Im Ruhezustand, in der EU
Datenbanken, Backups, Protokolle und Nachweisdokumente werden in Frankreich gehostet und verarbeitet, bei Scaleway. Ihre Vorfalldaten verlassen im normalen Rahmen die EU nicht.
Trust Center · der Nachweis, Baustein für Baustein
Trust Center von Galyct Pro
Ein Trust Center sollte keine Seite voller Adjektive sein. Hier ist eines, das jedem Sicherheitsversprechen den echten Mechanismus gegenüberstellt, der es trägt, und klar sagt, was bereits aktiv ist, was eine vertragliche Zusage ist und was wir auf Anfrage bereitstellen. Sie können es lesen, Ihrem DSB zeigen und Ihrem CISO vorlegen.
Jede Rubrik unten verweist auf ein überprüfbares, datiertes Element, das in einer Nachweisakte verwertbar ist.
Gehostet in Frankreich bei Scaleway · Verschlüsselung im Ruhezustand · zeitgestempeltes Protokoll · Trennung mehrerer Einheiten.
GRUNDSATZ
Wir zeigen
den Mechanismus.
Die meisten „Trust Center“ reihen Logos und Worte aneinander. Unseres stellt jeder Zusage eine Spalte „technischer Nachweis“ gegenüber und eine Spalte „Status“, die ehrlich unterscheidet, was heute läuft, was eine Zusage ist und was wir auf Anfrage bereitstellen. Nichts wird als erreicht dargestellt, solange es nicht stimmt: Diese Regel legen wir uns selbst auf.
01 · TECHNISCHE SICHERHEIT, NACHGEWIESEN
Die Nachweismatrix
Jede Zeile: eine Zusage, was sie konkret schützt, der echte technische Mechanismus, der sie trägt, und ihr Status. Die Bausteine Aktiv sind heute im Dienst aktiv.
| Baustein | Was es bringt | Technischer Nachweis | Status |
|---|---|---|---|
| Integrität der Nachweise | Ein hochgeladenes Dokument kann nicht unbemerkt verändert werden. | SHA-256-Hashwert, beim Hochladen berechnet und mit dem Dokument gespeichert. | Aktiv |
| Verschlüsselung im Ruhezustand | Ihre sensiblen Daten bleiben unlesbar, selbst bei Zugriff auf den Speicher. | AES-256-GCM (zufälliger IV + Authentifizierungs-Tag); Schreiben wird verweigert, wenn der Schlüssel fehlt, statt im Klartext zu speichern (fail-closed); werkzeuggestützte Schlüsselrotation. | Aktiv |
| Zeitgestempeltes Protokoll | Wer was gesehen, wer was entschieden hat und wann, ohne Möglichkeit zur Umschreibung. | Serverseitiges Append-only-Protokoll (nur Einfügen; Akteur und Zeitstempel vom Server festgelegt, nicht vom Browser). | Aktiv |
| Zwei-Faktor-Authentifizierung | Ein gestohlenes Passwort reicht nicht für den Zugang. | Zweiter Faktor verpflichtend (Einrichtungspflicht bei der Anmeldung) in Pro, Perso und der MSP-Konsole: TOTP (RFC 6238, Geheimnis im Ruhezustand verschlüsselt, Ersatzcodes) oder Einmalcode per E-Mail im Bereich für Privatpersonen. | Aktiv |
| Schutz vor Brute Force | Kein Dauerbeschuss von Anmeldung oder zweitem Faktor. | Gleitende Obergrenze pro IP und pro E-Mail, auch beim MFA-Schritt angewandt. | Aktiv |
| Rücksichtsvolle Prüfung | Wir prüfen die Exposition eines Passworts, ohne es je zu senden. | k-Anonymität: Nur die ersten 5 Zeichen des SHA-1-Hashwerts verlassen den Browser; der Abgleich erfolgt lokal. | Aktiv |
