Sicherheit und Compliance in der Zeiterfassung
Erfahren Sie, wie wir unsere Kunden und ihre Daten schützen. Für weitere Informationen zu unseren fortschrittlichen Datensicherheitspraktiken kontaktieren Sie uns gerne.
Sicherheits- und Compliance-Zertifizierungen
Die Sicherheit unserer Datenerfassung und -speicherung wird durch zertifizierte Prozesse gestärkt, die die Zuverlässigkeit unseres Betriebs sicherstellen.
SOC 2
Wir erfüllen SOC 2 Type 2 und wenden strenge Standards für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz an.
DSGVO
Wir erfüllen die Anforderungen der DSGVO (Datenschutz-Grundverordnung) und stellen so die Einhaltung internationaler Datenschutzstandards sicher.
Moderne, sichere Infrastruktur
Standort
Unsere Dienste laufen auf der Google Cloud Platform (GCP). Die Daten werden in den USA gehostet.
Physische Sicherheit
Die physische Sicherheit der Rechenzentren stellt Google bereit, mit eingeschränktem und kontrolliertem Zugang.
Zugangspunkte und Authentifizierung
Zugangspunkte
Wir bieten Zeiterfassungs- und Stundenzettel-Lösungen für Mobilgeräte und das Web, in mehreren Sprachen. Unsere App (iOS und Android) ist der wichtigste Zugangspunkt für Kunden und verbindet sich mit einem Backend, das auf hochverfügbaren, multizonalen Kubernetes-Clustern gehostet wird; unsere API ist der Zugangspunkt für externe Aufrufe und wird auf der Google Cloud Platform gehostet.
API-Dokumentation ansehen →Zugriffsrechte und Benutzerauthentifizierung
Wir verwenden eine rollenbasierte Sicherheitsarchitektur und verlangen, dass jeder Nutzer identifiziert und authentifiziert wird, bevor er eine Systemfunktion nutzt.
Lokale Konten: Registrierung mit gültiger E-Mail-Adresse und Passwort, optional mit Zwei-Faktor-Authentifizierung.
Bestehende Konten: Single Sign-on mit GitHub-, Google- und Microsoft-Konten.
SSO: Für Enterprise-Kunden steht zusätzlich unternehmensweites Single Sign-on zur Verfügung.
Wie wir sicher arbeiten
Änderungsmanagement
Ein dokumentierter, regelmäßig geprüfter Prozess mit mehreren Stufen der Code-Überprüfung und Qualitätssicherung, bevor Änderungen in die Produktion gehen. Kunden werden über wesentliche Änderungen vorab informiert.
Sitzungsverwaltung
Sitzungen werden serverseitig verwaltet, implementiert im Kerncode der Anwendung.
Automatische Sicherung
Automatische, regelmäßige Backups von Zeiterfassungsdaten und anderen relevanten Informationen, wodurch das Risiko von Datenverlust minimiert und die Geschäftskontinuität sichergestellt wird.
Zuverlässigkeit
Aufgebaut mit modernen Technologien, die die Geschäftskontinuität auf mehreren Ebenen gewährleisten, mit strenger Verschlüsselung und Zugriffskontrollen.
Interne Audit-Protokolle
Audit-Protokolle interner Systemkomponenten werden in einer separaten Umgebung erfasst, mit auf autorisierte Nutzer beschränktem Zugriff und einer Aufbewahrung von 6 Monaten bis zu mehreren Jahren.
Entwicklungsumgebung
Entwicklungs- und Testumgebungen werden getrennt von der Produktion gehostet und zugriffskontrolliert, mit automatisierten Integrationstests, die auch helfen, Sicherheitsprobleme zu erkennen.
Wie wir mit Ihren Daten umgehen
Verarbeitung personenbezogener Daten
Wir verarbeiten und speichern einen begrenzten Satz personenbezogener Daten ausschließlich zur Authentifizierung und Autorisierung der Nutzer: Name, Geschlecht, Foto, Passwort, Adresse, E-Mail, IP-Adresse, Cookies und Nutzungsdaten der Plattform.
Datenverarbeitung
Wir folgen den Best Practices der Informationssicherheit und speichern Daten in der Google Cloud mit automatisierten Backups alle 12 Stunden und 256-Bit-SSL-Zertifizierung.
