Sicherheitsstandards

Bei ProcureLabs ist Sicherheit ein grundlegender Bestandteil unserer Plattform. Diese Seite beschreibt die Maßnahmen zum Schutz Ihrer Beschaffungsdaten sowie deren Umfang und Grenzen.

Zertifizierungen und Compliance

Datenverschlüsselung

Infrastruktursicherheit

• Cloud-Infrastruktur: Gehostet auf AWS, das über SOC 2-, ISO 27001- und PCI DSS-Zertifizierungen verfügt. Dies sind Zertifizierungen von AWS, nicht von ProcureLabs.
• Datentrennung: Auf den Datenbanktabellen mit Kundendaten ist Row-Level Security aktiviert, sodass die Abfragen eines angemeldeten Benutzers nur die Zeilen der eigenen Organisation zurückgeben. Hintergrundprozesse und administrative Pfade, die mit erhöhtem Datenbankzugriff ausgeführt werden, durchlaufen Row-Level Security nicht; sie wenden den Mandantenfilter im Anwendungscode an.
• Verfügbarkeit: Eine AWS-Region (Singapur); kein regionsübergreifendes Failover
• Notfallwiederherstellung: Datenbanksicherungen mit Point-in-Time-Recovery, bereitgestellt von unserem Datenbankhost (Supabase)

Zugriffskontrolle

Sicherheitsüberwachung und Reaktion

• Schwachstellenmanagement: Jeder Merge Request wird auf festgeschriebene Geheimnisse (Gitleaks) und behebbare kritische Abhängigkeitsschwachstellen (Trivy) geprüft.
• Reaktion auf Sicherheitsvorfälle: Sicherheitsvorfälle werden vom Gründer von ProcureLabs mithilfe der Playbooks der Plattform zur Reaktion auf Sicherheitsvorfälle bearbeitet; betroffene Kunden werden per E-Mail benachrichtigt.
• Sicherheitsprobleme können über den unten angegebenen Sicherheitskontakt gemeldet werden.

Sicherheit der KI-Datenverarbeitung

Unsere KI-Funktionen werden unter Berücksichtigung von Sicherheit und Datenschutz entwickelt:

• Verarbeitung durch OpenAI OpenAI unterstützt Chat, Analysen und begrenzte Decisions-Bewertungen zur Werkzeugauswahl und zu Beschaffungsnachweisen. Vorbehaltlich der aktuellen Kundenerlaubnis und der vereinbarten regionalen Konfiguration erhält Decisions minimierten Kontext und Fragen mit geschwärzten sensiblen Daten für den erlaubten Zweck. OpenAI-API-Daten werden nur bei ausdrücklicher Zustimmung für das Modelltraining verwendet. Decisions kann verschlüsselten Prompt-Cache-Zustand bis zu 24 Stunden und reguläre Protokolle zur Missbrauchsüberwachung bis zu 30 Tage speichern, vorbehaltlich geltender Sicherheits-, Schutz- oder gesetzlicher Ausnahmen.
• Erlaubnis zur Decisions-Verarbeitung Die Decisions-Verarbeitung erfordert aktuelle Kundenanweisungen und eine Erlaubnis für den konkreten Zweck, das Konto, den Auftragsverarbeiter und die Übermittlung in die USA. Das Deaktivieren von KI oder der Widerruf der entsprechenden Berechtigung verhindert neue Decisions-Anfragen. Folgenreiche Aktionen unterliegen weiterhin den erforderlichen Schutzmaßnahmen und einer unabhängigen Prüfung.
• Die Aufbewahrung richtet sich nach der jeweiligen Datenkategorie, den Kundenanweisungen, gesetzlichen Aufbewahrungssperren und Anbieterbedingungen. Für Chatverläufe, abgeleitete Inhalte, Prüfprotokolle und Anbieterprotokolle gelten gesonderte Aufbewahrungsbedingungen. Löschanfragen werden nach der Vereinbarung zur Auftragsverarbeitung und geltendem Recht bearbeitet.
• Optionale KI-Funktionen können von Administratoren deaktiviert werden
• KI-Funktionen können von einem Administrator für die gesamte Organisation oder von jedem Benutzer für sich selbst deaktiviert werden
• Revisionsprotokoll der Entscheidungen zu von der KI vorgeschlagenen Aktionen

