Security / trust page (technical and organisational measures) — Quiply

Cited by

Facts read from this source

• Toms effective date Report an error

  “Gültig ab 12. Oktober 2023”

• Legal entity Report an error

  “Atoria – the people software GmbH hat die nachfolgenden technischen und organisatorischen Maßnahmen unter der Berücksichtigung des aktuellen Stands der Technik, sowie der Art, des Umfangs, der Umstände und des Zwecks der Verarbeitung von personenbezogenen Daten eingerichtet.”

• Aws subprocessor Report an error

  “Bezüglich unserer Server-Sicherheit möchten wir Ihre Aufmerksamkeit auf die technischen und organisatorischen Maßnahmen lenken, die von unserem Unterauftragnehmer AWS (Amazon Web Services) umgesetzt werden.”

• Physical access key return Report an error

  “Vor Beendigung des Anstellungsverhältnisses müssen Mitarbeiter zuvor ausgehändigte Schlüssel zurückgeben. Die Rückgabe wird von einem weiteren Mitarbeiter durchgeführt und überwacht.”

• Physical access control Report an error

  “Der Zutritt zum Bürogebäude ist ausschließlich mit Hilfe eines entsprechenden Schlüssels möglich. Diese werden ausschließlich an Mitarbeiter ausgeteilt und müssen vor Austritt aus dem Unternehmen wieder zurückgegeben werden. Eine Vervielfältigung der eingesetzten Schlüssel ist nicht möglich.”

• Workstation lock Report an error

  “Alle im Einsatz befindlichen Arbeitsplatzrechner (PCs, Macs) rufen nach fünfminütiger Inaktivität automatisch die Anmeldemaske des jeweiligen Betriebssystems auf.”

• Personalized logins Report an error

  “Sowohl für interne als auch externe Systeme werden grundsätzlich personalisierte Logins vergeben.”

• Password policy Report an error

  “Sowohl für interne als auch externe Zugänge werden ausschließlich sichere Passwörter mit einer Länge von mindestens acht Zeichen verwendet, die jeweils mindestens einen Kleinbuchstaben, einen Großbuchstaben, eine Zahl und ein Sonderzeichen enthalten müssen.”

• Admin rights restricted Report an error

  “Um zu gewährleisten, dass lediglich autorisierte Personen Zugriff auf kritische IT-Systeme sowie darauf gespeicherter Daten haben, verfügen nur ausgewählte Mitarbeiter über die notwendigen administrativen Rechte.”

• Role based access Report an error

  “Für interne und externe Systeme, die diese Funktionalität unterstützen, werden Benutzer- und Rollenkonzepte beim Anlegen von Zugängen verwendet.”

• Exit access revocation Report an error

  “Verlässt ein Mitarbeiter das Unternehmen, so erfolgt noch vor dessen Austritt die Sperrung bzw. Löschung aller ihm zugewiesenen Zugänge für interne und externe Systeme.”

• Tls encryption Report an error

  “Für die Übermittlung von Daten mit personenbezogenem Inhalt über das Internet werden ausschließlich SSL/TLS-verschlüsselte Übertragungswege genutzt.”

• Dev prod separation Report an error

  “Für die Entwicklung und Programmierung stehen den Entwicklern eigene Entwicklungsumgebungen mit anonymisierten oder pseudonymisierten Testdaten zur Verfügung, sodass eine Entwicklung am Produktivsystem mit den darin gespeicherten Echtdaten nicht notwendig ist.”

• Internal system access Report an error

  “Alle internen Systeme sind vor unbefugtem Zugriff gesichert. Es ist nicht möglich, diese ohne eine Anmeldung zu verwenden.”

• Pseudonymization status Report an error

  “Maßnahmen zur Pseudonymisierung von Daten erfolgen aktuell nicht.”

• Secure transfer protocols Report an error

  “Es werden insbesondere SSH-Verbindungen genutzt und keine unverschlüsselten Protokolle verwendet, wenn verschlüsselte Alternativen zur Verfügung stehen.”

• Ssl certificates Report an error

  “Die von Atoria – the people software GmbH bereitgestellte App-Plattform und Webseiten, über die personenbezogene Daten über das Internet übermittelt werden, werden von uns mit SSL-Zertifikaten geschützt.”

• Certificate details Report an error

  “Die eingesetzten Zertifikate (RSA 2048/SHA-256 ) werden mittels AWS Certifcate Manager erstellt und automatisiert in die Infrastruktur eingebunden. Als Sicherheitsrichtlinie kommt die von AWS beschriebene Richtlinie ELBSecurityPolicy-TLS13-1-2-2021-06 zum Einsatz.”

• Database encryption Report an error

  “Die Verschlüsselung der Daten in den Datenbanken basiert auf dem Linux Unified Key Setup (LUKS) Verfahren.”

