Datenschutz und Aufbewahrung

Diese Seite beschreibt, wie Sie die Aufbewahrung festlegen, wie Sie eine Auskunft erteilen oder eine Löschung durchführen und was die Installation nach aussen sendet. Sie ist als Grundlage für Ihr eigenes Löschkonzept gedacht.

Die Aufbewahrungsfrist

Sie legen in den Einstellungen eine Aufbewahrungsfrist in Tagen fest. Ohne Frist wird nichts automatisch gelöscht; setzen Sie sie bei der Einrichtung passend zu Ihrem Löschkonzept. Massgeblich ist die letzte Änderung an einer Konversation, nicht ihr Anlagedatum.

Gelöscht werden Konversationen samt ihren Nachrichten und den dazu erzeugten geteilten Links, und zwar endgültig. Nicht gelöscht werden die Abrechnungsdaten. Der Verbrauch eines vergangenen Monats bleibt damit nachvollziehbar, auch wenn die zugehörigen Chats längst weg sind.

Jede Verkürzung fragt nach

Setzen oder verkürzen Sie die Frist, kommt eine Rückfrage mit alter und neuer Frist und dem Hinweis, dass die kürzere Frist zusätzliche, ältere Konversationen endgültig löscht. Eine spätere Verlängerung holt nichts zurück, bereits Gelöschtes bleibt gelöscht.

Die Bereinigung läuft regelmässig von selbst und lässt sich zusätzlich von Hand anstossen. Wann sie zuletzt lief und was sie entfernt hat, steht daneben.

Auskunft und Löschung pro Person

Beides erreichen Sie aus der Benutzerliste. Die Reihenfolge ist nicht beliebig.

1. Exportieren. Der Datenexport liefert die Daten dieser Person als eine Datei: Konto, Gruppen, Guthaben, Konversationen, Nachrichten, Datei-Metadaten und Transaktionen. Dateien sind als Metadaten enthalten, nicht als Inhalt. Zugangsdaten sind bewusst nicht enthalten, also weder Passwort noch Zwei-Faktor-Geheimnisse noch hinterlegte Schlüssel.

2. Löschen. Erst danach löschen. Nach der Löschung lässt sich keine Auskunft mehr erteilen, deshalb steht der Export-Knopf auch direkt im Lösch-Dialog.

Beim Löschen entscheiden Sie über die Tiefe: entweder verschwinden Konto und Inhalte und die Transaktionen bleiben als Abrechnungsbeleg erhalten, oder es wird zusätzlich der Verbrauch gelöscht. Das ist die DSGVO-Volllöschung, und die Abrechnungsbelege gehen dabei verloren. Bestätigt wird in beiden Fällen durch exaktes Eintippen der E-Mail-Adresse.

Telemetrie

Der Auslieferungszustand schaltet Telemetrie ab: die eingesetzten Komponenten senden keine Nutzungsdaten an ihre Hersteller, und Suchmaschinen indexieren die Oberfläche nicht. Wenn Sie eine bestehende Installation übernehmen, prüfen Sie das einmal nach.

Was die Instanz verlässt

Die Installation läuft vollständig auf Ihrer Maschine, Konversationen, Suchindex und hochgeladene Dateien liegen dort. Wo diese Maschine physisch steht, entscheiden Sie mit der Wahl des Hosters.

Zwei Dinge verlassen die Instanz zwangsläufig, und die sollten Sie kennen und intern kommunizieren:

Modellanfragen gehen an den konfigurierten Anbieter. Ein Sprachmodell rechnet dort, wo es betrieben wird. Im Auslieferungszustand ist das ein Anbieter mit Verarbeitung in der EU. Wenn Sie zusätzlich Anbieter ausserhalb der EU zuschalten, gehen die Anfragen dieser Karten dorthin. Es gibt keinen Modus, in dem eine Cloud-Anfrage die Maschine nicht verlässt. Lokal betriebene Modelle sind die Ausnahme, sie brauchen aber passende Hardware.

Web-Suchanfragen gehen an externe Suchmaschinen. Die Suche läuft über eine selbst gehostete Meta-Suche, die die Suchanfrage an externe Suchmaschinen weiterleitet, allerdings ohne die Identität der suchenden Person. Die Anfragen selbst verlassen also die Instanz.

Formulierung für Ihre Datenschutzhinweise

Sauber formuliert lautet die Aussage: Speicherung und Inferenz lassen sich in der EU beziehungsweise der Schweiz halten; bei der Web-Suche verlässt der Suchtext die Instanz, und zwar ohne Nutzerbezug. Wer diese Unterscheidung in Datenschutzhinweisen und Schulungen wörtlich übernimmt, ist auch bei kritischen Nachfragen auf der sicheren Seite.

Kennzeichnung von Anbietern ausserhalb der EU

Anbieter, die nicht EU-resident sind, werden im Panel und im Chat als solche gekennzeichnet, damit die Wahl bewusst geschieht. Dieselbe Regel gilt für Konnektoren: ein Konnektor, dessen Zielsystem ausserhalb der EU betrieben wird, muss gekennzeichnet werden und gehört nicht ungefragt in ein Kundendeployment.

Beachten Sie ausserdem, dass Herkunftsangaben zu Anbietern von diesen selbst stammen und der Sitz eines Anbieters keine Garantie für den Verarbeitungsort ist. Mehr dazu unter Modelle und Modellkarten.

Abgrenzung

Bereitstellung ohne SCIM. Konten entstehen beim ersten Login über OIDC. Die Deprovisionierung läuft über Ihren Identity Provider: Wer dort deaktiviert ist, kommt nicht mehr durch die Anmeldung und damit an keine Daten. Für den vollständigen Rückbau eines Kontos samt Daten nutzen Sie den Lösch-Dialog im Panel.

Belege statt Zahlungsanbindung. Der Verbrauch wird vollständig erfasst und als CSV und PDF ausgegeben; die Zahlung selbst wickeln Sie in Ihrem eigenen System ab. Details unter Verbrauch, Budgets und Abrechnung.

Ausgehende Verbindungen der Code-Ausführung regeln Sie auf Host- oder Netzebene, nicht in der Anwendung. Im Auslieferungszustand ist die Code-Ausführung ausgeschaltet.