Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie Sovereign Systems Ihre personenbezogenen Daten erhebt, verwendet und schützt. Sie umfasst zwei verschiedene Bereiche: (1) die Marketing-Website unter sovereignsystems.cc und (2) die SOSA DevOps Desktop-Anwendung. Diese haben grundlegend unterschiedliche Datenarchitekturen. Wir erfüllen die Anforderungen der DSGVO (EU) und der PDPA (Thailand).

Sovereign Systems, ansässig in Thailand. E-Mail: [email protected]

Website-Bereich: Kontodaten (E-Mail, Anzeigename), Sitzungs-Cookies zur Authentifizierung sowie cookiefreie Analysen über Cloudflare Web Analytics. Desktop-Anwendungsbereich: keine. SOSA DevOps ist local-first. Alle Anwendungsdaten — Eingaben, KI-Antworten, Sitzungsverläufe, Audit-Protokolle — werden ausschließlich auf Ihrem Gerät gespeichert. Sovereign Systems betreibt keinen Server, der Ihre Interaktionsdaten empfängt oder speichert.

Sovereign Systems erhebt keine: — Eingaben, KI-Antworten oder Sitzungsinhalte aus SOSA DevOps — Telemetrie-, Nutzungsstatistiken oder Feature-Analysen der Desktop-App — Absturzdaten oder Fehlerberichte der Desktop-App — Audiodateien, Projektdateien, MIDI-Daten oder kreative Inhalte — Browserverlauf, Standortdaten oder Kontaktlisten — Tracking-Cookies oder Werbe-IDs von Drittanbietern— Tastatureingaben, Bildschirmaufzeichnungen oder biometrische Daten Die Desktop-Anwendung hat keinen Upload-Pfad, keinen Synchronisierungspfad und keine Telemetrie-Pipeline.

Website-Daten werden verwendet für: Authentifizierung (Identitätsprüfung), wesentliche Dienstkommunikation (Konto- und Sicherheitshinweise). Wir versenden keine Marketing-E-Mails ohne ausdrückliche Einwilligung. Wir verwenden Ihre Daten nicht für Werbung und verkaufen sie nicht an Dritte.

Vault A ist eine lokale, nur erweiterbare kryptografische Audit-Kette, gespeichert unter vault/audit-chain.jsonl auf Ihrem Gerät. Jeder Eintrag enthält einen Zeitstempel, Ereignistyp, Zeichenanzahl und Inhalts-Hashes — niemals den Rohtext Ihrer Eingaben oder Antworten. Hashes sind Einwegfunktionen (SHA-256); nichts in Vault A kann in Ihre Inhalte zurückgeführt werden. Vault A ist die manipulationssichere Aufzeichnung dessen, was geschehen ist. Sie verlässt Ihr Gerät nie. Sovereign Systems kann sie nicht lesen.

Vault B ist ein lokales Interaktionsprotokoll, gespeichert unter vault/interaction-log.jsonl auf Ihrem Gerät. Es enthält Ihre Eingaben, KI-Antworten und jeden abgerufenen RAG-Kontext — im Klartext. Es wird lokal für Ihre eigene Überprüfung, Modellauswertung und den Export gespeichert. Vault B verlässt Ihr Gerät nie. Sie können es über Werkzeuge → Interaktionsprotokoll öffnen aufrufen, Sitzungen im TXT-, PDF- oder JSONL-Format exportieren und Sitzungen über eine Bestätigungseingabe löschen. Vault B gehört Ihnen — Sovereign Systems kann es nicht lesen.

SOSA DevOps v1.0 verfügt noch nicht über einen vollständig eingebundenen PII-Scrubber für lokale KI-Anfragen. In v1.0 werden Ihre Eingaben so, wie Sie sie eingetippt haben, in Vault B geschrieben. Wenn Sie ein Passwort, einen API-Schlüssel oder andere sensible Anmeldeinformationen in den Chat einfügen, landen diese im Klartext in Vault B. Maßnahmen: (1) Fügen Sie keine Geheimnisse in den Chat ein, (2) falls doch, löschen Sie die Sitzung im Vault-B-Viewer, (3) verwenden Sie Festplattenverschlüsselung auf Ihrem Rechner. Der PII-Scrubber erscheint in v1.1. Dieser Abschnitt wird dann aktualisiert.

SOSA DevOps verbindet sich mit einer lokalen Ollama-Laufzeitumgebung, die Sie separat installieren. Modelle laufen auf Ihrer Hardware. Ihre Eingaben werden an 127.0.0.1:11434 gesendet — eine Loopback-Adresse, die Ihr Gerät nicht verlässt. Modelle lernen nicht von Ihnen; Ollama führt nur Inferenz durch, Gewichte sind eingefroren. Sovereign Systems empfängt Ihre Eingaben nie.

