Trust-Center
Sicherheit, Datenschutz und Unterlagen von Viral Post Studio für Einkauf, Datenschutz und IT
Stand: 5. Oktober 2026
Entwurf, noch nicht anwaltlich geprüft
Diese Seite und die Vorlagen unter „Dokumente“ sind Entwürfe. Angaben mit „wird bestätigt“ klären wir noch mit unseren Anbietern; sie stehen hier, sobald sie schriftlich vorliegen.
Kurz gesagt
- Deine Daten sieht nur dein Konto: Zugriffsregeln in der Datenbank, Zwei-Faktor-Anmeldung und ein Protokoll aller Änderungen.
- Bilder, PDFs, Logo und Profilbild liegen nicht öffentlich. Links darauf erstellt der Server nur für dich, und sie gelten eine Stunde.
- Wir trainieren keine KI-Modelle mit deinen Inhalten und kennzeichnen KI-Inhalte.
- Bei einem Vorfall informieren wir betroffene Firmenkunden innert 24 Stunden.
- Datenexport und Kontolöschung erledigst du jederzeit selbst unter „Einstellungen → Konto“.
1. Datenstandort und Hosting
Die App läuft bei unserem Hosting-Anbieter Lovable („Lovable Cloud“, technisch auf Basis von Supabase); die Server-Funktionen führt Cloudflare aus. Die Regionen bestätigen wir hier, sobald sie schriftlich vorliegen.
- Datenbank, Anmeldung und Dateien (Lovable Cloud)
- wird bestätigt
- Ausführung der App (Cloudflare)
- wird bestätigt
- KI-Modelle (über Lovable)
- wird bestätigt
- Fehlerberichte (Sentry)
- EU (Frankfurt, Deutschland) wird bestätigt
2. Verschlüsselung
- Übertragung
- immer verschlüsselt (HTTPS mit TLS)
- Gespeicherte Daten beim Hosting-Anbieter
- wird bestätigt
- Zugangsschlüssel für Kanäle und Wissensquellen
- zusätzlich mit AES-GCM verschlüsselt, nur für unseren Server lesbar
- Passwörter
- nur als Hash gespeichert, nie im Klartext
3. Zugriffskontrolle und private Dateien
- Zugriffsregeln in der Datenbank: Jede Abfrage sieht nur die Daten des eigenen Kontos (Row Level Security). Die Datenbank prüft das selbst, nicht nur die Oberfläche.
- Zwei-Faktor-Anmeldung: Mit einer Authenticator-App für jedes Konto. Ist sie eingerichtet, verlangt auch der Server den zweiten Faktor. Sitzungen auf anderen Geräten beendest du selbst unter „Einstellungen → Sicherheit“.
- Protokoll: Wer wann was geändert hat, ohne Beitragstexte oder Zugangsschlüssel, 365 Tage lang und als CSV-Datei herunterladbar.
- Private Dateien: Beitragsbilder, Karussell-PDFs, Logo und Profilbild liegen in nicht öffentlichen Speicherbereichen. Links darauf erstellt der Server nur für dein Konto, und sie laufen nach einer Stunde ab. Beim Veröffentlichen bekommt die Plattform einen frischen Link oder die Datei selbst.
- Zugangsschlüssel Dritter (LinkedIn, Telegram, Wissensquellen) speichern wir verschlüsselt. Sie erreichen nie deinen Browser.
- Teams: Workspaces mit Rollen und Freigaben folgen; bis dahin gehört jedes Konto genau einer Person.
4. Sicherungen und Wiederherstellung
Die Datenbank sichert unser Hosting-Anbieter. Umfang, Ort und Zielwerte für Datenverlust (RPO) und Wiederherstellungszeit (RTO) bestätigen wir hier, sobald sie schriftlich vorliegen und eine Wiederherstellung geübt ist.
- Sicherung der Datenbank
- täglich wird bestätigt
- Aufbewahrung und Ort der Sicherungen
- wird bestätigt
- Datenverlust höchstens (RPO)
- wird bestätigt
- Wiederherstellung (RTO)
- wird bestätigt
- Geübte Wiederherstellung
- wird bestätigt
5. Überwachung, Vorfälle und Verfügbarkeit
- Fehler-Monitoring
- Sentry in der EU, ohne Inhalte, E-Mail- oder IP-Adressen wird bestätigt
- Verfügbarkeit und Zeitsteuerung
- Better Stack prüft jede Minute, alarmiert die Bereitschaft wird bestätigt
- Statusseite
- status.viral-post.ai wird bestätigt
- Vertragliche Verfügbarkeit (SLA)
- noch keine Zusage
- Meldung von Vorfällen an Firmenkunden
- innert 24 Stunden nach Kenntnis, ausführlicher Bericht innert 72 Stunden
Ein Betriebshandbuch regelt Alarme, Bereitschaft und Kundenmeldung. Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko melden wir sie zusätzlich so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Art. 24 DSG). Für Kunden in der EU informieren wir als Auftragsbearbeiter den Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO).