Datenresidenz

Alle Kundendaten werden in einer einzigen Region gespeichert. KI-Funktionen verarbeiten die benötigten Daten bei KI-Anbietern in den Vereinigten Staaten. Zusätzliche Speicherregionen sind derzeit nicht verfügbar.

Governance

• Wir führen eine schriftliche Informationssicherheitsrichtlinie mit einem Verzeichnis unserer Richtlinien und Verfahren, die mindestens jährlich überprüft wird.
• Wir führen einen schriftlichen Verhaltenskodex, der Ehrlichkeit, Vertraulichkeit und Interessenkonflikte abdeckt.
• ProcureLabs hat drei Gründer. David Hodge, CEO und Director, trägt die Verantwortung für Sicherheit und Datenschutz. Die Überprüfung durch Mitgründer sowie unabhängige Wiederherstellungsregelungen werden derzeit dokumentiert und verifiziert.
• Wir führen ein schriftliches Risikoregister, das mindestens jährlich und vor wesentlichen Änderungen überprüft wird.
• Wir führen ein schriftliches Verfahren zur Prüfung und Überprüfung unserer Unterauftragsverarbeiter. Die physische Sicherheit der Server, auf denen ProcureLabs betrieben wird, wird von AWS und Supabase bereitgestellt; wir betreiben keine eigenen Rechenzentren.
• Wir führen einen schriftlichen Plan zur Geschäftskontinuität, der mindestens jährlich überprüft wird.
• Wir verfügen über ein schriftliches Verfahren zum Testen der Wiederherstellung unserer Datenbank aus einer Sicherung. Eine ausschließlich auf die Datenbank beschränkte Wiederherstellungsübung wurde abgeschlossen und die temporäre Kopie entfernt. Die vollständige Wiederherstellung der Anwendung, der Authentifizierung und des Objektspeichers sowie der unabhängige Zugriff eines alternativen Betreibers müssen noch verifiziert werden.

Änderungsmanagement und Verarbeitungsintegrität

• Codeänderungen gelangen über Merge Requests in unseren Hauptbranch und müssen die erforderlichen Pipeline-Prüfungen bestehen, darunter die Geheimnisprüfung, Prüfungen von Datenbankmigrationen und eine Prüfung, ob die Sicherheits- und Datenschutzerklärungen auf dieser Website weiterhin mit dem Code übereinstimmen. Die Produktion wird ausschließlich aus diesem Branch veröffentlicht. Ein automatisierter Test schlägt fehl, wenn eine erforderliche Prüfung entfernt oder ihr Fehlschlagen zugelassen wird.
• Bekannte Schwachstellen im Code werden in Baselines und in unserem Register für Compliance-Nachweise erfasst. Eine Änderung, die eine neue Schwachstelle hinzufügt – etwa einen Fehler-Handler, der einen Fehler stillschweigend verwirft, oder eine veröffentlichte Aussage, deren unterstützender Code geändert wurde –, wird blockiert, bis sie behoben oder erfasst wurde.
• Die meisten Schreib-Endpunkte unserer API prüfen jeden Request-Body anhand eines deklarierten Schemas und weisen einen nicht übereinstimmenden Request mit einem 400-Fehler zurück.
• Jeder Lauf unserer Erkennungs-Engines erfasst für jeden Detektor, ob er abgeschlossen wurde und wie viele Ergebnisse er zurückgegeben hat, oder dass er fehlgeschlagen ist. Ein Fehler wird als Fehler erfasst, niemals als „keine Befunde“.