Datensicherheitsrichtlinie

Dieser Text ist eine Übersetzung. Weicht er von der türkischen Fassung ab, gilt die türkische Fassung.

1. Zwei Orte

Kundendaten liegen in der Installation des Kunden auf einer von ihm kontrollierten Infrastruktur. Die eigenen Systeme von AppArch enthalten nur die Website, Kundenbeziehungs- und Lizenzdaten. Diese Richtlinie gilt für beides.

2. Daten bleiben in der Installation

Die Analyse läuft als Job in der eigenen CI des Kunden auf dem ausgecheckten Code und sendet Befunde an den eigenen AppArch-Server des Kunden. Quellcode, Befunde, Berichte und Benutzerkonten werden nicht an AppArch gesendet, und es gibt keine Nutzungstelemetrie. Lizenz- und Update-Prüfungen übermitteln nur die Installationskennung, eine Instanzkennung und die Softwareversion; eine abgeschottete Installation funktioniert auch ohne sie.

3. In die Software eingebaute Sicherheit

Git-Tokens, KI-Schlüssel und andere Geheimnisse werden mit einem Schlüssel der Installation verschlüsselt (AES-GCM) gespeichert und nie wieder vollständig angezeigt. Die Anmeldung unterstützt Zwei-Faktor-Authentifizierung und LDAP / Active Directory; Rollen begrenzen, was jeder sehen und ändern darf; der Anmeldeverlauf wird geführt. Die Lizenz wird offline per RS256-Signatur geprüft.

4. Vom Kunden gewählte Dienste

Verbindungen zu Git-Anbietern, Issue-Trackern und einem KI-Anbieter stellt der Kunde mit eigenen Zugangsdaten her. Ist ein KI-Anbieter verbunden, werden ihm nur die Details des zu lösenden Befunds über das Konto des Kunden gesendet.

5. Releases

Images werden über die Registry von AppArch verteilt, auf die nur mit Installationszugangsdaten zugegriffen werden kann; jede Version hat ein einziges Tag. Sicherheitskorrekturen erscheinen als neue Versionen.

6. Die eigenen Systeme von AppArch

Der Zugriff auf Kundenbeziehungs- und Lizenzdaten ist auf Mitarbeitende mit Bedarf beschränkt und durch Verschlüsselung bei der Übertragung, Zugriffskontrolle und Protokollierung geschützt; Mitarbeitende sind zur Vertraulichkeit verpflichtet.

7. Support-Zugriff

AppArch hat keinen dauerhaften Zugriff auf eine Installation. Der Support arbeitet mit Informationen, die der Kunde teilt, oder in einer Sitzung, die der Kunde startet und beendet.

8. Schwachstellen und Vorfälle

Melden Sie Schwachstellen an info@apparch.io. Wir bestätigen und beheben sie und gehen nicht rechtlich gegen gutgläubig handelnde Forschende vor. Bei einem Vorfall in den Systemen von AppArch begrenzen wir die Auswirkungen und informieren betroffene Kunden und Behörden, wie gesetzlich vorgeschrieben.

Zugehörige Rechtstexte

• Nutzungsbedingungen
• Lizenz- und Dienstleistungsvertrag
• Datenschutzerklärung
• KVKK-Datenschutzhinweis
• Cookie-Richtlinie
• Kündigung und Erstattung