Sicherheit

Jeder Workspace hat eine eigene Organisationskennung. Der Zugriff auf Zeilen wird durch Row-Level-Security-Richtlinien (RLS) in PostgreSQL gesteuert, die vor jedem Lesen und Schreiben die Mitgliedschaft prüfen. Nutzer können nicht auf Daten eines Workspace zugreifen, dem sie nicht angehören. Die Mitgliedschaftsprüfungen laufen über SECURITY-DEFINER-Hilfsfunktionen, damit Richtlinien sich nicht rekursiv aufrufen.

Die Mitgliedschaft in einem Workspace kennt zwei Rollen: Admin und Member. Admins verwalten Mitglieder, Abrechnung und Kampagnen, Member arbeiten mit Service-Accounts und Bestätigungen. Nutzer können sich nicht selbst einem anderen Workspace hinzufügen und ihre eigene Rolle nicht erhöhen. Beides wird auf Datenbankebene erzwungen.

Account-Importe, Owner-Zuweisungen, die Veröffentlichung von Kampagnen, Bestätigungsantworten und Reviewer-Entscheidungen werden in einem Aktivitätsprotokoll festgehalten, mit Akteur, Zeitstempel, Aktionstyp sowie Werten vorher und nachher. Das Aktivitätsprotokoll lässt sich in der App als CSV herunterladen.

Jeder Owner erhält einen persönlichen Link aus einem zufälligen 256-Bit-Token, und nur ein Hash des Tokens wird gespeichert. Ein Link gehört zu genau einem Account in genau einer Kampagne und läuft 14 Tage nach dem Fälligkeitsdatum der Kampagne ab. Der Owner kann seine Antwort ändern, bis ein Reviewer sie abschließt oder der Link abläuft.

Wir speichern Metadaten zu Service-Accounts (Namen, Umgebungen, Owner-Zuweisungen), Daten zu Review-Kampagnen, Bestätigungsantworten und Audit-Ereignisse. Wir speichern keine Passwörter, API-Schlüssel, Zugriffstoken oder sonstige Zugangsdaten der Service-Accounts, die du verwaltest.

Transaktions-E-Mails (Bestätigungsanfragen, Erinnerungen) verschicken wir über Twilio SendGrid. E-Mail-Adressen verwenden wir ausschließlich, um Bestätigungsanfragen und Kontobenachrichtigungen zuzustellen. Details stehen in unserer Datenschutzerklärung.