Sicherheit by design

Ihre Daten werden bei der Übertragung und im Ruhezustand verschlüsselt.

• TLS 1.3 bei allen Verbindungen (HTTPS verpflichtend, HSTS aktiv)
• AES-256 für ruhende Daten in der Datenbank
• Passwörter mit bcrypt + Salt gespeichert (niemals im Klartext)
• Rotierende Zugriffstokens mit kurzer Gültigkeit
• Secrets Management über einen dedizierten Tresor (Vercel + Supabase Vault)

Mehrere Ebenen stellen sicher, dass Zugreifende wirklich die sind, die sie vorgeben zu sein.

• Zwei-Faktor-Authentifizierung (2FA/TOTP) in allen Tarifen verfügbar
• OAuth 2.0 mit Google für sicheres Anmelden
• Richtlinien für starke Passwörter: mindestens 8 Zeichen, Validierung in Echtzeit
• Rate Limiting gegen Brute-Force-Angriffe
• Sitzungen werden bei längerer Inaktivität automatisch beendet

Hosting bei Anbietern mit den höchsten globalen Zertifizierungen.

• Vercel-Server (Edge) + Supabase (Postgres) in mehreren Regionen
• Zertifizierungen nach SOC 2 Type II, ISO 27001 und PCI-DSS Level 1
• Automatisches tägliches Backup mit 30 Tagen Aufbewahrung
• Multi-Region-Replikation für hohe Verfügbarkeit
• Integrierter DDoS-Schutz und WAF (Web Application Firewall)

Das Prinzip der geringsten Rechte gilt auf allen Ebenen.

• Row Level Security (RLS) in der Datenbank: Jedes Unternehmen sieht nur seine eigenen Daten
• Zugriffsprofile (Admin, Mitarbeiter) mit granularen Berechtigungen
• Isolierte Multi-Tenant-Architektur by design — kein Datenabfluss zwischen Konten
• Audit-Logs für kritische Aktionen (Login, Finanzänderungen usw.)
• Interner Teamzugriff ist beschränkt und vollständig protokolliert

Erkennung in Echtzeit und ein klarer Prozess, wenn etwas passiert.

• SIEM mit 24/7-Alarmen bei Anomalien und verdächtigen Versuchen
• Automatische Health Checks alle 60 Sekunden
• SRE-Bereitschaft mit Reaktions-SLA von maximal 15 Minuten
• Kommunikation relevanter Vorfälle innerhalb von 72h (gemäß LGPD)
• Öffentliche Postmortems für vollständige Transparenz

Ausgerichtet an den wichtigsten in Brasilien geltenden Vorschriften.

• LGPD (Gesetz 13.709/2018) — Verarbeitung personenbezogener Daten
• Marco Civil da Internet (Gesetz 12.965/2014) — Aufbewahrung von Logs
• PCI-DSS — Kartentransaktionen über zertifizierte Gateways
• Verbraucherschutzgesetz — vertragliche Transparenz
• Jährliche unabhängige Audits durch ein spezialisiertes Unternehmen

Pläne, damit Ihr Betrieb selbst in Extremszenarien weiterläuft.

• Automatisierte tägliche Backups (RPO 24h, RTO 4h)
• Disaster-Recovery-Plan (DRP), halbjährlich getestet
• Automatisches Failover in eine sekundäre Region im Fehlerfall
• Versionsverlauf kritischer Daten (Finanzen, Termine)
• Vollständiger Export Ihrer Daten jederzeit möglich