Wie wir mit dem Zugriff auf den Code umgehen, von dem Ihr Geschäft lebt.
Wie wir Zugänge erhalten und zurückgeben, was wir mit KI-Werkzeugen tun, was passiert, wenn etwas ausfällt, und welche Dokumente Sie erhalten, bevor Sie etwas unterschreiben.
Keine Zertifizierungen
Wir haben keine Sicherheitszertifizierungen: kein ISO 27001, keinen SOC-2-Bericht. Stattdessen finden Sie hier die Regeln, nach denen wir arbeiten. Wenn Sie sehen möchten, wie wir arbeiten, bevor Sie uns Zugriff geben, beginnen Sie mit einem Debt Check. Er braucht keinen Zugriff auf Ihren Code oder Ihre Systeme.
Wer Ihren Code sieht
Nur die Personen, die an Ihrem Projekt arbeiten, im Vertrag namentlich genannt und an die NDA gebunden. Sonst hat niemand Zugriff auf Ihren Code, Ihre Systeme oder Ihre Zugangsdaten.
Mit Ihrer Zustimmung, erteilt in der KI-Anlage zum Vertrag (siehe Wie wir KI-Werkzeuge einsetzen), verarbeiten die unter Unterauftragsverarbeiter genannten KI-Anbieter Teile Ihres Codes, auf Grundlage des Auftragsverarbeitungsvertrags (AVV).
Subunternehmer setzen wir nur mit Ihrer vorherigen schriftlichen Zustimmung ein. Schlagen wir für Ihr Projekt einmal einen vor, unterschreibt er dieselbe NDA und dieselben Bedingungen zur Auftragsverarbeitung, bevor er Zugriff erhält.
Wie wir auf Ihre Systeme zugreifen
-
Minimale Rechte
Zuerst Lesezugriff auf das Repository. Schreibzugriff, Staging, CI und Server folgen später, einzeln und erst, wenn eine Aufgabe sie braucht. Owner- oder Abrechnungsrechte in Ihrer Organisation verlangen wir nicht. Braucht eine Serverarbeit Root-Rechte, bitten wir um
sudofür unser personalisiertes Konto, sagen, wofür, und geben die Rechte nach der Aufgabe zurück. -
Eigene, personalisierte Konten
Sie legen für uns in jedem System ein Konto an: Git-Hosting, CI, Cloud, Server. Wir nutzen nie einen geteilten Login oder das Konto eines früheren Entwicklers. Jede unserer Aktionen lässt sich unserem Konto zuordnen.
-
Ihre Infrastruktur, Ihre Schlüssel
Wir verbinden uns über Ihr VPN, Ihren Bastion-Host oder Ihr SSO, wenn vorhanden. Für jeden Kunden nutzen wir einen eigenen SSH-Schlüssel, und der Schlüssel verlässt nie unser Gerät.
-
MFA auf jedem Konto
Die Mehr-Faktor-Authentifizierung ist auf jedem Konto aktiv, das wir für Kundenarbeit nutzen: E-Mail, Git-Hosting, Cloud-Konsolen, Konten für KI-Werkzeuge und der Passwortmanager. Unterstützt eines Ihrer Systeme das nicht, sagen wir es Ihnen und vermerken es in der Zugangsübersicht.
-
Zugangsübersicht
Eine Liste aller Zugänge, die Sie uns gegeben haben: System, Konto, Berechtigungsstufe, Datum der Freigabe. Eine Kopie erhalten Sie jederzeit. Bei Care Standard und Plus gehen wir sie in jedem Quartalsreview durch, bei Care Basic mindestens einmal im Jahr.
Wie wir mit Ihrem Code und Ihren Daten umgehen
-
Produktionsdaten bleiben bei Ihnen
Grundsätzlich bleiben Produktionsdaten in Ihrer Umgebung. Tests laufen mit synthetischen Daten oder mit einem anonymisierten Auszug, der in Ihrer Umgebung erstellt wird. Braucht eine Aufgabe eine lokale Kopie, ist sie vorübergehend, vorher mit Ihnen abgestimmt und wird nach Abschluss der Aufgabe gelöscht.
-
Geheimnisse bleiben aus Code und Prompts heraus
Passwörter, API-Schlüssel und
.env-Dateien kommen weder ins Repository noch in ein KI-Werkzeug. Finden wir bereits eingecheckte Geheimnisse, melden wir sie Ihnen und empfehlen, welche Sie austauschen sollten. -
Verschlüsselung
Der gesamte Verkehr zu Ihren Systemen läuft über SSH oder TLS. Zugangsdaten liegen in einem verschlüsselten Passwortmanager.
