SecuritySikkerhet

Hosting

The app, API and database run on a server at Hostinger ({{VERIFY: data centre region}}). We don't run AI models ourselves. AI processing goes to the providers listed on our Subprocessors page.

Encryption

• All traffic to mielikkix.ai, app.mielikkix.ai and api.mielikkix.ai uses HTTPS (TLS), with HSTS enforced.
• Passwords are hashed with bcrypt and never stored in plain text.
• OAuth tokens for connected Google accounts are encrypted before storage, with a key held only on our servers.
• Disk and database encryption at rest: {{VERIFY: VPS disk / database encryption at rest}}.

Access control

• Each business can only reach its own data. Every API request is scoped to the signed-in business.
• Sessions use an httpOnly, SameSite cookie that page scripts can't read.
• Login and other sensitive endpoints are rate-limited.
• Only a small number of named staff can access the servers, using individual credentials {{VERIFY: SSH keys / 2FA}}.

Backups

{{VERIFY: backup frequency, location and retention}}

Incidents and breaches

If we detect a security incident, we contain it, assess the risk and document it. If personal data is affected, we notify Datatilsynet within 72 hours where required, and notify affected customers without undue delay so they can meet their own obligations.

Report a vulnerability

Found a security issue? Please email post@mielikkix.no and give us reasonable time to fix it before sharing it with others.

Hosting

Appen, API-et og databasen kjører på en server hos Hostinger ({{VERIFY: data centre region}}). Vi kjører ikke AI-modeller selv. AI-behandling går til leverandørene på siden Underleverandører.

Kryptering

• All trafikk til mielikkix.ai, app.mielikkix.ai og api.mielikkix.ai går over HTTPS (TLS), med HSTS.
• Passord hashes med bcrypt og lagres aldri i klartekst.
• OAuth-tokener for tilkoblede Google-kontoer krypteres før lagring, med en nøkkel som bare finnes på våre servere.
• Kryptering av disk og database: {{VERIFY: kryptering av VPS-disk / database}}.

Tilgangskontroll

• Hver bedrift har bare tilgang til egne data. Hver API-forespørsel er avgrenset til den innloggede bedriften.
• Økter bruker en httpOnly-, SameSite-informasjonskapsel som skript på siden ikke kan lese.
• Innlogging og andre sensitive endepunkter har begrensning på antall forespørsler.
• Bare et fåtall navngitte ansatte har tilgang til serverne, med personlige påloggingsdetaljer {{VERIFY: SSH-nøkler / 2FA}}.

Sikkerhetskopier

{{VERIFY: hyppighet, plassering og lagringstid for sikkerhetskopier}}

Hendelser og avvik

Oppdager vi en sikkerhetshendelse, begrenser vi den, vurderer risikoen og dokumenterer den. Berøres personopplysninger, melder vi til Datatilsynet innen 72 timer der det kreves, og varsler berørte kunder uten ugrunnet opphold slik at de kan oppfylle egne plikter.

Melde en sårbarhet

Har du funnet et sikkerhetsproblem? Send e-post til post@mielikkix.no, og gi oss rimelig tid til å rette det før du deler det med andre.