Sikkerhet · sist oppdatert 14. oktober 2026 · ikke gjennomgått av jurist ennå
Hva vi gjør, og hva vi ikke har.
Hvor det kjører
klapp kjører på Microsoft Azure i regionen Norway East. Tjeneren, loggene og filene vi lagrer, som lagrede arrangementer og runder, ligger i Norway East. Unntaket er KI-leverandøren, beskrevet under «KI» lenger ned.
Hemmeligheter, trafikk og innlogging
- Hemmeligheter ligger i Azure Key Vault og når tjeneren som referanser. De står ikke i kodelageret.
- HTTPS. All trafikk til nettstedet og spillet går over HTTPS. Lagringskontoen tar bare HTTPS, med TLS 1.2, og har ingen offentlig tilgang.
- Innlogging for verter skjer med Microsoft eller Google, gjennom OpenID Connect, på deres egne innloggingssider. klapp har ingen passord og ingen kontodatabase. Vertens navn og e-postadresse ligger i en signert cookie i vertens egen nettleser, i 14 dager eller til verten logger ut.
- Kort tastes inn i Stripes felt, aldri hos klapp. Vi ser aldri kortnummeret.
Deltakerne
Spillere har ingen konto og blir ikke spurt om navn eller e-postadresse. De får et kallenavn, tildelt eller valgt selv. Ingen kallenavn og ingen svar fra en spiller blir liggende etter spillet. Mens spillet går, ligger de og poengene i tjenerens minne og i én fil i lageret vårt, slik at spillet kan fortsette etter en omstart. Begge slettes når spillet er over.
Et arrangement holder bare antall per alternativ i avstemningene og topp ti i hver quiz, med kallenavn og poeng, i minnet til arrangementet er slutt, og høyst tolv timer. Hvem som svarte hva, blir aldri lagret. Hele gjennomgangen står på personvern.
De som melder seg på et arrangement, er beskrevet på personvern; salen er som før.
KI
Anthropic skriver spørsmålene i quizen og svarforslagene i en Q&A. Behandlingen skjer i USA, utenfor Norway East. I en Q&A får Anthropic sidene fra presentasjonene og dokumentene verten beholdt, og hvert spørsmål fra salen, aldri hvem som spurte. Presentasjoner, dokumenter og spørsmål kan inneholde personopplysninger, fordi materialet er det verten laster opp og publikum skriver.
Anthropics kommersielle vilkår sier at selskapet ikke kan trene modeller på kundeinnhold. Overføringen hviler på EUs standard personvernbestemmelser (SCC) i databehandlertillegget deres. Anthropic sto ikke på lista over selskaper under rammeverket EU–USA Data Privacy Framework da vi sjekket 4. oktober 2026. Selskapet sier det sletter det vi sender innen 30 dager. Detaljene står på underleverandører.
Vi har bestemt at KI-behandlingen skal flyttes til en EU-region i Azure når Claude finnes der. Vi har ingen dato.
Hvem andre, og databehandlervilkårene
Selskapene som mottar noe, står på underleverandører. En organisasjon som kjører en Q&A for sitt eget formål, er behandlingsansvarlig for materialet, og databehandlervilkårene gjelder.
Sertifisering
klapp har ingen sikkerhetssertifisering og ingen revisjonsrapport i dag. En SOC 2-revisjon starter når den første virksomhetskunden ber om det.
Meld fra om et sikkerhetshull
Skriv til hello@playklapp.com. Det er den eneste adressen klapp har, og den videresendes av domeneregistratoren vår, Porkbun, til en Gmail-innboks hos Google, så begge ser det du skriver. Si hva du fant og hvordan det kan gjentas. Ikke les, endre eller behold andres data, og ikke kjør last mot den levende tjenesten.
Samme kontakt står i security.txt.