DeepMech – Whitepaper Datensicherheit

Version: v2.0｜Stand: 2026-07-14 Geltungsbereich: DeepMech Basic, DeepMech Pro, DeepMech Enterprise

Sie vertrauen uns nicht nur Zeichnungen an, sondern auch Angebotsdaten, Kundendaten, Zugangsdaten und Zahlungsinformationen. Wir betrachten sie als Kernvermögen Ihres Unternehmens und schützen sie bereits auf Architekturebene – nicht durch nachträgliche Flicken.

Dieses Whitepaper erläutert die von uns umgesetzten technischen Schutzmaßnahmen und Compliance-Zusagen.

1. Welche Daten wir schützen

2. Lokale Zeichnungsverarbeitung (zentrales Unterscheidungsmerkmal)

SaaS-Lösungen für die Zerspanung verlangen üblicherweise, dass Kunden ihre Zeichnungen vollständig auf einen Server hochladen, wo die KI sie analysiert und ein Angebot zurückliefert. Das bedeutet: Ihre sensiblen Zeichnungsdaten verlassen Ihr Gerät und landen auf einem fremden Server.

Wir setzen auf eine völlig andere Architektur:

• Die KI-Analyse erfolgt bevorzugt lokal in Ihrem Desktop-Client; in der Kalkulationsphase werden nur anonymisierte Merkmalsparameter übertragen – Bohrungskoordinaten, Maße, Toleranzklassen, Oberflächenanforderungen und andere strukturierte Felder, nicht die Zeichnung selbst
• Ist eine KI-Analyse erforderlich, werden Zeichnungen über TLS-verschlüsselte Kanäle übertragen und serverseitig verschlüsselt gespeichert, nur für Ihr Konto sichtbar
• Externe Dokumente enthalten standardmäßig keine Zeichnungen: Wenn Sie Angebote oder Bestellungen an Partner senden, sieht der Empfänger standardmäßig nur den Dokumentinhalt und Ihre Signatur; nur wenn Sie beim Versand die Zeichnung aktiv freigeben, kann der angegebene Empfänger sie ansehen (ob der Download der Originalzeichnung erlaubt ist, entscheiden Sie; wird das Dokument storniert, erlischt die Freigabe sofort)

3. Isolation von Angebots- und Geschäftsdaten

Angebote enthalten Ihre Kostenstruktur und Ihre Kundenliste – auch hier ist der Schutz auf Architekturebene verankert:

• Strikte Kontoisolation: Angebote, Kundenstammdaten und Kostenparameter werden nach Kontozugehörigkeit geprüft; jeder API-Zugriff verifiziert die Ressourcenzugehörigkeit
• Whitelist-Projektion bei externer Freigabe: Die Online-Ansichtsseite und der Posteingang des Empfängers zeigen ausschließlich die externen Angebotsfelder (Bezeichnung, Menge, Einzelpreis, Zwischensumme); Ihre internen Kosten, Margen, Stundensätze und andere sensible Felder werden niemals ausgeliefert – das ist ein serverseitiger Whitelist-Mechanismus, kein Ausblenden im Frontend
• Tokenisierte Freigabelinks: Jedes Kundenangebot erhält einen eigenen zufälligen Token-Link – nicht aufzählbar, nicht erratbar
• Eigene Preisparameter in Pro (Ihre Werkstoffpreise, Stundensätze) werden ausschließlich für Ihre eigene Kalkulation verwendet – nicht geteilt und keinem anderen Nutzer aggregiert angezeigt

4. Kundendaten werden nicht für Modelltraining verwendet

Wir sichern ausdrücklich zu:

• Ihre Zeichnungen, Angebotsdaten und Geschäftsunterlagen werden nicht in die Trainingsdatensätze unserer KI-Modelle aufgenommen
• Unsere bereits trainierten Modelle basieren auf öffentlichen Datensätzen und von Partnerkunden freigegebenen Daten
• Daten werden in der KI-Aufrufkette anonymisiert: Nutzerinhalte in Aufrufprotokollen durchlaufen einen Filter für sensible Informationen, Dateinamen werden durch Hashes ersetzt, Originaldateinamen werden nicht protokolliert
• Sollten wir künftig die Daten eines bestimmten Kunden zur Modelloptimierung benötigen (z. B. Training für Sonderverfahren), schließen wir vorab eine gesonderte Einwilligungsvereinbarung mit klarer Angabe von Zweck, Umfang und Dauer – niemals ohne Wissen des Kunden

Diese Zusage ist Bestandteil unserer Servicevertragsbedingungen.

5. Konto- und Gerätesicherheit

• Passwörter werden mit bcrypt als Einweg-Hash gespeichert: salt rounds = 10, entsprechend der OWASP-Empfehlung; auch DeepMech-Mitarbeiter können Ihr Klartextpasswort nicht einsehen
• Gerätebindung – ein Code pro Gerät: Der Aktivierungscode ist an den Geräte-Fingerabdruck gebunden; nicht gebundene Geräte können sich nicht anmelden. Gerätewechsel per Selbstfreigabe, maximal 2-mal in 30 Tagen (rollierend) – verhindert missbräuchliches Teilen von Konten
• Nur ein Gerät online: Pro Konto ist gleichzeitig nur 1 Gerät online; eine neue Anmeldung beendet die alte Sitzung
• JWT-Bearer-Token-Authentifizierung + HMAC-SHA256-Request-Signatur: Jede Anfrage des Desktop-Clients ist signiert – Schutz vor Replay- und Manipulationsangriffen
• Isolation von Zugangsdaten: Im Desktop-Client laufen sensible Schlüssel und die Signaturlogik im Electron-Hauptprozess und sind für den Renderer-Prozess nicht zugänglich

