Shield Web — Datenschutz der Browser-Erweiterung

Daten, die wir über die Erweiterung erheben

• Kontodaten: Ihre E-Mail-Adresse sowie die Organisations-/Benutzerkennungen aus Ihrem Shield-Control-Konto, um Sie zu authentifizieren. Die Sitzung wird lokal im Browser gespeichert.
• AI-Dienst-Nutzung (Erkennung): Wenn Sie einen unterstützten AI-Dienst besuchen (z. B. ChatGPT, Claude, Gemini, Copilot und andere), erfassen wir die Domain des Dienstes, einen Zeitstempel und Ihre Organisations-/Benutzerkennungen.
• Richtlinien-Durchsetzungs-Ereignisse (Audit): Wenn Sie eine überwachte Aktion ausführen (einen Prompt absenden, Text einfügen, eine Datei hochladen), erfassen wir den Aktionstyp, das Ergebnis (erlaubt / gewarnt / blockiert / geschwärzt), die angewendete Richtlinie, die Anzahl der Schwärzungen und die Kategorie-Labels erkannter sensibler Daten (z. B. „pii“, „financial“ wie Kreditkarten- oder IBAN-Nummern, „secrets“, „source_code“).
• Fehlerdiagnose: technische Fehlerberichte ohne personenbezogene Inhalte (Sentry).

Daten, die auf Ihrem Gerät gelesen werden (nie übertragen)

Zur Durchsetzung der Richtlinien Ihrer Organisation liest die Erweiterung — lokal auf Ihrem Gerät — die von Ihnen abgesendeten Prompts, eingefügte Texte und den Text hochgeladener Dateien auf unterstützten AI-Diensten, einschließlich darin enthaltener personenbezogener oder Finanzdaten. Deshalb gehören Website-Inhalte, persönliche Kommunikation, personenbezogene Daten sowie Finanz- und Zahlungsinformationen zu den deklarierten Datentypen der Erweiterung. Nichts von diesen Inhalten wird jemals übertragen, gespeichert oder weitergegeben: Die Erkennung und Schwärzung sensibler Daten erfolgt vollständig auf Ihrem Gerät, und nur die oben beschriebenen abgeleiteten Kategorie-Labels und Zählwerte verlassen es. Wenn eine Schwärzungsrichtlinie greift, werden erkannte Werte lokal durch Platzhalter ersetzt und verlassen Ihr Gerät nie.

Wie wir die Daten verwenden

Um den von Ihrer Organisation bereitgestellten Dienst zu erbringen: ein Inventar der genutzten AI-Tools, die Durchsetzung der DLP-Richtlinien Ihrer Organisation und ein Compliance-Audit-Trail. Wir verarbeiten ausschließlich die oben beschriebenen Metadaten — niemals den Inhalt Ihrer Prompts, eingefügten Texte, hochgeladenen Dateien oder AI-Antworten und niemals die Werte erkannter sensibler Daten (die Erkennung erfolgt vollständig auf Ihrem Gerät).

Speicherung & Aufbewahrung

Lokal (chrome.storage): Ihre Sitzung, ein kurzlebiger Richtlinien-Cache und Einstellungen. Backend: Erkennungs- und Audit-Ereignisse werden in der Supabase-Datenbank von Qadar AI (EU-Region) gespeichert, über Row-Level-Security auf Ihre Organisation beschränkt; die Aufbewahrung richtet sich nach der Vereinbarung Ihrer Organisation — sofern der Auftragsverarbeitungsvertrag Ihrer Organisation keine abweichende Frist festlegt, werden Erkennungs- und Audit-Ereignisse höchstens 24 Monate aufbewahrt und anschließend gelöscht. Alle an unser Backend übertragenen Daten werden über verschlüsselte Verbindungen (TLS) gesendet.

Mit wem wir Daten teilen

Wir verkaufen Ihre personenbezogenen Daten nicht, wir verwenden sie für keinen Zweck, der nicht mit dem von Ihrer Organisation bereitgestellten Dienst zusammenhängt, und wir geben sie an niemanden weiter außer an die nachfolgenden Auftragsverarbeiter. Jeder verarbeitet Daten in unserem Auftrag, ausschließlich nach unseren dokumentierten Weisungen und unter einem Auftragsverarbeitungsvertrag:

• Supabase (EU-Region): speichert die Discovery- und Audit-Ereignisse und übernimmt die Konto-Authentifizierung — also die oben genannten Metadaten, niemals Prompt- oder Dateiinhalte.
• Cloudflare: stellt Hosting, WAF/DDoS-Schutz und das Edge-/API-Gateway bereit, über das die Backend-Anfragen der Erweiterung laufen, sowie Browser Rendering für die Qadar-AI-Plattform.
• Resend: versendet die vom Dienst benötigten Transaktions- und Benachrichtigungs-E-Mails — Einladungen, Anmelde-Bestätigungen und Benachrichtigungen zu Zugriffsanfragen. Verarbeitet werden die E-Mail-Adresse der Empfängerin oder des Empfängers und die in diesen E-Mails enthaltenen Links, niemals Ihre Discovery- oder Audit-Daten.
• Sentry (EU-Region): erhält ausschließlich technische Fehlerdiagnosen ohne personenbezogene Inhalte.

Die Administratoren Ihrer Organisation können in ihrem Shield-Control-Workspace auf die Daten zugreifen. Anfragen zur Sitzungsübergabe und Abmeldung gehen an api.qadar.ai, den eigenen First-Party-Endpunkt von Qadar AI — keinen Dritten. Wenn die begleitende Shield-Desktop-App Sie anmeldet, wird ausschließlich ein Einmal-Anmelde-Token ausgetauscht — niemals Ihr Passwort. Wir verkaufen, vermieten oder übertragen Ihre Daten niemals an unbefugte Dritte und nutzen sie niemals für Werbung oder einen Zweck, der nicht mit der Sicherheits- und Governance-Funktion von Shield Web zusammenhängt. The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

Berechtigungen

Wir fordern nur an, was der Zweck erfordert: lokalen Speicher; Alarme (Sitzungsaktualisierung); das Seitenpanel; die URL des aktiven Tabs bei Klick; Zugriff auf Ihren Shield-Control-Workspace und unser Backend, einschließlich unseres api.qadar.ai-Gateways (Sitzungskontinuität); Native Messaging zur begleitenden Shield-Desktop-App, sofern Ihre Organisation sie einsetzt, damit Sie in beiden angemeldet bleiben; sowie Content-Skripte auf den überwachten unterstützten AI-Diensten.

Verantwortlicher & Kontakt

Qadar AI Limited, DIFC Innovation Hub, Dubai (siehe Impressum). Beim ersten Start wird in der Erweiterung eine Einwilligung angezeigt.