Säkerhet

Säkert, eftersom vi sparar mindre

Den säkraste datan är den vi aldrig samlar in. Det Nvivio faktiskt sparar stannar i EU, skickas krypterat och kan bara nås av dem som behöver det. Här berättar vi hur, och vad vi inte har än.

0sparade IP-adresser
0lösenord att stjäla: du loggar in med en länk via e-post
EUdin data stannar i Frankfurt

I korthet

IP-adresser och fullständiga user agent-strängar sparas aldrig, och som standard sparas ingenting på besökarens enhet.
Databasen och inloggningarna körs i Frankfurt; händelsekön och inställningarna lagras hos Cloudflare under EU-jurisdiktion.
Allt går över HTTPS: vanlig HTTP omdirigeras, och nvivio.com säger åt webbläsare att inte använda något annat.
Inga lösenord: du loggar in med en engångslänk via e-post.
API-nycklar visas en gång och sparas bara som hash; AI-assistenter ansluter med OAuth.
Databasens publika gränssnitt når ingen data, och varje tabell har säkerhet på radnivå.
Vår adminpanel ligger bakom Cloudflare Access och skriver varje ändring, med sitt skäl, till en granskningslogg.
Radera en webbplats eller din organisation, så raderas dess data inom 24 timmar.
Hittat en sårbarhet? Mejla security@nvivio.com; vi svarar inom fem arbetsdagar.

Din data

Vi samlar in mindre

IP-adressen används bara i minnet, i det ögonblick ett besök kommer in, och når aldrig kön eller databasen. I integritetsläget känns en besökare igen med en kod som byts varje dag; dagsnyckeln bakom den raderas efter 26 timmar. Av user agent-strängen behålls bara webbläsare, operativsystem och typ av enhet, och adresser rensas innan något sparas.

I EU, utan loggar

Databasen och inloggningarna körs hos Supabase i Frankfurt (AWS eu-central-1). Händelsekön, webbplatsernas inställningar och AI-assistenternas anslutningar lagras hos Cloudflare under EU-jurisdiktion. Instrumentpanelen, API:et och MCP-servern körs bredvid databasen i Frankfurt. Frågeresultat cachas inte, och vår kod sparar inga loggar över förfrågningar. Ett besök kommer först till det Cloudflare-datacenter som ligger närmast besökaren; för besökare i EU ligger det i EU.

Krypterat på vägen

Skriptet, insamlingen av händelser, webbplatsen, instrumentpanelen, API:et och MCP-servern levereras över HTTPS; en förfrågan över vanlig HTTP omdirigeras till HTTPS. Varje svar från nvivio.com säger åt webbläsare att bara använda HTTPS i ett år, även på underdomänerna (HSTS). Anslutningen från vår kod till databasen är krypterad, och våra leverantörer krypterar lagrad data och dess säkerhetskopior.

Din data, ditt beslut

Data sparas så länge ditt abonnemang anger, och äldre data raderas varje natt. Exportera besök och dagssummor som CSV, från Starter. Radera en webbplats eller hela din organisation, så raderas dess data inom 24 timmar, med ett mejl som bekräftar det.

Vem som får tillgång

Åtkomst för ditt team

Alla i din organisation har en roll: ägare, administratör, redaktör eller läsare, för alla webbplatser eller bara för en. En inbjudan fungerar bara för exakt den e-postadress den skickades till, och går ut efter 30 dagar.

API-nycklar och AI-assistenter

En API-nyckel visas en gång och sparas bara som hash. Den kan vara skrivskyddad, och du kan återkalla den när som helst. Utan en giltig nyckel avvisar API:et varje förfrågan, utom för den publika demon med påhittade data. AI-assistenter ansluter till MCP-servern med OAuth, och deras token sparas också bara som hashar. MCP-servern har ingen åtkomst till databasen: den anropar API:et som du.

