Alles, was Einkauf, Datenschutz und Security-Teams für die Anbieterprüfung brauchen: Architekturprinzipien, Subprozessoren und Vertragsdokumente. Fragen beantwortet privacy@tidiam.com.
Lesende API-Rechte in der Cloud, ein Lese-Bind per LDAPS im Haus. Es gibt keinen Schreibpfad in Ihre Verzeichnisse.
Der Collector liest lokal und spricht ausschließlich nach außen per HTTPS. Keine eingehende Verbindung, Zugangsdaten bleiben in Ihrem Netz.
Hetzner, getrennte Anwendungs- und Datenbankebene, ein Schema je Kunde, Backups verschlüsselt in der EU.
tidiam besitzt keinerlei Schreibberechtigungen auf Kundensysteme und kann sie konstruktionsbedingt nicht verändern: Entra ID über eine App-Registration mit ausschließlich lesenden Graph-Application-Permissions, Active Directory über einen dedizierten Lese-Bind per LDAPS, Okta über eine API-Service-App mit reinen okta.*.read-Scopes, Keycloak über einen Service-Account mit view-*-Rollen, wahlweise direkt über die Admin-REST-API oder über den Agent aus dem Kundennetz (die Zugangsdaten bleiben dann beim Agent), AWS IAM über eine rein lesende Rolle, die tidiam nur mit einer von tidiam vergebenen External ID übernehmen darf (kein Schlüssel bei tidiam), Google Workspace (in Kürze) über ein Dienstkonto mit domänenweiter Delegation und ausschließlich readonly-Scopes. Remediation läuft als Empfehlung plus optionalem Ticket-Export; die Umsetzung bleibt beim Kunden.
Worauf tidiam niemals zugreift: Passwörter oder Passwort-Hashes, E-Mail- oder Kalenderinhalte, Dateien und Dokumente, Authentifizierungstokens oder Sitzungsdaten, persönliche Nutzerinhalte jeglicher Art. Verarbeitet werden ausschließlich IAM-Konfigurations-Metadaten.
Die folgende Liste entspricht Anlage 2 unseres Auftragsverarbeitungsvertrags. Über beabsichtigte Änderungen informieren wir Kunden gemäß AVV (Widerspruchsrecht).
Mit Verarbeitung personenbezogener Kundendaten:
| Unterauftragsverarbeiter | Sitz / Verarbeitungsort | Zweck | Datenkategorien | Garantie |
|---|---|---|---|---|
| Hetzner Online GmbH | Deutschland; verschlüsseltes Backup in der EU | Hosting der Plattform (Server, Datenbank, Backups) | Alle in tidiam verarbeiteten Identitäts- und Konfigurationsdaten | AVV mit Hetzner, ISO 27001 |
| Microsoft Ireland Operations Ltd. | EU (M365-Tenant von tidiam) | Versand transaktionaler E-Mails (Einladungen, Verifikation, Digest, Auditor-Begleitmails) über Microsoft Graph | E-Mail-Adressen der Empfänger, Mail-Inhalte (Zusammenfassungen ohne Detail-Evidenz) | Microsoft DPA / EU-Standardvertragsklauseln |
| Functional Software, Inc. (Sentry) | EU-Data-Residency aktiviert | Fehler-Monitoring von Backend und Frontend | Technische Fehlerdaten; können im Einzelfall Identifikatoren (z. B. Tenant-ID, User-ID) enthalten; personenbezogene Daten werden soweit möglich reduziert | DPA mit Sentry, EU-Region |
| Stripe Payments Europe, Ltd. | EU/Irland | Abrechnung und Zahlungsabwicklung | Rechnungs- und Zahlungsdaten der Kundenorganisation (keine Identitätsdaten aus Kundensystemen) | Stripe DPA / SCCs |
| Cloudflare, Inc. | USA, weltweites Netz | Auslieferung des Frontends (Cloudflare Pages), DNS, Reverse-Proxy mit TLS-Terminierung an der Edge | Verbindungsmetadaten (IP-Adressen) und Verkehr in transit; keine Speicherung von Kundendaten | Cloudflare DPA / SCCs; EU-US Data Privacy Framework |
Ohne Verarbeitung personenbezogener Kundendaten (der Vollständigkeit halber offengelegt):
| Dienstleister | Zweck | Anmerkung |
|---|---|---|
| GitHub, Inc. | Quellcode-Verwaltung, CI/CD | Kein Zugriff auf Produktions- oder Kundendaten; Deployment per SSH-Action |
| Anthropic PBC | Aufbereitung des globalen Threat-Intelligence-Feeds (öffentliche Sicherheitsmeldungen) | Verarbeitet ausschließlich öffentliche Sicherheitsmeldungen; es werden keine Kunden- oder Identitätsdaten übermittelt |
| Let's Encrypt / ISRG | TLS-Zertifikate | Nur Domain-Validierung |
Die genutzte Infrastruktur (Hetzner) ist ISO-27001-zertifiziert. Für tidiam selbst läuft die Vorbereitung auf eine eigene ISO-27001-Zertifizierung; wir behaupten keine Zertifikate, die nicht vorliegen, und aktualisieren diesen Status hier, sobald er sich ändert.
Meldungen an security@tidiam.com; maschinenlesbar unter /.well-known/security.txt. Wir antworten in der Regel innerhalb von 24 Stunden an Werktagen.