Sicherheitsrichtlinie

Dies ist die Partner-Sicherheitsrichtlinie für Estimojo. Die App basiert auf Atlassian Forge: Sie läuft vollständig innerhalb Ihrer Atlassian-Cloud-Site, fordert keinerlei Egress-Berechtigungen an, und Bomdisoft betreibt keine Server, die Ihre Daten empfangen oder speichern. Diese Seite beschreibt, wie wir die App und den Prozess, der sie baut und ausliefert, absichern.

Architektur und Hosting

Sämtlicher Estimojo-Code läuft in der Forge-Laufzeitumgebung von Atlassian, innerhalb Ihrer Jira-Site. Daten liegen im Forge Key-Value Storage auf Atlassian-Infrastruktur, von Atlassian bei Übertragung und im Ruhezustand verschlüsselt. Bomdisoft betreibt keine Server, Datenbanken oder Drittanbieterdienste, die Kundendaten berühren; diese Website ist eine separate Marketing-Site und hält keine.

Plattformdetails

Estimojo speichert Daten auf jeder Plattform anders. Hier sind alle von Estimojo unterstützten Plattformen aufgeführt, unabhängig davon, welche Sie nutzen.

Datensicherheit und Mandantentrennung

Der Forge-Speicher ist pro Installation abgegrenzt, sodass jede Kunden-Site von der Plattform selbst isoliert wird. Bomdisoft hat keinerlei Möglichkeit, die Daten Ihrer Site zu lesen: keine Admin-Hintertür, keine Telemetrie, keine Kopien außerhalb von Atlassian. Was gespeichert und wie es gelöscht wird, steht in der Datenschutzrichtlinie.

Datenschutzrichtlinie →

Zugriffskontrolle

Das Bereitstellen und Verwalten der App über die Atlassian-Entwicklerkonsole und unsere CI-Pipeline ist auf benannte Bomdisoft-Ingenieure mit Multi-Faktor-Authentifizierung auf ihren Konten beschränkt. Releases erreichen die Produktion nur über diese Pipeline; niemand bei Bomdisoft hat dauerhaften Zugriff auf Kunden-Sites oder deren Daten.

Sichere Entwicklung

Jede Änderung steht unter Versionskontrolle und muss vor der Auslieferung automatisierte Typprüfungen, statische Analyse und die vollständige Testsuite in der CI bestehen. Abhängigkeiten sind per Lockfile fixiert. Releases durchlaufen vor der Produktion getrennte Entwicklungs- und Staging-Umgebungen.

Schwachstellenmanagement

Abhängigkeiten werden laufend geprüft: Snyk analysiert releasegebundene Änderungen, Dependabot schlägt monatlich Updates vor, und wir beobachten Sicherheitshinweise. Jede Host-Plattform patcht ihre eigene Laufzeit. Nach Bestätigung einer Schwachstelle streben wir an:

• Kritischer Schweregrad: Behebung oder Abmilderung innerhalb von 7 Tagen.
• Hoher Schweregrad: Behebung innerhalb von 30 Tagen.
• Mittlerer und niedriger Schweregrad: Behebung innerhalb von 90 Tagen oder im nächsten geplanten Release.

Sicherheitsvorfälle

Erfahren wir von einem Sicherheitsvorfall, triagieren und begrenzen wir ihn, untersuchen die Ursache und schließen mit einer Nachbetrachtung ab. Kunden, deren Daten betroffen sind, werden ohne unangemessene Verzögerung benachrichtigt, spätestens 72 Stunden nach Bestätigung des Vorfalls, samt dem, was geschehen ist und was wir dagegen tun. Vorfälle auf Plattformebene werden in Abstimmung mit Atlassian behandelt.

Eine Schwachstelle melden

Etwas gefunden? Schreiben Sie an support@bomdisoft.com mit "Security" im Betreff, und wir bestätigen den Eingang innerhalb von zwei Werktagen. Wir begrüßen Forschung in gutem Glauben und verfolgen keine Forscher, die verantwortungsvoll melden; bitte greifen Sie nicht auf fremde Daten zu und geben Sie uns vor einer Offenlegung angemessene Zeit zur Behebung.

Geteilte Verantwortung

Atlassian sichert die Forge-Plattform: Infrastruktur, Laufzeit-Sandbox, Speicherung und Verschlüsselung, im Rahmen eigener Sicherheitsprogramme. Bomdisoft sichert, was wir kontrollieren: den Code der App, ihre Berechtigungen und den Prozess, der sie baut und ausliefert. Das Zero-Egress-Design verbindet beides, sodass Ihre Daten Ihre Site nie verlassen.

Kontakt

Fragen zu dieser Richtlinie? Schreiben Sie an support@bomdisoft.com.