Sikkerhet & tillit
LeaderSkills.ai behandler sensitive ledersamtaler, vurderinger og persondata. Denne siden beskriver – presist – sikkerhetstiltakene som beskytter dataene, og er ment som utgangspunkt for kundenes sikkerhetsgjennomganger.
Sist gjennomgått: 2. september 2026 (underprosessorliste og datakategorier samordnet med kundeavtalene)
Datakryptering
Under transport: All trafikk går over HTTPS/TLS. Databasetilkoblinger er krypterte. (Aktiv)
På disk (infrastruktur): Supabase/Postgres-lagring og sikkerhetskopier er kryptert på disknivå av plattformleverandøren. (Aktiv)
Applikasjonsnivå – feltkryptering: Sensitivt coaching-innhold – KI-samtaler, scenario-rollespill, dagbok og vurderinger – krypteres med AES-256-GCM. Hver bruker har sin egen krypteringsnøkkel, avledet fra en hemmelighet i Supabase Vault, og hver verdi krypteres med en unik tilfeldig initialiseringsvektor. Kryptering skjer kun i backend – nøkkelen forlater aldri serveren, og gjelder alt sensitivt innhold, både nytt og eksisterende.
OAuth-tokens: Tokens for ekstern kalendertilgang lagres i dedikerte krypterte kolonner. (Aktiv)
Feltkrypteringen beskytter innhold mot databasedumper, lekkede sikkerhetskopier og direkte tabelltilgang. Den er ikke ende-til-ende-kryptering: backend kan dekryptere for å generere KI-innsikt og HR-analyse – det er en bevisst del av produktet.
Dataregion (EU/EØS)
Primærdatabase, autentisering, lagring og edge functions kjører i EU – Supabase på AWS eu-north-1 (Stockholm). Verifisert 20. mai 2026 via Supabase Management API. Persondata lagres i EU.
KI- og stemmeleverandørene under kan behandle forespørselsinnhold utenfor EU – se tabellen i seksjonen om underprosessorer.
Tilgangsstyring & autentisering
Identitet: Supabase Auth med e-post og WebAuthn / passkeys. (Aktiv)
Sesjoner: JWT-baserte, med automatisk fornyelse. (Aktiv)
Rollebasert tilgang: Tilgang styres av en rollemodell håndhevet i databasen. Admin- og HR-funksjoner krever eksplisitt rollesjekk. (Aktiv)
Rad-nivå-sikkerhet (RLS): Aktivert på brukerdatatabeller – rader er kun synlige for eier eller autorisert rolle. (Aktiv)
Tofaktor-pålogging (MFA): Tilgjengelig per selskap: selskapsadministrator slår på TOTP-pålogging for alle ansatte i selskapet. Brukerne setter opp en autentiseringsapp ved neste innlogging og bekrefter med 6-sifret kode.
Enterprise SSO (SAML 2.0): Per selskap: pålogging kan delegeres til kundens egen identitetsleverandør, typisk Microsoft Entra ID (Azure AD). Brukere fra konfigurerte e-postdomener sendes automatisk til kundens IdP, og MFA håndheves der. Konfigureres av super_admin per kunde via SAML-metadata.
API- og nettverkssikkerhet
CORS: Edge functions bruker en eksplisitt opphavs-allowlist – ingen wildcard i produksjon. (Aktiv)
Webhook-verifisering: Eksternt kallbare webhooks verifiserer en HMAC-SHA256-signatur over rå forespørselskropp. (Aktiv)
Inndatavalidering: Zod-skjemaer validerer alle edge function-forespørsler. (Aktiv)
Applikasjonssikkerhet
Statisk analyse (SAST): Semgrep kjører på hver pull request.
Hemmelighetsskanning: Gitleaks kjører før commit og i CI for å hindre lekkede hemmeligheter.
Avhengigheter: npm audit i CI og Dependabot for oppdateringer.
XSS: React escaper utdata som standard; DOMPurify der rå HTML er uunngåelig.
Rate limiting: Misbruksdeteksjon og rate limiting på KI-endepunktene.
Kontinuerlig sikkerhetstesting (Aikido Security): Uavhengig plattform for løpende SAST, avhengighets-/SCA-skanning, DAST, hemmelighetsdeteksjon og overvåkning av skykonfigurasjon — inkludert penetrasjonstesting. Aikido behandler ikke kundedata. (Aktiv)
Backup & kontinuitet
Backup: Nattlige fulle sikkerhetskopier pluss Point-in-Time Recovery (PITR) — gjenoppretting kan gjøres til samme eller et nytt miljø. (Aktiv)
Gjenopprettingstest: Dokumentert restore-test inngår i den årlige kontrollsyklusen i styringssystemet.
