FAQ zu IT und Sicherheit

Pareo gibt es in drei Betriebsmodellen: im Betrieb durch Pareo, im Betrieb durch Pareo mit KI und Speicher in Ihrem Azure-Mandanten und vollständig in Ihrer eigenen Azure-Subscription. Im letzten Fall holt Ihre Instanz jedes Update selbst ab und prüft es, im Wartungsfenster oder wenn Ihr Admin auf Aktualisieren klickt. Pareo betreibt sie über eine Azure-Delegierung, die Sie jederzeit widerrufen können. Einen Vergleich und eine Entscheidungshilfe finden Sie unter Betriebsmodell wählen.

Ein dediziertes Setup ist „Ihre Azure-Umgebung“, betrieben durch Pareo. Siehe Betriebsmodell wählen. Den Betrieb im eigenen Rechenzentrum (On-Premises) bieten wir heute nicht standardmäßig an, sprechen aber gern darüber.

Nach NIS2 gehört Pareo als Lieferant zu Ihren Pflichten in der Lieferkette (Art. 21 Abs. 2 Buchst. d). Für diesen Fall gibt es „Ihre Azure-Umgebung“ als dedizierte Variante:

• Eigener Cluster, eigene Datenbank und eigener Key Vault in Ihrer Subscription.
• Keine Infrastruktur, die Sie mit anderen Kunden teilen.
• Die Installation übernimmt nur signierte Releases.
• Der Zugriff des Betreibers ist zeitlich begrenzt, braucht 2FA und eine zweite Freigabe und steht in Ihrem Activity Log. Sie können die Delegierung jederzeit entziehen. Damit endet jeder Zugriff durch Pareo sofort; Betrieb und Support ruhen, solange sie fehlt.

Siehe Betriebsmodell wählen und Sicherheit.

Ihre Benutzer erreichen Pareo nur aus Ihrem Netz, über eine private Adresse. Bei der Cluster-API ist es anders: Pareo führt Änderungen am Cluster direkt aus. Die API behält deshalb einen öffentlichen Endpunkt, und eine Firewall weist alle Adressen außer der eingetragenen ab. Key Vault und Speicherkonto erreichen nur das Subnetz Ihres Clusters und vertrauenswürdige Azure-Dienste. Siehe Netzzugriff.

Pareo läuft auf Google Cloud in der EU. Die Hauptregion ist Belgien (europe-west1). Die Datenbank-Backups liegen in der EU-Multiregion von Google. Eine tägliche Kopie der Dokumente geht in eine zweite EU-Region, Frankfurt (europe-west3). Siehe Sicherheit.

Beim Betrieb durch Pareo nicht. Ihre Daten werden in der EU gespeichert und verarbeitet, und auch die KI-Modelle laufen in der EU (Datenresidenz in der EU). In Ihrer eigenen Azure-Umgebung wählen Sie die Region und den KI-Endpunkt. Nur zwei optionale Abfragen gehen an Dienste in den USA: die Ermittlung der CAS-Nummer zu einem Stoffnamen und eine Websuche, wenn Sie einen eigenen API-Schlüssel hinterlegen. Diese Dienste erhalten keine personenbezogenen Daten und keine Dokumente. Siehe Datenspeicherort und Verarbeitung.

Siehe Unterauftragsverarbeiter.

Ja. Die Daten jeder Organisation sind logisch von denen aller anderen Kunden getrennt (Mandantentrennung per Row-Level Security in der Datenbank). Siehe Sicherheit.

Alle Verbindungen und alle gespeicherten Daten sind verschlüsselt (TLS 1.2 oder neuer mit HSTS, Speicherverschlüsselung mit AES-256). Besonders sensible Inhalte, etwa Lieferantenantworten und die Kontaktdaten von Unterzeichnern, sind zusätzlich mit einem eigenen Schlüssel verschlüsselt (Verschlüsselung auf Feldebene). Selbst mit einer Kopie der Datenbank sind sie nicht lesbar. Angriffe aus dem Internet werden gefiltert, bevor sie Pareo erreichen (Web Application Firewall, Rate-Limiting), und es läuft nur Software, die Pareo freigegeben hat (signierte Container-Images mit SBOM). Siehe Sicherheit.

Pareo selbst ist noch nicht zertifiziert. Unsere Infrastrukturanbieter, Google Cloud und Amazon Web Services, sind nach ISO/IEC 27001 und SOC 2 zertifiziert. Deren Zertifizierungen decken die Infrastruktur ab, für die Anwendung sind wir verantwortlich (Shared-Responsibility-Modell). Unsere eigenen Maßnahmen sind Teil des Auftragsverarbeitungsvertrags (TOM nach Art. 32 DSGVO).

