PathlyWebsite prüfen

Sicherheit & DSGVO

Sicherheit und DSGVO: was Pathly mit Ihren Daten macht

Bevor Sie einem Tool die Websites Ihrer Kunden anvertrauen, wollen Sie wissen, wohin die Daten gehen, wer sie verarbeitet und wie sie geschützt sind. Hier sind die Antworten, mit den Dokumenten, die uns verpflichten.

Stand: 30. Oktober 2026

Wo Ihre Daten liegen

  • Die Anwendung, die API, die Sonden, die Datenbank und die Screenshots werden bei Google Cloud gehostet, in der Region europe-west1 (Belgien, Europäische Union).
  • Die Sonden starten von einem einzigen Messpunkt, eu-west. Eine andere aktive Region gibt es heute nicht.
  • Die Sicherungen der Datenbank bleiben in derselben Region.
  • Der öffentliche Verkehr läuft über Cloudflare (DNS, CDN, Firewall). Cloudflare ist ein US-Unternehmen: Die Übermittlung stützt sich auf das EU-US Data Privacy Framework, ergänzt durch die Standardvertragsklauseln.

Wer Ihre Daten verarbeitet

  • Für die Daten Ihrer Organisation sind Sie der Verantwortliche. Elerine, Herausgeber von Pathly in Spanien, handelt als Auftragsverarbeiter, nach Ihren Weisungen.
  • Unterauftragsverarbeiter: Google Cloud (Irland, Region europe-west1) für Hosting und KI-Fehlererklärung, Cloudflare (USA) für das Netz und die Bot-Prüfung beim Login, Mollie (Niederlande) für Zahlungen, Brevo (Frankreich) für E-Mails, Google Workspace (Irland) für Postfächer und Support, Discord (USA) für interne Benachrichtigungen mit dem Namen des Arbeitsbereichs und seinem Tarif, Invopop (Spanien) für Rechnungen, sobald aktiviert.
  • Bei einem Anbieter außerhalb der Europäischen Union ist die Übermittlung durch einen Angemessenheitsbeschluss, etwa das Data Privacy Framework, oder durch die Standardvertragsklauseln der Europäischen Kommission abgesichert.
  • Wir fügen keinen Unterauftragsverarbeiter hinzu, ohne Sie zu informieren.

Auftragsverarbeitungsvertrag (AVV)

  • Der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist online in den vier Sprachen der Website veröffentlicht. Er ergänzt die Nutzungsbedingungen.
  • Betrifft eine Datenschutzverletzung Ihre Organisation, informieren wir Sie unverzüglich, spätestens 48 Stunden nach ihrer Entdeckung.
  • Eine Weisung, eine angemessene Audit-Anfrage oder eine Löschanfrage: privacy@pathlyhq.com.

Verschlüsselung

  • Bei der Übertragung: überall HTTPS, mit HSTS. Die Datenbank hat keine öffentliche Adresse und nimmt nur verschlüsselte Verbindungen an.
  • Im Ruhezustand: Standardverschlüsselung von Google Cloud für Datenbank, Screenshot-Speicher und Secrets.
  • Zusätzlich in der Anwendung: Secrets Ihrer Szenarien und Webhooks sind mit AES-256-GCM verschlüsselt, Passwörter mit bcrypt gehasht, Sitzungstoken gehasht.

Screenshots und Aufbewahrung

  • Screenshots und Fehlervideos liegen in einem privaten Speicher. Nur die API liest sie, für die Mitglieder Ihres Arbeitsbereichs. Der Link in einer Alarm-E-Mail ist signiert und 7 Tage gültig.
  • Läufe, ihre Screenshots und Videos werden durch eine tägliche Bereinigung gelöscht, sobald die Aufbewahrung Ihres Tarifs abgelaufen ist: 7 Tage bei Solo, 30 Tage bei Freelance, 90 Tage bei Pro und Business.
  • Für einen Flow empfehlen wir ein Testkonto statt eines echten Kundenkontos.

Sicherungen

  • Die Datenbank wird täglich gesichert, jede Sicherung 7 Tage aufbewahrt.
  • Sie kann außerdem auf einen genauen Zeitpunkt der letzten 7 Tage zurückgesetzt werden.
  • Die Produktionsdatenbank ist gegen Löschen geschützt.

Konten und Zugriffe

  • Zwei-Faktor-Authentifizierung (TOTP) mit Backup-Codes, für jedes Konto verfügbar.
  • Ihre offenen Sitzungen sehen und beenden Sie in der Konsole.
  • Der Login ist durch eine Versuchsgrenze und eine Bot-Prüfung (Cloudflare Turnstile) geschützt.
  • Auf Seiten von Pathly liegt die interne Konsole hinter Cloudflare Access, und jeder Zugriff eines Administrators auf den Arbeitsbereich eines Kunden wird protokolliert.

Künstliche Intelligenz

  • Die KI-Erklärung eines Fehlers ist optional. Sie startet nur auf Ihre Anfrage, nie automatisch.
  • Sie läuft über Google Cloud Vertex AI in der Region europe-west1. Die Analyseregion ist auf die Europäische Union festgelegt.
  • Nur textuelle Fakten werden gesendet, sensible Werte maskiert. Nie ein Screenshot, ein Video oder Seiteninhalt.
  • Google verpflichtet sich vertraglich, diese Inhalte nicht zum Training seiner Modelle zu verwenden.

Ihre Rechte

  • In der Konsole exportiert ein Administrator die Daten des Arbeitsbereichs als JSON, und jede Person ihre eigenen Daten. Das Löschen des Kontos oder des Arbeitsbereichs erfolgt an derselben Stelle.
  • Jede andere Anfrage: privacy@pathlyhq.com. Antwort innerhalb eines Monats.
  • Aufsichtsbehörde: die AEPD (Agencia Española de Protección de Datos), da Elerine in Spanien niedergelassen ist.

Vor jeder Produktivsetzung

  • Jede Änderung durchläuft einen Pull Request und eine Continuous Integration: Tests, Secret-Suche (gitleaks), statische Analyse (Semgrep), Abhängigkeitsprüfung und Infrastrukturprüfung (Trivy).
  • Eine neue Version erhält den gesamten Verkehr erst nach einer Stufe mit 10 % unter der Fehlerschwelle und einem grünen Smoke-Test. Sonst geht es zurück zur vorherigen Version.

Dienststatus

  • Die Statusseite von Pathly zeigt live den Zustand der API, der Datenbank und der Sonden.

Eine Sicherheitslücke melden

Pathly hat bisher keine Sicherheitszertifizierung. Diese Seite beschreibt die bestehenden Maßnahmen, die Sie mit unseren öffentlichen Dokumenten abgleichen können: Datenschutzerklärung, AVV und Impressum.