Sicherheit bei ContentVelo

Verbindungen zu unseren Servern

Jede Anfrage an eine ContentVelo-Anwendung wird über HTTPS ausgeliefert. Anfragen über einfaches HTTP werden umgeleitet, und in der Produktivumgebung senden unsere Server HTTP-Strict-Transport-Security-Header, damit Ihr Browser danach nicht auf einfaches HTTP zurückfällt. Welche TLS-Versionen und Cipher Suites tatsächlich angeboten werden, ist eine Eigenschaft unseres Hostings und nicht der Anwendung; deshalb nennen wir hier keine Version, die wir nicht garantieren können.

Anfragen, die etwas in Ihrem Konto verändern, tragen ein Anti-Forgery-Token. So kann keine andere Website Ihren Browser dazu bringen, ohne Ihr Wissen in Ihrem Konto zu handeln.

Konten und Anmeldung

Sie melden sich mit E-Mail-Adresse und Passwort oder mit einem verknüpften Social-Konto an. Eine erfolgreiche Anmeldung stellt ein Sitzungs-Cookie aus, das Ihr Browser weder Skripten zugänglich macht noch an andere Websites sendet.

• Eine Sitzung im Kundenportal gilt sieben Tage und verlängert sich bei jeder Nutzung.
• Eine Verwaltungssitzung gilt acht Stunden und wird von einer separaten Anwendung mit eigener Anmeldung ausgestellt.
• Neue E-Mail-Adressen werden über einen an die Adresse gesendeten Link bestätigt. Passwort-Zurücksetzungen nutzen ein einmal verwendbares Token mit Ablaufzeit.
• ContentVelo bietet derzeit keine Zwei-Faktor-Authentifizierung. Ihr Passwort bzw. das Social-Konto, mit dem Sie sich anmelden, ist der einzige Schutz Ihres Kontos.

Wie Ihr Passwort gespeichert wird

Wir speichern Ihr Passwort nicht, sondern einen SHA-256-Hash davon. Niemand bei ContentVelo kann das Passwort aus diesem Hash zurücklesen, und wir werden Sie nie danach fragen.

Wir sagen offen, wie dieser Hash berechnet wird, denn das Verfahren liegt unter dem heutigen Stand der Technik, und Sie sollten das wissen, bevor Sie ein Passwort wählen. Jedem Passwort wird derselbe feste Wert hinzugefügt statt je Konto ein eigener Zufallswert, und der Hash wird nur einmal und ohne absichtliche Verlangsamung berechnet. Moderne Passwort-Hash-Funktionen wie bcrypt, scrypt oder Argon2 tun beides nicht; ein Wechsel dorthin steht auf unserer Arbeitsliste.

Praktisch bedeutet das: Würde unsere Passworttabelle je offengelegt, ließen sich gängige und anderswo wiederverwendete Passwörter schnell daraus rekonstruieren. Bitte verwenden Sie ein Passwort, das Sie nirgendwo sonst benutzen, und wählen Sie es lang.

Facebook-Seiten und Zugriffstoken

Beim Verbinden einer Facebook-Seite erhält ContentVelo ein von Meta ausgestelltes Zugriffstoken. Wir speichern dieses Token in unserer Datenbank, damit geplante Beiträge auch dann veröffentlicht werden, wenn Sie nicht anwesend sind. Es wird in lesbarer Form gespeichert: Die Anwendung verschlüsselt es nicht, sein Schutz ist also der Schutz der Datenbank und des Servers, auf dem sie läuft.

Das Token erlaubt uns, die Beiträge der Seite und deren Interaktionszahlen zu lesen und auf der Seite zu veröffentlichen. Es gibt uns keinen Zugriff auf Ihr persönliches Facebook-Profil, Ihre Freunde oder Seiten, die Sie nicht verbunden haben.

Das Trennen einer Seite innerhalb von ContentVelo löscht unsere Kopie des Tokens. Es widerruft nicht die Berechtigung, die Sie bei Meta erteilt haben — das geschieht in Ihren Facebook-Einstellungen unter Business-Integrationen. Die Seite zur Datenlöschung erklärt beide Schritte. Daten löschen

Zahlungen

Kartendaten erreichen ContentVelo nie. Die Zahlung erfolgt auf einer Seite unseres Zahlungsdienstleisters, und wir erhalten nur das Ergebnis: Betrag, Währung, Status, Bezeichnung der Zahlungsart und die Referenznummern des Dienstleisters, die wir speichern, um Ihnen Ihren Zahlungsverlauf anzuzeigen. Wir übermitteln dem Dienstleister Ihre E-Mail-Adresse, den zu belastenden Betrag, eine Bestellreferenz und eine kurze Beschreibung des gebuchten Tarifs — mehr braucht er nicht, um die Zahlung auszulösen. Ihren Namen übermitteln wir nicht: Das Formular, das das Produkt absendet, hat kein Feld dafür.

