Sicherheitsrichtlinie

Meldung von Sicherheitslücken

revzper SAS nimmt die Sicherheit der Euphile-Plattform ernst. Wenn Sie eine Sicherheitslücke entdecken, melden Sie diese bitte verantwortungsvoll per E-Mail an contact@revzper.com. Wir werden den Eingang innerhalb von 48 Stunden bestätigen und streben an, innerhalb von 5 Werktagen eine erste Bewertung bereitzustellen. Gegen Forscher, die verantwortungsvolle Verfahren zur Offenlegung von Sicherheitslücken befolgen, leiten wir keine rechtlichen Schritte ein.

Einhaltung der Datenschutzvorschriften

revzper SAS verpflichtet sich als Verantwortlicher für die Euphile-Plattform zur vollständigen Einhaltung der Datenschutz-Grundverordnung (DSGVO) und anderer anwendbarer EU-Datenschutzgesetze. Diese Richtlinie beschreibt unsere Einhaltung der folgenden Grundsätze:

1. DSGVO-Grundsätze

Alle Datenverarbeitungstätigkeiten werden auf einer eindeutigen Rechtsgrundlage durchgeführt, einschließlich Einwilligung, Vertragserfüllung oder berechtigtem Interesse, wie in unserer Datenschutzrichtlinie angegeben.

Ref: DSGVO

2. Rechte betroffener Personen

Als betroffene Person haben Sie in Bezug auf Ihre auf der Euphile-Plattform verarbeiteten personenbezogenen Daten folgende Rechte:

Ref: DSGVO

Auskunft darüber zu verlangen, ob Ihre Daten verarbeitet werden, sowie Zugang zu diesen Daten zu verlangen.
Die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten zu verlangen.
Unter bestimmten Voraussetzungen die Löschung Ihrer personenbezogenen Daten zu verlangen.
Unter bestimmten Umständen die Einschränkung der Verarbeitung zu verlangen.
Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
Der Verarbeitung aufgrund berechtigter Interessen oder zu Zwecken des Direktmarketings zu widersprechen.
Ihre Einwilligung zur Verarbeitung zu widerrufen, wenn diese die Rechtsgrundlage war.

3. Rechtsgrundlage für die Verarbeitung

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten auf der Euphile-Plattform variiert je nach Produkt und Dienstleistung. Detaillierte Informationen finden Sie in der Datenschutzrichtlinie für jedes Produkt (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).

Ref: DSGVO

4. Datenschutzbeauftragter (DPO)

revzper SAS hat einen Datenschutzbeauftragten zur Überwachung der Datenschutzpraktiken bestellt. Der DPO ist unter privacy@revzper.com erreichbar.

Ref: DSGVO

Sicherheitsmaßnahmen

Unsere Plattform setzt die folgenden Sicherheitsmaßnahmen zum Schutz personenbezogener Daten ein:

1. Verschlüsselung

1. Bei der Übertragung

Alle zwischen den Nutzern und unserer Plattform übertragenen Daten werden mithilfe branchenüblicher Protokolle verschlüsselt, um sichere Kommunikationskanäle zu gewährleisten.

2. Im Ruhezustand

Sensible Daten werden unter Verwendung starker Verschlüsselungsstandards verschlüsselt, wobei die Verschlüsselungsschlüssel nach bewährten Verfahren verwaltet werden.

2. Zugriffskontrollen

1. Rollenbasierte Zugriffskontrolle

Eine rollenbasierte Zugriffskontrolle wird implementiert, um sicherzustellen, dass Nutzer nur auf die für ihre Rollen erforderlichen Daten und Funktionen zugreifen können.

2. Multifaktor-Authentifizierung

Für jeden administrativen Zugriff auf die Plattform ist eine Multifaktor-Authentifizierung erforderlich.

3. Sicherheitsbewertungen

1. Scans auf Sicherheitslücken und Penetrationstests

Regelmäßige Scans auf Sicherheitslücken und Penetrationstests werden durchgeführt, um Sicherheitsschwachstellen zu identifizieren und zu beheben.

