Dokumentation der API

Umgang mit Daten

Was Stonewake einliest, speichert und ausliefert, auf einer Seite. Die Recherchegrundlage sind Register, Gerichte, Aufsicht, Ausschreibungen, Abschlüsse und Fachpresse; die Daten Ihres Arbeitsbereichs gehören weiterhin Ihnen.

Quellen und Quellenangaben

  • Die Recherchegrundlage besteht ausschließlich aus öffentlichen Daten. Dazu gehören amtliche Unternehmensregister und Amtsblätter, Gerichtsbekanntmachungen und Insolvenzbekanntmachungen, aufsichtsrechtliche Einreichungen, das System des LEI, Vergabeunterlagen der öffentlichen Hand, amtliche Statistiken, lizenzierte Referenzdatensätze und seriöse Presse.
  • Feststellungen tragen Quellenangaben bis hinunter zur zitierten Passage, sodass sich jede Aussage an ihrer Quelle prüfen lässt.
  • Scores gelten für Organisationen und Länder, nie für natürliche Personen. Ein Einzelunternehmen zählt als natürliche Person, nach dem Beleg der Register selbst (eine Rechtsform einer natürlichen Person im deutschen Register, der Zusatz e.K. oder e.U. in der Firma oder eine Rechtsform oder Kategorie eines Einzelunternehmens im GLEIF Eintrag). Wo diese Quellen voneinander abweichen, entscheidet der deutsche Registerauszug, wenn es einen gibt; ohne ihn entscheidet jede dieser Quellen, die ein Geschäft einer natürlichen Person nennt, und die Abweichung wird zur Prüfung festgehalten. Es erhält keinen Score, keinen Status, keine Statusänderung, keinen Risikoalarm, keine Tonlage der Nachrichten und keine Stimmung sozialer Medien, und kein solcher Wert dazu wird gespeichert, während seine Registerangaben, Insolvenzbekanntmachungen, Nachrichtenartikel, Nachrichtenereignisse und Beiträge in sozialen Medien wie die eines Unternehmens gelesen werden. Eine Person, die Ihr Arbeitsbereich beobachtet, trägt die Tonlage ihrer Nachrichten und Beiträge als Kontext für Ihr Institut, nie als Score der Person.
  • Wo Personendaten für einen Arbeitsbereich eingeschaltet sind, werden die natürlichen Personen, die amtliche Register und die amtlichen Sanktionslisten nennen (Organe, Gesellschafter, wirtschaftlich Berechtigte und gelistete Personen), diesem Arbeitsbereich mit ihren Belegen ausgeliefert, im Dashboard, über die API und über MCP gleichermaßen, für die Kundenprüfung, den Sanktionsabgleich und die Kreditprüfung von Organisationen und ihren Personen. Die Sandbox und unsere öffentlichen Seiten liefern keine. Eine Person, die widerspricht, wird auf keiner dieser Oberflächen mehr als Person aus Register oder Liste gezeigt, und eine Person, die von einer Sanktionsliste gestrichen wird, wird in derselben Aktualisierung aus unserer Kopie gelöscht. Screenings natürlicher Personen auf negative Berichterstattung, die Ihre Analystinnen und Analysten im Dashboard beauftragen, und Rechercheläufe zu einer natürlichen Person werden unter demselben Schalter über die API und MCP gelesen, als Feststellungen mit ihren Quellen und nie mit einer Einstufung oder einem Score. Ein solches Screening führt einen Namen und keinen Registereintrag, deshalb wird ein Widerspruch durch sein Löschen beantwortet, zusammen mit jedem Dossier über die Person. Eine natürliche Person, die Ihr Arbeitsbereich beobachtet, wird in der Nachrichten und Social Media Beobachtung verfolgt und meldet sich wie ein Unternehmen, und eine Person kann ein Rechercheziel mit dem Zweck sein, den Ihre Analystin oder Ihr Analyst erfasst, dessen Läufe mit dem Ziel gelöscht werden. Keine davon wird je bewertet. Der Hinweis zu öffentlichen Registern nennt die Quellen und die Empfänger. Jede Antwort der API und von MCP, die eine natürliche Person ausliefert, schreibt einen Zugriffseintrag mit dem Arbeitsbereich, dem Schlüssel für die API, der Route und den Kennungen der ausgelieferten Personen, Datensätze, Screenings oder Läufe, nie mit einem Namen. Das gilt auch für eine Risikozeile, die eine gelistete Person nennt.

