Privat durch Bauweise
Causius bearbeitet amtliche Briefe. Jede Garantie unten ist eine Eigenschaft des öffentlichen Codes. Keine verlangt, dass Sie uns vertrauen.
Modelle erfahren nicht, um wen es geht
Bevor ein Text an ein Modell geht, werden persönliche Angaben zu Platzhaltern und erst nach der Antwort wieder eingesetzt. Die Erkennung ist gut, aber nicht lückenlos: Prüfen Sie, was verborgen wird.
- Automatisch erkannt: Namen, Adressen, Postleitzahlen, E-Mail-Adressen, Telefonnummern, IBAN, AHV-Nummern, Referenzen, Geburtsdaten.
- Ihre eigenen Wörter zum Verbergen kommen immer dazu.
- Bei der Schnellprüfung geschieht das in Ihrem Browser.
- Auch Websuchen gehen mit Platzhaltern hinaus.
- Die Ausnahme ist Ihre Stimme: Die Aufnahme geht an einen Spracherkennungsdienst und lässt sich nicht vorher verbergen. Causius speichert sie nicht, und beim Tippen kommt sie nie ins Spiel.
Verschlüsselt gespeichert
Jede Angelegenheit hat ihren eigenen Datenschlüssel, versiegelt mit einem Hauptschlüssel, der nie in der Datenbank liegt.
- AES-256-GCM, für jeden Wert eine neue Nonce, gebunden an Angelegenheit und Zweck.
- Titel, Nachrichten, Fakten, Fristen, Entscheide und Dokumenttext sind versiegelt; im Klartext stehen nur Daten, Status, Grössen und das Kürzel der Rechtsordnung.
- Ohne den Hauptschlüssel ist eine Kopie der Datenbank Rauschen.
Nichts behalten, was nicht nötig ist
Ein Upload wird auf seinen Text reduziert. Ein ohne Konto geprüfter Brief wird nicht gespeichert.
- Keine Benutzertabelle, keine Passwörter: nur eine OrangeCat-Konto-ID.
- Protokolle halten fest, welches Modell einen Durchgang bedient hat, nie was gesagt wurde. Keine Analytik. Das einzige zusätzliche Skript ist das optionale Feedback-Widget.
Ein abgeriegelter Browser
Jede Seite trägt eine strenge Content Security Policy.
- Skripte laufen nur mit einer Nonce pro Anfrage, und eine Seite darf mit Causius sprechen und mit nichts sonst.
- Kein Einbetten, kein Referrer, HSTS.
- Antworten der API werden nie zwischengespeichert.
Nur Sie entscheiden
Eine Angelegenheit öffnet sich nur für die Beteiligten. Alle anderen erhalten die Antwort, die es für eine fehlende Angelegenheit gibt.
- Handlungen, die die Angelegenheit verlassen, sind Vorschläge, die nur ihr Eigentümer freigeben kann.
- Grenzen pro Konto schützen die geteilten Modelle.
- Wer eine Angelegenheit löscht, löscht alles darin.
Wenn etwas schiefginge
Was jede Seite in der Hand hätte, wenn das Schlimmste passierte.
Eine gestohlene Datenbank
Chiffretext, Konto-IDs und Daten. Keine Namen, keine Briefe. Fristdaten sind lesbar.
Die Protokolle eines Modellanbieters
Platzhalter, wo die Menschen waren: [NAME-1], wohnhaft an [ADDRESS-1].
Wir, der Betreiber
Wir betreiben den Server mit dem Hauptschlüssel und könnten daher gezwungen werden. Schlüssel, die nur Sie halten, stehen auf der Roadmap; bis dahin ist das die ehrliche Grenze.