Für Ihre IT und Ihren DatenschutzFor your IT and your data protection officer

Wo Ihre Daten liegen, und wie eine Antwort zustande kommt. Where your data sits, and how an answer comes about.

Diese Seite beschreibt keine Absicht, sondern den Aufbau. Jede Aussage hier lässt sich im Quellcode nachlesen, und wo eine Grenze nicht im Code steht, sagt es die Seite ausdrücklich. This page describes the construction, not the intention. Every statement here can be read in the source, and where a boundary is not in the code, the page says so.

1 · Zwei Systeme, eine schmale Naht1 · Two systems, one narrow seam

Kaufmännisches und Betrieb sind getrennte Systeme. Das ERP kennt Ihren Vertrag und Ihre Rechnung; die Plattform kennt Ihre Gespräche und Ihr Wissen. Keines von beiden hält, was das andere hält. Commercial and operational are separate systems. The ERP knows your contract and your invoice; the platform knows your conversations and your knowledge. Neither holds what the other holds.

   ERP  ·  Odoo (BIZZ Europe a.s.)          Plattform  ·  eigener Host
   ───────────────────────────────          ────────────────────────────────
   Vertrag, Rechnung, Abonnement            Gespräche, Wissensbestand
   Support-Tickets, Website                 Konten, Dienstplan, Verbrauch
                     │                                       │
                     └────────  Naht / seam  ────────────────┘
                        Verbrauch  ──────▶   (zur Abrechnung / for billing)
                        ◀──────  Mandant bereitgestellt / tenant provisioned

   Was NICHT über die Naht geht / what does NOT cross it:
     · Gesprächsinhalte      · conversation content
     · Wissensbestand        · knowledge base
     · Kundendaten aus Odoo  · customer records (read live, never copied)

Die Plattform liest Odoo live, wenn ein Gespräch eine Bestellung oder einen Preis braucht. Sie legt keine Kopie an, die veralten könnte, und sie schreibt standardmäßig nicht zurück — Änderungen laufen als Vorschlag, den ein Mensch freigibt. The platform reads Odoo live when a conversation needs an order or a price. It keeps no copy that could go stale, and by default it does not write back — changes travel as a proposal a human releases.

2 · Wie Mandanten getrennt sind2 · How tenants are separated

Nicht durch einen Filter auf einer gemeinsamen Tabelle, sondern durch getrennte Pfade. Der Mandant steht im Pfad — es gibt keine Abfrage, die versehentlich ohne Mandantenbedingung läuft, weil es keine gemeinsame Tabelle gibt, die man abfragen könnte. Not by a filter on a shared table, but by separate paths. The tenant is in the path — there is no query that can accidentally run without a tenant clause, because there is no shared table to query.

   /data/tenants/
   ├── ihre-firma/
   │   ├── knowledge/      Wissensbestand, versioniert (git)
   │   ├── transcripts/    Gesprächsverläufe
   │   ├── gaps/           unbeantwortete Fragen
   │   ├── outbound/       Kampagnen, Ziele, Sperrliste
   │   └── usage/          Verbrauch für die Abrechnung
   │
   └── andere-firma/       ← dieselbe Struktur, anderer Pfad
       └── …               kein gemeinsamer Speicher, keine gemeinsame Tabelle

Der Mandant kommt aus Ihrer Anmeldung, nie aus der Anfrage. Es gibt kein Feld in einem Aufruf, mit dem sich ein anderer Mandant adressieren ließe — die Prüfung liegt strukturell fest und ist als solche getestet. The tenant comes from your session, never from the request. There is no field in any call that could address another tenant — the scoping is structural and tested as such.
Ein fremder Mandant antwortet mit 404, nicht mit 403. Ob dort überhaupt etwas existiert, ist nichts, was ein anderer Mandant erfahren soll. Another tenant's record answers 404, not 403. Whether anything exists there is not something another tenant gets to learn.
Live-Zustand ist ebenso getrennt wie gespeicherte Daten: laufende Gespräche, Freigaben und Übernahmen gehören je einem Mandanten. Live state is separated too, not only data at rest: running conversations, approvals and takeovers each belong to one tenant.

