VERSCHLUESSELUNG
PASSlibsodium AEAD für Tokens
Alle Shopify-Access-Tokens und Google-Merchant-Center-OAuth-Tokens werden im Ruhezustand mit libsodium AEAD (XChaCha20-Poly1305) verschlüsselt. Niemals im Klartext in der Datenbank.
Vertrauen & Sicherheit
Sicherheit, Compliance, Daten.
Wie wir Ihre Shop-Daten schützen, was wir tatsächlich speichern und unsere SOC 2-Roadmap.
TLS
PASSTLS überall
TLS 1.3 auf eingebettetem Admin, API und Landing, mit aktiviertem HSTS. Zertifikate bereitgestellt von Infomaniak (Let's Encrypt automatisiert).
DSGVO
PASSDSGVO-Webhooks ab Tag eins einsatzbereit
customers/data_request, customers/redact und shop/redact implementiert und getestet. 48-Stunden-Karenzzeit nach shop/redact, um versehentliche Löschungen rückgängig machen zu können.
AUDIT
PASSAppend-only Audit-Log
Jede Zustandsänderung (Produktänderung, Korrektur-Push, Wiederherstellungsantrag) wird in einem Append-only-Audit-Log erfasst, das im Admin einsehbar ist.
SOC2
WARNINGSOC 2 Type II - Roadmap
Noch nicht auditiert, und wir behaupten nichts anderes. Verschlüsselung im Ruhezustand, Zugriffskontrolle und revisionssichere Protokollierung bestehen heute; das formale Audit folgt, sobald unser Volumen die Kosten rechtfertigt. Den Bericht veröffentlichen wir hier, sobald es einen gibt.
PII
PASSKeine Kundendaten
Wir speichern keinerlei personenbezogene Daten Ihrer Shop-Kunden - nur verschlüsselte Access-Tokens und Scan-Metadaten. Compliance betrifft Händlerdaten, nicht die Endkunden.
Auftragsverarbeiter
Alle Drittanbieter, die wir nutzen.
| Dienst | Zweck | Region |
|---|---|---|
| Shopify | Shop-Plattform - die Händlerdaten, die wir lesen und schreiben | US + global |
| Infomaniak | Anwendungs-Hosting + Datenbank + E-Mail | Switzerland |
| Cloudflare R2 | Blob-Speicher (Reinstatement-Bericht-PDFs, Scan-Berichte) | EU + global CDN |
| Postmark | Transaktionale E-Mails + Newsletter | US (DPA EU+US) |
| Anthropic | KI-Modelle (Sonnet, Opus) für Feed-Umschreibungen und prägnante Narrative | US |
| Google (Merchant API, Ads API) | Merchant Center- und Google Ads-Integration | US + global |
| Stripe (P2) | Zahlungen für Einmalprodukte (in Kürze) | US (DPA EU+US) |
Diese Liste wird aktualisiert, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt.