Säkerhet & juridik

Byggt med
klientförtroende i centrum.

En byrå förvaltar några av de mest känsliga uppgifter en privatperson eller företag har. Vi tar det ansvaret på allvar — i varje arkitekturbeslut.

Infrastruktur

Var din data lagras

All data lagras inom EU/EEA. Inga personuppgifter passerar Atlanten.

Databas
Supabase (Postgres), region Frankfurt (eu-central-1)
Webbinfrastruktur
Vercel, EU edge-noder
Transaktionell e-post
Resend, EU-region
Sanktionsdatabas
OpenSanctions API — anrop initieras av användaren, träffar lagras i din byrås Supabase-instans
Bolagsverket
Värdefulla Datamängder API — endast publik företagsdata, anrop initieras av användaren

GDPR

KYCraft behandlar personuppgifter enligt GDPR. Som registrerad har du rätt till:

Tillgång till de uppgifter vi behandlar om dig (Artikel 15)
Rättelse av felaktiga eller ofullständiga uppgifter (Artikel 16)
Radering av uppgifter (Artikel 17) — med undantag för vad lag kräver att vi sparar
Personuppgiftsbiträdesavtal (DPA) tillgängligt för varje byrå-kund vid registrering

Inga personuppgifter delas med tredje part utöver de integrationer som du själv initierar (Bolagsverket, OpenSanctions).

Regelverk

KYCraft är byggt för att stödja byråns skyldigheter under penningtvättslagen. Verktyget hjälper dig att uppfylla:

3 kap. § 7-8Kundkännedom — identitet, ändamål, riskbedömning vid varje uppdrag.
2 kap. § 1-3Riskbedömning på klientnivå baserad på jurisdiktion, PEP-status och uppdragstyp.
3 kap. § 13Löpande uppföljning av etablerade affärsförbindelser — automatisk daglig screening.
5 kap. § 3Bevarande av handlingar och kontrolloggar — revisionsrapport med tidsstämpling.

Förberett för EU AMLR (2024/1624) och AMLA (operativ från juli 2025). Perpetual KYC är inbyggt från dag ett.

Tekniska skyddsåtgärder

HTTPS överallt med automatiska SSL-certifikat
Row-Level Security (RLS) i databasen — varje byrå kan endast se sin egen data, även vid en hypotetisk konfigurationsmiss
Sessionscookies med automatisk rotering och HTTP-only-flagga
Lösenord lagras hashade (bcrypt via Supabase Auth) — vi ser aldrig din byrås faktiska lösenord
Tidsstämplad revisionslogg på varje åtgärd — registrering, screening, ändring, granskning
Daglig automatisk re-screening av aktiva klienter mot uppdaterade sanktionslistor

Avgränsning

Den slutliga juridiska bedömningen av en klient ligger alltid hos den ansvarige advokaten och byrån. KYCraft samlar in, dokumenterar och kontrollerar — bedömningen är din.
Vi automatiserar dokumentation, datainsamling och rutinkontroller — vi ersätter inte yrkesmässig kompetens, vaksamhet eller den avvägning som krävs i ett enskilt ärende.
Sanktionsdatabaser och PEP-listor uppdateras med viss fördröjning. Avvisa eller acceptera aldrig en klient enbart baserat på en KYCraft-träff utan att verifiera mot officiell källa när det är motiverat.

Kontakt

Skicka ett mejl till oskar@nord-ai.se. Vi svarar inom fem arbetsdagar.

För DPA, säkerhetsincidenter eller GDPR-rättigheter — använd samma adress med ämnesraden tydligt markerad.