Deine Fragen werden beantwortet von einem französischen Unternehmen.
Die Verarbeitung läuft bei Mistral in Frankreich, einem Unternehmen ohne Muttergesellschaft außerhalb des Europäischen Wirtschaftsraums. Dokumente werden in Irland und Nürnberg gespeichert. Jeder Anbieter, sein Gründungsland und seine Muttergesellschaft sind in unserem Unterauftragsverarbeiter‑Verzeichnis aufgelistet.
Datenisolierung
Tenant‑Isolation wird auf Datenbankebene durch Row‑Level Security erzwungen. Jede Abfrage ist auf den authentifizierten Nutzer begrenzt. Datenzugriff über Tenant‑Grenzen hinweg ist durch die Architektur ausgeschlossen.
Rollenbasierte Zugriffskontrolle
Granulare Berechtigungen nach Team, Datentyp und Aktion. Admins steuern, wer Revisionsprotokolle sehen, Mitglieder verwalten, Dokumente löschen und auf die Abrechnung zugreifen kann.
Unveränderbares Revisionsprotokoll
Jede KI‑Abfrage, jeder Datenzugriff und jede administrative Aktion wird in einem nur anhängbaren Protokoll erfasst. Wer worauf von wo und wann zugegriffen hat, ist abfragbar und getrennt von den Anwendungsdaten gespeichert.
Eure Daten bleiben eure.
Eure Daten werden nur genutzt, um euer Team zu unterstützen. Sie werden niemals weitergegeben, verkauft oder anderweitig verwendet. Eure Dokumente, Suchanfragen und Antworten gehören nur euch.
Wo es läuft und wer darauf zugreifen kann
Jurisdiktion, nicht nur Standort
Der Standort sagt, wo Daten liegen. Die Jurisdiktion sagt, wer Zugang erzwingen kann. Verarbeitung, Dokumentenspeicherung und ausgehende E‑Mails werden von Unternehmen mit Sitz im EWR und ohne Muttergesellschaft außerhalb des EWR durchgeführt. Unser Anfragepfad, Cache und die Fehlerüberwachung laufen noch auf US‑amerikanischen Anbietern, während wir auf unsere eigene EU‑Infrastruktur umstellen. Unser Unterauftragsverarbeiter‑Verzeichnis kennzeichnet jeden Anbieter pro Zeile – auch solche, die zwar in der EU ansässig sind, aber eine Muttergesellschaft außerhalb des EWR haben.
Datenstandort in der EU
Die Verarbeitung läuft in Frankreich und die Einbettungen in Berlin. Dokumente werden in Irland und Nürnberg gespeichert. Einige unserer Anbieter sind außerhalb des Europäischen Wirtschaftsraums gegründet, daher gilt ihr Fernzugriff als Übermittlung nach Kapitel V der DSGVO. Unser Unterauftragsverarbeiter‑Verzeichnis nennt jeden Anbieter und die jeweilige Rechtsgrundlage für die Übermittlung.
Wer bei Nordvec deine Daten einsehen kann
Das Produkt verfügt über keine Identitätsübernahme, Support‑Anmeldung oder Mitarbeiter‑Admin‑Modus. Es gibt keinen Weg für uns, deine Dokumente oder Gespräche über die Anwendung zu öffnen, und ein Test würde den Build fehlschlagen lassen, wenn jemals einer hinzugefügt wird. Zwei Gründer haben infrastrukturseitigen Datenbankzugriff, der ein dauerhafter Zugang ist, den wir nicht entfernen können, solange wir auf gemanagter Infrastruktur laufen, und der nicht in deinem Prüfprotokoll erscheint. Alles, was über das Produkt gemacht wird, erscheint dort, und du kannst das gesamte Protokoll als CSV exportieren – gefiltert nach Datum und Aktion. Benannter, zeitlich begrenzter Zugriff mit Benachrichtigung an dich kommt mit unserer eigenen EU‑Hardware.
Wie es geschützt ist und was das umfasst
Verschlüsselt im Ruhezustand und bei der Übertragung
Alle Daten sind im Ruhezustand mit AES‑256 und bei der Übertragung mit TLS 1.3 verschlüsselt. OAuth‑Tokens sind zusätzlich auf Anwendungsebene verschlüsselt.
