Sicherheit
Deine Daten. Klar geregelt.
Hier steht, welche Daten Velvova verarbeitet, wer Zugriff bekommt und was du selbst verwalten kannst. Und zwar auch das, was noch nicht umgesetzt ist.
Inhalt zuletzt gegen den Code geprüft am 9. September 2026. Das ist ein Prüfdatum, kein Audit — eine externe Zertifizierung oder ein Penetrationstest liegt nicht vor.
Drei Fragen, kurz beantwortet
Zugriff auf deine Angaben
Dein Karrieregespräch, deine Dokumente und deine Notizen gehören in den privaten Bereich. Für Arbeitgeber gibt es einen begrenzten Pilotzugang — er zeigt nur, was du für eine Stelle freigegeben hast, und Vorschläge entstehen ausschliesslich, wenn du der Auffindbarkeit zugestimmt hast.
Verarbeitung durch KI
Einordnungen laufen über Sprachmodelle von OpenAI und Anthropic. Was dorthin geht, ist die Frage und der zugehörige Text — nicht dein gesamtes Profil. Die Supportantworten bekommen ausschliesslich die Produktdokumentation.
Speichern und löschen
Was du eingibst, kannst du ändern und löschen. Wie weit das heute per Selbstbedienung geht und wo es über den Kontakt läuft, steht unten bei den offenen Punkten.
Was umgesetzt ist
Jeder Punkt hier ist an einer Stelle im Code nachgeschlagen. Die Stelle steht dabei.
Anmeldung und Sitzungen
Gespeichert wird kein Passwort, sondern ein scrypt-Hash mit zufälligem Salt je Konto. Der Vergleich läuft in konstanter Zeit, damit die Antwortdauer nicht verrät, wie weit ein Rateversuch gekommen ist. Verlangt werden mindestens acht Zeichen — Länge schützt besser als erzwungene Sonderzeichen.
Velvova hat dafür eine eigene Anmeldung und benutzt nicht die Anmeldung des Datenbankanbieters. Das ist ein Unterschied, der oft übersehen wird: Eine Supabase-Datenbank zu verwenden heisst nicht, Supabase Auth zu verwenden.
Das Sitzungs-Cookie ist httpOnly — Javascript im Browser kommt nicht heran — und SameSite=Lax; in Produktion zusätzlich secure, also nur über TLS.
Dateien und Uploads
Typ und Grösse werden geprüft. Dateien liegen nicht unter öffentlichen Adressen: Der Zugriff läuft über kurzlebige signierte Links, die nach einer Frist ungültig werden.
Einen Schadsoftware-Scan gibt es nicht — siehe unten. Lade deshalb nichts hoch, was du nicht auch per E-Mail verschicken würdest.
Protokolle und Supportzugriff
Vor dem Protokollieren werden Felder maskiert, die Persönliches enthalten können — darunter Freitexte, Begründungen, Notizen und Zugangsdaten. Die Liste steht an einer Stelle und gilt für alles, was protokolliert wird.
Was ein Hosting-Anbieter unabhängig davon in seinen eigenen Protokollen führt, liegt ausserhalb dieses Codes und damit ausserhalb dessen, was hier zugesagt werden kann.
Externe Inhalte und KI-Verarbeitung
Für Einordnungen werden Sprachmodelle von OpenAI und Anthropic eingesetzt. Übermittelt wird, was für die jeweilige Frage nötig ist.
Der Support-Faden ist davon getrennt: Er bekommt die Frage und die Produktdokumentation, nicht dein Karrieregespräch. Das ist keine Einstellung, sondern ein eigener Endpunkt mit eigenem Kontext.
Einzelheiten dazu stehen in der KI-Transparenz.
Was noch nicht umgesetzt ist
Diese Punkte standen bis zum 9. September 2026 auf dieser Seite, als wären sie fertig. Sie sind es nicht.
Kein Schadsoftware-Scan für Uploads
Die frühere Fassung nannte eine „Anbindung für einen Schadsoftware-Scan“. Es gibt weder einen Scanner noch eine Anbindung noch eine Stelle, an der einer aufgerufen würde. Hochgeladene Dateien werden auf Typ und Grösse geprüft und sonst nicht.
Keine zusätzliche Verschlüsselung einzelner Felder
Im Datenmodell gibt es Spalten mit dem Zusatz „encrypted“. Geschrieben wird in keine davon. Der Schutz der Daten ruht damit auf der Verschlüsselung des Datenbankanbieters und auf den Zugriffsregeln — nicht auf einer eigenen Feldverschlüsselung.
Kein externer Nachweis
Es gibt keine Zertifizierung und keinen Penetrationstest von aussen. Was auf dieser Seite steht, beruht auf einer Durchsicht des eigenen Codes — mehr behauptet das Prüfdatum oben nicht.
Einstellungen sind im Konto, nicht hier
Diese Seite erklärt, was passiert. Verändern lässt sich nichts von hier aus — Schalter auf einer öffentlichen Seite hätten kein Konto, an dem sie etwas speichern könnten, und ein Schalter, der nur die Farbe wechselt, ist keine Datenschutzfunktion. Die echten Einstellungen stehen im angemeldeten Bereich.
Etwas gefunden, das nicht stimmt?
Wenn dir eine Sicherheitslücke auffällt, schreib uns direkt, bevor du es öffentlich machst. Bitte keine Passwörter oder Zugangsschlüssel in der Nachricht.