Trust Center
Ihre Kunden vertrauen Ihnen. So können Sie uns vertrauen.
SeatReaper liest die Tools, mit denen Sie Ihre Kunden betreuen. Diese Seite erklärt klar, worauf es zugreifen kann, wie dieser Zugriff geschützt ist und was Sie steuern. Sicherheitsprüfer finden unten Antworten auf die üblichen Fragebogenfragen.
Standardmäßig nur lesend
Jede Synchronisierung nutzt nur Lesezugriff. SeatReaper ändert etwas nur, wenn ein Inhaber Entfernungen aktiviert hat (ab Growth) und ein Mitglied Ihres Teams jede Änderung bestätigt. Jede Änderung wird protokolliert.
Daten in Kanada gespeichert
Datenbank und Authentifizierung laufen in Montreal (AWS ca-central-1); die Anwendung läuft ebenfalls in Montreal.
Trennung in der Datenbank
Zeilenbasierte Sicherheit auf jeder Tabelle sorgt dafür, dass ein Arbeitsbereich nur seine eigenen Daten lesen kann.
Anmeldung unter Ihrer Kontrolle
Inhaber können die zweistufige Überprüfung und die Microsoft-Anmeldung für das ganze Team vorschreiben, durchgesetzt von der Datenbank.
Nur erweiterbares Prüfprotokoll
Jede Änderung, auch jede Aktion von SeatReaper-Mitarbeitenden, wird aufgezeichnet und kann nicht bearbeitet werden.
Support nur mit Ihrer Zustimmung
SeatReaper-Mitarbeitende sehen einen Arbeitsbereich nur lesend, für die Dauer, die ein Inhaber gewährt, und jeder Blick wird protokolliert.
Wie Ihre Daten geschützt sind
Verschlüsselung
- Der gesamte Datenverkehr nutzt TLS mit HTTP Strict Transport Security.
- Ruhende Daten werden von unserem Datenbankanbieter verschlüsselt.
- Die API-Schlüssel und Passwörter, die Sie SeatReaper für Ihre Tools geben, werden zusätzlich mit AES-256-GCM verschlüsselt, mit einem Schlüssel außerhalb der Datenbank, und jeder ist an seinen Arbeitsbereich gebunden, sodass er in keinem anderen gelesen werden kann.
- Zugangsdaten werden nach dem Speichern nie wieder angezeigt.
Trennung und Zugriff
- Jede Tabelle ist durch zeilenbasierte Sicherheit in der Datenbank selbst geschützt, nicht nur durch die Anwendung.
- Jeder Schreibvorgang wird von der Datenbank geprüft: Regeln der zeilenbasierten Sicherheit und geprüfte Datenbankfunktionen entscheiden, wer was ändern darf.
- Rollen (Inhaber, Techniker, Betrachter) begrenzen, was jede Person tun kann; nur Inhaber verbinden Tools, verwalten die Abrechnung oder lesen das Prüfprotokoll.
- Inhaber können Techniker oder Betrachter auf ausgewählte Kunden beschränken, durchgesetzt von denselben Datenbankregeln.
- Konten von SeatReaper-Mitarbeitenden erfordern die zweistufige Überprüfung, können nur außerhalb der Anwendung vergeben werden und lassen sich mit einer einzigen Einstellung abschalten.
Überwachung und Nachvollziehbarkeit
- Ein nur erweiterbares Prüfprotokoll zeichnet auf, wer was geändert hat, mit alten und neuen Werten, einschließlich jeder Aktion von Mitarbeitenden und ihrer schriftlichen Begründung.
- Inhaber erhalten Sicherheitswarnungen per E-Mail, wenn jemand beitritt, sich eine Rolle ändert, die zweistufige Überprüfung entfernt wird, Zugangsdaten geändert werden oder der Support den Arbeitsbereich öffnet.
- Inhaber können das Prüfprotokoll als CSV exportieren oder es in Echtzeit, signiert, an ihr eigenes SIEM streamen.
Anwendungssicherheit
- Eine Content Security Policy, die nur Skripte zulässt, die SeatReaper selbst ausliefert (einschließlich eigener Inline-Skripte), ohne Skripte Dritter und ohne Werbe- oder Analyse-Tracker.
- Jede Änderung durchläuft einen Pull Request mit automatischen Prüfungen, einschließlich Tests der Zugriffsregeln der Datenbank, bevor sie in Produktion geht.
- Webhook- und E-Mail-Links sind signiert, und ausgehende Zustellungen lehnen private Netzwerkadressen ab.
Wo die Daten liegen und wer sie verarbeitet
Die Daten Ihres Arbeitsbereichs und Ihre Anmeldedaten werden in Kanada (Montreal) gespeichert. Eine kurze Liste von Anbietern hilft uns beim Betrieb: Supabase (Datenbank und Anmeldung), Vercel (Hosting), Stripe (Abrechnung), Resend (E-Mail) und Anthropic (der KI-Assistent in der App, der nur die eingegebenen Fragen sieht, nie Daten des Arbeitsbereichs). Wir informieren Inhaber mindestens 30 Tage, bevor wir einen hinzufügen.
Wenn etwas schiefgeht
Wir dämmen ein, untersuchen und informieren betroffene Inhaber unverzüglich, spätestens 72 Stunden nach Bestätigung eines Vorfalls, der ihre Daten betrifft, mit dem, was passiert ist und was zu tun ist. Um ein Sicherheitsproblem zu melden, schreiben Sie an support@seatreaper.com oder lesen Sie unsere Richtlinie zur Meldung von Schwachstellen.
