Sicherheit und Datenschutz

Eine Automatisierung bewegt Ihre Daten schon ihrer Natur nach. Sie liest aus Ihren Systemen, wandelt Informationen um, ruft Dienste auf und schreibt Ergebnisse zurück. Ehrlich über Sicherheit zu sprechen heißt deshalb, zu jedem dieser Momente zu sagen, wohin die Daten gehen, was ihnen vor der Reise entzogen wird und was danach überprüfbar bleibt.

Diese Seite nennt die Positionen, die transtorm.ai tatsächlich anwendet. Sie behandelt den physischen Ort der Daten, das, was geschieht, bevor eine Information ein externes Modell erreicht, den Umgang mit Zugriffsrechten und Zugangsdaten, die Protokollierung, unsere DSGVO-Position und das Eigentum am Code am Ende. Unsere Methodenseite beschreibt die Projektabfolge, in der diese Positionen stehen.

Die lokale Verarbeitung kommt zuerst

Wir bevorzugen die lokale Datenverarbeitung überall dort, wo sie möglich ist. Viele Operationen einer Geschäftsautomatisierung kommen ohne jeden externen Dienst aus, etwa eine Datei zu lesen, eine Bedingung zu prüfen, zwei Quellen abzugleichen, ein Dokument zu erzeugen oder eine Benachrichtigung auszulösen. Solange diese Schritte lokal bleiben, gibt es keine Übermittlung abzusichern, keinen Auftragsverarbeiter zu prüfen und keine Frage der Speicherdauer zu klären.

Diese Präferenz ist eine Entwurfsvorgabe und keine Werbeformel. Sie verändert die Architektur, die wir vorschlagen, und sie schließt gelegentlich einen Dienst aus, der bequem gewesen wäre.

Was ein externes Modell erreicht, und was nie

Wenn eine externe Ressource wirklich nötig ist, wurden die Daten, die an sie gehen, vorab vollständig anonymisiert. Es werden keine sensiblen Daten an diese Dienste gesendet.

Die Anonymisierung geschieht innerhalb des Ablaufs, vor dem Aufruf, und sie ist Teil des Konnektorentwurfs und kein Filter, den man am Ende anschraubt. Die Folge zählt in der Praxis: Das externe Modell sieht eine bereinigte Nutzlast, und die identifizierenden Angaben bleiben auf Ihrer Seite der Grenze.

Keine dieser Daten dient dazu, ein Modell zu trainieren. Wir trainieren kein Modell künstlicher Intelligenz, weder mit den Daten in Ihren Systemen noch mit den Daten, die diese Website erhebt, und unsere Datenschutzerklärung sagt das für Letztere.

Einige unserer Systeme führen das Argument zu Ende und verwenden gar kein Sprachmodell. Unsere Anwendung für den Außeneinsatz berechnet ihre elf abgeleiteten Felder mit einem deterministischen Rechenwerk, hängt von keinem Modell ab und verlangt keinen API-Schlüssel, gerade damit wir einem Kunden zeigen können, woher jede Zahl stammt.

Betrieb auf eigener Infrastruktur, wenn die Daten das Haus nicht verlassen dürfen

Für Kunden, die es brauchen, kann das gesamte System auf ihrer eigenen Infrastruktur laufen.

Unser Selbstbedienungsterminal für die Patientenanmeldung läuft selbst gehostet auf den Rechnern der Praxis, mit Docker containerisiert, und es gehen keine Daten in eine externe Cloud. Sein mobiler Begleiter ist durch physische Anwesenheit abgesichert und nicht durch ein Konto oder einen teilbaren Link: Der QR-Code auf dem Bildschirm im Wartezimmer trägt ein Tagestoken, das aus einem Geheimnis und dem Datum berechnet wird, sodass man ihn nur bekommt, wenn man vor dem physischen Bildschirm steht. Unser Workflow für die elektronische Signatur läuft auf Documenso, einer quelloffenen Plattform, die wir für die öffentliche Demo selbst betreiben, und derselbe Aufbau wird in der Klinik selbst installiert, wo die signierten Dokumente dann bleiben.

