Sicherheit und Datenstandort

Diese Seite nennt die Region, die Unterauftragsverarbeiter und die Übermittlungsmechanismen, weil der Sicherheitsprüfer eines Käufers nach allen dreien fragen wird und eine Seite, die argumentiert statt zu antworten, seine Zeit verschwendet.

Unterhalb dieser Seite

Was wir erfassen und was nicht

Jedes Ereignis, das das Aktivitätsprotokoll erfasst, und die Überwachungsfunktionen, die kein Modul jemals hinzufügen darf — benannt, damit Sie sie uns vorhalten können.

Nachlesen →

Wie KI eingesetzt wird

Die eine Funktion, die ein Modell aufruft, der Anbieter benannt, genau was gesendet wird, und die drei Ebenen, auf denen sie aus ist.

Nachlesen →

Wo sie liegen

Eine EU-Region, als Invariante

Die Produktionsdatenbank liegt in einer EU-Region, und die Anwendungsfunktionen sind auf Frankfurt festgelegt. Beides ist als Invariante festgehalten: eines davon zu ändern ist eine Entscheidung, keine Einstellung.

Wer wir sind

Ein Schweizer Unternehmen unter EU-Angemessenheit

Die Schweiz verfügt über einen EU-Angemessenheitsbeschluss, eine Übermittlung aus dem EWR an uns braucht daher keinen weiteren Mechanismus. Wir sind der Verkäufer, und der AVV besteht direkt mit Ihnen.

Der Ausstieg

Exportierbar in jedem Abrechnungszustand

Auch im Nur-Lesen-Modus. Eine Organisation, die aufhört zu zahlen, verliert den Schreibzugriff, nicht den Zugriff. Jede Ansicht lädt, jeder Export funktioniert, nichts wird gelöscht.

Jeder Unterauftragsverarbeiter, der Kundendaten berührt

Hier genannt, weil ein Auftragsverarbeitungsvertrag sie nennen muss und weil der erste Geschäftskunde von einiger Grösse danach fragt, bevor er unterschreibt. Änderungen an dieser Liste werden allen Eigentümern einer Organisation dreissig Tage vor ihrem Wirksamwerden angekündigt, und der AVV gibt Ihnen das Recht zum Widerspruch.

Eine Zeile mit der Kennzeichnung Geplant ist eine, die wir hinzufügen wollen und noch nicht hinzugefügt haben. Sie steht mit Absicht früh hier: So läuft die Frist von dreissig Tagen vor der Änderung statt danach, und es heisst, dass nichts auf dieser Seite zum ersten Mal an dem Tag erscheint, an dem es beginnt, etwas zu verarbeiten. Eine geplante Zeile erhält keine Daten, bis sie als Aktiv gekennzeichnet ist.

Unterauftragsverarbeiter	Status	Was er verarbeitet	Wo	Übermittlungsmechanismus
Supabase	Aktiv	Alle Anwendungsdaten: Konten, Projekte, Aufgaben, Kommentare, hochgeladene Dokumente, Such-Embeddings	EU-Region	EU-Region — keine Übermittlung
Vercel	Aktiv	Anfragedaten während der Übertragung. Keine dauerhafte Speicherung von Kundeninhalten	Funktionen auf Frankfurt festgelegt	Standardvertragsklauseln für die US-Muttergesellschaft
Stripe	Aktiv	Rechnungskontaktdaten, MwSt.-Nummern, Zahlungsmittel, Rechnungen. Keine Kartendaten erreichen jemals unsere Server	EU / USA, unter eigenem AVV	Stripe-AVV und SCC
Resend	Aktiv	Nur E-Mail-Adressen und gerenderte Nachrichteninhalte. Versendet von `mail.terranes.app`, einer Subdomain, die von dem Postfach getrennt gehalten wird, aus dem wir antworten	EU — Irland (`eu-west-1`)	AVV und SCC. Die Region legt fest, wo E-Mail verarbeitet wird; der Anbieter ist ein US-Unternehmen, die Klauseln gelten also weiterhin
Anthropic	Aktiv	Die strukturierten Zahlen eines Berichts in dem Moment, in dem eine Person die KI-Formulierung anfordert — Anzahlen, Termine, Meilensteinnamen, die Titel überfälliger und blockierter Aufgaben. Nie Kommentartexte, Dokumentinhalte, Stakeholder-Notizen oder Budgetzeilen	USA	Kommerzielle Bedingungen und SCC. Eingaben werden nicht zum Training von Modellen verwendet
Sentry	Geplant	Fehlerberichte: die Route der fehlgeschlagenen Anfrage, der Stack-Trace und der Browser. Personenbezogene Daten sind abgeschaltet und der Nutzerkontext wird bereinigt, ein Bericht sagt also, welche Route kaputtgegangen ist, und nicht, wer sie benutzt hat	EU-Region	EU-Region — keine Übermittlung

Anthropic steht auf dieser Liste, und das überrascht die Leute. Es wird hier klar offengelegt, statt es entdecken zu lassen — und es wird nur dann erreicht, wenn jemand darum bittet, einen Bericht formulieren zu lassen. Wie KI eingesetzt wird.

Diese Website selbst

In der Tabelle oben geht es um Daten, die wir für einen Kunden verarbeiten, wobei der Kunde entscheidet und wir es ausführen. Diese Website ist die andere Beziehung: Sie lesen eine öffentliche Seite, niemand hat etwas unterschrieben, und die Entscheidungen sind unsere. Andere Beziehung, andere Regeln, deshalb wird sie getrennt beantwortet statt in die Liste oben eingefügt.

