DataplaceringData residency
Vi angiver lande, ikke regioner. „Nordeuropa“ er ikke en juridisk oplysning — det er markedsføring.
We name countries, not regions. “Northern Europe” is marketing, not a legal statement.
- DriftHosting
- Helsinki, Finland (Hetzner). Applikation, database og søgeindeks kører alle her.Helsinki, Finland (Hetzner). Application, database and search index all run here.
- AI-behandlingAI processing
- Som standard Google Vertex AI. Modellerne kaldes gennem EU-multiregionen eller europe-west4 (Eemshaven, Holland) — aldrig gennem det globale endepunkt, som ikke giver nogen garanti for dataplacering. En organisation kan i stedet få sine svar fra Mistral AI (Frankrig); søgeindekset (vektorisering) bliver hos Google i EU.Google Vertex AI by default. Models are called through the EU multi-region or europe-west4 (Eemshaven, Netherlands) — never the global endpoint, which carries no residency guarantee. An organisation can instead have its answers generated by Mistral AI (France); the search index (embeddings) stays with Google in the EU.
- ModeltræningModel training
- Jeres indhold bruges ikke til at træne offentlige modeller.Your content is not used to train public models.
Valget af endepunkt er ikke en indstilling, en udvikler kan komme til at ændre. Hver enkelt model er knyttet til en bestemt EU-placering ét sted i koden, og en model uden registreret EU-placering afvises frem for at blive kaldt et andet sted.
The endpoint is not a setting a developer can change by accident. Every model is bound to a specific EU location in one place in the code, and a model with no registered EU placement is refused rather than called somewhere else.
Adskillelse mellem organisationerIsolation between organisations
Adskillelsen håndhæves i databasen, ikke i applikationen. Hver tabel har en politik på rækkeniveau, som binder rækken til én organisation; en forespørgsel uden gyldig organisationskontekst returnerer ingenting frem for at returnere for meget. Søgevektorer holdes i en samling pr. organisation.
Isolation is enforced in the database, not in the application. Every table carries a row-level policy binding the row to a single organisation; a query without a valid organisation context returns nothing rather than returning too much. Search vectors are held in a per-organisation collection.
Forskellen betyder noget ved en gennemgang: en fejl i applikationskoden kan ikke omgå en regel, der håndhæves under den.
The distinction matters under review: a mistake in application code cannot bypass a rule enforced beneath it.
Persondata før modelkaldPersonal data before model calls
Personhenførbare oplysninger erstattes med pladsholdere, før en tekst sendes til en sprogmodel, og sættes tilbage i svaret, når det kommer retur. Modellen ser altså pladsholderen, ikke navnet. Genkendelsen bruger sprogmodeller for dansk og engelsk tekst.
Én undtagelse: for at dokumenter kan søges på betydning, sendes deres tekst uændret til en embedding-model i EU, som omsætter den til vektorer. Den model genererer ikke tekst.
Personally identifying information is replaced with placeholders before any text is sent to a language model, and restored in the answer on the way back. The model sees the placeholder, not the name. Detection uses language models for Danish and English text.
One exception: so that documents can be searched by meaning, their text is sent unchanged to an embedding model in the EU, which turns it into vectors. That model does not generate text.
Forankrede svarGrounded answers
Et svar må kun bygge på tekststykker, der er hentet fra jeres egne dokumenter, og hvert svar henviser til den kilde, det stammer fra. Kan et svar ikke føres tilbage til en kilde, bliver det markeret som sådan frem for at blive vist som et almindeligt svar.
An answer may only draw on passages retrieved from your own documents, and each answer cites the source it came from. Where an answer cannot be traced back to a source, it is marked as such rather than presented as an ordinary answer.
Til sagsbehandling er det pointen: et svar uden en kilde, en medarbejder kan åbne, kan ikke bruges i en afgørelse.
For casework that is the point: an answer with no source a caseworker can open cannot be used in a decision.
