Sicherheit

Authentifizierung und Berechtigungen

Wenn ein Nutzer Gmelius installiert, erstellen wir ein Gmelius-Konto für den Nutzer und verknüpfen es mit dem Google-Konto des Nutzers. Wir bitten den Nutzer um Erlaubnis, eine Verbindung zu seinem Google-Konto herzustellen und diese Verbindung über Google Apps OAuth zu authentifizieren. Das bedeutet, dass das Gmelius-Konto jedes Nutzers die gleiche branchenführende Anmeldesicherheit hat wie sein Google-Konto. Nutzer können auf Wunsch eine 2-Faktor-Authentifizierung über Google hinzufügen.

Gmelius fordert Zugriff auf die folgenden Google-Informationen an, damit unsere Funktionen funktionieren können:

E-Mails lesen, senden, löschen und verwalten

Gmelius bittet um diese Berechtigungen, damit wir dir Funktionen wie Öffnungs-, Klick- und Antwortverfolgung, geteilter Posteingang, geteilte Labels und Kampagnen zur Verfügung stellen können.

Verwalte deine grundlegenden E-Mail-Einstellungen

Gmelius benötigt Zugriff auf Ihre E-Mail-Einstellungen, damit wir Ihre bestehenden Einstellungen replizieren können, einschließlich E-Mail-Aliase und E-Mail-Signaturen.

Verwalte deine Kalender

Gmelius ermöglicht es Ihnen, Ihre Gmelius-Kanban-Boards mit bestimmten Kalendern zu synchronisieren, sodass Sie eine Karte oder Aufgabe mit einem Kalenderereignis verknüpfen können.

Erfassung von Daten

Bei der Installation bitten wir den Nutzer um seine Zustimmung, eine Verbindung zu seinem Google-Konto herzustellen und diese Verbindung über Google Apps OAuth zu authentifizieren. Dies ist ein zweistufiger Prozess. Im ersten Schritt informiert Gmelius den Nutzer darüber, dass die Nutzung der Gmelius-Produkte den Nutzungsbedingungen und der Datenschutzrichtlinie von Gmelius unterliegt, die jeweils beschreiben, wie wir die Daten eines Benutzers verarbeiten. Der Benutzer muss dann auf „Gmelius aktivieren“ klicken, um mit dem zweiten Schritt fortzufahren. Im zweiten Schritt informiert Google Apps über die Arten von Informationen, auf die Gmelius zugreifen kann, und über den Umfang der Autorisierung, die der Nutzer Google und Gmelius erteilt, um die Verbindung herzustellen. Der Nutzer muss auf „Zulassen“ klicken, um mit der Nutzung des Gmelius-Produkts fortzufahren.

Die übergeordnete Politik unseres Unternehmens besteht darin, so wenig Benutzerinformationen wie möglich zu sammeln. Wir speichern niemals den Inhalt Ihrer E-Mails. Gmelius kann Folgendes abrufen und speichern:

• Name
• E-Mail-Adresse
• Profilbild für Gravatar
• Zeitzone und Sprache
• Gmail-Signaturen und -Aliase
• Liste der Etiketten und Kalender
• Konfiguration und Daten von Gmelius (z. B. Abonnementdetails, Vorlagen, Notizen, Kampagnen)
• Thread-IDs, Entwurfs-IDs, Nachrichten-IDs, wenn sie mit einer Gmelius-Funktion verknüpft sind (z. B. gemeinsames Label, Sequenz)

Wir speichern auch den Betreff und die Empfänger Ihrer getrackten E-Mails, um Sie über Öffnungen zu informieren und zugehörige Aktivitäten anzuzeigen.

Datenschutz

Wir schützen Ihre Daten während des gesamten Datenflusses des Gmelius-Produkts, von der Kontoerstellung und Integration über den OAuth-Dienst von Google über die Verschlüsselung von Daten bei der Übertragung zu den Gmelius-Servern (mit browserbasiertem TLS) und der Verschlüsselung dieser Daten im Ruhezustand bis hin zu einer Vielzahl administrativer, physischer und technischer Sicherheitsvorkehrungen, um eine sichere Umgebung für die Daten unserer Kunden zu schaffen.

Wir sind ein offizieller Google Cloud-Partner und verwenden die Google Cloud Platform („GCP“), um Nutzerdaten dauerhaft zu speichern, was bedeutet, dass wir keine Daten in unseren Räumlichkeiten speichern. Alle Gmelius-Anwendungen beinhalten Failover- und Backup-Instanzen, und unsere Infrastruktur respektiert und unterhält branchenübliche Sicherheitszertifizierungen, darunter ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3, FedRAMP ATO und PCI DSS v3.2. Daten in der Google Cloud Platform werden zur Speicherung in Unterdateiblöcke aufgeteilt, und jeder Block wird auf Speicherebene mit einem individuellen Verschlüsselungsschlüssel verschlüsselt. Der Schlüssel, der zum Verschlüsseln der Daten in einem Block verwendet wird, wird als Datenverschlüsselungsschlüssel (DEK) bezeichnet. Aufgrund der großen Anzahl an Schlüsseln bei Google und der Notwendigkeit einer niedrigen Latenz und hohen Verfügbarkeit werden diese Schlüssel in der Nähe der Daten gespeichert, die sie verschlüsseln. Die DEKs werden mit einem Schlüsselverschlüsselungsschlüssel (KEK) verschlüsselt (oder von diesem „umschlossen“). Weitere Informationen finden Sie unter Google Cloud.

