Sicherheit

Point11 setzt sich für die Sicherheit und den Schutz der Daten unserer Kunden ein. Diese Seite beschreibt, wie wir diese Daten trennen, schützen und überwachen und wo wir in Bezug auf Compliance stehen.

Trennung von Kundendaten

• Die Daten jedes Kunden werden innerhalb der Datenbank selbst getrennt gehalten. Die Row-Level Security von Postgres ist für jede Tabelle, die Kundendaten enthält, aktiviert und wird erzwungen; die Anwendung verbindet sich über eine Datenbankrolle, die sie nicht umgehen kann.
• Eine Anfrage, die nicht den zugehörigen Arbeitsbereich eines Kunden ausweist, wird von der Datenbank abgelehnt, statt beantwortet zu werden.
• Automatisierte Tests überprüfen diese Regeln zur Datentrennung.

Infrastruktur

Die Point11-Plattform wird auf Vercel gehostet und nutzt verwaltetes Postgres (Neon) und Redis (Upstash). Wenn ein Kunde eigene Zugangsdaten konfiguriert, können KI-Modellaufrufe im Amazon-Bedrock-, Microsoft-Azure- oder Google-Vertex-AI-Konto dieses Kunden ausgeführt werden.

• Verschlüsselung sämtlicher Verbindungen während der Übertragung mit TLS 1.2 oder höher
• HTTPS wird von Browsern über HTTP Strict Transport Security erzwungen
• Datenbankverbindungen erfordern TLS mit vollständiger Zertifikatsprüfung
• Verschlüsselung ruhender Daten mit AES-256 oder gleichwertigen Verfahren
• Von Kunden bereitgestellte Zugangsdaten für Modellanbieter werden von Point11 zusätzlich mit AES-256-GCM verschlüsselt und an den Arbeitsbereich des Kunden gebunden
• DDoS-Abwehr auf Plattformebene am Netzwerkrand

Zugriffskontrolle

• Anmeldung und Single Sign-on über unseren Identitätsanbieter WorkOS, mit optionaler zweistufiger Verifizierung per Passkey, Authenticator-App oder SMS, die eine Organisation verpflichtend machen kann, und einmalig verwendbaren Wiederherstellungscodes, die ausschließlich als Hashes gespeichert werden
• Rollenbasierte Zugriffskontrollen nach dem Prinzip der geringsten Berechtigung
• API-Schlüssel werden nur einmal angezeigt, ausschließlich als Hash gespeichert, sind auf einen einzelnen Arbeitsbereich beschränkt und so eingestellt, dass sie innerhalb eines Jahres ablaufen
• Zugriff auf Produktionssysteme nur für autorisiertes Personal
• Zugriffsrechte für Point11-Mitarbeitende werden nur an Unternehmenskonten vergeben; jede Vergabe, Änderung und Entziehung wird in einem Audit-Log erfasst
• Supportzugriff auf den Arbeitsbereich eines Kunden erfordert einen dokumentierten Grund, ist zeitlich begrenzt und wird bei Beginn und Ende protokolliert; jeder Kunde kann wählen, ob er jedes Mal benachrichtigt wird oder den Zugriff vorab genehmigt

Überwachung und Protokollierung

• Sicherheitsrelevante Aktionen, darunter Anmeldungen, Änderungen an der zweistufigen Verifizierung, Rollenänderungen, Änderungen an API-Schlüsseln und Zugriffe von Mitarbeitenden, werden in einem nur erweiterbaren Audit-Log erfasst, das die Datenbank vor Bearbeitung und Löschung schützt, und mindestens ein Jahr lang aufbewahrt
• Automatisierte Health Checks, darunter synthetische Tests kritischer Kundenabläufe alle fünf Minuten
• Betriebsvorfälle werden von der Erkennung bis zu einer dokumentierten Lösung nachverfolgt

