Technische und organisatorische Massnahmen (TOM)

Technische Massnahmen

Zugriffskontrollen

  • Zwei-Faktor-Authentifizierung (2FA): Der Zugriff auf die Produktivsysteme ist ausschliesslich mit Zwei-Faktor-Authentifizierung möglich.
  • Rollenbasierte Zugriffskontrolle (RBAC): Mitarbeitende haben nach dem Prinzip der minimalen Berechtigung nur Zugriff auf die Daten, die sie für ihre Aufgaben benötigen.
  • Eingeschränkter Zugriff auf Server und Datenbanken: Nur berechtigte Personen haben Zugriff auf Systeme, Datenbanken und Server; der Zugriff ist durch starke Passwörter und 2FA gesichert.
  • Automatisierte Protokollierung: Alle Zugriffe auf Personendaten und Systeme werden automatisch protokolliert und können bei Bedarf überprüft werden.

Verschlüsselung

  • Verschlüsselung bei der Übertragung: Sämtliche Datenübertragungen erfolgen ausschliesslich über verschlüsselte Verbindungen mit modernen Protokollen (z. B. TLS).
  • Verschlüsselung im Ruhezustand: Auf den Servern gespeicherte Personendaten werden mit aktuellen Verfahren wie AES-256 verschlüsselt.
  • Zahlungsdaten: Kartendaten werden ausschliesslich von unserem PCI-DSS-zertifizierten Zahlungsdienstleister erfasst und verarbeitet; tastee speichert sie nicht.

Netzwerk- und Systemsicherheit

  • Firewall und Intrusion-Detection-System (IDS): Die Netzwerke sind durch Firewalls geschützt und mit einem IDS ausgestattet, um unbefugte Zugriffsversuche frühzeitig zu erkennen.
  • Schutz vor DDoS-Angriffen: Schutzmassnahmen gegen verteilte Denial-of-Service-Angriffe gewährleisten die Verfügbarkeit der Dienste.
  • Patch-Management: Betriebssysteme, Softwarekomponenten und die App werden regelmässig aktualisiert, um bekannte Schwachstellen zu schliessen.

Monitoring und Protokollierung

  • Zugriffs- und Aktivitätsprotokolle: Alle Zugriffe und relevanten Aktionen (z. B. Anmeldeversuche, Datenänderungen) werden protokolliert und regelmässig überprüft.
  • Automatisierte Überwachung: Die Systeme erkennen verdächtige Aktivitäten automatisch und lösen bei Bedarf Warnmeldungen aus.
  • Aufbewahrung der Protokolle: Die Protokolle werden gemäss den gesetzlichen Anforderungen während 12 Monaten sicher aufbewahrt.

Datensicherung

  • Regelmässige Backups: Von der Produktivdatenbank werden regelmässig Sicherungen erstellt, getestet und sicher gespeichert.
  • Georeplikation: Die Sicherungen werden an mehreren geografisch getrennten Standorten gespeichert, um Datenverluste zu vermeiden.

Schwachstellenmanagement

  • Sicherheitsprüfung bei Änderungen: Neue Funktionen und Systemänderungen werden vor der Inbetriebnahme auf Schwachstellen geprüft.

Organisatorische Massnahmen

Interne Dokumentation, Sensibilisierung und Schulung

  • Interne Weisung: Eine unternehmensweit geltende Weisung zum Schutz von Personendaten legt die Regeln für den sicheren Umgang mit Personendaten fest.
  • Sensibilisierung und Schulung: Alle Mitarbeitenden werden regelmässig zu den Grundsätzen des Datenschutzes, zur Passwortsicherheit, zum sicheren Umgang mit Informationen und zum Erkennen von Phishing-Angriffen geschult.

Beschränkung der Zugriffe

Der Zugriff auf Personendaten wird auf der Grundlage klar definierter Rollen und Verantwortlichkeiten gewährt und systematisch dokumentiert.

Verzeichnis der Bearbeitungstätigkeiten

Alle Bearbeitungstätigkeiten werden in einem Verzeichnis dokumentiert, das deren Art, Zweck, die betroffenen Datenkategorien und die Zugriffsrechte festhält.

Unterauftragsverarbeitung

Die Unterauftragsverarbeiter von tastee, die Personendaten bearbeiten (z. B. für Hosting, den Versand von E-Mails oder SMS oder die Zahlungsabwicklung), werden sorgfältig ausgewählt. Sie sind durch einen Auftragsverarbeitungsvertrag verpflichtet, dieselben Datenschutzanforderungen einzuhalten wie tastee. Die Liste ist auf unserer Seite Subunternehmer veröffentlicht.

Umgang mit Verletzungen der Datensicherheit

Bei einer Verletzung der Datensicherheit gilt ein festgelegtes Verfahren: sofortige Eindämmung, Ursachenanalyse, unverzügliche Information der betroffenen Betriebe, Dokumentation der getroffenen Massnahmen und, wo gesetzlich vorgeschrieben, Meldung an die Behörden und Information der betroffenen Personen.

tastee ist ein Produkt der Megaphone Software AG, Rue des Sablons 6, 3960 Sierre. Fragen: hi@tastee.app