Sicherheit & Datenschutz
bei ISMS Copilot
Wir entwickeln Compliance-Tools für Sicherheitsexperten. Deshalb ist Ihre Datensicherheit nicht nur ein Feature — sie ist unser Fundament.
DSGVO-konform
Vollständige DSGVO-Konformität mit verfügbarem AVV
EU-Only-Modus verfügbar
Datenbank und Dateispeicher in der EU, plus EU-KI-Verarbeitung mit erweitertem Datenschutz
SOC 2 Type II Infrastruktur
Infrastrukturanbieter (AWS, Supabase) verfügen über SOC 2 Type II Attestierungen
Externer Penetrationstest 2026
Unabhängiger Penetrationstest der ISMS-Copilot-Webanwendung durch NevaSec. Keine Befunde mit kritischem oder hohem Schweregrad. Deckt Aevral nicht ab.
Sicherheitsmaßnahmen
So schützen wir Ihre Compliance-Daten
Verschlüsselung bei Übertragung
Alle Verbindungen mit TLS 1.3 gesichert. Keine unverschlüsselten Daten verlassen Ihren Browser.
Verschlüsselung im Ruhezustand
AES-256-Verschlüsselung für alle gespeicherten Daten. Datenbank und Dateispeicher standardmäßig verschlüsselt.
Row-Level Security
Datenbankbasierte Zugriffsisolierung. Benutzer können nur auf ihre eigenen Daten zugreifen.
EU-Rechenzentrum
Primäre Infrastruktur in Frankfurt, Deutschland (AWS EU-Central-1). Datenbank und Dateispeicher bleiben in der EU.
SOC 2 Type II Infrastruktur
Basierend auf Supabase und AWS, beide mit SOC 2 Type II Attestierung. Enterprise-Sicherheit standardmäßig.
Kein KI-Training
Ihre Daten werden niemals zum Training von KI-Modellen verwendet. Dies wird durch die kommerziellen Vertragsbedingungen der Anbieter und Trainingsverbots-Kontrollen auf Kontoebene verhindert.
PII-Redaktion
Die integrierte Redaktion hilft, personenbezogene Daten zu entfernen, bevor sie KI-Anbieter erreichen, sofern aktiviert.
Unabhängiger Penetrationstest: NevaSec, April 2026
NevaSec führte im April 2026 einen externen Penetrationstest unserer Webanwendung, REST-API und unseres KI-Backends durch. Es wurden weder ein unauthentifizierter Ausnutzungspfad noch ein unmittelbares Szenario zur Kontokompromittierung identifiziert. Der Befund mit mittlerem Schweregrad wurde remediiert; die Remediation der verbleibenden Befunde mit niedrigem Schweregrad läuft. Geltungsbereich: Dieser Test umfasste ausschließlich ISMS Copilot (Webanwendung, REST-API und KI-Backend). Er erfolgte vor der Einführung von Aevral und deckt Aevral nicht ab. Aevral wurde bisher noch keinem unabhängigen Penetrationstest unterzogen.
Datenresidenz
Wählen Sie, wo Ihre Daten verarbeitet werden
Standardmodus
- DatenbankEUEU (Frankfurt)
- DateispeicherEUEU (Frankfurt)
- InhaltsmoderationEUMistral AI
- KI-FailoverEUMistral AI (EU)
- DatenschutzmaßnahmenStandardvertragsklauseln
xAI (Grok) über den Zero-Retention-Endpunkt xAI (ZDR) von OpenRouter (aktueller Standard für kostenpflichtige Fast/Think/Beyond), mit Anthropic Claude als automatischem Failover; OpenRouter Allowlist mit acht Anbietern (ZDR erzwungen)
Keine Speicherung (Standard xAI ZDR). Über Anthropic-Failover verarbeiteter Verkehr: ca. 30 Tage reguläre Löschung; sicherheitsmarkierte Inhalte bis zu 2 Jahre, Sicherheitsbewertungen bis zu 7 Jahre. Websuche-Anfragen laufen über Mistral (Standardaufbewahrung, siehe DPA).
