Datasikkerhed

Fourmates ApS behandler forretningskritiske data på vegne af vores kunder via CVR-MATE platformen. Vi har implementeret tekniske og organisatoriske sikkerhedsforanstaltninger i overensstemmelse med GDPR og industriens bedste praksis for at beskytte disse data mod uautoriseret adgang, tab og misbrug.

Vores platform kører på enterprise-grade cloud-infrastruktur:

• Cloudhosting: Vercel (Edge Network) til applikationslaget med global CDN og DDoS-beskyttelse
• Database: Supabase (PostgreSQL) med automatisk backup, point-in-time recovery og krypteret opbevaring
• Datacenter: EU-baseret (Frankfurt, eu-west-1) — alle primærdata forbliver inden for EU
• Tilgængelighed: Vi bestræber os på at levere en stabil og tilgængelig tjeneste, men påtager os ingen specifik oppetidsgaranti over for kunden

• Under transport: TLS 1.2+ på alle forbindelser — ingen ukrypteret HTTP
• I ro: AES-256 kryptering af databaseindhold og sikkerhedskopier
• Adgangskoder: bcrypt-hashing via Better Auth — vi gemmer aldrig adgangskoder i klartekst
• CRM-tokens: OAuth-adgangstokens krypteres med AES-256 med en dedikeret nøgle (CRM_TOKEN_ENCRYPTION_KEY) inden de gemmes i databasen
• Betalingsdata: Kortdata håndteres udelukkende af Stripe (PCI DSS Level 1) — Fourmates ApS gemmer aldrig rå kortoplysninger

• Sessions: 7-dages sessioner med krypterede HTTP-only cookies og sessionscache på 5 minutter
• E-mailbekræftelse: Påkrævet for alle nye konti — ubekræftede e-mails kan ikke logge ind
• Google OAuth: Understøttet som alternativ til adgangskode-login
• Rollebaseret adgang (RBAC): Tre niveauer — ejer, administrator, medlem — med rangbaserede tilladelsestjek
• Row Level Security (RLS): Aktiveret på alle databasetabeller i Supabase — PostgREST-API blokerer al direkte tabeladgang
• Intern adgang: Produktionsadgang til databaser er begrænset til autoriserede udviklere med revisionsspor

• Fejlsporing: Sentry bruges til realtidsovervågning af fejl og performance med anonymiserede stack traces
• Betalingsovervågning: Stripe Radar registrerer mistænkelig betalingsaktivitet automatisk
• Adgangslog: Organisatoriske handlinger logges i revisionssporet (org_audit_log)

Ved sikkerhedshændelser kontakter vi berørte brugere inden for 72 timer i overensstemmelse med GDPR artikel 33–34. Kontakt os øjeblikkeligt på support@cvr-mate.dk hvis du opdager en mulig sårbarhed.

Brugere kan slette deres konto til enhver tid fra Indstillinger → Farezone. Sletning fjerner alle personoplysninger permanent via ON DELETE CASCADE-regler på alle tabeller. Aktive Stripe-abonnementer annulleres øjeblikkeligt ved sletning. Revisionslogposter (org_audit_log) anonymiseres — aktørnavnet fjernes, men handlingen bevares til compliance. Backupkopier overskrives inden for den normale backup-rotationscyklus. Se vores privatlivspolitik for yderligere oplysninger om dine rettigheder i henhold til GDPR.

Har du fundet en sikkerhedssårbarhed? Vi opfordrer til ansvarlig offentliggørelse. Send en detaljeret rapport til support@cvr-mate.dk med emnet "Security Report". Vi bekræfter modtagelse inden for 48 timer og sigter mod at løse kritiske problemer inden for 7 dage.