DIRI AI / Vertrauenszentrum

Fakten zu Sicherheit und Daten, keine Versprechen.

Diese Seite fasst zusammen, was unsere veröffentlichten Dokumente zum Schutz Ihrer Daten sagen. Zu jedem Block nennen wir das Quelldokument.

Zusammenfassung der veröffentlichten Dokumente in Version 1.2.0, gültig ab 30. August 2026. Weicht hier etwas ab, gelten die Dokumente und Ihr Vertrag.

Was wir nicht behaupten

Keine ISO-27001-, SOC-2- oder PCI-DSS-Zertifizierung für DIRI AI. Zertifizierungen unserer Dienstleister sind keine Zertifizierungen von DIRI AI.
Keine Aussage über eine Abdeckung durch Penetrationstests.
Kein prozentuales Verfügbarkeits-SLA in Standardplänen und keine zugesagte Wiederherstellungszeit (RTO) oder Wiederherstellungspunkt (RPO).
Kein öffentliches Bug-Bounty-Programm.
Diese Seite ist kein Vertrag und erweitert keine Vereinbarung.

Quelle: Sicherheitsübersicht, Verfügbarkeit des Dienstes

Datenschutz

Der Datenverkehr zu unterstützten Diensten wird bei der Übertragung mit TLS verschlüsselt.
Verwaltete Dienstleister verschlüsseln gespeicherte Daten mit ihren Standardmaßnahmen.
Kartendaten werden beim Zahlungsdienstleister eingegeben, daher benötigt DIRI AI keine vollständige Kartennummer.
Die Speicherung von Sprachaufnahmen ist standardmäßig ausgeschaltet.
Fehlertelemetrie wird bereinigt, und Kundeninhalte bleiben aus gewöhnlichen Protokollen heraus, soweit möglich.

Quelle: Sicherheitsübersicht

Zugriff und Trennung von Unternehmen

Jede Person hat eine eigene Identität, und produktive Sitzungscookies sind geschützt.
Berechtigungen werden auf dem Server nach Rolle und Unternehmenskonto geprüft.
Unternehmensadministratoren verwalten Einladungen, Rollen und das Entfernen von Mitgliedern.
Anfragelimits und Schutzmaßnahmen gegen Missbrauch sind aktiv.
Sicherheitsrelevante Ereignisse von Administratoren und Abonnements werden in einem Auditprotokoll erfasst.

Quelle: Sicherheitsübersicht

Änderungen und Betrieb

Änderungen durchlaufen Prüfung, automatisierte Tests sowie Abhängigkeits- und Geheimnisprüfungen.
Rückmeldungen von Dienstleistern sind signiert und werden überprüft.
Fehler und Betrieb werden überwacht, und Verdachtsfälle auf Vorfälle werden nach den veröffentlichten Regeln bearbeitet.
Hosting, Datenbank, Zwischenspeicher und Speicher laufen bei verwalteten Dienstleistern; Sicherung und Wiederherstellung werden getestet.

Quelle: Sicherheitsübersicht, Richtlinie zur Meldung von Vorfällen

KI und Datensparsamkeit

KI-Dienstleister erhalten nur die Daten, die für die angeforderte Funktion nötig sind, etwa ein Übungsgespräch, eine Transkription oder einen Bericht.
KI-Feedback unterstützt Übung und Coaching. Es soll nicht die einzige Grundlage für die Beurteilung von Beschäftigten sein.

Quelle: Anbieter von KI-Modellen, KI-Transparenzhinweis

Wer sieht was

Rolle	Zugriff
Verkäufer	Eigene Trainings, Transkripte und Berichte.
Teamleitung	Alle Trainings, Transkripte und Berichte im eigenen Unternehmen, außer privaten Trainings der Gründerin oder des Gründers aus der Zeit vor der Teamgründung.
Unternehmensadministrator	Derselbe Zugriff auf Trainings wie die Teamleitung, dazu Benutzer, Teams, Rollen, Szenarien und Unternehmenseinstellungen.
Externer Coach	Mitglied eines Unternehmens ohne Administrationsrechte; sieht nur die eigenen Trainings.
Plattformadministration von DIRI AI	Trainings aller Unternehmen für Support und Plattformbetrieb; sicherheitsrelevante Aktionen werden im Auditprotokoll erfasst.

Unternehmensrollen sehen keine Trainingsdaten anderer Unternehmen. Die Plattformadministration von DIRI AI (befugtes Personal) hat für Support und Betrieb Zugriff auf alle Unternehmen. Wenn Sie einen öffentlichen Wettbewerbs-Spitznamen aktivieren, sehen angemeldete Nutzer anderer Unternehmen dieses Profil.

Quelle: Sicherheitsübersicht, Datenschutzerklärung

Wie lange wir Daten aufbewahren

Maximale Standardfristen laut Richtlinie zur Datenaufbewahrung. Es sind Obergrenzen; zulässige Daten können früher gelöscht werden.

Daten	Standardmaximum
Trainingstranskripte, Bewertungen und Berichte	Bis zu 365 Tage; ein Unternehmen kann eine kürzere unterstützte Frist wählen.
Gespeicherte Sprachaufnahmen	Standardmäßig aus; wenn ausdrücklich aktiviert, höchstens 30 Tage.
Archiv des Datenexports	In der Regel 24 Stunden ab Bereitstellung.
Sicherheits- und Verwaltungsauditprotokoll	In der Regel 12 Monate.
Browsersitzung	Bis zu 8 Stunden.
Konto nach Schließung	Löschung aus aktiven Systemen ist 30 Tage nach Ablauf der Schließungs- und Exportfrist vorgesehen, ausgenommen gesetzlich aufzubewahrende Aufzeichnungen.

Quelle: Richtlinie zur Datenaufbewahrung

Was Sie selbst steuern

Laden Sie eine Kopie Ihrer Daten direkt aus Ihrem Konto herunter. Der Exportlink läuft ab.
Beantragen Sie die Löschung Ihres Kontos. Jeder Antrag wird vor der Löschung auf Identität, rechtliche Sperren und Aufbewahrungsfristen geprüft.
In Teamvergleichen können Sie statt Ihres Namens einen anonymen Spitznamen anzeigen.
Unternehmensadministratoren können festlegen, wie lange Trainingsdaten aufbewahrt werden.

Quelle: Datenschutzerklärung, Richtlinie zur Datenaufbewahrung

Dienstleister, die wir nutzen

Namen der Dienstleister aus der veröffentlichten Liste der Unterauftragsverarbeiter. Zweck und Datenkategorien finden Sie in der verlinkten Liste.

Vercel
Render
Neon
Upstash
Cloudflare
Resend
Google Workspace
Google Analytics 4
Stripe
Sentry
OpenAI
ElevenLabs
GitHub

Quelle: Liste der Unterauftragsverarbeiter

Dienststatus

Die Statusseite prüft beim Öffnen die Erreichbarkeit der API, die Betriebsbereitschaft und die Verfügbarkeit der Registrierung.

Statusseite öffnen

Quelle: Verfügbarkeit des Dienstes, Richtlinie zur Meldung von Vorfällen

Schwachstelle melden

Senden Sie die betroffene Adresse, Schritte zur Reproduktion und die Auswirkung. Greifen Sie nicht auf Daten anderer Kunden zu und stören Sie den Dienst nicht.

Sicherheitsmeldungen: security@diriai.com
Datenschutzvorfälle: privacy@diriai.com

Quelle: Sicherheitsübersicht

Veröffentlichte Dokumente

Die Dokumente sind auf Englisch und Tschechisch veröffentlicht.