Hosting in Deutschland
Audienca Reflection wird auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Falkenstein/Vogtland betrieben. Das gilt für die Anwendung ebenso wie für die Datenbanken. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
Zertifizierungen
Die Rechenzentren unseres Hosting-Partners Hetzner Online GmbH sind nach ISO/IEC 27001 zertifiziert.
Die sense.AI.tion GmbH selbst ist nicht nach ISO/IEC 27001 zertifiziert. Wir weisen unsere Sicherheitsmaßnahmen stattdessen einzeln nach: über die technischen und organisatorischen Maßnahmen, die Anlage unseres Auftragsverarbeitungsvertrags sind. Wer sie für eine eigene Prüfung braucht, bekommt sie auf Anfrage als ausgefülltes Blatt.
Verschlüsselung
- Übertragung: Alle Zugriffe von außen und die Übermittlung an Unterauftragsverarbeiter laufen über TLS (HTTPS). Die Verbindungen zu den Datenbanken sind ebenfalls TLS-verschlüsselt.
- Zugangsschlüssel: Die Zugangsschlüssel des MCP-Servers speichern wir nur als Hashwert.
Verfügbarkeit und Sicherungen
Der Betrieb läuft auf mehreren Serverknoten innerhalb eines Rechenzentrums; ausgefallene Dienste werden automatisch neu gestartet. Zu Sicherungen, Aufbewahrungsdauer, Wiederherstellungszeiten und Wiederherstellungstests geben wir derzeit keine Zusicherung ab. So steht es auch in unserem Auftragsverarbeitungsvertrag.
Zugriffskontrolle
- Anmeldung über Firebase Authentication
- Zugriffssteuerung je Konto und Projekt; ein Rollenmodell für einzelne Personen besteht nicht
- Schnittstellenzugänge (MCP) mit getrennten Lese- und Schreibrechten
- Protokollierung von Vorgängen und Änderungen mit Zeitstempel und handelndem Konto; für jede Anfrage ist nachvollziehbar, wer eine Antwort freigegeben hat und ob der Text vorher verändert wurde
KI-Modelle und Datenweitergabe
Für die KI-gestützte Antwortgenerierung nutzen wir die OpenAI API (OpenAI OpCo, LLC, USA). Eine Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln und eines Data Processing Addendum. Nach den Bedingungen von OpenAI für die API werden die übermittelten Daten nicht zum Training der zugrundeliegenden Modelle verwendet. Wir nutzen die Standardschnittstelle ohne EU-Endpunkt und ohne Zero Data Retention: OpenAI kann die Inhalte bis zu 30 Tage zur Missbrauchskontrolle vorhalten und auch außerhalb der EU verarbeiten.
Sicherheitsprüfungen
Codeänderungen am Audienca-Dienst durchlaufen automatische Prüfungen: statische Codeanalyse, Prüfung von Abhängigkeiten und Container-Images auf bekannte Schwachstellen und eine Suche nach versehentlich hinterlegten Zugangsdaten. Einen Penetrationstest oder ein externes Sicherheitsaudit weisen wir nicht aus.
Vulnerability Disclosure
Sicherheitslücken können vertraulich an info@senseaition.com gemeldet werden. Wir folgen dem Coordinated-Disclosure-Prinzip.
Datenschutz
Die Verarbeitung regeln Auftragsverarbeitungsvertrag und Datenschutzerklärung. Auftragsverarbeitungsvertrag einsehbar unter /orderprocessing, Datenschutzerklärung unter /privacy.
Sicherheitsfragen?
Für Sicherheitsfragen oder Audit-Anfragen schreibt uns an info@senseaition.com.