Ja. Umfang und Zeitpunkt eines Penetrationstests stimmen wir gern mit Ihnen ab, auch mit einem Dienstleister Ihrer Wahl. Zusätzlich prüfen wir die Plattform regelmäßig automatisiert auf Schwachstellen (Abhängigkeits-, Container- und Secret-Scanning).

Nur die technischen Administratoren der Plattform haben Zugriff auf das Produktivsystem, und nur mit den Rechten, die sie dafür brauchen (Least Privilege). Jeder Zugriff erfordert eine Mehr-Faktor-Authentifizierung (MFA) und wird protokolliert (Audit-Logging). Die Berechtigungen prüfen wir jedes Quartal (Rezertifizierung). Damit orientieren wir uns an ISO/IEC 27001, Anhang A 5.15, 5.18, 8.2 und 8.15. Siehe Sicherheit.

Bei einer Verletzung des Schutzes personenbezogener Daten informieren wir betroffene Kunden innerhalb von 48 Stunden (Meldung an den Verantwortlichen nach Art. 33 Abs. 2 DSGVO). Eine Schwachstelle melden Sie an (Responsible Disclosure).

Die Datenbank wird täglich gesichert, die Backups bleiben 14 Tage erhalten. Sie lässt sich auf jeden Zeitpunkt der letzten 7 Tage wiederherstellen (Point-in-Time-Recovery). Eine tägliche Kopie der Dokumente geht in eine zweite EU-Region. Die Backups bleiben in der EU. Siehe Sicherheit.

Ja. Sie sind Verantwortlicher, Pareo ist Auftragsverarbeiter nach Art. 28 DSGVO. Der Vertrag enthält unsere technischen und organisatorischen Maßnahmen (TOM) und die Liste der Unterauftragsverarbeiter. Wir senden ihn Ihnen auf Anfrage zu.

Pareo speichert nur, was für diese Zwecke nötig ist (Datenminimierung nach Art. 5 DSGVO). Die vollständige Liste mit Rechtsgrundlagen steht unter Datenspeicherort und Verarbeitung.

Jede Art von Daten hat eine feste Aufbewahrungsfrist (Löschkonzept). Auf Ihre Weisung löschen wir die Daten Ihrer Organisation. Datenbank-Backups werden nach ihren 14 Tagen gelöscht. Löschungen erreichen die Kopie der Dokumente innerhalb eines Tages, alte Dateiversionen entfallen nach 90 Tagen. Siehe Datenspeicherort und Verarbeitung.

Ja. Ihre Dokumente und jedes Ergebnis, das Pareo erstellt hat, können Sie jederzeit herunterladen. Produktdaten exportieren Sie in offenen Standardformaten (Verwaltungsschale/AAS, IPC-1752A). Siehe Daten aus Pareo exportieren (Kunden-Login erforderlich).

Pareo nutzt große Sprachmodelle (LLMs) etablierter Anbieter über deren EU-Cloud-Regionen. Die Seite Unterauftragsverarbeiter nennt den aktuellen Anbieter und die Region.

Nein. Die Modellanbieter verarbeiten Ihre Daten nur, um die jeweilige Antwort zu erzeugen, und dürfen sie vertraglich nicht zum Training nutzen. Pareo trainiert eigene Modelle nur mit synthetischen Daten, nie mit Kundendaten.

Nein. Pareo funktioniert mit verschiedenen Modellen (modellagnostische Architektur). Wir können das Modell wechseln, ohne dass sich für Sie etwas ändert. Wechseln wir den Anbieter, informieren wir Sie vorher, wie bei jedem neuen Unterauftragsverarbeiter.

Jeder Wert, den Pareo ausliest, verweist auf die genaue Stelle im Quelldokument (Grounding mit Quellenangabe). Pareo zeigt für jeden Wert, wie zuverlässig er ist (Konfidenzwert), und ein Mensch gibt jede Antwort frei, bevor sie versendet wird (Human-in-the-Loop). Siehe Extraktion und Quellenangaben (Kunden-Login erforderlich).

Ja. Bei der Anmeldung per Passwort dient ein Passkey (WebAuthn) als zweiter Faktor, gespeichert auf dem Gerät oder auf einem Sicherheitsschlüssel. Ein Admin kann für alle Anmeldungen per Passwort in der Organisation einen Passkey verlangen. Wer alle Passkeys verloren hat, lässt sie von einem Admin zurücksetzen.

