Eure Fragen werden beantwortet von einem französischen Unternehmen.
Die Verarbeitung läuft bei Mistral in Frankreich, einem Unternehmen ohne Muttergesellschaft außerhalb des Europäischen Wirtschaftsraums. Dokumente werden in Irland und Nürnberg gespeichert. Jeder Anbieter, sein Gründungsland und seine Muttergesellschaft sind in unserem Unterauftragsverarbeiter‑Verzeichnis aufgelistet.
Datenisolierung
Tenant‑Isolation wird auf Datenbankebene durch Row‑Level Security erzwungen. Jede Abfrage ist auf den authentifizierten Nutzer begrenzt. Datenzugriff über Tenant‑Grenzen hinweg ist durch die Architektur ausgeschlossen.
Rollenbasierte Zugriffskontrolle
Granulare Berechtigungen nach Team, Datentyp und Aktion. Admins steuern, wer Revisionsprotokolle sehen, Mitglieder verwalten, Dokumente löschen und auf die Abrechnung zugreifen kann.
Unveränderbares Revisionsprotokoll
Jede KI‑Abfrage, jeder Datenzugriff und jede administrative Aktion wird in einem nur anhängbaren Protokoll erfasst. Wer worauf von wo und wann zugegriffen hat, ist abfragbar und getrennt von den Anwendungsdaten gespeichert.
Eure Daten bleiben eure.
Eure Daten werden nur genutzt, um euer Team zu unterstützen. Sie werden niemals weitergegeben, verkauft oder anderweitig verwendet. Eure Dokumente, Suchanfragen und Antworten gehören nur euch.
Wo es läuft und wer darauf zugreifen kann
Jurisdiktion, nicht nur Standort
Der Standort sagt, wo Daten liegen. Die Jurisdiktion sagt, wer Zugang erzwingen kann. Verarbeitung, Dokumentenspeicherung und ausgehende E‑Mails werden von Unternehmen mit Sitz im EWR und ohne Muttergesellschaft außerhalb des EWR durchgeführt. Unser Anfragepfad, Cache und die Fehlerüberwachung laufen noch auf US‑amerikanischen Anbietern, während wir auf unsere eigene EU‑Infrastruktur umstellen. Unser Unterauftragsverarbeiter‑Verzeichnis kennzeichnet jeden Anbieter pro Zeile – auch solche, die zwar in der EU ansässig sind, aber eine Muttergesellschaft außerhalb des EWR haben.
Datenstandort in der EU
Die Verarbeitung läuft in Frankreich und die Einbettungen in Berlin. Dokumente werden in Irland und Nürnberg gespeichert. Einige unserer Anbieter sind außerhalb des Europäischen Wirtschaftsraums gegründet, daher gilt ihr Fernzugriff als Übermittlung nach Kapitel V der DSGVO. Unser Unterauftragsverarbeiter‑Verzeichnis nennt jeden Anbieter und die jeweilige Rechtsgrundlage für die Übermittlung.
Wer bei Nordvec eure Daten einsehen kann
Das Produkt bietet keine Impersonation, keinen Support‑Login oder Admin‑Modus für Mitarbeiter. Es gibt keinen Weg für uns, eure Dokumente oder Gespräche über die Anwendung einzusehen – und ein Test würde den Build fehlschlagen lassen, wenn jemals einer hinzugefügt würde. Zwei Gründer haben infrastrukturellen Datenbankzugriff, der als dauerhafter Zugriff nicht entfernbar ist, solange wir auf verwalteter Infrastruktur laufen, und der nicht in eurem Audit‑Log erscheint. Alles, was über das Produkt erfolgt, wird protokolliert, und ihr könnt das gesamte Log als CSV exportieren, gefiltert nach Datum und Aktion. Benannter, zeitlich begrenzter Zugriff mit Benachrichtigung an euch kommt mit unserer eigenen EU‑Hardware.
Wie es geschützt ist und was das umfasst
Verschlüsselt im Ruhezustand und bei der Übertragung
Alle Daten sind im Ruhezustand mit AES‑256 und bei der Übertragung mit TLS 1.3 verschlüsselt. OAuth‑Tokens sind zusätzlich auf Anwendungsebene verschlüsselt.
