Sicherheit

Wo die Daten liegen

• Datenbank, Anmeldung und Dateien: Supabase, Irland (Europäische Union).
• Sicherungen: auf Servern, die wir selbst betreiben, Prishtina, Kosovo.
• Anwendung und Websites: Vercel, mit Funktionen in Dublin, Irland (Europäische Union).
• Die vollständige Liste der Anbieter steht in Anhang III des Auftragsverarbeitungsvertrags.

Wie wir sie schützen

• HTTPS auf jeder Seite, für veturas.com, das Dashboard und jede Website eines Autohauses.
• Die Daten jedes Autohauses sind in der Datenbank durch Sicherheitsregeln auf Zeilenebene getrennt. Ein Autohaus kann die Daten eines anderen nicht sehen, selbst wenn die Anwendung einen Fehler hat.
• Fahrzeugdokumente liegen in einem privaten Speicher, nicht öffentlich zugänglich.
• Jeder Benutzer hat sein eigenes Konto. Es gibt keine gemeinsamen Konten.
• Der Support-Zugriff wird nur mit einem dokumentierten Grund geöffnet, ist nur lesend, läuft innerhalb von 24 Stunden automatisch ab und wird protokolliert. Der Inhaber des Autohauses sieht jeden Zugriff im Dashboard.
• Die Verwaltungskonsole hat keine öffentliche Registrierung und ist auf das namentlich benannte Team beschränkt.
• Tägliche Sicherungen, 30 Tage aufbewahrt.
• Wir erheben nur die Daten, die der Dienst braucht. Daten, die wir nicht haben, können nicht abfließen.
• Softwareabhängigkeiten und Plattform werden aktuell gehalten.
• Reaktion auf Vorfälle: sofortige Bewertung und Meldung an das Autohaus innerhalb von 48 Stunden.

Wer welche Rolle hat

Für Käufer- und Kundendaten ist das Autohaus der Verantwortliche und wir sind der Auftragsverarbeiter. Wir handeln nur nach seinen Weisungen und unterstützen es bei der Erfüllung seiner Pflichten. Die Einzelheiten stehen im Auftragsverarbeitungsvertrag.

Eine Schwachstelle melden

Wenn Sie ein Sicherheitsproblem gefunden haben, schreiben Sie an info@veturas.com mit dem Betreff „Sicherheit“. Derselbe Kontakt ist unter /.well-known/security.txt veröffentlicht.

Im Geltungsbereich

veturas.com, app.veturas.com, admin.veturas.com und die Websites der Autohäuser unter veturas.com-Adressen.

Außerhalb des Geltungsbereichs

• Denial-of-Service-Angriffe oder Lasttests.
• Social Engineering, Phishing oder physische Angriffe.
• Die Systeme unserer Anbieter. Melden Sie solche Probleme direkt dem Anbieter.
• Ergebnisse automatisierter Scanner ohne nachgewiesene Auswirkung.
• Fehlende Header oder Best Practices ohne konkretes Risiko.

Worum wir Sie bitten

• Greifen Sie nicht auf Daten anderer zu, ändern oder löschen Sie sie nicht. Gelangen Sie versehentlich dorthin, hören Sie auf und sagen Sie es uns.
• Testen Sie nur mit Ihren eigenen Konten oder auf der Demo-Website.
• Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie es veröffentlichen.
• Beschreiben Sie das Problem so genau, dass wir es nachvollziehen können.

Wozu wir uns verpflichten

• Wir bestätigen Ihre Meldung innerhalb von 2 Werktagen.
• Wir halten Sie mindestens alle 14 Tage auf dem Laufenden, bis das Problem behoben ist.
• Mit Ihrer Erlaubnis nennen wir Sie, sobald es behoben ist.
• Gegen Forschung, die in gutem Glauben und im Rahmen dieser Regeln erfolgt, gehen wir nicht rechtlich vor.

Derzeit bieten wir kein bezahltes Bug-Bounty-Programm an.

Wenn Daten verletzt werden

Wir informieren betroffene Autohäuser innerhalb von 48 Stunden, nachdem uns die Verletzung bekannt geworden ist, damit sie ihre Frist von 72 Stunden gegenüber der Behörde einhalten können. Für unsere eigenen Daten melden wir die Verletzung der Behörde innerhalb von 72 Stunden und, bei hohem Risiko, den betroffenen Personen.

Haben Sie SOC 2 oder ISO 27001?

Nein. Wir sind ein kleines Team und beanspruchen keine Zertifizierungen, die wir nicht haben. Unsere Infrastrukturanbieter haben eigene Zertifizierungen.

Führen Sie regelmäßig Penetrationstests durch?

Nicht nach festem Plan. Meldungen nach den oben genannten Regeln sind willkommen.

Unterschreiben Sie unseren AVV?

Ja. Unserer gilt automatisch mit den Geschäftsbedingungen, und wenn Sie einen eigenen haben, prüfen wir ihn und unterschreiben ihn in den meisten Fällen.

Verwenden Sie unsere Daten zum Trainieren von KI?

Nein. Daten von Autohäusern und Käufern werden nicht zum Trainieren von Modellen künstlicher Intelligenz verwendet.

Wer bei Veturas kann unsere Daten sehen?

Nur das namentlich benannte Team, über einen Support-Zugriff, der zeitlich begrenzt, nur lesend und protokolliert ist und den Sie im Dashboard sehen.

Was passiert mit unseren Daten, wenn wir gehen?

Sie können sie jederzeit exportieren. Nach Schließung des Kontos bleiben die Daten 90 Tage für den Export verfügbar, danach werden sie gelöscht.