Ihr Vertrauen, dokumentiert.
Alles, was Ihr Rechts-, Sicherheits- und Einkaufsteam benötigt — an einem Ort, ohne Formulare.
Auf einen Blick
- DSGVO-konform by Design — AVV in jedem Tarif enthalten
- Ausschließlich EU-Hosting: Frankfurt (Supabase) + Amsterdam (TransIP)
- AES-256 im Ruhezustand, TLS 1.2+ in der Übertragung
- AES-256-GCM für Kunden-API-Schlüssel (BYOK)
- Multi-Tenant-Isolation über Supabase Row Level Security
- Kein KI-Training mit Kundendaten
- Meldeverpflichtung innerhalb von 48 Stunden bei Sicherheitsvorfällen
- Nur B2B — keine Verarbeitung von Verbraucherdaten
Auftragsverarbeitungsvertrag (AVV)
Unser DSGVO-Artikel-28-Auftragsverarbeitungsvertrag ist in jedem Tarif enthalten und wird bei Unterzeichnung unserer AGB vorab akzeptiert. Laden Sie die aktuelle Version für Ihr Rechtsteam herunter.
Unterauftragsverarbeiter
Wir informieren alle Kunden mindestens 30 Tage im Voraus, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird.
Vollständige Liste mit Vertragsbedingungen →Infrastruktur
Sicherheitsmaßnahmen
BYOK & LLM-Anbieter
Im Rahmen unseres Bring Your Own Key-Modells unterhalten Kunden eine direkte Beziehung zu jedem LLM-Anbieter (OpenAI, Anthropic, Google, Mistral) über ihre eigenen API-Schlüssel. LLM-Anbieter sind keine Unterauftragsverarbeiter von Custos.
API-Schlüssel von Kunden werden mit AES-256-GCM verschlüsselt und nur im Arbeitsspeicher zum Zeitpunkt der Nutzung entschlüsselt — nie protokolliert, nie für Custos-Mitarbeiter sichtbar.
Reaktion auf Sicherheitsvorfälle
Wir verpflichten uns, betroffene Kunden innerhalb von 48 Stunden nach Bekanntwerden eines Sicherheitsvorfalls mit ihren personenbezogenen Daten zu informieren, wie von Artikel 33 DSGVO gefordert.
Vorfallsprotokoll
Bisher keine Vorfälle gemeldet. Dieser Bereich wird transparent aktualisiert, sobald ein Vorfall eintritt, gemäß der in unserem AVV festgelegten Zeitlinie.
Sicherheitsforscher können Schwachstellen an melden. Wir antworten innerhalb von 48 Stunden und würdigen verantwortungsvolle Offenlegungen in unserem Changelog.