Adapty ist die Abonnement-Infrastruktur für Tausende mobiler Apps und wickelt im Auftrag unserer Kunden Abonnementtransaktionen im Wert von Milliarden Dollar ab.
Diese Stellung bringt eine klare Verpflichtung mit sich: Die Daten, die Sie und Ihre Nutzer uns anvertrauen, müssen mit Sorgfalt behandelt, von Personen geprüft werden, die nicht für uns arbeiten, und durch Kontrollen geschützt werden, die von keiner einzelnen Person abhängen.
Auf dieser Seite wird beschrieben, wie wir dies umsetzen.
Zertifizierungen
SOC 2 Type II
Eine unabhängige CPA-Prüfungsgesellschaft prüft unsere Kontrollen in den Bereichen Sicherheit, Verfügbarkeit und Vertraulichkeit und stellt eine SOC-2-Type-II-Bescheinigung aus, die die operative Wirksamkeit dieser Kontrollen über den Berichtszeitraum abdeckt. Der aktuelle Bericht steht Kunden und potenziellen Kunden auf Grundlage einer Geheimhaltungsvereinbarung zur Verfügung. Sie können ihn bei Ihrem Account-Team oder unter [email protected] anfordern.
Datenschutzvorschriften
Adapty verarbeitet Daten von Endnutzern ausschließlich als Auftragsverarbeiter und handelt dabei nur auf dokumentierte Weisung unserer Kunden gemäß unserem Auftragsverarbeitungsvertrag. Unsere Verarbeitungspraktiken sind darauf ausgelegt, die Anforderungen der folgenden Regelwerke zu erfüllen:
- DSGVO (EU und Vereinigtes Königreich);
- LGPD (Brasilien).
Wenn in Ihrer Rechtsordnung besondere Anforderungen gelten, die oben nicht aufgeführt sind, wenden Sie sich an uns – in der Regel können wir sie erfüllen.
Wie wir Daten schützen
Verschlüsselung
Alle Kundendaten werden bei der Übertragung (TLS 1.2+) und im Ruhezustand mit branchenüblichen Verschlüsselungsverfahren verschlüsselt.
Netzwerk und Infrastruktur
Die Produktionsumgebung läuft in gehärteten, branchenüblichen Umgebungen mit Netzwerksegmentierung zwischen den Diensten, eingeschränktem eingehendem und ausgehendem Datenverkehr und Zugriff nach dem Prinzip der minimalen Rechte für die kleine Gruppe von Ingenieuren, die überhaupt Zugang zur Produktionsumgebung haben. Der Zugang zur Produktionsumgebung erfordert eine Multi-Faktor-Authentifizierung und wird protokolliert.
Kontinuierliche Überwachung
Die Protokolle unserer Infrastruktur und Anwendungen werden zentral zusammengeführt, Anomalien lösen automatische Warnmeldungen aus, und ein Ingenieur in Rufbereitschaft steht 24/7 zur Verfügung, um auf Vorfälle zu reagieren.
Sichere Entwicklung
Jede Codeänderung durchläuft ein Peer-Review, eine automatisierte statische Analyse und Sicherheitsprüfungen in der CI, bevor sie in die Produktionsumgebung gelangen kann. Abhängigkeiten werden nachverfolgt und nach einem festgelegten Zeitplan gepatcht, und wir unterhalten eine klar strukturierte Deployment-Pipeline, die festhält, wer was wann ausgeliefert hat.
Betriebliche Praktiken
Mitarbeiter
Alle Mitarbeiter absolvieren bei ihrer Einstellung und danach jährlich eine Schulung zum Sicherheitsbewusstsein. MFA ist auf jedem Unternehmenssystem, das sie unterstützt, verpflichtend. Der Zugriff auf Kundendaten ist eingeschränkt, wird protokolliert und regelmäßig überprüft.
Anbieter
Jeder Dritte, auf den wir für Infrastruktur, Datenverarbeitung oder Sicherheit angewiesen sind, durchläuft vor der Aufnahme der Zusammenarbeit eine dokumentierte Prüfung und wird regelmäßig neu bewertet. Kritische Anbieter müssen gleichwertige Zertifizierungen vorweisen (in der Regel SOC 2 Type II oder ISO 27001).
Ausfallsicherheit
Wir erstellen verschlüsselte Backups nach einem festgelegten Zeitplan, halten Redundanz für unsere kritischen Dienste vor und testen unsere Verfahren zur Notfallwiederherstellung, sodass die Wiederherstellung etwas ist, das wir tatsächlich geprobt haben, und nicht etwas, das wir erst unter Druck herausfinden wollen.
Reaktion auf Sicherheitsvorfälle
Wir unterhalten einen dokumentierten Plan zur Reaktion auf Sicherheitsvorfälle mit definierten Schweregraden, Kommunikationsprotokollen und einer Nachbetrachtung nach jedem Vorfall.
Meldung einer Sicherheitslücke
Wenn Sie glauben, eine Sicherheitslücke in Adapty gefunden zu haben, senden Sie bitte eine E-Mail an [email protected]. Wir prüfen jede glaubwürdige Meldung, arbeiten bei der Behebung mit der meldenden Person zusammen und nennen Sicherheitsforscher, die sich an die verantwortungsvolle Offenlegung halten, namentlich (sofern sie nicht anonym bleiben möchten).
Für Enterprise-Sicherheitsprüfungen
Enterprise-Kunden und Interessenten können unter [email protected] Folgendes anfordern:
- aktuellen SOC-2-Type-II-Bericht (auf Grundlage einer Geheimhaltungsvereinbarung);
- ausgefüllten Sicherheitsfragebogen (CAIQ, SIG oder Ihr eigenes Format);
- Zusammenfassung der Informationssicherheitsrichtlinie;
- Zusammenfassung des Penetrationstests.
