Sicherheit & Datenschutz
Gebaut für die sensibelsten Daten, die Sie halten.
Paritir verarbeitet Entgelt-, Geschlechts- und Stellendaten, um Ihnen bei der Erfüllung der EU-Entgelttransparenzrichtlinie zu helfen — Datenschutz und Sicherheit sind daher keine Funktion, sondern das Fundament. So schützen wir sie: in klarer Sprache und getreu der tatsächlichen Funktionsweise der Plattform.
Minimieren, dann schützen
Wir erheben nur, was die Pflicht erfordert, pseudonymisieren personenbezogene Kennungen vor der Analyse und stellen niemals eine Einzelperson dar. Datenschutz ist in jeden Schritt eingebaut, nicht nachträglich aufgesetzt.
Gehostet in der EU, eine Ausnahme benannt
Anwendung, Datenbank, E-Mail und Fehlerüberwachung laufen in EU-Regionen. Ein Unterauftragsverarbeiter, für KI-Inferenz, sitzt in den Vereinigten Staaten; die Übermittlung ist durch das EU-US Data Privacy Framework und dessen UK-Erweiterung abgesichert, sofern der Anbieter zertifiziert ist, andernfalls durch Standardvertragsklauseln; was ihn erreicht, ist auf das minimiert, was die jeweilige Aufgabe braucht, wie im Auftragsverarbeitungsvertrag festgelegt. Wir verlagern die Modell-Inferenz in die Verarbeitung in EU-Regionen.
Ihre Daten gehören nur Ihnen
Jede Abfrage ist auf Ihre Organisation beschränkt und wird in der Datenbank per Sicherheit auf Zeilenebene durchgesetzt — ein Mandant kann niemals die Daten eines anderen lesen.
Datenschutz
Verschlüsselt, isoliert, minimiert
Verschlüsselung überall
Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt. SSL wird für alle Datenbankverbindungen erzwungen, und die Anwendung wird über HTTPS mit strengen Sicherheits-Headern ausgeliefert — HSTS, eine Content-Security-Policy und Clickjacking-Schutz.
Isolation auf Zeilenebene
Die Mandantentrennung wird in PostgreSQL selbst durchgesetzt, nicht nur im Anwendungscode: Jede Zeile ist an eine Organisation gebunden, und der Zugriff wird bei jedem Lesen und Schreiben durch Richtlinien auf Zeilenebene geprüft.
Pseudonymisierung
Vor jeder Analyse werden personenbezogene Kennungen durch ein schlüsselbasiertes, einseitiges Token (HMAC, ein schlüsselbasierter Hashwert) ersetzt, das je Organisation stabil und nicht umkehrbar ist — sodass die Kennzahlen berechnet werden können, ohne offenzulegen, wer wer ist.
k-Anonymität (Mindestgruppengröße)
Jede Kohorte trägt eine Mindestgrößen-Untergrenze. Zu kleine Gruppen werden unterdrückt oder in eine größere zusammengefasst, sodass ein veröffentlichtes Gefälle oder ein Umfrageergebnis niemals eine Einzelperson herausgreifen kann.
KI & Datenminimierung
Das Modell erhält nur, was die Aufgabe braucht
KI verfasst Berichtsnarrative, klassifiziert Stellen und Stellendaten, übersetzt und beantwortet Fragen im Produkt-Assistenten. Jeder Aufruf läuft durch ein einziges serverseitiges Gateway, und jede Anfrage wird auf das reduziert, was ihre Aufgabe braucht.
Ein kontrollierter Pfad
Sämtlicher KI-Ausgang läuft über ein einziges serverseitiges Gateway — die einzige Stelle, an der der Modellzugriff konfiguriert, protokolliert und gesteuert wird. Keine Route spricht direkt mit einem Modell.
Minimierung als Prinzip
Berichte und Klassifizierungen entstehen aus nicht-identifizierenden Attributen, die an einen flüchtigen Index gekoppelt sind; Namen, E-Mails und IDs sind nie Teil der Anfrage. Einige Funktionen arbeiten mit Text, den Menschen schreiben oder hochladen: Fragen an den Assistenten, Interview-Transkripte, Dokumente und Umfragetexte zur Übersetzung. Dieser Text wird so gesendet, wie er geschrieben ist, ohne E-Mail-Adressen — denn eine Frage ohne ihren Inhalt lässt sich nicht beantworten.
Anbieter und Region
Wir verlagern die Modell-Inferenz in die Verarbeitung in EU-Regionen und beabsichtigen, jeder Organisation die Wahl ihres KI-Anbieters und ihrer Datenregion zu lassen — einschließlich einer EU-souveränen Option. Der heutige Anbieter ist im Auftragsverarbeitungsvertrag aufgeführt.
Hosting & Zugriff
Wo es läuft und wer es erreichen kann
EU-Hosting
Anwendung und Datenbank laufen in EU-Regionen. Die Liste der Unterauftragsverarbeiter, einschließlich des einen US-Anbieters, steht im Auftragsverarbeitungsvertrag.
Geringste Rechte
Der Zugriff innerhalb einer Organisation ist rollenbasiert; eine Rolle für die rechtliche Prüfung gibt Berichte frei, ohne personenbezogene Daten zu sehen; jeder API-Endpunkt legt fest, wer ihn aufrufen darf, und die CI weist einen Endpunkt ohne diese Angabe zurück.
Keine Drittanbieter-Tracker
Schriften werden selbst gehostet, und die Website lädt keine Drittanbieter-CDNs, -Analyse oder -Werbung — standardmäßig wird nichts über Ihren Besuch mit Dritten geteilt.
Nachvollziehbarer Zugriff
Wer was sieht, und wie das durchgesetzt wird
Kleine Gruppen
Kleine Gruppen werden nach der Mindestgröße unterdrückt, die das nationale Recht für das jeweilige Land und den Offenlegungsweg festlegt, und nach einem vorsichtigen Standardwert, wo keine festgelegt ist.
Rechtliche Prüfung
Eine Rolle für die rechtliche Prüfung prüft und genehmigt Entgeltberichte, ohne personenbezogene Daten zu sehen.
API-Zugriff
Jeder API-Endpunkt muss festlegen, wer ihn aufrufen darf; die CI weist einen Endpunkt ohne diese Angabe zurück.
Compliance & Dokumentation
Führen Sie eine Due Diligence durch?
Unsere Verarbeitung ist auf die Pflichten zur Sicherheit der Verarbeitung nach Artikel 32 DSGVO ausgelegt. Für eine eingehendere Prüfung stellen wir auf Anfrage unsere Zusammenfassung der technischen und organisatorischen Maßnahmen, unseren Auftragsverarbeitungsvertrag und unsere Liste der Unterauftragsverarbeiter bereit, samt unserer Roadmap: ISO-27001-Zertifizierung, Mehr-Faktor-Authentifizierung und Single Sign-on. Ein förmliches Trust Center folgt.
Fragen zu Sicherheit oder Compliance? Schreiben Sie an security@paritir.com — auch zur Meldung einer Schwachstelle. Wir bemühen uns, Meldungen zeitnah zu bestätigen und Sie bis zur Behebung auf dem Laufenden zu halten.
Compliance, die die Daten respektiert
Sehen Sie den gesamten Ablauf in einem kurzen geführten Rundgang — und bewerben Sie sich dann, um ihn mit Ihren eigenen Daten zu nutzen.