Gebaut, wie eine Bank es verlangen würde

Das Wichtigste auf dieser Seite: Sie erhalten die Ausweisdokumente Ihrer Nutzer nie, und wir ebenso wenig. Fotos von Pässen und Selfies bleiben bei dem Prüfunternehmen, das sie erfasst hat. Wir behalten das Ergebnis der Prüfung, eine Referenznummer und einen Fingerabdruck jedes Dokuments — genug, um die Prüfung zu belegen, zu wenig, um jemanden bloßzustellen, falls es je abfließt.

Das ist nicht nur eine Datenschutzhaltung. Es ist der Unterschied zwischen einem Vorfall, der Sie eine Entschuldigung kostet, und einem, der Sie eine Meldung an die Aufsicht kostet.

Die Kontrollen dahinter

• Schlüssel mit genau einer Aufgabe. Jedes Produkt erhält seinen eigenen API-Schlüssel, begrenzt auf das Nötige. Größere Kunden können verlangen, dass jede Anfrage signiert wird, sodass ein gestohlener Schlüssel allein nicht genügt.
• Auf Ihr Netzwerk beschränkt. Beschränken Sie ein Konto so, dass es nur Anfragen von den Adressen Ihrer eigenen Server annimmt.
• Ein Audit-Trail, der sich nicht heimlich ändern lässt. Jeder Eintrag ist mit dem vorherigen verkettet, sodass jeder, dem Sie einen Export übergeben, auf Manipulation prüfen kann — auch eine Aufsichtsbehörde.
• Ein Sperrschalter. Compliance-Mitarbeitende können ein Konto sofort sperren, mit den Nachweisen am Datensatz.
• Missbrauchskontrollen. Registrierungslimits, Clustering geteilter Geräte und Zugriff, der sich erst nach einer sauberen Verifizierung erweitert.
• Löschung nach Zeitplan. Legen Sie fest, wie lange personenbezogene Daten aufbewahrt werden; sie werden fristgerecht entfernt, ohne die Integrität des Audit-Trails zu brechen.

Wo die Daten liegen: eine einzige dokumentierte Region für alle Kunden. Kundenspezifische Datenresidenz bieten wir heute nicht an — und wir sagen das lieber hier als später in einem Sicherheitsfragebogen.

Sicherheitsprüfer: fordern Sie unser Institutional-Controls-Briefing unter NDA an — es wird nicht mit den öffentlichen Entwicklerdokumenten veröffentlicht.