SOSA DevOps v1.0 wird ohne angebundene externe KI-Anbieter ausgeliefert. Der Tab Externe Anbieter zeigt alle Anbieter als Deaktiviert. Keine Eingabe, Antwort oder Inhalte verlassen Ihr Gerät über die Anwendung. Wenn externe Anbieter in v1.1+ angebunden werden, wird jede ausgehende Anfrage den Privacy Filter durchlaufen, bevor sie das Gerät verlässt. Vault A und Vault B werden weiterhin alle Interaktionen protokollieren. Diese Richtlinie wird aktualisiert, um jeden Anbieter, die gesendeten Daten und die anwendbaren Übertragungsschutzmaßnahmen zu dokumentieren.

Folgende Auftragsverarbeiter verarbeiten Website-Daten in unserem Auftrag: Supabase (Vereinigte Staaten) — Authentifizierung und Datenbank. SOC 2 Typ II zertifiziert. Cloudflare (Vereinigte Staaten) — Website-Hosting, CDN und R2-Speicher. SOC 2 Typ II und ISO 27001 zertifiziert. Cloudflare Web Analytics ist cookiefrei und erhebt keine personenbezogenen Daten. Alle Auftragsverarbeiter sind durch Auftragsverarbeitungsverträge (AVV) gebunden, die DSGVO- und PDPA-Konformität vorschreiben. Die Desktop-Anwendung hat keine Auftragsverarbeiter — alle Daten sind lokal.

Website-Bereich: Ihre personenbezogenen Daten können in den Vereinigten Staaten durch Supabase und Cloudflare verarbeitet werden. Für die DSGVO-Konformität (Kapitel V) stützen wir uns auf Standardvertragsklauseln (SCC). Für die PDPA-Konformität (Abschnitte 28-29) stützen wir uns auf vertragliche Schutzmaßnahmen, da bis 2026 keine PDPC-Angemessenheitsliste veröffentlicht wurde. Desktop-Anwendungsbereich: In v1.0 finden keine grenzüberschreitenden Übermittlungen statt. Alle Daten verbleiben lokal auf Ihrem Gerät.

Website-Kontodaten werden gespeichert, solange Ihr Konto aktiv ist. Nach Kontoöschung werden personenbezogene Daten innerhalb von 30 Tagen entfernt. Verschlüsselte Backups werden innerhalb von 90 Tagen gelöscht. Desktop-Anwendungsdaten: Verbleiben auf Ihrem Gerät unter Ihrer Kontrolle. Löschen Sie Sitzungen im Vault-B-Viewer oder deinstallieren Sie die Anwendung und löschen Sie das Anwendungsdatenverzeichnis für eine vollständige Entfernung.

Nur wesentliche Cookies: ein HTTP-only, Secure-Sitzungs-Cookie von Supabase zur Aufrechterhaltung Ihres angemeldeten Zustands und ss_cookie_consent zur Erfassung Ihrer Kenntnisnahme dieses Hinweises. Wir verwenden keine Tracking-, Analyse-, Werbe- oder Drittanbieter-Cookies. Cloudflare Web Analytics ist vollständig cookiefrei.

Wenn Sie sich im EWR befinden: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch, Einschränkung, Widerruf der Einwilligung und das Recht, eine Beschwerde bei Ihrer Aufsichtsbehörde einzureichen. Kontakt: [email protected]. Wir antworten innerhalb von 30 Tagen. Für Desktop-App-Daten: Ihre Rechte werden direkt ausübt — Ihre Daten sind auf Ihrem Rechner. Ansehen (Werkzeuge → Interaktionsprotokoll öffnen), exportieren (pro Sitzung TXT/PDF/JSONL), löschen (pro Sitzung oder vollständige Deinstallation).

Zugang, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit und Widerruf der Einwilligung. Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung. Beschwerden können beim Personal Data Protection Committee (PDPC) unter pdpc.or.th eingereicht werden. Kontakt: [email protected].

Eine herkömmliche Datenpanne — unbefugter Zugriff auf eine Server-Datenbank — wird durch die Architektur von SOSA DevOps strukturell begrenzt. Wir betreiben keinen Server, der Ihre Interaktionsdaten speichert. Sollten wir einen Sicherheitsvorfall feststellen, der Daten betrifft, die wir tatsächlich speichern (z. B. die Website-Mailingliste oder Anwendungssignierungsschlüssel), werden wir die PDPC und die zuständige EU-Aufsichtsbehörde innerhalb von 72 Stunden und betroffene Personen ohne unangemessene Verzögerung benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.

Unsere Dienste richten sich nicht an Kinder. Gemäß DSGVO erheben wir wissentlich keine Daten von Kindern unter 16 Jahren. Gemäß PDPA benötigen Kinder unter 10 Jahren eine elterliche Einwilligung. Kontaktieren Sie uns unter [email protected], wenn Sie glauben, dass ein Kind Daten angegeben hat.

Wesentliche Änderungen — wie das Hinzufügen von Telemetrie, das Anbinden eines externen Anbieters oder das Ändern der Local-only-Invariante — werden 30 Tage im Voraus per E-Mail und In-App-Banner ankündigt. Geringfügige Änderungen (Klärungen, Tippfehlerkorrekturen) werden im Projekt-Changelog dokumentiert.

Datenschutzfragen: [email protected] KI-spezifische Fragen: [email protected] Sicherheitsmeldungen: [email protected] Rechtsfragen: [email protected]