Alle Benutzerdaten sind mit einem projektspezifischen Token gekennzeichnet, und ein Kunde muss Zugriff auf den entsprechenden API-Schlüssel und das entsprechende API-Geheimnis haben, um diese Daten über die API abrufen zu können. Dies ermöglicht eine logische Trennung zwischen Daten, die mehreren Kunden gehören. Gmelius ist der einzige Mieter unserer Infrastruktur. Die Daten eines Benutzers können sich auf Datenbanksystemen befinden, die Daten anderer Benutzer enthalten, aber unsere logischen Kontrollen (Token, Schlüssel und Geheimnis) trennen einen Client von den Daten eines anderen Kunden.

Unsere Chrome-Erweiterung wird vom Chrome-Team von Google gemäß den Bestimmungen von Google Chrome einem Überprüfungsprozess unterzogen Richtlinien für das Entwicklerprogramm. Unsere Architektur und Praktiken werden jedes Jahr von einem unabhängigen Unternehmen geprüft. Dazu gehören Penetrationstests von außen und Apps. 2019 und 2020 wurden die Audits von Bishop Fox durchgeführt (Bericht 2020 ansehen | Bericht 2019 ansehen).

Vertraulichkeit und Aufbewahrung von Daten

Wir vermieten, verkaufen oder handeln Ihre personenbezogenen Daten nicht an Dritte. Wir können einige Ihrer personenbezogenen Daten an bestimmte vertrauenswürdige Dritte oder Unterauftragsverarbeiter weitergeben, wie in unseren Datenschutzrichtlinie.

Der Zugriff der Mitarbeiter von Gmelius auf Benutzerdaten ist auf den Bedarf beschränkt, z. B. zur Lösung von Kundenproblemen. Wenn ein solcher Zugriff erforderlich ist, wird nur Personal mit direktem Bedarf auf die Gmelius-bezogenen Daten zugreifen, und dieser Zugriff wird so weit wie möglich eingeschränkt. Ein Verstoß gegen diese Richtlinie durch einen Gmelius-Mitarbeiter ist eine schwerwiegende Angelegenheit, die Ermittlungen und angemessene Disziplinarmaßnahmen bis hin zur Kündigung sowie rechtlicher Schritte erfordert.

Ein Gmelius-Nutzer kann jederzeit sein Gmelius-Konto löschen und alle mit diesem Konto verknüpften Daten aus dem Gmelius-Kontoseite.

DSGVO

Wir sind bereit, die Rechte und Pflichten gemäß der Allgemeinen Datenschutzverordnung (DSGVO) zu unterstützen. Sie können unsere einsehen Ergänzung zur Datenverarbeitung hier.

CCPA

Der California Consumer Privacy Act (CCPA) legt Verbraucherschutzrechte für Einwohner Kaliforniens fest und verbessert sie und legt Regeln für Unternehmen fest, die mit ihren personenbezogenen Daten umgehen. Vorbehaltlich bestimmter Einschränkungen räumt das CCPA Einwohnern Kaliforniens das Recht ein, mehr über die Kategorien und spezifischen Teile personenbezogener Daten, die wir erheben (einschließlich der Art und Weise, wie wir diese Informationen verwenden und weitergeben), ihre personenbezogenen Daten zu löschen, etwaige Werbeaktivitäten abzulehnen und für die Ausübung dieser Rechte nicht diskriminiert zu werden.

Gmelius verkauft die von uns gesammelten personenbezogenen Daten nicht (wie der Begriff im CCPA definiert ist).

Reaktion und Behebung von Vorfällen

Wir überwachen unsere Systeme rund um die Uhr mit einer Vielzahl von Tools zur Leistungsmessung und Fehlerprüfung. Wenn Probleme festgestellt werden, wird unser Betriebsteam sofort benachrichtigt und die Probleme werden untersucht. Wir arbeiten eng mit unseren Hosting-Anbietern zusammen, um sicherzustellen, dass die zugrundeliegenden Systeme sicher bleiben und dass alle Sicherheitslücken umgehend untersucht, gepatcht und behoben werden.

Unser Systembetrieb wird protokolliert und die Protokolle werden für mindestens 7 Tage in der Cloud gespeichert. Bei Bedarf können diese Protokolle ausgewertet werden, um Vorfälle zu untersuchen oder eine Kette von Ereignissen zu rekonstruieren.

Wenn ein schwerwiegender Vorfall eintritt oder ein langes Intervall von Ausfallzeiten zu erwarten ist, benachrichtigen wir unsere Nutzer über unseren Blog, Twitter und/oder E-Mail. Sollte es zu einer Sicherheitsverletzung kommen, werden wir die betroffenen Nutzer umgehend über Art und Umfang der Verletzung informieren und Maßnahmen ergreifen, um den Schaden so gering wie möglich zu halten.