Es liest Ihren Posteingang. Hier ist genau, wie wir damit umgehen.
Voix funktioniert nur, weil Sie es Ihre Post sehen lassen. Wir haben es so gestaltet, dass Vertrauen der einfache Teil ist: minimaler Zugriff, nichts wird ohne Sie gesendet, und ein Aus-Schalter mit einem Klick.
Nur-Lesen, um Sie zu briefen
Ihre erste Anmeldung fragt ausschließlich gmail.readonly ab. Voix liest Ihre aktuelle Post auf Anfrage. Es ändert, kennzeichnet oder löscht nichts.
Sie geben jeden Versand frei
Um gmail.send bitten wir später, im Kontext, wenn Sie zum ersten Mal einen Antwortentwurf freigeben. Geben Sie keinen frei, besitzt Voix nie eine Sendeberechtigung. Nichts verlässt Ihren Posteingang von selbst, niemals.
Wir trainieren nicht mit Ihrer Post
Ihre E-Mails werden zum Sortieren und Entwerfen durch unseren KI-Anbieter zu kommerziellen Bedingungen verarbeitet: nie zum Trainieren von KI-Modellen verwendet und nie an Werbetreibende verkauft oder weitergegeben.
Im Ruhezustand verschlüsselt
Die Daten liegen in Supabase auf AWS in den USA (us-east-1), abgesichert durch EU-Standardvertragsklauseln. Der Verkehr ist TLS 1.2+, die Speicherung ist AES-256 im Ruhezustand, und Ihr OAuth-Token ist in einer reinen Server-Tabelle verschlüsselt.
Sie können alles löschen
Trennen Sie Gmail oder Slack mit einem Klick oder löschen Sie Ihr Konto: jede mit Ihnen verknüpfte Zeile wird innerhalb von 30 Tagen gelöscht, Backups innerhalb von 90.
Minimale Berechtigungen, von Grund auf
gmail.readonly zu Beginn, gmail.send erst, wenn Sie eine Antwort freigeben, und eine reine Lese-Berechtigung für den Kalender nur, wenn Sie Ihren Kalender hinzufügen. Nicht modify, nicht labels, kein voller Postfachzugriff, auch wenn diese mehr Funktionen freischalten würden.
Ihre Zeilen gehören nur Ihnen
Die Mauer zieht die Datenbank selbst. Row-Level Security bedeutet, dass eine Abfrage nur Zeilen mit Ihrer eigenen Nutzer-ID zurückgeben kann, sodass ein Konto niemals an ein anderes herankommt, selbst wenn die Anwendung darüber einen Fehler machte. Ein automatischer Test weist das bei jeder Änderung nach.
gmail.readonlyLiest etwa die letzten 14 Tage Ihrer Mail aus „Allgemein“ und „Updates“, bis zu etwa 90 Nachrichten, um Absender, Betreff und den Nachrichtentext zum Sortieren zu erfassen. Ohne sie kann Voix Ihnen nicht sagen, was in Ihrem Posteingang steht.
gmail.sendWird bei der Registrierung nicht angefragt. Google zeigt Ihnen diese Berechtigung erst, wenn Sie zum ersten Mal einen Antwortentwurf freigeben, und Sie können ablehnen. Einmal erteilt, sendet sie eine Antwort in Ihrem Namen, von Ihrem eigenen Konto, erst nachdem Sie einen Entwurf freigegeben haben. Jeder Versand ist eine ausdrückliche Handlung. Voix sendet nie autonom.
Wir haben diese Berechtigungen am 6. August 2026 zu Googles Verifizierung eingeschränkter Berechtigungen eingereicht, und Googles Prüfung läuft. Sie ist nicht abgeschlossen, und die anschließende CASA-Sicherheitsbewertung hat noch nicht begonnen. Mehr dazu finden Sie in der Datenschutzerklärung.
Mail.Read · Calendars.Read · Chat.Read · Mail.SendWenn Sie Microsoft 365 verbinden: Mail.Read und Calendars.Read, um Ihre Outlook-Post und Ihren Kalender zu lesen, und Chat.Read nur dort, wo das Lesen von Teams eingeschaltet ist. Mail.Send wird beim Verbinden nicht angefragt. Genau wie bei Gmail kommt es später, beim ersten Mal, wenn Sie eine aus Outlook zu sendende Antwort freigeben.
im:read · im:history · users:read · search:read · chat:writeWenn Sie Slack verbinden: im:read und im:history, um Ihre Direktnachrichten zu lesen, users:read, um Absender-IDs in Namen aufzulösen, und search:read, um Ihre Kanal-Erwähnungen zu finden und Fragen über Slack hinweg zu beantworten. chat:write wird nur genutzt, um eine bereits von Ihnen freigegebene Antwort zu senden, nie von selbst.
Sie werden eine Warnung von Google sehen. Sie stimmt.