2. Interne Sicherheitsbewertungen

Interne Sicherheitsbewertungen werden durchgeführt, um Zugriffsprotokolle, Systemkonfigurationen und die Einhaltung der Sicherheitsrichtlinien zu überprüfen.

4. Automatisierte Überwachung

1. Kontinuierliche Überwachung

Kontinuierliche Überwachung von Systemprotokollen, Netzwerkverkehr und Nutzeraktivitäten zur Erkennung und Reaktion auf verdächtiges Verhalten in Echtzeit.

2. Automatisierte Warnmeldungen

Bei potenziellen Sicherheitsvorfällen werden automatisierte Warnmeldungen generiert, die eine schnelle Reaktion ermöglichen.

5. Compliance-Zertifizierungen

Unsere Infrastruktur und Prozesse sind darauf ausgelegt, anerkannten Sicherheitsstandards zu entsprechen. Zertifizierungen werden regelmäßig überprüft und auf Anfrage zur Verfügung gestellt. Alle Daten werden innerhalb der Europäischen Union auf einer Infrastruktur verarbeitet, die den Sicherheitsstandards der Branche entspricht.

Reaktion auf Vorfälle und Meldung von Datenschutzverletzungen

revzper SAS hat ein robustes Verfahren zur Reaktion auf Vorfälle eingerichtet, um Sicherheitsvorfälle, Datenschutzverletzungen oder unbefugten Zugriff auf personenbezogene Daten zu behandeln. Unser Ziel ist es, Vorfälle unverzüglich zu erkennen, einzudämmen und zu minimieren und dabei die Einhaltung rechtlicher Verpflichtungen sicherzustellen.

1. Verfahren zur Reaktion auf Vorfälle

Ref: DSGVO

1. Erkennung und Meldung

Sicherheitsvorfälle werden durch automatisierte Überwachungsinstrumente und manuelle Meldungen erkannt. Mitarbeiter und Auftragnehmer werden darin geschult, vermutete Vorfälle unverzüglich an privacy@revzper.com oder über die Hotline zur Reaktion auf Vorfälle unter contact@revzper.com zu melden.

Ref: DSGVO

2. Bewertung und Eindämmung

Das vom DPO geleitete Team zur Reaktion auf Vorfälle bewertet Umfang und Auswirkungen des Vorfalls. Es werden unverzüglich Eindämmungsmaßnahmen umgesetzt, um weiteren unbefugten Zugriff oder Datenverlust zu verhindern.

Ref: DSGVO

3. Meldung an die Aufsichtsbehörden

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird revzper SAS die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung benachrichtigen, es sei denn, es ist unwahrscheinlich, dass die Verletzung zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Die Benachrichtigung umfasst: Eine Beschreibung der Art der Verletzung. Die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze. Die wahrscheinlichen Folgen der Verletzung. Die zur Behebung der Verletzung ergriffenen oder vorgeschlagenen Maßnahmen.

Ref: DSGVO

4. Mitteilung an betroffene Personen

Wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen führt, wird revzper SAS die betroffenen Personen ohne unangemessene Verzögerung über die Verletzung informieren. Die Mitteilung umfasst: Eine klare Beschreibung der Verletzung. Die zur Behebung der Verletzung ergriffenen Maßnahmen. Empfehlungen für betroffene Personen zum Schutz ihrer Rechte.

Ref: DSGVO

5. Dokumentation und Überprüfung

Alle Vorfälle werden dokumentiert, einschließlich der Grundursache, der Reaktionsmaßnahmen und der gewonnenen Erkenntnisse. Das Verfahren zur Reaktion auf Vorfälle wird regelmäßig überprüft und aktualisiert, um Verbesserungen zu berücksichtigen.

