Wie du es uns sagst, und was wir tatsächlich tun.

Etwas melden

Schreib an help@margo.global, mit genug Details, um es nachzuvollziehen. Es ist ein gemeinsames Postfach, schreib also „security“ in den Betreff — der Mailto-Link oben macht das für dich.

Wir haben keine Reaktionszeit vereinbart und behaupten auch keine. Es liest jemand mit.

Wir gehen nicht rechtlich gegen Menschen vor, die in gutem Glauben suchen, es uns vertraulich mitteilen und dabei weder auf Daten anderer zugreifen noch den Dienst beeinträchtigen.

Was diese Website tut

• Jede Seite kommt über eine verschlüsselte Verbindung (HTTPS), und wir sagen dem Browser, er soll nie eine unverschlüsselte benutzen.
• Eine strenge Content-Security-Policy, mit einem frischen Einmalwert bei jeder Anfrage, damit dein Browser Code, Stile und Schriften von niemandem außer uns lädt.
• Jedes Formular wird auf unserem eigenen Server noch einmal geprüft, und jede Adresse, unter der diese Seite antwortet, ebenso. Wir verlassen uns nie darauf, dass der Browser eine Regel durchsetzt.
• Jedes Formular trägt einen Einmalwert, den wir beim Absenden prüfen — so kann keine andere Website das Formular in deinem Namen abschicken.
• Eine Grenze dafür, wie oft Formulare und der Bezahlvorgang von einer Stelle aus abgeschickt werden können.
• Passwörter und Schlüssel bleiben auf unserem Server. Nichts davon wird an deinen Browser geschickt.
• Fehlermeldungen, die nicht zurückgeben, was du eingegeben hast, und Protokolle ohne Formularinhalte, E-Mail-Adressen oder Zahlungskennungen.
• Kartendaten berühren unsere Server nicht. Stripe erhebt sie unmittelbar.
• Nachrichten unseres Zahlungsdienstleisters werden nur angenommen, wenn sie korrekt signiert sind, einmal festgehalten und in der Reihenfolge angewendet, in der sie gesendet wurden.

Was die App tut

• Auf dem Mac sind deine Aufzeichnungen Dateien in deinem Benutzerordner, unter den Rechten deines eigenen macOS-Kontos.
• Die Kopie, die dein iPhone braucht, hält Margos Kontodienst; erreichbar ist er nur über eine verschlüsselte Verbindung und erst, nachdem du dich angemeldet hast.
• Der Schlüssel, mit dem die KI bezahlt wird, liegt nie auf deinem Mac oder deinem iPhone. Er bleibt in Margos eigenem KI-Dienst.
• Margo kann deinen Google Kalender und Google Tasks lesen, aber nicht ändern. Gmail ist freiwillig: Margo liest die Kopfzeilen einer Nachricht — Absender, Betreff, Datum — und die Vorschauzeile, nie die ganze Nachricht, und sendet eine E-Mail nur, wenn du auf „Senden“ drückst. Kein Google Drive.

Was wir nicht behaupten

• Keine Zertifizierung nach SOC 2, ISO 27001, HIPAA oder DSGVO. Nichts davon wurde geprüft.
• Es wurde kein Penetrationstest durchgeführt — niemand wurde dafür bezahlt, einen Einbruch zu versuchen.
• Keine Ende-zu-Ende-Verschlüsselung. Was zwischen deinen Geräten synchronisiert wird, läuft über eine verschlüsselte Verbindung, aber Margos Kontodienst kann es lesen.
• Wir zahlen nicht für gemeldete Sicherheitslücken. Uns fehlt das Geld, um ein solches Programm ehrlich zu betreiben.
• Keine Behauptung, die Software sei in irgendeinem absoluten Sinne sicher. Der Code ist jung, und das Gegenteil zu sagen wäre ein Werbesatz, kein Sicherheitssatz.

Der aktuelle Stand ist Version 1.0, notarisiert und mit einem Developer-ID-Zertifikat signiert. Was das für die Installation bedeutet.