Sådan passer Nemma på dine data.

Adskillelsen sker to steder. Databasen afviser selv al adgang på tværs af butikker, uanset hvilken skærm eller forespørgsel der spørger. Og i serverkoden, som har bredere rettigheder end en bruger, bliver butikken altid sat på som filter.

Vi tester adskillelsen automatisk, mod et særskilt testmiljø og aldrig mod rigtige kundedata. Og en automatisk test fejler, hvis en ny type data oprettes uden adskillelsen.

Inden for din butik bestemmer du selv, hvem der må hvad. Som standard er det kun ejeren, der kan ændre indstillinger, refundere og annullere og rette AI'ens Skills.

Nemma slår kun ordrer op på den e-mail, kunden skriver fra. Er ordrens e-mail en anden, udleveres der ingenting - hverken til AI'en eller til afsenderen. Svaret er det samme, uanset om ordren ikke findes, eller om den tilhører en anden.

Fordi kontrollen sidder i selve de værktøjer, AI'en bruger, kan den ikke omgås med en snedig formulering i en e-mail. Intet om ordren når AI'en, før afsenderens e-mail er kontrolleret mod ordren.

Én smal undtagelse: har kunden handlet med en anden e-mail, kan et menneske i dit team bekræfte, at ordren hører til kunden. Det gælder kun den ene ordre i netop den sag. Svaret sendes aldrig automatisk, og adressen på ordren kan ikke ændres.

Nemma kan foreslå en refundering, men aldrig udføre den på egen hånd. Det samme gælder et bytte til et billigere produkt, hvor prisforskellen betales tilbage. Der sker først noget, når et menneske har godkendt det.

Det er ikke hvem som helst i teamet. Som standard er det kun ejeren, der må flytte penge. Ejeren kan give en supporter lov, og den lov tjekkes både i appen og i databasen.

Et refunderet beløb kan aldrig overstige det, ordren er betalt. Dør en handling midt i kaldet til Shopify, prøver Nemma aldrig igen af sig selv, så det samme beløb ikke kan blive betalt tilbage to gange. Et menneske afklarer den.

Uden dig kan Nemma i Sender selv kun annullere en ordre, der ikke er afsendt, er under et døgn gammel og er på højst 2.500 kr., og ændre adressen på en ordre, der ikke er afsendt, når ordrens egen e-mail passer til afsenderen. Alt andet venter på dig.

Nogle prøver at skjule instruktioner i en e-mail for at få AI'en til at gøre noget, den ikke skal. Det kaldes prompt injection. Nemma læser derfor indholdet i en e-mail som data og aldrig som kommandoer.

Men vi lader ikke sikkerheden hvile på, at AI'en gennemskuer alt. Det vigtigste værn er, hvad den overhovedet kan: der findes intet værktøj, der kan sende en e-mail til en anden adresse, give rabat, oprette en ordre eller sende data ud af huset. Et svar går altid til kundens egen e-mail i sagen, og modtageren kan hverken ændres af AI'en eller af en e-mail.

Det værste, en fuldt kapret model kan gøre, er at foreslå en handling på afsenderens egen ordre - og refundering og bytte kræver stadig et menneske.

Før Nemma sender selv, tjekkes udkastet for links og e-mailadresser, der ikke hører til din butik eller kunden. Finder tjekket noget, ender svaret som et udkast, du skal godkende. Det samme gælder, når afsenderens e-mail ikke kan bekræftes: så sendes intet automatisk.

Det, der behandles i Nemma, bruges ikke til at træne eller forbedre AI-modeller - hverken af os eller af vores AI-leverandør. Leverandøren, Anthropic, er sat op uden datalagring til træningsformål, og det står i databehandleraftalen og i handelsbetingelserne.

Leverandøren kan efter egne vilkår foretage begrænset overvågning for misbrug. Det er ikke træning, og det fremgår også af aftalen.

Vi skriver aldrig indholdet af en e-mail eller adgangsnøgler i vores logfiler. Din Shopify-adgang gemmes krypteret og vises aldrig i klartekst, heller ikke for os.

Databasen og hostingen ligger i EU. Resend og Anthropic behandler data i USA, med EU-Kommissionens standardkontraktbestemmelser og, hvor leverandøren er certificeret, EU-U.S. Data Privacy Framework som grundlag.

Din egen Shopify er dit eget system og ikke vores underdatabehandler. Betaling går gennem Stripe, som ikke behandler dine kunders personoplysninger.

Data er krypteret under transport og i hvile. Vi giver mindst 30 dages varsel, før vi tilføjer eller udskifter en leverandør, og du kan gøre indsigelse.

Hvert svar, som Nemma har været med til at skrive, afsluttes med en kort linje på kundens sprog om, at svaret er lavet med hjælp fra en AI-assistent. Det gælder både svar, du har godkendt eller rettet, og svar, Nemma sender selv, på e-mail og i chat.

Linjen sættes på, når svaret sendes, efter at du er færdig med at rette. Derfor kan den ikke redigeres væk, og der findes ingen indstilling, der slår den fra. Den understøtter kravet om at oplyse, når nogen kommunikerer med et AI-system, i artikel 50 i EU's AI-forordning.

Din faste kvittering og dit fraværssvar er din egen tekst, ikke skrevet af AI, og bærer derfor ikke linjen.