Welche Standards wir erfüllen, woran wir arbeiten und was wir nicht behaupten
Spun ist von Grund auf mit Blick auf Datenschutz und Sicherheit gebaut (Privacy und Security by Design). Wir nutzen Verschlüsselung bei der Übertragung, kontrollierten Zugriff, Audit-Logs, eine konfigurierbare Datenaufbewahrung und KI-Funktionen, die der Kunde steuert. Wir übertreiben nicht: Jeder Status unten ist aktuell.
Status nach Rahmenwerk (SOC 2, DSGVO, ISO 27001 und mehr)
Die detaillierte Aufschlüsselung Standard für Standard steht jetzt auf der Sicherheitsseite, zusammen mit den übrigen Inhalten zur Sicherheit.
Datenaufbewahrung
Aufbewahrungsgrenzen je Plan
Ältere Nachrichten werden an der Grenze deines Plans automatisch gelöscht. Du kannst die Aufbewahrung pro Chat unter „Sicherheit & Datenschutz“ → „Nachrichtenspeicher“ weiter verkürzen oder jederzeit alles löschen.
| Plan | Nachrichtenverlauf | Medienspeicher |
|---|---|---|
| Free Trial7-tägige Testphase | 30 Tage | 5 GB |
| Starter | 90 Tage | 10 GB |
| Pro | 1 Jahr | 100 GB |
| Max | Unbegrenzt | 500 GB |
Wenn du dein Konto löschst, werden alle personenbezogenen Daten innerhalb von 30 Tagen entfernt oder anonymisiert, außer wenn das Gesetz eine Aufbewahrung verlangt (Finanzunterlagen, Betrugsprävention).
Wo deine Daten liegen
Regionales Hosting
Spun betreibt zwei Datenzellen: eu-1 in Nürnberg, Deutschland, die primäre Zelle, in der jede neue Organisation angelegt wird, und us-1 in Manassas, Virginia. Jede Organisation ist genau einer davon zugeordnet. Die Marketing-Website und die Mediendateien werden weltweit über das Edge-Netzwerk von Cloudflare ausgeliefert.
Hetzner Nuremberg
EU (Germany) - application servers + PostgreSQL
Die primäre Zelle: Control Plane (Steuerungsebene), Anwendungsserver, Datenbank und Redis. Neue Organisationen werden hier angelegt, kein Land ist einer anderen Zelle zugeordnet.
netcup Manassas
US (Virginia) - regional cell
Eine zweite Zelle mit eigenen Anwendungsservern und einer eigenen Datenbank. Zwei Organisationen sind heute hier zugeordnet; alle anderen Organisationen sind in Deutschland.
Cloudflare Pages
Global edge - marketing site & static assets
spun.com und über 20 regionale Domains werden über das globale Edge-Netzwerk von Cloudflare ausgeliefert. Besucher erhalten automatisch den nächstgelegenen PoP.
Cloudflare R2
Global - images, video, file attachments
Alle Medien (Bilder, Videos, Audio, Dokumente) werden in R2 gespeichert und nie über eine öffentliche Bucket-Adresse ausgeliefert: Der Zugriff ist durch signierte URLs pro Objekt geschützt.
Weitere Regionen
In Prüfung
Weitere regionale Zellen werden je nach Nachfrage geprüft. Kunden außerhalb der oben genannten Regionen werden von Hetzner in Nürnberg (EU) aus bedient.
Region Indien
Indien
In Prüfung für Sprachfunktionen in indischen Sprachen und für Datenresidenz.
Wo wir verkaufen, und warum
Roadmap für den internationalen Start
Wir starten zuerst in Märkten, in denen WhatsApp zur zentralen Geschäftsinfrastruktur gehört, und weiten uns auf Enterprise-Märkte mit höheren Compliance-Anforderungen aus, sobald unsere Zertifizierungen weiter fortgeschritten sind.
- 1
Lateinamerika und Naher Osten (aktuell)
Mexiko, Kolumbien, Argentinien, Chile, Peru, VAE: WhatsApp ist dort universelle Geschäftsinfrastruktur, und die Verkaufszyklen sind kurz. SOC-2-Readiness reicht aus.
- 2
KMU in den USA (aktuell, im Ausbau)
Haushaltsnahe Dienstleistungen, Immobilien, E-Commerce-Support, Reisen, Bildung, Wellness. SOC 2 Type I und ein vollständiges AVV-Paket machen Spun für die meisten KMU und mittelständischen Käufer in den USA tragfähig.
- 3
Enterprise in der EU und im Vereinigten Königreich (nach SOC 2 Type I)
Markteintritt, sobald SOC 2 Type I unterzeichnet ist und die Arbeit an ISO 27001 läuft. Erfordert einen ausgereiften AVV mit Standardvertragsklauseln (SCC), die Bestätigung des Hostings in der EU und vollständige Werkzeuge für Löschung und Export. All das ist vorhanden, profitiert aber vor größeren Enterprise-Verkäufen von einer Bestätigung durch Dritte.
Verfügbare Dokumente
Anfordern über [email protected]
Auftragsverarbeitungsvertrag (AVV)
An der DSGVO ausgerichteter Entwurf, auf Anfrage erhältlich, derzeit in rechtlicher Prüfung.
Benachrichtigungsliste für Unterauftragsverarbeiter
Erhalte E-Mail-Updates, wenn wir einen Unterauftragsverarbeiter hinzufügen oder ändern.
Sicherheitsübersicht
Architektur, Verschlüsselung, Zugriffskontrolle, Schwachstellenmanagement.
Richtlinie zur Datenverarbeitung durch KI
Welche KI-Anbieter, welche Daten sie sehen, Zusage, keine Daten für das Training zu nutzen.
Richtlinie zur Reaktion auf Sicherheitsvorfälle
Erkennung, Eindämmung, Fristen für die Benachrichtigung von Kunden.
Richtlinie zur zulässigen Nutzung
Was auf Spun erlaubt ist und auf welcher Grundlage wir Regeln durchsetzen.
Hast du einen Sicherheitsfragebogen?
Wir beantworten Standard-Sicherheitsfragebögen (SIG, CAIQ, individuelle Fragebögen von Unternehmen) innerhalb von 5 Werktagen. Schreib an [email protected] und nenne uns deinen Zeitplan.