Was Sie steuern
Wer sich anmeldet und wie
Schreiben Sie die zweistufige Überprüfung und die Microsoft-Anmeldung vor; geben Sie jeder Person die kleinste nötige Rolle und nur die Kunden, die sie betreut.
Was verbunden ist
Verbinden Sie nur die Tools, die Sie auswählen. Das Trennen löscht alles, was aus diesem Tool synchronisiert wurde.
Wer bei SeatReaper hinsehen darf
Niemand, es sei denn, ein Inhaber gewährt zeitlich begrenzten, nur lesenden Zugriff. Jederzeit widerrufbar.
Wohin Ihre Protokolle gehen
Erhalten Sie Sicherheitswarnungen per E-Mail, exportieren Sie das Prüfprotokoll oder streamen Sie es an Ihr SIEM.
Dokumente
Antworten für Sicherheitsfragebögen
Die Fragen, die MSPs und ihre Kunden am häufigsten stellen. Für alles andere schreiben Sie an support@seatreaper.com.
- Wo werden unsere Daten gehostet?
- In Kanada: Datenbank und Authentifizierung in Montreal (AWS ca-central-1), die Anwendung in Montreal.
- Kann SeatReaper etwas in unseren oder den Mandanten unserer Kunden ändern?
- Nur wenn Sie es erlauben. Synchronisierungen lesen nur. Ab Growth kann ein Inhaber das Entfernen einschalten: Dann können Inhaber und Techniker Anmeldungen sperren, Microsoft-365-Lizenzen entfernen und Pax8-Mengen senken, jeweils bestätigt und im Prüfprotokoll erfasst. Änderungen in Microsoft 365 brauchen zusätzlich eine eigene App, die der Administrator jedes Kunden genehmigt.
- Was kann es in Microsoft 365 lesen?
- Benutzer, ob die Anmeldung erlaubt ist, letzte Anmeldedaten, ob sich jede Person für MFA registriert hat, Lizenzen und Abonnements. Es kann keine E-Mails, Dateien, Chats oder Kalender lesen.
- Speichern Sie die Passwörter unserer Kunden?
- Nein. SeatReaper speichert nur die API-Schlüssel, die Sie dafür erstellen, verschlüsselt, und zeigt sie nie wieder an.
- Sind die Daten verschlüsselt?
- Ja: bei der Übertragung mit TLS und im Ruhezustand durch unsere Anbieter, und Zugangsdaten der Konnektoren zusätzlich mit AES-256-GCM mit einem Schlüssel außerhalb der Datenbank.
- Unterstützen Sie Single Sign-on?
- Ja, die Anmeldung mit Microsoft (Entra ID). Inhaber können sie für das ganze Team vorschreiben.
- Ist Multi-Faktor-Authentifizierung verfügbar und erzwingbar?
- Ja. Jeder Benutzer kann eine Authentifizierungs-App nutzen, und Inhaber können sie für alle vorschreiben. Unsere Mitarbeitenden müssen sie nutzen.
- Führen Sie Prüfprotokolle?
- Ja, nur erweiterbar, mit jeder Änderung und jeder Aktion von Mitarbeitenden. Inhaber können sie exportieren oder an ein SIEM streamen.
- Wer bei SeatReaper kann unsere Daten sehen?
- Nur Mitarbeitende mit aktiver zweistufiger Überprüfung, nur während ein Inhaber Zugriff gewährt hat, nur lesend, zeitlich begrenzt, und jeder Blick steht in Ihrem Prüfprotokoll.
- Wie schnell informieren Sie uns über eine Datenpanne?
- Unverzüglich, spätestens 72 Stunden nach Bestätigung eines Vorfalls, der Ihre Daten betrifft. Siehe Abschnitt 8 des Auftragsverarbeitungsvertrags.
- Was passiert mit unseren Daten, wenn wir gehen?
- Wenn Sie einen kostenpflichtigen Plan kündigen, wechseln Sie in den kostenlosen Plan und Ihre Daten bleiben erhalten. Wenn Sie den Arbeitsbereich schließen (Inhaber, unter Einstellungen), wird alles darin 30 Tage später gelöscht; Inhaber können vorher alles herunterladen. Wenn Sie ein Tool trennen, werden seine Daten sofort gelöscht.
- Gab es einen Penetrationstest?
- Nein. SeatReaper hatte keinen Penetrationstest durch Dritte. Unsere Zugriffsregeln in der Datenbank werden bei jeder Änderung automatisch getestet, und jeder kann Probleme über unsere Richtlinie zur Meldung von Schwachstellen melden.
- Unterzeichnen Sie ein Business Associate Agreement (BAA)?
- Nein. SeatReaper unterzeichnet keine BAAs und ist nicht dafür ausgelegt, geschützte Gesundheitsinformationen (PHI) zu erhalten. Es liest Konten, Lizenzen, Geräte, Backups und Schulungsanmeldungen, keine E-Mails, Dateien oder Patientenakten.
- Machen uns oder unsere Kunden die Compliance-Berichte konform?
- Nein. Sie sind Nachweise aus den Tools, die Sie verbinden, zugeordnet zur HIPAA Security Rule, den CIS Controls v8, NIST SP 800-171 und üblichen Fragen von Cyberversicherern. SeatReaper selbst wurde nach keinem Rahmenwerk geprüft oder zertifiziert.