Sikkerhet og personvern
Intervjulyden din
lever aldri på serverne våre.
SubcueAI er bygget nativt, kryptert under overføring og i hvile, og bevisst tilstandsløs når det gjelder intervjulyden din. Slik fungerer det, helt konkret.
Sist oppdatert: 10. oktober 2026
Håndtering av lyd
Intervjulyd transkriberes i skyen — og lagres aldri.
- Tas opp lokalt: macOS-/Windows-appen bruker ScreenCaptureKit (Mac) og WASAPI loopback (Win) til å ta opp lyd fra videosamtalen din. Skrivebordsappen trenger ingen nettleserutvidelse og ingen møterobot.
- Strømmes til STT: lyd strømmes (lagres ikke) til en leverandør av tale-til-tekst for transkribering i sanntid. Lydbufferen fjernes fra minnet så snart transkripsjonsbiten er mottatt.
- Ingen lagring på server: vi skriver aldri lydbølgeformen til disk på backend. R2 / D1 / KV inneholder bare transkripsjoner og metadata.
- Transkripsjonen er din å slette: sletting per oppføring fra /dashboard/records fjerner både transkripsjonen og KI-analysen umiddelbart.
Kryptering
Under overføring + i hvile
Under overføring
TLS 1.3
Tvungen HTTPS via Cloudflare. HSTS forhåndslastet med max-age=63072000 (2 år).
I hvile
AES-256
Cloudflare R2 (CV-er / stillingsannonser / utgivelsesfiler) bruker SSE-256 serversidekryptering som standard.
Autentisering
PBKDF2 + JWT
Passordhashing: PBKDF2 med 100,000 iterasjoner. Øktnøkler: JWT signert med HMAC-SHA256.
Underleverandører
Hvem som berører dataene dine
Subcue AI LLC er behandlingsansvarlig. Følgende underleverandører (databehandlere) håndterer avgrensede deler av kundedata på kontrakt. Hver oppføring viser hva de ser og hvor infrastrukturen deres ligger.
| Leverandør | Formål | Region |
|---|---|---|
| Cloudflare | Hosting, CDN, D1 (database), KV, R2 (objektlagring), Vectorize (embeddings), Workers AI (søkeindeks for transkripsjoner, tekstgjenkjenning i CV-bilder), AI Gateway (videresender KI-forespørsler), Turnstile (botbeskyttelse) | Globalt edge-nettverk / USA-EU |
| OpenAI | KI-svarforslag, spørsmål i prøveintervju, intervjuanalyse, tolking og optimalisering av CV, svar i support-chat | USA |
| xAI | Stemme i prøveintervju (tekst-til-tale); alternativ KI-modell for funksjonene ovenfor (Grok) | USA |
| Anthropic | Tolking av CV-er i skannede eller bare-bilde-PDF-er (Claude) | USA |
| Logg inn med Google, fakturering i Google Play, alternativ KI-modell for tolking av CV (Gemini) | USA | |
| Alibaba Cloud (Qwen) | KI-funksjoner og stemme i prøveintervju for brukere i land der standardleverandørene våre ikke er tilgjengelige | Kina |
| DeepSeek | Alternativ KI-modell for brukere i land der standardleverandørene våre ikke er tilgjengelige | Kina |
| ElevenLabs | Tale-til-tekst (sanntid) | USA |
| Deepgram | Tale-til-tekst i land der ElevenLabs ikke er tilgjengelig | USA |
| Stripe | Betalingsbehandling, fakturering og beregning av omsetningsskatt (Stripe Tax) | USA |
| Apple | Kjøp i appen i App Store (iOS-/macOS-brukere), Logg inn med Apple | USA |
| Paddle | Betalingsbehandling for kjøp gjort før juli 2026 | Storbritannia |
| Resend | Transaksjonelle e-poster (verifiseringskoder, varsler om konto og fakturering, svar fra support) | USA |
| Google Analytics | Nettanalyse — anonymiserte bruksmålinger (IP-adressen maskert) | USA |
| Microsoft Clarity | Analyse av bruk av nettstedet (sidevisninger, klikk, rulling; inndatafelt maskert) | USA |
Oppdateringer av denne listen kunngjøres i revisjoner av brukervilkårene.
Tilgang og autentisering
Tokener, økter, tilbakekalling
- JWT-tilgangstokener, 1 times levetid.
- Oppfriskingstokener lagres i HttpOnly Secure SameSite=Lax-informasjonskapsler og hashes på serveren før lagring.
- Tilbakekallingsliste på serversiden — utlogging ugyldiggjør tokener umiddelbart på alle enheter.
- OAuth-flyter (Google / Apple) skjer mellom servere; tilgangstokener når aldri JavaScript i nettleseren.
- Skrivebordsappen bruker den egendefinerte protokollen subcue:// med utveksling av engangskode for autentisering — samme sikkerhetsmodell som native OAuth-flyter på macOS / Windows.
HTTP-sikkerhetshoder
Hva hvert svar bærer med seg
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
Etterlevelse
Regionale regelverk
GDPR (EU / EØS / Storbritannia)
Vi behandler personopplysninger fra EU på lovlige grunnlag, blant annet samtykke, oppfyllelse av avtale og berettigede interesser. Rettighetene til den registrerte (innsyn, retting, sletting, dataportabilitet) respekteres — send e-post til contact@subcueai.com med forespørselen din.
CCPA (California)
Innbyggere i California har rett til å få vite, slette og reservere seg mot salg av data. Vi selger ikke personopplysninger. Send CCPA-forespørsler til samme adresse som for GDPR.
Lagring av data
Hva vi beholder, og hvor lenge
- Kontodata: beholdes så lenge kontoen din er aktiv.
- Intervjutranskripsjoner: beholdes til du sletter oppføringen. Sletting per oppføring er tilgjengelig på /dashboard/records.
- Lydbølgeformer: lagres aldri.
- Sletting av konto: alle personopplysninger slettes innen 30 dager. Anonymisert samlet statistikk (for eksempel totalt antall intervjuer det er gitt hjelp i) beholdes på ubestemt tid.
- Telemetrihendelser: beholdes i 90 dager som standard (kan konfigureres i admin) og ryddes deretter automatisk av en daglig cron-jobb.
Ansvarlig varsling
Funnet en sårbarhet?
Send e-post til contact@subcueai.com med emnelinjen [SECURITY]. Vi forplikter oss til å:
- Bekrefte mottak innen 48 timer.
- Gi en statusoppdatering om vurderingen innen 5 virkedager.
- Følge en tidsramme på 90 dager for ansvarlig varsling før offentlig diskusjon.
- Kreditere de som varsler, offentlig (med samtykke) når saken er løst.
Utenfor omfanget: social engineering, fysiske angrep, angrep på underleverandører hos tredjeparter.
Spørsmål om denne siden? Send e-post til contact@subcueai.com.
Se også: Personvernerklæring · Brukervilkår