In der Schweiz gebaut. In der EU bearbeitet. Schriftlich belegbar.

Ein Auftragsverarbeitungsvertrag mit den eingesetzten Bearbeitern, den Aufbewahrungsfristen und den Löschfristen im Vertragstext. In jedem Plan enthalten.

Jede Anfrage enthält die ausdrückliche Anweisung, dass der Modellanbieter Ihre Daten nicht für Training verwenden darf. Das gilt für jedes Modell im Arbeitsbereich.

Aufbewahrung und europäische Bearbeitung hängen vom einzelnen Anbieter und Modell ab. Wo verfügbar, zeigt die Modellkarte im Arbeitsbereich diese Schutzmassnahmen klar an.

Tresorwerte, gespeicherte Unterhaltungen und gespeicherte Dokumente sind authentifiziert verschlüsselt: AES-128-CBC mit HMAC-SHA256-Prüfwert, die Fernet-Konstruktion. Der Verkehr zu den Anbietern läuft über HTTPS. Einen Tresoreintrag zu löschen zerstört die Möglichkeit, das Original wiederherzustellen, und genau das macht Löschung wirksam gegenüber einem Nachweis, der sich bewusst nicht ändern lässt.

Die Anwendung und Ihre gespeicherten Daten werden in der Europäischen Union unter der DSGVO bearbeitet. Anfragen verlassen uns über ein europäisches Gateway, das nicht ausserhalb Europas weiterleitet, jeweils festgelegt auf einen benannten europäischen Bearbeiter, ohne Ausweichrouten. Jedes wählbare Modell wird also in Europa bearbeitet.

Wer das Modell gebaut hat, ist eine eigene Frage. Eine Administratorin kann die ganze Organisation auf Modelle europäischer Unternehmen beschränken; die Websuche entfällt unter dieser Einstellung ganz, weil die Bearbeitungsregion des Suchanbieters keine ist, die wir festlegen.

Unterhaltungen gehören Ihnen: es gibt keinen Weg, auch nicht für unsere eigenen Administratoren, die Transkripte eines anderen Kontos zu lesen. Ein mit einer Organisation geteiltes Dokument teilt seine Werte bewusst mit dieser Organisation, und jede Offenlegung wird unter der Person in den Nachweis geschrieben, die sie ausgelöst hat. Ein Passwortwechsel beendet jede andere offene Sitzung.

Unterhaltungen und Dokumente, bis Sie sie löschen, oder gar nicht, wenn der Arbeitsbereich ohne Speicherung läuft. Kontodaten werden mit der Schliessung des Kontos gelöscht; die Löschung ist sofort und kann nicht rückgängig gemacht werden. Der Nachweis bleibt zehn Jahre, der Horizont, auf dem die Berufe, für die wir bauen, ihre eigenen Akten führen. Ihre Daten zu löschen entfernt die Inhalte und zerstört die Zuordnung, die sie wiederherstellen könnte; der Nachweis behält Integritäts- und Betriebsmetadaten (Kennungen, Zeitstempel, Modellangaben, Inhaltsprüfsummen, Verweise auf gespeicherte Datensätze, Prüfergebnisse), nie den Klartext einer Eingabe oder einer Antwort.