Dokumentation der API

Sicherheit der API

Das Sicherheitskonzept der Stonewake API auf einer Seite. Kurz gefasst kann die API nur lesen, nur Ihren Arbeitsbereich, nur über TLS und nur mit Schlüsseln, die Sie angelegt haben und jederzeit widerrufen können.

Zugang

  • Der Zugang zur API ist für jeden Arbeitsbereich standardmäßig abgeschaltet und wird nach Vereinbarung freigeschaltet.
  • Schlüssel werden von einer Administratorin oder einem Administrator des Arbeitsbereichs angelegt, einmal angezeigt, ausschließlich als Einweghash gespeichert und sind sofort widerrufbar.
  • Schlüssel funktionieren ausschließlich unter /v1 und über MCP. Jeder andere Endpunkt lehnt einen Schlüssel genauso ab wie einen ungültigen, sodass ein Schlüssel weder die Endpunkte des Dashboards noch die Schlüsselverwaltung erreicht.
  • Jeder Lesezugriff auf Daten des Arbeitsbereichs authentifiziert sich; anonyme Lesezugriffe gibt es nicht.

Angriffsfläche

  • Die API erlaubt nur lesenden Zugriff. Kein Endpunkt legt Daten des Arbeitsbereichs an, ändert sie oder löscht sie, und Schlüssel für die API können keine Schlüssel verwalten, auch sich selbst nicht.
  • Die API liefert Daten über natürliche Personen, so wie amtliche Register und die amtlichen Sanktionslisten sie angeben und mit ihren Belegen, nur in Arbeitsbereichen, in denen Personendaten eingeschaltet sind, nie in der Sandbox und nie als Score, Einstufung oder Rangfolge.
  • Anfragebegrenzungen und Tageskontingente begrenzen den Verkehr jedes Schlüssels.

Trennung und Umgang mit Daten

  • Ein Schlüssel liest genau einen Arbeitsbereich. Die Mandantentrennung ist auf mehreren unabhängigen Ebenen durchgesetzt, von der Eingrenzung der Anfrage bis hinunter in die Datenbank.
  • Anlegen, Widerruf und letzte Nutzung eines Schlüssels werden protokolliert; jede mit einem Schlüssel authentifizierte Anfrage durchläuft Anfragebegrenzung und Kontingentprüfung.
  • Die Datenbank, die API, das Aktivitätsprotokoll und der Server für MCP laufen auf einem dedizierten Server eines deutschen Anbieters in Helsinki, Finnland. Die Webseiten von Dashboard, Dokumentation und Website liefert Vercel, ein Unternehmen aus den USA, über sein weltweites Auslieferungsnetz aus, in dem auch der Schritt zur Weiterleitung für Anfragen an die Website läuft. Alle übrigen Serverfunktionen der drei laufen in dessen Region Frankfurt. Die Anmeldung läuft über einen verwalteten Dienst in London.
  • Wir speichern die Daten Ihres Arbeitsbereichs auf unserer Infrastruktur und trainieren damit keine Modelle; Suchanfragen, abgerufene öffentliche Texte und die Texte, die zum Entwurf an Anbieter für KI gehen, einschließlich des Subjekts eines Screenings, werden von Anbietern für Suche und KI zu den Bedingungen verarbeitet, die in den Abschnitten 7 und 8 der Datenschutzerklärung beschrieben sind.
  • TLS durchgängig. Die API wird ausschließlich über HTTPS ausgeliefert.

Woher die Daten stammen

Die Recherchegrundlage sind öffentliche Daten. Dazu gehören amtliche Unternehmensregister und Amtsblätter, Gerichtsbekanntmachungen und Insolvenzbekanntmachungen, aufsichtsrechtliche Pflichtveröffentlichungen (zum Beispiel SEC EDGAR), das System des LEI (GLEIF), Vergabeunterlagen der öffentlichen Hand, amtliche Statistiken, lizenzierte Referenzdatensätze und seriöse Presse. Antworten mit Feststellungen führen die Quellenangaben mit, und GET /v1/reference/datasets listet die Referenzdatensätze hinter den Länderdaten mit ihren Angaben zu Lizenz und Namensnennung auf. Die Pflichten, die für diese Daten gelten, stehen unter Nutzungsbedingungen.

Die Rolle von KI

  • /v1 liefert gespeicherte, belegte Daten aus. Antworten sind deterministische Lesezugriffe auf gespeicherte Daten, und zum Zeitpunkt der Anfrage läuft kein Modell.
  • Ein Teil der gespeicherten Inhalte wird mit Unterstützung durch KI entworfen. Feststellungen aus dem Screening enthalten Entwürfe, gestützt auf die genannten Quellen und zur Prüfung durch Ihre Analystinnen und Analysten bestimmt. Die Zusammenfassung einer Transaktion entwirft kein Modell; ihre drei Zeilen werden nach festen Regeln aus den belegten Feststellungen erzeugt. Ein Briefing zu einer Transaktion, sofern sie eines trägt, verfasst ein Modell aus dem Text der belegten Quellen der Transaktion. Vor dem Speichern und Anzeigen werden allein seine in Ziffern geschriebenen Zahlen gegen diesen Text geprüft.
  • Scores gelten für Organisationen und Länder, nie für natürliche Personen. Wie die Beschränkung auf Lesezugriffe ist das in der Architektur verankert, und kein Endpunkt liefert einen personenbezogenen Score.
  • Stonewake ist ein Werkzeug für Recherche und laufende Portfolioüberwachung, das menschliche Entscheidungen unterstützt. Es trifft keine Entscheidung, führt keine Handlung aus und ist kein automatisiertes Entscheidungssystem.

Speicherdauer und Vertragsende

  • Daten des Arbeitsbereichs werden gespeichert, solange Ihre Vereinbarung läuft.
  • Endet die Vereinbarung, können Sie Ihre Berichte und Daten während einer Übergangsfrist exportieren; danach werden die Daten des Arbeitsbereichs gelöscht. Die Einträge des fortgeschriebenen Aktivitätsprotokolls bleiben nach Vertragsende erhalten. Sie enthalten Kennungen (Ereignistypen, Zeitstempel, die handelnde Person und die betroffenen Objekte, darunter die Mailadresse eines Mitglieds, das eine Administratorin oder ein Administrator eingeladen oder entfernt hat oder das sich erstmals über SSO angemeldet hat) und keine Screeninginhalte, ausgenommen Rückmeldungen, die ihren Text und die Mailadresse der meldenden Person behalten, bis ein Bereinigungslauf beides aus Einträgen entfernt, die älter als 180 Tage sind.
  • Verbindlich sind Ihre Kundenvereinbarung und die Nutzungsbedingungen.

Eine Sicherheitslücke melden

Melden Sie vermutete Sicherheitslücken sowie alles, was nach einem Vorfall aussieht, der Ihren Arbeitsbereich betrifft, an contact@stonewake.ai mit "Security" im Betreff. Geben Sie an, was zur Reproduktion nötig ist; senden Sie niemals aktive Schlüssel oder Daten Ihres Arbeitsbereichs in einer Meldung mit. Sicherheitsdokumentation über diese Seite hinaus stellen wir im Rahmen der Kundenvereinbarung auf Anfrage bereit. Umfang, Schutz für redliche Sicherheitsforschung und Reaktionszeiten stehen auf der Seite Sicherheitslücken melden.

Fragen über diese Seite hinaus richten Sie an contact@stonewake.ai.