Ref: GDPR

2. Eskalationsweg

Geringfügige Vorfälle: Werden vom internen Sicherheitsteam unter der Aufsicht des DPO behandelt. Schwerwiegende Vorfälle: Werden an die Geschäftsleitung und den Vorstand eskaliert, wobei eine obligatorische Meldung an die Aufsichtsbehörde erfolgt.

Ref: GDPR

3. Kontakt für Vorfälle

Bei Fragen oder zur Meldung eines Vorfalls wenden Sie sich unter privacy@revzper.com an den DPO.

Ref: GDPR

Management von Risiken Dritter

revzper SAS erkennt an, dass Drittanbieter, Unterauftragsverarbeiter und Dienstleister personenbezogene Daten im Namen unserer Plattform verarbeiten können. Wir verpflichten uns sicherzustellen, dass alle Dritten dieselben hohen Standards für Datenschutz und Sicherheit einhalten wie revzper SAS.

1. Unterauftragsverarbeiter und Dienstleister

Die folgenden Dritten werden von revzper SAS mit der Erbringung von Dienstleistungen beauftragt, die die Verarbeitung personenbezogener Daten umfassen. Jeder Unterauftragsverarbeiter wird auf Grundlage einer sorgfältigen Due-Diligence-Prüfung und vertraglicher Schutzmaßnahmen ausgewählt:

Ref: GDPR

Dienstleistung: Cloud-Hosting

Unterauftragsverarbeiter: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich
Datenstandort: Frankreich (Region Paris), Europäische Union
Compliance-Zertifizierungen: ISO/IEC 27001:2022; HDS (Hosting von Gesundheitsdaten)
Vereinbarung zur Datenverarbeitung: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/

Dienstleistung: Zahlungsabwicklung

Unterauftragsverarbeiter: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande
Datenstandort: Europäische Union (Niederlande)
Compliance-Zertifizierungen: PCI DSS Level 1 service provider; von De Nederlandsche Bank zugelassenes Zahlungsinstitut
Vereinbarung zur Datenverarbeitung: Mollie verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher gemäß seinem User Agreement und seiner Privacy Statement, https://www.mollie.com/legal/privacy

Dienstleistung: KI-Inferenz (OpenAI-Modelle)

Unterauftragsverarbeiter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Microsoft Foundry, Azure OpenAI Service)
Datenstandort: Europäische Union: Bereitstellungen in einer Datenzone auf einer Ressource in Frankreich (France Central); Eingabeaufforderungen und Antworten werden innerhalb der Azure EU Data Boundary verarbeitet, ruhende Daten befinden sich in Frankreich
Compliance-Zertifizierungen: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Vereinbarung zur Datenverarbeitung: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; Datenbedingungen für Foundry-Modelle, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy

Dienstleistung: KI-Inferenz (Mistral-Modelle)

Unterauftragsverarbeiter: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, Frankreich (La Plateforme)
Datenstandort: Europäische Union (Inferenz über Mistrals regionalen EU-Endpunkt; Daten werden standardmäßig in der Europäischen Union gehostet; API-Eingaben und -Ausgaben werden zur Überwachung des Missbrauchs dreißig rollierende Tage aufbewahrt)
Compliance-Zertifizierungen: SOC 2 Type II; ISO/IEC 27001 und 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Vereinbarung zur Datenverarbeitung: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Due-Diligence-Prüfung und Auswahl

Alle potenziellen Unterauftragsverarbeiter werden anhand ihrer Sicherheitspraktiken, Compliance-Zertifizierungen und Datenschutzverpflichtungen bewertet. Mit allen Unterauftragsverarbeitern werden Vereinbarungen zur Datenverarbeitung geschlossen, in denen ihre Pflichten in Bezug auf Datenschutz, Sicherheit und die Meldung von Datenschutzverletzungen festgelegt sind. revzper SAS überprüft regelmäßig die Leistung und Compliance der Unterauftragsverarbeiter, um die fortdauernde Einhaltung der geltenden Vorschriften sicherzustellen.

