Diese Seite ist derzeit nur auf Englisch verfügbar. Eine Übersetzung folgt.
Sicherheit, die Sie wirklich prüfen können.
Hier ist die einfache Version davon, wie Omie Ihre Daten heute speichert, isoliert und schützt. ISO 27001 und ISO 9001 sind zertifiziert, SOC 2 Type II befindet sich in Arbeit, und diese Seite zeigt genau, wo wir stehen.
geprüft, nicht behauptet
Zertifiziert, nicht nur behauptet.
Zwei akkreditierte Zertifizierungen, die Sie bei der ausstellenden Stelle überprüfen können, und ein Audit, das wir erst als abgeschlossen bezeichnen, wenn es das wirklich ist.
An dem Tag, an dem SOC 2 Type II abgeschlossen ist, wird diese Seite zertifiziert sagen, und keinen Tag früher.
was wir schützen, und wie
Was über Ihre Daten heute wirklich stimmt.
Sechs konkrete Punkte, an denen Sie uns messen können, jeder direkt im Produkt durchgesetzt statt nur in einem Richtliniendokument festgehalten.
Verschlüsselung über die gesamte Strecke
Der Datenverkehr läuft über TLS, und Daten werden in der Datenbank und im Dateispeicher im Ruhezustand verschlüsselt. Die Schlüssel werden von unseren Infrastrukturanbietern verwaltet, nicht im Anwendungscode.
Mandantentrennung mit Sicherheit auf Zeilenebene
Jede organisationsbezogene Tabelle trägt eine Organisations-ID und eine Postgres-Sicherheitsrichtlinie auf Zeilenebene. Die Trennung wird in der Datenbank selbst durchgesetzt, sodass ein Mandant niemals die Zeilen eines anderen lesen kann.
Zugriff nach dem Prinzip der geringsten Rechte
Personen und Dienste erhalten nur den Zugriff, den eine Aufgabe erfordert. Vier Rollen (Mitglied, Manager, Organisationsadministrator, Organisationsinhaber) regeln, was jemand innerhalb eines Kontos tun kann.
EU-Region (Frankfurt): geplant
Heute werden alle Daten in North Virginia, USA (AWS us-east-1) gehostet. Unsere Region Europa in Frankfurt, Deutschland (AWS eu-central-1) ist geplant, und Business-Kunden können dann dorthin umziehen.
Regelmäßige, getestete Backups
Die Datenbank wird nach einem regelmäßigen Zeitplan mit Point-in-Time-Recovery gesichert, und wir testen, dass eine Wiederherstellung tatsächlich funktioniert, statt es nur anzunehmen.
Audit-Protokollierung sensibler Aktionen
Rollenänderungen, Exporte und Administratoraktionen werden in ein nur anfügbares Audit-Protokoll geschrieben, sodass es einen Nachweis gibt, wer was wann getan hat.
Ein Mandant, in der Datenbank abgeschottet.
Trennung, auf die Sie in Postgres direkt zeigen können, kein Versprechen auf einer Folie. Jede Anfrage durchläuft dieselben vier Schritte.
Organisation auflösen
Eine Anfrage trifft ein, und wir lesen die aktive Organisation aus der signierten Sitzung, niemals aus einer URL oder einem Header, den ein Client fälschen könnte.
Jede Abfrage einschränken
Sicherheitsrichtlinien auf Zeilenebene umschließen jede Abfrage, sodass die Datenbank selbst nur Zeilen zurückgibt, die zu diesem einen Mandanten gehören.
Die Aktion prüfen
Die Rolle des Mitglieds entscheidet, was die Aktion tun darf, geprüft auf dem Server, bevor irgendetwas geschrieben wird.
Den Eintrag schreiben
Sensible Änderungen landen in einem nur anfügbaren Audit-Protokoll, sodass die Abfolge der Ereignisse verfügbar ist, wenn Sie sie überprüfen müssen.
zu Ihrer Prüfung
Der Stack, und wo er läuft.
Die Subunternehmer, die Omie zum Laufen bringen, was jeder davon anfasst, und wo. Gefolgt von einer ehrlichen Einschätzung unseres Compliance-Status.
Subunternehmer
Alle, denen wir Daten anvertrauen, und genau das, was sie verarbeiten.
| Subunternehmer | Zweck | Daten | Region |
|---|---|---|---|
| Supabase | Postgres-Datenbank, Authentifizierung und Dateispeicher | Konto, Lernsignale und von Ihnen erstellte Inhalte | North Virginia, USA (us-east-1); Frankfurt geplant |
| Vercel | Anwendungs-Hosting und Edge-Auslieferung | Anfrage-Metadaten, keine Lerninhalte im Ruhezustand gespeichert | Globales Edge-Netzwerk, Kontrollebene in den USA |
| Anthropic | Ada, der KI-Coach, und Inhaltsgenerierung | Prompts und Lektionskontext, nicht zum Training von Foundation-Modellen genutzt | Vereinigte Staaten |
| Resend | Transaktionale E-Mails wie Magic Links und Zusammenfassungen | Name und E-Mail-Adresse | USA und EU |
| Stripe | Abrechnung und Abonnements | Abrechnungsdaten, innerhalb von Stripe verarbeitet (PCI DSS) | Weltweit |
| PostHog | Produktanalyse | Pseudonymisierte Nutzungsereignisse, niemals Lernantworten | EU-Cloud verfügbar |
| Sentry | Fehlerüberwachung, damit wir Ausfälle erkennen, bevor Sie sie melden | Fehlerprotokolle und Anfrage-Metadaten, niemals Lernantworten | USA, EU verfügbar |
| OpenAI | Embeddings für Suche und Empfehlungen sowie Sprachausgabe für Audio-Lektionen | Suchtext und Onboarding-Antworten als Text; Lektionsskripte für Audio. Nicht zum Training von Modellen genutzt | Vereinigte Staaten |
| ElevenLabs | Sprachausgabe von Lektionen | Nur Lektionstext, keine personenbezogenen Daten | Vereinigte Staaten |
Compliance-Status
Wo jeder Punkt tatsächlich steht. Wir zeigen niemals eine Zertifizierung, die wir nicht besitzen.
