Sicherheit

Wie Miross mit Ihren Daten umgeht.

Die Kurzfassung. Die lange Fassung ist die SECURITY.md, die wir beim Code pflegen.

Mandantentrennung

Jeder Datensatz ist seinem Arbeitsbereich zugeordnet; nichts ist über Arbeitsbereiche hinweg lesbar.
Rollen: Admin, Agent, Betrachter. Nicht-Mitglieder erhalten „nicht gefunden“, nicht „verboten“.

Passwörter werden mit Argon2id gehasht; Sitzungen sind opake Tokens, gehasht gespeichert.
Zwei-Faktor-Authentifizierung mit Authenticator-App (TOTP) und Wiederherstellungscodes für jedes Konto; Arbeitsbereiche im Scale-Plan können sie für alle Mitglieder verlangen.
Marketplace-API-Keys werden mit AES-256-GCM unter rotierenden Schlüsseln verschlüsselt und nie zurückgegeben.
Postfächer und Chats verbinden sich über einen gehosteten Anmelde-Assistenten: Zugangsdaten erreichen Miross nie.

Standardmäßig an, mit einem Schalter pro Arbeitsbereich zum Abschalten. Anfragen von Miross werden ausschließlich innerhalb der EU entschlüsselt und verarbeitet (eu.openrouter.ai) und gehen nur an in der EU tätige Modellanbieter: Mistral AI (Frankreich), Amazon Web Services (Irland), Google Cloud (EU) und Microsoft Azure (EU, für Fallzusammenfassungen).
Zero Data Retention: Diese Anbieter dürfen nichts speichern (abgesehen von Caching im Arbeitsspeicher), und Prompts werden nie zum Training verwendet. Gesendet wird nur der bereinigte Text der betreffenden Nachrichten (bei Sprachnachrichten und Bildern die Datei selbst, bei einem PDF oder Word-Dokument nur der Text, den wir auf unserem eigenen Server extrahieren), und jeder Aufruf wird gezählt.
Die KI antwortet nie von sich aus. Modellausgaben werden geprüft, bevor sie einen Kunden erreichen können; vorgeschlagene Aktionen werden serverseitig erneut verifiziert und von einem Menschen bestätigt.

Datenbank, Anhänge und Backups: Hetzner in Nürnberg (Deutschland).
Postfächer und Chats verbinden sich über Unipile (Frankreich, gehostet bei Scaleway). Nachrichten und Medien aus WhatsApp und LinkedIn, Sprachnachrichten eingeschlossen, liegen dort, bis das verbundene Konto gelöscht wird; bei IMAP- und Microsoft-Postfächern nur Metadaten, bei Gmail nichts. Wer eine Verbindung oder den Arbeitsbereich löscht, löscht auch das Konto bei Unipile; dessen optionale Proxy-Anbieter sitzen in den USA und in Singapur.
E-Mails für die Relay-Kanäle (Amazon, bol.com und TikTok Shop), E-Mails an Chat-Besucher (verpasste Antworten, Verläufe) und Konto-E-Mails (Einladungen, Passwort-Zurücksetzungen, Benachrichtigungen) laufen über Resend in den USA, auf Grundlage der Standardvertragsklauseln und des Data Privacy Framework. Resend speichert Nachrichteninhalte, Protokolle und Webhook-Daten bis zu 30 Tage.
Die Daten des eigenen Miross-Kontos bei OpenRouter (Abrechnung, Authentifizierung, Sicherheits- und Missbrauchsprotokolle) können außerhalb der EU liegen; Nachrichteninhalte gehören nicht dazu.

Eingehende Webhooks (Stripe, Resend, Unipile) werden vor dem Parsen per Signatur oder Shared Secret verifiziert.
Relay-Adressen (Amazon, bol.com, TikTok Shop) tragen ein zufälliges Suffix. Bei Amazon werden nur Mails von Käufer-Aliassen zu einem Fall; Einrichtungsmails des Marketplace selbst (eine Adressbestätigung, ein Aktivierungslink) werden nie zu einem Fall.

Unveränderliches Audit-Log von Anmeldungen, gesendeten Nachrichten, Aktionen und Regelausführungen.
Export und Löschung des Arbeitsbereichs sind eingebaut; Löschen entfernt die Daten endgültig.

Sicherheitsmeldungen: security@miross.io