Hvad vi gemmer — præcistWhat we store — precisely
Her er formuleringen vigtigere end markedsføringen, så vi skelner:
Here the wording matters more than the marketing, so we distinguish:
- Filer fra NextcloudFiles from Nextcloud
- Originalen bliver liggende i jeres Nextcloud. Vi gemmer den udtrukne tekst, søgevektorer og stien, der skal til for at henvise til filen — ikke en kopi af filen.The original stays in your Nextcloud. We hold the extracted text, search vectors and the path needed to cite the file — not a copy of the file.
- Filer fra SharePoint, OneDrive eller ConfluenceFiles from SharePoint, OneDrive or Confluence
- Samme model: originalen bliver liggende hos jer, og vi gemmer udtrukket tekst, søgevektorer og linket tilbage. Forbindelsen er skrivebeskyttet — intet ændres i jeres systemer. Microsoft og Atlassian er ikke underdatabehandlere for os: det er jeres egne systemer, som I selv har aftaler med, og adgangen sker med en godkendelse, I selv giver og selv kan trække tilbage.The same model: the original stays with you, and we hold extracted text, search vectors and the link back. The connection is read-only — nothing in your systems is changed. Microsoft and Atlassian are not sub-processors of ours: those are your own systems, under your own agreements, reached with an approval you grant and can withdraw.
- AdgangsrettighederAccess rights
- Hvor en forbindelse understøtter det, kopieres rettighederne med: er en fil begrænset i SharePoint eller en side begrænset i Confluence, gælder den begrænsning også her — også for administratorer. Kan rettighederne ikke afgøres, holdes dokumentet ude af svar i stedet for at blive gættet.Where a connection supports it, the rights are copied along: a file restricted in SharePoint, or a page restricted in Confluence, stays restricted here — for administrators too. Where the rights cannot be established, the document is kept out of answers rather than guessed at.
- Filer I uploaderFiles you upload
- Uploadede dokumenter gemmes hos os, fordi der ikke findes noget andet sted at hente dem fra.Uploaded documents are stored by us, because there is nowhere else to retrieve them from.
Derfor siger vi „vi opbevarer ikke kopier af jeres filer“ om Nextcloud-forbundne filer, og ikke „vi opbevarer ikke jeres indhold“. Det andet ville være usandt: udtrukket tekst er jeres indhold.
That is why we say “we do not keep copies of your files” about Nextcloud-connected files, and not “we do not store your content”. The second would be untrue: extracted text is your content.
EU-udbyder af svarAn EU provider for answers
Behandlingen sker i EU under alle omstændigheder. Men Google er et amerikansk selskab og dermed omfattet af CLOUD Act — og det er netop den indvending, en offentlig myndighed rejser. En organisation, der har brug for, at selve udbyderen er under EU-jurisdiktion, kan stille svarene om til Mistral i Frankrig fra sine egne indstillinger. To ting ændrer den omstilling ikke, sagt lige ud: søgeindekset bruger fortsat Googles embedding-modeller i EU-regioner, fordi en ændring ville kræve genindeksering af hvert eneste dokument, og opbevaringen bliver i Helsinki.
Processing is inside the EU either way. But Google is a US company and therefore reachable under the CLOUD Act — which is the objection a public authority actually raises. An organisation that needs the provider itself to be under EU jurisdiction can switch its answers to Mistral, in France, from its own settings. Two things that switch does not change, said plainly: search indexing still uses Google's embedding models in EU regions, because changing it would mean re-indexing every document, and storage stays in Helsinki.
Hvad der kan efterprøvesWhat can be checked
- EU AI Pact
- Bekræftet underskriver, søjle II — opført i Europa-Kommissionens offentlige register under navnet Docent.Digital.Confirmed signatory, Pillar II — listed on the European Commission's public register under the name Docent.Digital.
- AdfærdskodeksCode of Practice
- EU-kodeks om gennemsigtighed for AI-genereret indhold, underskrevet juli 2026 under navnet Docent.EU Code of Practice on Transparency of AI-Generated Content, signed July 2026 under the name Docent.
- CSA STAR
- Niveau 1, opført i CSA STAR-registret under navnet Docent (CAIQ v4.0.3).Level 1, listed in the CSA STAR Registry under the name Docent (CAIQ v4.0.3).