| Trennung mehrerer Einheiten | Eine Einheit sieht nie die Daten einer anderen. | Bereich serverseitig abgeleitet (nie aus der Anfrage) und auf jeder getrennten Tabelle erzwungen. | Aktiv |
| Nachweise außerhalb des Web-Stammverzeichnisses | Ihre Dateien können nicht versehentlich ausgeliefert werden. | Speicherung außerhalb des Web-Verzeichnisses, nichtssagende Dateinamen, Rechte 0700; vollständige DSGVO-Löschung eines Bereichs. | Aktiv |
| Ausgelagerte Zahlung | Kartennummern und Prüfziffern werden direkt bei Stancer eingegeben und verarbeitet; sie laufen nicht über die Server von DRC. | Zahlungsseite gehostet von Stancer (Frankreich); der Server liest die Zahlung vor jeder Freischaltung erneut aus. | Aktiv |
| Reversibilität | Nichts geht versehentlich verloren; Sie gehen mit Ihren Daten. | Verschlüsselter Papierkorb, 30 Tage (Wiederherstellung in Selbstbedienung) + Exporte Ihrer Register und Nachweise. | Aktiv |
| Nachvollziehbare KI-Governance | Sie wissen, was an das Modell geht, und stimmen dem zu. | Wahl der Engine serverseitig gesteuert (standardmäßig Mistral/EU) + Protokoll der Einwilligung „in Kenntnis der Sachlage“. | Aktiv |
| Gehärteter Transport | Der Austausch ist bei der Übertragung verschlüsselt (TLS). | HTTPS + HSTS, CSP, X-Content-Type-Options, X-Frame-Options; Regel, die interne Dateien blockiert. | Aktiv |
Diese Mechanismen sind die des echten Produkts, nicht einer Broschüre. Zu den Details der Architektur: die technische Grundlage →
02 · SERVICEZUSAGEN
Was wir zusagen, und was noch zu veröffentlichen ist
Die Verfügbarkeit ist eine vertragliche Zusage (SLA-Anhang der Nutzungsbedingungen). Wir unterscheiden diese Ziele von den Messwerten, die wir noch nicht öffentlich zeigen, statt schmeichelhafte Zahlen anzuzeigen, die nicht gehalten werden.
99,0 %
Verfügbarkeit, Angebot Essentiel Zugesagt
99,5 %
Verfügbarkeit, Angebot Résilience Zugesagt
99,9 %
Verfügbarkeit, Angebot Performance Zugesagt
RPO ≤ 12 Std.
Maximaler Datenverlust, verschlüsseltes Backup alle 12 Stunden Umgesetzt
RTO ≤ 24 Std.
Angestrebte Wiederanlaufzeit, Wiederaufbau aus dem getesteten Backup Ziel
Backup
Verschlüsseltes externes Backup (Frankreich), Wiederherstellung getestet Umgesetzt
Status
Statusseite der Dienste: Verfügbarkeit live Online
Die Verfügbarkeitsziele stehen in Anhang 1 (SLA) der Nutzungsbedingungen Pro; der Haftungsrahmen ergibt sich aus den AGB Pro.
03 · HOSTING & DATENFLÜSSE
Wo Ihre Daten liegen, und was hinausgeht (oder nicht)
Der normale Rahmen des Dienstes bleibt in Frankreich (EU). Einige externe Prüfungen sind optional und kontrolliert: Für jede wissen Sie genau, was übertragen wird.
Externe Prüfungen, namentlich genannt
Verschlüsselte DNS-Auflösung (Mullvad SE, Freifunk München DE, LibreDNS GR, Ausweichlösung FDN in Frankreich: Nur die Domain wird übertragen), URL-Reputation, Leak-Suche: Jeder ausgehende Fluss ist dokumentiert und wird kontrolliert ausgelöst.
KI standardmäßig in der Europäischen Union betrieben
Die KI-Engine ist standardmäßig Mistral (Frankreich/EU). Ein ausdrücklicher Wechsel zu einer Engine außerhalb der EU bleibt eine serverseitig gesteuerte, dokumentierte und eingewilligte Wahl, nie stillschweigend.