Redundans: Driften kjører på forvaltet skyinfrastruktur (Supabase/AWS) med innebygd redundans. (Aktiv)
Underprosessorer
Følgende tredjeparter kan behandle kundedata for å levere tjenesten. Listen er den samme som inngår i kundeavtalene våre. Vi selger aldri personopplysninger.
| Leverandør | Formål | Region |
|---|---|---|
| Supabase (AWS): All applikasjons- og persondata | Database, autentisering, lagring, edge functions | EU (eu-north-1, Stockholm) |
| OpenAI: Samtale- og dagboktekst, onboarding-svar, persentiler fra vurderinger, stilling og avdeling — ingen navn, e-post eller bruker-ID. API-data brukes ikke til trening | KI-tekstbehandling: samtaletrening, tilbakemelding og scoring, KI-coach, tolkning av vurderinger og dagbokinnsikt | USA (SCC) |
| ElevenLabs: Lydstrøm (lagres ikke av Leaderskills; beholdes én dag hos ElevenLabs), samtaletekst, scenario- og rollekontekst — ingen navn, e-post eller bruker-ID | Samtalebasert stemme-KI: tale-til-tekst, dialogmodell, talesyntese | USA (SCC) |
| Mailjet (Sinch): Navn, e-postadresse, e-postinnhold inkl. engangslenker | Transaksjons-e-post: invitasjoner, innloggings- og passord-e-post, varsler | EU (Frankrike) |
| Lovable: Trafikkmetadata inkl. IP-adresse — ingen applikasjonsdata lagres | Hosting og utrulling av frontend | Cloudflare edge (EU-noder) |
| Cloudflare: Trafikkmetadata inkl. IP-adresse | CDN/edge foran applikasjonen og API-et | Globalt (EU-edge) |
| Google Workspace: Kontaktopplysninger og innhold i supportkorrespondanse | Vår interne e-post og supportkorrespondanse | EU/globalt |
| Anam.ai: Sanntidslyd og samtaleinnhold under økten — lagres ikke av Leaderskills | Sanntids video-avatar (ansikt og lipsync) i avatarsamtaler Kun der kunden har bestilt video-avatar-modulen — ikke underprosessor for andre kunder. | Storbritannia |
For å generere KI-coaching og stemmesamtaler sendes forespørselsinnhold til KI- og stemmeleverandørene over. Det er iboende i et KI-coachingprodukt, og vi opplyser om det åpent. Leaderskills lagrer ingen lyd: lydstrømmen behandles i sanntid, og ElevenLabs beholder opptak i én dag under vår agentkonfigurasjon. Hver underprosessor er dekket av en databehandleravtale eller leverandørens standardvilkår, arkivert som del av leverandøroppfølgingen, og sertifiseringsstatus (SOC 2 / ISO 27001) gjennomgås årlig. Kunder varsles minst 30 dager før en ny underprosessor tas i bruk. I tillegg benyttes Aikido Security til sikkerhetsskanning — den behandler ikke kundedata. Det fulle registeret vedlikeholdes i styringssystemet og deles i leverandørvurderinger.
Personvern & compliance
GDPR: Samtykkehåndtering i appen, full kontosletting og dataeksport i maskinlesbart format. (Aktiv)
Dataregion: Primærdatabasen og kjernetjenestene kjører i EU (se egen seksjon). (Aktiv)
Styringssystem (ISMS): Dokumentert styringssystem for informasjonssikkerhet forankret i ISO/IEC 27002 — med sikkerhetshåndbok, risikoregister, ROPA og en årlig kontrollsyklus (policygjennomgang, tilgangsgjennomgang, restore-test, underprosessor-review). (Aktiv)
Lagring og sletting: Kundedata slettes senest 3 måneder etter avtaleslutt, eller tidligere på kundens instruks. (Aktiv)
Leverandørvurderinger: Vi besvarer kunders sikkerhetskrav og spørreskjemaer (CISR o.l.), og ISMS-dokumentasjonen deles med kunder ved forespørsel — kontakt security@leaderskills.ai.
Sertifisering: LeaderSkills.ai er ikke ISO 27001- eller SOC 2-sertifisert i dag. Et formelt sertifiseringsløp er planlagt – vi oppgir aldri sertifisering vi ikke har.
Overvåkning & hendelseshåndtering
Sikkerhetsrelevante hendelser registreres i en revisjonslogg (security_audit_log). (Aktiv)
En overvåkningsjobb skanner revisjonsloggen og varsler sikkerhetsteamet på e-post ved høyrisiko-hendelser og uvanlige volumtopper. (Aktiv)
Hendelsesplan ved sikkerhetsbrudd:
Oppdage – varsler fra overvåkningsjobben, databaselogger og revisjonslogg.
Vurdere – fastslå omfang og konsekvens.
Begrense – deaktivere berørte kontoer/funksjoner, rotere hemmeligheter.
Undersøke – gjennomgå revisjonslogger og tilgangsmønstre.
Gjenopprette – iverksette rettelser og normal drift.
Etterarbeid – dokumentere, varsle berørte etter GDPR, forbedre kontroller.
Ved brudd på persondatasikkerheten varsles berørte kunder uten ugrunnet opphold, og Datatilsynet innen 72 timer (GDPR art. 33).
Rapportere en sårbarhet
Har du oppdaget en sikkerhetssårbarhet?
Ikke opprett en offentlig sak.
Send en e-post til security@leaderskills.ai med beskrivelse, reproduksjonssteg og en konsekvensvurdering.
Vi tar sikte på å bekrefte innen én virkedag og holder deg oppdatert til saken er løst.
Spørsmål om sikkerhet i en leverandørgjennomgang? Kontakt security@leaderskills.ai.