ACRMI
BloggLogga in

ACRMISäkerhetscenter

Säkerhetscenter

Så skyddar vi era kunddata

ACRMI är ett CRM med telefoni, e-post och AI från Friis of Sweden AB. Här ser ni var uppgifterna ligger, vilka leverantörer som hanterar dem, vilka skydd som är på plats och hur vi vet att de fungerar.

Begär säkerhetsdokument Se ändringar

Det viktigaste först

Fyra saker som brukar avgöra om ett företag vågar lägga sina kundrelationer i ett nytt system.

Kunddata i EU

Databasen och alla lagrade filer, även samtals- och mötesinspelningar, ligger hos Supabase i Irland.

Krypterad trafik och lagring

Webbappen nås bara krypterat, och databas och filer krypteras där de lagras. Nycklar till anslutna mejl, kalendrar och telefoni krypteras dessutom var för sig.

Varje organisation för sig

Databasen själv stänger ute andra organisationer. Regeln testas automatiskt vid varje ändring av koden.

AI på era villkor

AI-funktionerna körs bara när ni har slagit på dem och ger förslag som en människa tar ställning till. Kalenderns titlar och deltagare går aldrig till AI.

Säkerhetskontroller

Varje kontroll visar hur den hålls på plats: av ett test som körs vid varje ändring av koden, av databasen själv, av en schemalagd körning, i appen eller som en dokumenterad rutin.

  • Testas vid ändringEtt test i byggkedjan stoppar ändringen om kontrollen bryts
  • I databasenEn regel som databasen själv upprätthåller
  • SchemalagdKörs automatiskt varje timme eller natt
  • I appenInbyggt i appen, utan eget test
  • DokumenteradFastställd och följd av oss, men inte automatiskt testad

Data och kryptering

Var uppgifterna ligger och hur de skyddas

7 på plats

  • Kunddata lagras i EU

    Databasen och alla filer, även inspelningar, ligger hos Supabase i Irland.

    Dokumenterad

  • Krypterad trafik och lagring

    Webbappen och API:erna nås bara krypterat (TLS med HSTS). Databasen och filerna är krypterade där de lagras.

    Dokumenterad

  • Åtkomstnycklar krypteras var för sig

    Nycklar till anslutna mejl, kalendrar och telefonileverantörer krypteras i en egen kolumn. Ett test kontrollerar att ingen användare kan läsa dem.

    Testas vid ändring

  • Telefonilösenord i krypterat valv

    Säljarnas lösenord till växeln ligger i Supabase Vault. Ingen användare kan läsa dem, inte ens en administratör.

    Testas vid ändring
Visa 3 till

  • Uppladdade filer skannas

    Avtal och projektfiler skannas efter skadlig kod och kan inte laddas ner förrän de är kontrollerade. Smittade filer sätts i karantän.

    Testas vid ändring

  • Organisationen väljer lagringstid

    Samtalsinspelningar, mejlinnehåll och ljud och video från möten gallras automatiskt enligt er inställning.

    Schemalagd

  • Fasta gallringstider

    Samtalsloggar, SMS och mejl raderas efter 24 månader, besöksdata efter 12 och granskningsloggar efter 36.

    Schemalagd

Åtkomst och inloggning

Vem som kommer åt vad

7 på plats

  • Varje organisation åtskild i databasen

    Radnivåsäkerhet på varje tabell. Ett test går igenom alla tabeller och kontrollerar att en organisation inte ser en annans rader.

    Testas vid ändring

  • Supporten kommer bara in med ert ja

    Vår support når er organisation först när en ägare eller administratör godkänt en begäran, och bara i högst fem dagar. Ni får mejl om varje begäran.

    Testas vid ändring

  • Plattformens administratörer kräver tvåsteg

    Den som administrerar ACRMI måste vara inloggad med tvåstegsverifiering. Databasen själv kontrollerar det.

