Helägd säkerhet - från GPU till app
VeraVox kräver ingen integration mot era verksamhetssystem, ingen inkommande trafik och ingen handpåläggning från IT för att komma igång.
En överblick på vår säkerhet
Ingen integration
Inga obligatoriska kopplingar mot Combine, Treserva eller andra verksamhetssystem. Handläggaren granskar underlaget och för själv över det. En felaktighet i ett AI-utkast kan därför aldrig spridas automatiskt vidare i era system.
Ingen data lämnar Sverige
All lagring sker i svenska datacenter. Ägarskap och drift ligger under EU- och EES-rätt. Ingen leverantör utanför EU eller EES kan komma åt personuppgifter, och den EU-ägda infrastrukturleverantören ser enbart krypterad data.
GDPR-säkrad mot CLOUD Act och FISA 702
VeraVox kör pods, databaser, lagring och GPU-inferens hos en datacenterleverantör som är helägd inom EU och EES. På så sätt stannar jurisdiktion och data här hemma - och gynnar den växande europeiska moln- och AI-infrastrukturen.
Ni kan ta över driften
Applikationen är paketerad som containrar, databasen inkluderad. Multitenant hos oss, dedikerat kluster hos oss, eller självhostat hos er. Samma tekniska kontroller i alla tre modellerna.
AI:n fattar inga beslut
Varje utkast är redigerbart och kopplat till transkriptet med klickbar tidsstämpel. Handläggaren granskar, äger och bär ansvaret. Det finns ingen automatiserad väg från AI-utdata till myndighetsbeslut.
Dokumentation för er DPIA och riskhantering
Personuppgiftsbiträdesavtal, attestation enligt Cyber Resilience Act och stöd för konsekvensbedömning bifogas redan med offerten. SBOM, pentestrapport och skriftlig bekräftelse på dataresidens lämnas inom fem arbetsdagar.
Anonymisering vid export
Vid export av text körs anonymisering av exempelvis namn, adresser och telefonnummer. Det ger socialsekreterare flexibilitet att kunna använda verktyg utanför de säkra VeraVox- och verksamhetssystemen.
För kommunens IT-avdelning
| Område | Så fungerar det |
|---|---|
| Nätverk | Era mobiler och arbetsdatorer kontaktar VeraVox över HTTPS. Denna TLS 1.3 termineras inuti vårt kluster med kvantsäker krypteringssvit. Inga externa resurser eller avkrypterande mellantjänster. |
| Klienter | VeraVox är en webbapplikation anpassad för mobil inspelning samt arbete vid skrivbord. Socialsekreterare använder sina smartphones och datorer - och med fördel en bluetooth-puck för bättre ljudupptagning. |
| Identitet | Varje socialsekreterare har ett eget konto. Inloggning sker antingen via fristående e-post, lösenord och MFA, eller med SSO via extern OIDC-koppling mot kommunens IdP - till exempel ert M365 Entra ID. |
| Integration | Ingen teknisk integration mellan VeraVox och era verksamhetssystem för journalanteckningar. Era processer förblir desamma - VeraVox assisterar bara under ärendets gång. |
| Drift | Vi driftar åt respektive kommun i ett delat kluster. Kontakta oss för dedikerat kluster eller egenhostad drift. |
Hur uppgifterna skyddas och när de försvinner
I transit används TLS 1.3. Äldre protokoll accepteras inte. I vila används AES-256-GCM för databas och ljudfiler. Känsliga fält krypteras på applikationsnivå med nycklar som är specifika för varje kommun, vilket innebär att en kommuns data inte går att läsa med en annan kommuns nyckel.
VeraVox gallrar data då det lagstadgade behovet försvinner när ett ärende stängs. Kommunen kan sätta kortare tider, anpassa dem efter sina egna gallringsrutiner och när som helst radera enskilda möten, transkriberingar eller anteckningar i sin miljö.
Vid normal drift har vår drift- och utvecklingspersonal ingen åtkomst till ljud, transkript eller utkast. Felsökning i en kommuns miljö kräver kommunens skriftliga godkännande och loggas.
Byggt med security-by-design
Johan Deckmar är teknisk medgrundare och systemarkitekt i VeraVox. Med en bakgrund som civilingenjör i datateknik - följt av 20 år som full-stack-utvecklare, molnarkitekt och CTO - är han nu grundare av Applied AI Sweden.
Han har ett djupt intresse för kryptografi, binäranalys, hackingpussel och lockpicking sedan tidigt 2010-tal. Han driver i dag även en tjänst för AI-automatiserad sårbarhetsanalys, så att mjukvarubolag kan ligga steget före nutidens AI-förstärkta attackförsök. För att säkra en byggnad måste man tänka som en tjuv - och för att säkra ett system måste man tänka som en hacker.
I VeraVox ansvarar han för arkitekturen, krypteringen, driften och datasäkerheten, och för att de tekniska valen redan från början följer vår höga ribba för datasäkerhet, compliance och jurisdiktion.
Tekniska frågor besvaras av johan.deckmar@veravox.se.
Rättslig grund, AI-förordningen och gränsen mot myndighetsutövning
I april 2026 publicerade Integritetsskyddsmyndigheten en rapport från sin innovationssandlåda tillsammans med Kalmar kommun. Myndigheten bedömer att det finns rättslig grund för AI-baserad transkribering i socialtjänsten enligt artikel 6.1 c och e, med stöd för känsliga personuppgifter i artikel 9.2 h, och att transkribering och sammanfattning inte utgör automatiserat beslutsfattande. Rapporten är vägledning och inte ett bindande beslut, och den prövade en annan leverantörs tjänst.
Villkoren som ställs upp handlar om mänsklig kontroll, utbildning, tillräcklig tid för granskning och tydliga rutiner för gallring, kryptering och behörighetshantering. Det är de villkoren VeraVox är byggt kring.
Kärnfunktionen, dokumentationsstöd, bedöms falla under undantaget för förberedande uppgifter i artikel 6.3 i AI-förordningen. Enskilda funktioner kan bedömas strängare än så, och de bygger vi efter högriskkraven redan från start, med mänsklig tillsyn, loggning och teknisk dokumentation, i väntan på extern juridisk bekräftelse.
Gränsen mot myndighetsutövning är den viktigaste designprincipen i produkten. VeraVox väger aldrig samman risk till en nivå, drar inga slutsatser och lämnar inga förslag på beslut. Verktyget kan visa att en risk- eller skyddsfaktor nämnts och var i samtalet, men sammanvägningen gör handläggaren.
Är du dataskyddsombud eller jurist?
Implementation av AI-tjänster i kommunal regi kräver transparens. En sammanfattning av arkitekturen, med en innehållsförteckning över samtliga handlingar, skickar vi direkt på förfrågan, även om ni ännu inte vet om ni vill köpa något. Det fullständiga underlaget finns samlat på er egen VeraVox-sida, som ni får tillgång till efter att vi verifierat vem ni är.
- Stöd för konsekvensbedömning enligt artikel 35 GDPR
- Personuppgiftsbiträdesavtal enligt artikel 28 GDPR
- Databehandlaravtal för underbiträdet Applied AI Sweden AB
- Cybersecurity attestation enligt förordning (EU) 2024/2847, Cyber Resilience Act
- SBOM, pentestrapport och skriftlig bekräftelse på dataresidens, inom fem arbetsdagar
Börja med sammanfattningen
Den skickar vi direkt, utan att ni behöver boka något. Hela underlaget öppnas på er egen VeraVox-sida när vi vet vilka vi lämnar ut det till. Har ni frågor på materialet svarar vi själva.