docs(security): GDPR-dokumentationspaket (Art. 30, subprocessorer, gap-register)

[cola500]

Summary

Del av autonom feature-leverans (docs/agent-operations/) för utfallet "säkerställ GDPR-compliance och kunna bevisa det med dokumentation". Efter en Seven Dimensions-scoping (.claude/rules/story-refinement.md) valde Johan Slice 1: dokumentationspaketet (ingen kodrisk) framför bredare slices som inkluderar kodfixar eller cookie-consent-ombyggnad.

Tre nya dokument, rena faktakartläggningar utan kodändringar:

• docs/security/gdpr-records-of-processing.md -- GDPR Art. 30-register: alla personuppgiftsbärande modeller i prisma/schema.prisma, ändamål, rättslig grund, lagringstid
• docs/security/gdpr-subprocessor-register.md -- register över personuppgiftsbiträden (Stripe, Supabase, Sentry, Upstash, Resend, Vercel, Fortnox, Anthropic, Apple) med DPA-status (konsekvent markerad "ej verifierat i repo" där inget bevis finns -- inga påhittade efterlevnadspåståenden)
• docs/security/gdpr-gap-register.md -- 15 konkreta, prioriterade luckor med rekommenderad åtgärd (inga åtgärdade som del av denna PR)

Plus registrering av de tre dokumenten i docs/INDEX.md.

Viktiga fynd (redan existerande beteende, inte nytt i denna PR)

• Export (Art. 15/20) och kontoradering (Art. 17) finns och fungerar, men täcker inte all personuppgiftsdata (ProviderCustomerNote, Message, RouteOrder, m.fl.) -- besvarar den tidigare öppna frågan R19 i docs/product-audit/technical-risks.md
• AdminAuditLog (innehåller e-post + IP) saknar retention/radering -- samma tabell som tidigare låg exponerad via en RLS-lucka (åtgärdad i augusti-auditen)
• Flera modeller (MobileToken, DeviceToken, CustomerInviteToken, Stable) förlitar sig på onDelete: Cascade från User, men kontoradering anonymiserar (UPDATE) snarare än raderar User-raden -- cascaden utlöses aldrig
• Push-notiser till Apple/APNs innehåller ett utdrag av meddelandeinnehåll, inte bara en enhetstoken

Fullständig prioriterad lista i gap-registret.

Verifiering

• npm run docs:validate -- inga fel i de nya filerna (158 pre-existerande fel i repot, orört av denna PR)
• npm run check:swedish -- inga nya problem, korrekt svensk ortografi (å/ä/ö) i alla tre nya dokument
• Oberoende faktakontroll: en separat agent granskade varje konkret kodpåstående mot prisma/schema.prisma, AccountDeletionService.ts, export/my-data/route.ts, sentry.server.config.ts m.fl. -- hittade 3 sakfel + 4 saknade modeller, samtliga korrigerade innan denna PR (se ändringsloggarna i respektive dokument)
• Pre-push-hook grön (docs-only, testar/typecheckar/lintar skippas per policy)

Kvarvarande mänskliga beslut

• Personuppgiftsansvarig-fälten i gdpr-records-of-processing.md (bolagsnamn, org.nr, adress, DPO-beslut) är tomma -- kräver Johans input
• DPA-status för samtliga 9 personuppgiftsbiträden är overifierad -- kräver att någon faktiskt kollar/accepterar respektive leverantörs DPA
• Prioritering av gap-registret: vilka av de 15 luckorna (om några) som ska bli egna kodslices, och i vilken ordning
• data_retention-flaggan: explicit INTE aktiverad som del av detta arbete -- irreversibel dataoperation på produktionsdata, kräver separat godkännande (RED-beslut)

Test plan

• Läs igenom de tre dokumenten för sakriktighet
• npm run docs:validate och npm run check:swedish körda lokalt

🤖 Generated with Claude Code