En stängd databas

Din data nås bara via Nvivios egen kod, som vid varje förfrågan kontrollerar vem du är och vad du får se. Databasens publika gränssnitt (REST och GraphQL) når ingen tabell: de publika rollerna har inga rättigheter, GraphQL är avstängt och varje tabell har säkerhet på radnivå.

Vår egen åtkomst

Vår adminpanel (admin.nvivio.com) ligger bakom Cloudflare Access, och vår egen kod kontrollerar Access-token och en kort lista med namngivna personer igen vid varje förfrågan. Den visar ingenting av din statistik, bara antalet besök per webbplats, och kan inte öppna din instrumentpanel. Varje ändring som görs där kräver ett skäl och hamnar i en granskningslogg som inte kan ändras eller raderas.

Så driver vi Nvivio

Skydd i webbläsaren

Varje svar från nvivio.com har säkerhetshuvuden. Ingen sida kan visas inuti en annan webbplats, så ingen kan lura dig att klicka i din instrumentpanel. Filer läses aldrig som en annan typ, en adress med sökväg skickas aldrig vidare till en annan webbplats, och kamera, mikrofon, plats och annonsämnen är avstängda. Ikoner från andra webbplatser hämtas av Nvivio och levereras med en strikt policy, så att en ikon aldrig kan köra kod.

Inget försvinner, inget räknas dubbelt

Varje händelse får en unik identifierare när den kommer in, så en ny leverans räknas aldrig två gånger. Händelser väntar i en kö med automatiska nya försök och en dead letter-kö, så att inget går förlorat vid ett kort databasavbrott. Skriptet laddas asynkront, så din sida väntar aldrig på Nvivio. Vår databasleverantör gör också en säkerhetskopia av databasen varje dag; det du raderar finns kvar i de säkerhetskopiorna tills de går ut.

Så bygger vi

Varje ändring kör typkontrollerna och de automatiska testerna, och produktion driftsätts bara från huvudgrenen. Hemligheter hålls utanför koden och ges bara till den tjänst som behöver dem.

Betalningar

Betalningar går via Mollie, i Amsterdam. Du anger dina kort- eller bankuppgifter på Mollies egen sida, så de når aldrig Nvivio.

Våra leverantörer och deras granskningar

Nvivio har själv ingen säkerhetscertifiering, som ISO 27001 eller SOC 2. Vi bygger på leverantörer som granskas oberoende och publicerar sina certifieringar: Cloudflare för nätverket och vår kod, och Supabase, på Amazon Web Services, för databasen. Den fysiska säkerheten i datacentren är deras ansvar. Var och en är bunden av ett personuppgiftsbiträdesavtal med skyldigheter som är minst lika strikta som våra.

När något går fel

Om en personuppgiftsincident påverkar din data meddelar vi dig inom 48 timmar efter att vi fått kännedom om den, som vårt personuppgiftsbiträdesavtal utlovar, och vi för register över varje incident.

Vad vi inte har än

Bättre att du hör det från oss:

Ett andra inloggningssteg i Nvivio. Den som kan läsa din e-post kan logga in, så skydda din e-post med tvåstegsverifiering.
Inloggning via ditt företags egen identitetsleverantör (single sign-on).
En egen certifiering, som ISO 27001 eller SOC 2.
Ett bug bounty-program: vi tackar dig med namn, inte med pengar.
En publik statussida.

Hittat en sårbarhet?

Mejla security@nvivio.com, på engelska eller nederländska. Vi bekräftar din rapport inom fem arbetsdagar, håller dig informerad medan vi åtgärdar problemet och vidtar inga rättsliga åtgärder mot forskning som följer vår policy.

Detaljerna, svart på vitt

Våra säkerhetsåtgärder är bilaga 2 till personuppgiftsbiträdesavtalet; tillsammans med dokumenten nedan är de vad vi förbinder oss till.

Se din egen webbplats i Nvivio i dag

Ange din e-postadress, klicka på länken, lägg till din webbplats och klistra in en rad. Det är allt.

Kom igång gratis Se instrumentpanelen

30 dagar Pro gratis · inget kreditkort · logga in med en länk via e-post