Sicherheit & Datenschutz
Sie vertrauen uns die Stückliste Ihrer Software an. Hier steht, wo diese Daten liegen, wer darauf zugreift und welche Dienstleister beteiligt sind.
Wer Secupipe betreibt
Secupipe wird von der Konstantin Kauz Cloud Solutions Ltd in Larnaca, Zypern, betrieben, einer Gesellschaft in der EU. Sie ist Ihr Ansprechpartner für Vertrag, Datenschutz und Sicherheitsfragen. Mehr über uns auf der Seite Über uns, alle Angaben im Impressum.
Wo Ihre Daten liegen
- Rechenzentrum in Deutschland: App, API und Datenbank laufen auf Servern der Hetzner Online GmbH in Deutschland.
- Datenbank nicht aus dem Internet erreichbar: Die Datenbank nimmt nur lokale Verbindungen auf dem Server an.
- Geschützter Zugang: Alle Aufrufe laufen verschlüsselt (TLS) über Cloudflare. Die Firewall lässt für die API nur die vorgesehenen Schnittstellen durch und begrenzt die Zahl der Anfragen je Adresse.
- Server-Zugang nur bei Bedarf: Der Wartungszugang zum Server ist gesperrt und wird nur für die Dauer eines Deployments geöffnet.
Was wir von Ihrer Software sehen
- Kein Quellcode: Ihre Pipeline schickt uns eine SBOM, also die Liste der Komponenten mit Name, Version und Paketkennung, dazu Commit, Branch und Link zum Pipeline-Lauf.
- Fix-PRs bleiben bei Ihnen: Updates für verwundbare Komponenten baut und testet ein Container in Ihrer eigenen Pipeline. Ihr Code verlässt dabei Ihre Umgebung nicht.
- KI-Code-Scan und KI-Fix laufen bei Ihnen: Mit dem Modul KI arbeitet ein KI-Agent auf Ihrem CI-Runner, mit Ihrem eigenen Schlüssel beim KI-Anbieter. Ihr Quellcode geht dabei an diesen Anbieter, nicht an Secupipe. Secupipe erhält nur das Ergebnis: Datei, Zeile, Beschreibung und Empfehlung des Befunds sowie Status und Link des Pull Requests.
- Schwachstellen-Abgleich ohne Personenbezug: An OSV und FIRST (EPSS) gehen nur Paketkennungen und CVE-Nummern, keine Namen, Firmen oder Inhalte.
- Kein KI-Training: Ihre Inhalte werden nicht zum Training von KI-Modellen verwendet.
Zugriff und Nachvollziehbarkeit
- Strikte Trennung: Jede Firma hat einen eigenen Bereich. Die Trennung wird bei jeder Abfrage in der API geprüft, nicht nur in der Oberfläche.
- Anmeldung ohne Passwort bei uns: Die Anmeldung übernimmt WorkOS, auch mit Google, Microsoft oder LinkedIn. Wir speichern keine Passwörter.
- Rollen: Administrator, Mitglied und Prüfer mit Lesezugriff, etwa für externe Auditoren.
- Unveränderliches Protokoll: Jede Bewertung, Meldung und Änderung steht mit Zeitpunkt und Urheber im Protokoll und lässt sich exportieren.
- Zahlungsdaten: Kartendaten verarbeitet nur Stripe. Wir sehen keine vollständigen Kartennummern.
Dienstleister (Unterauftragsverarbeiter)
| Dienstleister | Zweck | Sitz |
|---|---|---|
| Hetzner Online GmbH | Server und Datenbank | Deutschland |
| Cloudflare, Inc. | Auslieferung, TLS, Firewall, Schutz vor Angriffen | USA |
| WorkOS, Inc. | Anmeldung, Registrierung, Single Sign-on | USA |
| Microsoft Ireland Operations Ltd. | E-Mail (Microsoft 365) | Irland |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | Irland |
| eCloud Systems FZE | Rechnungsstellung für bezahlte Pläne | Vereinigte Arabische Emirate |
| Google Ireland Limited | Nur Website, nur mit Einwilligung: Google Analytics; Demo-Video (YouTube) | Irland |
| Meta Platforms Ireland Ltd. | Nur Website, nur mit Einwilligung: Anzeigenmessung | Irland |
Für Übermittlungen in Drittländer nutzen wir Angemessenheitsbeschlüsse der EU-Kommission oder EU-Standardvertragsklauseln. Details stehen in der Datenschutzerklärung.
Auftragsverarbeitungsvertrag (AVV)
Für Ihre Inhalte in Secupipe sind wir Auftragsverarbeiter. Den AVV nach Art. 28 DSGVO samt technischen und organisatorischen Maßnahmen erhalten Sie auf Anfrage an [email protected].
Schwachstelle in Secupipe gefunden?
Melden Sie sie bitte vertraulich an [email protected], gern mit Schritten zum Nachvollziehen. Wir antworten zeitnah und halten Sie über die Behebung auf dem Laufenden. Unsere Kontaktdaten stehen auch in security.txt.
Was in Vorbereitung ist
Eine Version zum Selbstbetrieb als Docker-Container im eigenen Rechenzentrum oder in der eigenen Cloud ist in Vorbereitung. Wenn Sie sie früh testen möchten, schreiben Sie uns.