6. Unterauftragnehmer und Empfänger
Diese Liste ist dieselbe wie in der Datenschutzerklärung. Neue Unterauftragnehmer kündigen wir Firmenkunden vorher an; sie können widersprechen.
Auftragsbearbeiter
Lovable
Betrieb der App: Hosting, Datenbank, Anmeldung, Dateispeicher und Anmelde-E-Mails („Lovable Cloud“) sowie Zugang zu den KI-Modellen und zu Stripe.
- Daten
- Alle Daten deines Kontos: Anmeldung, Beiträge, Bilder und PDFs, Corporate Design, Kanäle, Protokoll
- Wann
- immer
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- AVV des Anbieters (öffnet in neuem Tab) wird bestätigt
SMTP2GO (E-Mail-Versand)
E-Mails der App: Anmeldung und Konto, Sicherheit, Abo, Hinweise, Tipps, Einladungen und Newsletter.
- Daten
- E-Mail-Adresse, Name, Sprache und der Inhalt der jeweiligen Mail (z. B. Bestätigungslink, Paket, Titel eines Beitrags oder Name des Workspaces)
- Wann
- bei jeder Mail der App, sobald der Versand über SMTP2GO eingerichtet ist
- Ort
- EU (Rechenzentrum eu-api.smtp2go.com), Firmensitz Neuseeland wird bestätigt
- Grundlage
- Angemessenheitsbeschluss für Neuseeland (EU und Schweiz) wird bestätigt
- AVV
- wird bestätigt
Amazon SES (E-Mail-Versand)
E-Mails der App, falls statt SMTP2GO eingerichtet.
- Daten
- E-Mail-Adresse, Name, Sprache und der Inhalt der jeweiligen Mail
- Wann
- bei jeder Mail der App, nur wenn der Versand über Amazon SES eingerichtet ist
- Ort
- Schweiz (Region Zürich, eu-central-2) wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- wird bestätigt
Perplexity
Recherche aktueller Themen (Pulse).
- Daten
- Suchanfragen aus deinen Themen und deiner Region, keine Kontodaten
- Wann
- bei der Recherche in Pulse
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- wird bestätigt
Stripe
Zahlungsabwicklung für Abos und Guthaben.
- Daten
- E-Mail-Adresse, Kundennummer, Abo und Zahlungen. Kartendaten gibst du direkt bei Stripe ein; wir erhalten sie nicht
- Wann
- wenn du ein Abo abschliesst oder Guthaben kaufst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- wird bestätigt
Sentry
Fehlerberichte bei unerwarteten Fehlern, damit wir Störungen schnell beheben.
- Daten
- Art und Ort des Fehlers, Seite ohne Parameter, Browser-Typ, Zeitpunkt und eine pseudonyme Kennung; keine Inhalte, E-Mail- oder IP-Adressen
- Wann
- nur bei unerwarteten Fehlern
- Ort
- EU (Frankfurt, Deutschland) wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- wird bestätigt
Better Stack
Verfügbarkeitsprüfung, Herzschlag der Zeitsteuerung und Statusseite.
- Daten
- Keine Daten über dich: Better Stack ruft nur unsere öffentlichen Adressen auf
- Wann
- laufend
- Ort
- EU wird bestätigt
- Grundlage
- nicht nötig (keine Personendaten)
- AVV
- wird bestätigt
Outstand
Veröffentlichen auf Instagram, Facebook, Threads, TikTok, Pinterest, Bluesky, X, YouTube, Google Business, Reddit, Vimeo, LinkedIn-Seiten und dem LinkedIn-Profil mit Statistiken; Kennzahlen für die Statistiken; Kommentare und Instagram-Nachrichten im Posteingang; erneut teilen und löschen auf der Plattform; Import älterer Beiträge.
