Trust Center

Sicherheit, klar gesagt.

Wie Apollo Negoce die Kontrakte, Positionen und Gegenparteien schützt, die Sie uns anvertrauen. Jede Maßnahme auf dieser Seite ist bereits heute umgesetzt.

Richtlinien anforderncontact@apollonegoce.com

An SOC 2 ausgerichtete Architektur. Richtlinien in Version 1.0, gültig ab 3. November 2026.

Der Weg Ihrer Daten

Verfolgen Sie Ihre Daten Schritt für Schritt

Vom Team, das darauf zugreifen kann, bis zu dem Tag, an dem Sie uns verlassen: was Ihre Daten bei jedem Schritt schützt, wer sie verarbeitet und welche Richtlinie dafür gilt.

  1. 00Bevor jemand auf Ihre Daten zugreift

    Ein kleines Team, namentlich zugeordnete Konten und jeder Support-Zugriff protokolliert.

    Namentlich
    Jeder Support-Zugriff unter der echten Identität
    • Apollo wird von seinen drei Gründern geführt. Jedes Konto erhält nur die Zugriffsrechte, die seine Rolle erfordert, und verliert sie noch am selben Tag, an dem die Rolle sie nicht mehr benötigt.
    • Support-Zugriff beschränkt auf eine namentliche Liste von Apollo-Konten, jeder Zugriff wird unter der tatsächlichen Identität protokolliert.
    • Während ein Support-Mitarbeiter als einer Ihrer Nutzer agiert, sind seine Administratorrechte ausgesetzt.
    • Der Schlüssel, der die Zugriffsregeln der Datenbank umgeht, wird ausschließlich im Servercode verwendet. Er gelangt nie in einen Browser oder auf ein Smartphone.
    • Einige unserer Kunden stehen miteinander im Wettbewerb. Was wir über Preise, Positionen oder Gegenparteien eines Kunden erfahren, wird niemals mit einem anderen geteilt.
    Geltende Richtlinien
  2. 01Sie melden sich an

    Nur Personen, die Ihr Administrator einlädt, erhalten Zugang zu Ihrer Organisation.

    1 h
    Gültigkeitsdauer eines Zugriffstokens
    • Nutzer treten einer Organisation nur auf Einladung eines ihrer Administratoren bei, und jede E-Mail-Adresse wird bestätigt.
    • Passwörter müssen mindestens 8 Zeichen lang sein, und Passwörter, die aus öffentlichen Datenlecks bekannt sind, werden abgelehnt.
    • Passwörter werden nur als Hashes gespeichert. Apollo kann sie nicht lesen.
    • Optionaler zweiter Faktor: ein 6-stelliger Code per E-Mail, 10 Minuten gültig, 5 Versuche.
    • Zugriffstoken laufen nach einer Stunde ab. Refresh-Token wechseln bei jeder Verwendung.
    • Rollen innerhalb jeder Organisation: Administrator, Händler, Operations, Finanzen, Logistik, Qualität, Betrachter.
    Anbieter in diesem Schritt
    • SupabaseEU, Irland
      Datenbank, Authentifizierung, Dateispeicher und Backups
    • Resend
      Transaktions-E-Mails: Einladungen, Bestätigungen, Anmeldecodes
    Geltende Richtlinien
  3. 02Ihre Daten werden gespeichert

    In der Europäischen Union, verschlüsselt und von allen anderen Organisationen abgeschottet.

    EU
    Gehostet in der Europäischen Union
    3
    Trennungsebenen zwischen Organisationen
    • Datenbank, Benutzerkonten, Dateien und Anwendungsfunktionen laufen in Irland. Hintergrunddienste laufen in Paris.
    • Jede Anfrage wird von der Seite, vom Server und schließlich von der Datenbank selbst geprüft, die das letzte Wort hat.
    • Row Level Security auf jeder Tabelle mit Anwendungsdaten, beschränkt auf die Organisation des Benutzers.
    • Datenbank, Backups und Dateien im Ruhezustand mit AES-256 verschlüsselt.
    • Ausschließlich HTTPS: TLS 1.3 ausgehandelt, TLS 1.0 und 1.1 abgelehnt, HSTS für zwei Jahre.
    • Tägliche Datenbank-Backups sowie eine dauerhafte Kopie jeder Zeile, bevor wir sie korrigieren.
    Anbieter in diesem Schritt
    • SupabaseEU, Irland
      Datenbank, Authentifizierung, Dateispeicher und Backups
    • VercelEU, Dublin
      Hosting der Webanwendung und ihrer Serverfunktionen
    • Fly.ioEU, Paris
      Hintergrundjobs und Dokumentenerstellung

