Sicherheit und Daten

Diese Seite sagt, was xEvolve für Sie aufbewahrt und wo. Sie ist keine Zertifizierung. xEvolve beansprucht weder SOC 2 noch ähnliche Testate.

Was gespeichert wird

Dateien, die Sie in Ihre Umgebung hochladen oder übertragen, in Cloudflare R2.
Zugangsdaten von Verbindungen, mit AES-GCM verschlüsselt, und private PGP-Schlüssel, im Ruhezustand verschlüsselt.
Benutzer, Rollen, Verbindungen, Zeitpläne, Workflows und das Aktivitätsprotokoll, in Ihrem eigenen Schema der gemeinsamen EU-Postgres-Datenbank.
API-Schlüssel nur als SHA-256-Hash.

Dateien, die Sie zwischen zwei eigenen Verbindungen übertragen, gehen an das von Ihnen gewählte Ziel.

Wo es liegt

Die Datenbank ist Supabase in Paris. Dateien liegen in Cloudflare R2 in Westeuropa. Die direkte Anmeldung ist in jedem Tarif auf die EU beschränkt, es gibt also keine Region zur Auswahl. Über den Azure Marketplace gekaufte Workspaces liegen in der Azure-Region, die der Käufer wählt: Nordeuropa, Westeuropa oder eine US-Region. Die vollständige Liste der Unterauftragsverarbeiter steht auf spot-suite.com.

Schutz

Dateien im Ruhezustand nutzen AES-256. Browser- und API-Verkehr nutzt TLS 1.2 oder neuer. FTPS nutzt TLS und SFTP nutzt SSH.
Jede Umgebung hat ein eigenes Datenbankschema. Dateien und Audit-Einträge sind auf Ihren Mandanten begrenzt.
Jeder Upload wird auf gefährliche Dateitypen geprüft, und sein Hash wird bei VirusTotal nachgeschlagen. Blockierte Uploads werden protokolliert.
Webhook- und SMTP-Adressen müssen öffentliche HTTPS- oder SMTP-Hosts sein, keine privaten Netze.

Audit-Protokoll

Anmeldungen, Uploads, Downloads, Freigaben, Änderungen an Datenräumen und API-Schlüsseln sowie Aufbewahrungsläufe werden mit Benutzer, Client-IP und UTC-Zeitstempel erfasst. Admins lesen das Protokoll unter „Admin“. Audit-Einträge werden nie automatisch gelöscht.

Aufbewahrung

Gelöschte Dateien werden zuerst weich gelöscht und nach 30 Tagen endgültig entfernt, sofern kein Legal Hold gilt. Die Tarife Team und höher können eine Aufbewahrungsdauer festlegen; Admins prüfen und starten die Bereinigung in einer Konsolensitzung. Legal Hold erfordert Business oder MSP.