Sicherheit, die Sie nachprüfen können, statt ihr nur zu vertrauen.

Innerhalb der Plattform ersetzt die PII-Grenze die Namen von Mitarbeitenden, Führungskräften und Unterzeichnenden, Arbeitgeber- und Firmennamen, Daten, geschäftliche E-Mail-Adressen und Mitarbeiter-IDs durch konsistente Pseudonyme, bevor eine Anfrage die Engine erreicht, und stellt sie in der Antwort wieder her. Sie umschliesst die Engine-Aufrufe der HR-Plattform, des Lifecycle-Workers, von ZeugnyAI Chat (das die Engine nur über die Plattform erreicht) und des Word-Gateways.

Eine Anfrage wird abgelehnt statt gesendet, wenn der Verschlüsselungsschlüssel oder der Dokumentumfang fehlt, einer bekannten Person oder einem bekannten Arbeitgeber kein Pseudonym zugeordnet ist, ein Namensteil zwischen zwei Personen mehrdeutig ist oder der Audit-Eintrag nicht geschrieben werden kann.

Geburtsort, Nationalität, Berufsbezeichnungen, Abteilungen, die Unternehmensbeschreibung und Aufgabentexte werden wie eingegeben gesendet; der Text braucht die meisten davon. In Freitext eingegebene Namen werden nur ersetzt, wenn sie zu einer bekannten Person oder einem bekannten Arbeitgeber passen. Ein strengerer Modus, der nicht erkannten Freitext zur Prüfung durch Menschen zurückhält, ist gebaut; seine Aktivierung in der Managed Cloud ist geplant.

Datenbank, Backups, Dateispeicher, Key Vault, Logs und Anwendungsserver der Managed Cloud laufen in Microsoft Azure Switzerland North (Zürich). Backups und Dateispeicher werden in eine zweite Schweizer Region, Switzerland West, repliziert. app.zeugny.com wird direkt nach Zürich aufgelöst, ohne zwischengeschaltetes Content-Delivery-Network. Die IP-Adresse einer unterzeichnenden Person wird als Unterzeichnungsnachweis gespeichert und an keinen Geolokalisierungsdienst Dritter gesendet; das Land wird aus einem Header gelesen, der am Netzwerkrand (Edge) gesetzt wird.

Alle Apps akzeptieren nur HTTPS, mindestens mit TLS 1.2; in der Praxis wird TLS 1.3 ausgehandelt. Der Datenbankserver akzeptiert nur TLS-Verbindungen, mindestens mit TLS 1.2, und die Datenbankverbindungen der Plattform fordern TLS an.

Azure verschlüsselt Datenbank, Backups und Dateispeicher im Ruhezustand. Zusätzlich verschlüsselt die Plattform Pseudonym-Zuordnungen und Engine-API-Schlüssel mit AES-256-GCM unter Hauptschlüsseln, die im Azure Key Vault liegen. Andere Datensätze stützen sich auf die Verschlüsselung von Azure.

Nach Ablauf der Aufbewahrungsfrist (standardmässig 10 Jahre nach Ende des Arbeitsverhältnisses) schwärzt ein stündlicher Job Name, E-Mail-Adresse, Geburtsdatum und -ort sowie Nationalität eines ehemaligen Mitarbeitenden, löscht Entwürfe und entfernt die Pseudonym-Zuordnungen. Stellenzuordnungen, der Audit-Trail und ausgestellte Zeugnisse bleiben erhalten; ausgestellte Zeugnisse enthalten weiterhin den Namen. Auf Anfrage setzen wir für Ihr Unternehmen eine andere Frist; eine Konfiguration in Eigenregie ist geplant.

Mitarbeitende stellen Auskunfts- und Löschbegehren selbst unter «Datenschutz», und HR verfolgt jedes einzelne anhand einer Frist von 30 Tagen. Eine Löschung schwärzt die Daten der Person, entfernt Vault-Einträge und Freigaben und stellt eine Bestätigung aus. Ein Auskunftsbegehren erzeugt eine Zusammenfassung; eine herunterladbare Kopie der Daten ist geplant.

HR-Verantwortliche können für ein Arbeitsverhältnis und alle seine Zeugnisse eine Aufbewahrungssperre (Legal Hold) verhängen, die die Löschung aussetzt. Mitarbeitende können ein Zeugnis beanstanden; eine akzeptierte Beanstandung erzeugt eine neue Version, und der Verlauf bleibt im Audit-Trail.

Führungskräfte oder HR bewerten jeden Aspekt von Leistung und Verhalten. Die KI schreibt Text, der zu diesen Bewertungen passt, und kann sie nicht ändern. Das Gesamtniveau wird aus den Bewertungen berechnet und nicht vom Modell gewählt.

Kein Zeugnis gelangt ohne Prüfung und Finalisierung durch HR-Verantwortliche oder Administratoren zu Mitarbeitenden. Automatisierungen können Anfragen starten, aber nie finalisieren.

