Vertrauen
Sicherheit und Datenschutz
Was mit Ihren Molekülstrukturen passiert, wo die Plattform läuft, wie sie geschützt ist und was wir ausdrücklich nicht behaupten. Die Sicherheitsfragebögen für Ihren Einkauf stehen vollständig beantwortet zum Download bereit.
30 Minuten per Microsoft Teams mit dem CovaSyn-Team. Wenn es nicht passt, sagen wir das direkt.
- Ihre Anfrageaus Assistent, Sketcher oder Formular
- Verschlüsselt übertragenTLS 1.2 oder höher, HSTS
- Werkzeuge rechnen in Deutschlandim Arbeitsspeicher, ohne Sprachmodell, nicht dauerhaft gespeichert
- Ergebnis an SieRechte bleiben bei Ihnen
BleibtAudit-Trail ohne Inhalte
NieTraining mit Ihren Daten
Ausnahmen, offen benannt: Der Chat-Assistent im Struktureditor und die Kampagnenanalyse nutzen ein Sprachmodell von Anthropic (USA, Standardvertragsklauseln).
Ihre Daten
Was mit Ihren Molekülstrukturen passiert
Das ist die Frage, die im Pharma-Einkauf zuerst kommt, und sie verdient eine Antwort ohne Zögern. Hochgeladene Strukturen sind Wirkstoffkandidaten, also das Wertvollste, was ein Kunde hat.
Keine Nutzung zu Trainingszwecken
Ihre Eingaben werden ausschließlich zur Bearbeitung der jeweiligen Anfrage verarbeitet und niemals zum Training eigener oder fremder Modelle verwendet. Diese Zusage steht im Auftragsverarbeitungsvertrag, nicht nur auf dieser Seite. Auch die eingesetzten Modellanbieter sind vertraglich davon ausgeschlossen.
Mandantentrennung
Jeder Datensatz ist einem Konto zugeordnet, und die Datenbank erzwingt die Trennung auf Zeilenebene, nicht nur die Anwendung. Ein Zugriff über ein fremdes Konto liefert keine Zeilen, nicht eine gefilterte Ansicht.
EU-Hosting
Betrieb in Deutschland bei der Hetzner Online GmbH, Datenhaltung im EU-Raum, keine Spiegelung außerhalb der EU. Für Unternehmenskunden auf Wunsch als Container auf Ihrer eigenen Infrastruktur.
Löschung auf Verlangen
Auf Verlangen gelöscht innerhalb von 30 Tagen, einschließlich der Sicherungskopien in ihrem Rotationszyklus. Nach Vertragsende binnen 90 Tagen. Die Rechte an Eingaben und Ergebnissen bleiben vollständig bei Ihnen.
Hosting und Verschlüsselung
Wo die Plattform läuft und wie sie geschützt ist.
- Standort
- Server bei der Hetzner Online GmbH am Standort Nürnberg, physisch in Deutschland. CovaSyn ist keine Tochtergesellschaft eines US-Unternehmens.
- Eigener Betrieb
- Für Unternehmenskunden auf Wunsch als eigene Instanz auf Ihrer Hardware. Dann entfällt jede Übermittlung in Drittländer.Betrieb im eigenen Haus
- Transport
- Ausschließlich über TLS 1.2 oder höher, HSTS ist aktiv.
- Ruhezustand
- Die Datenträger sind verschlüsselt.
- Zugangsdaten und Schlüssel
- API-Schlüssel und Zugangsdaten werden nur als Hash oder in getrennter Konfiguration gehalten und nie im Klartext protokolliert.
Zugriff
Wer worauf zugreifen kann.
- Anmeldung
- Sitzungen laufen über Cookies mit HttpOnly, Secure und SameSite=Lax.
- Single Sign-on
- Für Unternehmenskunden über SAML 2.0, erprobt mit Microsoft Entra ID, Okta und Google Workspace. Nutzer werden beim ersten Anmelden anhand der verifizierten Unternehmensdomain Ihrer Organisation zugeordnet.Anleitung für Ihre IT
- Rollen
- Nutzer, Admin und Organisationsinhaber. API-Schlüssel gelten je Zugang und lassen sich jederzeit widerrufen.
- Protokolle
- Jeder Werkzeugaufruf wird mit Zeitpunkt, Werkzeug, Version, Ergebnisstatus und Schlüsselkennung protokolliert. Die Protokolle sind als CSV oder JSON exportierbar.
Betrieb
Vorfälle und Meldungen.
- Sicherheitsvorfälle
- Es gibt einen dokumentierten Meldeweg mit benannten Verantwortlichen. Betroffene Kunden informieren wir spätestens 24 Stunden nach Feststellung eines Vorfalls mit möglichem Bezug zu ihren Daten. Die Meldefrist von 72 Stunden nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde ist Teil des Ablaufs.
