Sikkerhed og databehandling

Denne side er skrevet til dig, der skal godkende værktøjet — en databeskyttelses­rådgiver, en it-sikkerhedsansvarlig eller en leder med ansvaret. Den beskriver konkret, hvad der sker med data, og hvad vi ikke kan love.

Det korte svar

• Optagelsen behandles på vores egen server og sendes ikke til nogen tredjepart
• Optagelsen skrives aldrig til en harddisk — heller ikke midlertidigt
• Hverken lyd eller tekst gemmes efter behandlingen — af e-mailen kun en envejs-kode til at tælle forbrug
• Der findes ingen brugerkonti, intet arkiv og ingen søgbar historik
• Bliver serveren kompromitteret, er der intet indhold at finde

Hvad der sker, minut for minut

1. Du bekræfter din e-mail

Du får en sekscifret kode. Formålet er at forhindre, at nogen kan få sendt et følsomt referat til en adresse, de ikke selv råder over. Koden findes kun i serverens arbejdshukommelse og udløber efter 10 minutter.

2. Filen lægges op

Forbindelsen er krypteret (HTTPS/TLS). Filen lander i et hukommelsesbaseret filsystem — teknisk set en tmpfs monteret med noswap. Det betyder to ting: dataene ligger i RAM, ikke på en disk, og de kan heller ikke blive skrevet til serverens swap-fil. Der efterlades derfor ingen spor på et fysisk lagermedie, som senere kunne genskabes.

Filnavnet kasseres straks og erstattes af et tilfældigt id. Et filnavn som Klage over lærer Hansen.m4a er i sig selv en personoplysning.

3. Lyden transskriberes

Vi bruger Whisper, en åben talegenkendelsesmodel, der kører på vores eget grafikkort. Lyden forlader ikke maskinen, og der er ingen forbindelse til en ekstern taletjeneste. Modellen er ikke selvlærende — din optagelse indgår ikke i træning af noget.

4. Resultatet sendes

Teksten sendes til din adresse som almindelig mailtekst. Vi bruger bevidst ikke vedhæftede filer: de er ikke bedre beskyttet undervejs, og de gør det blot besværligere for dig at kopiere teksten videre til dit eget journalsystem.

5. Alt slettes

Lydfil, det udtrukne lydspor og selve teksten fjernes, så snart mailen er afsendt — også hvis noget undervejs går galt. Din e-mailadresse fjernes fra hukommelsen samtidig. Vi kan ikke sende resultatet igen, fordi vi ikke har det.

Det eneste, vi gemmer

For at kunne håndhæve en kvote og fakturere en arbejdspladslicens er vi nødt til at tælle antal behandlinger. Databasen indeholder præcis fire kolonner:

Felt	Indhold	Hvorfor
email_hash	Envejs-kode (HMAC-SHA256) af adressen	Tælle pr. bruger
domain	Fx herning.dk	Licenstjek og fakturering
year_month	Fx 2026-08	Månedlig kvote
count	Antal, fx 4	Forbrug

E-mailadressen omdannes med en hemmelig nøgle (HMAC-SHA256) til en kode. Selve adressen står ingen steder, og koden kan ikke regnes baglæns til en adresse. Vi kan derfor svare på “hvor mange behandlinger blev der lavet på herning.dk i juli?” — men ikke læse ud af databasen, hvem der har brugt tjenesten. Det er bevidst: en liste over, hvilke sagsbehandlere der har transskriberet møder, ville i sig selv være følsom.

Er det så anonymt? Nej — og det skal vi være præcise om

En envejs-kode er pseudonymisering, ikke anonymisering. Samme adresse giver altid samme kode. Har man både den hemmelige nøgle og et konkret navn i tankerne, kan man regne koden ud for netop den adresse og se, om den står i databasen. Man kan altså ikke læse adresserne ud, men man kan bekræfte et gæt.

