Sicherheit und Vertrauen

Verwandte Themen: Datenschutzrichtlinie · Nutzungsbedingungen

Inhalt#

1. Überblick
2. Auf einen Blick
3. Infrastruktur
4. Datenschutz
5. KI-Anbieter
6. KI-Webseitenrecherche und Anmeldedaten
7. Kontosicherheit
8. Anwendungssicherheit
9. Interner Zugriff
10. Protokollierung und Überwachung
11. Reaktion auf Sicherheitsvorfälle
12. Backups und Kontinuität
13. Datenaufbewahrung und -löschung
14. Compliance
15. Unterauftragsverarbeiter
16. Offenlegung von Schwachstellen
17. Kontakt

---

1. Überblick#

Clevera verarbeitet Bildschirmaufnahmen, Produktvideos und teilweise Anmeldungen zu Ihren eigenen Apps. Daher betrachten wir Sicherheit als integralen Bestandteil des Produkts. Wir setzen auf:

• Zugriff nach dem Prinzip der geringsten Rechte (Least Privilege)
• verschlüsselte Datenströme
• kurzlebigen Zugriff auf Medien
• klare Isolierung aller Komponenten, die mit dem offenen Web interagieren

2. Auf einen Blick#

3. Infrastruktur#

• Anwendung und Datenbank. Unsere Server werden mit Laravel Forge auf Hetzner EU (Deutschland) verwaltet. Die Postgres-Datenbank und die Redis-Warteschlange akzeptieren Verbindungen nur vom Anwendungsserver, nicht aus dem Internet.
• Dateien. Aufnahmen, Uploads und generierte Medien werden in Amazon S3 in den USA gespeichert, öffentliche Marken-Assets in der EU (Schweden). Medien werden über Amazon CloudFront bereitgestellt.
• Rendering. Videos werden standardmäßig in Ihrem eigenen Browser gerendert, sodass die finale Kodierung auf Ihrem Gerät erfolgt. Server-Renders laufen auf AWS Lambda in den USA.
• Webseitenbesuche. Die Komponenten, die Webseiten für Sie besuchen, laufen an zwei Orten:
  • Unser eigener Website-Scanner. Er läuft als separater, eingeschränkter Systembenutzer ohne Zugriff auf unsere API-Schlüssel. Eine ausgehende Firewall blockiert den Zugriff auf interne Netzwerke und Cloud-Metadaten-Endpunkte, was vor Server-Side Request Forgery schützt.
  • Browser Use. KI-gesteuertes Browsing erfolgt in isolierten Cloud-Browsern bei Browser Use, außerhalb unserer Infrastruktur.
• Datenstandort. Daten werden hauptsächlich in den USA und der EU verarbeitet. Wir bieten derzeit keine vom Kunden wählbare Datenresidenz an.

4. Datenschutz#

• Bei der Übertragung: Der gesamte Datenverkehr zu Clevera nutzt TLS.
• Im Ruhezustand:
  • Wir verschlüsseln Folgendes auf Anwendungsebene:
    • Integrations-OAuth-Token
    • SSO-Geheimnisse
    • Ihre eigenen API-Schlüssel der Anbieter
    • temporäre Webseiten-Anmeldedaten
    • Download-Links der Anbieter
  • Passwörter werden nur als Einweg-Hashes gespeichert.
  • Gespeicherte Dateien nutzen die Verschlüsselung des Cloud-Anbieters im Ruhezustand (AWS SSE-S3).
• Medienzugriff: Private Medien werden nur über signierte Links bereitgestellt, die ablaufen (in der Regel innerhalb von 24 Stunden). Uploads gelangen über einmalig verwendbare, vorab signierte URLs direkt in den Speicher.
• Zahlungen: Werden vollständig von Lemon Squeezy abgewickelt. Kartendaten erreichen niemals unsere Systeme.
• Datenminimierung: Wir senden jedem KI-Anbieter nur das, was für den Auftrag erforderlich ist. Beispielsweise speichern wir bei Zuschaueranalysen auf geteilten Videos nur die Geräteklasse und das Land. Zur Missbrauchsprävention verwenden wir gehashte Werte anstelle von rohen IP-Adressen.

5. KI-Anbieter#

Clevera verwendet KI-Modelle von Google (Gemini), Anthropic (Claude) und OpenAI. Zudem wird HeyGen für KI-Avatare genutzt.