Der Betrieb auf eigener Infrastruktur bleibt nicht folgenlos. Er verlagert den Betriebsaufwand, also Sicherungen, Aktualisierungen und Verfügbarkeit, zum Kunden. Wir sagen das während des Audits und nicht danach, und die Abwägung wird mit den Fakten auf dem Tisch entschieden.

Prinzip der geringsten Rechte, Zugangsdaten und Trennung der Umgebungen

Jeder Mikroprozess verfügt nur über die Zugriffsrechte, die seine eigene Ausführung braucht, was den Schaden begrenzt, falls eine einzelne Komponente kompromittiert wird. Zugangsdaten sind verschlüsselt, werden rotiert und nie zwischen Umgebungen geteilt. Entwicklung, Staging und Produktion bleiben strikt voneinander isoliert, sodass ein Test niemals echte Daten oder einen echten Empfänger erreichen kann.

Die Zerlegung eines Prozesses in kurze Mikroprozesse hilft auch hier. Ein Schritt, dessen einzige Aufgabe im Erzeugen eines Dokuments besteht, hat keinen Grund, die Zugangsdaten des Mailsystems zu halten, und er hält sie auch nicht.

Alles Wichtige wird protokolliert

Ein automatisiertes System, das sich nicht prüfen lässt, ist eine Black Box, und eine Black Box in Produktion wird am Ende immer teuer. Jede Aktion wird deshalb mit Zeitstempel, Kontext und Ergebnis protokolliert.

Dieses Protokoll beantwortet die Fragen, die ein Vorfall wirklich stellt. Was ist passiert, welche Entscheidung wurde getroffen, warum ist der Ablauf stehen geblieben, welcher Schritt ist fehlgeschlagen, lässt er sich ohne Duplikat neu starten, und wer muss alarmiert werden. Es dient auch der Compliance, denn ein Prüfer, der den Nachweis einer Kontrolle verlangt, erhält einen Eintrag, der im Moment des Geschehens geschrieben wurde und nicht im Nachhinein rekonstruiert. Unser Anwendungsfall zur Bankensteuerung existiert wesentlich deshalb, weil die Prüfer des Kunden Nachweise verlangten, die sich aus der Handarbeit nur schwer rekonstruieren ließen.

Menschliche Validierung bei sensiblen Aktionen

Die Nachvollziehbarkeit sagt, was passiert ist. Die menschliche Validierung entscheidet, ob es überhaupt passieren soll.

Die manuelle Validierung ist optional und wird dort eingeschaltet, wo die Geschäftsregeln sie verlangen. Bei Aktionen mit erheblicher geschäftlicher, finanzieller oder operativer Wirkung fragt das System, bevor es handelt. Das nimmt die Form einer Bestätigung vor einer sensiblen Aktion an, einer Freigabe vor einem Versand oder einer Ausführung, einer automatischen Blockade bei einem mehrdeutigen Fall, eines Alarms beim Überschreiten eines kritischen Schwellenwerts oder einer kritischen Regel und eines Protokolleintrags für jede wichtige Entscheidung. Die Benachrichtigungen erfolgen sofort und eine Frist läuft automatisch ab, sodass eine offene Validierung nie stillschweigend eine Warteschlange blockiert.

