Wir kümmern uns um die Sicherheit, damit dein Team es nicht muss

Ja. Photoroom verfügt über eine SOC 2 Type 2-Bescheinigung, die sich auf unseren API-Dienst bezieht. Der aktuellste Bericht (April 2026) und die aktuellen Kontrollen sind im Trust Center verfügbar. Falls dein Einkauf Nachweise für einen anderen Geltungsbereich benötigt, wende dich frühzeitig an das Vertriebsteam.

Ja, beides. Wir arbeiten nach den Grundsätzen der DSGVO, führen eine dokumentierte Liste von Subunternehmern, haben einen definierten Prozess zur Meldung von Datenschutzverletzungen und anonymisieren personenbezogene Daten, bevor sie für das Training von Modellen verwendet werden. Für Enterprise-Kunden ist eine Vereinbarung zur Auftragsverarbeitung über dein Account-Team erhältlich.

Das hängt von deinem Vertrag ab.

• Enterprise-Verträge: standardmäßig nein. Ein Training findet nur statt, wenn dies ausdrücklich schriftlich vereinbart wurde.

• Self-Service-Tarife für die API: Nein. Bilder, die über die API gesendet werden, werden nicht zum Trainieren von KI-Modellen verwendet.

• Bei allen Tarifen werden Trainingsdaten und Produktionsdaten getrennt gespeichert. Der Zugriff auf Trainingsdaten ist nur Mitgliedern des ML-Teams erlaubt und jeder Zugriff wird protokolliert.

Unsere Infrastruktur läuft in den USA auf der Google Cloud Platform und Amazon Web Services. Daten, die übertragen werden, sind mit TLS 1.2 oder höher verschlüsselt (verwaltet über Cloudflare). Daten im Ruhezustand werden auf Infrastrukturebene von GCP und AWS verschlüsselt. Eine ausschließliche Datenresidenz in der EU ist derzeit nicht verfügbar. Wenn regionale Datenresidenz eine Vertragsanforderung ist, sprich das frühzeitig mit dem Vertriebsteam an.

Sync-API-Bilder werden sofort nach Rückgabe der Antwort gelöscht. Async-API-Bilder werden kurzzeitig gespeichert, während der Auftrag läuft, und anschließend gelöscht. Betriebsprotokolle werden nach 15 Tagen gelöscht. API-Zugriffsprotokolle werden ein Jahr lang aufbewahrt und stehen für Sicherheitsuntersuchungen und Prüfungsanfragen zur Verfügung.

GCP und AWS werden für Hosting und Speicherung genutzt, Cloudflare für CDN, Sicherheit und DNS, Datadog für Ereignisprotokollierung und API-Parameterprotokolle sowie Vercel für Hosting. Die aktuelle Liste ist im Trust Center veröffentlicht.

Ein Vorfall wurde verzeichnet (Oktober 2024): eine 30-minütige Störung der Serviceverfügbarkeit. Es wurden keine Kundendaten kompromittiert. Das Ereignis wurde dokumentiert und im Rahmen unseres Incident-Response-Prozesses überprüft.

Ja. Nutzer der App können über einen Schalter in den Kontoeinstellungen festlegen, dass sie nicht zur Verbesserung des Modells beitragen. Wenn Daten zum Trainieren verwendet werden, werden personenbezogene Daten zuvor anonymisiert. Hinweis: Dies gilt unabhängig von der Zusage für API-Kunden, dass Bilder weder bei API-Tarifen für Self-Service noch bei API-Tarifen für Enterprise zum Trainieren von KI-Modellen verwendet werden.