Wie wir Ihre Daten schützen

Konto- und Sitzungssicherheit

• Passwörter werden mit Argon2id gehasht gespeichert. Klartextpasswörter werden nirgends abgelegt.
• Refresh-Token werden ausschließlich als Hash gespeichert und über HttpOnly-Cookies an den Browser übermittelt.
• Auch Links zur E-Mail-Bestätigung, zum Zurücksetzen des Passworts und zu Einladungen werden nur als Hash gespeichert.
• Die Wiederverwendung von Token wird erkannt, verdächtige Sitzungen können widerrufen werden.
• Eine kontoweite Abmeldung ist möglich und macht alle zuvor ausgestellten Sitzungen ungültig.

Einwilligungsnachweise

• In Einwilligungsnachweisen werden Seitenadresse, Referrer, Browserinformationen und IP-Adresse ausschließlich als Hash gespeichert. Rohwerte werden nicht aufbewahrt.
• Jeder Datensatz trägt einen Integritätswert, sodass spätere Änderungen erkennbar sind.
• Wiederholte Übermittlungen desselben Ereignisses werden abgewiesen, Datensätze wachsen nicht durch Duplikate.
• Banner-Anzeigen werden 30 Tage, Einwilligungsentscheidungen 395 Tage aufbewahrt. Abgelaufene Datensätze werden täglich automatisch gelöscht.

Sicherheit beim Scannen

• Ziel-Domains werden vor jeder Anfrage geprüft. Gescannt werden nur Adressen im öffentlichen Internet.
• Versuche, Scans auf private Netzwerkadressen umzuleiten, werden blockiert.
• Scan-Ergebnisse werden mit ihren Nachweisen gespeichert und planmäßig bereinigt.

Anwendungssicherheit

• Alle API-Eingaben durchlaufen eine Schemavalidierung.
• Sicherheits-Header, Origin-Beschränkung und Schutz vor Parameter Pollution sind aktiv.
• Authentifizierung und andere sensible Endpunkte sind ratenbegrenzt.
• Die Autorisierung wird bei jeder Anfrage auf Workspace-Ebene geprüft.
• Fehlerantworten geben keine internen Details oder Stack Traces preis.

Aufbewahrung und Löschung

• Für Audit- und Einwilligungsnachweise gelten automatische Aufbewahrungsfristen.
• Gelöschte Workspaces bleiben zunächst wiederherstellbar und werden nach Ablauf der Frist endgültig entfernt.
• Jede Löschung wird protokolliert.

Wo Ihre Daten liegen

• Anwendungsserver und Datenbank werden in der Europäischen Union betrieben.
• Die Datenbank läuft in der Region Irland, der Anwendungsserver in der Region Frankfurt.
• Ihre Scans, Richtlinien, Einwilligungsnachweise und Berichte werden auf dieser Infrastruktur gespeichert.
• Die von uns für Zahlungen und E-Mail genutzten Anbieter können Daten auch außerhalb der EU verarbeiten. An sie werden nur die für den jeweiligen Vorgang erforderlichen Daten übermittelt.

Von uns genutzte Dienste

Dritte, mit denen wir zur Bereitstellung des Dienstes arbeiten:

• Supabase, Datenbank
• Render, Anwendungsserver
• Vercel, Auslieferung von Website und Anwendung
• Paddle, Zahlungen und Abrechnung
• Resend, Transaktions-E-Mails

Unsere Grenzen

Wir schreiben auch auf, was wir nicht tun:

• DILAYS erklärt nicht, dass Sie konform sind. Diese Entscheidung treffen Sie und Ihre Rechtsberatung.
• Wir bieten keine unabhängigen Auditdienstleistungen an.
• Ein Scan garantiert nicht, dass jede Technologie auf Ihrer Website gefunden wird. Die Standard-Scantiefe ist begrenzt.
• Wir bieten keinen Schutz vor Bußgeldern oder behördlichen Maßnahmen.