Trust Center
Sicherheits- und Datenpraktiken bei AntOps.
AntOps ist eine Plattform für operatives Monitoring und Nachweise. Diese Seite beschreibt die derzeit eingesetzten Schutzmaßnahmen und Betriebspraktiken sowie die Grenzen unserer Aussagen.
Mandantentrennung
Workspace-Mitgliedschaft und API-Key-Grenzen werden durch die Plattform durchgesetzt.
Verifizierte Zustellung
Signierte Webhooks und unterstützte Ziele verwenden begrenzte Wiederholungen und Historie.
Wiederherstellung
Operative Backups und isolierte Restore-Verfahren werden für die Produktion gepflegt.
Sicherheitsüberblick
Öffentliche AntOps-Endpunkte werden über HTTPS bereitgestellt. Anwendungsdienste verwenden authentifizierte Workspace-Grenzen, Security Header, Rate Limits und begrenzte Request-Verarbeitung. AntOps beansprucht keine SOC-2- oder ISO-27001-Zertifizierung und keine unabhängige Penetrationstest-Zertifizierung.
Sicherheitsmaßnahmen reduzieren Risiken. Sie machen einen Dienst nicht unverwundbar und ersetzen nicht die eigenen Sicherheitskontrollen des Kunden.
Authentifizierung und Zugriff
Browser-Sitzungen verwenden von Supabase ausgestellte Tokens, die von der AntOps-API verifiziert werden. Plattformzugriff ist an einen unveränderlichen Authentifizierungssubjektwert und eine Workspace-Mitgliedschaft gebunden, nicht allein an eine E-Mail-Adresse. API-Key-Geheimnisse werden nur einmal angezeigt.
GitHub Change Risk ist optional. Die dedizierte GitHub App wird nur auf freigegebenen Repositories installiert und hat Lesezugriff auf Metadaten, Inhalte und Pull Requests sowie Schreib-/Lesezugriff auf Checks. Sie hat keinen Zugriff auf Actions, Administration, Secrets, Mitglieder oder Organisationen. AntOps klont keine Repositories und führt keinen Repository-Code aus.
Datenverarbeitung und Zustellung
AntOps verarbeitet Konto- und Workspace-Daten, Monitoring-Ziele, Beobachtungen, Events, Nachweise sowie Nutzungs- und Auditdaten zur Bereitstellung des Dienstes. Private Document Intelligence akzeptiert nur begrenzte, authentifizierte Uploads; Quelldateien haben keine öffentliche URL.
Webhook- und unterstützte Zustellziele sind auf geprüfte HTTPS-Ziele beschränkt. Ziel-Credentials werden verschlüsselt gespeichert, nach Erstellung nicht erneut ausgegeben und Zustellungen verwenden signierte Payloads, begrenzte Wiederholungen und eine dauerhafte Historie.
Backups, Wiederherstellung und Aufbewahrung
Operative Backups enthalten Produktionsdatenbank und Material zur Wiederherstellung privater Dokumente. Restore-Tests verwenden eine separate temporäre Datenbank und ein isoliertes Dokumentziel; sie überschreiben keine Produktion. Verschlüsselte Off-Host-Backups gehören zum Betriebsverfahren.
Operative Historienaufbewahrung nutzt planbasierte Lifecycle-Verwaltung für geeignete Monitoring-Beobachtungen, gelöste Incidents, abgeschlossene Zustellhistorie und abgeschlossene Change-Risk-Assessments. Für andere Daten gelten eigene Lifecycle-Richtlinien. Automatisches destruktives Löschen ist derzeit in der Produktion nicht aktiviert.
Kunden können Konto-/Workspace-Daten exportieren oder in den Einstellungen eine durch einen Operator geprüfte Löschanfrage stellen. Für Datenschutz- oder Löschanfragen: [email protected].
Incident Response und Schwachstellenmeldung
AntOps unterhält Runbooks für Verfügbarkeits-, Abhängigkeits-, Queue- und Credential-Incidents. Der Ablauf konzentriert sich auf Bestätigung, Eindämmung, Auswirkungsbewertung, Wiederherstellung und Nachbereitung. Dies ist keine vertragliche Benachrichtigungsfrist.
Melden Sie mögliche Schwachstellen per E-Mail an [email protected], mit kurzer Reproduktion und Impact-Beschreibung. Handeln Sie nach Treu und Glauben, greifen Sie nicht auf fremde Daten zu und vermeiden Sie Service-Störungen. Ein Bug-Bounty-Programm wird derzeit nicht angeboten.
Unterauftragsverarbeiter und Datenresidenz
Diese Liste beschreibt die aktuell genutzten Dienstleister. Der jeweilige Anbieter kann Daten außerhalb des Vereinigten Königreichs verarbeiten; AntOps veröffentlicht keine einheitliche globale Datenresidenz-Zusage.
| Unterauftragsverarbeiter | Zweck | Verarbeitete Daten | Datenschutz |
|---|---|---|---|
| Supabase | Authentifizierung und Kontositzungen | Konto-E-Mail- und Authentifizierungsidentitätsdaten | Richtlinie |
| Resend | Authentifizierungs- und Service-E-Mail-Zustellung | Empfänger-E-Mail und Metadaten zur Nachrichtenzustellung | Richtlinie |
| Stripe | Zahlungsabwicklung und Billing-Portal | Billing-Kunden-, Abonnement- und Zahlungsmetadaten; Zahlungskarten werden von Stripe verarbeitet | Richtlinie |
| Cloudflare | Netzwerkzustellung, Edge-Sicherheit und optionale aggregierte Webanalyse | Request- und technische Zustelldaten; aggregierte Analyse, wenn aktiviert | Richtlinie |
| GitHub | Optionaler GitHub-Login und installierte Change-Risk-Integration | Identitätsdaten für Login; zugeordnete Repository- und Pull-Request-Daten nur bei aktivierter Integration | Richtlinie |
Compliance und Beschaffung
AntOps beansprucht keine SOC 2-, ISO 27001-, HIPAA-, PCI-DSS- oder andere Zertifizierung, sofern dies nicht separat schriftlich vereinbart wurde. Fragen zu Sicherheit und Datenschutz für Beschaffung können an [email protected] gerichtet werden.
Ein Auftragsverarbeitungsvertrag wird nicht automatisch über diese Website akzeptiert. AntOps pflegt eine DPA-fähige Gliederung zur rechtlichen Prüfung und kann passende Vereinbarungen mit Geschäftskunden besprechen.