Datenschutzerklärung

Wer wir sind

Securissima, Kenmare, Irland, betreibt Provetry und ist Verantwortlicher für die hier beschriebenen personenbezogenen Daten, außer wo wir für einen Kunden als Auftragsverarbeiter tätig sind (siehe „Daten, die wir für unsere Kunden verarbeiten“). Kontakt: hello@provetry.com.

Diese Website

Diese Website setzt keine Cookies und verwendet keine Tracker. Der kostenlose CRA-Check und die kostenlosen Werkzeuge (wie der SBOM-Generator und der CVSS-Rechner) laufen in Ihrem Browser: Was Sie eingeben und welche Dateien Sie wählen, wird nicht an uns gesendet. Das EPSS-Werkzeug fragt aus Ihrem Browser beim öffentlichen Dienst von FIRST die Werte der eingegebenen Kennungen ab. Wenn Besuchsstatistiken aktiviert sind, sind sie cookiefrei und anonym (Umami) und speichern keine IP-Adresse.

Was wir in der Anwendung erheben

• Kontodaten: E-Mail-Adresse, Name, Passwort-Hash, gegebenenfalls das Geheimnis des zweiten Faktors, Sprache sowie die Arbeitsbereiche, denen Sie angehören, mit Ihrer Rolle. Wenn Sie Passkeys hinzufügen: deren öffentliche Schlüssel, die vergebenen Namen und die letzte Nutzung (der private Schlüssel verlässt nie Ihr Gerät). Rechtsgrundlage: Vertragserfüllung.
• Daten des Arbeitsbereichs: die Produkte, die Sie beschreiben (Name, Art, Ihre Rolle als Hersteller, Einführer oder Händler, Klasse, Daten, Unterstützungszeitraum, Lieferant, Notizen), ihre Versionen und die aus Ihren Dateien erstellten SBOMs (Komponentennamen, Versionen, Paketkennungen, Lizenzen und Prüfsummen), die gefundenen Schwachstellen, Ihre Entscheidungen dazu (VEX) mit Urheber und Zeitpunkt, Meldefälle und Übungen, die Antworten zur CRA-Bereitschaft, die technische Dokumentation und Offenlegungsstrategie, die Sie verfassen, Behebungsziele und das Nachweisprotokoll. Notizen, Dokumente, SBOMs und die Begründungen Ihrer Entscheidungen werden verschlüsselt gespeichert. Hochgeladene Dateien werden gelesen und dann gelöscht; sie werden nie aufbewahrt. Meist keine personenbezogenen Daten; soweit sie eine Person erkennen lassen (etwa ein Name in einer Notiz oder einem Dokument), Rechtsgrundlage: Vertragserfüllung.
• Mitglieder und Einladungen: die E-Mail-Adressen, die Sie einladen, mit der vergebenen Rolle, bis die Einladung angenommen wird oder abläuft (7 Tage). Rechtsgrundlage: Vertragserfüllung.
• API-Schlüssel: ein Hash jedes Schlüssels (nie der Schlüssel selbst), sein Name, sein Geltungsbereich und seine letzte Nutzung. Rechtsgrundlage: Vertragserfüllung.
• Benachrichtigungskanäle: die E-Mail-Adressen, die die Benachrichtigungen eines Arbeitsbereichs erhalten, und, wenn Sie einen hinzufügen, die Adresse eines Slack- oder Microsoft-Teams-Webhooks, verschlüsselt. Werden Benachrichtigungen dort gepostet, sendet unser Server den Produktnamen und die Versionen, die betroffenen Komponenten mit ihren Versionen, die Kennungen der Schwachstellen, ihren Schweregrad und die korrigierten Versionen, den Titel von Meldefällen und Übungen für Fristerinnerungen sowie einen Link zur Anwendung. Slack (Salesforce) und Microsoft sind dann Ihre eigenen Anbieter. Die Webhook-Adresse wird mit dem Kanal oder dem Arbeitsbereich gelöscht. Rechtsgrundlage: Vertragserfüllung.
• Importe aus GitHub: Wenn Sie eine Version aus einem GitHub-Repository importieren, fragt unser Server in Ihrem Auftrag bei GitHub, Inc. (USA) die Lock-Dateien dieses Repositorys ab. Ein Token, das Sie für ein privates Repository angeben, wird nur für diese Abfragen verwendet: Es wird weder gespeichert noch protokolliert. Die Adresse des Repositorys und der Commit werden mit der Version im Nachweisprotokoll vermerkt. Rechtsgrundlage: Vertragserfüllung.