    Jeder Anbieter erhält nur die Daten, die seine Aufgabe erfordert. Wo ein Anbieter die Wahl der Region bietet, wählen wir die Europäische Union.

    Geltende Richtlinien
  4. 03Die KI liest sie

    Die KI bereitet die Arbeit vor. Menschen entscheiden.

    0
    KI-Modelle, die wir mit Ihren Daten trainieren
    • Die KI liest und schlägt vor. Von ihr vorgeschlagene Änderungen an bestehenden Datensätzen warten auf die Freigabe durch eine Person.
    • Vom E-Mail-Assistenten vorgeschlagene Aktualisierungen werden erst nach Freigabe durch einen Benutzer übernommen.
    • Jede KI-Anfrage bezieht sich auf genau eine Organisation, die aus der Sitzung des Benutzers übernommen wird. Daten anderer Organisationen sind nie Teil davon.
    • Aufrufe an Anthropic und Groq erfolgen von unseren Servern aus, und die zugehörigen Schlüssel verlassen diese nie.
    • Apollo trainiert keine KI-Modelle mit Kundendaten und führt damit auch kein Fine-Tuning durch.
    • Automatisierte Jobs und KI-Agenten ändern oder löschen niemals bestehende Kundendatensätze.
    Anbieter in diesem Schritt
    • AnthropicVereinigte Staaten
      KI-Modelle für den Assistenten, den E-Mail-Assistenten und das Auslesen von Dokumenten
    • Groq
      Transkription von Sprachnachrichten
    • Vapi
      Optionaler Telefonassistent
    Geltende Richtlinien
  5. 04Ihr Team arbeitet täglich damit

    Jede Änderung wird erfasst, mit Urheber und Zeitpunkt.

    Protokolliert
    Jede Änderung mit ihrem Urheber
    • Datenänderungen, ausgehende Nachrichten und Support-Zugriffe werden protokolliert. Benutzer können die Einträge weder ändern noch löschen.
    • Die wichtigsten Geschäftsdatensätze führen eine Änderungshistorie: Wert vorher und nachher, Urheber und Zeitpunkt.
    • Jede Aktion der Werkzeuge des Assistenten wird protokolliert, und jeder KI-Aufruf wird verbrauchsbezogen erfasst.
    • Das Audit-Log Ihrer Organisation erhalten Sie auf Anfrage.
    • Postfach-Passwörter für SMTP-Verbindungen werden vor der Speicherung mit AES-256-GCM verschlüsselt.
    Anbieter in diesem Schritt
    • Resend
      Transaktions-E-Mails: Einladungen, Bestätigungen, Anmeldecodes
    • SmartlookEuropäische Union
      Aufzeichnungen, wie angemeldete Benutzer in der Anwendung navigieren
    • Microsoft Clarity
      Aufzeichnungen, wie angemeldete Benutzer in der Anwendung navigieren
    • ShipsGo
      Container- und Schiffsverfolgung
    • Global Forest Watch
      Entwaldungsprüfungen für die EUDR-Konformität
    • WHISP
      Entwaldungsrisikoanalyse für die EUDR-Konformität

    Integrationen, die Sie selbst aktivieren (Google, Microsoft 365, ein SMTP-Server), nutzen Ihre eigene Autorisierung und können jederzeit getrennt werden. Die vollständige Liste mit den Daten, die jeder Anbieter erhält, finden Sie in der Richtlinie zu Unterauftragsverarbeitern.

    Geltende Richtlinien
  6. 05Wir verbessern das Produkt

    Änderungen werden mit fiktiven Daten getestet, niemals mit Ihren.