Namentlich genannte Auftragsverarbeiter
Scaleway/Online (Hosting, FR), Mistral (KI, FR/EU), Stancer (Zahlung, FR). Die datierte Liste wird aktuell gehalten und im vertraglichen Rahmen mitgeteilt. Zum Register →
04 · COMPLIANCE-FAHRPLAN
Was real ist, und was ein Fahrplan ist
Wir weigern uns, den Eindruck eines Labels zu erwecken, das wir nicht haben. Hier der genaue Stand.
Cybermalveillance.gouv.fr Real
Galyct ist ein bei Cybermalveillance.gouv.fr gelisteter Dienstleister. Das ist ein Zeichen von Engagement, keine staatliche Zertifizierung, und wir stellen es nie als solche dar.
SecNumCloud als Kompass Nicht zertifiziert
Der Standard SecNumCloud (französischer Cloud-Sicherheitsstandard der ANSSI) dient uns als Kompass für die Architektur. Derzeit ist keine Zertifizierung (ISO 27001, SecNumCloud) eingeleitet; das sagen wir, statt einen anderen Eindruck zu erwecken. Sobald ein Verfahren eingeleitet ist, steht es hier, mit Datum.
DSGVO · NIS 2 · DORA Unterstützt
Die Plattform unterstützt diese Rahmenwerke (Verzeichnis, 72-Stunden-Meldung, Drittparteienrisiko, AVV nach Art. 28), sie vergibt kein Label und ersetzt weder Ihren DSB noch Ihren Auditor. Die Standards →
05 · DOKUMENTE & NACHWEISE
Die Unterlagen für Ihren DSB, Ihren Versicherer, Ihren Auditor
Was sofort verfügbar ist, und was wir im Rahmen eines geregelten Austauschs auf Anfrage bereitstellen.
AVV, Auftragsverarbeitungsvertrag (Art. 28)Anhang 2 der Nutzungsbedingungen Pro.
Verfügbar
SLA, VerfügbarkeitszieleAnhang 1 der Nutzungsbedingungen Pro.
Verfügbar
Register der AuftragsverarbeiterDatiert, aktuell gehalten, im Vertrag mitgeteilt.
Verfügbar
Export der Nachweise (SHA-256) & CODEX-AkteIhre Dokumente, zeitgestempelt und überprüfbar.
Verfügbar
Interne adversariale SicherheitsprüfungCode-Reviews & Härtung, fortlaufend.
Fortlaufend
Zusammenfassung eines Penetrationstests (extern)Umfang & Ergebnisse eines externen Pentests.
Demnächst
Nachweis der HaftpflichtversicherungBerufshaftpflicht / Cyber.
Auf Anfrage
Sie brauchen ein Dokument „auf Anfrage“ für Ihre Lieferantenakte? Kontaktieren Sie uns →
06 · WAS WIR NICHT VERSPRECHEN
Ein Trust Center nennt auch seine Grenzen
Kein seriöses Werkzeug verspricht Unverwundbarkeit. Wir nennen unsere Grenzen lieber selbst, als dass Sie sie am Tag eines Vorfalls entdecken.
Kein Nullrisiko
Weder „100 %“ noch „garantiert“ noch „unverwundbar“. Ziel ist es, die Exposition zu verringern und den Nachweis zu führen: Kein Ergebnis ist garantiert.
Ehrliche Status
Ein Baustein mit dem Vermerk „zu veröffentlichen“ oder „auf Anfrage“ ist noch kein öffentlich erreichter Stand: Wir zählen ihn nicht als erledigt. Diese Seite entwickelt sich weiter, sobald diese Felder auf Grün springen.
Vertrauen, das Sie Zeile für Zeile überprüfen können.
Erkunden Sie das Cockpit frei mit Beispieldaten oder fordern Sie eine 30-minütige Demo an, um diese Matrix mit Ihren Anforderungen an Hosting, Compliance und Auftragsverarbeitung durchzugehen.