Speicherdauer

  • Daten des Arbeitsbereichs werden gespeichert, solange Ihre Vereinbarung läuft. Von Banken beauftragte Screenings werden bei der Anlage mit der Löschfrist versehen, die mit Ihrer Bank vereinbart ist, durchgesetzt durch einen täglichen Löschlauf; ohne vereinbarte Frist bleiben sie bis zur Löschung erhalten, und jedes Screening und jedes Dossier über eine Person ist auf Verlangen löschbar.
  • Datenbanksicherungen sind verschlüsselt, werden getrennt vom Produktionsserver aufbewahrt und für eine festgelegte Aufbewahrungsfrist vorgehalten; Wiederherstellungsverfahren wurden erprobt.
  • Bei Vertragsende exportieren Sie Ihre Berichte und Daten während einer Übergangsfrist; danach werden die Daten des Arbeitsbereichs gelöscht, und die Einträge des Aktivitätsprotokolls bleiben nach Vertragsende erhalten. Sie enthalten Kennungen, darunter die Mailadresse eines Mitglieds, das eine Administratorin oder ein Administrator eingeladen oder entfernt hat oder das sich erstmals über SSO angemeldet hat, und keine Screeninginhalte, ausgenommen Rückmeldungen, die ihren Text und die Mailadresse der meldenden Person behalten, bis ein Bereinigungslauf beides aus Einträgen entfernt, die älter als 180 Tage sind. Die Seite Sicherheit der API beschreibt dieselbe Lage für die programmatische Schnittstelle.

Rechtsgrundlage und Auftragsverarbeiter

  • Die Rechtsgrundlage nach DSGVO für jeden Verarbeitungszweck steht in der Datenschutzerklärung; für Registertatsachen gilt der Hinweis zu öffentlichen Registern.
  • Die Datenbank, die API, das Aktivitätsprotokoll und der Server für MCP laufen auf einem dedizierten Server eines deutschen Anbieters in Helsinki, Finnland. Die Webseiten von Dashboard, Dokumentation und Website liefert Vercel, ein Unternehmen aus den USA, über sein weltweites Auslieferungsnetz aus, in dem auch der Schritt zur Weiterleitung für Anfragen an die Website läuft. Alle übrigen Serverfunktionen der drei laufen in dessen Region Frankfurt. Die Anmeldung läuft über einen verwalteten Dienst in London. Suchanfragen, abgerufene öffentliche Texte und die Texte, die zum Entwurf an Anbieter für KI gehen, einschließlich des Subjekts eines Screenings, werden von Anbietern für Suche und KI verarbeitet, wie in den Abschnitten 7 und 8 der Datenschutzerklärung beschrieben. Für einen Arbeitsbereich, den sein Vertrag der Route über die EU zuordnet, geht jeder Sprachmodellaufruf an Claude in Amazon Bedrock in der Region eu-north-1 von AWS in Stockholm, Schweden, und ein Aufruf, den diese Region nicht bedienen kann, schlägt fehl, statt an einen anderen Anbieter zu gehen. Ein Arbeitsbereich lässt sich nach Vereinbarung auf eine benannte Auswahl dieser Suchanbieter und auf ein eigenes Modell für Texteinbettungen beschränken. Die vollständige Liste der Auftragsverarbeiter und die Maßnahmen nach Art. 32 DSGVO sind Bestandteil des Auftragsverarbeitungsvertrags, den Kundenbanken erhalten.
  • Quellen, die Ihre Bank einbringt, die Benachrichtigungen ihrer eigenen Vergabeportalzugänge und die Werte eines von ihr lizenzierten Anbieters von Unternehmensdaten, werden nur für Ihre Bank verarbeitet und bleiben in ihrem Arbeitsbereich. Ein solcher Anbieter wird mit dem eigenen Schlüssel Ihrer Bank und auf ihre Weisung abgerufen, und der Schlüssel wird verschlüsselt und nur für Ihre Bank gespeichert. Siehe Eigene Quellen.
  • Wir speichern die Daten Ihres Arbeitsbereichs auf unserer Infrastruktur und trainieren damit keine Modelle.
  • Das Prüfprotokoll hält für jeden Recherchelauf, jedes Screening, jede Zusammenfassung eines Screenings, jeden Briefinglauf zu Deals, jeden Bericht und jedes Paket, die ein Sprachmodell aufgerufen haben, den Anbieter und das Modell fest, die jeden ihrer Aufrufe beantwortet haben, auch einen ausweichenden Anbieter, und das geplante Modell, wo es abweicht. Ein Eintrag, der nicht zeigen kann, welches Modell geantwortet hat, sagt das und nennt nie stattdessen das geplante Modell. Auf der Seite Steuerung der KI sieht eine Administratorin oder ein Administrator diese Aufrufe der letzten 30 Tage je Anbieter und Modell gezählt.

Siehe auch Sicherheitsüberblick, Nutzungsbedingungen.