Erweiterter Datenschutz
- DatenbankEUEU (Frankfurt)
- DateispeicherEUEU (Frankfurt)
- InhaltsmoderationEUMistral AI
- KI-FailoverEUMistral AI (EU)
Nur Mistral AI, gehostet in Frankfurt (EU). Alle Chat-Modi laufen bei aktiviertem Erweiterten Datenschutz ausschließlich über Mistral unter dessen kommerziellen API-Bedingungen. In diesem Modus kein US-KI-Verarbeitungspfad.
Keine Aufbewahrung unter den kommerziellen API-Bedingungen von Mistral. Kein Anthropic-Missbrauchsüberwachungs-Cache bei aktiviertem ADP. Inhaltsmoderation läuft weiterhin über Mistral in der EU; Moderationsmetadaten werden 12 Monate aufbewahrt (keine Nachrichteninhalte) gemäß AVV §2.8. Keine Aufbewahrung bezieht sich auf den KI-Anbieter: Mistral behält keine Kopie Ihrer Anfragen. ISMS Copilot speichert Ihre Unterhaltungen weiterhin gemäß Ihrer Aufbewahrungseinstellung (mindestens 1 Tag), und gelöschte Unterhaltungen können bis zu 90 Tage in unseren verschlüsselten Datenbank-Backups verbleiben.
US-KI-Verarbeitung eliminiert (E-Mail-Zustellung nutzt weiterhin US-Anbieter unter Standardvertragsklauseln)
Auftragsverarbeiter
Drittanbieter, die Daten in unserem Auftrag verarbeiten
| Dienst | Zweck | Standort | Aufbewahrung |
|---|---|---|---|
| Supabase | Database & Authentication | EUEU (Frankfurt, Germany) | User-controlled |
| AWS | Infrastructure | EUEU (Frankfurt, Germany) | User-controlled |
| Backblaze (B2 Cloud Storage) | Encrypted offsite database backups. Each daily copy is encrypted with AES-256 before upload; Backblaze never holds the key | EUEU (Amsterdam, Netherlands). Backblaze, Inc. is a US company (SCCs) | 90 days (the newest 90 daily copies are kept) |
| GitHub (GitHub Actions) | Runs the daily backup job: copies the database, encrypts it, uploads it to Backblaze. The unencrypted copy exists only on a new virtual machine while the job runs (at most 30 minutes). In use since 2026-03-09 | USUnited States (Microsoft Azure regions chosen by GitHub) | Not retained by us: the job deletes the unencrypted copy before it ends; the runner VM is GitHub-managed |
| Anthropic (Claude) | AI Processing: automatic failover for paid Fast/Think/Beyond and permitted non-ADP destination (ADP off); no longer the default | USUnited States | ~30 days ordinary deletion; safety-flagged content up to 2 years, safety scores up to 7 years; never training |
| OpenRouter | Routing aggregator (ADP off): routes only to the eight allowlisted underlying providers below (including xAI); mandatory Zero Data Retention enforced at account level | USUnited States | Zero retention (mandatory at OpenRouter account level) |
| ↳ Inceptron | AI Processing (via OpenRouter, ZDR enforced) | EUSweden (EU) | Zero retention |
| ↳ DeepInfra | AI Processing (via OpenRouter, ZDR enforced) | USUnited States | Zero retention |
| ↳ Cerebras | AI Processing (via OpenRouter, ZDR enforced) | USUnited States | Zero retention |
| ↳ Google Vertex | AI Processing (via OpenRouter, ZDR enforced) | USUnited States | Zero retention |
