Sicherheitsrichtlinie

Verschlüsselung bei der Übertragung

Der Datenverkehr zwischen der App und Supabase, der KI-Serverfunktion und den Werbediensten von Google verwendet HTTPS/TLS. Die App lässt keinen unverschlüsselten HTTP-Verkehr zu.

Verschlüsselung gespeicherter Daten

Supabase verschlüsselt den Datenbankspeicher. Spielstände bleiben im privaten Speicher der App auf Ihrem Gerät.

Zugriffskontrolle

Row Level Security (RLS) ist für jede Supabase-Tabelle aktiviert, sodass der öffentliche Schlüssel nur das tun kann, was die Regeln erlauben, etwa Analyseereignisse hinzufügen und gemeinsam genutzte Inhalte lesen. Der Service-Role-Schlüssel wird nie mit der App ausgeliefert.

Verwaltung von Geheimnissen

Der OpenAI-API-Schlüssel ist ein serverseitiges Geheimnis der Supabase Edge Function und ist nicht in der App eingebettet.

Schutz vor Missbrauch

Die KI-Funktion begrenzt die Anzahl der Anfragen pro Client und leitet nur die aktuelle Nachricht sowie bis zu sechs letzte Nachrichten weiter.

Minimale Berechtigungen

Administratorrechte sind auf zwei Entwickler beschränkt. Supabase, Google Play Console, AdMob und OpenAI verwenden die Zwei-Faktor-Authentifizierung.

Abhängigkeiten und Veröffentlichungen

Wir aktualisieren SDKs und Bibliotheken regelmäßig und prüfen vor jeder Veröffentlichung Sicherheitshinweise. Die App wird mit Play App Signing signiert.

Schutzmaßnahmen für den KI-Assistenten

• Vor der ersten Nutzung wird Spielerinnen und Spielern mitgeteilt, dass ihre Nachrichten an OpenAI gesendet werden, und sie werden davor gewarnt, persönliche Informationen weiterzugeben.
• Spielerinnen und Spieler können beleidigende oder schädliche KI-Antworten im Chatbildschirm melden.
• Unterhaltungen werden nicht in unserer Datenbank gespeichert, unsere Serverprotokolle enthalten keinen Nachrichtentext, und wir verwenden Unterhaltungen nicht, um unsere eigenen Modelle zu trainieren.

Verletzungen des Schutzes personenbezogener Daten

Wenn wir eine Verletzung des Schutzes personenbezogener Daten feststellen, begrenzen wir sie, bewerten das Risiko und benachrichtigen, sofern erforderlich, die Datenschutzbehörde innerhalb von 72 Stunden. Besteht ein hohes Risiko für betroffene Spielerinnen und Spieler, informieren wir sie unverzüglich (DSGVO Art. 33–34). Wir führen ein internes Verzeichnis der Vorfälle.

Eine Sicherheitslücke melden

Wenn Sie ein Sicherheitsproblem finden, senden Sie die Details an contact@arojentarinat.com. Bitte geben Sie uns eine angemessene Zeit zur Behebung des Problems, bevor Sie es veröffentlichen. Wir bestätigen Meldungen innerhalb von 5 Werktagen, und wir werden nicht gegen Sicherheitsforschung vorgehen, die in gutem Glauben durchgeführt wird.