Ihre Commerce-Daten betreiben Ihr Geschäft. Verschlüsselt in Transit und at rest, MFA-erzwungen, täglich gesichert, auf AWS EU/UK — so behandeln wir sie.
Huup läuft vollständig auf von AWS verwalteten Diensten. Produktionsworkloads werden über mehrere Verfügbarkeitszonen in eu-west-2 (London) mit Disaster-Recovery-Kapazität in eu-central-1 (Frankfurt) bereitgestellt. Ohne ausdrückliche Zustimmung verlassen keine Kundendaten die EU/UK-Region.
Jede Verbindung — Browser, API, interne Service-zu-Service — nutzt TLS 1.3 mit modernen Cipher-Suiten. HSTS ist vorgeladen. Wir akzeptieren kein Klartext-HTTP.
Daten im Ruhezustand werden mit AES-256 unter Verwendung von AWS-KMS-verwalteten Schlüsseln verschlüsselt. Dies umfasst Datenbanken (RDS), Objektspeicher (S3), Backups, Snapshots und Logs. Schlüssel werden jährlich rotiert.
Jeder Enterprise-Mandant läuft auf einer dedizierten Datenbank mit einer dedizierten Verbindungszeichenfolge. Es gibt kein gemeinsames Schema zwischen Kunden — Abfragen können nicht zwischen Mandanten durchsickern, weil es keine gemeinsame Tabelle gibt, aus der etwas durchsickern könnte.
Die API-Authentifizierung ist pro Mandant und pro Schlüssel beschränkt. Mandantenübergreifende Anfragen geben 403 zurück, Punkt.
Wir nutzen einen kleinen Satz geprüfter Unterauftragsverarbeiter zum Betrieb von Huup. Jeder ist durch einen Datenverarbeitungsvertrag gebunden. Wir kündigen 30 Tage im Voraus an, bevor wir neue Unterauftragsverarbeiter hinzufügen, die Kundendaten verarbeiten.
Wir pflegen einen dokumentierten Vorfallreaktionsplan mit Bereitschaftsrotation, Schweregradklassifizierung und klaren Kommunikationskanälen. Bei Vorfällen, die Kundendaten betreffen, benachrichtigen wir betroffene Kunden innerhalb von 72 Stunden nach bestätigtem Schadensumfang (DSGVO Art. 33), mit einer anschließenden Post-Mortem-Analyse.
Status und laufende Vorfälle werden auf status.huup.com veröffentlicht.
Wenn Sie glauben, ein Sicherheitsproblem entdeckt zu haben, senden Sie bitte eine E-Mail an [email protected]. Wir verpflichten uns, innerhalb von 24 Geschäftsstunden zu bestätigen und in gutem Glauben mit Ihnen zusammenzuarbeiten. Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm, aber wir würdigen verantwortungsvolle Offenlegung in unserer Security Hall of Fame.
Bitte führen Sie keine Tests durch, die den Dienst beeinträchtigen, auf Daten anderer Kunden zugreifen oder geltendes Recht verletzen.
Diese Seite dient der Transparenz und ist kein Vertrag. Die rechtsverbindlichen Bedingungen für Sicherheitsverpflichtungen sind in Ihren Servicebedingungen, Datenschutzerklärung und (sofern zutreffend) im Datenverarbeitungsvertrag festgelegt. Wir aktualisieren diese Seite, während sich unsere Praktiken weiterentwickeln.