- Daten
- Konto- oder Seitenname, Profilbild und Konto-Kennung; Text, Bilder und Videos bzw. PDF der Beiträge, dazu erster Kommentar, weitere Teile eines Threads und die Kanal-Optionen (z. B. markierte Personen oder Mitwirkende) (dort höchstens 60 Tage); Kennzahlen deiner Beiträge und Konten (beim LinkedIn-Profil Reaktionen, Kommentare, Reposts, Impressionen und Reichweite der Beiträge sowie die Zahl deiner Follower und Kontakte); im Posteingang Kommentare, Direktnachrichten und deine Antworten (bei uns 90 Tage); beim erneuten Teilen dein Kommentar; beim Import ältere Beiträge deiner Konten mit Text, Datum, Link und Kennzahlen (dort, bis du das Konto trennst)
- Wann
- nur wenn du einen dieser Kanäle oder dein LinkedIn-Profil mit Statistiken verbindest
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- AVV des Anbieters (öffnet in neuem Tab) wird bestätigt
Cloudflare (Export von Vorlagen und Dateispeicher R2)
Erstellt beim Export einer Vorlage das PDF bzw. das Bild (Browser Run) und speichert hochgeladene Bilder und Videos, Exporte aus Vorlagen und Datenexporte (R2, Speicherort EU).
- Daten
- Beim Export einer Vorlage deine Texte und Zahlen sowie dein Corporate Design (Farben, Schrift, Account-Name, Zeile, Website, Logo und Profilbild); im Speicher die Bilder und Videos, die du an Beiträge hängst, die fertigen Exporte aus Vorlagen und deine Datenexporte
- Wann
- bei jedem Export im Vorlagen-Studio; sobald der Speicher bei Cloudflare eingerichtet ist, auch beim Hochladen von Bildern und Videos und bei jedem Datenexport
- Ort
- Speicher (R2): EU (Bucket mit Jurisdiktion EU); Browser Run: Netz von Cloudflare, nicht an die EU gebunden; Firmensitz USA wird bestätigt
- Grundlage
- Data Privacy Framework bzw. Standardvertragsklauseln im Auftragsbearbeitungsvertrag (DPA) von Cloudflare wird bestätigt
- AVV
- AVV des Anbieters (öffnet in neuem Tab) wird bestätigt
Weitere Unterauftragnehmer
Supabase · über Lovable
Technische Grundlage von Lovable Cloud: Datenbank, Anmeldung und Dateispeicher.
- Daten
- Alle Daten deines Kontos
- Wann
- immer
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- über den AVV mit Lovable wird bestätigt
Amazon Web Services · über Supabase
Rechenzentrum für Datenbank und Dateien.
- Daten
- Alle Daten deines Kontos (verschlüsselt übertragen)
- Wann
- immer
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- über den AVV mit Supabase wird bestätigt
Cloudflare · über Lovable
Ausführung der App (Server-Funktionen) und Auslieferung der Seiten.
- Daten
- Daten, die während einer Anfrage durch die App laufen, und technische Angaben wie IP-Adresse und Browser
- Wann
- immer
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- über den AVV mit Lovable wird bestätigt
E-Mail-Versand von Lovable · über Lovable
Anmelde-E-Mails (Bestätigung, Passwort zurücksetzen).
- Daten
- E-Mail-Adresse und Inhalt der Anmelde-E-Mail
- Wann
- bei Anmeldung und Passwort-Wechsel
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- über den AVV mit Lovable wird bestätigt
Google (Gemini) · über Lovable
Texte schreiben, umschreiben und zusammenfassen, Karussell-Folien entwerfen.
- Daten
- Thema, recherchierte Quellen und Seiten, deren Links du mitgibst, dein Entwurf, dein Stilprofil, die gewählte Beitragsstruktur und Auszüge aus Wissensquellen, die du wählst
- Wann
- bei KI-Schritten für Texte
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- über den AVV mit Lovable wird bestätigt
OpenAI (GPT Image) · über Lovable
Bilder erstellen.
- Daten
- Bildbeschreibung aus Thema und einem Auszug des Beitragstexts
- Wann
- wenn du ein KI-Bild erstellst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- über den AVV mit Lovable wird bestätigt
Empfänger auf deine Anweisung
LinkedIn
Anmeldung bei LinkedIn und Veröffentlichen auf deinem Profil (mit Statistiken über Outstand).
- Daten
- Beim Verbinden Name, Profilbild und Mitglieds-ID; beim Veröffentlichen Text und Bild bzw. PDF, mit Statistiken auch mehrere Bilder oder ein Video
- Wann
- wenn du LinkedIn verbindest und veröffentlichst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Telegram
Senden in deinen Chat oder Kanal.