- Artikel 50Article 50
- AI-genereret indhold mærkes som sådan, i overensstemmelse med gennemsigtighedskravene i EU's AI-forordning.AI-generated content is labelled as such, in line with the transparency duties in the EU AI Act.
Der findes ikke noget, der hedder at „underskrive AI-forordningen“ — den er lovgivning. Vi skriver derfor det, der faktisk kan slås op.
There is no such thing as “signing the AI Act” — it is legislation. So we state only what can actually be looked up.
UnderdatabehandlereSub-processors
- Hetzner
- Drift og lagring. Helsinki, Finland.Hosting and storage. Helsinki, Finland.
- Google Cloud
- Vertex AI til sprogmodeller og vektorisering (EU-multiregionen / europe-west4). reCAPTCHA Enterprise på log ind-siden til at skelne mennesker fra automatiserede angreb: Google modtager IP-adresse og browsersignaler, ikke adgangskoden. Amerikansk moderselskab.Vertex AI for language models and embeddings (EU multi-region / europe-west4). reCAPTCHA Enterprise on the sign-in page to tell people from automated attacks: Google receives the IP address and browser signals, not the password. US parent company.
- Sentry
- Fejlovervågning: tekniske fejlrapporter. Forespørgslers indhold, cookies og persondata sendes ikke med; data opbevares i Tyskland. Amerikansk leverandør (Functional Software, Inc.).Error monitoring: technical error reports. Request contents, cookies and personal data are not sent; data stored in Germany. A US provider (Functional Software, Inc.).
- Mistral AI
- Kun hvis en organisation vælger det: sprogmodel i stedet for Google. Fransk leverandør; persondata erstattes af pladsholdere før kaldet.Only if an organisation chooses it: language model instead of Google. A French provider; personal data is replaced by placeholders before the call.
- Cloudflare
- DNS for vores domæner samt TLS og beskyttelse mod overbelastningsangreb for hjemmesiden kildera.dk. Applikationen (app.kildera.dk) går ikke gennem Cloudflare, så dokumenter, spørgsmål og svar passerer aldrig Cloudflare. Amerikansk leverandør.DNS for our domains, and TLS and denial-of-service protection for the website kildera.dk. The application (app.kildera.dk) is not routed through Cloudflare, so documents, questions and answers never pass through it. A US provider.
- Brevo
- Transaktionsmails (adgangskoder, notifikationer) fra [email protected]. Fransk leverandør med data i EU. Der sendes aldrig dokumentindhold i mails.Transactional email (password resets, notifications) from [email protected]. A French provider with data in the EU. Document content is never sent by email.
- Stripe
- Betaling og fakturering. Ingen dokumentdata; kun abonnements- og faktureringsoplysninger.Payments and billing. No document data; subscription and billing details only.
Ved drift på egne servere hos jer bortfalder Hetzner. Kaldene til sprogmodel og vektorisering går stadig til den valgte udbyder (Google Vertex AI i EU eller Mistral AI); modeller på jeres egen infrastruktur understøttes endnu ikke.
For an on-premises deployment Hetzner drops out. Calls to the language model and for embeddings still go to the chosen provider (Google Vertex AI in the EU or Mistral AI); models on your own infrastructure are not yet supported.
OprindelseProvenance
Kildera kører på en platform, der har været i drift siden 2024 under navnet Docent. Den beskrevne sikkerhedsprofil — EU-dataplacering, GDPR-forankret arkitektur, anonymisering af persondata før hvert kald til sprogmodellen, håndhævelse af forankrede svar og vores forpligtelser om gennemsigtighed efter artikel 50 — blev etableret under den platform og videreføres uændret.
Kildera runs on a platform that has been in production since 2024 under the name Docent. The posture described on this page — EU data residency, GDPR-native architecture, PII anonymisation before every call to the generative model, grounded-answer enforcement, and our EU AI Act Article 50 transparency commitments — was established under that platform and carries forward unchanged.
Hvor en certificering eller en opførsel i et offentligt register endnu står i Docents navn, er det markeret som sådan. Registreringen i EU AI Pact står eksempelvis som „Docent.Digital“.
Where a certification or public register entry is still recorded under the Docent name, it is marked as such. The EU AI Pact register entry, for example, reads “Docent.Digital”.