Wer Ihre Daten außerdem verarbeitet

Um ContentVelo bereitzustellen, müssen wir einen Teil Ihrer Daten an andere Unternehmen senden. Dies sind die Stellen, die das Produkt tatsächlich aufruft:

• OpenAI erhält die Anweisung, mit der ein Beitrag geschrieben wird. Diese Anweisung enthält die Beschreibung Ihres Unternehmens, Ihre Ton- und Keyword-Einstellungen sowie — sofern eingetragen — Telefonnummer, E-Mail-Adresse, LINE-ID, Website und Shop-Links, die in Beiträgen erscheinen sollen. Wenn Sie uns den Stil einer Seite lernen lassen, werden zusätzlich bis zu zwanzig bestehende Beiträge dieser Seite übermittelt.
• Google erhält über die Gemini-API die Anweisung, mit der ein Bild erzeugt wird.
• Unser Zahlungsdienstleister erhält Ihre E-Mail-Adresse, den Betrag und eine Bestellreferenz und zieht die Zahlung ein. Ihren Namen erhält er nicht.
• Unser Bildspeicher-Anbieter empfängt und hostet die für Sie erzeugten Bilder sowie die von Ihnen hochgeladenen Bilder. Diese Dateien werden über eine öffentliche Web-Adresse ausgeliefert, die zwar nicht erratbar, aber auch nicht zugriffsgeschützt ist.
• Unser Versanddienstleister für E-Mails erhält Ihre E-Mail-Adresse und den Inhalt der Nachricht, wann immer wir Ihnen einen Bestätigungslink, eine Passwort-Zurücksetzung oder eine Benachrichtigung senden.

Cookie-Richtlinie

Was wir über Ihre Nutzung aufzeichnen

Aktionen in Ihrem Konto werden in einem Audit-Log festgehalten, mit Zeitpunkt, Aktion, Ihrem Benutzer und Arbeitsbereich, Ihrer IP-Adresse und der User-Agent-Zeichenfolge Ihres Browsers. Jede Generierungsanfrage wird in einem Nutzungsprotokoll festgehalten, mit der gesendeten Anweisung, dem erzeugten Text und Bild, dem verwendeten Modell, den Kosten, dem Erfolg oder Misserfolg und der IP-Adresse, von der sie kam. Diese Aufzeichnungen dienen dazu, Abrechnungen zu erklären und Missbrauch zu untersuchen. Sie bleiben erhalten, solange das Konto besteht: ContentVelo führt derzeit keinen Prozess aus, der alte Protokollzeilen löscht.

Was wir nicht behaupten

Eine Sicherheitsseite ist nur dann nützlich, wenn das Fehlende genauso klar benannt ist wie das Vorhandene. Zum oben genannten Datum verfügt ContentVelo nicht über:

• eine unabhängige Sicherheitszertifizierung oder ein Audit gleich welcher Art;
• eine Verschlüsselung ruhender Daten auf Anwendungsebene — der vorhandene Schutz stammt von unserem Datenbankserver und unserem Hosting, nicht vom Code von ContentVelo;
• eine Zwei-Faktor-Authentifizierung für Kunden- oder Administratorkonten;
• einen von Dritten durchgeführten Penetrationstest oder ein veröffentlichtes Bug-Bounty-Programm.

Sollte an anderer Stelle auf dieser Website unsere Sicherheit stärker beschrieben werden als hier, so ist diese Seite die aktuelle und zutreffende Beschreibung.

Ein Sicherheitsproblem melden

Wenn Sie glauben, eine Schwachstelle in ContentVelo gefunden zu haben, schreiben Sie uns mit genügend Details, um sie nachzuvollziehen. Wir bestätigen den Eingang Ihrer Nachricht. Wir zahlen keine Prämie und bitten Sie, uns vor einer öffentlichen Beschreibung eine angemessene Gelegenheit zur Behebung zu geben.