Figma AI — Figma, USA
Your submission does not appear in the directory straight away. We look at the evidence and, if it holds, write a new assessment with a date and a record of the change. That separation is precisely what makes the entry worth something to your customers. It costs you nothing.
| Criterion | In the directory |
|---|---|
| Data processing agreement | ja — DPA für Organization/Enterprise, deckt auch die KI-Funktionen; SCCs für EU→US |
| Place of processing | EU-Hosting für Dateien wählbar (Frankfurt, Backup Dublin; außerhalb Enterprise nicht Standard). Die KI-Verarbeitung selbst läuft in den USA: AWS Bedrock ist für Figma AI als Sub-Prozessor mit Standort United States ausgewiesen, verarbeitet werden Prompt-Eingaben und -Ausgaben. Quelle: figma.com/sub-processors (abgerufen 30.07.2026) … rocessor Applicable Service(s) Processing Activities Location Categories of Personal Data Processed Anthropic PBC Figma AI AI model provider United States* Prompt Inputs and Outputs Amazon Web Services, Inc. Figma AI AI model provider United St … (Quelle: https://www.figma.com/sub-processors, abgerufen 2026-08-28 · maschinell gefunden, Regelwerk 3.0, Regel „Anhaltspunkt: Verarbeitung im Drittland“) |
| Training on customer data | nein — Designdateien/Prototypen/FigJam werden nicht fürs Modelltraining genutzt (alle bezahlten Pläne) |
| Certifications | Zertifiziert nach ISO/IEC 27001:2022 und ISO/IEC 27018:2019 für Produkt und Dienste sowie nach ISO/IEC 42001:2023 für das KI-Managementsystem — die Sicherheitsseite nennt das ausdrücklich als Zertifizierung, nicht als Ausrichtung. Weiter ausgewiesen: ISO 27017, ISO 27701, SOC 2, das deutsche C5-Testat, TISAX und der EU Cloud Code of Conduct. (Quelle: https://www.figma.com/security/, abgerufen 01.08.2026 · Archivstand von Hand gelesen) |
| Subprocessors | Tabelle mit Dienst, Verarbeitungstätigkeit, Ort UND den Kategorien personenbezogener Daten je Unterauftragnehmer — die ausführlichste Aufstellung im Bestand. Für Hosting und Auslieferung sind Amazon Web Services (USA; bei Enterprise-Tarifen der gewählte Hosting-Ort), AWS Bedrock für Moderation der KI-Eingaben und -Ausgaben, Cloudflare und Datadog genannt, dazu Agora für Audiokonferenz und Transkription. Neue oder ersetzte Unterauftragnehmer werden mindestens 15 Tage vorher in die Liste aufgenommen; wer sie abonniert hat, wird benachrichtigt und kann innerhalb dieser Frist aus Datenschutzgründen widersprechen. Kommt keine Einigung zustande, bleibt dem Kunden die Kündigung der betroffenen Bestellung. (Quelle: https://www.figma.com/sub-processors, abgerufen 31.07.2026 · Archivstand von Hand gelesen) |
Would you like to maintain the entry and be heard before changes? A correction with evidence does not require that — it is covered by the vendor programme.
The interface is available in English. Directory entries, the AI register we produce, the quarterly record and the contract annexes remain in German — they are the authoritative documents.
Deutsch · English