Wo Ihre Daten liegen
Custodos speichert Ihre Daten in der Schweiz, und die Modelle arbeiten in der Region, die Ihre Admins wählen, so hängen Speicherort und Verarbeitung zusammen.
Bei der Frage «Wo liegen unsere Daten?» geht es um zwei verschiedene Dinge: wo Custodos Ihre Daten speichert, und wo ein KI-Modell eine Nachricht verarbeitet. Das erste ist fest, das zweite bestimmen Ihre Admins mit der Verarbeitungsregion.
Speicherung
| Was | Wo |
|---|---|
| Anwendung und Datenbank: Chats, hochgeladene Dateien, Company Brain, Agenten, Benutzerkonten | Schweiz |
| Sicherungen | Zürich, vor dem Upload verschlüsselt; der Speicheranbieter hat keinen Zugriff auf den Klartext |
| Versand der Anmelde-E-Mails | Schweiz |
| Zahlungsabwicklung, nur bei kostenpflichtiger Nutzung | EU und USA, nur Rechnungsdaten, nie Chat-, Datei- oder Prompt-Inhalte |
Welche Unternehmen diese Leistungen erbringen, steht in Anhang 3 des AVV und in der Datenschutzerklärung.
Verarbeitung: die Verarbeitungsregion
Admins wählen die Region unter Modelle, im Abschnitt Verarbeitungsregion. Sie gilt für den ganzen Workspace.
| Region | Was sie bedeutet |
|---|---|
| Schweiz | Nur Modelle, die in der Schweiz verarbeiten. Die Auswahl ist deutlich kleiner, und die Websuche ist nicht verfügbar, weil Suchanfragen die Schweiz verlassen würden. |
| Europäische Union | Nur Modelle, die in der EU verarbeiten. |
| EU + Schweiz | Beide Regionen. Voreingestellt und empfohlen. |
| Global | Zusätzlich Modelle ohne Residenz-Zusage, die weltweit verarbeitet werden können, zum Beispiel direkt bei OpenAI in den USA. Diese Wahl ist eine ausdrückliche Entscheidung Ihrer Admins. |
Die Region wirkt überall, nicht nur in der Modellauswahl. Ein Modell ausserhalb der Region verschwindet für alle Mitglieder, auch als Ausweichmodell, wenn die Credits aufgebraucht sind. Dasselbe gilt für die Bilderzeugung und für das Modell, das Brain-Dokumente für die Suche aufbereitet. Ein Mitglied kann die Region nicht umgehen: Custodos prüft sie bei jeder Anfrage auf dem Server.
Wo ein einzelnes Modell läuft
In der Modellauswahl zeigt jedes Modell mit einem kleinen Zeichen und einer Zeile, wo es läuft, zum Beispiel «Gehostet in der EU auf Google Cloud». Die Zeichen bedeuten:
| Zeichen | Bedeutung |
|---|---|
| Schweizer Kreuz | Verarbeitung in der Schweiz. |
| Deutsche Flagge | Einzelne Region, Verarbeitung in Deutschland. |
| EU-Sterne | Verarbeitung innerhalb der EU. Das genaue Land ist nicht festgelegt: Der Anbieter kann aus jeder seiner EU-Regionen ausliefern. |
| Globus | Verarbeitung auf der weltweiten Infrastruktur des Anbieters, ohne Residenz-Zusage. Nur verfügbar, wenn die Region auf Global steht. |
Admins sehen unter Modelle in den Details eines Modells zusätzlich, wie der Standort abgesichert ist:
| Residenz | Was dahintersteht |
|---|---|
| Erzwungen | Der Endpunkt des Anbieters bedient nur die zugesagte Region und weist alles andere ab. Der Standort kann sich nicht unbemerkt ändern. |
| Verifiziert | Der Endpunkt ist an eine Region gebunden, und seine Adressen liegen nachprüfbar in den veröffentlichten Adressbereichen dieser Region. |
| Vertraglich | Die Region wird bei jeder Anfrage festgelegt und vom Anbieter vertraglich zugesichert, lässt sich von aussen aber nicht messen. |
Welche Modelle es gibt, ändert sich laufend. Die aktuelle Liste mit Standort und Residenz sehen Ihre Admins jederzeit unter Modelle.
