Sicherheit bei Zentriq

1. Zwei Produkte, drei Datenflüsse

Zentriq liefert zwei Produkte, PunchOut und den Agent. Der Agent verarbeitet sowohl den Live-Chat als auch die Dokumentenerfassung, die Ihre Daten unterschiedlich berühren, daher gibt es unten drei Datenflüsse. Lesen Sie den für Sie relevanten oder alle.

1.1 PunchOut

Wenn Sie einen Warenkorb auf einer unterstützten E-Commerce-Seite erfassen, werden die Warenkorbdaten in Ihrem Browser gelesen und strukturiert und gehen direkt an Ihren Business-Central-Mandanten über die Standard-API von Microsoft. Zentriq wird nur aufgerufen, um zu bestätigen, dass Ihr Konto über Credits verfügt, und um bei einer bestätigten Erfassung einen Credit zu zählen, der Warenkorb selbst durchläuft niemals Zentriq.

Das bedeutet: Die von Ihnen gekauften Produkte, ihre Preise und Ihre Lieferantenbeziehungen verlassen niemals den Pfad von Ihrem Browser zu Ihrem BC-Mandanten. Zentriq sieht nur Abrechnungs-Metadaten (Zeitstempel, Lieferanten-Host, Zeilenanzahl).

1.2 Agent (Chat direkt in BC)

Wenn Sie dem Agent eine Frage innerhalb von Business Central stellen, interpretiert Zentriq sie, liest nur die für die Frage benötigten BC-Datensätze (in Ihrem Auftrag, unter Ihren eigenen BC-Berechtigungen) und sendet die Nachricht und den Kontext an unseren KI-Anbieter, um die Antwort zu generieren. Unser KI-Anbieter arbeitet für unser Konto unter einer Richtlinie ohne Datenaufbewahrung: Ihre Daten werden über die Anfrage hinaus nicht gespeichert und niemals zum Trainieren von KI-Modellen verwendet.

1.3 Document Capture, innerhalb des Agent

Wenn Sie ein Lieferantendokument hochladen, wird es in einem privaten, in der EU gehosteten Speicher (Frankfurt) abgelegt, nur für Sie lesbar, und zur Extraktion an unseren KI-Anbieter gesendet, unter denselben Bedingungen ohne Datenaufbewahrung und ohne Training. Die extrahierten Zeilen werden mit Ihren bestehenden BC-Datensätzen abgeglichen und Ihnen als Entwurf präsentiert, den Sie prüfen und selbst in BC buchen. Ohne Ihre ausdrückliche Bestätigung wird nichts in Business Central geschrieben oder gebucht.

2. Worauf jedes Produkt zugreift

Beide Produkte folgen dem Least-Privilege-Prinzip, jedes ist auf das Minimum beschränkt, das eine Aufgabe benötigt. Sie lesen nur die Datensätze, die eine Abfrage erfordert, und jeder Schreibvorgang in Business Central ist ein Entwurf, den Sie prüfen und selbst buchen.

2.1 PunchOut

• Warenkorbdaten auf unterstützten E-Commerce-Seiten (nur lesend, in Ihrem Browser)
• Microsoft-Konto-E-Mail, Name, Mandanten-ID (aus der Anmeldung)
• In BC: liest nur die Datensätze, die eine Warenkorberfassung benötigt, und bereitet Warenkorbzeilen zu Ihrer Prüfung vor. Mehr nicht.
• Anonyme Nutzungsereignisse (Erfassungsanzahl, Lieferanten-Host, Erfolg/Fehlschlag), keine Warenkorbinhalte

2.2 Agent

• Microsoft-Konto-E-Mail, Name, Mandanten-ID (aus der Anmeldung)
• BC-Daten, die in Echtzeit zur Beantwortung Ihrer Fragen abgerufen werden, nur das, was jede Abfrage erfordert
• Ihre Chat-Nachrichten und KI-Antworten (gespeichert, damit Sie frühere Unterhaltungen fortsetzen können)
• Anonyme Nutzungsmetriken (Seitenaufrufe, Funktionsnutzung, Fehlerraten)

2.3 Document Capture (innerhalb des Agent genutzt)

• Die von Ihnen hochgeladenen Lieferantendokumente (Sie wählen jede Datei selbst)
• Microsoft-Konto-E-Mail, Name, Mandanten-ID (aus der Anmeldung)
• In BC: liest nur die zum Abgleich des Dokuments benötigten Datensätze und erstellt dann einen Entwurf zu Ihrer Prüfung. Ohne Ihre Bestätigung wird nichts gebucht.
• Die hochgeladene Datei, abgelegt in einem privaten EU-Speicher (Frankfurt), auf Anfrage löschbar

3. Worauf wir nicht zugreifen

• Wir exportieren nicht Ihre vollständige BC-Datenbank, keines der beiden Produkte führt einen Massenabzug durch.
• Wir speichern nicht Ihr Microsoft-Passwort, Sie melden sich mit Microsoft an und wir sehen es niemals. Zugangsdaten, die wir halten, sind im Ruhezustand verschlüsselt.
• Wir speichern keine Warenkorbinhalte auf Zentriq-Servern, PunchOut geht direkt von Ihrem Browser zu Ihrem BC-Mandanten.
• Wir verkaufen oder teilen Ihre Daten mit niemandem ausserhalb der für den Betrieb des Dienstes erforderlichen Infrastruktur-Unterauftragsverarbeiter (siehe unsere Liste der Unterauftragsverarbeiter).
• Wir trainieren keine KI-Modelle mit Ihren Daten, die Richtlinie ohne Datenaufbewahrung unseres KI-Anbieters gilt für unsere gesamte Nutzung.

