Notifyer by Whatsable verpflichtet sich zu Datenschutz und an der DSGVO ausgerichteten Praktiken. Unsere Infrastruktur basiert auf Anbietern mit SOC 2 Type 2 und ISO-27001-Zertifizierung.
Notifyer by Whatsable (betrieben von Automazing, LLC) verarbeitet Geschäftskommunikation und Kundendaten im Auftrag unserer Kunden. Wir nehmen diese Verantwortung ernst und pflegen Sicherheits-, Datenschutz- und Compliance-Praktiken, die Geschäftskunden, Einkaufsteams und Prüfern gerecht werden.
Diese Seite beschreibt unsere betriebliche Sicherheitslage, Infrastruktur-Zertifizierungen, Unterauftragsverarbeiter, den Umgang mit Vorfällen und wie Sie Sicherheitsunterlagen anfordern. Die nachstehende Liste der Unterauftragsverarbeiter wird mit Anhang 1 unseres Auftragsverarbeitungsvertrags abgestimmt. Zu den Rechten betroffener Personen und den Angaben zur Rechtsgrundlage siehe unsere Datenschutzerklärung. Zu den Vertragsbedingungen siehe unsere Nutzungsbedingungen.
Zentrale Anwendungsdaten und APIs laufen auf unabhängig geprüfter Infrastruktur.
Unser primäres Backend, einschließlich Datenspeicherung, Geschäftslogik und API-Verarbeitung, basiert auf Xano, einer Plattform mit Zertifizierungen nach SOC 2 Type 2 und ISO 27001 und einem dokumentierten DSGVO-Compliance-Programm. Überwachung auf Infrastrukturebene, Zugriffskontrollen und Sicherheitsbetrieb für diese Ebene verwaltet Xano gemäß seinem Sicherheitsprogramm.
Die Frontends der Anwendungen werden bei Vercel gehostet: die Marketing-Website (whatsable.app), die Notifyer-Konsole (notifyer.whatsable.app) und die Chat-Oberfläche (chat.notifyer-systems.com). Vercel wird nicht zur Verarbeitung, Speicherung oder Zustellung von WhatsApp-Nachrichten genutzt. Weitere Node.js/Hono-Anwendungsserver laufen bei Railway Corporation in Amsterdam, Niederlande (EU). Kundendaten werden überwiegend in den Vereinigten Staaten (Xano) und teilweise in der EU (Railway) verarbeitet. Die Zustellung von WhatsApp-Nachrichten erfolgt über die WhatsApp Business Platform von Meta (WhatsApp Cloud API), die den Datenverarbeitungsbedingungen von Meta für Technologieanbieter unterliegt.
Die gesamte Client-Server-Kommunikation nutzt TLS. API-Zugangsdaten und Tokens werden über verschlüsselte Kanäle übertragen.
Die Verschlüsselung im Ruhezustand wird durch die Infrastruktur der Unterauftragsverarbeiter (Xano und Railway) gemäß deren Sicherheitsstandards bereitgestellt.
Rollenbasierter Zugriff auf Produktivsysteme nach dem Prinzip der geringsten Rechte. Eigene Zugangsdaten für jeden Mitarbeitenden, keine geteilten Logins und Zwei-Faktor-Authentifizierung (2FA) bei allen Mitarbeiter-Logins.
Wir befolgen branchenübliche Verfahren für die Verwaltung von Zugangsdaten, die Trennung von Umgebungen und die Pflege von Abhängigkeiten in unserer Anwendungsebene.
Unabhängige Nachweise für unsere zentrale Infrastruktur und unsere betrieblichen Abläufe.
Unser Backend-Anbieter hat ein umfassendes SOC 2 Type II Audit zu Kontrollen für Sicherheit, Verfügbarkeit und Vertraulichkeit abgeschlossen. Eine zusammenfassende Dokumentation ist über das Xano Security Center verfügbar. Vollständige SOC-2-Berichte erhalten Enterprise-Kunden auf Anfrage über unseren Sicherheitskontakt.
Unsere Backend-Infrastruktur ist nach ISO 27001:2022 für Informationssicherheits-Management zertifiziert. Einzelheiten und Zertifikatsnachweise sind im Xano Security Center veröffentlicht.
Wir verarbeiten personenbezogene Daten gemäß dem anwendbaren Datenschutzrecht, einschließlich der DSGVO, soweit sie gilt. Rechtsgrundlage, Betroffenenrechte und Angaben zur Datenerhebung sind in unserer Datenschutzerklärung dokumentiert. Auftragsverarbeitungsverträge sind auf Anfrage unter team@whatsable.app erhältlich.
Als Technologieanbieter der WhatsApp Business Platform halten wir Datenschutz- und Sicherheitspraktiken gemäß den Anforderungen von Meta an Partner ein, die die WhatsApp Cloud API integrieren.
Anbieter, die in unserem Auftrag Kundendaten verarbeiten, entsprechend Anhang 1 unseres Auftragsverarbeitungsvertrags.
Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die nachstehenden Unterauftragsverarbeiter, die der Liste in Anhang 1 unseres Auftragsverarbeitungsvertrags entsprechen. Der Übermittlungsmechanismus für jeden Anbieter ist der in diesem Anhang genannte. Kopien der betreffenden SCCs der Unterauftragsverarbeiter sind auf Anfrage erhältlich.
| Unterauftragsverarbeiter | Zweck | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| Xano, Inc. | Primäre Anwendungsdatenbank und Backend-Logik (api.insightssystem.com). Security Center | Vereinigte Staaten (Woodland Hills, CA) | Standardvertragsklauseln (DPA); zertifiziert nach SOC 2 Type II, ISO 27001 |
| Railway Corporation | Hosting von Anwendungsservern (Node.js/Hono-Dienste) | Amsterdam, Niederlande (EU) | Überwiegend in der EU gehostet. Railway Corporation ist ein US-Unternehmen, daher kann begrenzter Administrations- und Supportzugriff eine beschränkte Übermittlung darstellen, die durch SCCs im DPA von Railway abgedeckt ist. |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | KI-generierte Chatbot-Antworten, nur genutzt, wenn der Kunde KI-Funktionen aktiviert | Vereinigte Staaten / Irland | Standardvertragsklauseln und Zertifizierung nach dem EU-U.S. Data Privacy Framework |
| Meta Platforms, Inc. | Nachrichtentransport über die WhatsApp Cloud API (für den Kerndienst erforderlich) | Vereinigte Staaten | Eigene DSGVO-Bedingungen von Meta für die WhatsApp Business Platform; zertifiziert nach dem Data Privacy Framework |
| Stripe, Inc. | Abrechnung und Zahlungsabwicklung | Vereinigte Staaten | Standardvertragsklauseln; eigenes DPA von Stripe |
| Functional Software, Inc. (Sentry) | Technische Fehlerüberwachung und Anwendungsprotokolle. Bestätigt: Nachrichteninhalte, Telefonnummern und Kontaktdaten gelangen konzeptbedingt nie zu Sentry. | Vereinigte Staaten | Standardvertragsklauseln und Zertifizierung nach dem EU-U.S. Data Privacy Framework; DPA zur Selbstbedienung verfügbar |
Die folgenden Anbieter werden ebenfalls für den Betrieb der Notifyer-Konsole, der Marketing-Website und der Produktanalysen genutzt. Sie werden hier offengelegt, damit bei Sicherheitsfragebögen erkennbar ist, wer das Frontend hostet und wer pseudonyme Nutzungsdaten verarbeitet. Sie sind derzeit nicht in Anhang 1 des unterzeichneten DPA aufgeführt; sie sollten dort ergänzt werden, damit beide Dokumente übereinstimmen.
| Anbieter | Zweck | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| Vercel, Inc. | Frontend-Hosting für whatsable.app (Marketing-Website), notifyer.whatsable.app (Notifyer-Konsole) und chat.notifyer-systems.com (Chat-Oberfläche). Vercel verarbeitet, speichert oder übermittelt keine WhatsApp-Nachrichteninhalte, Telefonnummern oder CRM-Kundendaten. | Vereinigte Staaten (globales Edge-Netzwerk) | Standardvertragsklauseln; Vercel DPA |
| PostHog, Inc. | Produktanalysen und Sitzungsauswertungen auf der Marketing-Website und in der Notifyer-Konsole. Verarbeitet pseudonyme Nutzungsdaten (Seitenaufrufe, Funktionsnutzung und ähnliche Ereignisse). WhatsApp-Nachrichteninhalte, Telefonnummern und Kontaktdatensätze werden nicht als Kundendaten an PostHog gesendet. | Europäische Union (PostHog EU Cloud) | Überwiegend in der EU gehostet. PostHog, Inc. ist ein US-Unternehmen; Übermittlungen sind durch Standardvertragsklauseln im DPA von PostHog abgedeckt. |
Wie wir Sicherheitsereignisse erkennen, darauf reagieren und darüber kommunizieren.
Kundendaten werden überwiegend in den Vereinigten Staaten (Xano, Woodland Hills, CA) und teilweise in der Europäischen Union (Railway, gehostet in Amsterdam) verarbeitet. Nachrichteninhalte laufen zur Zustellung über die WhatsApp Cloud API von Meta. Weitere Einzelheiten stellen wir auf Anfrage in Sicherheitsfragebögen bereit.
Nachrichteninhalte und Konversationsverläufe werden für die Dauer des Abonnements aufbewahrt und innerhalb von 30 Tagen nach Beendigung gelöscht oder zurückgegeben, sofern gesetzlich keine längere Frist vorgeschrieben ist. Backups der primären Datenbank haben eine rollierende Aufbewahrungsfrist von 30 Tagen. Technische Fehlerprotokolle in Sentry werden 90 Tage aufbewahrt und enthalten konzeptbedingt keine Nachrichteninhalte oder Telefonnummern.
Für die Löschung von Konto oder Daten nutzen Sie unser Formular für Löschanträge oder schreiben Sie an team@whatsable.app.
Für SOC-2-Zusammenfassungen, Listen der Unterauftragsverarbeiter, Auftragsverarbeitungsverträge oder Antworten auf Sicherheitsbewertungen von Lieferanten antwortet unser Team so schnell wie möglich.
Whatsable