Daten-Backups
Tägliche Backups, automatisch durch vollständige Wiederherstellungen getestet, damit das System im Katastrophenfall stets wiederhergestellt werden kann. Alle Backup-Verfahren sind dokumentiert und aktuell gehalten.
HTTPS und HSTS
Die gesamte Kommunikation wird mit aktuellen Algorithmen wie TLS 1.2 verschlüsselt, und wir verwenden HSTS, damit die Plattform ausschließlich über HTTPS aufgerufen wird.
Erhobene Informationen
Wir erheben Informationen von Personen, die vom Kunden für den Zugriff auf die Plattform registriert oder autorisiert wurden; diese können als Beweismittel bei Rechtsverstößen oder auf gerichtliche Anordnung verwendet werden.
Datenschutzrichtlinie ansehen →Zugriff auf Kundendaten
Der Kundensupport und eine begrenzte Anzahl von DevOps-Teammitgliedern können für Support und Fehlerbehebung auf Kundendaten zugreifen.
Vertragsbeendigung
Nach Vertragsende werden alle Kundendaten (außer den gesetzlich vorgeschriebenen) über einen automatisierten, dokumentierten Prozess aus unseren Systemen gelöscht.
Anfragen betroffener Personen
Anfragen werden manuell bearbeitet, über den In-App-Chat oder per E-Mail an dpo@day.io.
Datenanonymisierung
Außerhalb spezifischer, fortgeschrittener Fehlerbehebungsfälle werden alle Kundendaten mithilfe einer intern entwickelten Lösung anonymisiert.
Datenintegrität
Sichergestellt durch Integritätsprüfungen von Datenbank und Dateisystem, regelmäßige Snapshots, Verschlüsselung im Ruhezustand und Backups mit Point-in-Time-Recovery.
Zahlungssicherheit
Zahlungen wickeln wir über Stripe ab. Wir speichern keine Kreditkartennummern oder sonstigen Finanzdaten in unseren Diensten.
Sicherheit im gesamten Unternehmen
Die Integrität und der Schutz sensibler Informationen stehen im Mittelpunkt unserer internen Richtlinien — sie sollen regulatorische und kundenseitige Erwartungen nicht nur erfüllen, sondern übertreffen.
Sicherheitsteam
Ein internes, dediziertes IT-Sicherheitsteam arbeitet eng mit der Rechtsabteilung an Compliance- und Datenschutzfragen zusammen.
Sicherheitsrichtlinien
Cybersicherheitsprozesse und -richtlinien, die an führenden Sicherheitszertifizierungen ausgerichtet sind — Log-Management, Zugriffsmanagement, Schwachstellenscans und laufende Nutzerschulung — alles dokumentiert im Rahmen unserer SOC-2-Type-2-Zertifizierung.
Leistung und Überwachung
Interne Lösungen überwachen kontinuierlich unsere Systeme, die Anwendungsverfügbarkeit und weitere kritische Leistungsparameter.
Schwachstellenmanagement
Ein fortlaufender Prozess zum Schwachstellenmanagement: Server-Betriebssysteme werden regelmäßig gepatcht und aktualisiert, mit internen Prozessen zur Erkennung möglicher Schwachstellen.
Risikomanagement für Drittanbieter
Wir bewerten auch Risiken, die von Drittanbietern und Partnern ausgehen, um deren mögliche Auswirkungen zu behandeln oder abzumildern.
Reaktion auf Vorfälle
Eine etablierte Richtlinie zur Reaktion auf Sicherheitsvorfälle, die wirksame Identifikation, Behebung, Untersuchung, Prävention und Nachverfolgung umfasst. Vorfälle können an support@day.io gemeldet werden.
Sicherheit im Personalbereich
Jedes Teammitglied kennt seine Verantwortlichkeiten im Bereich Informationssicherheit und nimmt regelmäßig an Sicherheitsschulungen teil, wodurch das Risiko menschlicher Fehler minimiert wird.
Malware-Schutz
Alle Geräte der Mitarbeitenden sind durch eine Antivirenlösung geschützt.
Internes Risikomanagement
Laufende Identifikation, Bewertung und Minimierung von Risiken, eingebettet in die normalen Management- und Aufsichtsaktivitäten des Unternehmens.
Verantwortungsvolle Offenlegung
Wir führen regelmäßig Schwachstellentests und Penetrationstests durch und können die Ergebnisse auf Anfrage mit Kunden teilen.