Ref: GDPR

3. Reaktion auf Vorfälle und Meldung von Datenschutzverletzungen

Unterauftragsverarbeiter sind verpflichtet, revzper SAS unverzüglich über vermutete oder tatsächliche Datenschutzverletzungen zu informieren. revzper SAS wird die Auswirkungen der Datenschutzverletzung bewerten und geeignete Maßnahmen ergreifen, einschließlich der Benachrichtigung der zuständigen Aufsichtsbehörde und der betroffenen Personen, soweit dies nach den geltenden Vorschriften erforderlich ist.

Ref: GDPR

4. Kontakt für das Management von Risiken Dritter

Bei Fragen zu unseren Praktiken für das Management von Risiken Dritter wenden Sie sich unter privacy@revzper.com an den DPO.

Ref: GDPR

Sicherheitsschulungen und Sensibilisierung der Mitarbeiter

revzper SAS verpflichtet sich, bei allen Mitarbeitern und Auftragnehmern eine Kultur des Sicherheitsbewusstseins zu fördern. Regelmäßige Schulungen und Weiterbildungen sind unerlässlich, um die Sicherheit unserer Plattform aufrechtzuerhalten und personenbezogene Daten zu schützen.

1. Schulungsprogramm

1. Geltungsbereich

Alle Mitarbeiter und Auftragnehmer mit Zugriff auf Systeme oder Daten von revzper SAS sind verpflichtet, eine Sicherheitsschulung zu absolvieren.

2. Behandelte Themen

Bewusstsein für gängige Sicherheitsbedrohungen (z. B. Phishing, Social Engineering). Sichere Authentifizierungspraktiken. Grundsätze der Zugriffskontrolle und der geringsten Privilegien. Verfahren zur Meldung von Vorfällen. Grundsätze des Datenschutzes und Einhaltung gesetzlicher Vorschriften. Praktiken für sichere Entwicklung (für technisches Personal). Physische Sicherheit und Sicherheit am Arbeitsplatz.

3. Schulungshäufigkeit

Neue Mitarbeiter: Obligatorische Sicherheitsschulung innerhalb der ersten 30 Tage des Beschäftigungsverhältnisses. Jährliche Auffrischung: Alle Mitarbeiter und Auftragnehmer müssen jährlich eine Aktualisierung der Sicherheitsschulung absolvieren. Ad-hoc-Schulungen: Für neue Systeme, Richtlinien oder neu auftretende Bedrohungen werden zusätzliche Schulungen angeboten.

4. Dokumentation

Die Teilnahme an Schulungen und deren Abschluss werden dokumentiert und sicher gespeichert. Mitarbeiter müssen bestätigen, dass sie die Schulungsunterlagen verstanden haben.

2. Sensibilisierungskampagnen

Phishing-Simulationen: Regelmäßige Phishing-Simulationen werden durchgeführt, um das Bewusstsein der Mitarbeitenden zu bewerten und die Schulung zu verstärken. Sicherheits-Newsletter: In regelmäßigen Abständen werden Newsletter verteilt, um über Aktualisierungen zu Sicherheitsbedrohungen, bewährte Verfahren und Richtlinienänderungen zu informieren. Vorfallüberprüfungen: Nach Vorfällen werden Überprüfungen durchgeführt, um die daraus gewonnenen Erkenntnisse zu analysieren und die Sicherheitspraktiken zu verbessern.

3. Compliance und Durchsetzung

Die Nichteinhaltung der Anforderungen an Sicherheitsschulungen kann Disziplinarmaßnahmen bis hin zur Beendigung des Arbeitsverhältnisses zur Folge haben. revzper SAS behält sich das Recht vor, den Abschluss von Schulungen und die Einhaltung der Sicherheitsrichtlinien zu prüfen.

4. Kontakt für Fragen zu Schulungen

Bei Fragen zu unserem Sicherheitsschulungsprogramm wenden Sie sich an den DPO unter privacy@revzper.com.