Säkerhet och kontroll. Ramarna som agenterna arbetar inom.

Funktionerna som kör tjänsten är låsta till Vercels EU-region Frankfurt (fra1).

Alla uppgifter ligger i en Postgres-databas hos Neon i AWS eu-central-1 (Frankfurt). Regionen valdes vid start och kan inte flyttas i efterhand.

Varje leverantör som behandlar kunders uppgifter står med syfte, land och överföringsgrund i villkoren. Vercel, Neon, Resend, Anthropic och Sentry är amerikanska bolag, med överföringsgrunden angiven. Nya leverantörer meddelas kunder i förväg. Listan hålls mot koden av ett test.

Domera behandlar kundens personuppgifter som personuppgiftsbiträde. Biträdesavtalet enligt artikel 28.3 i dataskyddsförordningen är Bilaga 1 till villkoren.

Anslutningar över http skickas om till https innan något skickas i klartext, och HSTS med två års giltighet och underdomäner är påslaget.

Content-Security-Policy, ramförbud (X-Frame-Options DENY), X-Content-Type-Options, Referrer-Policy och Permissions-Policy skickas med sidorna. Vår övervakning kontrollerar var 30:e minut att CSP finns och inte tillåter unsafe-eval.

Personnummer lagras krypterade med AES-256-GCM, med ett separat blindindex för sökning. Lagrade hemligheter, till exempel tvåfaktorsnycklar och kundens egna API-nycklar, krypteras på samma sätt.

Nycklar, lösenord, personnummer och kontonummer maskas innan text lämnar tjänsten som logg eller felrapport. E-postadresser i serverloggen visas förkortade och ämnesraden loggas inte.

Förvaltare, kollegor och hyresgäster kan logga in med BankID, och avtal kan signeras med BankID. Det sker via Idura, som är listat som underbiträde. En BankID-session räknas som två faktorer och går ut efter 30 minuters inaktivitet.

Bankkopplingen går via Enable Banking, en registrerad kontoinformationstjänst enligt PSD2. Du godkänner åtkomsten hos din egen bank. Automatisk hämtning från banken är inte öppen för kunder än: till dess läser du in kontoutdraget som fil.

Den som loggar in med lösenord måste ha tvåfaktorsautentisering (autentiseringsapp) som kontoägare, och Domeras egen personal likaså, annars öppnas ingenting förutom uppsättningen. Ägaren kan dessutom kräva tvåfaktorsautentisering av alla kollegor. Det är av som standard så att ingen låses ute, och ägaren får veta vilka kollegor som saknar den. Att ändra eller stänga av tvåfaktorsautentisering kräver en giltig kod.

Lösenord lagras bara som bcrypt-hash. Vanliga lösenord nekas, upprepade felförsök låser kontot en stund, och hastigheten begränsas redan i kanten innan databasen berörs.

En inloggning går ut efter två timmars inaktivitet och har en absolut maxlängd (8 timmar för Domeras personal, 12 för förvaltare och kollegor, 24 för hyresgäster). Användaren kan logga ut på alla enheter med ett klick, och byte av lösenord eller tvåfaktorsautentisering avslutar alla andra inloggningar.

Kollegor får behörigheter per användare, och ägaren kan dessutom stänga av hela områden per kollega. Kontrollen sker på serversidan vid varje sidanrop.

Varje kund har en egen logg över vem som gjorde vad och när, med nätverk (förkortat) och webbläsare. Når Domeras personal kundens uppgifter skrivs en rad i kundens egen logg. Det finns ingen funktion för att logga in som kunden. Nätverk och webbläsare sparas tolv månader, själva raden längre.

Alla kunder ligger i samma databas och avgränsas per konto i koden som läser och skriver uppgifterna, inte av separata databaser. För hyresgäster, AI-assistenten och fastighetens historia bevisas avgränsningen av tester som körs mot en riktig Postgres och som läser tillbaka raderna efteråt, så att ett avvisat anrop också syns i data. Det täcker inte allt: fler områden bevisas efter hand.

Kunden kan själv hämta all sin data: ett utdrag enligt GDPR och funktionen Exportera allt, en zip med registren, huvudboken, filerna och aktivitetsloggen. Exportfilerna raderas efter sju dagar.