• Wir nutzen diese Anbieter unter kommerziellen API-Bedingungen, die kein Training mit Ihren Inhalten erlauben.
• Einige Anbieter speichern API-Daten für einen begrenzten Zeitraum, in der Regel bis zu 30 Tage, zur Missbrauchsüberwachung.
• Videodateien, die wir zur Analyse hochladen, werden innerhalb weniger Stunden nach Abschluss des Auftrags beim Anbieter gelöscht.
• Wir verwenden Ihre Inhalte nicht zum Training von KI-Modellen.

6. KI-Webseitenrecherche und Anmeldedaten#

„Record with AI“ und die Webseitenrecherche führen einen KI-Agenten in einem Cloud-Browser bei Browser Use aus.

• Anmeldedaten gelangen nicht in das Modell. Anmeldedaten, die Sie für einen Durchlauf angeben, werden als Geheimnisse an den Browser übergeben. Sie werden niemals in den Prompt des KI-Modells eingefügt und aus Protokollen entfernt.
• Kurzlebige Speicherung. Bei uns werden Anmeldedaten nur während der Laufzeit des Auftrags verschlüsselt gespeichert und anschließend verworfen.
• Eingeschränkte Recherche. Recherche-Durchläufe sind angewiesen, sich nicht anzumelden, keine Formulare abzusenden und keine Käufe zu tätigen.
• Gespeicherte Anmeldungen sind optional. Sie sind standardmäßig deaktiviert und werden pro Webseite aktiviert. Sie können diese jederzeit entfernen; sie laufen nach 30 Tagen der Nichtbenutzung ab. Sie werden mit Ihrem Konto gelöscht.
• Einwilligung. Bevor der Agent ein Konto verwendet, muss die Person, die den Durchlauf einrichtet, bestätigen, dass sie Clevera den Zugriff darauf gewähren darf.
• Verwenden Sie ein Testkonto. Wir empfehlen ein dediziertes Demo- oder Testkonto für Aufnahmen.

7. Kontosicherheit#

• Zwei-Faktor-Authentifizierung: Codes für Authenticator-Apps (TOTP), inklusive Wiederherstellungscodes.
• Verifizierung neuer Geräte: Wenn Sie sich von einem neuen Gerät oder Standort anmelden, senden wir einen Einmalcode per E-Mail. Vertrauenswürdige Geräte werden regelmäßig erneut verifiziert.
• Single Sign-on:
  • SAML 2.0 und OpenID Connect bei Custom-Plänen
  • Unterstützt Okta, Microsoft Entra ID, Google Workspace, OneLogin und andere Standard-Identitätsanbieter
  • SSO-Geheimnisse sind verschlüsselt
• Google-Anmeldung steht allen Benutzern zur Verfügung.
• Ratenbegrenzung (Rate Limiting) schützt Anmelde-, Zwei-Faktor-, Verifizierungs- und API-Endpunkte vor Brute-Force-Angriffen und Missbrauch.
• Team-Rollen: Inhaber, Administrator, Editor und Content Creator. Jede Rolle steuert, was Mitglieder sehen und ändern können.
• API-Token für den Desktop-Recorder sind auf Aufnahmen beschränkt und können in Ihrem Profil widerrufen werden.

8. Anwendungssicherheit#

• Code-Reviews und automatisierte Tests bei jeder Änderung.
• Framework-Schutzmaßnahmen gegen gängige Web-Risiken, einschließlich CSRF-Token, Output-Escaping, parametrisierte Datenbankabfragen und signierte Cookies.
• Bereinigung (Sanitization) hochgeladener SVG-Dateien.
• Content-Security-Policy-Beschränkungen für Webseiten, die in die App eingebettet werden können.
• Signaturprüfung bei jedem eingehenden Webhook (Lemon Squeezy, HeyGen, Amazon SES).
• Geheimnisse werden außerhalb der Quellcodeverwaltung gespeichert, mit Dienst-Anmeldedaten nach dem Prinzip der geringsten Rechte.

9. Interner Zugriff#

• Der Produktionszugriff ist auf autorisierte Mitarbeiter beschränkt, die ihn benötigen.
• Administrative Tools in der App erfordern eine separate Admin-Rolle.
• Mitarbeiter sehen Kundeninhalte nur, um von Ihnen angeforderten Support zu leisten, Missbrauch oder Vorfälle zu untersuchen oder wenn dies gesetzlich vorgeschrieben ist.