Schlüsselverwaltung
Unser Plattformanbieter verwaltet derzeit die Verschlüsselungsschlüssel – nicht wir und nicht ihr. Das sagen wir offen, weil es bestimmt, was die Verschlüsselung wert ist: Sie schützt eine stillgelegte oder gestohlene Festplatte, nicht vor kompromittierten Anmeldedaten auf einem laufenden System. Kundenverwaltete Schlüssel bieten wir noch nicht an. Die Schlüsselverwaltung geht mit unserem Umzug auf EU‑Hardware auf uns über, mit einem in der EU ansässigen Schlüssel und einer definierten Rotationsrichtlinie.
Warum der Suchindex nicht separat verschlüsselt ist
Die individuelle Verschlüsselung von Text- und Vektorspalten würde den Index zerstören, der die Vektorsuche ermöglicht. Und bei verwalteter Infrastruktur läge der Schlüssel ohnehin beim Anbieter. Wir ziehen es vor, euch klar zu sagen, wo die Grenze liegt, statt eine Verschlüsselungsebene zu beschreiben, die nicht das hält, was der Name verspricht.
Backup‑Umfang
Backups der Datenbank erfolgen täglich mit einem Wiederherstellungspunkt von 24 Stunden. Dokument‑Blobs sind nicht enthalten, sodass eine Löschung endgültig ist und nicht durch eine Wiederherstellung rückgängig gemacht werden kann. Jede Wiederherstellung spielt aufgezeichnete Löschungen erneut ab, bevor der Dienst wieder verfügbar ist – sie kann also keine Daten zurückbringen, deren Löschung ihr angefordert habt.
Wie der Code getestet wird
Jede Änderung wird vor der Übernahme gescannt: statische Analyse (Semgrep) auf Code‑Ebene, Prüfung von Abhängigkeiten auf Schwachstellen und Lizenzen, Secrets‑Scan bei jedem Commit und eine siebentägige Release‑Sperre, die frisch veröffentlichte Pakete vom Build ausschließt. Wir führen keine unabhängigen Penetrationstests durch – und sagen das lieber offen, als eine Liste von Kontrollen den Eindruck erwecken zu lassen, es gäbe welche.
Wie wir es nutzen
Keine Speicherung von KI‑Trainingsdaten
Nordvec nutzt eure Daten niemals, um KI‑Modelle zu trainieren, feinabzustimmen oder zu verbessern. Pro Anfrage werden nur die 5–15 relevanten Dokumentabschnitte übermittelt, nie ganze Dokumente.
Keine Weitergabe an Dritte
Eure Daten werden niemals verkauft oder für Zwecke Dritter weitergegeben. Modellanbieter erhalten nur den minimalen Kontext, der zur Beantwortung eurer Anfrage nötig ist. Jeder von uns genutzte Anbieter ist in unserem Unterauftragsverarbeiter‑Register namentlich aufgeführt.
Sofortige physische Löschung
Wenn ihr eine Integration trennt, werden alle synchronisierten Daten, Einbettungen und Dateiverweise sofort und dauerhaft gelöscht. Speicherblobs werden innerhalb weniger Minuten entfernt. Keine weichen Löschungen.
Zugriffskontrolle auf jeder Ebene.
Authentifizierung am Edge, Sicherheit auf Zeilenebene in der Datenbank und ein Audit-Trail, der nur ergänzt werden kann.
Authentifizierung auf Edge‑Ebene
Die JWT‑Prüfung erfolgt bereits an der Edge, bevor Anfragen die Anwendungsserver erreichen. Ungültige Tokens werden abgewiesen, ohne Last im Backend zu verursachen.
Zugriffskontrolle auf Datenbankebene
Row‑Level‑Security‑Richtlinien erzwingen die Tenant‑Isolation direkt in PostgreSQL. Selbst interne Abfragen können die Zugriffskontrollen nicht umgehen.
Unveränderbares Prüfprotokoll
Jede KI‑Anfrage, jeder Datenzugriff und jede administrative Aktion wird mit präzisen Zeitstempeln in einem nur anhängbaren Prüfprotokoll erfasst.