Schlüsselverwaltung
Unser Plattformanbieter verwaltet derzeit die Verschlüsselungsschlüssel – nicht wir und nicht du. Das sagen wir offen, denn es entscheidet, was die oben genannte Verschlüsselung wert ist: Sie schützt eine stillgelegte oder gestohlene Festplatte, nicht aber vor kompromittierten Anmeldedaten auf einem aktiven System. Wir bieten noch keine kundenseitig verwalteten Schlüssel an. Die Schlüsselverwaltung geht mit dem Umzug auf EU‑Hardware auf uns über, mit einem in der EU ansässigen Schlüssel und einer festgelegten Rotationsrichtlinie.
Warum der Suchindex nicht separat verschlüsselt ist
Die separate Verschlüsselung von Text- und Vektorspalten würde den Index zerstören, der die Vektorsuche ermöglicht. Auf verwalteter Infrastruktur läge der Schlüssel ohnehin beim Anbieter. Wir ziehen es vor, dir klar zu sagen, wo die Grenze liegt, statt eine Verschlüsselungsebene zu beschreiben, die nicht hält, was der Name verspricht.
Backup‑Umfang
Backups umfassen täglich die Datenbank mit einem Wiederherstellungspunkt von 24 Stunden. Dokument‑Blobs sind nicht enthalten, daher ist eine Löschung endgültig und kann nicht durch eine Wiederherstellung rückgängig gemacht werden. Jede Wiederherstellung spielt aufgezeichnete Löschvorgänge erneut ab, bevor der Dienst wieder verfügbar ist – so können keine Daten wiederhergestellt werden, die du löschen lassen hast.
Wie der Code getestet wird
Jede Änderung wird vor der Übernahme gescannt: statische Analyse (Semgrep) auf Code‑Ebene, Prüfung von Abhängigkeiten auf Schwachstellen und Lizenzen, Secrets‑Scan bei jedem Commit und eine siebentägige Release‑Sperre, die frisch veröffentlichte Pakete vom Build ausschließt. Wir führen keine unabhängigen Penetrationstests durch – und sagen das lieber offen, als eine Liste von Kontrollen den Eindruck erwecken zu lassen, es gäbe welche.
Wie wir es nutzen
Keine Speicherung von KI‑Trainingsdaten
Nordvec nutzt deine Daten niemals, um KI‑Modelle zu trainieren, feinabzustimmen oder zu verbessern. Pro Anfrage werden nur die 5–15 relevanten Dokumentausschnitte übermittelt, nie ganze Dokumente.
Keine Weitergabe an Dritte
Deine Daten werden niemals verkauft oder für andere Zwecke weitergegeben. Modellanbieter erhalten nur den minimalen Kontext, der zur Beantwortung deiner Anfrage nötig ist. Jeder von uns genutzte Anbieter ist in unserem Unterauftragsverarbeiter‑Verzeichnis namentlich aufgeführt.
Sofortige physische Löschung
Wenn ihr eine Integration trennt, werden alle synchronisierten Daten, Einbettungen und Dateiverweise sofort und dauerhaft gelöscht. Speicherblobs werden innerhalb weniger Minuten entfernt. Keine weichen Löschungen.
Zugriffskontrolle auf jeder Ebene.
Authentifizierung am Edge, Sicherheit auf Zeilenebene in der Datenbank und ein Audit-Trail, der nur ergänzt werden kann.
Authentifizierung auf Edge‑Ebene
Die JWT‑Prüfung erfolgt bereits an der Edge, bevor Anfragen die Anwendungsserver erreichen. Ungültige Tokens werden abgewiesen, ohne Last im Backend zu verursachen.
Zugriffskontrolle auf Datenbankebene
Row‑Level‑Security‑Richtlinien erzwingen die Tenant‑Isolation direkt in PostgreSQL. Selbst interne Abfragen können die Zugriffskontrollen nicht umgehen.
Unveränderbares Prüfprotokoll
Jede KI‑Anfrage, jeder Datenzugriff und jede administrative Aktion wird mit präzisen Zeitstempeln in einem nur anhängbaren Prüfprotokoll erfasst.