    Testas vid ändring

  • Tvåstegsverifiering för er organisation

    En administratör kan kräva tvåstegsverifiering av alla användare. Databasen själv nekar då en session utan andra steget, och ett test vaktar det.

    Testas vid ändring
Visa 3 till

  • Konton bjuds in eller godkänns

    Den som registrerar sig utan inbjudan kommer inte åt något förrän vi har godkänt organisationen.

    Testas vid ändring

  • E-postdomäner bevisas med DNS

    En organisation kan bara knyta en domän till sig genom en DNS-post på domänen.

    Testas vid ändring

  • Begränsning av upprepade anrop

    Publika formulär, signering av offerter och spårning har en övre gräns för antal anrop.

    Testas vid ändring

Utveckling och drift

Hur koden och driften hålls säker

7 på plats

  • Tusentals tester vid varje ändring

    Typkontroll, lint och tester, däribland omkring 3 500 kontroller av behörigheterna i databasen. En ändring slås inte ihop förrän allt är grönt.

    Testas vid ändring

  • Säkerhetsanalys av koden

    Semgrep söker efter kända säkerhetsfel och läckta hemligheter vid varje ändring och en gång i veckan.

    Testas vid ändring

  • Sårbara beroenden stoppas

    Tredjepartsbibliotek med kända sårbarheter av hög eller kritisk allvarlighet stoppar bygget. Kontrollen körs också varje natt.

    Testas vid ändring

  • Strikta säkerhetsrubriker

    Innehållspolicy utan inbäddade skript, HSTS och skydd mot inramning. Ett test kontrollerar rubrikerna vid varje ändring.

    Testas vid ändring
Visa 3 till

  • Driften kontrolleras var femte minut

    Webbapp, telefoni, e-post, AI och databas kontrolleras automatiskt, och resultatet visas på driftstatussidan.

    Schemalagd

  • Driften jämförs med koden

    Varje natt jämförs databasen i drift med koden, och varje timme kontrolleras att det senaste har rullats ut. Avvikelser larmar.

    Schemalagd

  • Felövervakning med maskerad text

    Fel i appen rapporteras till Sentry i EU. Text och formulärfält maskeras innan något lämnar webbläsaren.

    I appen

Dataskydd och integritet

GDPR i praktiken

5 på plats

  • Granskningslogg

    Ändringar av kunder, kontakter, affärer, roller och integrationer loggas av databasen själv och sparas i 36 månader.

    I databasen

  • Export per kontakt

    En administratör kan exportera uppgifterna om en kontakt som JSON. Varje export loggas.

    I appen

  • AI bara när den är påslagen

    AI-funktionerna styrs per organisation och plan, och körs inte förrän de är påslagna.

    I databasen

  • Kalenderinnehåll går aldrig till AI

    AI:n får bara datum för möten med kunder, aldrig titel, plats eller deltagare. Ett test vaktar det.

    Testas vid ändring
Visa 1 till

  • Spårning först efter samtycke

    Besöksstatistik på acrmi.se startar först när besökaren har tackat ja. Ett test vaktar det.

    Testas vid ändring

Rutiner och ansvar

Det som inte går att automatisera

4 på plats

  • Utsedd säkerhetsansvarig

    Informationssäkerhetspolicy med namngiven ansvarig för säkerhet, incidenter och dataskydd. Ses över varje år.

    Dokumenterad

  • Plan för säkerhetsincidenter

    Dokumenterad incidenthantering från upptäckt till åtgärd. Personuppgiftsincidenter anmäls till IMY inom 72 timmar.

    Dokumenterad

  • Policy för sårbarhetsrapporter

    Forskare kan rapportera brister till security@acrmi.se. Kontaktuppgifterna finns också maskinläsbart i security.txt.

    Dokumenterad

  • Årlig oberoende granskning

    Google CASA, utförd av TAC Security i juli 2026. Görs om varje år.

