Vertrauen

Datenschutz und Sicherheit

Wohin Ihr Prompt geht

Was gespeichert wird

• Nichts, was Sie eingeben, wird auf einem Server gespeichert. Konten sind optional und enthalten nur die Identität: einen Hash Ihrer E-Mail-Adresse mit Schlüssel und Sitzungs-Tokens. Es gibt keinen Endpunkt, der Prompts oder Aktivitäten annimmt.
• Die Chrome- und die VS-Code-Erweiterung können einen Aktivitätsverlauf auf Ihrem Gerät führen, der aus ist, bis Sie ihn einschalten und einen Hinweis bestätigen. Er erfasst Metadaten (Zeit, Website, Ereignistyp, Kategorien und Anzahl sensibler Daten, Aktion, Qualitätspunktzahlen); Prompt-Text nur, wenn Sie den Prompt-Verlauf separat einschalten, mit ersetzten Geheimnissen. Er wird nie hochgeladen oder synchronisiert, und Sie können ihn pausieren, Websites ausschließen, ihn exportieren und löschen. Der Speicher von Browser und Editor wird von PromptFlowEngine nicht verschlüsselt.
• AI-Insights-Artikel werden in einer Datenbank gespeichert. Das Öffnen eines Artikels erhöht seinen Aufrufzähler um 1, und ein Klick auf eine Teilen-Schaltfläche seinen Zähler für geteilte Beiträge um 1. Gespeichert werden nur die Zähler: keine IP-Adresse, keine Kennung, kein Referrer.
• Der Arbeitsbereich speichert Ihren Entwurf, Ihre Einstellungen, gespeicherte Prompts und Ihre Sprachwahl im localStorage dieses Browsers. Das Löschen der Websitedaten entfernt sie.
• Wenn Sie im Sprachwähler eine Sprache auswählen, wird sie in einem Cookie pf-lang gespeichert (ein Jahr, nur diese Website), damit Seiten beim nächsten Mal in dieser Sprache öffnen. Es enthält nur den Sprachcode und wird nie gesetzt, solange Sie keine Sprache wählen.
• Google Analytics (GA4) läuft auf jeder Seite von promptflowengine.com und erfasst Seitenaufrufe, mit ausgeschalteten Google-Signalen und Anzeigenpersonalisierung. Vorschau- und lokale Builds senden nichts. Für Besucher aus dem EWR, dem Vereinigten Königreich und der Schweiz sowie für Browser, die Global Privacy Control senden, läuft GA4 ohne Analytics-Cookies (Consent Mode mit abgelehnter Analytics-Speicherung).
• Die Website sendet Nutzungsereignisse an GA4: optimize_run, optimize_apply, template_load, prompt_save, prompt_copy, prompt_download, share_create, share_open, sanitize, library_open, library_share, insight_share, social_landing (Netzwerk, Kampagne und Beitrags-ID eines markierten Links aus unseren Social-Media-Beiträgen), get_started_click, trial_signup_click, signup_started, signup_completed, demo_request, contact_sales, docs_view, vscode_extension_click, chrome_extension_click, demo_center_click und extension_listing_click (welcher Store und auf welcher Seite der Link stand). Ihre Parameter sind Einstellungen (Modell, Modus, Ziel), Template-IDs, Punktzahlen, Zählungen und Größenklassen wie 100-500 Tokens. Prompt-Text, Befunde und alles, was Sie eingeben, werden nie gesendet.
• Wenn Cloudflare Web Analytics aktiviert ist, erfasst es Seitenaufrufe ohne Cookies. Es sieht nie Prompt-Text.
• Fehlerberichte der Chrome- und VS-Code-Erweiterung sind standardmäßig aus. Wenn Sie sie einschalten (Chrome: Einstellungen → Diagnose; VS Code: promptflow.diagnostics.errorReports, nie gesendet, solange die VS-Code-Telemetrie aus ist), sendet ein unerwarteter Fehler den Fehlertyp aus einer festen Liste (etwa process_internal), seinen Schweregrad und die Version der Erweiterung an den konfigurierten Server. Nie die Fehlermeldung, einen Stacktrace, Prompts, Seiten- oder Dateiinhalte oder etwas, das Sie, Ihr Konto oder Ihr Gerät identifiziert. Sie werden höchstens 90 Tage als Zählwerte aufbewahrt und sind nur für PromptFlowEngine-Administratoren sichtbar.
• Wenn der eigene Code dieser Website in Ihrem Browser fehlschlägt, sendet sie einen anonymen Fehlerbericht an promptflowengine.com selbst (kein Drittanbieter, keine Cookies): den Fehlertyp aus einer festen Liste (etwa chunk_load_failed), seinen Schweregrad und den Bereich der Website, auf dem Sie waren (etwa docs). Nie die Fehlermeldung, die vollständige Adresse, etwas nach ? oder # (dort speichern Freigabelinks Ihren Prompt) oder etwas, das Sie eingegeben haben. Fehler aus Skripten anderer Websites und aus Browsererweiterungen werden ignoriert. Sendet Ihr Browser Global Privacy Control oder Do Not Track, wird nichts gesendet.

Was protokolliert wird

Für jede API-Anfrage: eine Anfrage-ID, Route, Methode, Status, Dauer, eine Größenklasse der Eingabe (etwa 1k-10k) und ob das Ratenlimit griff. Prompt-Text und Ergebnisse werden nie protokolliert.

Sicherheitsmodell

• Strikte Content Security Policy (hashbasierte Skripte, frame-ancestors 'none'), HSTS und nosniff.
• Google Analytics und das optionale Cloudflare-Analytics-Beacon sind die einzigen Skripte von Drittanbietern; die CSP erlaubt nichts anderes. Schriften werden selbst gehostet, und Übersetzungen sind Teil der Website: Kein Prompt und kein Seitentext wird an einen Übersetzungsdienst gesendet.
• Die API validiert jedes Feld, begrenzt die Eingabegröße, drosselt pro IP und liefert typisierte Fehler ohne interne Details.
• Die Erkennung sensibler Daten liefert Kategorien und Positionen, nie den gefundenen Wert.
• Die Erkennung von Prompt Injection beruht auf Signaturen. Sie meldet ein Risiko, keinen Beweis, und kann neuartige Angriffe übersehen.

Eine Sicherheitslücke gefunden? Melden Sie sie vertraulich dem Maintainer, bevor Sie sie öffentlich machen. Siehe die Entwicklerseite.

Kontakt

Fragen zu Datenschutz, Ihren Daten oder zum Löschen eines Kontos: support@promptflowengine.com.