Ja, über SAML 2.0, zum Beispiel mit Microsoft Entra ID, Okta und Google Workspace. Die Mehr-Faktor-Authentifizierung (MFA) übernimmt Ihr Identitätsanbieter (IdP). Benutzer werden bei der ersten Anmeldung angelegt (Just-in-Time-Provisioning). Auf Wunsch schalten Sie die Anmeldung per Passwort ab, sodass nur noch SSO möglich ist (Enforced SSO). Siehe Single Sign-on (Kunden-Login erforderlich).

Jeder Benutzer hat eine Rolle, die seine Rechte festlegt (rollenbasierte Zugriffskontrolle, RBAC): Admin für Einstellungen und Benutzerverwaltung, Operator für die tägliche Arbeit. Mit SSO legt Ihr Identitätsanbieter die Rolle fest: Gruppen aus Ihrem Verzeichnis werden bei jeder Anmeldung Pareo-Rollen zugeordnet (Identity Federation mit Rollenzuordnung). Siehe Benutzer und Rollen verwalten (Kunden-Login erforderlich).

Ja. Pareo protokolliert jede Änderung an einem Datensatz mit altem Wert, neuem Wert, Benutzer und Zeitpunkt (Audit-Trail). Jeder Compliance-Wert zeigt außerdem seine Quelle (Datenherkunft).

Beim Betrieb durch Pareo gibt Ihre IT ausgehendes HTTPS zu app.pareo.ai (Port 443) frei. Ihre Benutzer brauchen nur einen Browser, Single Sign-on ist optional. In Ihrer eigenen Azure-Umgebung genügt ein OpenTofu-Lauf in einer leeren Subscription. Die Aufgaben im Einzelnen beschreiben Einrichtung beim Betrieb durch Pareo und Pareo in Ihrer Azure-Umgebung einrichten.

Das Onboarding kann mit Dateiexporten aus Ihren Systemen beginnen. Die Anbindung an SAP oder Teamcenter über den Pareo Connector folgt, sobald Sie sie brauchen.

Über den Pareo Connector, eine eigenständige Software, die Sie in Ihrem Netzwerk betreiben. Sie läuft als Container auf einer Linux-VM. Eine Windows-Version stellen wir auf Anfrage bereit. Den Connector richtet der Pareo-Support gemeinsam mit Ihrer IT ein. Der Connector liest SAP und Teamcenter über deren Standardschnittstellen (OData, SOA). Er sendet die Daten über HTTPS an Pareo (signierte Anfragen). Pareo baut nie eine Verbindung in Ihr Netzwerk auf, und es muss kein Port geöffnet werden (Outbound-only, keine eingehenden Firewall-Regeln). Siehe Sicherheit des Connectors. Eine neue Organisation erreicht SAP standardmäßig über den Pareo Connector. Pareo ruft SAP nur auf Anfrage direkt ab. Läuft Pareo in Ihrer eigenen Azure-Umgebung, greift es ohne Connector direkt auf SAP und Teamcenter zu.

Das Zurückschreiben (Write-back) ist standardmäßig deaktiviert. Für SAP braucht es eine eigene Zugangsberechtigung, getrennt von der zum Lesen. Mit der Zugangsberechtigung zum Lesen lässt sich nichts ändern oder löschen.

Nein. Pareo arbeitet neben Ihren bestehenden Systemen. Diese bleiben die Quelle Ihrer Stammdaten (führendes System). Pareo deckt ab, wofür diese Systeme nicht ausgelegt sind: Compliance-Nachweise sammeln, bewerten und belegen.

Weil die meisten Compliance-Daten gar nicht in Ihrem Stammdatensystem entstehen, sondern bei Ihren Lieferanten und bei Behörden.

Pareo ist für Compliance-Verantwortliche entwickelt, nicht für die Pflege von Stammdaten. Das Ergebnis landet trotzdem in Ihrem Stammdatensystem: Mit dem Zurückschreiben (Write-back) steht der Compliance-Status dort, wo Ihre Prozesse ihn brauchen, zum Beispiel für eine Prüfung bei Bestellung oder Freigabe.

Ja. Pareo unterstützt Kataloge mit Hunderttausenden von Teilen und mehrstufigen Stücklisten. Auch bei dieser Größe wirken Regeländerungen sofort: Schon vor dem Speichern zeigt Pareo, welche Materialien, Produkte und Antworten sich ändern (Echtzeit-Regelauswertung).

An . Den Auftragsverarbeitungsvertrag und unsere technischen und organisatorischen Maßnahmen senden wir Ihnen auf Anfrage ebenfalls zu.