Rechtliches
Trust Center
Zuletzt aktualisiert am 12. Oktober 2026
Diese Übersetzung dient nur der Orientierung. Weicht sie von der englischen Fassung ab, ist die englische Fassung maßgeblich. Englische Fassung lesen.
Hier steht, wie wir die uns anvertrauten Daten schützen, welche Kontrollen deiner Organisation zur Verfügung stehen und wo unsere Compliance-Arbeit steht. Wir nennen nur, was heute zutrifft, und kennzeichnen alles, was noch in Arbeit ist.
Compliance-Programm
| Programm | Status | Details |
|---|---|---|
| UK GDPR und EU-DSGVO | Umgesetzt | Auftragsverarbeitungsbedingungen in unserem AVV, eine veröffentlichte Liste der Unterauftragsverarbeiter und Datenhaltung im Vereinigten Königreich. |
| Cyber Essentials Plus | In Arbeit | Unabhängige Prüfung anhand der Basis-Sicherheitskontrollen der britischen Regierung. |
| ISO/IEC 27001 | Geplant | Ein zertifiziertes Informationssicherheits-Managementsystem, betrieben über eine Compliance-Automatisierungsplattform. |
| SOC 2 Type II | Geplant | Ein Prüfbericht für Kunden, die ihn benötigen. |
Datenschutz
- Unterhaltungen, Dateien und Einstellungen werden im Londoner Rechenzentrum von DigitalOcean gespeichert. Atom läuft auf GPU-Servern, die wir im Rechenzentrum von DigitalOcean in Toronto (Kanada) betreiben.
- Daten werden bei der Übertragung mit TLS 1.2 oder neuer und im Ruhezustand in unseren verwalteten Datenbanken und im Objektspeicher verschlüsselt.
- Wir trainieren Atom nicht mit geschäftlichen Unterhaltungen und verkaufen niemals personenbezogene Daten.
- Workspace-Inhaber können eine Aufbewahrungsfrist festlegen, nach der Unterhaltungen automatisch gelöscht werden, und alle können ihre Unterhaltungen exportieren oder dauerhaft löschen.
Identität und Zugriff
- Single Sign-on mit SAML 2.0 oder OpenID Connect, mit verifizierten Domains, erzwungenem SSO und Kontoerstellung bei der ersten Anmeldung.
- SCIM-2.0-Bereitstellung von Nutzern und Gruppen, mit Zuordnung von Gruppen zu Workspace-Rollen und sofortigem Entzug des Zugangs.
- Zwei-Faktor-Authentifizierung per Authenticator-App, E-Mail-Code oder Passkey sowie das Abmelden aller Sitzungen.
- IP-Zulassungslisten und Kontrolle darüber, welche Konnektoren und MCP-Apps in deinem Workspace genutzt werden dürfen.
Audit- und Compliance-Werkzeuge
- Ein manipulationssicheres Audit-Protokoll: Jedes Ereignis ist per SHA-256-Hash mit dem vorherigen verkettet.
- Eine Compliance-API für eDiscovery, die Unterhaltungen, Dateiangaben und Audit-Ereignisse exportiert und die Integrität der Kette prüft.
- Nutzungsauswertungen nach Person, Modell und Funktion in der Admin-Konsole.
Infrastruktur und Entwicklung
- Dienste laufen in Containern auf verwaltetem Kubernetes mit minimalen Rechten; Geheimnisse liegen nicht im Quellcode.
- Von Atom ausgeführter Code und der Browser-Agent laufen in kurzlebigen, isolierten Sandboxes ohne Zugriff auf dein Konto oder andere Nutzer.
- Jede Änderung durchläuft vor dem Deployment ein Review und Continuous Integration mit automatisierten Tests.
- Verwaltete Datenbanken werden täglich gesichert, und die Sicherungen sind verschlüsselt.
Unterauftragsverarbeiter
Alle Unterauftragsverarbeiter, ihre Aufgaben und Standorte stehen in unserer Datenschutzerklärung. Geschäftskunden informieren wir mindestens 30 Tage, bevor wir einen neuen hinzufügen.
Dokumente
- Auftragsverarbeitungsvertrag einschließlich unserer technischen und organisatorischen Maßnahmen
- Datenschutzerklärung und Nutzungsbedingungen
- security.txt für Sicherheitsforschende
- Sicherheitsfragebögen und gegengezeichnete Verträge: E-Mail an security@incbury.co.uk
Meldung von Schwachstellen und Bug-Bounty
Wir freuen uns über Meldungen von Sicherheitsforschenden. Schreib an security@incbury.co.uk mit den Schritten zur Reproduktion; wir bestätigen den Eingang innerhalb von zwei Werktagen.
- Im Geltungsbereich: incbury.co.uk, chat.incbury.co.uk, platform.incbury.co.uk, api.incbury.co.uk, die mobilen Apps, Incbury Code und die Browsererweiterung.
- Nutze nur eigene Konten, greif nicht auf Daten anderer zu und ändere sie nicht, und hör auf, sobald du das Problem gezeigt hast.
- Keine Denial-of-Service-Angriffe, kein Spam, kein Social Engineering und keine physischen Angriffe.
- Gib uns angemessen Zeit für die Behebung, bevor du andere informierst.
- Wenn du diese Regeln in gutem Glauben befolgst, gehen wir rechtlich nicht gegen dich vor.
Für gültige, bisher unbekannte Schwachstellen zahlen wir nach eigenem Ermessen Prämien, abhängig von ihrer Auswirkung. Befunde zum Modellverhalten oder zu Prompt-Injection ohne Sicherheitsauswirkung sind willkommen, aber in der Regel nicht prämienberechtigt.
Kontakt
Fragen zu Sicherheit und Compliance: security@incbury.co.uk.