| Bereich | Status | Was das bedeutet |
|---|---|---|
| ISO 27001 | Zertifiziert | Zertifiziertes Informationssicherheits-Managementsystem. Das Zertifikat liegt den Compliance-Unterlagen bei und kann bei der ausstellenden Stelle überprüft werden. |
| ISO 9001 | Zertifiziert | Zertifiziertes Qualitätsmanagementsystem, das abdeckt, wie wir das Produkt bauen, ausliefern und unterstützen. |
| SOC 2 Type II | In Arbeit | Kontrollen werden derzeit umgesetzt und mit Nachweisen belegt. Der Bericht wurde noch nicht ausgestellt, und wir halten diese Zeile ehrlich, bis er es ist. |
| DSGVO | Bereit | Betroffenenrechte und ein DPA werden unterstützt, und die EU-Region ist geplant. Wir verarbeiten nur, was das Produkt benötigt. |
| EU-Region (Frankfurt) | Geplant | Business-Konten können Konto- und Lerndaten dann in Frankfurt, Deutschland (AWS eu-central-1) behalten. Heute liegen alle Daten in North Virginia, USA (AWS us-east-1). |
| Auftragsverarbeitungsvertrag | Verfügbar | Ein DPA ist für Business unterschriftsbereit, inklusive der Standardklauseln. |
| Penetrationstest | Auf Anfrage | Wir können qualifizierte Prüfer unter NDA durch unseren Testansatz und die neuesten Ergebnisse führen. |
Ihre Daten arbeiten für Sie, und niemals für ein Werbenetzwerk oder einen Datenhändler.
Was wir erfassen
Ihr Konto, Ihre Lernsignale (was Sie abgeschlossen haben und wie gut) und die Inhalte, die Sie erstellen. Nicht mehr, als das Produkt braucht, um Ihren Tag zu personalisieren.
Wie lange wir es aufbewahren
Wir behalten Ihre Daten, solange Ihr Konto aktiv ist, damit Ihr Weg und Ihre Meisterschaft Ihnen folgen. Deaktivieren Sie das Konto, und die Verarbeitung stoppt.
Löschung auf Anfrage
Fragen Sie uns, und wir löschen Ihre personenbezogenen Daten und bestätigen es, sobald es erledigt ist. Wir behalten sie, solange Ihr Konto aktiv ist, und löschen sie, wenn Sie sich entscheiden zu gehen.
Wir verkaufen Ihre Daten nicht
Omie hat nie personenbezogene Daten verkauft und wird es nie tun. Es gibt weder Werbenetzwerke noch Datenhändler, nirgendwo im Bild.
melden Sie sich auf Ihre Art an
Melden Sie sich so an, wie es Ihr Unternehmen bereits tut.
Business-Konten verbinden sich über WorkOS mit Ihrem Identitätsanbieter, sodass Menschen mit dem Login beitreten, dem sie bereits vertrauen, und den Zugriff verlieren, sobald er widerrufen wird.
- SSO und SAML über WorkOS, bei Business
- SCIM-Provisionierung, um Personen automatisch hinzuzufügen und zu entfernen
- Multi-Faktor wird von Ihrem Identitätsanbieter durchgesetzt
- Magic Link oder Passwort für alle bei Personal und Premium
Identitätsstandards, die wir sprechen
- WorkOSSSO-Anbieter
- SAML 2.0Unternehmens-Anmeldung
- SCIM 2.0Benutzerprovisionierung
- OIDCunterstützt
- Sitzungssicherheitsigniert, ablaufend
für Prüfer und Forscher
Prüfen Sie uns, und prüfen Sie uns richtig.
Eine Schwachstelle gefunden? Sagen Sie es uns zuerst. Wir praktizieren koordinierte Offenlegung, streben an, Meldungen in gutem Glauben innerhalb von zwei Werktagen zu bestätigen, und werden Forscher, die in gutem Glauben handeln, nicht verfolgen.
Schreiben Sie an security@tryomie.com. Bitte geben Sie uns eine Möglichkeit, Sie zu erreichen.
ein Link, alles drin
Die Compliance-Unterlagen
- ISO 27001- und ISO 9001-Zertifikate
- Diese Sicherheitsübersicht, stets aktuell
- Liste der Subunternehmer und Datenflüsse
- Ein DPA, unterschriftsbereit
- EU-Region (Frankfurt): geplant
Zehn Module, eine Engine, eine Sicherheitsgrenze. Alles auf dieser Seite deckt sie alle gleichzeitig ab.