Sicherheit und Datenschutz bei Shiftfy
Sie vertrauen uns Personaldaten an. Auf dieser Seite erfahren Sie, wie wir diese Daten schützen, wo sie gespeichert werden und welche Nachweise wir Ihnen zur Verfügung stellen.
Auf einen Blick
Datenhaltung in der EU
Die Anwendung wird in Frankfurt am Main betrieben, Datenbank und Dateien liegen in Irland. Einige unserer Dienstleister sind US-Unternehmen; mögliche Zugriffe aus den USA sind durch das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln abgesichert.
Zertifizierte Infrastruktur
Shiftfy wird bei Vercel (ISO/IEC 27001:2022, SOC 2 Type 2) und Supabase (ISO/IEC 27001, SOC 2 Type 2) betrieben. Shiftfy selbst ist nicht zertifiziert; unsere eigenen Maßnahmen legen wir Ihnen offen.
Verschlüsselung
Datenübertragung ausschließlich per TLS mit HSTS, Verschlüsselung im Ruhezustand durch den Hosting-Anbieter, besonders schutzbedürftige Felder zusätzlich mit AES-256-GCM. Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
Mandantentrennung
Jede Datenbankabfrage ist auf Ihren Arbeitsbereich beschränkt, wird in der Datenschicht zusätzlich abgesichert und bei jeder Codeänderung automatisch getestet.
Datensicherung
Tägliche Sicherung der Datenbank mit 7 Tagen Aufbewahrung. Maximaler Datenverlust (RPO): 24 Stunden; angestrebte Wiederherstellungszeit (RTO): 4 Stunden.
Sicherheitsvorfälle
Bei einer Verletzung des Schutzes Ihrer Daten informieren wir Sie unverzüglich, spätestens innerhalb von 48 Stunden, wie im Auftragsverarbeitungsvertrag vereinbart.
Datenschutz nach DSGVO
- Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, abgeschlossen mit der Registrierung.
- Öffentliche Liste aller Unterauftragsverarbeiter mit Änderungshistorie; über geplante Änderungen informieren wir Sie vorab.
- Standortdaten nur im Moment des Stempelns; Koordinaten werden nach 7 Tagen gelöscht. Automatisches Stempeln am Einsatzort ist standardmäßig deaktiviert und setzt die Zustimmung jeder einzelnen Person voraus.
- Keine Diagnosen: Bei Abwesenheiten speichert Shiftfy nur Art und Zeitraum. Krankmeldungen werden in keiner Benachrichtigung als solche bezeichnet, und Benachrichtigungen an Vorgesetzte nennen die Art der Abwesenheit nicht.
- Vollständiger Datenexport jederzeit. Nach Vertragsende stehen Ihre Daten 30 Tage zum Export bereit und werden anschließend gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
- Vorlagen für Datenschutz-Folgenabschätzung, Betriebsvereinbarung und Beschäftigteninformation stellen wir Ihnen zur Verfügung.
- Behördenanfragen: Wir geben Daten nur heraus, wenn wir gesetzlich dazu verpflichtet sind, prüfen jede Anfrage sorgfältig und informieren Sie vorab, soweit dies rechtlich zulässig ist.
Nachweise
Öffentlich
Auf Anfrage
- Technische und organisatorische Maßnahmen (TOM)
- Richtlinien zur Informationssicherheit
- Auszug aus dem Verzeichnis von Verarbeitungstätigkeiten
- Antworten auf Sicherheitsfragebögen (CSA CAIQ und weitere)
- Zusammenfassung der internen Sicherheitsprüfung
- Vorlagen für DSFA, Betriebsvereinbarung und Beschäftigteninformation
- Prozess für Sicherheitsvorfälle
Diese Unterlagen erhalten Sie auf Anfrage an Kontakt@shiftfy.info, auf Wunsch unter einer Vertraulichkeitsvereinbarung.
Dienstleister
Wir setzen wenige, sorgfältig ausgewählte Dienstleister ein, unter anderem für Hosting, Datenbank, E-Mail-Versand und Zahlungsabwicklung. Welcher Anbieter welche Daten an welchem Ort und auf welcher vertraglichen Grundlage verarbeitet, finden Sie vollständig in der Liste der Unterauftragsverarbeiter.
Zur Liste der UnterauftragsverarbeiterSicherheitslücken melden
Sie haben eine Schwachstelle gefunden? Wir freuen uns über Ihre Meldung.
- Schreiben Sie an Kontakt@shiftfy.info und beschreiben Sie die Schwachstelle, die betroffene Adresse und die Schritte zum Nachvollziehen.
- Wir bestätigen den Eingang innerhalb von drei Werktagen, halten Sie über die Behebung auf dem Laufenden und nennen Sie auf Wunsch namentlich.
- Testen Sie ausschließlich mit eigenen Testkonten. Greifen Sie nicht auf fremde Daten zu, verändern oder löschen Sie keine Daten und beeinträchtigen Sie den Betrieb nicht (keine Last- oder Spam-Tests, kein Social Engineering).
- Bitte veröffentlichen Sie Einzelheiten erst nach der Behebung oder in Absprache mit uns.
- Wer sich an diese Regeln hält und in gutem Glauben handelt, hat von uns keine rechtlichen Schritte zu befürchten. Ein Bug-Bounty-Programm bieten wir derzeit nicht an.
Kontakt
Für Fragen zu Sicherheit und Datenschutz, für Sicherheitsfragebögen und Nachweise erreichen Sie uns unter Kontakt@shiftfy.info.