    Dokumenterad

Underleverantörer

Alla leverantörer som kan komma åt personuppgifter i ACRMI, vad de gör och var de behandlar uppgifterna. Vi meddelar här när listan ändras.

14 leverantörer

  • SupabaseDatabas och lagring

    Databas, inloggning och fillagring. Här ligger alla kunddata, även samtals- och mötesinspelningar.

    EU · Irland

  • Recall.aiMötesbot

    Mötesboten som spelar in och transkriberar videomöten när funktionen är påslagen.

    EU · Frankfurt

  • SentryFelövervakning

    Felrapporter från appen. Text och formulärfält maskeras innan något lämnar webbläsaren.

    EU · Tyskland

  • 46elksTelefoni

    Telefonnummer, samtal och SMS.

    Svenskt företag

  • HetznerDrift

    Servern där vår egen telefoniväxel körs.

    Tyskt företag

  • DealfrontFöretagsidentifiering

    Vilket företag en webbplatsbesökare kommer från, när besöksspårningen används.

    EU-företag

  • CreditsafeFöretagsinformation

    Företagsuppgifter när ni söker eller berikar leads.

    EU-företag

  • DeepgramTranskribering

    Gör om samtal och möten till text, även i realtid under ett samtal.

    USA

  • OpenAITranskribering och AI

    Transkribering och vissa AI-funktioner.

    USA

  • Google GeminiAI

    Sammanfattningar, svarsförslag och analyser, bara när funktionerna är påslagna.

    Utanför EU

  • VercelWebbhosting

    Levererar själva webbappen och mäter laddningstider utan cookies.

    Globalt · amerikanskt företag

  • StripeBetalningar

    Betalningar och fakturering.

    USA

  • Telnyx och AgentMailTelefoni och e-post

    Telnyx för telefoni som tillval, AgentMail för transaktionsmejl och aviseringar.

    USA

  • Apollo, Hunter och ip-api.comLeaddata och besök

    Apollo och Hunter för kontaktuppgifter när ni söker leads, ip-api.com för ungefärlig ort vid webbplatsbesök.

    Amerikanska företag · Hunters servrar i Belgien

Google och Microsoft finns inte med i listan: deras e-post och kalender ansluter ni själva, och de behandlar uppgifterna enligt ert eget avtal med dem. När uppgifter behandlas utanför EU sker det med stöd av EU-kommissionens standardavtalsklausuler eller EU–USA-ramverket för dataskydd.

Frågor och svar

Det IT-chefer och dataskyddsombud oftast frågar oss. Hittar ni inte svaret, mejla security@acrmi.se.

Var lagras våra uppgifter?

Databasen och alla lagrade filer, även samtals- och mötesinspelningar, ligger hos Supabase i EU (Irland). Mötesboten körs i Frankfurt och felövervakningen i Tyskland.

Transkribering och AI-funktioner behandlar uppgifter utanför EU, främst i USA, hos Deepgram, OpenAI och Google Gemini. Det sker bara när funktionerna används.

Används våra uppgifter för att träna AI?

Vi tränar inga AI-modeller på era mejl, samtal, möten eller kunder. AI-funktionerna ger förslag som en människa tar ställning till och fattar inga beslut på egen hand.

Vilka leverantörer som behandlar vad, och var, står under Underleverantörer ovan.

Kan andra organisationer se våra uppgifter?

Nej. Varje rad i databasen hör till en organisation, och databasen själv vägrar visa den för någon utanför. Det testas automatiskt vid varje ändring av koden, så en ändring som skulle öppna en tabell för fel organisation stoppas innan den slås ihop.

Kan er support se våra uppgifter?

Bara om ni säger ja. Vår support begär åtkomst till er organisation i appen, och ägare eller administratörer godkänner eller avböjer. Åtkomsten gäller i högst fem dagar, och ni får mejl om varje begäran.

Kan vi kräva tvåstegsverifiering för alla användare?

Ja. När en administratör har slagit på det måste varje användare ställa in tvåstegsverifiering innan de kommer in i appen, och databasen nekar anrop från en session som inte har klarat andra steget. Ni kan också logga in med Google eller Microsoft.

Hur länge sparas samtalsinspelningar och mejl?

Det väljer ni. En administratör ställer in hur länge samtalsinspelningar, mejlinnehåll och ljud och video från möten sparas, och gallringen sker automatiskt.

Oavsett inställning raderas samtalsloggar, SMS och synkroniserade mejl efter 24 månader, besöksdata efter 12 månader och granskningsloggar efter 36 månader.

Kan vi få ut eller radera uppgifterna om en person?

Ja. En administratör kan exportera uppgifterna om en kontakt som strukturerad JSON och radera kontakten, till exempel när någon begär det enligt GDPR.

Synkade mejl och inspelningar ingår ännu inte i exporten och raderingen. Hör av er så hjälper vi till med dem.

Har ACRMI SOC 2 eller ISO 27001?

Inte i dag. Det vi har är en oberoende säkerhetsgranskning enligt OWASP ASVS (Google CASA), utförd av TAC Security, Googles godkännande av hur vi använder Gmail och Kalender, och de kontroller som listas på den här sidan.

Har ni gjort ett penetrationstest?

Inte ett manuellt. Vid CASA-granskningen skannade TAC Security ACRMI automatiskt efter sårbarheter och granskade våra svar om säkerhetskontrollerna. Inga kritiska, höga eller medelallvarliga fynd hittades.

Vad händer med våra uppgifter om vi säger upp avtalet?

Vi raderar organisationens uppgifter när avtalet har upphört. Raderade uppgifter kan ligga kvar i säkerhetskopior tills kopiorna gallras automatiskt.

Hur rapporterar jag en säkerhetsbrist?

Mejla security@acrmi.se. Vi bekräftar att vi tagit emot rapporten inom tre arbetsdagar och håller er informerade tills bristen är åtgärdad. Ni kan rapportera anonymt.

Testa i god tro, rör inte andras uppgifter och ge oss rimlig tid innan ni publicerar något. Mot forskning i god tro som följer vår policy för sårbarhetsrapporter vidtar vi inga rättsliga åtgärder.

Ändringar

Nya underleverantörer, granskningar och säkerhetsändringar.

  • Dataskydd

    Ny dataskyddspolicy och riktiga cookieval

    Policyn säger nu exakt vilka leverantörer som hanterar vad och var. Besöksstatistik på acrmi.se startar först när besökaren har tackat ja, och Neka ligger bredvid Acceptera.

  • Underleverantör

    Anthropic borttagen ur listan

    Anthropic stod som underleverantör men anropas inte av ACRMI. Listan visar nu bara de leverantörer som faktiskt hanterar era uppgifter.

  • Säkerhet

    Telefonilösenord flyttade till ett krypterat valv

    Säljarnas lösenord till växeln ligger nu krypterade i ett valv och kan inte läsas av någon användare, inte ens en administratör.

  • Säkerhet

    E-postdomäner bevisas med DNS

    En organisation kan bara knyta en e-postdomän till sig genom att lägga en DNS-post på domänen. Ingen annan kan längre ändra er inloggningssida.

  • Granskning

    Microsoft verifierad utgivare

    Microsoft har bekräftat att ACRMI kommer från Friis of Sweden AB. Era IT-administratörer ser det när ni ansluter Microsoft 365.

  • Granskning

    Google godkänner ACRMI efter säkerhetsgranskning

    TAC Security granskade ACRMI enligt OWASP ASVS (Google CASA) för Googles räkning, och Google godkände hur vi använder Gmail och Google Kalender.

Behöver ni mer inför ett beslut?

Vi svarar på säkerhetsfrågeformulär och skickar våra policyer och vår säkerhetsarkitektur till företag som utvärderar ACRMI.

Kontakta oss