• Ticketsysteme, in den Tarifen Pro und Consultant, wenn Sie eines verbinden: das Repository, die Jira-Site und das Projekt oder das Linear-Team und das Token (bei Jira mit der E-Mail-Adresse seines Kontos), verschlüsselt und nur verwendet, um Tickets in Ihrem eigenen Werkzeug zu öffnen, zu kommentieren und zu schließen. Jedes Ticket enthält den Produktnamen, die Komponente und ihre Version, die Kennung der Schwachstelle, ihren Schweregrad, ihre öffentliche Zusammenfassung und die korrigierten Versionen; der Code-Host, Atlassian (Jira) und Linear sind dann Ihre eigenen Anbieter. Das Entfernen des Systems löscht das Token sofort. Rechtsgrundlage: Vertragserfüllung.
• Erhaltene Fragebögen: die eingefügten Fragen, die vorgeschlagenen und die von Ihnen verfassten Antworten, der Name des Fragebogens, seine Frist und Sprache sowie die Antworten, die Sie in Ihrer Bibliothek behalten, alles verschlüsselt. Nichts wird an den Fragesteller gesendet. Aufbewahrt, bis Sie sie löschen, und mit dem Arbeitsbereich gelöscht. Rechtsgrundlage: Vertragserfüllung.
• Sicherheitspakete und öffentliche Seiten, wenn Sie sie teilen: was Sie zeigen wollen (Produkte, Dokumente, die SBOM, wenn Sie es erlauben), der Link (verschlüsselt, mit einem Hash zur Wiedererkennung), sein Ablaufdatum und die Zahl der Aufrufe mit dem Datum des letzten; keine Informationen über die Besucher. Rechtsgrundlage: Vertragserfüllung.
• Ihr Logo, im Tarif Consultant, wenn Sie eines für Ihre Berichte hinzufügen. Rechtsgrundlage: Vertragserfüllung.
• Nachweisprotokoll: datierte Einträge zu den Vorgängen in Ihrem Arbeitsbereich (Versionen, Entscheidungen, Meldungen, mit Urheber). Um ihr Datum zu belegen, wird ein Fingerabdruck des Protokolls (ein Hash, der nichts über den Inhalt verrät) an einen unabhängigen Zeitstempeldienst (FreeTSA) gesendet, dessen Antwort mit dem Protokoll aufbewahrt wird. Rechtsgrundlage: Vertragserfüllung.
• Aktivitätsprotokoll des Kontos: wer wann was im Arbeitsbereich getan hat (Anmeldungen, Änderungen, Exporte), aufbewahrt 12 Monate (der Nachweis eines bestätigten Abonnements länger, für die Buchhaltung). In der Anwendung in den Tarifen Pro und Consultant angezeigt und in jedem Tarif aufgezeichnet. Rechtsgrundlage: unser und Ihr berechtigtes Interesse an der Sicherheit des Kontos.
• Audits und Prüfungen: Wenn Sie ein CRA-Bereitschaftsaudit bestellen oder die Zusatzleistung „Geprüfte Meldungen“ nutzen, liest die zertifizierte Sicherheitsfachperson, die den Bericht prüft, unter Verschwiegenheitspflicht, was Ihr Arbeitsbereich zum betreffenden Produkt oder Meldefall enthält. Wir bewahren die Bestellung auf (Produkt, Betrag, Rechnungsreferenz, Status). Rechtsgrundlage: Vertragserfüllung.
• Zahlungsdaten: werden von unserem Zahlungsdienstleister verarbeitet; wir erhalten eine Kundenreferenz, die Art und die letzten vier Ziffern der Karte oder des Kontos, Rechnungsname und -anschrift sowie die USt-IdNr. für die Rechnungsstellung. Rechtsgrundlage: Vertragserfüllung und unsere gesetzlichen Pflichten (Buchhaltung und Steuern).
• Nutzungsdaten: Unsere Server speichern technische Protokolle (IP-Adresse, Zeit, aufgerufene Seite, Antwort) für Sicherheit und Fehlersuche, höchstens 30 Tage. Anmeldeversuche und andere sensible Aktionen werden nach E-Mail-Adresse und nach einem gekürzten Hash Ihrer IP-Adresse 2 Tage lang gezählt, um das Erraten von Passwörtern und Missbrauch zu verhindern. Jede Anmeldesitzung speichert den verwendeten Browser und diesen Hash, bis sie endet. Rechtsgrundlage: unser berechtigtes Interesse an der Sicherheit des Dienstes.