Unsere DSGVO-Position

Das Hosting erfolgt in Europa. Mit jedem Auftragsverarbeiter wird ein Auftragsverarbeitungsvertrag geschlossen, auch mit den Anbietern der KI-Modelle, und die Liste der Auftragsverarbeiter erhalten Sie vor jeder Inbetriebnahme, statt sie später zu entdecken. Die DSGVO-Lage Ihres konkreten Falls wird während des Audits geprüft, also zu dem Zeitpunkt, zu dem eine Änderung der Architektur noch wenig kostet.

transtorm.ai ist Verantwortlicher für die personenbezogenen Daten, die über diese Website erhoben werden. Für die Kundendaten, die in den umgesetzten Projekten verarbeitet werden, wird die Rolle jeder Seite nach der DSGVO schriftlich im Projektvertrag festgelegt, bevor etwas gebaut wird. Sitzt ein Dienstleister außerhalb der EU oder des EWR, setzen wir geeignete Garantien ein, etwa die Standardvertragsklauseln der Europäischen Kommission, zusammen mit angemessenen technischen und organisatorischen Maßnahmen. Personenbezogene Daten werden nicht länger gespeichert als nötig und danach gelöscht oder anonymisiert, wobei technische Protokolle für eine begrenzte Dauer entsprechend den Sicherheits- und Betriebsanforderungen aufbewahrt werden.

Ihnen stehen die üblichen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit zu, und wenn eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese widerrufen. Sie üben diese Rechte aus, indem Sie an info@transtorm.ai schreiben. Sie können außerdem eine Beschwerde bei einer zuständigen Aufsichtsbehörde einreichen, darunter die estnische Andmekaitse Inspektsioon. Der vollständige Text steht in unserer Datenschutzerklärung.

Diese Website selbst

Die Website wird von transtorm.ai herausgegeben, in Estland unter der Handelsregisternummer 17443658 eingetragen, mit Sitz in Harju maakond, Tallinn, Kesklinna linnaosa, Pärnu mnt 388b, 10131. Gehostet wird sie von OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich. Das Impressum enthält die vollständigen Angaben zur Herausgabe.

Wir erheben Identitäts- und Kontaktdaten, wenn Sie uns schreiben, technische Daten wie die IP-Adresse, den Gerätetyp und den Browser sowie Nutzungsdaten zu den besuchten Seiten. Wir beabsichtigen nicht, über diese Website sensible personenbezogene Daten und insbesondere keine Gesundheitsdaten zu erheben. Diese Website setzt eine einzige eigene Kategorie von Cookies, die in unserer Datenschutzerklärung beschriebene Reichweitenmessung, und sie lädt erst, nachdem Sie im Einwilligungsbanner zugestimmt haben. Dieselbe Erklärung nennt die Dritten, die diese Website aufruft, und erklärt, wie Sie sie im Browser blockieren.

Was wir für Sie bauen, gehört Ihnen

Die individuellen Entwicklungen, also der Code und die Workflows, die für Sie gebaut wurden, gehören Ihnen mit ihrer Bezahlung, und Abschnitt 7 unserer Allgemeinen Bedingungen sieht das vor, ob das Angebot es wiederholt oder nicht. Zwei Dinge bleiben außerhalb dieser Übertragung. Die Werkzeuge von Drittanbietern behalten die Lizenzen ihrer eigenen Hersteller, und die wiederverwendbaren Komponenten, die wir vor Ihrem Projekt besaßen oder unabhängig davon entwickelt haben, bleiben unsere, in Lizenz, solange Sie das System betreiben. Beides wird Ihnen genannt, bevor etwas gebaut wird.

Die Wartung ist nicht verpflichtend. Sie ist mit einer Frist von einem Monat kündbar, das System läuft auch ohne uns weiter, und wir liefern eine Dokumentation, die präzise genug ist, damit ein anderer Dienstleister es übernimmt. Eigentum und Reversibilität machen den Rest dieser Seite überprüfbar statt bloß versprochen: Ein System, das Ihnen gehört, ist ein System, das Sie einsehen, verlagern oder abschalten können.

Stellen Sie uns die unbequeme Frage

Wenn für Ihre Branche, Ihre Prüfer oder Ihren Datenschutzbeauftragten eine besondere Anforderung gilt, stellen Sie die Frage vor dem Projektstart. Das Audit ist der richtige Moment für die Antwort, und ein klares Nein nützt mehr als ein vages Ja.