6. Zahlungssicherheit

• Alle Zahlungen laufen über die offiziellen Kanäle von WeChat Pay und Alipay; per QR-Code direkt an die offizielle Kasse
• DeepMech hat keinen Zugriff auf Ihre Kartennummer, Zahlungspasswörter oder sonstige Zahlungsnachweise und speichert sie nicht – unser System erfasst nur Bestellnummer, Betrag und die vom Zahlungsdienst zurückgegebene Transaktionsnummer
• Zahlungsrückmeldungen werden erst nach offizieller Signaturprüfung verbucht – Schutz vor gefälschten Rückmeldungen

7. Zugriffskontrolle und Audit

• Prüfung der Ressourcenzugehörigkeit: Jede API prüft, ob der aktuelle Nutzer Eigentümer der Ressource ist; Daten verschiedener Kunden sind strikt getrennt
• Abgestufte Rechte im Admin-Backend: Superadministratoren, Vertriebsmitarbeiter und normale Administratoren erhalten jeweils nur die minimal erforderlichen Rechte
• Protokollierung: Kritische Vorgänge (Datenänderungen, Statuswechsel, administrative Eingriffe usw.) werden protokolliert und sind nachprüfbar
• Nachverfolgung von KI-Aufrufen: Jeder KI-Aufruf wird mit Aufrufer, Szenario und Dauer erfasst; Inhalte werden anonymisiert gespeichert und nach 30 Tagen automatisch gelöscht

8. Datenminimierung und Löschung

• Minimale Erhebung: Es werden nur die für den Geschäftsbetrieb tatsächlich nötigen Informationen erhoben; keine dienstfremden Daten
• Speicherdauer: Geschäftsbelege werden gemäß gesetzlichen Vorgaben für die erforderliche Dauer aufbewahrt (Steuerbelege, Streitbeilegung) und danach gelöscht
• Löschung auf Kundenwunsch: Sie können jederzeit die Löschung Ihrer Daten verlangen; wir führen innerhalb von 30 Kalendertagen die Soft-Löschung der Metadaten und die physische Löschung der Dateien durch

9. Datengrenzen bei professionellen Berichten

Für das Geschäft mit professionellen Berichten (Marktchancen / Risiko-Due-Diligence):

• Berichte werden ausschließlich an die bei der Zahlung angegebene E-Mail-Adresse zugestellt – niemals an Dritte
• Alle Rechercheinformationen stammen aus öffentlichen Quellen (Medien, Justiz, Handelsregister, Handelsdatenbanken, soziale Medien); es erfolgt keinerlei Beschaffung nicht-öffentlicher Daten
• Die von Ihnen angegebenen Informationen zum Untersuchungsgegenstand werden nur für diesen Bericht verwendet und fließen in keinen gemeinsamen Datenpool

10. Reaktion auf Sicherheitsvorfälle

Bei einem Sicherheitsvorfall, der Kundendaten betrifft:

• Innerhalb von 72 Stunden schriftliche Benachrichtigung der betroffenen Kunden mit Art des Vorfalls, Umfang der Auswirkungen und ersten Maßnahmen
• Vollständiger Vorfallbericht: Nach Abschluss der Untersuchung erhalten Sie einen vollständigen Bericht mit Ursachenanalyse und Verbesserungsmaßnahmen
• Unterstützung kundenseitiger Untersuchungen: Benötigen Rechtsabteilung oder Audit des Kunden technische Nachweise, stellen wir diese bereit

11. Schwachstellenmeldung und Sicherheitsanfragen

Wir ermutigen Sicherheitsforscher zur verantwortungsvollen Offenlegung von Schwachstellen:

• E-Mail für Sicherheitsanfragen:legal@jiagong.ai
• Reaktion auf Schwachstellen: Antwort innerhalb von 5 Werktagen nach Eingang einer qualifizierten Meldung, Abschluss innerhalb von 30 Tagen
• Anerkennung und Belohnung: Forscher, die uns helfen, die Sicherheit zu verbessern, werden öffentlich genannt und je nach Schweregrad belohnt

12. Compliance

Produktdesign und Betrieb entsprechen:

• Cybersicherheitsgesetz der Volksrepublik China
• Datensicherheitsgesetz der Volksrepublik China
• Gesetz der Volksrepublik China zum Schutz personenbezogener Informationen
• Informationssicherheitstechnik – Spezifikation zur Sicherheit personenbezogener Informationen (GB/T 35273)

Gelten in Ihrer Branche besondere Compliance-Anforderungen (Wehrtechnik, Medizintechnik, Automotive-Tier-1 usw.), sprechen Sie gern unser Vertriebsteam an.

Kontakt

• Allgemeine Anfragen:support@jiagong.ai
• Sicherheit / Rechtliches:legal@jiagong.ai
• Service-Hotline: 4009-128-168
• Unternehmen: Landau Suzhou LLC
• Adresse: Xiangtai Road 369, Yangchenghu, Xiangcheng District, Suzhou, China