- Daten
- Text und Bild des Beitrags; das Bild lädt Telegram über einen Link, der nach einer Stunde abläuft
- Wann
- wenn du Telegram verbindest und veröffentlichst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Deine Website (WordPress, Webflow, Wix, Shopify, Ghost oder ein Webhook)
Blogartikel auf deiner Website anlegen oder veröffentlichen.
- Daten
- Titel, Kurzbeschreibung, URL-Kürzel und Artikel; auf Wunsch das Bild des Beitrags (hochgeladen oder über einen Link, der nach einer Stunde abläuft)
- Wann
- nur wenn du eine Website verbindest und einen Artikel dorthin schickst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Instagram, Facebook, Threads, TikTok, Pinterest, Bluesky, X, YouTube, Google Business, Reddit, Vimeo
Veröffentlichen über Outstand; Antworten aus dem Posteingang.
- Daten
- Text, Bilder und Videos bzw. PDF des Beitrags; deine Antworten aus dem Posteingang
- Wann
- wenn du einen dieser Kanäle verbindest und veröffentlichst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Google und Apple (Anmeldung)
Anmeldung mit deinem Google- oder Apple-Konto, technisch über Lovable.
- Daten
- Name und E-Mail-Adresse; bei Apple auf Wunsch nur eine anonyme Weiterleitungsadresse
- Wann
- wenn du „Mit Google fortfahren“ oder „Mit Apple fortfahren“ wählst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
KI-Assistenten, die du verbindest (z. B. ChatGPT, Claude, Microsoft Copilot)
Lesen von Stilprofil, Trends und Beiträgen und Anlegen von Entwürfen, aber nichts veröffentlichen oder einplanen.
- Daten
- Was du dem Assistenten erlaubst
- Wann
- nur wenn du einen Assistenten verbindest
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Push-Dienste der Browser (Google, Apple, Mozilla, Microsoft)
Zustellen von Mitteilungen auf Geräte, auf denen du sie einschaltest.
- Daten
- Verschlüsselte Mitteilung (Titel, kurzer Text, Link) und die technische Adresse deines Geräts beim Push-Dienst
- Wann
- nur wenn du Mitteilungen auf einem Gerät einschaltest
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Anbieter deiner Wissensquellen (z. B. Notion, Linear, Atlassian)
Lesen ausgewählter Inhalte mit lesenden Werkzeugen, die du freigibst.
- Daten
- Dein Thema, deine Suchanfrage und die gefundenen Auszüge
- Wann
- nur wenn du eine Wissensquelle verbindest oder beim Schreiben wählst
- Ort
- wird bestätigt
- Grundlage
- wird bestätigt
- AVV
- kein AVV (auf deine Anweisung)
Ohne Daten über dich
- Öffentliche Nachrichten-Feeds und Artikel: Recherche für Pulse; wir übermitteln dabei keine Daten über dich.
- Deine eigenen Quellen (Feeds, YouTube-Kanäle, Websites): Wir rufen nur die Quellen ab, die du hinzufügst (bei YouTube den öffentlichen Feed des Kanals), und übermitteln keine Daten über dich.
- Deine Website (Corporate Design übernehmen): Wir rufen nur die Adresse ab, die du eingibst, und übermitteln keine Daten über dich.
- Frankfurter (Wechselkurse der Europäischen Zentralbank): Preise und Kosten in Franken umrechnen.
- Zeitstempeldienst für die Herkunftsangaben (C2PA), falls eingerichtet: Erhält nur eine Prüfsumme der Signatur, keine Inhalte.
7. Künstliche Intelligenz
- Modelle und Anbieter: Texte entstehen mit Gemini von Google (für „Premium“ das grössere Pro-Modell), Bilder mit GPT Image von OpenAI, beide über das KI-Gateway von Lovable. Die Recherche läuft über Perplexity.
- Daten: Die Modelle bekommen nur, was der jeweilige Schritt braucht: Thema, recherchierte Quellen, deinen Entwurf, dein Stilprofil und Auszüge aus Wissensquellen, die du ausdrücklich wählst.
- Mensch entscheidet: Ohne dich wird nichts veröffentlicht. Beiträge mit KI-Anteil brauchen vor dem Planen eine redaktionell verantwortliche Person und die Bestätigung „Inhalt geprüft“.