3 · Wie eine Antwort entsteht3 · How an answer is produced

1

Die Frage kommt anThe question arrives

Telefon, Chat oder E-Mail — derselbe Weg dahinter. Das Gespräch bekommt sofort eine Vertraulichkeitsklasse; sie entscheidet später, welcher Anbieter es überhaupt sehen darf. Phone, chat or email — the same path behind them. The conversation is given a sensitivity class immediately; that decides later which provider may see it at all.

2

Es wird gesucht, nicht erinnertIt searches; it does not remember

Der Agent schlägt in Ihrem Wissensbestand nach und fragt bei Bedarf Ihr Odoo live ab. Es gibt kein Modell, das Ihre Daten „gelernt“ hätte: die Antwort entsteht aus dem, was in diesem Moment gefunden wurde. The agent looks things up in your knowledge base and queries your Odoo live when needed. No model has "learned" your data: the answer is built from what was found at that moment.

Gefunden wird nur, was für Kundinnen freigegeben ist. Interne Einträge sind in einem Kundengespräch unsichtbar, auch wenn sie veröffentlicht sind. Only customer-facing material is findable. Internal entries are invisible in a customer conversation even when published.

3

Ohne Beleg keine BehauptungNo source, no claim

Findet die Suche nichts, sagt der Agent das — und die Frage wird im Wortlaut mitgeschrieben, damit Sie sehen, was Ihrem Wissensbestand fehlt. Er füllt die Lücke nicht mit einer plausiblen Erfindung. If the search finds nothing, the agent says so — and the question is recorded verbatim so you can see what your knowledge base is missing. It does not fill the gap with a plausible invention.

4

Der Mensch entscheidet, was zähltA human decides what counts

Alles, was Geld bewegt oder unumkehrbar ist, wartet auf eine Freigabe. Ein Supervisor kann jedes Gespräch jederzeit übernehmen, ohne dass die Leitung abbricht. Ausgehende Anrufe beginnt immer ein Mensch. Anything that moves money or cannot be undone waits for a release. A supervisor can take over any conversation at any time without dropping the line. Outbound calls are always started by a human.

4 · Was Ihr Haus verlässt — und was nicht4 · What leaves your premises — and what does not

KlasseClass	WannWhen	Wohin das Gespräch darfWhere the conversation may go
restricted	ausdrücklich so markiertexplicitly marked	Nur eigene Infrastruktur. Kein externer Anbieter, auch nicht als Rückfallebene. Der Router setzt das durch. Own infrastructure only. No external provider, not even as a fallback. The router enforces it.
confidential	sobald Kontaktdaten im Spiel sindwhenever contact details are involved	EU-Anbieter nach Ihrer KonfigurationEU providers, per your configuration
internal	Voreinstellungthe default	konfigurierte Anbieterconfigured providers

Ein Gesprächsverlauf gilt im Zweifel als vertraulich, nicht als intern: dort spricht eine Kundin, und niedrig zu schätzen ist die Richtung, in der etwas abfließt. A transcript defaults to confidential rather than internal: a customer is speaking there, and guessing low is the direction in which something leaks.

5 · Was diese Seite nicht behauptet5 · What this page does not claim

Mandanten teilen sich einen Prozess und einen Host. Die Trennung liegt im Pfad und in der Sitzung, nicht in getrennten Maschinen. Wer physische Trennung braucht, bekommt eine eigene Instanz — das ist eine Betriebsentscheidung, keine Konfiguration. Tenants share a process and a host. The separation is in the path and in the session, not in separate machines. Anyone needing physical separation gets their own instance — an operational decision, not a setting.
Externe Sprachmodelle sehen den Text, den ein Gespräch ihnen schickt, sofern die Vertraulichkeitsklasse das erlaubt. Wir versprechen nicht, dass nichts das Haus verlässt — wir sagen, was es verlässt und wann. External language models see the text a conversation sends them, where the sensitivity class allows it. We do not promise that nothing leaves — we say what leaves, and when.
Ein Administrator Ihres Mandanten sieht die Gespräche Ihres Mandanten. Das ist beabsichtigt; die Trennung verläuft zwischen Mandanten, nicht innerhalb eines. An administrator of your tenant sees your tenant's conversations. That is intended; the separation runs between tenants, not inside one.