Datensicherheit und Vertraulichkeit

• Daten auf einer gesicherten Cloud-Infrastruktur in Montréal, Kanada, gehostet (Region northamerica-northeast1)
• Verarbeitung durch künstliche Intelligenz (Maßerkennung) ebenfalls in Montréal (Google Vertex AI) — die Erkennungsdaten verlassen Kanada nicht
• Vertex AI wegen seiner Leistung und seiner Zusagen für Unternehmen gewählt: keine Nutzung Ihrer Daten zum Trainieren von Modellen (vertragliche Zusage von Google Cloud)
• Hosting gemäß den in Québec und Kanada geltenden Anforderungen an die Datenlokalisierung
• Strikte Trennung der Daten zwischen allen Kundenunternehmen
• Zugriff nur für berechtigte Benutzer entsprechend ihrer Rolle
• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand nach Industriestandards
• Audit-Protokoll mit Hash-Kette: Jede sensible Aktion wird in einem Register festgehalten, das jede Manipulation erkennbar macht
• Hosting-Infrastruktur zertifiziert nach SOC 2 und ISO 27001/27017/27018 (Google Cloud)
• Regelmäßige Sicherungen mit kontrollierten Wiederherstellungsverfahren

Astérion Solutions inc. wendet die Grundsätze und Pflichten an, die sich ergeben aus:

• der Loi 25, dem Québecer Gesetz zum Schutz personenbezogener Daten
• den geltenden kanadischen Gesetzen zu Vertraulichkeit und Datenschutz

Zu diesen Grundsätzen gehören insbesondere:

• Die Beschränkung des Zugriffs auf Informationen
• Der Schutz vor unbefugtem Zugriff
• Die sichere Aufbewahrung der Daten
• Die Achtung der Rechte von Personen und Organisationen

Jedes Kundenunternehmen verfügt über einen eigenen Datenbereich, der Folgendes garantiert:

• Keine Verbindung zwischen Organisationen
• Kein übergreifender Zugriff möglich
• Eine strikte logische Trennung der Umgebungen

Wir setzen anerkannte technische Unterauftragsverarbeiter ein, die denselben Vertraulichkeitspflichten unterliegen. Gemäß Artikel 17 der Loi 25 wurde für jede der unten aufgeführten Übermittlungen außerhalb Québecs eine Datenschutz-Folgenabschätzung durchgeführt; deren Zusammenfassung, das vollständige Verzeichnis der Unterauftragsverarbeiter und eine Vereinbarung zur Auftragsverarbeitung sind auf Anfrage erhältlich:

• Google Cloud / Firebase — Hosting, Speicherung und KI-Verarbeitung (Vertex AI), Region Montréal (Kanada). Infrastruktur zertifiziert nach SOC 2 und ISO 27001/27017/27018
• Stripe — sichere Zahlungsabwicklung (keine Kartendaten auf unseren Servern gespeichert) — Vereinigte Staaten
• Amazon SES (Amazon Web Services) — Versand von Transaktions-E-Mails (Einladungen, Benachrichtigungen, Erinnerungen), Region Montréal — Kanada. Resend (Vereinigte Staaten) bleibt vorübergehend als Ausweichlösung bestehen, Abschaltung bis zum 30. September 2026 geplant
• Cloudflare Turnstile — Schutz der öffentlichen Formulare der Website vor Bots (verarbeitet die IP-Adresse des Besuchers, ohne Profilbildung) — Vereinigte Staaten (weltweites Auslieferungsnetz)
• Anthropic — integrierter Hilfeassistent (nur Fragen zur Bedienung, kein Zugriff auf Ihre Betriebsdaten, kein Training mit den übermittelten Daten) — Vereinigte Staaten
• GoatCounter — Reichweitenmessung ohne Cookies und ohne Kennung, IP-Adresse wird nicht gespeichert — Europäische Union

Die Daten bleiben ausschließliches Eigentum Ihres Unternehmens. Astérion Solutions inc. handelt lediglich als technischer Verwahrer Ihrer Daten.

Sie haben folgende Rechte:

• Zugriff und Einsicht über die Anwendung
• Änderung und Berichtigung
• Export der Daten auf Anfrage
• Löschung der Daten spätestens 90 Tage nach Vertragsende (vorbehaltlich gesetzlicher Pflichten), auf Anfrage mit schriftlicher Bestätigung

Drei Antworten, die wir lieber geben, bevor man uns danach fragt:

• Zertifizierungen: Astérion Solutions inc. ist selbst weder nach SOC 2 noch nach ISO 27001 zertifiziert — wir übernehmen die Infrastrukturkontrollen von Google Cloud (zertifiziert nach SOC 2 und ISO 27001/27017/27018), und unsere eigenen Kontrollen sind in der Vereinbarung zur Auftragsverarbeitung beschrieben, die auf Anfrage erhältlich ist
• Administratorzugriff: Technisch kann unser Personal auf die gehosteten Daten zugreifen. Dieser Zugriff wird nur für vom Kunden angeforderten Support oder den Betrieb des Dienstes genutzt, und jede sensible Aktion wird im Audit-Protokoll mit Hash-Kette festgehalten, dessen Manipulation erkennbar ist
• Kontinuität: Ein schriftlicher Plan benennt einen Ersatzadministrator mit den nötigen Zugängen, um den Dienst bei längerer Abwesenheit des Gründers aufrechtzuerhalten, und eine Hinterlegungsvereinbarung für den Quellcode (Escrow) bei einem Dritten kann auf vertragliche Anfrage eingerichtet werden