    Jede Nacht
    Regressionstests mit fiktiven Organisationen
    • Prüfungen vor jedem Push: Typprüfung, Unit-Tests einschließlich Zugriffsregeln, Nummerierung der Migrationen, Abdeckung des Audit-Trails.
    • Eine Datenbankänderung wird in der Produktion angewendet und verifiziert, bevor der Code eingesetzt wird, der sie nutzt.
    • Destruktive Datenbankänderungen erfordern die Freigabe durch eine Person, die genau gesehen hat, was sich ändern wird.
    • Eine nächtliche Regressions-Testsuite auf einer Wegwerfkopie mit fiktiven Organisationen.
    • Ein automatisiertes Isolations-Audit der Produktionsdatenbank, das bei jedem neuen Befund fehlschlägt.
    • Abhängigkeiten auf exakte Versionen festgelegt, mit Sicherheitswarnungen von GitHub Dependabot.
    Anbieter in diesem Schritt
    • GitHub
      Hosting des Quellcodes und Nachverfolgung von Änderungswünschen der Kunden
    Geltende Richtlinien
  7. 06Wenn etwas schiefgeht

    Wir überwachen mögliche Probleme, und wenn eines Sie betrifft, erfahren Sie es von uns.

    5 min
    Zwischen zwei Statusprüfungen der Datenbank
    • Zustand der Datenbank alle fünf Minuten geprüft, mit Alarm an das Team bei einem Ausfall.
    • Ein täglicher Produktionsroboter, der den zentralen Handelsablauf in seiner eigenen Testorganisation durchläuft.
    • Ein schriftlicher Incident-Response-Plan: eindämmen, bewerten, informieren, wiederherstellen, lernen.
    • Kunden, deren Daten oder Dienst betroffen sind, werden nach Bestätigung eines Vorfalls unverzüglich informiert.
    • Fällt ein KI-Anbieter aus, funktionieren Kontrakte, Verschiffungen, Positionen und Dokumente weiter: Sie hängen nicht von der KI ab.
    Anbieter in diesem Schritt
    • Telegram
      Interne Benachrichtigungen an das Apollo-Team
    Geltende Richtlinien
  8. 07Wenn Sie uns verlassen

    Ihre Daten gehören Ihnen: Sie können sie jederzeit mitnehmen.

    Jederzeit
    Export Ihrer Daten, ohne unsere Hilfe
    • Administratoren können die Daten ihrer Organisation jederzeit ohne unsere Hilfe exportieren.
    • Ein Archiv mit einer Datei pro Tabelle sowie ein separater Export Ihrer hochgeladenen Dokumente.
    • Bei Vertragsende werden die Daten gemäß den Anweisungen des Kunden zurückgegeben oder gelöscht.
    • Kopien in Datenbank-Backups verschwinden, sobald die rollierenden täglichen Backups ablaufen, nach etwa einer Woche.
    • Anfragen von Personen zu ihren personenbezogenen Daten werden innerhalb von 30 Tagen beantwortet.
    Geltende Richtlinien
Richtlinien anfordern

Unsere Sicherheitsrichtlinien

Vierzehn Richtlinien, die wir Kunden und Interessenten unter Vertraulichkeit zur Verfügung stellen. Teilen Sie uns mit, wer Sie sind, und wir senden sie Ihnen per E-Mail.

  1. 01Informationssicherheitsrichtlinie
  2. 02Richtlinie zur zulässigen Nutzung
  3. 03Richtlinie zur Zugriffskontrolle
  4. 04Richtlinie für sichere Entwicklung und Änderungsmanagement
  5. 05Richtlinie zur KI-Nutzung und Datenverarbeitung
  6. 06Richtlinie für Datenmanagement und Aufbewahrung
  7. 07Richtlinie für Kryptografie und Verwaltung von Geheimnissen
  8. 08Richtlinie für das Management von Drittanbietern und Unterauftragsverarbeitern
  9. 09Richtlinie zum Risikomanagement
  10. 10Plan zur Reaktion auf Sicherheitsvorfälle
  11. 11Plan für Business Continuity und Disaster Recovery
  12. 12Richtlinie zur Verwaltung von Assets
  13. 13Richtlinie zur Personalsicherheit
  14. 14Verhaltenskodex