Eine Plattform, die auf Datenschutz und Datensicherheit ausgelegt ist

Sicherheitsmaßnahmen

• Datenstandort

  • Bei der Cloud-Bereitstellung werden alle Anwendungsdaten, Dateien und KI-Verarbeitungen in der Microsoft-Azure-Region Schweden (Sweden Central) innerhalb der Europäischen Union gehalten.
  • Datenbank-Backups werden in die gekoppelte Region innerhalb der EU (Sweden South) repliziert; Daten des E-Mail-Dienstes werden im europäischen Datenstandort gespeichert.
  • KI-Aufrufe werden über eine Azure-OpenAI-Bereitstellung vom Typ „Data Zone“ innerhalb der EU-Datenzone verarbeitet.

• Verschlüsselung

  • Sämtlicher Datenverkehr läuft über HTTPS mit mindestens TLS 1.2; HTTP-Anfragen werden auf HTTPS umgeleitet.
  • Datenbank, Dateispeicher und Cache sind im Ruhezustand mit von Azure verwalteten Schlüsseln verschlüsselt.
  • Geheimnisse der Kunden wie SMTP-Passwörter und OAuth-Token werden zusätzlich auf Anwendungsebene mit AES-256-GCM verschlüsselt; Infrastrukturgeheimnisse liegen in Azure Key Vault, auf den die Dienste über verwaltete Identitäten zugreifen.

• Mandantenisolation

  • Die Daten jedes Unternehmens werden durch PostgreSQL Row Level Security getrennt: Die Anwendung arbeitet mit einer eingeschränkten Datenbankrolle, die nur die Zeilen des in der Sitzung aktiven Unternehmens sieht.
  • Zusätzlich zu RLS werden Abfragen explizit nach der Unternehmens-ID gefiltert; Verwaltungsvorgänge laufen über eine separate Rolle und eine separate Sitzung.

• Authentifizierung und Zugriff

  • Passwörter werden mit argon2id gehasht; Regeln: mindestens 10 Zeichen, Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
  • Sitzungen über httpOnly-Cookies; Ratenbegrenzung an den Endpunkten für Anmeldung und Passwortzurücksetzung.
  • Das Survai-Verwaltungspanel läuft unter einer separaten Domain mit verpflichtender Zwei-Faktor-Authentifizierung (TOTP) und Unterstützung für IP-Beschränkungen.
  • Innerhalb des Unternehmens: die Rollen Owner, Admin, Editor, Analyst und Viewer sowie Zugriffsrechte pro Umfrage.

• Audit-Log

  • Vorgänge zu Kundenkonten, Limits, Benutzern, Einladungen und Umfragen werden mit Datum, Person und Aktion protokolliert.
  • Die Einträge werden im Survai-Verwaltungspanel geführt; sie lassen sich filtern und als CSV exportieren.

• Backup und Kontinuität

  • Die Produktionsdatenbank läuft zonenredundant mit Hochverfügbarkeit innerhalb der Region; Point-in-Time-Wiederherstellung für bis zu 35 Tage und georedundante Backups.
  • Der Dateispeicher ist geo- und zonenredundant (GZRS) und durch Versionierung sowie 30 Tage vorläufiges Löschen (Soft Delete) geschützt.
  • Die Anwendungen laufen in mindestens zwei Instanzen über mehrere Verfügbarkeitszonen hinweg.

• Netzwerk- und Edge-Sicherheit

  • In der Produktionsumgebung werden Datenbank, Cache, Dateispeicher, Schlüsseltresor und KI-Dienst über private Endpunkte angesprochen; sie sind nicht aus dem Internet erreichbar.
  • Web Application Firewall (WAF) auf Azure Front Door: Microsoft-Standardregelsatz, Bot-Management und Ratenbegrenzung.
  • Hochgeladene Dateien werden mit Microsoft Defender for Storage auf Schadsoftware geprüft.

• Anonymität und Datenminimierung

  • Bei anonymen Umfragen wird keine Verbindung zwischen Antwort und Teilnehmenden gespeichert.
  • In Analyseansichten, Vergleichen, im PDF-Bericht und bei „KI fragen“ werden Gruppen mit weniger als 5 Antworten nicht angezeigt.
  • Bei anonymen Umfragen werden in der Antwortliste, im CSV-/XLSX-Export und in der REST API Werte wie Abteilung, Standort oder Position, die auf eine Gruppe mit weniger als 5 Antworten entfallen, als „Ausgeblendet (<5)“ angezeigt; diese Bereiche sind zudem nur für berechtigte Rollen und API-Schlüssel zugänglich.
  • Bei einer Löschanfrage von Teilnehmenden werden die personenbezogenen Daten anonymisiert; die Antworten bleiben ausschließlich für statistische Zwecke anonym erhalten.

• Kontrollen der Datenverarbeitung bei KI-Prozessen

  • An „KI fragen“ werden nur maskierte, aggregierte Ergebnisse übermittelt; keine Beispielantworten, Namen oder E-Mail-Adressen.
  • Für die Stimmungs- und Themenanalyse werden offene Kommentare erst an das Modell gesendet, nachdem E-Mail-Adressen, Telefonnummern, Ausweis- und Personalnummern, Links und Namen von Teilnehmenden durch automatische Regeln entfernt wurden.
  • Es wird ausschließlich der First-Party-Dienst Azure OpenAI von Microsoft genutzt; der Zugriff erfolgt über verwaltete Identitäten statt API-Schlüssel.
  • Microsoft sichert zu, an Azure OpenAI übermittelte Kundendaten nicht zum Training von Modellen zu verwenden.
  • KI lässt sich pro Unternehmen deaktivieren; Entwürfe, Vorschläge und „KI fragen“ sind durch ein monatliches Kontingent begrenzt.