Ratenbegrenzung und Missbrauchsschutz
API‑Endpunkte sind pro Nutzer und pro IP ratenbegrenzt. Automatisierter Missbrauchsschutz schützt vor Credential‑Stuffing und Enumerationsangriffen.
Was wir haben und was nicht.
GDPR
Volle Einhaltung der Datenschutz‑Grundverordnung. Self‑Service für Betroffenenrechte (Art. 15, 17, 20), Datenschutz durch Technikgestaltung (Art. 25), unveränderbare Verarbeitungsverzeichnisse (Art. 30) und Sicherheit der Verarbeitung (Art. 32).
EU AI Act
Automatische Protokollierung von Entscheidungen, Transparenzkontrollen und menschliche Aufsicht, abgebildet auf die Artikel 12-14. Transparenz nach Artikel 50 durch exportierbare KI‑Interaktionshistorie, wobei der Status jeder Verpflichtung auf dem Vertrauensboard veröffentlicht wird.
SOC 2 Typ II
Nicht vorhanden. Die Trust Service Criteria, die unsere Architektur bereits erfüllt, werden einzeln auf dem Vertrauensboard veröffentlicht – jeweils mit einem Link zum Code, der sie umsetzt. Eine externe Prüfung ist eine Finanzierungsentscheidung, und wir bezeichnen sie erst dann als geplant, wenn sie gebucht ist.
ISO 27001
Nicht vorhanden. Unsere Informationssicherheitskontrollen werden veröffentlicht und quellgeprüft, statt als Konformitätsbehauptung dargestellt. Sie werden als OSCAL exportiert, damit ihr sie in eure eigenen Tools laden könnt. Wir veröffentlichen lieber, was ihr überprüfen könnt, als eine Behauptung, die ihr nicht prüfen könnt.
Sicherer Hafen
Melde eine Schwachstelle an security@nordvec.com. Wir bestätigen den Eingang innerhalb von 72 Stunden, geben dir innerhalb von 5 Werktagen eine Einschätzung der Schwere und halten dich auf dem Laufenden, bis sie behoben ist.
Sicherer Hafen
Wir werden keine rechtlichen Schritte gegen Forscher einleiten oder unterstützen, die in gutem Glauben handeln, diese Richtlinie befolgen, Datenschutzverletzungen und Dienstbeeinträchtigungen vermeiden und uns eine angemessene Gelegenheit zur Behebung geben, bevor sie etwas öffentlich machen. Wenn du unsicher bist, ob eine Aktion erlaubt ist, frag uns vorher.
Bevor du testest
Interagiere nur mit Konten, die dir gehören oder für die du eine Berechtigung hast. Greife nicht auf Daten anderer Tenants zu, führe keine Scans durch, die den Dienst beeinträchtigen, oder veröffentliche eine ungelöste Schwachstelle. Wir bitten um ein Koordinationsfenster von bis zu 90 Tagen vor einer öffentlichen Offenlegung und nennen Reporter, die genannt werden möchten. Wenn du ein generatives KI‑Tool verwendet hast, teile uns mit, wie – das hilft uns bei der Einschätzung und wirkt sich nicht negativ auf deine Meldung aus.
Unser Prozess folgt ISO/IEC 29147 (Offenlegung) und ISO/IEC 30111 (Behandlung) sowie der Pflicht zur koordinierten Offenlegung nach dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847, Art. 13). Ziele zur Behebung und der vollständige Umfang sind in der Datei SECURITY.md in unserem Quellcode‑Repository veröffentlicht.
Wir betreiben kein bezahltes Bug‑Bounty‑Programm. Wir würdigen Meldungen in gutem Glauben mit öffentlicher Nennung, nicht mit Zahlungen.
Kontaktiere uns.
Sicherheitsanfragen
Fragen zu unserer Sicherheitsarchitektur, Datenverarbeitung oder Compliance? Gerne stellen wir dir detaillierte Unterlagen zur Verfügung.
Verantwortungsvolle Offenlegung
Melde eine Schwachstelle an security@nordvec.com. Wir bestätigen den Eingang innerhalb von 72 Stunden, geben dir innerhalb von 5 Werktagen eine Einschätzung der Schwere und halten dich auf dem Laufenden, bis sie behoben ist.