Säkerhet och integritet
Ditt intervjuljud
lever aldrig på våra servrar.
SubcueAI är byggt nativt, krypterat under överföring och i vila, och medvetet tillståndslöst när det gäller ditt intervjuljud. Så här fungerar det exakt.
Senast uppdaterad: 10 oktober 2026
Ljudhantering
Intervjuljudet transkriberas i molnet — och lagras aldrig.
- Fångas lokalt: macOS / Windows-appen använder ScreenCaptureKit (Mac) och WASAPI loopback (Win) för att fånga ljud från ditt videosamtal. Skrivbordsappen behöver inget webbläsartillägg och ingen mötesbot.
- Streamas för STT: ljud streamas (lagras inte) till en taligenkänningsleverantör för realtidstranskription. Ljudbufferten frigörs från minnet så snart transkriptionssegmentet anländer.
- Noll serverpersistens: vi skriver aldrig ljudvågformen till disk i vår backend. R2 / D1 / KV innehåller endast transkriptioner och metadata.
- Transkriptionen är din att radera: radering per post från /dashboard/records raderar omedelbart både transkriptionen och AI-analysen.
Kryptering
Överföring + i vila
Under överföring
TLS 1.3
Tvingad HTTPS via Cloudflare. HSTS preload med max-age=63072000 (2 år).
I vila
AES-256
Cloudflare R2 (CV / jobbeskrivningar / release-binärer) använder SSE-256 som standard.
Autentisering
PBKDF2 + JWT
Lösenordshashning: PBKDF2 100 000 iterationer. Sessionstokens: JWT signerade med HMAC-SHA256.
Underbiträden
Vem rör din data
Subcue AI LLC är personuppgiftsansvarig. Följande underbiträden hanterar specifika delar av kunddata enligt avtal. Varje post listar vad de ser och var deras infrastruktur finns.
| Leverantör | Syfte | Region |
|---|---|---|
| Cloudflare | Hosting, CDN, D1 (databas), KV, R2 (objektlagring), Vectorize (embeddings), Workers AI (sökindex för transkriptioner, textigenkänning i CV-bilder), AI Gateway (vidarebefordrar AI-förfrågningar), Turnstile (botskydd) | Global edge / USA-EU |
| OpenAI | AI-svarsförslag, frågor till övningsintervjuer, intervjuanalys, CV-tolkning och CV-optimering, svar i supportchatten | USA |
| xAI | Röst för övningsintervjuer (text-till-tal); alternativ AI-modell för funktionerna ovan (Grok) | USA |
| Anthropic | CV-tolkning för skannade eller rent bildbaserade PDF-filer (Claude) | USA |
| Logga in med Google, fakturering via Google Play, alternativ AI-modell för CV-tolkning (Gemini) | USA | |
| Alibaba Cloud (Qwen) | AI-funktioner och röst för övningsintervjuer för användare i länder där våra standardleverantörer inte är tillgängliga | Kina |
| DeepSeek | Alternativ AI-modell för användare i länder där våra standardleverantörer inte är tillgängliga | Kina |
| ElevenLabs | Taligenkänning (realtid) | USA |
| Deepgram | Taligenkänning i länder där ElevenLabs inte är tillgängligt | USA |
| Stripe | Betalningshantering, fakturering och momsberäkning (Stripe Tax) | USA |
| Apple | App Store-köp i appen (iOS/macOS-användare), Logga in med Apple | USA |
| Paddle | Betalningshantering för köp som gjordes före juli 2026 | Storbritannien |
| Resend | Transaktionsmejl (verifieringskoder, konto- och faktureringsmeddelanden, supportsvar) | USA |
| Google Analytics | Webbanalys — anonymiserade användningsdata (IP-maskerad) | USA |
| Microsoft Clarity | Analys av webbplatsanvändning (sidvisningar, klick, scrollning; inmatningsfält maskerade) | USA |
Uppdateringar av denna lista tillkännages i revisioner av Användarvillkoren.
Åtkomst och autentisering
Tokens, sessioner, återkallande
- JWT-åtkomsttokens, TTL 1 timme.
- Refresh-tokens lagrade i HttpOnly Secure SameSite=Lax cookies, hashade på serversidan före lagring.
- Återkallningslista på serversidan — utloggning ogiltigförklarar tokens omedelbart på alla enheter.
- OAuth-flöden (Google / Apple) sker server-till-server; åtkomsttokens når aldrig webbläsarens JavaScript.
- Skrivbordsappen använder det anpassade subcue:// protokollet med engångs-auth code-utbyte — samma säkerhetsmodell som native macOS / Windows OAuth-flöden.
HTTP-säkerhetsheaders
Vad varje svar bär med sig
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
Efterlevnad
Regionala regleringar
GDPR (EU / EES / Storbritannien)
Vi behandlar EU-personuppgifter på rättsliga grunder inklusive samtycke, avtalsuppfyllelse och berättigade intressen. Registrerades rättigheter (tillgång, rättelse, radering, portabilitet) respekteras — mejla din begäran till contact@subcueai.com.
CCPA (Kalifornien)
Invånare i Kalifornien har rätt att veta, radera och avstå från dataförsäljning. Vi säljer inte personuppgifter. Skicka CCPA-begäranden till samma adress som GDPR.
Datalagring
Vad vi behåller, hur länge
- Kontodata: behålls så länge ditt konto är aktivt.
- Intervjutranskriptioner: behålls tills du raderar posten. Radering per post tillgänglig på /dashboard/records.
- Ljudvågformer: lagras aldrig.
- Kontoradering: all persondata raderad inom 30 dagar. Anonymiserad aggregerad statistik (t.ex. totalt antal intervjuer) behålls på obestämd tid.
- Telemetrihändelser: behålls 90 dagar som standard (konfigurerbart i admin), sedan automatiskt rensade av daglig cron.
Ansvarsfull rapportering
Hittat en sårbarhet?
Mejla contact@subcueai.com med ämnesrad [SECURITY]. Vi förbinder oss att:
- Bekräfta mottagande inom 48 timmar.
- Ge en triage-uppdatering inom 5 arbetsdagar.
- Följa en 90-dagars ansvarsfull rapporteringstidslinje före offentlig diskussion.
- Erkänna rapportörer offentligt (med samtycke) när problemet är löst.
Utanför omfattning: social ingenjörskonst, fysiska attacker, attacker mot tredjeparts-underbiträden.
Frågor om denna sida? Mejla contact@subcueai.com.
Se även: Integritetspolicy · Användarvillkor