- Kennzeichnung (AI Act Art. 50): Jeder Beitrag hat eine KI-Spur (Schritt, Modell, Zeitpunkt). Einen sichtbaren Hinweis „Mit KI erstellt“ schaltest du pro Beitrag ein. Herkunftsangaben der Modellanbieter in Bildern bleiben erhalten, und mit einem Fingerabdruck prüfst du, ob ein Text aus deinem Konto stammt.
- Regionen der KI-Modelle
- wird bestätigt
- Training mit deinen Inhalten durch uns
- nein
- Speicherung und Training bei den KI-Anbietern
- wird bestätigt
- Signierte Herkunftsangaben (C2PA) in Bildern und PDFs
- wird bestätigt
8. Löschfristen, Export und Ausstieg
- Konto und Inhalte speichern wir, bis du sie oder dein Konto löschst.
- Den Datenexport (ZIP mit JSON, CSV, Bildern und PDFs) forderst du selbst an; er bleibt 7 Tage abrufbar.
- Löschst du dein Konto, ist es zuerst 7 Tage gesperrt. Danach löschen wir alle Inhalte, Dateien und Zugänge und halten die Löschung in einem Nachweis ohne Personendaten fest.
- Abrechnungsbelege bewahren wir ohne Bezug zu deiner Person auf, solange das Gesetz es verlangt (10 Jahre).
Für diese Daten gelten feste Fristen. Danach löschen wir sie automatisch:
| Daten | Frist |
|---|---|
| Laufende Anmeldungen bei LinkedIn, Kanälen über Outstand und Wissensquellen (gültig 15 bzw. 30 Minuten) | 1 Tag |
| Einmal-Codes beim Verbinden von ChatGPT, Claude oder Copilot (gültig 10 Minuten) | 1 Tag |
| Widerrufene oder abgelaufene Zugänge von ChatGPT, Claude oder Copilot | 30 Tage |
| Zwischenstände von KI-Aktionen (damit ein Verbindungsabbruch keine Credits doppelt kostet) | 7 Tage |
| Datenexporte (ZIP-Dateien zum Herunterladen) | 7 Tage |
| Exporte aus dem Vorlagen-Studio (PDF- und PNG-Dateien, dazu Vorlage, Format und wer exportiert hat) und als Beitrag verwendete Vorlagen (Kanal, Stand; die Formulardaten nur einen Tag) | 30 Tage |
| Hochgeladene Bilder und Videos, deren Upload nicht abgeschlossen wurde (z. B. Seite während des Hochladens geschlossen) | höchstens 1 Tag |
| Einladungen in einen Team-Workspace (E-Mail-Adresse und Rolle), nachdem sie angenommen, zurückgezogen oder abgelaufen sind | 30 Tage |
| Trend-Ideen, aus denen du keinen Beitrag gemacht hast | 60 Tage |
| Recherchierte Nachrichtenartikel | 30 Tage |
| Läufe des Autopiloten (Zeitpunkt, gewählte Meldungen mit Ausschnitt, Ergebnis, Credits) | 90 Tage |
| Geräte für Mitteilungen (Adresse beim Push-Dienst, Schlüssel, Gerätename), die weder die App geöffnet noch eine Mitteilung erhalten haben | 180 Tage |
| Posteingang: Kommentare und Instagram-Direktnachrichten (Text, Anhänge als Link, Name und Benutzername der Person, Zustellstatus), ab Eingang bzw. Versand | 90 Tage |
| Importierte ältere Beiträge (Textauszug, Datum, Link, Kanal und Zahlen der Plattform), ab dem Veröffentlichen; bei getrennten Kanälen nach 7 Tagen | 395 Tage |
| Versandprotokoll der automatischen Mails (Vorlage, Sprache, Ergebnis; ohne Adresse und Inhalt) | 180 Tage |
| Beobachtungen zu Konto und Abo für die Betreuung (registriert, Bezahlseite geöffnet, Abo gestartet oder gekündigt) | 365 Tage |
| Newsletter-Anmeldungen ohne Bestätigung und abgemeldete Adressen | 30 Tage |
| Erledigte Hintergrundaufgaben, z. B. „Beitrag veröffentlichen“ (nur Kennungen) | 30 Tage |
| Gescheiterte Hintergrundaufgaben (für die Fehlersuche) | 90 Tage |
| Fehlerberichte bei Sentry | höchstens 90 Tage |
| Protokoll (wer wann was geändert hat) | 365 Tage |
| Abrechnungsbelege (Credit- und Kostenbuchungen), nach einer Kontolöschung ohne Bezug zu deiner Person | 10 Jahre |
| Bestätigte Sitzungen für den Passkey-Schritt (Sitzungskennung, Zeitpunkt); abgemeldete Sitzungen beim nächsten Aufräumen | 30 Tage |
| Übergaben an die Browser-Erweiterung für LinkedIn (Beitrag, Hash des einmaligen Zugangsschlüssels, gemeldeter Link), nach Ablauf oder Einlösung | 1 Tag |
| Zugangsschlüssel der Seitenleiste der Browser-Erweiterung (Hash des Schlüssels, Workspace, Beschriftung, letzte Nutzung), nach Widerruf oder Ablauf | 30 Tage |
9. Barrierefreiheit
Ziel ist WCAG 2.2 AA in allen Hauptabläufen. Bei jeder Änderung prüft axe-core alle Seiten auf Desktop und Handy, dazu laufen Tastaturtests (Beitrag erstellen, einplanen und im Kalender verschieben ohne Maus).