Wenn Sie Gmail verbinden, zeigt Google einen Bildschirm mit dem Hinweis, dass diese App nicht verifiziert ist, und die Schaltfläche zum Fortfahren ist als „unsicher“ gekennzeichnet. Dieser Hinweis stimmt. Googles vollständige Verifizierung ist eine monatelange Sicherheitsprüfung, die wir noch nicht durchlaufen haben, und wir sagen es Ihnen lieber vorher als hinterher. An der Anmeldung selbst ändert das nichts: Sie ist rein lesend, kann in Ihrem Postfach nichts löschen oder ändern, und Sie können sie jederzeit in Ihrem Google-Konto widerrufen.
Wenn dieser Bildschirm für Sie ein Nein ist, ist das ein berechtigtes Nein. Trennen ist ein Klick, und wenn Sie Ihr Konto löschen, wird die Berechtigung bei Google selbst widerrufen und jede Zeile entfernt, die wir halten, statt sie nur auszublenden.
Jedes Unternehmen, das Ihre Daten berührt, und was es sieht.
Anmeldung nur mit Leserechten. Senden ist eine separate Berechtigung, und ohne Ihren Tipp wird nichts gesendet.
Der Inhalt Ihrer Briefings wird nach 30 Tagen automatisch gelöscht. Vollständige E-Mail-Texte werden nie gespeichert.
Einige unserer Auftragsverarbeiter sitzen in den USA. Übermittlungen aus der EU sind durch EU-Standardvertragsklauseln abgesichert. Alle Details in der Datenschutzerklärung und im DPA.
| Auftragsverarbeiter | Was er sieht | Für KI-Training genutzt? | Aufbewahrung |
|---|---|---|---|
| SupabaseDatenbank · AWS us-east-1, USA | Ihre Kontozeile, die verschlüsselten Verbindungs-Tokens und das Briefing-Ergebnis: das Transkript und die priorisierte Liste. Nie vollständige E-Mail-Texte. | Nein. Nur Infrastruktur. | Briefing-Inhalte werden nach 30 Tagen automatisch bereinigt. Alles wird gelöscht, wenn Sie Ihr Konto löschen. Übermittlung: Standardvertragsklauseln. |
| AnthropicClaude, priorisiert Ihre Nachrichten und verfasst Antworten · USA | Vorübergehend, je Briefing: Absender, Betreff, der vollständige Text jeder Nachricht (begrenzt auf etwa 6.000 Zeichen pro E-Mail und markiert, wo gekürzt wird) und der aus PDF- oder Word-Anhängen extrahierte Text, aus Ihren letzten 14 Tagen. Voix speichert davon nichts. | Nein. Die kommerziellen API-Bedingungen von Anthropic schließen ein Training mit API-Daten aus. | Anthropic löscht API-Eingaben und -Ausgaben automatisch innerhalb von 30 Tagen. Eine Zusatzvereinbarung über Zero Data Retention haben wir noch nicht geschlossen, und das sagen wir offen. Übermittlung: Standardvertragsklauseln. |
| GoogleGmail-API, Anmeldung und Cloud Text-to-Speech · USA | Ihr Gmail, über die Nur-Lese-Berechtigung, die Sie erteilen. Der Text-to-Speech-Dienst erhält das Briefing-Transkript, um das Audio zu erzeugen. | Nein. Die Workspace-API-Richtlinie von Google verpflichtet Voix, nie ein Modell mit Ihren Gmail-Daten zu trainieren, und was wir senden, wird ausschließlich zur Erbringung des Dienstes verarbeitet. | Vorübergehende Verarbeitung. Übermittlung: Standardvertragsklauseln. |
| VercelAnwendungs-Hosting und Serverprotokolle · USA | Anfrage-Verkehr und Serverprotokolle. Nicht Ihr Postfach. | Nein. | Standardmäßige Protokollaufbewahrung. Übermittlung: Standardvertragsklauseln. |
| ClerkAnmeldung · USA | Ihr Name, Ihre E-Mail-Adresse und Ihre Anmeldesitzung. | Nein. | Bis zur Kontolöschung. Übermittlung: Standardvertragsklauseln. |
| PostHogProduktanalyse und Fehlerüberwachung · EU, Frankfurt | Nur anonyme Nutzungsereignisse. Cookielos, aus, bis Sie das Banner annehmen, nie E-Mail-Inhalte, Sitzungsaufzeichnung deaktiviert. | Nein. | In der EU ansässig. |
| StripeZahlungen · USA/EU | Ihre Kartendaten gehen direkt an Stripe. Voix sieht die Kartennummer nie. | Nein. | Gemäß den Bedingungen von Stripe. Übermittlung: Standardvertragsklauseln. |
Nur wenn Sie die Funktion nutzen: Resend (Morgen-E-Mail), Microsoft (wenn Sie Outlook verbinden), Slack (wenn Sie Slack verbinden), Twilio und Vapi (private Anrufe, noch nicht aktiv), Meta (WhatsApp- und Instagram-Unternehmenspostfächer, noch nicht aktiv), Modal und ElevenLabs (Signatur-Stimmen-Synthese und Stimmbewertung, noch nicht aktiv). Dieselben Regeln: kein Training, nur die notwendigen Mindestdaten.
Löschung und Export erfolgen im Selbstbedienungsverfahren (Art. 17 und 20 DSGVO): Wenn Sie Ihr Konto löschen, werden die Google- und Slack-Berechtigungen beim Anbieter widerrufen und danach jede Zeile entfernt.