Ratenbegrenzung und Missbrauchsschutz
API‑Endpunkte sind pro Nutzer und pro IP ratenbegrenzt. Automatisierter Missbrauchsschutz schützt vor Credential‑Stuffing und Enumerationsangriffen.
Was wir haben und was nicht.
GDPR
Volle Einhaltung der Datenschutz‑Grundverordnung. Self‑Service für Betroffenenrechte (Art. 15, 17, 20), Datenschutz durch Technikgestaltung (Art. 25), unveränderbare Verarbeitungsverzeichnisse (Art. 30) und Sicherheit der Verarbeitung (Art. 32).
EU AI Act
Automatische Protokollierung von Entscheidungen, Transparenzkontrollen und menschliche Aufsicht, abgebildet auf die Artikel 12-14. Transparenz nach Artikel 50 durch exportierbare KI‑Interaktionshistorie, wobei der Status jeder Verpflichtung auf dem Vertrauensboard veröffentlicht wird.
SOC 2 Typ II
Nicht vorhanden. Die Trust Service Criteria, die unsere Architektur bereits erfüllt, werden einzeln auf dem Vertrauensboard veröffentlicht – jeweils mit einem Link zum Code, der sie umsetzt. Eine externe Prüfung ist eine Finanzierungsentscheidung, und wir bezeichnen sie erst dann als geplant, wenn sie gebucht ist.
ISO 27001
Nicht vorhanden. Unsere Informationssicherheitskontrollen werden veröffentlicht und quellcodegeprüft, statt als Ausrichtung behauptet, und als OSCAL exportiert, sodass du sie in deine eigenen Tools laden kannst. Wir veröffentlichen lieber, was du überprüfen kannst, als eine Behauptung, die du nicht prüfen kannst.
Sicherer Hafen
Melde eine Schwachstelle an security@nordvec.com. Wir bestätigen den Eingang innerhalb von 72 Stunden, geben dir innerhalb von 5 Werktagen eine Einschätzung der Schwere und halten dich auf dem Laufenden, bis sie behoben ist.
Sicherer Hafen
Wir werden keine rechtlichen Schritte gegen Forscher einleiten oder unterstützen, die in gutem Glauben handeln, diese Richtlinie befolgen, Datenschutzverletzungen und Dienstbeeinträchtigungen vermeiden und uns eine angemessene Gelegenheit zur Behebung geben, bevor sie etwas öffentlich machen. Wenn du unsicher bist, ob eine Aktion erlaubt ist, frag uns vorher.
Bevor du testest
Interagiere nur mit Konten, die dir gehören oder für die du eine Berechtigung hast. Greife nicht auf Daten anderer Tenants zu, führe keine Scans durch, die den Dienst beeinträchtigen, oder veröffentliche eine ungelöste Schwachstelle. Wir bitten um ein Koordinationsfenster von bis zu 90 Tagen vor einer öffentlichen Offenlegung und nennen Reporter, die genannt werden möchten. Wenn du ein generatives KI‑Tool verwendet hast, teile uns mit, wie – das hilft uns bei der Einschätzung und wirkt sich nicht negativ auf deine Meldung aus.
Unser Prozess folgt ISO/IEC 29147 (Offenlegung) und ISO/IEC 30111 (Behandlung) sowie der Pflicht zur koordinierten Offenlegung nach dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847, Art. 13). Ziele zur Behebung und der vollständige Umfang sind in der Datei SECURITY.md in unserem Quellcode‑Repository veröffentlicht.
Wir betreiben kein bezahltes Bug‑Bounty‑Programm. Wir würdigen Meldungen in gutem Glauben mit öffentlicher Nennung, nicht mit Zahlungen.
Kontaktiere uns.
Sicherheitsanfragen
Fragen zu unserer Sicherheitsarchitektur, Datenverarbeitung oder Compliance? Wir stellen euch gerne ausführliche Dokumentationen zur Verfügung.
Verantwortungsvolle Offenlegung
Melde eine Schwachstelle an security@nordvec.com. Wir bestätigen den Eingang innerhalb von 72 Stunden, geben dir innerhalb von 5 Werktagen eine Einschätzung der Schwere und halten dich auf dem Laufenden, bis sie behoben ist.