Die Zeichnungen Ihrer Kunden, sorgfältig behandelt.

Prüfdaten werden in einer PostgreSQL-Datenbank gespeichert, Dateien (Zeichnungen, Modelle, Anhänge, KMG-Ausgaben) in privatem Objektspeicher, beides gehostet bei Supabase. Die Hosting-Region ist je Installation konfigurierbar; fragen Sie uns, in welcher Region Ihr Arbeitsbereich liegt.

Die Deburr-API läuft bei Render. Dateien sind nie öffentlich: Jeder Up- und Download läuft über einen kurzlebigen signierten Link, den die API erst ausstellt, nachdem sie geprüft hat, dass Sie zur Organisation gehören und die richtige Rolle haben.

Jeder Datensatz trägt die ID seiner Organisation, und jede Abfrage ist auf die Organisation beschränkt, in der Sie arbeiten. Live-Aktualisierungen im Browser sind durch Row-Level-Security in Postgres geschützt.

Bei der Übertragung: Der gesamte Verkehr zwischen Ihrem Browser, der API, dem Speicher und unseren Anbietern läuft über HTTPS (TLS).

Im Ruhezustand: Datenbank, Dateispeicher und Backups werden von unserem Hosting-Anbieter verschlüsselt gespeichert.

Um eine Zeichnung zu lesen, sendet Deburr das Zeichnungsbild und seinen Text an einen KI-Modellanbieter. Copilot-Nachrichten werden genauso gesendet. Wir nutzen API-Bedingungen, nach denen die Anbieter nicht mit Ihren Daten trainieren.

Ohne Ihre schriftliche Erlaubnis verwenden wir Ihre Zeichnungen nicht für Trainings- oder Testdatensätze. Fragen Sie uns, welchen KI-Anbieter Ihr Arbeitsbereich nutzt, und wir sagen es Ihnen.

Die KI schlägt vor, Menschen entscheiden. Unsichere Lesungen werden zur Prüfung markiert, und der Copilot kann nichts unterschreiben, freigeben oder löschen. Dafür braucht es immer den Klick eines Menschen.

Jede Person in Ihrer Organisation hat eine Rolle: Inhaber, Admin, Freigeber, Prüfer oder Betrachter. Die API prüft Mitgliedschaft und Rolle bei jeder Anfrage, nicht nur in der Oberfläche.

Sie können einen unabhängigen Freigeber vorschreiben, damit niemand seine eigene Erstmusterprüfung freigibt. Freigegebene Berichte sind gesperrt, bis jemand mit der passenden Rolle sie wieder öffnet, und das Wiederöffnen wird protokolliert.

Wenn Sie einen Bericht mit einem Kunden teilen, ist der Link schreibgeschützt, läuft ab und kann widerrufen werden.

Jeder Messwert, jede Änderung, jeder Kommentar und jede Unterschrift wird in ein nur erweiterbares Ereignisprotokoll geschrieben. Die Datenbank verweigert Änderungen und Löschungen darin, und jeder Eintrag enthält einen Hash des vorherigen, sodass jede Manipulation die Kette bricht. Deburr kann die Kette erneut durchlaufen, um sie zu verifizieren.

Elektronische Signaturen verlangen eine erneute Anmeldung. Der Unterzeichner gibt im Moment der Unterschrift sein Passwort (oder einen neuen Einmalcode) erneut ein. Jede Signatur speichert Name, Bedeutung (erstellt oder freigegeben), Zeitpunkt, IP-Adresse, Browser und einen SHA-256-Hash des Berichtsinhalts zum Zeitpunkt der Unterschrift.

ITAR- und CUI-Arbeit ist als Zusatzoption gegen Aufpreis verfügbar. Sie läuft in einem separaten Arbeitsbereich mit Zugriffskontrolle, der zusätzlich zu Ihrem Tarif berechnet wird. Fragen Sie uns nach Angebot und Details.

Der Standard-Arbeitsbereich ist für zivile Arbeit. Beim Hochladen prüfen wir jede Zeichnung auf Exportkontroll-Kennzeichnungen wie ITAR, EAR99, „export controlled“, CUI und USML-Verweise. Wird eine gefunden, wird der Upload blockiert und die gespeicherte Datei gelöscht, und wir verweisen Sie auf die ITAR-Zusatzoption.

Diese Prüfung ist ein Sicherheitsnetz, keine Garantie: Sie erkennt nur gekennzeichnete Zeichnungen. Halten Sie kontrollierte technische Daten aus dem Standard-Arbeitsbereich heraus.

Dateien: Bitten Sie uns, bestimmte Zeichnungen oder Dateien zu löschen, und wir tun es. Admins können Erstmusterprüfungen auch in der App löschen.

Ihre ganze Organisation: Der Inhaber kann die Organisation mit einem Klick in den Einstellungen löschen. Das entfernt dauerhaft ihre Datenbankeinträge und gespeicherten Dateien. Ein aktives Abonnement muss vorher gekündigt werden.

Kopien in den verschlüsselten Backups unseres Hosting-Anbieters verfallen nach dessen Backup-Zeitplan.

Kartenzahlungen wickelt Dodo Payments als unser Merchant of Record ab. Kartennummern erreichen nie die Server von Deburr. Jahrestarife können auch per Rechnung oder Bestellung bezahlt werden.

Wir sind ein junges Unternehmen und sagen das lieber offen, als etwas anderes anzudeuten. Wir haben heute weder einen SOC-2-Bericht noch ein ISO-27001-Zertifikat. SOC 2 steht auf unserer Roadmap. Bis dahin füllen wir gern Ihren Sicherheitsfragebogen aus und sprechen mit Ihrer IT.

Eine Schwachstelle gefunden? Schreiben Sie an hello@getdeburr.com mit „Security report“ im Betreff. Wir antworten schnell und nennen Sie auf Wunsch als Finder.