• S3 encryption Report an error

  “Die Verschlüsselung der Daten auf dem Dateisystem S3 erfolgt auf Basis des SSE-S3 Verfahren von AWS.”

• Code review Report an error

  “Alle entwickelten Code-Bestandteile werden durch einen zweiten Mitarbeiter mit entsprechenden Fachkenntnissen geprüft. Bevor der jeweilige Code in das Produktivsystem eingespielt wird, muss dieser durch beide Mitarbeiter freigegeben werden.”

• Version control Report an error

  “Für die Entwicklung von Anwendungen werden gängige Versionierungssysteme (Git) eingesetzt.”

• Automated testing Report an error

  “Entwickelte Komponenten für interne Systeme sowie für Kundensysteme werden durch spezielle Tests (z. B. Unit-Tests) einer regelmäßigen und automatisierten Prüfung unterzogen.”

• Regular updates Report an error

  “Alle im Einsatz befindlichen Betriebssysteme sowie darauf installierte Anwendungen und Bibliotheken werden stets aktuell gehalten. Entsprechende Updates werden regelmäßig eingespielt.”

• Ups protection Report an error

  “Kritische IT-Systeme wie beispielsweise Server, auf denen Unternehmens- oder Kundendaten gespeichert werden, sind mit einer USV vor kurzzeitigen Stromausfällen geschützt.”

• Surge protection Report an error

  “Zum Schutz vor Schäden durch Blitzeinschlag oder eine fehlerhafte Netzeinspeisung, werden Einrichtungen verwendet, die eine zu hohe Netzspannung in allen Bereichen des Bürogebäudes verhindern.”

• Incident documentation Report an error

  “Datenschutzrelevante Zwischenfälle, bei denen nicht ausgeschlossen werden kann, dass personenbezogene Daten gelöscht oder an unberechtigte Dritte weitergeleitet wurden, werden umfassend dokumentiert.”

• Backup and restore Report an error

  “Die Datensicherung erfolgt automatisch. Alle Daten auf dem Dateisystem S3 werden gespiegelt und getrennt aufbewahrt. Die Sicherung und Spiegelung der Daten in den Datenbanken erfolgt ohne jegliche Verzögerung mit Hilfe der eingesetzten Datenbank-Cluster. Zusätzlich werden die Daten aus jedem Datenbank-Cluster täglich gesichert.”

• Backup verification Report an error

  “Erstellte Datensicherungen werden regelmäßig auf ihre Integrität und Wiederherstellbarkeit hin überprüft.”

• Annual review Report an error

  “Unabhängig von zusätzlich durchgeführten externen Security-Audits, erfolgt jährlich eine innerbetriebliche Überprüfung zur Wirksamkeit der ergriffenen technischen und organisatorischen Schutzmaßnahmen.”

• Deletion policy Report an error

  “Nicht mehr benötigte Daten, wie zum Beispiel veraltete Kunden- sowie Projektdaten oder Daten aus Test- bzw. Entwicklungsumgebungen, werden gelöscht, sobald diese nicht mehr für die jeweilige Vertragserfüllung benötigt werden.”

• Deletion after contract end Report an error

  “Auftragsbezogene Daten mit personenbezogenen Inhalten, die zur Verarbeitung an uns übermittelt werden, werden bei Beendigung des Auftrags gelöscht, sofern diese nicht aus wichtigem Grund behalten werden müssen.”

• DPA contracts Report an error

  “Mit allen Dienstleistern, Partnern und Kunden, mit denen ein Austausch sowie eine Verarbeitung von personenbezogenen Daten erfolgen, wird ein Vertrag zur Auftragsdatenverarbeitung (AV-Vertrag) gemäß Art. 28 DSGVO geschlossen.”

• Certified partners preferred Report an error

  “Eine Zusammenarbeit erfolgt vorzugsweise mit Dienstleistern und Partnern, die über eine nachgewiesene Zertifizierung verfügen.”

• Employee privacy training Report an error

  “Unsere Mitarbeiter werden regelmäßig zu relevanten Datenschutzthemen geschult.”

• Confidentiality declaration Report an error

  “Alle Mitarbeiter unterzeichnen beim Eintritt in das Unternehmen eine gesonderte Verschwiegenheitserklärung.”

Scores citing this record

• The Data Protection Officer Works council, private phones & privacy by design
• The Data Protection Officer European sovereignty
• The Frontline Operations Lead Works council, private phones & privacy by design
• The Frontline Operations Lead European sovereignty
• The Internal Communications Lead Works council, private phones & privacy by design
• The Internal Communications Lead European sovereignty
• The Microsoft 365 Administrator Works council, private phones & privacy by design
• The Microsoft 365 Administrator European sovereignty
• The Skeptic Works council, private phones & privacy by design
• The Skeptic European sovereignty
• The Works Council Member Works council, private phones & privacy by design
• The Works Council Member European sovereignty