Sichere Entwicklung

• Jedes Produktions-Release muss automatisierte Prüfungen bestehen, darunter Typprüfung, Linting, Unit- und Integrationstests sowie die Verifizierung des Datenbankschemas
• Datenbankänderungen werden vor dem Release geprüft; der Verlauf angewendeter Migrationen kann nicht verändert werden
• Automatisierte Warnmeldungen zu bekannten Schwachstellen in unseren Softwareabhängigkeiten
• Automatisiertes Secret-Scanning bei Commits und Pushes in unser Code-Repository
• Neue Versionen von Drittanbieterpaketen durchlaufen eine Wartezeit von drei Tagen, bevor sie installiert werden können; das begrenzt das Risiko durch kompromittierte Versionen
• Serverseitige Schutzmaßnahmen, die verhindern, dass die Plattform private oder interne Netzwerkadressen abruft

Umgang mit Daten

Point11 trainiert seine eigenen KI-Modelle nicht mit Kundendaten. Meta kann die Eingaben und Ausgaben der Muse-Spark-Modelle, die viele Funktionen von Point11 Analytics ausführen, gemäß den Bedingungen von Meta zur Verbesserung seiner Modelle verwenden; unsere Datenschutzerklärung führt die betroffenen Funktionen und Daten auf. Bei anderen Aufrufen von Sprach- und Bildmodellen über Vercel AI Gateway bitten wir das Gateway, nur Anbieter zu verwenden, die nicht mit den gesendeten Daten trainieren.

Kundendaten werden so lange aufbewahrt, wie dies zur Erbringung der Dienste und zur Erfüllung rechtlicher Pflichten erforderlich ist. Unsere Datenschutzerklärung beschreibt, was bei der Schließung eines Kontos gelöscht und was aufbewahrt wird. Kunden können schriftlich die Löschung beantragen.

Die Dienstleister, die Kundendaten verarbeiten, und welche Daten jeder von ihnen erhält, sind in unserer Datenschutzerklärung aufgeführt.

Point11 verarbeitet oder speichert Zahlungskartendaten nicht direkt; die Zahlungsabwicklung erfolgt durch PCI-DSS-zertifizierte Zahlungsdienstleister (Stripe). Für HIPAA-Anforderungen oder andere Compliance-Anliegen kontaktieren Sie legal@point11.ai.

Reaktion auf Vorfälle und Wiederherstellung

• Bestätigte Sicherheitsvorfälle, die Kundendaten betreffen, werden den Inhabern und Administratoren des betroffenen Arbeitsbereichs ohne unangemessene Verzögerung per E-Mail gemeldet, spätestens 72 Stunden nachdem wir davon Kenntnis erlangt haben
• Nachbereitung und Behebung bestätigter Vorfälle
• Verwaltete Datenbanksicherung und Point-in-Time-Wiederherstellung über unseren Datenbankanbieter Neon

Compliance

Point11 verfügt noch nicht über einen Bericht nach SOC 2 oder eine Zertifizierung nach ISO 27001. Unsere Hosting- und Datenbankanbieter Vercel und Neon verfügen über Berichte nach SOC 2 Type 2 für die Infrastruktur, auf der Point11 betrieben wird; diese Berichte decken die eigene Anwendung von Point11 nicht ab.

Sicherheitsprobleme melden

Um einen vermuteten Sicherheitsvorfall zu melden, der Ihr Point11-Konto oder Ihre Daten betrifft, etwa ungewöhnliche Aktivitäten, einen offengelegten API-Schlüssel oder einen vermuteten unbefugten Zugriff, schreiben Sie an security@point11.ai. Sicherheitslücken in der Point11-Plattform melden Sie an dieselbe Adresse; Geltungsbereich, Schutzregelung und Hinweise zur Meldung finden Sie in unserer Richtlinie zur Offenlegung von Schwachstellen.

Sicherheitsprüfungen

Sie prüfen Point11 als Anbieter? Wir füllen Sicherheitsfragebögen aus und können Ihrem Team diese Praktiken ausführlicher erläutern. Kontaktieren Sie legal@point11.ai oder Ihre zuständige Ansprechperson.

Sie kaufen lieber über Ihren Cloud-Anbieter? Point11 Analytics ist auf AWS Marketplace und Microsoft Marketplace verfügbar.