Technische und organisatorische Maßnahmen
Diese Seite erklärt die Maßnahmen in Anhang 1 der Auftragsverarbeitungsvereinbarung und die jeweils verfügbaren Nachweise.
Zugriffskontrolle
Undurchsichtige Nutzerkennungen, gehashte Sitzungen, begrenzte API-Zugangsdaten, Workspace- und Projektrechte nach dem Prinzip der geringsten Rechte.
Jede Route prüft den Workspace- und Projektzugriff. Einladungen für Prüfende laufen ab; nach dem Entfernen endet der Workspace-Zugriff des Mitglieds.
Die Dauer eines Widerrufs über alle Systeme hinweg wurde nicht gemessen; es wird keine Entzugsfrist zugesagt.
Verschlüsselung
TLS auf dem Transportweg und authentifizierte Envelope-Verschlüsselung im Ruhezustand für bestimmte private Felder und Objekte.
Serverseitige Verpackungsschlüssel sind nach Mandant und Zweck getrennt. Ist ein Schlüssel nicht verfügbar, bleibt der betroffene Inhalt gesperrt.
Die Verschlüsselung im Ruhezustand gilt für die bestimmten Felder und Objekte, nicht für jede Spalte der Datenbank.
Integrität und Rechenschaft
Hashverkettete Audit-Aufzeichnungen, signierte Belege, Zugriffsprotokolle, Abhängigkeitskontrollen und getrennte Rollen.
Privilegierte Aktionen ergänzen hashverkettete Prüfprotokolle. Das Entfernen oder Ändern eines Eintrags unterbricht die Kette. Betreiber-, Eigentümer-, Admin- und Mitgliedsrollen sind getrennt.
Es gibt keine planmäßige Prüfung oder dokumentierte Bestätigung, wer derzeit Produktivzugriff hat. Die Kette belegt nicht, dass jemand die Einträge gelesen hat.
Verfügbarkeit und Wiederherstellung
Vom Anbieter verwaltete Sicherungen außerhalb der Angabe zur Verarbeitungsregion, begrenzte Wiederholungen und Löschabgleich.
Das dokumentierte Wiederherstellungsverfahren nennt die Prüfungen für eine nutzbare Wiederherstellung.
Für die gehostete Bereitstellung wurde keine Ausführung dokumentiert.
Vorfall- und Schwachstellenmanagement
Sicherheitstriage, Abhängigkeitsscans, koordinierte Behebung und eine Höchstfrist von 48 Stunden für Verletzungsmitteilungen.
Fehler, auf die der Betreiber reagieren muss, erzeugen strukturierte Ereignisse mit Fehlerklasse und Prüfsumme, ohne private Inhalte.
Es gibt keinen Log-Drain und keine Alarmregel. Host-Protokolle können ablaufen, bevor ein Betreiber sie liest.
Die Wiederherstellungsübung
Eine Übung stellt in einer isolierten, verschlüsselten EWR-Umgebung wieder her, niemals in der Produktivumgebung. Sie zählt erst als Wiederherstellung des gesamten Dienstes, wenn passende Anwendung und Worker, Speicher, Steuerungsebenen, DNS, Rückrufe, Schlüssel und Anbieter geprüft wurden. Derselbe Nachweis muss gemessene RPO/RTO, Zugriffsentzug und Löschung enthalten.
Die Datenbankprüfung umfasst die Schemaversion, Zeilenzahlen der Kerntabellen, Integrität der Audit-Kette, Offline-Prüfung der Nachweise und gemessene Wiederherstellungsdauer.
Ausführungen einschließlich Fehlern bleiben im Protokoll. Der Nachweis verfällt nach 365 Tagen.
Für die gehostete Bereitstellung wurde keine Ausführung dokumentiert.
Was diese Seite nicht behauptet
- RateLoop besitzt keine SOC-2-, ISO-42001- oder HIPAA-Zertifizierung.
- Keine Verfügbarkeitszahl. Servicestatus nennt das Ziel.
- Das Prüfprotokoll umfasst erfasste Aktionen, aber nicht zwingend jede Aktion.