Intresseanmälningar raderas efter tolv månader, BankID-ordrar efter hur länge de behövs, AI-chattar efter 30 dagar och exportfiler efter sju dagar, varje natt av ett schemalagt jobb. Bokföring och fakturor sparas i sju år (7 kap. 2 § bokföringslagen).

Som standard kommer allt Copilot vill göra som ett förslag som bara en människa kan göra till en åtgärd. Förslaget är signerat och bundet till ditt konto och din person, går ut efter en stund och kan bara användas en gång. Det enda som kan gå utan klick är det du själv slår på under Inställningar, inom gränser du sätter. Det och de automatiska jobben, som hyresavier och bankmatchning, redovisas i AI-registret nedan.

Copilot kan aldrig köra de här åtgärderna automatiskt: registrera betalningar och koppla bankrader, bokföra och skapa verifikat, höja hyror, säga upp och skicka vidare till inkasso. De står på en lista i koden som varken en inställning, ett belopp eller ett säkerhetsgolv kan flytta dem från, och slutlig påminnelse väntar också alltid på ett klick. Du kan själv välja att en sådan åtgärd aldrig föreslås. Bankmatchningen som sker i bankhämtningen själv redovisas i AI-registret.

Domera använder AI-modeller från Anthropic. Enligt avtalet med Anthropic får dina uppgifter inte användas för att träna modeller. Analysen av fastighetens hälsa skickar inga namn, e-postadresser eller telefonnummer, och inga ärendetexter.

Domera har 27 AI-funktioner som arbetar med kunders uppgifter, och varje funktion står i ett register med vad som skickas till AI-leverantören (Anthropic), vad som sparas och vem som godkänner. Huvudregeln är att AI förbereder och en människa godkänner, och registret redovisar undantaget öppet: 4 funktioner får agera själva, men bara inom kundens egna ramar som står utskrivna i registret. Standardläget är Föreslå, där förslaget väntar på ett klick. Automatisk från början är bara bankmatchning över 95 % säkerhet och periodiska rutiner som kunden godkänt en och en. Kunden väljer själv Automatisk för bankmatchning, ärendebedömning, koppling av faktura till ärende, första påminnelsen och rutiner, sätter säkerhetsgolv och beloppsgräns, och kan pausa allt. Slutlig påminnelse, inkasso och bokföring av fakturor väntar alltid på ett klick. Registret visas för varje kund i Inställningar och kontrolleras mot koden av ett test: en ny AI-funktion utan rad i registret stoppar bygget.

En kontroll av den publika sajten körs var 30:e minut (sidor, inloggning, hälsa, CSP, certifikat, svarstid) och larmar efter två misslyckanden i rad. Resultatet och öppna driftstörningar visas på sidan Driftstatus, med 90 dagars historik och utan mätvärden vi inte har.

Det finns en skriven rutin för att upptäcka, begränsa, informera och lära av en incident, inklusive anmälan till IMY inom 72 timmar vid personuppgiftsincident. Förvaltare får ett meddelande i appen vid en öppen driftstörning.

Rapportera sårbarheter till sakerhet@domera.se. Kontakten finns också som security.txt enligt RFC 9116. Se avsnittet längre ned.

Vi redovisar öppet hur väl tjänsten följer WCAG 2.1 AA, vilka brister vi känner till och hur du rapporterar nya. Tjänsten bedöms delvis förenlig. Automatiska kontroller körs på de viktigaste sidorna.

Vi har gjort en screening enligt artikel 35 som visar att en konsekvensbedömning krävs. Den fullständiga bedömningen är inte genomförd än och ska granskas av en dataskyddsjurist.

Ingen oberoende part har gjort ett penetrationstest av Domera än. Vi har gjort interna säkerhetsgranskningar (september och oktober 2026, den senare med gratis verktyg och egna angreppsskript mot en lokal kopia) och kontrollerar löpande, men det ersätter inte en extern test. Rapporten kommer att kunna delas med kunder under sekretess när den finns.

Vi är i dagsläget inte formellt certifierade. Vi bygger ett ledningssystem för informationssäkerhet med ISO/IEC 27001:2022 som förebild och redovisar läget öppet. Vårt mål är att uppnå formell ISO 27001-certifiering under 2027. Säkerhetsdokumentationen (hotmodell, dataklassning, gallring, behörigheter, incidentrutin) och ledningssystemets dokument är underlaget. Domera har ingen annan certifiering heller, till exempel SOC 2.