«Self-hosted» ist schnell gesagt. Diese Seite zeigt, was es bei Tendeo konkret bedeutet: welche Verbindungen es gibt, was durch jede einzelne fliesst — und warum Ihr Angebotswissen dabei nie zu uns gelangt. Verständlich für den Fachbereich, präzise genug für Ihre IT.
Das Grundprinzip: Tendeo baut ausschliesslich ausgehende Verbindungen auf. Es gibt keinen Weg von aussen hinein — weder für uns als Hersteller noch für Dritte. Ihre IT kann das nicht nur glauben, sondern in der Firewall erzwingen und in den eigenen Logs nachprüfen.
Jeder Abschnitt erklärt einen Datenfluss erst in einfachen Worten — und darunter steht für Ihre IT, wie er technisch umgesetzt ist.
Ihre Mitarbeitenden melden sich mit dem gewohnten Firmen-Login an — demselben wie für Outlook oder Teams. Es gibt keine separaten Tendeo-Passwörter, die verwaltet oder vergessen werden könnten. Wer was sehen darf (welches Land, welches Team, welche Rolle), steuern Sie zentral in Ihrem Microsoft Entra ID, genau wie bei jeder anderen internen Anwendung.
Reader / Contributor / Admin) als Entra App Roles; Länder-/Team-Sichtbarkeit über den groups-Claim Ihrer Sicherheitsgruppen.setup_entra.ps1, ~10 Minuten Entra-Admin) — danach ist die IT raus, Zuweisungen macht der Fachbereich im Entra-Portal.Tendeo wird gut, weil es Ihre früheren Angebote, Referenzen und Zertifikate kennt. Dieses Wissen holt es sich aus Ihren bestehenden Ablagen — und zwar innerhalb Ihres Hauses: Entweder liest Tendeo eine einzige, von Ihnen bestimmte SharePoint-Site, oder ein kleiner Sync-Agent bringt Dateien von Ordnern und Netzlaufwerken zur Tendeo-Instanz. In beiden Fällen wandern die Dokumente nur von einem Ort in Ihrem Haus an einen anderen Ort in Ihrem Haus. Fertige Angebots-Dossiers legt Tendeo auf Wunsch wieder in dieselbe SharePoint-Site zurück — erst nach Freigabe durch eine zweite Person.
Sites.Selected — die App wird per Site-Permission (Rolle write: lesen für den Wissens-Sync, schreiben für die Dossier-Ablage) auf genau EINE Site berechtigt. Kein tenant-weiter Zugriff, kein M365 Copilot nötig; inkrementeller Delta-Sync.Für die Analyse schickt Tendeo den Text der Ausschreibung und die passenden Einträge aus Ihrer Wissensdatenbank an ein grosses Sprachmodell — das ist der einzige Punkt, an dem Inhalte Ihr Haus verlassen können. Entscheidend: Das geschieht über Ihren eigenen Vertrag und API-Schlüssel mit dem KI-Anbieter, den Sie auswählen. Wir als Hersteller sitzen nicht dazwischen und sehen weder Anfragen noch Ergebnisse. Und wenn gar nichts das Haus verlassen soll: Mit Azure OpenAI bleiben die Aufrufe in Ihrem eigenen Azure-Tenant, mit einem on-prem-Modell sogar komplett auf Ihrer Hardware.
LLM_PROVIDER umschaltbar: anthropic (Standard, 1M-Kontext), openai, azure_openai (Datenverkehr bleibt im eigenen Tenant), gemini, mistral (EU) oder custom — jeder OpenAI-kompatible Endpoint, z.B. on-prem Ollama/vLLM (null externe Aufrufe).Updates funktionieren wie bei Ihrem Smartphone: Tendeo schaut nachts nach, ob eine neue Version bereitliegt, und installiert sie selbst — nach einer geprüften Datensicherung, mit automatischem Zurückrollen, falls etwas nicht startet. Der entscheidende Unterschied zu Fernwartung: Wir verbinden uns nie mit Ihrem System. Ihre Installation holt sich die Software ab; auf dem Weg dorthin fliessen keine Ihrer Daten. In der App sehen Sie, welche Version ansteht, können sofort aktualisieren oder Updates pausieren.
update.sh (identischer Ablauf inkl. Backup und Health-Gate).Tendeo sichert sich täglich selbst: die komplette Datenbank und alle Dokumente, verpackt in ein Archiv. Ziel ist Ihr eigener Azure-Speicher — auf Wunsch ein separates Konto in einer anderen Region, damit die Sicherung auch einen Ausfall des Rechenzentrums überlebt. Die Sicherung verlässt Ihr Azure nie und liegt schon gar nicht bei uns. Zurückspielen können Sie sie jederzeit selbst, ein Wiederherstellungs-Werkzeug liefern wir mit.
