Hvorfor vi ikke er SOC 2 Type II endnu
Audit-omkostning: typisk 112-373K kr + årligt vedligehold ~75K kr. For en virksomhed i vores størrelse står den udgift endnu ikke mål med værdien for kunderne.
I stedet opererer vi efter en SOC 2-prep baseline med alle fem Trust Service Criteria-kontroller indbygget (security, availability, processing integrity, confidentiality, privacy), denne CAIQ-Lite + Trust Center til kunde-due-diligence, kvartalsvis ekstern code review, og årlig penetration test (fra dag 90 efter Trust Center-lanceringen).
Tidslinje
Dagene regnes fra lanceringen af Trust Center (dag 0). Tidsplanen er betinget: den afhænger af, at vi når tre interne forretningsmilepæle undervejs (efter 21, 45 og 60 dage).
| Milepæl | Trigger | Leverance |
|---|---|---|
| Dag 0 | Trust Center live | Denne side + CAIQ-Lite + Article 50 disclosure |
| Dag 30 (ca. 1 md.) | Første kundekontrakt | Annex B Article 28 GDPR DPA finaliseret + specialiseret IT-/AI-advokatfirma signed-off |
| Dag 90 (ca. 3 mdr.) | Første Module 1 kunde | Compliance-baseline tooling evalueret + ISO 27001 control mapping dokumenteret |
| Dag 180 (ca. 6 mdr.) | Tidlig kommerciel trækkraft | Penetration test planlagt |
| Dag 270 (ca. 9 mdr.) | Kommercielt modenhedsniveau nået | SOC 2 Type II readiness assessment + auditor valgt |
| Dag 365 (ca. 12 mdr.) | Første SOC 2 audit i gang | Type II 6-måneders observation-vindue starter |
| Dag 545 (ca. 18 mdr.) | SOC 2 Type II rapport | Offentligt artifact på /trust/soc-2 |
Kompenserende kontroller i pre-SOC-2 perioden
- Kryptografisk audit-spor (Ed25519) — hver PowerQuant-godkendelse signeret + kædet. Stærkere end typisk SOC-2 access-log fordi det er tamper-evident, ikke kun observeret.
- Open-source compliance-baseline tooling — evaluering planlagt fra dag 90. Vi publicerer source-code links og licensvilkår før vi laver kunde-facing claims om self-hosted drift.
- Kvartalsvis ekstern code review (Lemon.io engineer-engagement) — fanger drift i security-kontroller.
- Årlig third-party penetration test planlagt efter dag 180.
- MFA enforced på alle kritiske konti (GitHub, Stripe, Hetzner, Cloudflare, Supabase).
- Pre-commit hook forhindrer secret-leaks (file-level
# FAKEallowlist for fixtures). - Sub-processor SCCs — Annex IV-dokumentation i DPA.
Hvad vi tilbyder enterprise-kunder
Hvis jeres procurement-proces kræver SOC 2 Type II rapport og I ikke kan vente til dag 545 (ca. 18 måneder efter Trust Center-lanceringen), kan vi tilbyde:
- Letter of intent til vores SOC 2 Type II auditor (vælges ved dag 270), med måldato.
- CAIQ-Full (fuld ~270 spørgsmål) på anmodning, NDA-bundet.
- In-flight audit-evidence pakke: annoterede kopier af interne politikker, evidence-bundles, control-test resultater.
- Customer-paid acceleration — fast-track audit finansieret af kunde som del af recurring kontrakt.