4. Verschlüsselung

Alle Daten sind bei der Übertragung und im Ruhezustand verschlüsselt. Der Netzwerkverkehr, zu und von Ihrem Browser, Ihrem BC-Mandanten und unseren Anbietern, nutzt modernes TLS. Datenbanken, Dateianhänge und alle gespeicherten Zugangsdaten sind im Ruhezustand verschlüsselt.

5. Datenstandort

EU-Datenstandort: Ihre Daten werden in der EU (Frankfurt) verarbeitet und gespeichert, einschliesslich der KI-Inferenz, die vollständig innerhalb der EU läuft. Die vollständige Liste der Unterauftragsverarbeiter mit Namen und Regionen finden Sie in unserer Liste der Unterauftragsverarbeiter. Kontaktieren Sie sales@zentriqsoftware.com für einen AVV.

6. Aufbewahrung

• Agent-Unterhaltungen, aufbewahrt, bis Sie sie löschen oder Ihr Konto schliessen.
• PunchOut-Erfassungsverlauf, nur Metadaten (Zeitstempel, Lieferanten-Host, Zeilenanzahl); 12 Monate. Keine Warenkorbinhalte gespeichert.
• Nutzungsprotokolle, 90 Tage.
• Fehlerberichte, 90 Tage (rollierend).
• BC-Zugangsdaten, bis Sie BC von der App trennen, oder nach 90 Tagen Inaktivität.
• Abrechnungsunterlagen, 7 Jahre (gesetzliche Verpflichtung).

7. Zugriffskontrollen

• Zugriff auf die Produktivdatenbank, beschränkt auf 2 Zentriq-Mitarbeitende. MFA verpflichtend. Zugriff protokolliert.
• Code-Deployments, nur durch bekannte, authentifizierte Maintainer.
• Admin-Konsolen der Anbieter, alle MFA-geschützt.
• Ihre BC-Berechtigungen sind die letzte Instanz, Sie verbinden sich über Ihre eigene Microsoft-Anmeldung, sodass selbst ein kompromittiertes Zentriq-Backend in BC nicht mehr tun kann, als die Berechtigungen Ihres individuellen Benutzers erlauben.

8. Incident Response

Im Falle eines Sicherheitsvorfalls:

• Wir benachrichtigen betroffene Kunden innerhalb von 72 Stunden nach Entdeckung (gemäss DSGVO Art. 33).
• Die Offenlegung umfasst: was passiert ist, welche Daten betroffen waren, was wir zur Eindämmung getan haben und was Sie tun sollten.
• Für Post-mortems veröffentlichen wir eine redigierte Zusammenfassung, sobald der Vorfall abgeschlossen ist.
• Melden Sie ein vermutetes Problem: security@zentriqsoftware.com (PGP-Schlüssel auf Anfrage).

9. Unterauftragsverarbeiter

Sie authentifizieren sich über Microsoft Entra ID und verbinden sich mit Ihrem eigenen Business-Central-Mandanten, Ihrer eigenen Plattform, nicht einem verborgenen Unterauftragsverarbeiter. Für den Betrieb des Dienstes verlassen wir uns zudem auf eine kleine Gruppe in der EU gehosteter Infrastrukturanbieter, die Authentifizierung, KI-Inferenz (unter einem AVV ohne Datenaufbewahrung), Zahlungsabwicklung, Anwendungs- und Dateihosting, unsere Datenbank, Fehlerüberwachung und transaktionale E-Mails abdecken. Jeder ist durch einen Auftragsverarbeitungsvertrag gebunden.

Die vollständige Liste der Unterauftragsverarbeiter mit Namen und Regionen finden Sie in unserer Liste der Unterauftragsverarbeiter.

10. Ihre Rechte (DSGVO / revDSG)

Sie können:

• Exportieren, einen JSON-Export all Ihrer Daten anfordern. Schreiben Sie an privacy@zentriqsoftware.com (innerhalb von 30 Tagen erfüllt).
• Löschen, die vollständige Kontolöschung aus Ihrem Dashboard auslösen. Kaskadierend werden alle Erfassungen, Unterhaltungen und Mitgliedschaften gelöscht; Abonnements werden automatisch gekündigt.
• BC trennen, den Zugriff jederzeit in Ihrem Dashboard widerrufen oder die Zentriq-App aus Business Central deinstallieren. Zentriq verliert sofort jeglichen Zugriff auf Ihren BC-Mandanten.
• Widersprechen / einschränken, schreiben Sie uns, wir kommen Ihrer Anfrage nach.

11. Zertifizierungen und Roadmap

• DSGVO + revDSG: konform (Schweizer Unternehmen, Verarbeitung in der EU).
• SOC 2 Type II: in Arbeit, erwartet für Q4 2026. Fragen Sie nach unserem Readiness Assessment, falls Sie es vorher benötigen.
• ISO 27001: auf der Roadmap für 2027.

Fragen? security@zentriqsoftware.com, wir antworten innerhalb eines Werktags. Siehe auch: Datenschutzerklärung · AGB · Zweiseitige Sicherheitsübersicht (druckbar).