Sicherheit & Datenschutz

Datenverarbeitung

VexNexa scannt öffentlich zugängliche Webseiten. Wir speichern Scanergebnisse und Metadaten temporär, um unseren Service bereitzustellen. Wir sammeln oder speichern keine personenbezogenen Daten von den Websites, die wir scannen.

Datenspeicherung

Alle Scandaten werden sicher in verschlüsselten Datenbanken gespeichert. Der Zugriff ist nur auf autorisiertes Personal beschränkt. Wir verwenden Industriestandard-Verschlüsselung für Daten im Ruhezustand und während der Übertragung.

Sicherheitsmaßnahmen

• Verschlüsselung im Ruhezustand: AES-256-Verschlüsselung für gespeicherte Daten
• Verschlüsselung während der Übertragung: TLS 1.3 für alle Verbindungen
• Zugriffskontrolle: Rollenbasierte Zugriffe mit Multi-Faktor-Authentifizierung
• Überwachung: 24/7 Sicherheitsüberwachung und Logging
• Regelmäßige Audits: Quartalsweise Sicherheitsbewertungen und Penetrationstests

Datenhaltung

Scanergebnisse werden für die Dauer Ihres Abonnements plus 30 Tage aufbewahrt. Sie können jederzeit die Löschung Ihrer Daten über Ihre Kontoeinstellungen oder durch Kontakt mit dem Support beantragen.

Aufbewahrungsfristen

• Aktive Benutzer: Scandaten werden für die Dauer des Abonnements aufbewahrt
• Nach Kündigung: Daten werden 30 Tage lang zur Reaktivierung aufbewahrt
• Kontolöschung: Alle Daten werden innerhalb von 7 Tagen dauerhaft gelöscht
• Audit-Logs: Werden für 1 Jahr zu Compliance-Zwecken aufbewahrt

Drittanbieter-Dienste

Wir verwenden ausgewählte Drittanbieter-Dienste für Hosting, Analytics und Zahlungsabwicklung. Alle Drittanbieter werden auf Sicherheits- und Datenschutz-Compliance geprüft.

Drittanbieter-Verarbeiter

• Vercel: Hosting und CDN (SOC 2 Type II zertifiziert)
• Supabase: Datenbank und Authentifizierung (ISO 27001 zertifiziert)
• Mollie: Zahlungsabwicklung (PCI DSS konform)

Sicherheitsvorfall-Response

Im Falle eines Sicherheitsvorfalls werden wir betroffene Benutzer innerhalb von 72 Stunden benachrichtigen und Details über den Vorfall und Wiederherstellungsschritte bereitstellen.

Incident Response-Prozess

1. Erkennung: Automatisierte Überwachungs- und Warnsysteme
2. Bewertung: Sofortige Bewertung von Schweregrad und Auswirkung
3. Eindämmung: Isolierung betroffener Systeme zur Verhinderung der Ausbreitung
4. Untersuchung: Root-Cause-Analyse und Forensik
5. Benachrichtigung: Informieren betroffener Benutzer innerhalb von 72 Stunden
6. Wiederherstellung: Behebung von Schwachstellen und Wiederherstellung des Services
7. Post-mortem: Dokumentation von Erkenntnissen und Verbesserung von Prozessen

Kontakt