Sicherheit

Sicherheit ist eine Gestaltungsanforderung für jede Leistung. Wir wenden das Prinzip der minimalen Rechtevergabe und die mehrschichtige Verteidigung an und folgen dem Grundsatz, dass Kundendaten nur zur Erbringung der vom Kunden gewünschten Leistung verwendet werden.

Daten werden bei der Übertragung mit TLS 1.2 oder höher und im Ruhezustand mit starker Verschlüsselung geschützt. Geheimnisse und Zugangsdaten werden in verwalteten Secret-Stores gespeichert, niemals im Quellcode. Integrationen nutzen eingegrenzte, widerrufbare Zugriffe und, wo immer die Leistung es zulässt, reine Lesezugriffe.

Der Zugriff von Mitarbeitenden auf Produktivsysteme ist auf Personen beschränkt, die ihn benötigen, erfordert eine Multi-Faktor-Authentifizierung, wird protokolliert und regelmäßig überprüft. Kunden im Tarif Scale können Single Sign-On und Audit-Logs nutzen.

Wir betreiben unsere Dienste auf renommierter Cloud-Infrastruktur mit Netzwerkisolierung, gehärteten Konfigurationen und automatischem Patching. Kundenumgebungen sind logisch voneinander getrennt. Optionen zum Datenstandort stehen zur Verfügung, einschließlich Hosting in der EU.

Wir prüfen Codeänderungen, scannen Abhängigkeiten auf bekannte Schwachstellen, testen vor der Veröffentlichung und beheben kritische Probleme vorrangig. Mit zunehmender Reife des Unternehmens beauftragen wir mindestens jährlich unabhängige Penetrationstests.

Daten werden regelmäßig gesichert, und Wiederherstellungen werden getestet. Wir überwachen Verfügbarkeit und Leistung und unterhalten einen Notfallplan für Sicherheitsvorfälle mit definierten Rollen, Eskalationswegen und Kundenkommunikation.

Bestätigen wir eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, benachrichtigen wir die betroffenen Kunden unverzüglich und, soweit erforderlich, innerhalb von 72 Stunden nach Kenntniserlangung, und zwar mit den Informationen, die diese benötigen, um ihre eigenen Pflichten zu erfüllen.

Unsere Verarbeitung orientiert sich an der DSGVO. Ein SOC-2-Programm ist in Arbeit; eine Zertifizierung beanspruchen wir erst, wenn ein unabhängiges Audit abgeschlossen wurde. Wir verwenden Kundendaten nicht, um Modelle zu trainieren, die mit anderen Kunden geteilt werden.

Mitarbeitende unterzeichnen Vertraulichkeitsvereinbarungen und erhalten Sicherheitsschulungen. Unterauftragsverarbeiter werden vor dem Einsatz geprüft und an Datenschutzbedingungen gebunden. Eine aktuelle Liste ist auf Anfrage erhältlich.

Wenn Sie glauben, ein Sicherheitsproblem gefunden zu haben, senden Sie uns bitte eine E-Mail mit Details an info@totoflow.us. Bitte geben Sie uns vor einer Veröffentlichung angemessen Zeit zur Behebung und greifen Sie nicht auf Daten zu, die Ihnen nicht gehören. Wir bestätigen Meldungen zeitnah und gehen nicht gegen Recherchen in gutem Glauben vor.