Slik håndterer jeg tillit. Med enkle ord.
Du gir meg kundelisten din. Det er en stor sak. Her er hva jeg gjør med den, ærlig talt.
Sikkerhet
- 🔐 TLS 1.3 overalt (wildcard-sertifikat, fornyer seg selv). HTTP omdirigeres til HTTPS med HSTS på.
- 🔑 Passordløs innlogging via magisk e-postlenke. Ingen passord å miste, ingen å stjele.
- 🧾 CSRF-tokens på hvert skjema som endrer noe. Streng Referer-sjekk på HTTPS.
- 🛡️ Content Security Policy via Talisman (strenge script-kilder). Innlogging og registrering rate-begrenset via Redis.
- 🗄️ Databasen er bundet til 127.0.0.1 kun, ingen offentlig port åpen. Nattlig kryptert sikkerhetskopi til disk.
- 🕵️ Hver viktig handling havner i en revisjonslogg (besøk lagt til, belønning innløst, innstillinger endret, ghost-innlogging).
Pålitelighet
- ⏱️ Hostet hos Hetzner, Frankfurt, i EU. Offentlig helsesjekk på /healthz.
- 💾 Nattlig pg_dump-sikkerhetskopi, oppbevart i 14 dager. Jeg tester gjenopprettingen selv én gang i måneden.
- 📉 Hvis noe ryker, kommer fiksen ut samme dag. Jeg driver ett produkt, ikke femti.
- 📊 Mål for oppetid: 99,5 prosent (i verste fall rundt 3,5 timers nedetid i måneden). Ingen SLA-kreditter ennå - jeg signerer en med den første salongen som spør.
Personvern og GDPR
- 🇪🇺 Alle data ligger i EU (Hetzner, Frankfurt). Ingenting forlater EU/EØS, bortsett fra e-postlevering via Brevo, som også er EU-hostet.
- 🚫 Ingen tredjeparts analyseverktøy med cookies. Ingen Google Analytics, ingen Facebook Pixel, ingen sesjonsopptak.
- 📤 Du kan eksportere hver kunde, hvert besøk og hver belønning som CSV fra Innstillinger, når du vil.
- 🗑️ En kunde ber om å bli glemt: ett klikk i Kunder sletter raden og hele historikken deres.
- ⏳ Steng kontoen din og du får et 30-dagers vindu med full CSV-eksport. Etter det blir alt slettet for godt.
- 📄 Alle detaljer i min Personvernerklæring.
Sub-processors
These are the third parties that help me run fidel. Nothing else touches your data.
| Who | Why | Where |
|---|---|---|
| Hetzner | Application server, database, backups | Frankfurt (EU) |
| Cloudflare | DNS + TLS certificate (DNS-only, no traffic proxy) | EU edge |
| Brevo | Transactional + lifecycle emails to your clients | Paris (EU) |
| Stripe | Your subscription billing (never your clients) | Dublin (EU) + US |
| Anthropic (Claude) | Auto-translation of UI strings + weekly-digest rewrite. Never sees your client list. | USA (SCCs) |
Full details, transfer basis, change notification policy in SUBPROCESSORS.md.
Cookies I set
| Cookie | What for | Lasts |
|---|---|---|
| session | Signed session (login, language, flash messages) | 30 dager |
| csrf_token | CSRF protection on forms | per session |
| fidel_theme | Your dark / light theme choice | permanent (localStorage) |
| _asid | Anonymous session id for our own funnel analytics | per session |
First-party only. No third-party cookies, no cross-site trackers, no advertising IDs.
How long I keep things
- 👥 Client records - until you cancel your account (or click 🗑 on a specific client). Then 30-day grace window, then hard-deleted.
- 📊 Analytics events - 90 dager (funnel windows are 7 and 30 days; the extra buffer allows year-over-year sanity checks and is auto-purged nightly.)
- 📱 Kiosk QR tokens - 5 minutes (rotating anti-fraud); 1 day audit trace after expiry.
- 💾 Encrypted backups - 14 dager on disk, then rotated out.
- 📜 Web + app logs - 14-30 dager.
Full retention grid in RETENTION.md.
If something goes wrong
I have a written breach response plan with a 72-hour notification deadline to the Romanian supervisory authority (ANSPDCP) per GDPR Art 33, plus direct notification to every affected tenant. RTO 4 hours, RPO 24 hours, tested quarterly.
Full playbook in INCIDENT-RESPONSE.md.
Hvem eier dataene
Det gjør du. Kundelisten din er din butikk, ikke min. Jeg selger den aldri, deler den aldri med noen andre, trener aldri ML-modeller på den, ser aldri på enkeltkunders opplysninger med mindre du ber meg om hjelp til å feilsøke noe. Eksporter når som helst, ta det med deg hvor du vil.
Personen bak serverne
Hei, jeg heter Narcis. Jeg bygde fidel.club etter at en god venninne stille og rolig mistet stamkundene sine, og alt som fantes der ute var enten en app kundene hennes aldri ville installere, eller en bedriftsgreie til 200 euro i måneden. Jeg driver dette alene fra hjemmekontoret mitt i Bucuresti. Når du sender e-post til support, er det jeg som leser den. Når du finner en bug, fikser jeg den. Når du har en idé jeg synes er god, får den plass samme uke. Det er hele firmaet.
Ta kontakt: nark@nark.ro