- Sicherheitslücke melden
- Meldungen an info@covasyn.com. Wir antworten auf berechtigte Meldungen innerhalb von 5 Werktagen und arbeiten mit koordinierter Offenlegung, 90 Tage. Die maschinenlesbare Fassung liegt unter /.well-known/security.txt nach RFC 9116.
Regulierte Umgebungen
Was die Software für Ihre Validierung mitbringt.
Keine Software ist beim Kauf fertig validiert. Validierung ist der Prozess in Ihrem Haus. CovaSyn liefert die Eigenschaften und, auf Wunsch für regulierte Umgebungen, die Unterlagen, mit denen Sie validieren.
- Determinismus
- Werkzeugversionen sind festgeschrieben. Gleiche Eingabe ergibt reproduzierbar die gleiche Ausgabe, auch Wochen später. Im numerischen Pfad entscheidet kein Zufall und kein Sprachmodell.
- Audit-Trail
- Jeder Werkzeugaufruf ist mit Zeitpunkt, Werkzeug, Version, Ergebnisstatus und Schlüsselkennung protokolliert und als CSV oder JSON exportierbar.
- Prüfsummen
- Ausgaben tragen eine SHA-256-Prüfsumme. Wer sie festhält, kann später nachprüfen, ob ein Ergebnis unverändert ist.
| Regelwerk | Was CovaSyn dafür mitbringt |
|---|---|
| EU-GMP Annex 11 (computergestützte Systeme) | Audit-Trail, deterministische Ergebnisse und Zugriffskontrolle sind eingebaut und unterstützen Ihre Validierung. |
| 21 CFR Part 11 (elektronische Aufzeichnungen) | Ausgaben mit SHA-256-Prüfsumme, Protokolle als CSV oder JSON exportierbar. |
| GAMP 5 | Einordnung als Kategorie 4 (konfiguriertes Produkt): beim Kunden wird kein individueller Code entwickelt. |
| ICH M7 (R2), mutagene Verunreinigungen | Werkzeuge zur Mutagenitätsbewertung mit einem Ablauf für die Prüfung durch Ihre Fachleute. |
| ICH Q1A und Q1E, Stabilität | Haltbarkeit per Regression der Langzeitdaten gegen die einseitige 95-%-Konfidenzgrenze (ICH Q1E), Arrhenius als unterstützende Kinetik. |
| GAMP 5, Änderungskontrolle | Versionierung und Wege für die Änderungskontrolle sind dokumentiert. Änderungen, die Ergebnisse beeinflussen können, kündigen wir mindestens 30 Tage vorher an. |
Validierung bei CovaSyn
- Jeder Zugang liefert audit-fähige Ausgaben. Die Validierung Ihres Anwendungsfalls findet bei Ihnen statt.
- Auf Wunsch für regulierte Umgebungen (Enterprise): ein Validierungspaket mit Vorlagen für Lastenheft (URS), Funktionsspezifikation (FS) sowie Installations-, Funktions- und Leistungsqualifizierung (IQ, OQ, PQ), einschließlich der Argumentation für GAMP 5 Kategorie 4.
- Den Durchgang durch das Paket vereinbaren wir im Erstgespräch.
Was wir nicht behaupten
- „GxP-validiert“ ab Werk. Validierung ist ein Prozess beim Kunden, keine Eigenschaft der Software.
- „Ersetzt die QA-Prüfung“. CovaSyn ergänzt QA-Abläufe, ersetzt sie nicht.
- „FDA-zugelassen“. CovaSyn ist weder Medizinprodukt noch Arzneimittel; eine FDA-Zulassung gibt es für diese Art Software nicht.
- Zertifizierungen. CovaSyn ist derzeit weder nach SOC 2 Type II noch nach ISO 27001 zertifiziert; die Kontrollen selbst sind in SIG Lite und CAIQ v4 dokumentiert. HIPAA ist für Pharmaforschung in der EU in der Regel nicht einschlägig.
Für Ihren Einkauf
Sicherheitsfragebögen, vorausgefüllt.
SIG Lite und CAIQ v4 sind vollständig beantwortet und hier abrufbar. Beide entstehen aus einer einzigen gepflegten Antwortbibliothek, eine Änderung wirkt in beiden gleichzeitig. Zusammen decken sie den größten Teil dessen ab, was ein firmeneigener Fragebogen fragt.
