NobleWolf Stage

Sikkerhet og skala

Bygget på enterprise-infrastruktur. Verifisert under last.

NW-Stage kjører på samme globale edge-nettverk som Disney+, Shopify og Discord. Hver komponent er bygget for skala: real-time uten polling, edge-cachede sider, og globalt distribuert video-leveranse.

Sist last-testet: 10. juni 2026

Verifisert kapasitet

6 184
Samtidige deltagere

Aktive real-time deltagere verifisert under distribuert last-test 10. juni 2026.

219 826
Push-meldinger levert

Null droppet under vedvarende last. Real-time Q&A, poll og timer-oppdateringer nådde hver deltager.

< 500ms
Push-latens

Poll-stemme registrert → resultat på hver deltagers skjerm, ende-til-ende under last.

Disse tallene kommer fra vår egen kontrollerte last-test mot produksjonsstakken. Vi gjentar testen før hver sending vi forventer over 1000 deltagere, og publiserer resultatene her.

Slik skalerer den

Global edge-leveranse

Hver side, video-segment og real-time oppdatering serveres fra nærmeste av 330+ Cloudflare edge-datasentre. En deltager i Oslo og en i Singapore får begge sub-100ms svartid.

Push, ikke poll

Q&A, poll og timer-oppdateringer pushes umiddelbart til hver deltager via Server-Sent Events drevet av Cloudflare Durable Objects. Ingen klient-polling betyr ingen database-trykk når deltagerantall vokser.

Stale-while-revalidate cache

Hyppige spørringer serveres fra edge cache mens ferske verdier hentes i bakgrunnen. Sidelasting holder seg under et sekund selv når 1000 deltagere kommer i samme minutt.

Adaptiv video-streaming

Video kjører på Cloudflare Stream — samme infrastruktur som brukes av store kringkastere. HLS-manifester og segmenter cachet globalt, med automatisk kvalitetsbytte per deltager.

Data og sikkerhet

EU data-lagring

All event-data lagres i Cloudflare D1 i EU Nord (Stockholm) som standard. Kunde-spesifikk EU-routing tilgjengelig på enterprise-plan.

GDPR-kompatibel by design

Tre-tilstands samtykke (av / anonym / full), Databehandleravtale (DPA) tilgjengelig, deltager-initiert dataeksport og sletting.

Tenant-isolering

Hver kunde har sitt eget subdomene, brandet tema og database-scope. Ingen kryss-tenant data-tilgang på applikasjons- eller spørrings-nivå.

Audit-logg

Hver administrativ handling (event-publisering, moderator-endring, deltager-bann, dataeksport) logges med bruker, tidsstempel og IP. Lagret i 12 måneder.

Real-time overvåking

Hver event-sending har et live observability-dashbord som sporer deltagerantall, meldings-leveringsrate og broadcast-latens. Tilgjengelig for operatører under sendingen.

Hendelseshåndtering

Tilbakerulling til siste fungerende deploy på under 60 sekunder. Hendelsesrapporter delt med berørte kunder innen 24 timer.

Infrastruktur-stakk

Hver komponent kjører på managed infrastruktur med dokumenterte SLA-er. Vi driver ikke egne datasentre — vi støtter oss på de som gjør det best.

Cloudflare Pages
Applikasjons-hosting på 330+ globale edge-lokasjoner. 99.99% oppetids-SLA.
Cloudflare Durable Objects
Minne-state for real-time push (SSE). Per-event isolering, sterk konsistens.
Cloudflare D1 (SQLite)
Distribuert SQL-database. Fysisk i EU; full EU-jurisdiksjon avventer Cloudflare-utgivelse (annonsert, ikke GA enda). ACID-transaksjoner.
Cloudflare Stream
HLS adaptiv video-leveranse fra globalt edge. Samme plattform som store kringkastere bruker.
Cloudflare R2 (EU jurisdiction)
Objekt-lagring for tenant-ressurser og transkripsjoner. Bucket-jurisdiksjon=eu — Frankfurt-basert Cloudflare-enhet. Både fysisk lagring og juridisk databehandler-entitet i EU.
LiveKit Cloud
WebRTC-infrastruktur for studio mode (host + gjest real-time lyd/bilde).

Sertifiseringer og samsvar

Vi publiserer status ærlig. Punkter på veikartet er tydelig merket — vi påstår ikke at vi har sertifiseringer vi ikke har.

GDPR

På plass

Fullt samsvar. Vi er databehandler.

Databehandleravtale (DPA)

På plass

Signert ved registrering. Versjonert + hash-bevart.

TLS 1.3 (i transitt)

På plass

Cloudflare full strict mode + HSTS preload.

Kryptert hvile

På plass

D1 + R2 kryptert hvile via Cloudflare.

CSA STAR Level 1 (selv-vurdering)

Veikart

Målsetting Q3 2026.

Ekstern pen-test

Veikart

Planlagt Q4 2026.

SOC 2 Type 1

Veikart

Målsetting Q2 2027.

ISO 27001

Veikart

Målsetting Q4 2027.

EU residency-status

Hvor ligger dataene eksakt?

Vi er åpne om hva som er EU-jurisdiksjon og hva som er global edge i dag. 4 komponenter har full EU-jurisdiksjon; 5 komponenter er fysisk i EU men under global leverandørentitet (dekket av EU SCCs).

Definisjoner: "jurisdiksjon" = den juridiske entiteten som behandler dataene, ikke bare fysisk server-plassering. Schrems II vurderer begge. EU SCCs (Standard Contractual Clauses) er EU-godkjent overføringsmekanisme for globale leverandører.