Seitenaufrufe

Gezählt, nicht verfolgt

Vercel Web Analytics erfasst, dass eine Seite aufgerufen wurde, aus welchem Land, auf welcher Art von Gerät und welche Seite Sie geschickt hat. Es wird kein Cookie gesetzt und keine Kennung auf Ihrem Gerät gespeichert, weshalb es hier kein Einwilligungsbanner gibt — es gibt nichts, worin einzuwilligen wäre. Besuche werden nicht über Tage hinweg zum Profil einer Person zusammengeführt.

Schriften und Ressourcen

Nichts wird anderswo geholt

Beide Schriften werden von dieser Domain ausgeliefert. Kein Content Delivery Network, kein Schriftdienst, kein Tag-Manager, kein eingebettetes Video, kein Werbepixel. Das Laden dieser Seite kontaktiert terranes.app und nichts sonst, was Sie gern im Netzwerk-Panel Ihres Browsers prüfen können.

Das Formular

Ein Postfach, keine Liste

Was Sie auf dem Formular für den frühen Zugang schreiben, wird von Resend an ein einziges Postfach auf Google Workspace übermittelt und dient dazu, Ihnen zu antworten. Es wird keiner Mailingliste hinzugefügt, von nirgendwoher angereichert und nicht weitergegeben. Fragen Sie unter privacy@terranes.app und es wird noch am selben Tag gelöscht.

Ändert sich daran etwas — ein Analyseprodukt, das doch ein Cookie setzt, ein eingebettetes Video, ein Chat-Widget — ändert sich dieser Abschnitt im selben Commit. Eine Datenschutzerklärung, die das alles abdeckt, wird vor dem Start veröffentlicht; bis dahin ist dieser Abschnitt alles, was es gibt — die ehrliche Position statt eines Links auf eine Seite, die nicht existiert.

Was die EU verlässt, wird an der Quelle minimiert, nicht durch ein Versprechen.

Stripe und Resend erhalten nur Kontaktdaten und gerenderte Inhalte. Der Anbieter für die Formulierung erhält die strukturierten Zahlen und Aufgabentitel eines Berichts, und nur dann, wenn eine Person darum gebeten hat, diesen Bericht formulieren zu lassen.

Ein Test sichert die Form dieser Payload zu, statt dem Satz zu vertrauen: Der Build schlägt fehl, wenn Kommentartexte, Dokumenttext, Stakeholder-Notizen oder Budgetzeilen sie erreichen können.

Kein Unterauftragsverarbeiter erhält eine vollständige Kopie Ihrer Projektdaten, und kein Unterauftragsverarbeiter ausser dem Dokumentenspeicher erhält jemals ein hochgeladenes Dokument.

Das Restrisiko ist der Zugriff der US-Regierung auf Rechnungskontaktdaten und E-Mail-Adressen. Die Minderung besteht darin, dass keines von beiden Projektinhalte trägt. Wir nennen es, statt es zu überdecken.

Zugriff, Löschung und Wiederherstellung

Wer bei einem Kunden kann ein Dokument sehen?

Der Zugriff wird in der Datenbank selbst mit Row-Level Security durchgesetzt, Dokumente liegen in einem privaten Bucket und werden über eine signierte URL ausgeliefert — nicht über eine Prüfung in der Anwendung, die auf einer Route vergessen werden kann. Ein Projektadministrator kann zusätzlich ein einzelnes Dokument als beschränkt kennzeichnen und benennen, wer es sehen darf; ein beschränktes Dokument wird verborgen statt als Platzhalterzeile angezeigt zu werden, weil eine Platzhalterzeile ankündigt, dass ein Dokument existiert, und das ist oft selbst die heikle Tatsache.

Was passiert, wenn wir die Löschung verlangen?

Kontolöschung und Organisationslöschung sagen jeweils klar, was vernichtet, was anonymisiert und was aufbewahrt wird, und jede hat ein Fenster von dreissig Tagen, in dem sie widerrufbar ist, mit einem dauerhaften Banner, das den Abbruch mit einem Klick trägt. Wird die Löschung einer Organisation beantragt, erhalten alle Eigentümer die Bestätigung — nicht nur die Person, die sie verlangt hat.

Was ist der Wiederherstellungspunkt?

Bis zum ersten zahlenden Kunden ist der Wiederherstellungspunkt die jüngste tägliche Sicherung — bis zu vierundzwanzig Stunden Verlust statt Sekunden. Point-in-Time-Recovery wird ab dem ersten zahlenden Kunden aktiviert. Wir nennen den aktuellen Stand, nicht den beabsichtigten. Sicherungen laufen in einer dokumentierten Rotation über dreissig Tage aus, und eine ausgeführte Löschung ist allein durch den Betreiber wiederherstellbar, aus diesen Sicherungen, innerhalb dieses Fensters und nicht darüber hinaus.

Können wir selbst hosten?

Nein, und das ist eine hingenommene Lücke, kein Versehen. Macht eine konkrete Anforderung eine kundenseitig kontrollierte Dokumentenablage greifbar, ist der Speicheradapter der nächste Schritt in der Architektur — wir bauen ihn nicht auf Verdacht, und wir tun nicht so, als gäbe es ihn.

Ihr Prüfer kann die Unterlagen bekommen.

Der AVV, die Liste der Unterauftragsverarbeiter und die Notiz zur Übermittlungs-Folgenabschätzung sind die tatsächlichen Dokumente. Fragen Sie danach, und sie werden geschickt — vor einem Test, nicht danach.

AVV anfordern