Datenschutz bei desk.ly für das sichere Desksharing

Bei der Beratung in Datenschutzfragen sowie Unterstützung als betrieblicher Datenschutzbeauftragter setzen wir auf die Dienste von der PROLIANCE GmbH. 

PROLIANCE GmbH
www.datenschutzexperte.de
Leopoldstr. 21
80802 München

Sofern du Fragen zum Thema Datenschutz bei desk.ly hast, wende dich bitte an datenschutz@desk.ly.

Sollte es wider Erwarten zu einer Datenpanne bei desk.ly kommen, bei der personenbezogene Daten eines/einer Kund*in betroffen sind und die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Mitarbeiter*innen des/der Kund*in führt, wird dies desk.ly entsprechend der gesetzlichen und vertraglichen Verpflichtungen unverzüglich dem/der betroffenen Kund*in mitteilen, sodass dieser/diese seinen/ihren gesetzlichen Mitteilungspflichten an die Aufsichtsbehörde und die Betroffenen nachkommen kann.

Alle Kundendaten werden auf AWS-Diensten gespeichert, die einer strengen Stilllegungsrichtlinie folgen, die in ihrem Sicherheits-Whitepaper beschrieben wird:
"AWS uses the techniques detailed in DoD 5220.22-M (“National Industrial Security Program Operating Manual “) or NIST 800-88 (“Guidelines for Media Sanitization”) to destroy data as part of the decommissioning process."
Bei kundenspezifischen Daten werden wir auf Anfrage alle identifizierbaren Buchungsdaten, die mit dem Konto verbunden sind, manuell aus unserer Datenbank entfernen. Abgeleitete anonymisierte Daten (z. B. "Gesamtzahl der in diesem Monat auf der Plattform gebuchten Veranstaltungen") werden nicht entfernt, da sie nicht mit den Quelldaten verknüpft werden können. Benutzerkonten deines Unternehmens können auf Anfrage ebenfalls entfernt werden. Wir bewahren Backups 30 Tage lang auf, danach sind die Daten nicht mehr verfügbar.

Wir überwachen ständig unsere Serviceleistung und verfügen über automatische Benachrichtigungen, um eine schnelle Reaktion auf Serviceunterbrechungen zu gewährleisten. Der gesamte Code wird vor der Bereitstellung auf den Produktionsservern geprüft und begutachtet. Wir verfolgen auch die Updates der Sicherheits-Community und aktualisieren unsere Systeme sofort, wenn Schwachstellen entdeckt werden. Wenn uns Probleme gemeldet werden, halten wir den Systemstatus (hier: https://deskly.statuspage.io/#) auf dem Laufenden.

Neue Funktionen, Leistungsverbesserungen und Fehlerbehebungen werden mehrmals pro Woche bereitgestellt. Unser Entwicklungszyklus ist zwar agil, stützt sich jedoch auf ein strenges System für Codequalität und Sicherheit. Der gesamte Code wird von Fachkollegen geprüft und muss vor dem Einsatz in der Produktion auf mehreren Ebenen in Test-/Staging-Umgebungen akzeptiert werden. Die wichtigsten Punkte für häufige Fragen:

• Änderungen werden durch umfangreiche Unit-, Integrationstests auf Sicherheit und Fehler überprüft.
• Die Produktionsdaten werden von den Entwicklungsumgebungen getrennt.
• Wir haben strenge Prüfungen durch interne Sicherheitsteams für mehrere aktiennotierte Unternehmen und öffentliche Einrichtungen durchgeführt.

Wir führen automatische Zugangs- und Sicherheitsprotokolle an mehreren Standorten. Alle Mitarbeiter sind verpflichtet, eine Zwei-Faktor-Authentifizierung und sichere Passwörter zu verwenden, die sich von denen anderer Dienste unterscheiden. Der Zugriff auf Kundendaten ist begrenzt und wird nur einer kleinen Gruppe von Mitarbeitern gestattet, die für Support und Wartung benötigt werden. Der Zugang ist außerdem auf eine kleine Whitelist von IP-Adressen über VPN beschränkt und erfordert eine Authentifizierung mit öffentlichem Schlüssel.

Der Zugriff einzelner Mitarbeiter erfolgt nach dem „need to know“ Prinzip, und die Zugriffsrechte werden vierteljährlich überprüft.

Die Passwortauthentifizierung ist standardmäßig für Endbenutzer verfügbar und wird durch Entropie validiert, um schwache Passwörter einzuschränken. desk.ly unterstützt außerdem Single Sign-On über Open ID, Google SSO und Azure AD SSO.

Kundendaten werden während der Übertragung und „at rest“ verschlüsselt. Alle Verbindungen mit desk.ly Diensten sind verschlüsselt und werden über SSL/TLS 1.2+ bereitgestellt. Du kannst nicht auf den Dienst zugreifen, ohne HTTPS zu verwenden. Alle Zertifikate werden auf beiden Seiten von Drittanbietern überprüft. Die Daten werden auf jedem Schritt des Weges verschlüsselt:

• Anwendungen → Amazon Web Services
• REST-Anfrage → desk.ly-Anwendungsschicht
• desk.ly-Anwendungsschicht → SQL-Session
• API-Antwort → Anwendungen

Im Ruhezustand werden die Kundendaten mit einem Schlüsselverwaltungssystem verschlüsselt, das jeden Zugriff automatisch protokolliert. Darüber hinaus werden die Passwörter mit einer Einwegverschlüsselung sowohl gehasht als auch “salted”, wodurch sie auch im unwahrscheinlichen Fall eines unbefugten Datenbankzugriffs geschützt sind. Die Anmeldedaten der Anwendung werden getrennt von der Codebasis gespeichert. Clients authentifizieren sich bei desk.ly über ein Token-System.

Jedes Token hat einen bestimmten Zugriffsbereich, der individuell widerrufen werden kann, ohne dass dies Auswirkungen auf andere Benutzer der Plattform hat. Außerdem können wir im Falle eines Sicherheitsvorfalls Token für die gesamte Plattform sofort ungültig machen.

Die Server werden regelmäßig gepatcht, um eine hohe Sicherheit zu gewährleisten. Schwachstellen werden über eine Kombination aus automatisierten Mailinglisten verfolgt, und kritische Systeme werden in Echtzeit überwacht und Schwachstellen täglich überprüft. Jährlich werden Schwachstellen in Netzwerken und Webanwendungen von Dritten getestet.

Wenn du dich für ein kostenpflichtiges Abonnement anmelden, speichern wir deine Kreditkarteninformationen nicht auf unseren Servern. Wir verwenden derzeit Stripe, das PCI-konform ist und sensible Zahlungsdaten sicher speichert.

Eine ausführliche Zusammenfassung der von uns gesammelten Daten findest du in unserem AVV. Fülle dafür das obige Formular aus und wir werden ihn dir zukommen lassen.

Anwendungs- und Kundendaten werden redundant in mehreren Verfügbarkeitszonen in den Rechenzentren von Amazon gespeichert, wobei Backups für eine Wiederherstellung zur Verfügung stehen.