Vertrauen

Sicherheit

Grammateas hört die Anrufe Ihres Unternehmens. Dieses Vertrauen muss man sich mit Technik verdienen, nicht mit Beteuerungen. Hier steht, was genau gilt.

Zuletzt aktualisiert: 12. September 2026 · Diese deutsche Fassung dient der Verständlichkeit; bei Abweichungen ist der griechische Text maßgeblich.

Wo die Daten liegen

Anwendung, Datenbank, Aufzeichnungen und Transkripte werden auf Servern innerhalb der Europäischen Union (Deutschland) gehostet. Die Telefonleitungen stammen von griechischen Anbietern. Welcher Dritte was sieht, mit Namen: Unterauftragsverarbeiter.

Verschlüsselung

• Jede Verbindung zur Plattform und zur Verwaltung erfolgt ausschließlich über TLS.
• Zugangsdaten Dritter (Anbieterschlüssel, Verbindungsdaten zu Kalendern und CRM) werden verschlüsselt mit einem eigenen Schlüssel gespeichert, niemals im Klartext.
• Die Festplatten der Server sind verschlüsselt, die Sicherungen ebenfalls.

Trennung nach Kunden

Jeder Datensatz trägt eine Kundenkennung, und jede Abfrage an die Datenbank wird danach gefiltert — das ist keine Vereinbarung im Code, sondern eine Regel, die auf der Ebene des Datenzugriffs durchgesetzt wird. Die Daten eines Kunden können einem anderen nicht angezeigt werden, auch nicht durch einen Fehler im Anwendungscode.

Zugriff und Protokollierung

• Rollen und Rechte je Nutzer; der Zugriff wird auf das notwendige Mindestmaß beschränkt.
• Jede sensible Aktion — Änderung einer Einstellung, Export, Löschung, Zugriff auf eine Aufzeichnung — wird mit Nutzer, Uhrzeit und der Änderung in einem Prüfprotokoll festgehalten.
• Jede Änderung an der Konfiguration der Assistentin erzeugt eine neue Version; jeder Anruf im Produktivbetrieb verweist auf eine bestimmte Version, sodass Sie stets wissen, was zum Zeitpunkt des Anrufs galt.
• In die Protokolle werden niemals Geheimnisse oder vollständige personenbezogene Daten geschrieben.

Was das Modell niemals darf

Das größte Risiko eines KI-Systems ist, dass jemand es dazu überredet, etwas zu tun, was es nicht soll. Deshalb:

• Die Ausgabe des Modells wird niemals ausgeführt. Weder Code noch Datenbankabfragen noch Adressen. Das Modell spricht nur und fordert Aktionen an.
• Aktionen geschehen ausschließlich über ausdrücklich erlaubte Werkzeuge (etwa „Termin vereinbaren", „Nachricht aufnehmen"). Jeder Werkzeugaufruf durchläuft eine Prüfung von Berechtigung, Schema, Kunde, Befugnis der Assistentin und Freigabepolitik, bevor er das Zielsystem erreicht — und wird protokolliert.
• Die Anweisungen haben eine Rangfolge: Plattform, dann Unternehmen, dann Assistentin, dann Aufgabe und zuletzt das, was der Anrufer sagt. Was der Anrufer sagt und was aus abgerufenen Texten stammt, wird als Datum behandelt, niemals als Befehl.
• Wenn das Wissen nicht ausreicht, sagt die Assistentin es, fragt nach, nutzt ein Werkzeug oder stellt an einen Menschen durch — sie füllt die Lücke nicht mit Vermutungen.
• Die Geheimnisse des Unternehmens erreichen das Modell nie.

Speicherdauer und Löschung

Sie legen fest, ob Gespräche aufgezeichnet werden und wie lange sie aufbewahrt werden (standardmäßig 12 Monate). Abgelaufene Aufzeichnungen werden automatisch gelöscht, aus dem Speicher und aus der Datenbank. Die Löschung der Daten einer Person erfolgt mit einer einzigen Aktion und entfernt Identifikationsdaten, den Wortlaut jedes Gesprächs, Notizen und Aufzeichnungen — es bleiben nur anonyme Statistiken.

Sicherungen und Fortführung

Tägliche Sicherungen mit erprobter Wiederherstellung. Antwortet der Dienst nicht, fallen Ihre Anrufe auf den bestehenden Ablauf Ihrer Telefonanlage zurück — niemand bleibt im Leeren.

Schwachstelle melden

Wenn Sie etwas gefunden haben, schreiben Sie uns an i.kotrotsios@rm.gr mit dem Betreff „Security". Wir antworten innerhalb von zwei Werktagen. Wir gehen nicht rechtlich gegen jemanden vor, der gutgläubig forscht, nicht auf fremde Daten zugreift, den Dienst nicht stört und uns angemessene Zeit zur Behebung lässt, bevor er an die Öffentlichkeit geht.

Bei einem Vorfall mit Risiko informieren wir die betroffenen Kunden innerhalb von 24 Stunden und die Datenschutzbehörde innerhalb von 72 Stunden, wie es die DSGVO verlangt.