Kostenlose SBOM-Benachrichtigungen

Wenn Sie ohne Konto kostenlose E-Mail-Benachrichtigungen zu einer SBOM anfordern, speichern wir Ihre E-Mail-Adresse, den Namen, den Sie der Liste geben, und die Liste der Komponenten (Namen, Versionen, Paketkennungen) verschlüsselt, um sie jede Woche zu prüfen und Ihnen zu schreiben; Ihre Adresse wird außerdem als Hash mit Schlüssel gespeichert, um die Zahl der Listen zu begrenzen. Vor der Bestätigung Ihrer Adresse wird nichts geprüft oder gesendet. Die Liste wird nach 3 Tagen ohne Bestätigung gelöscht, nach 12 Monaten, sofern Sie sie nicht behalten (eine E-Mail erinnert Sie zwei Wochen vorher), oder sofort über den Link in jeder E-Mail. Rechtsgrundlage ist Ihre Einwilligung, die Sie über diesen Link jederzeit widerrufen können. Was Ihnen bereits gemeldet wurde, wird nur als Hashes mit Schlüssel aufbewahrt. Um Missbrauch zu begrenzen, wird ein Hash mit Schlüssel Ihrer Adresse und Ihres Netzes 2 Tage aufbewahrt. Die E-Mails werden über unseren E-Mail-Dienstleister versendet.

Öffentliche Schwachstellenquellen

Um Ihre Komponenten zu prüfen, senden unsere Server deren Paketkennungen an OSV.dev (Google) und, in den Tarifen Pro und Consultant, die Namen der Komponenten an endoflife.date für ihr Support-Ende; sie senden die Kennungen der gefundenen Schwachstellen an FIRST für deren EPSS-Werte; und sie laden die öffentlichen Listen der CISA (bekannte ausgenutzte Schwachstellen) und der ENISA (Europäische Schwachstellendatenbank) herunter. Nie Ihren Namen, Ihre Produkte oder etwas über Sie. Antworten zu öffentlichen Paketen werden bis zu 31 Tage zwischengespeichert, ohne Bezug zu Ihnen.

Wenn Sie uns schreiben

Wir verwenden Ihre E-Mail-Adresse und Ihre Nachricht nur, um Ihnen zu antworten und, wenn Sie einen frühen Zugang angefragt haben, um Ihnen die Eröffnung von Provetry mitzuteilen. Nachrichten an hello@ oder security@provetry.com und unsere Antworten werden höchstens zwei Jahre verschlüsselt aufbewahrt (30 Tage nach dem Löschen) und dann gelöscht. Anhänge, die Sie senden, werden nicht auf unseren Servern gespeichert: Nur ihre Namen und Größen werden mit der Nachricht aufgeführt; eine Kopie jeder erhaltenen Nachricht samt Anhängen wird an unser eigenes Postfach weitergeleitet. Cloudflare (Email Routing) empfängt diese Nachrichten als unser Auftragsverarbeiter. Sperren wir einen Absender, wird seine Adresse verschlüsselt aufbewahrt, um seine späteren Nachrichten zu filtern. Rechtsgrundlage: unser berechtigtes Interesse, unsere Korrespondenz zu beantworten und weiterzuverfolgen.

