Datenschutz & Vertrauen
Niemand sollte beobachtet werden müssen, um zu Hause sicherer zu sein.
ilonai lernt so wenig wie möglich über das Leben einer Person und erkennt trotzdem einen möglichen Sturz. Formelle rechtliche und sicherheitstechnische Prüfungen sind noch nicht abgeschlossen. Die Versprechen unten sind die Grenzen, an die wir das Produkt binden.
Das Datenschutzversprechen
Wenn nichts passiert, verlässt kein Bild das System.
Kein Live-Kamerazugriff. Kein Audio. Kein tägliches Aktivitätsprofil. Kein Einblick durch ilonai-Mitarbeitende in Räume.
Wir bauen nach den Privacy-by-Design-Prinzipien des Schweizer DSG: nur für einen genannten Zweck erheben, so wenig wie möglich erheben, den Zugang einschränken und kurz aufbewahren. Formelle Validierung wird veröffentlicht, sobald sie vorliegt.
Der Schweizer EDÖB hält fest, dass erkennbares Video auch dann eine Bearbeitung von Personendaten ist, wenn Bilder nicht gespeichert werden, und dass niemand hinschauen sollte, solange kein Vorfall eintritt, wenn ein Blick danach genügt. Wir sehen das genauso, und das Produkt ist so gebaut.
Was die Kameras senden können
Normalbetrieb
Was nach aussen geht: nur Gesundheits-/Status-Metadaten.
Was nicht nach aussen geht: Bilder, Video, Audio, Routinen- oder Aktivitätsprotokoll.
Möglicher Sturz
Was ilonai nie bereitstellt
- keine Live-Kameraseite
- kein Überwachungs-Dashboard
- keinen Kamerazugriff für den Anbieter
- kein Audio
- keine Gesichtserkennung
- kein tägliches Aktivitätsprotokoll
- keine Schlaf- oder Toilettenverhaltensberichte
- keine Überwachung des Alltags durch Personal oder Familie
Die Bilder zu schützen, genügt allein nicht. Ein System kann jedes Pixel löschen und trotzdem genau wiedergeben, wie jemand den Tag verbracht hat. Auch das bauen wir nicht.
Der rollierende Puffer
Im Normalbetrieb wird Video nicht aufbewahrt. Ein kurzer verschlüsselter rollierender Puffer existiert lokal und wird fortlaufend überschrieben. Wird ein möglicher Sturz erkannt, kann dieses kurze Fenster als Vorfallclip erhalten bleiben.
Deshalb sagen wir nicht «nie auch nur eine Millisekunde gespeichert» und zugleich «wir können zehn Sekunden vor dem Sturz zeigen». Beides gilt nur wegen des Puffers.
Notfall-Ausnahme
Eine im Voraus benannte Person kann ein Bestätigungsbild erhalten, wenn das System glaubt, dass Hilfe nötig sein könnte. Das ist der einzige Moment, in dem jemand hinschauen muss.
Ein optionaler kurzer Vorfallclip bleibt auf dem lokalen Computer, verschlüsselt und zugangskontrolliert, mit Löschrichtlinie. Er wird nie zu gewöhnlichem Cloud-Video.
Systemdiagnose vs. ein Leben beobachten
Was ilonai aus der Ferne sieht: Kamera 4 ist offline, welche Softwareversion installiert ist, dass ein Lebenssignal fehlt, dass der Strom länger ausgefallen ist.
Was ilonai aus der Ferne nicht sieht: was die Person im Raum tut.
Richtlinie zu Trainingsdaten
Kundenaufnahmen werden nicht zur Modellverbesserung genutzt, es sei denn, wir haben eine separate, ausdrückliche Erlaubnis. Sie kaufen eine Sicherheitsinstallation, und wir machen daraus nicht klammheimlich eine Quelle für Trainingsdaten.
Was wir nicht behaupten werden
Wir werden nicht «DSGVO-zertifiziert», «keine Cloud-Schwachstellen» oder «keine Compliance-Probleme» sagen. Ein lokales System kann dennoch Sicherheitslücken haben. Was wir korrekt sagen können, ist enger: keine Cloud-Videoexposition und nichts, was davon abhängt, dass jemand an ein Gerät denkt.