Vertrauen

Sicherheit und Datenschutz

ZORYVO arbeitet mit Ihrer Geschäftspost. Darum gelten feste Regeln: wo die Daten liegen, wer sie sehen darf, was die KI bekommt und was nie passiert.

Wo Ihre Daten liegen

Datenbank und Dateien liegen bei Supabase in einem Rechenzentrum in Frankfurt am Main. Die Anwendung läuft bei Vercel, ihre Server-Funktionen ebenfalls in Frankfurt. Inhalte Ihrer E-Mails und Personendaten liegen nur in dieser Datenbank und diesem Dateispeicher; andere Dienste bekommen nur, was sie für ihre Aufgabe brauchen.

  • Supabase

    Wofür
    Datenbank, Anmeldung, Dateispeicher
    Wo
    Frankfurt am Main
    Was er bekommt
    alle Inhalte

  • Vercel

    Wofür
    Betrieb der Anwendung
    Wo
    Server-Funktionen in Frankfurt
    Was er bekommt
    Anfragen der Anwendung; Protokolle ohne Personenbezug

  • Google Vertex AI

    Wofür
    KI-Analyse und Entwürfe
    Wo
    nur Regionen in der EU
    Was er bekommt
    Inhalte, die die KI für ihre Aufgabe lesen muss

  • Mistral

    Wofür
    KI als Ausweich, wenn Vertex ausfällt
    Wo
    EU-Endpunkt
    Was er bekommt
    wie Vertex; für Ihr Unternehmen abschaltbar

  • Inngest

    Wofür
    Hintergrundaufgaben und Zeitpläne
    Wo
    Cloud-Dienst
    Was er bekommt
    nur Kennungen und Status, keine Inhalte

  • Sentry

    Wofür
    Fehlerberichte
    Wo
    EU-Region
    Was er bekommt
    Fehlerberichte ohne Inhalte

  • Brevo

    Wofür
    System-E-Mails wie Einladungen und Benachrichtigungen
    Wo
    EU
    Was er bekommt
    Name, Adresse und Links; nie Inhalte Ihrer E-Mails

Antworten an Ihre Kontakte gehen über Ihr eigenes verbundenes Postfach. Außerdem im Einsatz: Google Pub/Sub für die Push-Meldungen von Gmail (nur Postfachadresse und eine Kennung), healthchecks.io für die Verfügbarkeitsprüfung (nur Zeitstempel) und Telegram für Störungsmeldungen an uns als Betreiber (ohne Inhalte aus Ihren E-Mails). Die vollständige Liste mit Rechtsgrundlagen steht in der Datenschutzerklärung.

Zur Datenschutzerklärung

Getrennte Daten je Unternehmen

Jedes Unternehmen sieht nur seine eigenen Daten. Die Trennung setzt die Datenbank selbst durch (Row-Level-Security), nicht nur die Oberfläche: Jede Abfrage läuft mit den Rechten der angemeldeten Person, auch Hintergrundaufgaben sind auf genau ein Unternehmen beschränkt, und jede Datei liegt unter der Kennung ihres Unternehmens.

Innerhalb Ihres Unternehmens entscheiden Rollen, Rechte je Postfach und die Sichtbarkeit von Kategorien, wer was sieht.

Mehr zu Rollen und Rechten

Was wir als Betreiber sehen

Als Betreiber sehen wir, was wir für den Betrieb brauchen: ob Verbindungen funktionieren, Fehlernummern, Nutzung. Inhalte sehen wir nicht: keine E-Mails, auch nicht Betreff und Absender, keine Kundendatenbank, keine Rechnungen, keine Dateien. Auch das setzt die Datenbank durch.

Brauchen wir für Support doch Einblick, geht das nur mit einer Support-Freigabe, die ein Owner erteilt:

  • Umfang

    Nur die technischen Angaben fehlgeschlagener Schritte, oder alle Inhalte (mit zusätzlicher Bestätigung).

  • Dauer

    24 Stunden, 48 Stunden (Vorgabe), 3 oder 7 Tage, höchstens 7 Tage.

  • Widerruf

    Jederzeit, auch in einem pausierten Konto.

  • Nachweis

    Jeder Zugriff steht in Ihrem Protokoll; beim ersten Zugriff bekommen Sie eine Benachrichtigung, danach höchstens eine Zusammenfassung am Tag.

KI und Ihre Daten

  • Nur mit Ihrer Entscheidung

    Die KI-Analyse schaltet Ihr Unternehmen selbst ein: ein Owner oder wer das Recht „Firmeneinstellungen“ hat. Vorher wird die Rechtsgrundlage dokumentiert (Vertrag, berechtigtes Interesse oder Einwilligung), mit einer Begründung; ohne sie lässt sich die KI nicht einschalten. Ist die KI aus, speichert ZORYVO E-Mails nur.

