Sicherheit

Gehostet in der EU

SaaSFlow läuft auf Google Cloud in der EU (Region europe-west1, Belgien), unsere Produktionsdatenbank hostet PlanetScale in derselben Region. Die zugrunde liegenden Rechenzentren sind nach ISO 27001 und SOC 2 zertifiziert.

Überall verschlüsselt

Alle Daten laufen über TLS-verschlüsselte Verbindungen und sind im Ruhezustand verschlüsselt. Bankverbindungen laufen über regulierte Anbieter (finAPI, Plaid), Deine Online-Banking-Zugangsdaten erreichen SaaSFlow also nie.

Strikte Zugriffskontrolle

Administrativer Zugriff auf Produktionssysteme erfordert individuelle Konten mit Multi-Faktor-Authentifizierung. Der Zugriff auf Kundendaten ist auf wenige benannte Personen beschränkt, folgt dem Need-to-know-Prinzip und wird protokolliert.

Mandantentrennung

Jeder Datensatz gehört zu genau einer Kundenorganisation und wird auf jeder Zugriffsebene danach gefiltert. Entwicklung, Staging und Produktion sind getrennte Umgebungen, und Produktionsdaten bleiben aus Testsystemen draußen: Automatisierte Prüfungen blockieren personenbezogene Daten im Quellcode.

Disziplinierte Entwicklung

Jede Änderung durchläuft Code-Review und automatisierte Prüfungen in der Versionsverwaltung und erreicht die Produktion nur über automatisierte Deployments. Sicherheitsupdates unserer Abhängigkeiten spielen wir regelmäßig ein.

Backups und Verfügbarkeit

Automatisierte Datenbank-Backups mit dokumentiertem Wiederherstellungsverfahren, Monitoring mit Alarmierung und DDoS-Schutz vor der Anwendung halten den Dienst verfügbar und Deine Daten wiederherstellbar.

KI-Funktionen nur mit Deiner Freigabe

KI-Funktionen laufen nie von selbst. Jemand in Deinem Unternehmen muss jeden KI-Anbieter zuerst im Produkt freigeben, in einem Dialog, der den Anbieter, das Modell, den Verarbeitungsort und die geteilten Datenkategorien benennt. Eine Freigabe kann jederzeit widerrufen werden, was neue Läufe blockiert.

DSGVO, schwarz auf weiß

SaaSFlow wird in Deutschland entwickelt und betrieben. Die Dokumente, die den Umgang mit Deinen Daten regeln, sind öffentlich:

• Auftragsverarbeitungsvertrag (Art. 28 DSGVO) einschließlich aller technischen und organisatorischen Maßnahmen
• Liste der Unterauftragsverarbeiter mit Standorten und Übermittlungsgarantien
• Datenschutzerklärung

Sicherheitslücke melden

Wenn Du glaubst, eine Sicherheitslücke in SaaSFlow gefunden zu haben, schreib uns an [email protected]. Deine Meldung geht direkt ans Engineering-Team.