Was sonst an Dritte geht
Websuche
Ist die Websuche eingeschaltet, geht nur die Suchanfrage, die das Modell formuliert, an einen europäischen Suchindex mit Sitz und Betrieb in Frankreich. Der Chatverlauf wird nie übermittelt. In den Schutzmodi «Blockieren» und «Pseudonymisieren» werden Anfragen mit einer AHV-Nummer, IBAN, Kartennummer oder UID-Nummer nicht gesendet. Im Sicherheitsmodus wird nie gesucht. Admins können die Websuche jederzeit ausschalten, siehe Websuche verwalten.
Kontext-Cache
Damit nicht bei jeder Nachricht das ganze Gespräch neu verarbeitet werden muss, kann der Modellanbieter eine berechnete Zwischendarstellung davon für begrenzte Zeit bereithalten. Sie bleibt beim selben Anbieter und in derselben Region, die die Nachricht ohnehin verarbeitet, es kommt kein weiterer Empfänger hinzu. Jeder Workspace hat einen eigenen, nicht erratbaren Cache-Schlüssel, sodass ein Treffer über Kundengrenzen hinweg ausgeschlossen ist. Ändert sich die Freigabe eines Brains oder die Datenschutz-Einstellung, ändert sich der Schlüssel mit. Wo der Workspace pseudonymisiert, enthält der Cache die Platzhalter, nicht die echten Werte. Die Dauer wählen Ihre Admins, siehe Aufbewahrung und Kontext-Cache.
Verbundene Konten
Google Drive, Microsoft 365 und Outlook verbindet jede Person selbst mit ihrem eigenen Konto. Custodos liest dort nur, was Sie anfordern, und prüft den Text wie einen Upload gegen die Datenschutz-Einstellungen des Workspace, bevor er ein Modell erreicht. Importierte Dokumente werden nur als Text gespeichert, die Originaldatei bleibt beim Anbieter. Ein Bild aus einem verbundenen Konto wird wie ein direkt angehängtes Bild behandelt. Outlook-Mails werden nie versendet, Antworten landen als Entwurf in Ihrem Postfach. Einen Termin mit Teilnehmenden trägt Custodos erst ein, wenn Sie den Vorschlag bestätigt haben; die Einladungen verschickt dann Outlook. Mehr dazu unter Integrationen im Überblick.
Häufige Fragen
Nein. Modelle ausserhalb der Region erscheinen in der Modellauswahl nicht, und der Server lehnt jede Anfrage an ein solches Modell ab. Das gilt auch für Chats mit Agenten und für das Modell, das bei aufgebrauchten Credits antwortet.
Einige Anbieter verteilen Anfragen auf mehrere ihrer Rechenzentren in der EU. Zugesichert ist dann die EU als Ganzes, nicht ein bestimmtes Land. Modelle mit der deutschen Flagge laufen in einer einzelnen Region in Deutschland.
Ab der nächsten Nachricht gilt die neue Region. Ein Chat, dessen Modell nun ausserhalb liegt, muss mit einem erlaubten Modell weitergeführt werden. Gespeichert bleiben Chats unverändert in der Schweiz.
Nächste Schritte
Region einstellen und Modelle für Ihr Team erlauben.
So funktioniert die PseudonymisierungWas ein Modell von Ihren Personendaten zu sehen bekommt.
Websuche verwaltenWas bei einer Suche übermittelt wird und wie Sie sie ausschalten.
Integrationen im ÜberblickGoogle Drive, Microsoft 365 und Outlook im Detail.