  • KI in der EU

    Die KI läuft über Google Vertex AI in einer EU-Region, als Ausweich über Mistral mit EU-Endpunkt; den Ausweich können Sie abschalten. ZORYVO selbst trainiert keine KI-Modelle mit Ihren Daten.

  • Daten, keine Anweisungen

    Inhalte aus E-Mails und Dateien sind für ZORYVO Daten, keine Anweisungen. Findet die Analyse Hinweise auf versteckte Anweisungen an eine KI, geht nichts automatisch hinaus. Absender der Kategorien Privat und Personal verarbeitet die KI nicht (Schutz-Vorgabe).

  • Gekennzeichnet

    Von der KI geschriebene E-Mails sind gekennzeichnet: mit einem sichtbaren Satz am Ende (Vorgabe: „Diese Nachricht wurde mit Unterstützung eines KI-Systems erstellt.“) und mit technischen Kopfzeilen. Bei automatisch gesendeten E-Mails lässt sich der Hinweis nicht abschalten; bei freigegebenen nur durch die Rolle Owner.

Dateien und Viren

ZORYVO führt Dateien nie aus und öffnet keine Makros. Bevor eine Datei ZORYVO verlässt, etwa in Ihr Google Drive oder OneDrive, muss eine Virenprüfung sie als sauber gespeichert haben. Ohne dieses Ergebnis liest ZORYVO die Datei nur intern und gibt sie nicht weiter. Anhänge unbestätigter Absender landen in einem eigenen Ordner „Ungeprüft“.

Schutz im Hintergrund

  • Verschlüsselte Zugänge

    Die Zugangsschlüssel zu Ihren Postfächern speichert ZORYVO verschlüsselt (AES-256-GCM). Ihr Passwort bei Google oder Microsoft sieht ZORYVO nie.

  • Keine Inhalte in Protokollen

    Technische Protokolle und Alarme enthalten keine Inhalte: keine Betreffzeilen, keine Texte, keine Adressen. Technische Angaben zu fehlgeschlagenen Schritten liegen verschlüsselt und sind nach 14 Tagen nicht mehr lesbar.

  • HTTPS und Sicherheits-Kopfzeilen

    Die Anwendung ist nur über HTTPS erreichbar, mit strengen Sicherheits-Kopfzeilen, und lässt sich nicht in fremde Seiten einbetten; die einzige Ausnahme ist das Buchungs-Widget auf den Domains, die Sie eintragen.

  • Schutz vor Missbrauch

    Anmeldung, Einladungen, Buchungsseiten und Kontaktformular sind gegen massenhafte Versuche begrenzt; öffentliche Formulare schützt ein selbst betriebenes Captcha ohne Drittanbieter.

Ihre Datenschutz-Werkzeuge

Die Rolle Owner erledigt Anfragen betroffener Personen direkt in ZORYVO:

  • Auskunft

    Die Angaben zu einem Kontakt als JSON-Datei. Rechnungen, Dateiinhalte und Kalendereinträge enthält sie nicht.

  • Löschen

    Einen Kontakt endgültig löschen, mit Vorschau je Bereich. Rechnungen bleiben erhalten; Kopien in Ihrem Laufwerk listet ZORYVO auf, löschen müssen Sie sie dort.

  • Sperren

    Ein gesperrter Kontakt ist nur noch für Owner sichtbar und wird nicht mehr analysiert.

  • Papierkorb

    Gelöschte Einträge der Kundendatenbank bleiben 30 Tage im Papierkorb, dann werden sie endgültig gelöscht.

  • Export

    Kundendatenbank und Rechnungen als CSV.

ZORYVO löscht E-Mails, Analysen und Protokolle nicht von selbst nach einer Frist; eine wählbare Aufbewahrungsfrist gibt es nicht.

Für Ihre Mitarbeiter und den Betriebsrat gibt es Vorlagen zum Herunterladen.

Mehr zu Mitarbeitern und Betriebsrat

Was ZORYVO nie tut

Manches ist fest ausgeschlossen, ganz gleich, wie Sie ZORYVO einstellen.

  • Zahlungen auslösen oder auf Ihr Bankkonto zugreifen
  • Werbung oder Newsletter an Ihre Kontakte verschicken
  • Mahnungen mit Gebühren oder rechtlichen Folgen schreiben
  • als Archiv nach GoBD dienen; das Original bleibt in Ihrem Postfach
  • Dateien ausführen oder Makros öffnen
  • auf Buchungsseiten Ihre Besucher verfolgen oder fremde Skripte laden
  • die Arbeit einzelner Personen auswerten

Weiterlesen

ZORYVO ist im Pilotbetrieb

Zugänge richten wir derzeit persönlich ein. Wenn Sie ZORYVO in Ihrem Unternehmen ausprobieren möchten, schreiben Sie uns über das Formular „Zugang anfragen“.

Zugang anfragenAnmelden