10. Protokollierung und Überwachung#

• Anwendungs- und Sicherheitsprotokolle werden für etwa 14–30 Tage zur Fehlerbehebung und Sicherheitsüberprüfung aufbewahrt.
• Wir alarmieren bei erhöhten Fehlerraten, fehlgeschlagenen Jobs und ungewöhnlicher Nutzung. Eine tägliche Kostensicherung begrenzt die exzessive Nutzung bei Free-Konten.
• Die Nutzungs- und Credit-Messung ist in Clevera integriert; es wird kein Drittanbieter-Messdienst verwendet.

11. Reaktion auf Sicherheitsvorfälle#

Wir befolgen einen definierten Prozess, um Sicherheitsvorfälle zu sichten, einzugrenzen und zu beheben.

Sollte eine Verletzung des Schutzes personenbezogener Daten Sie betreffen, werden wir die betroffenen Kunden unverzüglich benachrichtigen, wie es das Gesetz vorschreibt. Gemäß DSGVO benachrichtigen wir bei Bedarf innerhalb von 72 Stunden die Aufsichtsbehörden.

12. Backups und Kontinuität#

• Die Postgres-Datenbank wird täglich durch Laravel Forge gesichert. Jedes Backup ist ein komprimierter Dump, der in einem Cloud-Objektspeicher gespeichert, vom Speicheranbieter im Ruhezustand verschlüsselt und 7 Tage lang aufbewahrt wird. Ältere Backups werden automatisch gelöscht.
• Unsere Dienste können aus der Versionsverwaltung neu bereitgestellt werden.
• Lang laufende Jobs, wie Rendering, Recherche und Generierung, werden in Warteschlangen eingereiht und bei Fehlern erneut versucht.

13. Datenspeicherung und -löschung#

• Ihre Inhalte: werden aufbewahrt, solange Ihr Konto aktiv ist.
• Papierkorb: Elemente im Papierkorb werden nach 7 Tagen dauerhaft gelöscht.
• Nicht verwendete Aufnahmen: Aufnahmen, die in keinem Video verwendet werden, werden nach 15 Tagen gelöscht.
• Die Kontolöschung beginnt sofort. Sie:
  • kündigt Abonnements
  • widerruft Token und gespeicherte Anmeldungen
  • löscht kurz darauf dauerhaft die Aufnahmen, Videos und Dateien der eigenen Teams
• Backups verfallen gemäß ihrem Aufbewahrungsplan.

Vollständige Details finden Sie in unserer Datenschutzrichtlinie.

14. Compliance#

• DSGVO, UK DSGVO und KVKK. Wir sind der Verantwortliche für Konto-, Abrechnungs- und Websitedaten. Für Ihre Inhalte agieren wir als Auftragsverarbeiter gemäß unserem Auftragsverarbeitungsvertrag (DPA). Internationale Übermittlungen nutzen bei Bedarf Standardvertragsklauseln, das UK-Addendum oder KVKK-Standardverträge.
• CPRA. Wir verkaufen oder teilen keine personenbezogenen Daten und betreiben kein kontextübergreifendes verhaltensbasiertes Marketing.
• SOC 2 / ISO 27001. Wir planen, die SOC 2- und ISO 27001-Zertifizierung im Jahr 2027 zu erlangen.
• DPA: auf Anfrage unter team@clevera.ai erhältlich.

15. Unterauftragsverarbeiter#

Die vollständige Liste mit Datenkategorien und Standorten finden Sie in unserer Datenschutzrichtlinie. Wir benachrichtigen Kunden über wesentliche Änderungen, wie in unserem DPA beschrieben.

16. Offenlegung von Sicherheitslücken#

Wenn Sie glauben, ein Sicherheitsproblem gefunden zu haben, senden Sie bitte eine E-Mail an team@clevera.ai mit Details und Schritten zur Reproduktion.

Bitte:

• testen Sie nur gegen Ihr eigenes Konto
• vermeiden Sie den Zugriff auf oder die Änderung von Daten anderer Personen
• vermeiden Sie eine Beeinträchtigung des Dienstes
• vermeiden Sie automatisierte Scans mit hohem Volumen
• geben Sie uns angemessene Zeit, das Problem zu beheben, bevor Sie es öffentlich machen

Wir werden Ihren Bericht bestätigen, Sie auf dem Laufenden halten und Sie auf Wunsch nennen. Wir werden keine rechtlichen Schritte gegen Forschung im guten Glauben einleiten, die diese Richtlinien befolgt.

17. Kontakt#

Sicherheit und Vertrauen: team@clevera.ai
Odise Studio (Clevera), Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye