Sicherheit & Vertrauen

Wir nehmen die Sicherheit Ihrer Daten und der Daten Ihrer Kunden ernst. Diese Seite fasst unsere Haltung zusammen; eine vollständige Sicherheitsübersicht, eine Liste der Unterauftragsverarbeiter und ein Auftragsverarbeitungsvertrag (AVV) sind auf Anfrage unter hello@founderexecute.com erhältlich.

Zertifizierungen & Roadmap

SOC 2 Typ II — in Arbeit. Wir implementieren die Kontrollen für eine SOC-2-Typ-II-Prüfung und können unsere aktuelle Kontrolldokumentation und den Zeitplan unter NDA teilen. Wir sind noch nicht zertifiziert, und das sagen wir Ihnen lieber offen, als etwas anderes zu suggerieren.

US-Gesundheitswesen (HIPAA)

HIPAA-aware, nicht HIPAA-zertifiziert. Für Einsätze im US-Gesundheitswesen ist Founder Execute darauf ausgelegt, HIPAA-aware Abläufe zu unterstützen: minimale Erhebung von Patientendaten, Verschlüsselung bei Übertragung und im Ruhezustand, Zugriffsrechte nach dem Least-Privilege-Prinzip, nachvollziehbare Anruf- und Nachrichtenprotokolle, konfigurierbare Aufbewahrung sowie Unterstützung bei BAA- und Compliance-Prüfungen, soweit erforderlich.

Wir sagen bewusst HIPAA-aware und nicht HIPAA-konform. Das US-Gesundheitsministerium (HHS) betreibt kein HIPAA-Zertifizierungsverfahren und erkennt keines an, folglich kann kein Anbieter eine solche Zertifizierung besitzen. Was wir tun können: die oben genannten Kontrollen darlegen, Ihrem Compliance-Team den Weg der Patientendaten durch das System erläutern und BAA-Anforderungen vor dem Livegang mit Ihnen klären.

Klinische Sicherheit

Der Assistent gibt keine medizinische Beratung, keine Diagnosen und trifft keine klinischen Entscheidungen. Er übernimmt Terminvergabe, Praxisauskünfte und Nachrichtenannahme. Dringende und Notfälle werden gemäß den von Ihnen für Ihre Praxis hinterlegten Anweisungen weitergeleitet oder eskaliert.

Wie wir Daten schützen

Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt. Der Zugriff erfolgt nach dem Least-Privilege-Prinzip und mandantengetrennt — die Daten jedes Arbeitsbereichs sind auf diesen Mandanten beschränkt. Zugangsdaten und API-Schlüssel werden in verwaltetem Secret-Storage gehalten, nie im Quellcode. Sie verbinden Ihre eigenen Anbieter-Zugangsdaten (z. B. Twilio, E-Mail) und können sie jederzeit widerrufen.

Unterauftragsverarbeiter

Wir setzen eine kleine Auswahl geprüfter Anbieter ein, die Daten jeweils nur soweit zur Erbringung des Dienstes erforderlich verarbeiten:

• OpenAI — KI-Modelle (Anruflogik + Transkription)
• Twilio — Telefonie (Sprache + SMS)
• Supabase — Anwendungsdatenbank (Postgres)
• Railway — Backend-/Voice-Gateway-Hosting
• Vercel — Web-App- + API-Hosting
• Resend — Transaktions-E-Mail
• Stripe — Zahlungen
• Google — Kalender (wenn Sie ihn verbinden)

Die aktuelle Liste mit Entitätsdetails und Standorten wird auf Anfrage in unserem AVV bereitgestellt.

Datenspeicherung

Anrufprotokolle und zugehörige Aufzeichnungen werden pro Agent für einen konfigurierbaren Zeitraum gespeichert und dann automatisch geschwärzt — anonyme Metadaten (Zeitstempel, Dauer, Status) werden für Berichte aufbewahrt, während Transkriptinhalte, Zusammenfassungen und etwaige Aufzeichnungen entfernt werden. Lead-Listen werden nur zur Durchführung der von Ihnen beauftragten Kampagnen verwendet und am Ende einer Beauftragung gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Anruf-Compliance

Unser Anrufbetrieb basiert auf Einwilligung: nur Leads mit Opt-in, Abgleich mit Sperrlisten, ein gesprochener KI-Hinweis zu Beginn jedes Anrufs und zulässige Anrufzeiten. Aufzeichnungsverhalten und Einwilligungsverwaltung sind an Ihre Rechtsordnung anpassbar (z. B. Einwilligung einer oder beider Parteien).

Ein Problem melden

Eine Schwachstelle gefunden? Schreiben Sie an hello@founderexecute.com, und wir reagieren umgehend. Gegen gutgläubige Sicherheitsforschung gehen wir nicht rechtlich vor.