Derfor behandler vi tælleren som personoplysninger — ikke som anonyme tal — og den indgår som sådan i databehandleraftalen. Vi vil hellere sige det rent ud, end at kalde det anonymt og blive taget i en upræcished. Beskyttelsen ligger i, at nøglen kun findes på serveren, at der ikke er nogen sammenhæng mellem koden og hvad der blev transskriberet, og at der ikke gemmes noget tidspunkt for den enkelte optagelse — kun en månedsoptælling.

Der er ingen kolonne til filnavn, tekst, resumé eller tidspunkt for den enkelte optagelse. Den findes ikke, og der er derfor intet at slette efterfølgende.

Referatfunktionen — det eneste tilvalg med en tredjepart

Ud over den ordrette transskription laver vi et struktureret referat med resumé, hovedpunkter, beslutninger og opfølgning. Referatet skrives af en sprogmodel hos Anthropic (USA), som er vores underdatabehandler. Det betyder, at den transskriberede tekst sendes dertil. Lydoptagelsen sendes aldrig videre — den forlader ikke vores server.

Referatet er slået til som udgangspunkt, og du kan fravælge det ved hver enkelt upload. Fjerner du fluebenet, foretages der ingen forbindelse til nogen ekstern tjeneste overhovedet — så bliver alt liggende hos os, og du får den ordrette tekst alene.

Vi anbefaler at fravælge referatet, når optagelsen indeholder følsomme personoplysninger — børnesager, helbredsforhold, personalesager — eller hvis jeres organisation ikke tillader overførsel til tredjelande. Valget står ved hver upload, så det kan træffes fra sag til sag.

Anthropic bruger ikke indhold fra deres erhvervs-API til at træne modeller. Vi er i gang med at flytte referatfunktionen til vores egen hardware, så heller ikke teksten forlader huset. Når det er på plads, forsvinder denne underdatabehandler helt, og denne side bliver opdateret.

Det, vi ikke kan love

Et sikkerhedsafsnit uden forbehold er ikke troværdigt. Her er de reelle begrænsninger:

Mail er ikke krypteret hele vejen. Mellem mailservere bruges normalt TLS, men det er ikke garanteret ende til ende, og vi kan ikke kontrollere modtagersiden. Når mailen er landet i din indbakke, er den underlagt din organisations regler — ikke vores. Vurdér efter jeres retningslinjer, om følsomt indhold må ligge der.

Talegenkendelse laver fejl. Teksten er et udkast. Navne, fagudtryk og utydelig tale bliver misforstået. Læs den igennem og ret den, før du bruger den som dokumentation. Ansvaret for indholdets rigtighed er dit.

Vi kan ikke redde dig, hvis noget går galt undervejs. Fordi vi ikke gemmer noget, kan en afbrudt behandling ikke genoptages. Du må lægge filen op igen.

Optagelsen er dit ansvar. Vi håndterer filen sikkert, men om du må optage et møde — og om deltagerne skal orienteres — afgøres af din organisations regler og af persondatalovgivningen. Det kan vi ikke svare på for dig.

Teknisk opsummering til it-afdelingen

Emne	Detalje
Placering	Server i Danmark, drevet af os
Transport	HTTPS/TLS med certifikat fra Let's Encrypt
Lagring under behandling	tmpfs i RAM, monteret noswap
Lagring efter behandling	Ingen
Talegenkendelse	Whisper, kørt lokalt på egen GPU
Underdatabehandlere	Anthropic — kun ved aktivt tilvalg af referat
Logning	Job-id, varighed og status. Aldrig filnavne, adresser eller indhold
Netværk	Eget netværkssegment, adskilt fra vores øvrige tjenester
Maks. længde	3 timer pr. optagelse

Skal I bruge en databehandleraftale eller et bidrag til en konsekvensanalyse (DPIA), stiller vi det til rådighed. Skriv til kontakt@notatpligt.dk.