EU-jurisdiksjon

R2 Object Storage (logoer, bilder, transkripsjoner)

EU-jurisdiksjon — Frankfurt-basert Cloudflare-enhet. Fysisk i EU + juridisk EU-databehandler.

EU-jurisdiksjon

Live captions (Deepgram)

EU-region (Frankfurt). Ingen retention som default.

EU-jurisdiksjon

Betalinger (Stripe Payments Europe Ltd)

Stripe Europe Ltd (Irland) som EU-motpart. PCI DSS Level 1.

EU-jurisdiksjon

WebRTC studio (LiveKit Cloud)

EU-region (Frankfurt). Økt-data er kortvarig og ikke lagret.

EU SCCs

D1 database (kontoer, events, påmeldinger)

Fysisk i EU, men jurisdiksjon=default (Cloudflare har annonsert EU-jurisdiksjon for D1, ikke utgitt enda). Vi går til EU-jurisdiksjon straks det er tilgjengelig.

EU SCCs

Cloudflare Stream (video VOD + live)

Global edge-distribusjon. Regional Services (EU-låsing) krever Cloudflare Enterprise. EU SCCs gjelder.

EU SCCs

Cloudflare Pages + Workers (compute)

Global edge. Regional Services (EU-låsing) krever Enterprise. EU SCCs gjelder.

EU SCCs

Cloudflare Workers AI (transkript-oversettelse)

Global GPU-pool. Ingen EU-pinning utenfor Enterprise i dag. EU SCCs gjelder. Lyd-segmenter sendes kun ved aktiv oversettelse.

EU SCCs

E-post (Resend)

USA (AWS us-east-1). EU SCCs + EU-US Data Privacy Framework. Klikk-tracking deaktivert.

Full underleverandørliste med DPA-lenker: /underleverandorer

Datahandling og GDPR

NW-Stage er databehandler. Kunden er behandlingsansvarlig. Vi handler på dokumenterte instrukser.

Hva vi lagrer

  • • Deltaker-navn og e-post (fra event-påmelding)
  • • IP-adresse (for sikkerhet + analytics)
  • • Hva som ble sett (analytics)
  • • Audit-logg (admin-handlinger)

Hvor og hvor lenge

  • • R2-lagring: EU-jurisdiksjon (Frankfurt)
  • • D1-database: fysisk EU, full jurisdiksjon avventer Cloudflare-utgivelse
  • • Se full per-komponent status: #eu-status
  • • Default oppbevaring: 12 måneder etter event
  • • Tilpasset oppbevaring (Enterprise)
  • • Underleverandører: se liste

Deltakerrettigheter

  • • Innsyn, retting, sletting
  • • Dataportabilitet
  • • Behandles innen 30 dager eller før
  • • Selvbetjent portal: /min-data

Hendelseshandtering

  • • Brudd varsles innen 24 timer
  • • Statusside: status.noblewolf.no (kommer)
  • • Eskalering: e-post → telefon → SLA

Sikkerhet i praksis

Applikasjonssikkerhet

  • ✓ PBKDF2-SHA256 passord-hashing (100k iterasjoner)
  • ✓ HMAC-signerte tokens for sensitive operasjoner
  • ✓ Stripe håndterer all kortdata (PCI-samsvar)
  • ✓ Webhook-signatur verifisert (Stripe + interne)
  • ✓ Rate limiting på alle offentlige endepunkter
  • ✓ CSP, HSTS, X-Frame-Options, Permissions-Policy
  • • Lockout etter feil pinkode: under utvikling (Q3 2026)
  • • To-faktor: på veikartet (Q3 2026)

Tilgangskontroll

  • ✓ Org-skoping på alle data-spørringer (middleware-håndhevet)
  • ✓ Roller: viewer, moderator, admin, owner, super_admin
  • ✓ Super-admin kun for Noblewolf-personell
  • ✓ Alle admin-handlinger logget i audit-logg
  • • SSO (SAML + OIDC): på veikartet (med første Enterprise-kunde)
  • • SCIM provisioning: på veikartet (med første Enterprise-kunde)

Live captions (Deepgram, EU)

Live captions leveres av Deepgrams EU-region (Frankfurt). Lydsegmenter sendes fra Cloudflare Stream til Deepgram kun når en admin eksplisitt har aktivert captions på et event. Ingen seer-identifikatorer sendes, og Deepgram lagrer ikke API-data som default. Underleverandør-detaljer →

For din IT- og sikkerhetsavdeling

Vi svarer på standard sikkerhetsspørreskjemaer (CAIQ, SIG Lite, SIG Core). Snitt-tid: 5 virkedager.

Sikkerhet

security@noblewolf.no

VSA, pen-test-rapporter, ansvarlig avsløring. Vi svarer innen 48t.

Juridisk / DPA

legal@noblewolf.no

DPA-justeringer, kontraktsspørsmål, underleverandørvilkår.

Personvern / GDPR

privacy@noblewolf.no

Innsyns-forespørsler, brudd-spørsmål, personvernombud.

Ansvarlig avsløring: vi gir deg credit i vår Trust Center hall of fame. Belønning i kr ikke tilgjengelig på dette tidspunktet.

Trenger du verifikasjon for ditt event?

For sendinger over 5000 forventede deltagere kjører vi en dimensjonert canary-test mot produksjonsstakken 48 timer før sending. Resultatene deles med deg skriftlig.

Snakk med oss