Auftragsverarbeitung nach Art. 28 DSGVO
Auftragsverarbeitungsvertrag mit TOM-Anlage nach Art. 32 DSGVO, unterschriftsreif innerhalb von 24 Stunden über das Formular auf der AVV-Seite. Löschkonzept, Zugriffskonzept und Notfallplan stellen wir auf Anfrage bereit.
AVV anfordernTransparenz
Unterauftragsverarbeiter
Vollständige Liste, jeweils mit Zweck und Verarbeitungsort, deckungsgleich mit der Datenschutzerklärung. Eine Änderung kündigen wir mit Widerspruchsmöglichkeit an. Zwei Funktionen binden ein Sprachmodell von Anthropic mit Verarbeitung in den USA ein, abgesichert über Standardvertragsklauseln: der Chat-Assistent im Struktureditor und die Auswertungsfunktion der Kampagnenanalyse. Alle übrigen Werkzeuge arbeiten ohne Sprachmodell und ohne Drittlandübermittlung.
| Dienstleister | Zweck | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting der Plattform und der Datenbank | EUDeutschland |
| Supabase (Datenbank und Authentifizierung) | Datenhaltung, Konten und Anmeldung | EUEU-Region |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung und Rechnungsstellung | EUIrland |
| Microsoft 365 (Exchange Online) | Geschäftliche E-Mail-Kommunikation | EUEU-Region |
| Anthropic PBC | Sprachmodell für den Chat-Assistenten im Struktureditor und für die Auswertungsfunktion der Kampagnenanalyse; übermittelt werden dabei die bearbeitete Struktur, der Gesprächsverlauf und Werkzeugergebnisse beziehungsweise statistische Auswertungen | Nicht-EUUSA (Standardvertragsklauseln) |
| Cloudflare, Inc. | Namensauflösung der Domain und vorgelagerter Netzschutz | Nicht-EUUSA (Standardvertragsklauseln) |
| Resend (Plus Five Five, Inc.) | Versand von Systemnachrichten wie Bestätigungen und Rechnungshinweisen | Nicht-EUUSA (Standardvertragsklauseln) |
| Twilio SendGrid | Ausweichweg für den Versand von Systemnachrichten | Nicht-EUUSA (Standardvertragsklauseln) |
| Trustpilot A/S | Einholung und Anzeige von Kundenbewertungen | EUDänemark |
| Google Ireland Ltd. | Reichweitenmessung der Website, wird durch die eigene Messung abgelöst | Nicht-EUIrland (Datenübermittlung in die USA möglich) |
MolecularIQ
Auf einem unabhängigen Benchmark gemessen
Auf dem fremden MolecularIQ-Benchmark (Bartmann et al., Klambauer Lab, JKU Linz) messen wir unsere Werkzeuge mit symbolischer Verifikation gegen die hinterlegte Lösung, ohne Sprachmodell als Richter.
- Modelle allein
- 14 bis 41 %
- Mit CovaSyn-MCP
- 76 bis 92 %
Quelle: Bartmann C., Schimunek J., Ielanskyi M., Seidl P., Klambauer G., Luukkonen S. (2026). MolecularIQ: Characterizing Chemical Reasoning Capabilities Through Symbolic Verification on Molecular Graphs. arXiv:2601.15279. Snapshot: 2026-05-17.
FAQ
Häufige Fragen
Werden unsere Daten zum Training von Modellen verwendet?
Nein. Ihre Eingaben werden ausschließlich zur Bearbeitung der jeweiligen Anfrage verarbeitet und niemals zum Training eigener oder fremder Modelle verwendet. Die Zusage steht im Auftragsverarbeitungsvertrag.
Wo liegen unsere Daten?
In Deutschland, bei der Hetzner Online GmbH, mit Datenhaltung im EU-Raum. Auf Wunsch läuft die Plattform auf Ihrer eigenen Infrastruktur.
Ist CovaSyn zertifiziert?
Nein. Derzeit besteht weder eine SOC-2- noch eine ISO-27001-Zertifizierung. Die Kontrollen sind in den Fragebögen SIG Lite und CAIQ v4 dokumentiert, die Sie auf dieser Seite herunterladen können.
Ist die Software validiert?
Keine Software ist beim Kauf fertig validiert. CovaSyn liefert audit-fähige Ausgaben und auf Wunsch ein Validierungspaket mit Vorlagen; die Validierung Ihres Anwendungsfalls findet bei Ihnen statt.
Nächster Schritt
Offene Fragen aus QA oder Einkauf klären wir gemeinsam.
Wenn Ihr Team mehr braucht als diese Seite und die Fragebögen, gehen wir die Punkte im Erstgespräch durch.
30 Minuten per Microsoft Teams mit dem CovaSyn-Team. Wenn es nicht passt, sagen wir das direkt.