BACKUP_HOUR_UTC): alle Tabellen als portables JSONL (SQLite und Postgres) plus Dokumente bei lokaler Ablage; Ziel BACKUP_AZURE_CONNECTION_STRING (eigener Storage-Account/Region möglich), sonst /data/backups.BACKUP_RETENTION_DAYS (Standard 30); Status per GET /api/backup/status, manuell per Knopfdruck; Restore mit restore_backup.py in eine beliebige Ziel-DB — auch zum Verifizieren der Sicherung.Die vollständige Liste für den Security-Review — es gibt keine weiteren Verbindungen.
| Verbindung | Zweck | Richtung | Was fliesst — und was nicht |
|---|---|---|---|
| Browser → Tendeo | Tägliche Arbeit | im Tenant | App-Daten über TLS, Zugriff nur mit Entra-Login. |
| Tendeo → Entra ID | Login & Rollen | ausgehend | Token-Validierung. Keine Dokumente, keine Passwörter bei Tendeo. |
| Tendeo ↔ SharePoint | Wissens-Sync + Dossier-Ablage | im Tenant | Dokumente der EINEN freigegebenen Site (Sites.Selected); bleibt komplett in Ihrem Microsoft 365. |
| Tendeo → KI-Anbieter | Analyse & Textvorschläge | ausgehend | Dokumenttext + Wissensauszüge, mit Ihrem Key. Einziger Fluss mit Inhalt — wählbar bis «bleibt im Tenant» (Azure OpenAI) oder on-prem. |
| Updater → Registry | Updates holen | ausgehend | Versionsabfrage + Image-Download. Keine Kundendaten; abschaltbar (dann manuelles Update-Skript). |
| Backup → Ihr Blob-Speicher | Tägliche Sicherung | im Tenant | Komplette DB + Dokumente in Ihren eigenen Storage-Account (eigene Region möglich). |
| Radar → Plattformen | Ausschreibungssuche | ausgehend | Nur Suchbegriffe/CPV-Codes an simap.ch, TED, oeffentlichevergabe.de. Nie Ihre Dokumente. |
| Tendeo → E-Mail / Teams | Benachrichtigungen | ausgehend | Fristen, Radar-Treffer, Einladungen — an Ihre eigenen Mail-/Teams-Systeme, von Ihnen konfiguriert. |
| Lizenzprüfung | Nutzungsrecht | keine Verbindung | Signierte Offline-Lizenzdatei, lokal geprüft. Kein Phone-Home; abgelaufen heisst read-only, nie ausgesperrt. |
| Tendeo → Hersteller | Telemetrie / Analytik | existiert nicht | Kein Telemetrie-Code, keine Nutzungsstatistik. Support-Diagnosen senden Sie aktiv und selbst. |
Nicht als Versprechen, sondern aus drei nachprüfbaren Gründen.
Tendeo enthält keinen Telemetrie-Code und keine Online-Lizenzprüfung. Die einzigen Verbindungen zu uns — Versionscheck und Image-Download — transportieren Software zu Ihnen, nie Daten zu uns. Beide lassen sich vollständig abschalten.
Weil alle Verbindungen ausgehend sind, kann Ihre IT den Netzwerkverkehr in der eigenen Firewall auf die Liste oben beschränken — und in den eigenen Logs verifizieren, dass es keine weiteren gibt. Vertrauen wird zur Konfigurationsfrage.
Der einzige Fluss mit Inhalten läuft über Ihren eigenen KI-Vertrag — nicht über uns. Sie bestimmen den Anbieter, bis hin zu Azure OpenAI im eigenen Tenant oder einem Modell auf eigener Hardware, bei dem gar nichts das Haus verlässt.
Wir gehen die Architektur gemeinsam mit Ihrem Security-Team durch — Verbindung für Verbindung.
Demo anfragen