Daten, die wir für unsere Kunden verarbeiten

Ein Arbeitsbereich kann personenbezogene Daten von Personen enthalten, die nicht seine Mitglieder sind, etwa Namen in Dokumenten, die Kontakte eines importierten Fragebogens oder die Autoren des beschriebenen Codes. Diese Daten verarbeiten wir im Auftrag des Kunden als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags, den Sie auf Anfrage erhalten; der Kunde entscheidet, was er eingibt, und benötigt eine Rechtsgrundlage.

Was wir nicht tun

Wir verkaufen keine personenbezogenen Daten, nutzen sie nicht für Werbung, verwenden Ihre Daten nicht zum Training eines Modells und geben sie an niemanden außer den für den Betrieb des Dienstes nötigen Unterauftragsverarbeitern weiter.

Wo sie gespeichert werden

In den Niederlanden, in der Europäischen Union, auf verschlüsseltem Speicher, mit täglichen verschlüsselten Sicherungen in der EU. Cloudflare (USA, mit Datenverarbeitungsbedingungen nach EU-Recht) übernimmt DNS, TLS-Terminierung, die Web Application Firewall und den Empfang der an unsere Adressen gesendeten Nachrichten. Unser E-Mail-Dienstleister versendet die E-Mails des Dienstes. Unser Zahlungsdienstleister verarbeitet Zahlungsdaten nach seiner eigenen Datenschutzerklärung.

Wie lange wir sie aufbewahren

Konto- und Arbeitsbereichsdaten, solange das Konto oder der Arbeitsbereich besteht; ein gelöschter Arbeitsbereich wird 90 Tage später mit seinen Produkten, SBOMs, Schwachstellen, Dokumenten und Meldefällen gelöscht, ebenso sein Kundendatensatz beim Zahlungsdienstleister. Versionen werden im Rahmen Ihres Tarifs aufbewahrt, bis Sie sie löschen. Die Ergebnisse jeder täglichen Prüfung 13 Monate (die letzte jeder Version, solange die Version besteht). Benachrichtigungsverlauf 6 Monate. Aktivitätsprotokoll des Kontos 12 Monate. Anmeldesitzungen höchstens 30 Tage, gemerkte Geräte für den zweiten Faktor ein Jahr, Bestätigungs- und Einladungslinks einen Tag nach Ablauf, Zähler für Anmeldeversuche 2 Tage, Passkey-Challenges eine Stunde nach Ablauf, das „Rückgängig“ einer Entscheidung eine Stunde. Kostenlose SBOM-Benachrichtigungen wie oben beschrieben. An uns gesendete Nachrichten und unsere Antworten 2 Jahre (30 Tage nach dem Löschen). Rechnungen für die steuerrechtlich vorgeschriebene Dauer. Serverprotokolle höchstens 30 Tage.

Cookies

Die Website setzt keine Cookies. Die Anwendung setzt ein unbedingt erforderliches Sitzungscookie (höchstens 30 Tage), ein Cookie, um ein Gerät für den zweiten Faktor zu merken, wenn Sie das wünschen (ein Jahr), ein Cookie für die gewählte Sprache (ein Jahr), ein Cookie, das die ersten Schritte ausblendet, sobald Sie sie schließen (ein Jahr), und, wenn Sie sie wählen, Cookies, die Ihr Farbschema und Ihre Anzeigedichte sowie das letzte Öffnen der Liste der letzten Ereignisse speichern (ein Jahr). Keines dient dazu, Sie zu verfolgen. Das Zahlungsformular unseres Zahlungsdienstleisters kann eigene Cookies zur Betrugsvermeidung setzen.

Ihre Rechte

Sie können Ihre Daten jederzeit in Ihrem Konto einsehen, berichtigen, exportieren und löschen oder uns darum bitten, indem Sie an hello@provetry.com schreiben. Sie können Verarbeitungen auf Grundlage berechtigter Interessen widersprechen und Ihre Einwilligung widerrufen, wo sie die Rechtsgrundlage ist. Sie können sich bei Ihrer nationalen Datenschutzbehörde beschweren; für uns zuständig ist die Data Protection Commission in Irland.

Änderungen

Wir veröffentlichen Änderungen hier und informieren Kontoinhaber bei wesentlichen Änderungen vorab per E-Mail.