| ↳ Together AI | AI Processing (via OpenRouter, ZDR enforced; added 2026-05-25) | USUnited States (default North America data centers per Together docs; OR aggregator does not pin region per request) | Zero retention |
| ↳ Fireworks AI | AI Processing (via OpenRouter, ZDR enforced; added 2026-05-25) | USUnited States — multi-region fleet (US, EU Frankfurt + Iceland, APAC Tokyo only — no PRC infrastructure; OR aggregator does not pin region per request) | Zero retention |
| ↳ Nebius | AI Processing (via OpenRouter, ZDR enforced; added 2026-05-25) | GlobalNetherlands HQ; primary inference in Finland (EU) with US secondary per Nebius docs (OR aggregator does not pin region per request) | Zero retention |
| ↳ xAI (Grok) | AI Processing (via OpenRouter, ZDR enforced). Current default for paid plans (Plus and above, ADP off) for chat Fast/Think and the Beyond assistant, with Anthropic as automatic failover; also serves the logged-out risk-analysis demo. | USUnited States (OpenRouter-published footprint; inference region not pinned via OpenRouter) | Zero retention (xAI (ZDR) endpoint, verified 2026-07-19) |
| Mistral AI | AI Processing (ADP), content moderation, failover, conversation summaries: EU zero-retention. Authenticated web-search discovery (ADP off) runs on Mistral's stateful endpoint using Brave (US) as Mistral's sub-processor, so it is not EU-only and uses standard retention (see DPA). heyGRC EU inference (organization opt-in, EU regional endpoint, account-level zero retention). | EUEU (Frankfurt); web-search discovery reaches Brave (US) via Mistral | Zero retention (inference/moderation); standard retention for web-search discovery via Brave (US) |
| Fly.io | Chat API Service | EUEU deployment | Access logs 30-90 days |
| ConvertAPI | Document Format Conversion (ISO 27001:2022) | EUEU (Frankfurt) | Zero retention (in-memory only) |
| Stripe | Payment Processing (PCI DSS Level 1) | GlobalGlobal (EU DPA) | Billing records 7 years (anonymized) |
| Sentry | Error Tracking & Monitoring | EUGermany | Up to 90 days (PII-scrubbed, no IP stored) |
| Axiom | Log Storage (security monitoring) | EUEU (Frankfurt) | 30 days (pseudonymous ids, no chat content) |
| Vercel | Web Hosting & Analytics | GlobalGlobal CDN | Per Vercel policy (cookieless analytics) |
| SendGrid (Twilio) | Legal Update Emails | USUnited States | Until account deletion or unsubscribe |
| Kit (ConvertKit) | Onboarding & Product Emails | USUnited States | Until account deletion or unsubscribe |
| Chatbase | Optional website support chat on heyGRC (marketing, docs, console) and ISMS Copilot (marketing, docs, platform console, trust center): visitor messages and optional lead email for human follow-up. Not used for product chat accounts or PR source code. Widget only loads when product env flags enable it. | USUnited States (Chatbase-hosted; model providers per Chatbase configuration) | Per Chatbase conversation/lead retention; do not paste secrets into the widget |
Kunden-aktivierte Integrationen
Werden für Ihre Daten erst aktiv, wenn Ihre Organisation sie installiert.