Der Konformitätsbericht (ACR nach VPAT 2.5, Selbstbewertung) liegt vor: 44 Kriterien erfüllt, 4 teilweise, keines nicht erfüllt, 8 nicht anwendbar. Teilweise heisst vor allem: Beitragsbilder haben noch keine beschreibenden Alternativtexte, und einzelne Formulare zeigen Fehler nur als Kurzmeldung. Die Prüfung mit einem Screenreader (VoiceOver) steht noch aus. Den Bericht erhältst du auf Anfrage über den Kontakt unten.
10. Prüfungen und Zertifikate
- Zwei-Faktor-Anmeldung für unser Team bei Lovable
- wird bestätigt
- Externer Penetrationstest
- wird bestätigt
- Eigene Zertifizierung (ISO 27001, SOC 2)
- noch keine
11. Dokumente
Diese Unterlagen stellen wir hier zum Herunterladen bereit, sobald sie geprüft sind. Bis dahin erhältst du sie auf Anfrage über den Kontakt unten.
- Entwurf, Prüfung offen
Auftragsbearbeitungsvertrag (AVV)
Nach DSG und DSGVO Art. 28, mit Zusätzen für FINMA und DORA
- Entwurf, Prüfung offen
Technische und organisatorische Massnahmen (TOM)
Massnahmen nach Art. 8 DSG und Art. 32 DSGVO
- Entwurf, Prüfung offen
Lösch- und Ausstiegskonzept
Fristen, Export und Löschnachweis
- Entwurf, Prüfung offen
Notfallplan
Ablauf bei Vorfällen und Meldung an Kunden innert 24 Stunden
- Entwurf, Prüfung offen
KI-Factsheet
Modelle, Datenflüsse, Training und Kennzeichnung
- Entwurf, Prüfung offen
DSFA-Vorlage für Corporate-Influencer-Programme
Datenschutz-Folgenabschätzung für Firmen, die Mitarbeitende posten lassen
- Entwurf, Prüfung offen
Verzeichnis der Bearbeitungstätigkeiten
Als Verantwortliche und als Auftragsbearbeiterin (Auszug auf Anfrage)
- Selbstbewertung, auf Anfrage
Konformitätsbericht Barrierefreiheit (ACR)
WCAG 2.2 AA, Erfolgskriterium für Erfolgskriterium (nach VPAT 2.5)
- in Vorbereitung
Sicherheitsfragebogen (CAIQ Lite)
Antworten aus diesem Trust-Center
- in Vorbereitung
Zusammenfassung des Penetrationstests
Folgt nach dem ersten externen Test
12. Kontakt und Meldung von Sicherheitslücken
Hast du eine Sicherheitslücke gefunden? Melde sie uns bitte vertraulich an hallo@viral-post.ai. Die Angaben für Programme stehen maschinenlesbar in der security.txt.
- Beschreibe, was du gefunden hast und wie wir es nachvollziehen können.
- Greife nicht auf fremde Daten zu, verändere oder lösche nichts und belaste die App nicht (keine Last- oder Spam-Tests).
- Gib uns Zeit für die Behebung, bevor du etwas veröffentlichst.
- Wir bestätigen den Eingang und halten dich über die Behebung auf dem Laufenden.
Fragen zu Verträgen, Unterlagen oder einem Sicherheitsfragebogen beantworten wir über dieselben Kontaktangaben.