Vergabeunterlagen sind vertraulich. Diese Seite beschreibt, wie wir damit umgehen, für alle, die das vor einer Freigabe prüfen müssen.
Alle Kundendaten, also Konten, Firmenprofile, hochgeladene Dokumente und Analyseergebnisse, liegen bei unserem Dienstleister Supabase im Rechenzentrum Frankfurt am Main. Die Auslieferung der Anwendung selbst läuft über ein Content-Delivery-Netzwerk, das ausschließlich Programmcode ausliefert und keine Kundendaten speichert.
Zahlungsdaten verarbeiten wir nie selbst. Kartendaten geben Sie direkt bei unserem Zahlungsdienstleister ein, wir sehen und speichern sie nicht.
Alle Verbindungen laufen über TLS. Die Speicherung erfolgt verschlüsselt im Ruhezustand. Passwörter werden ausschließlich als kryptografische Hashes abgelegt, wir können sie also selbst dann nicht lesen, wenn wir es wollten.
Jedes Kundenunternehmen ist ein eigener, logisch getrennter Mandant. Diese Trennung wird nicht erst in der Oberfläche, sondern in jeder Schnittstelle des Servers erzwungen: Der Zugriff wird immer aus dem geprüften Anmelde-Token abgeleitet, nie aus einer vom Browser übermittelten Kennung. Ein Nutzer kann Daten eines anderen Unternehmens auch dann nicht abrufen, wenn er die Kennung kennt.
Für die Analyse übermitteln wir Textinhalte Ihrer Dokumente an KI-Dienstleister. Diese Übermittlung dient ausschließlich der Erbringung der Leistung. Eine Nutzung Ihrer Daten zum Training von KI-Modellen findet nicht statt, weder durch uns noch durch unsere Dienstleister. Das ist im Auftragsverarbeitungsvertrag zugesichert.
Nicht übermittelt werden Zahlungsdaten und Zugangsdaten. Wir bitten Sie, keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 der Datenschutz-Grundverordnung in die Plattform zu laden.
Zugriff auf Produktionsdaten haben ausschließlich die beiden Gesellschafter, und zwar im Rahmen von Betrieb und Support. Es gibt keine automatisierte Auswertung Ihrer Dokumente für andere Zwecke. Alle API-Schlüssel liegen ausschließlich serverseitig, nie im Browser und nie im Quellcode.
Wenn Sie personenbezogene Daten Dritter in die Plattform laden, etwa Namen von Ansprechpartnern in Vergabeunterlagen, sind Sie dafür Verantwortlicher und wir Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag nach Artikel 28 der Datenschutz-Grundverordnung ist öffentlich einsehbar und wird mit Vertragsschluss Bestandteil des Vertrags. Dort finden Sie auch die vollständige Liste unserer Unterauftragsverarbeiter mit Sitz und Übermittlungsgrundlage.
Einzelne Dokumente und Analysen löschen Sie jederzeit selbst in der Anwendung, sofort und endgültig. Die Löschung des gesamten Kontos beantragen Sie in den Einstellungen; wir führen sie innerhalb von 30 Tagen durch und bestätigen sie schriftlich. Rechnungsdaten müssen wir aufgrund gesetzlicher Aufbewahrungspflichten länger vorhalten.
Wir sind ein junges Unternehmen und sagen offen, was fehlt: Wir sind derzeit nicht nach ISO 27001 zertifiziert. Eine Zertifizierung ist geplant, aber noch nicht erfolgt. Ebenso gibt es aktuell keine Möglichkeit, validait in Ihrem eigenen Rechenzentrum zu betreiben. Wenn eines davon für Ihre Freigabe entscheidend ist, sprechen Sie uns an, dann sagen wir Ihnen ehrlich, ob und wann wir das leisten können.
Wenn Sie eine Sicherheitslücke entdecken, schreiben Sie bitte an s.loeffler@validait.de. Wir bestätigen den Eingang zeitnah, halten Sie über die Behebung auf dem Laufenden und nennen Sie auf Wunsch als Finder. Bitte veröffentlichen Sie Details erst, wenn die Lücke geschlossen ist.
Auftragsverarbeitungsvertrag, Datenschutzerklärung und eine Übersicht der technischen und organisatorischen Maßnahmen stellen wir Ihnen für die interne Freigabe zusammen. Melden Sie sich einfach.
Unterlagen anfordern