| Dienst | Zweck | Standort | Aufbewahrung |
|---|---|---|---|
| Slack Technologies, Inc. | heygrc bot — receives messages addressed to the bot, posts AI responses back. Activated only when a paid-organization owner installs from the Connectors page; uninstall hard-deletes integration records. | USUnited States | Active while integration installed |
| Google LLC | heyGRC Google Drive: OAuth, Picker, and Drive API read of files an organization owner or admin picked or opened with heyGRC, for linked-document compile and a change check normally once a day. Activated only when that admin connects Drive in the heyGRC console. Scopes drive.file and, with Open with, drive.install (menu entry only, no file access). Disconnect asks Google to revoke the grant (unless the same Google account still backs another heyGRC organization's Drive connection) and deletes the stored token. | USUnited States (file location follows the customer's Workspace) | Token until disconnect, admin departure, or uninstall; document snapshots with the review pack |
| GitHub, Inc. | heyGRC GitHub App (a distinct product from the heygrc Slack bot). Customer-directed platform, not an ISMS Copilot sub-processor: heyGRC retrieves pull-request diffs and metadata from the customer's GitHub environment and posts the check run, review and comments back into it, under the customer's own GitHub agreement. Activated only when a repository administrator installs the App. Read access to contents, metadata and issues; write access to checks and pull requests only; heyGRC never writes to code. Default inference: redacted diff reviewed through the same OpenRouter allowlist and account-level controls as above, pinned in-request to a named host subset (currently Together AI, Fireworks AI, Inceptron; ZDR, no training, PRC-jurisdiction hosts blocked). Organizations can opt in to EU inference (Mistral AI, EU regional endpoint, no fallback). On both paths the model is an open-weights model developed by Z.AI; Z.AI hosts neither path and receives no data. Diffs are not persisted; the written review is stored. Uninstall stops processing and deletes the GitHub account name; stored reviews are deleted 30 days after uninstall. | USUnited States | Reviews kept while installed and 30 days after uninstall; diffs not persisted |
Zuletzt aktualisiert: Juli 2026 · Wesentlich nachteilige Änderungen bei Auftragsverarbeitern: 30 Tage Vorankündigung per E-Mail und in der App. Kontrollneutrale Änderungen werden durch Veröffentlichung in diesem Trust Center und im Änderungsprotokoll angekündigt (DPA 2.4). Eine Änderung ist kontrollneutral, wenn sie die Kontrollen für Aufbewahrung, Training, Veröffentlichung, Sicherheit, Übermittlung oder Jurisdiktion nicht wesentlich abschwächt und die Kategorien der verarbeiteten Daten nicht erweitert. Kunden-aktivierte Integrationen unterliegen dieser Regel nicht, da keine Daten fließen, bis Ihre Organisation sie ausdrücklich installiert.
Drittanbieter-Inhalte
Open-Source- und Creative-Commons-Inhalte, die in die Plattform integriert sind, mit Verweis auf die ursprünglichen Maintainer.
Skill SOC 2 Report Review
Adaptiert das SOC 2 Reliability Rubric, gepflegt vom SOC 2 Quality Guild. Die 11-Signal-Taxonomie und die Säulen Structure / Substance / Source stammen aus dem Guild-Rubric; Chat-Workflow, Verdikte und Scorecard sind die Adaption dieses Projekts. Gemäß CC BY-SA 4.0 §3(b)(1) wird diese Adaption ebenfalls unter CC BY-SA 4.0 veröffentlicht.
Rechtliche Dokumente
Transparenzdokumentation zur Einsicht verfügbar
ISO/IEC 27001:2022 Programm
Better ISMS wird zertifiziert. Es ist auf dem Weg. Wir sind heute noch nicht zertifiziert. Lesen Sie den vorgesehenen Geltungsbereich.
Auftragsverarbeitungsvertrag
AVV gemäß DSGVO Art. 28
Datenschutzerklärung
Wie wir Ihre Daten erheben, nutzen und schützen
Cookie-Richtlinie
Wie dieses Trust Center Cookies verwendet und wie Sie Ihre Auswahl verwalten
Nutzungsbedingungen
Bedingungen für die Nutzung von ISMS Copilot
Verzeichnis von Verarbeitungstätigkeiten
Vollständiges VVT aller Datenverarbeitungsvorgänge
Compliance des geistigen Eigentums
Wie wir Standards beschaffen, IP-Rechte in unserer KI-Beratung schützen und Drittinhalte würdigen
EU-KI-Verordnung Transparenz
Artikel-50-Angaben, unsere aktuelle Risikoeinstufung und wie wir KI-Nutzung in den Produkten kennzeichnen
Aevral-Unterauftragsverarbeiter
Unterauftragsverarbeiter für Aevral-Code-Scanning und Pull-Request-Prüfung
Änderungsprotokoll der Rechtsdokumente
Kumulative Zusammenfassung der Überarbeitungen unserer Rechtsdokumente
Vendor details for invoices
Legal entity, VAT, and how to pay a Stripe Business annual invoice. No company IBAN.