Sicherheit und Daten

Wo Ihre Daten liegen

• Die App und ihre Datenbank laufen im Netzwerk von Cloudflare (Cloudflare Workers und Cloudflare D1). Es gibt keine eigenen Server, die gepatcht werden müssten oder verloren gehen könnten.
• Kartenzahlungen werden vollständig von Stripe abgewickelt. Vollständige Kartennummern sehen oder speichern wir nie.
• Wir verkaufen keine Daten und zeigen keine Werbung. Die von uns genutzten Anbieter sind in unserem Datenschutzhinweis aufgeführt.

Wie Ihre Daten geschützt sind

• Jede Verbindung ist per HTTPS verschlüsselt, und Browser werden angewiesen, alles andere abzulehnen (HSTS).
• Passwörter werden nie gespeichert. Wir speichern einen gesalzenen PBKDF2-SHA256-Hash, sodass selbst wir sie nicht lesen können.
• Anmeldesitzungen verwenden ein sicheres HTTP-only-Cookie, das Skripte auf der Seite nicht lesen können. Wenn Sie Ihr Passwort zurücksetzen, werden Sie überall abgemeldet.
• Wiederholte fehlgeschlagene Anmeldungen werden verlangsamt, um das Erraten von Passwörtern zu verhindern.
• Seiten werden mit strengen Sicherheits-Headern ausgeliefert, darunter eine Content Security Policy und ein Schutz vor dem Einbetten durch andere Websites.

Wer Ihre Daten sehen kann

• Die Daten jeder Organisation werden getrennt gehalten, und jede Anfrage wird gegen die Organisation geprüft, bei der Sie angemeldet sind. Unsere automatisierten Tests stellen sicher, dass eine Organisation die Daten einer anderen weder lesen noch löschen kann.
• Innerhalb Ihrer Organisation haben Inhaber, Administratoren und Mitglieder unterschiedliche Berechtigungen. Nur Inhaber und Administratoren können Einstellungen ändern, Personen einladen oder die Abrechnung verwalten.
• Einladungen und Links zum Zurücksetzen des Passworts sind nur einmal verwendbar und laufen ab (7 Tage bzw. 1 Stunde).
• Lieferanten, die Sie um Daten bitten, gelangen über einen privaten Link zu einem einzigen Formular. Ihr Konto sehen sie nie.
• Wichtige Änderungen, etwa an Abrechnung und Einstellungen, werden in einem Prüfprotokoll festgehalten.

Ihre Daten gehören Ihnen

• Exportieren Sie jederzeit, solange Ihr Tarif aktiv ist, alle Aktivitäts- und Emissionszeilen als Tabelle, mit dem für jeden Wert verwendeten Faktor.
• Wenn Sie nicht mehr zahlen, wird nichts gelöscht: Wählen Sie wieder einen Tarif, und alles ist so, wie Sie es verlassen haben.
• Ein Inhaber kann die Organisation mit allen Inhalten unter „Einstellungen“ löschen. Sie wird sofort aus der Live-Datenbank entfernt.

Cookies und Analyse

• Ohne Nachfrage werden nur die Cookies gesetzt, die für die Anmeldung nötig sind. Google Analytics und Microsoft Clarity werden nur geladen, wenn Sie zustimmen, und Sie können Ihre Entscheidung jederzeit über „Cookie-Einstellungen“ am Fuß jeder Seite ändern.
• Cloudflare Web Analytics, das keine Cookies verwendet, zählt Seitenaufrufe.

Was wir noch nicht haben

Wir sind ein junger Dienst und sagen es Ihnen lieber selbst, als Sie es herausfinden zu lassen. Wir haben noch keine Zwei-Faktor-Anmeldung, kein Single Sign-on und keine unabhängige Zertifizierung wie ISO 27001 oder Cyber Essentials. Die Zwei-Faktor-Anmeldung steht als Nächstes auf unserer Liste. Wenn Ihr Einkauf einen Sicherheitsfragebogen hat, senden Sie ihn uns, und wir beantworten ihn ehrlich.