Sikkerhet.

Oskar og alle Agaas-agenter arbeider mot dine egne tilganger til din egen programvare — regnskapssystemet ditt, din Shopify. Bokføringen skjer der, der den alltid har ligget. Vi kopierer ikke dataene dine inn i en database hos oss; det finnes ingen sentral samling av kundedata å bryte seg inn i. Det vi har hos oss er lite: tilgangstokenet til systemet ditt, og arbeidsfilene for oppgaven som gjøres.

Hver klient kjører i sitt eget isolerte område på serveren vår, atskilt av operativsystemet selv — ikke bare av at programvaren vår oppfører seg pent. Én klients agent kan ikke lese en annen klients data, tokens eller samtaler; grensen håndheves av systemkjernen, og vi tester den direkte i stedet for å anta den. Dette er kjernen i hvordan vi holder klienter fra hverandre.

En agent viser deg hva den ville gjort før noe lander i regnskapet ditt. Du godkjenner hver føring; agenten er aldri siste ledd. Når den er usikker, stopper den og spør i stedet for å gjette. Dette står skrevet i Standarden, og vi holder oss til det.

All trafikk — mot systemene dine, mot AI-leverandøren, mot chat-kanalene — går over TLS. Administrativ tilgang til serveren vår er kun mulig over et privat, nøkkelbasert VPN; serveren har ingen åpne dører mot det offentlige internett. Tilgangstokens lagres kun i hver klients eget isolerte område og kan trekkes av deg når som helst, i hvert system for seg.

Språkmodellen leveres av Anthropic, over deres kommersielle API under deres Commercial Terms. Dataene dine brukes ikke til å trene modeller, og samtaleinnhold lagres ikke som standard utover begrenset driftslagring. Anthropic er sertifisert etter ISO 27001, ISO/IEC 42001 og SOC 2, og enhver overføring av data utenfor EØS hviler på EU-kommisjonens standard kontraktsklausuler (SCC).

Hver natt tar vi en kryptert sikkerhetskopi av alle klientdata til lagring med EØS-jurisdiksjonsgaranti. Dataene krypteres på vår egen server før de lastes opp — lagringsleverandøren kan ikke lese dem. Vi tester gjenoppretting hvert kvartal, og et automatisk varsel utløses hvis en nattlig sikkerhetskopi noen gang ikke fullføres, slik at en stille feil fanges samme døgn. Og fordi regnskapet ditt ligger i ditt eget system, er et problem hos oss aldri et tap av regnskapet ditt.

Hvis en sikkerhetshendelse berører personopplysninger, varsler vi berørte kunder uten ugrunnet opphold, slik at behandlingsansvarlig kan overholde 72-timersfristen etter GDPR. En databehandleravtale regulerer detaljene, og vi går gjennom den med deg, linje for linje, før du signerer.

Vi kjører på dedikert infrastruktur i Norge, under vår egen fysiske og administrative kontroll — ingen delt hosting, ingen tredjepart med tilgang til maskinen. Etter hvert som vi vokser, flytter vi plattformen til et ISO 27001-sertifisert europeisk datasenter. Vi vil heller fortelle deg hva vi bygger mot enn å antyde at vi allerede er ferdige. For sikkerhetsspørsmål, skriv til ai@agaas.no.