inden for 30 dage. Anonymiserede samlede statistikker (f.eks. det samlede antal jobsamtaler, der er blevet hjulpet) opbevares på ubestemt tid.
- Telemetrihændelser: opbevares som standard i 90 dage (kan indstilles i admin) og ryddes derefter automatisk af et dagligt cron-job.
Ansvarlig afsløring
Fundet en sårbarhed?
Send en e-mail til contact@subcueai.com med emnelinjen [SECURITY]. Vi forpligter os til at:
- Bekræfte modtagelsen inden for 48 timer.
- Give en opdatering om triagering inden for 5 hverdage.
- Følge en tidsplan for ansvarlig afsløring på 90 dage, før der tales offentligt om det.
- Nævne dem, der har indberettet, offentligt (med samtykke), når problemet er løst.
Uden for omfanget: social engineering, fysiske angreb, angreb på tredjeparters underdatabehandlere.
Spørgsmål til denne side? Skriv til contact@subcueai.com.
Se også: Privatlivspolitik · Servicevilkår