Wir verwenden Kundendaten weder zum Training noch zum Fine-Tuning noch zur Evaluation von Modellen, und Kundenanfragen gelangen nie in unseren Referenzkorpus.

Zeugnistext wird von Modellen auf Microsoft Azure AI Foundry geschrieben, auf einer Ressource in Switzerland North mit einer Bereitstellung als EU Data Zone Standard, sodass Anfragen innerhalb der EU-Datenzone verarbeitet werden. Entscheidungs-, Extraktions- und Retrieval-Schritte nutzen zudem Microsoft Decision-1 (eine Azure-AI-Foundry-Ressource in Sweden Central mit einer Bereitstellung als EU Data Zone Standard), OpenRouter und Voyage AI, und die Plattform nutzt OpenRouter direkt, um Berufsbezeichnungen und Aufgaben vorzuschlagen. Anbieter erhalten ausschliesslich pseudonymisierten Text. Jede Anfrage, die die Engine an OpenRouter sendet, verlangt Anbieter, die keine Nutzerdaten sammeln; eine Einstellung zum Abschalten gibt es nicht. Zero-Data-Retention-Routing ist geplant.

Passwörter werden mit scrypt gehasht und müssen mindestens 8 Zeichen lang sein. E-Mail-Adressen werden vor der ersten Passwort-Anmeldung verifiziert, und passwortlose Magic-Links laufen nach 5 Minuten ab. Anmeldeversuche sind pro IP-Adresse ratenbegrenzt.

Mit Single Sign-on gilt die MFA Ihres Identitätsanbieters für jede Anmeldung. Staff-Konten in unserer Control Plane benötigen für jede Sitzung einen zweiten Faktor (Authenticator-Code oder Backup-Code), und ohne ihn wird keine Engine-Operator-Anmeldung ausgestellt. Ein integrierter zweiter Faktor für die Passwort-Anmeldung von Kunden ist geplant.

Jede Route prüft beziehungsbasierte Berechtigungen. HR-Koordinatoren können Entwürfe erstellen, aber nicht finalisieren, keinen Befund übersteuern und das offizielle Dokument weder unterzeichnen noch herunterladen. Arbeitnehmervertretungen sehen nur aggregierte Zahlen; Führungskräfte sehen ihre direkt unterstellten Mitarbeitenden.

In der Managed Cloud teilen sich die Unternehmen eine Schweizer Datenbank. Die Anwendung beschränkt jede Anfrage auf ein Unternehmen und prüft die Berechtigungen für jedes Objekt. Bei Self-Hosted hat jeder Kunde eine eigene Datenbank. Eine Durchsetzung auf Zeilenebene in der Datenbank ist als zweite Schicht geplant.

Jeder Lebenszyklus-Schritt und jede Änderung wird in ein Audit-Protokoll geschrieben, in dem jeder Eintrag den Hash des vorherigen trägt, sodass ein veränderter Eintrag die Kette bricht. Die Kette wird geprüft, wenn ein Dossier oder eine Verifizierungsseite geöffnet wird, und das Dossier jedes Zeugnisses lässt sich mit seinen Audit-Einträgen herunterladen.

Betrifft ein Vorfall Ihre Daten, informieren wir Ihre benannte Kontaktperson unverzüglich, nachdem wir ihn bestätigt haben, darüber, was geschehen ist, welche Daten betroffen sind und was wir dagegen unternehmen. Ein schriftlicher Plan zur Reaktion auf Vorfälle liegt im Entwurf vor und wird nach rechtlicher Prüfung veröffentlicht; regelmässige Übungen sind geplant.

Die Datenbank kann auf jeden Zeitpunkt der letzten 35 Tage wiederhergestellt werden. Zusätzlich sichert ein geplanter Job alle Datenbanken jede Nacht als Dump. Er läuft auf einem von ZeugnyAI betriebenen CI-Runner, der sich per TLS verbindet, jeden Dump in eine temporäre Datei schreibt, ihn in Azure Storage in Switzerland North hochlädt und die Datei löscht. Die letzten 30 Dumps jeder Datenbank werden aufbewahrt, und gelöschte Dumps bleiben 30 weitere Tage wiederherstellbar. Die gespeicherten Backups, Point-in-Time und Dumps, liegen in Switzerland North und werden in eine zweite Schweizer Region, Switzerland West, repliziert.

Jeder Anbieter, der für die Cloud Daten bearbeitet, ist auf dieser Seite mit Zweck, erhaltenen Daten und Standort aufgeführt.

Ein Standard-Auftragsbearbeitungsvertrag nach dem Schweizer DSG und der DSGVO liegt im Entwurf vor und wird nach rechtlicher Prüfung veröffentlicht. Bis dahin prüfen und unterzeichnen wir Ihren Vertrag.