-
Änderungen über Ihren Prozess
Jede Änderung ist ein Merge Request in Ihrem Repository, mit Tests und grüner CI. Gibt es noch keine CI, gehört sie bei einem Takeover zu den ersten Aufgaben; bis dahin kommt jeder Merge Request mit einer Testnotiz. Vor jeder Änderung in Produktion prüfen wir, dass ein aktuelles Backup vorhanden ist, und dokumentieren, wie wir zurückrollen.
-
Löschung am Ende
Endet die Zusammenarbeit, löschen wir lokale Kopien Ihres Codes und alle Projektdaten innerhalb von 30 Tagen und bestätigen das schriftlich. Liegen noch Kopien in unseren verschlüsselten Backups, nennt die Bestätigung, wann sie ablaufen.
Wenn die Zusammenarbeit endet
01
Exit-Kit
Repository, Dokumentation, Runbook und Zugangsübersicht, kostenlos, innerhalb von 10 Arbeitstagen.
02
Zugangsdaten
Wir listen alle Zugangsdaten auf, auf die wir Zugriff hatten, und markieren die, die Sie austauschen sollten.
03
Konten geschlossen
Sie entfernen unsere Konten. Wenn Sie einverstanden sind, prüfen wir, dass sie geschlossen sind, und bestätigen schriftlich, dass wir keinen Zugriff mehr haben.
04
Kopien gelöscht
Wir löschen lokale Kopien innerhalb von 30 Tagen und bestätigen das.
Wie wir KI-Werkzeuge einsetzen
Für Teile der Arbeit setzen wir KI-Werkzeuge ein: große Codebasen lesen, Tests entwerfen, mechanische Änderungen für ein Upgrade vorbereiten. Das ist einer der Gründe, warum wir Festpreise anbieten können. Mehr zur Methode unter Arbeitsweise.
-
Nur mit Ihrer unterschriebenen Zustimmung
Der Einsatz von KI ist in einer eigenen Vertragsanlage beschrieben, der Erklärung und Zustimmung zum Einsatz von KI-Werkzeugen (AI Tooling Disclosure & Consent). Sie nennt die Werkzeuge und die Anbieter. Ohne Ihre Unterschrift setzen wir an Ihrem Code keine KI-Werkzeuge ein.
-
Im Rahmen des AVV
Der KI-Anbieter ist im AVV als Unterauftragsverarbeiter aufgeführt. Welche Werkzeuge wir zu welchen Bedingungen nutzen, regelt der KI-Anhang zu Ihrem Projekt. Verlangen Ihre Richtlinien kommerzielle Bedingungen (kein Training mit Ihrem Code, begrenzte Speicherung), nutzen wir diese. Für seine kommerziellen Produkte gibt Anthropic, Anbieter der von uns genutzten Claude-Modelle, an, Modelle standardmäßig nicht mit Ein- oder Ausgaben aus seinen kommerziellen Produkten zu trainieren und Ein- und Ausgaben über die API innerhalb von 30 Tagen zu löschen (länger nur bei Inhalten, die nach seinen Nutzungsrichtlinien markiert wurden). Einer längeren Speicherung stimmen wir nicht zu, und aus Sitzungen mit Ihrem Code senden wir dem Anbieter kein Feedback.
-
Verarbeitung nur in der EU, auf Wunsch
Verlangen Ihre Richtlinien eine Verarbeitung innerhalb der EU, vereinbaren wir die Einrichtung im Anhang, zum Beispiel Amazon Bedrock mit einem EU-Inferenzprofil. Die Anfragen bleiben dann in AWS-Regionen in der EU. AWS gibt an, dass Modellanbieter keinen Zugriff auf Prompts und Antworten haben, die in Bedrock verarbeitet werden. Diese Option kostet mehr; wie viel, steht im Angebot, bevor Sie unterschreiben.
-
Teile Ihres Codes ausnehmen
Dürfen bestimmte Repositories oder Verzeichnisse nicht von KI-Werkzeugen verarbeitet werden, etwa lizenzierter Fremdcode oder Sicherheitsmodule, tragen Sie sie in die Anlage ein. An diesen Teilen arbeiten wir ohne KI-Werkzeuge.
-
Was nie in ein KI-Werkzeug gelangt
Produktionsdaten, personenbezogene Daten aus Ihren Datenbanken, Geheimnisse und Zugangsdaten sowie alles, was Sie ausgenommen haben.
-
Ein Mensch prüft jede Änderung
Nichts, was ein KI-Werkzeug erzeugt, gelangt ohne Review durch den Entwickler, Tests und CI in Ihr Repository. Die Verantwortung für die Änderung tragen wir, wie für jede andere Codezeile auch.
-
Wenn KI nicht infrage kommt
Standardmäßig arbeiten wir mit KI-Werkzeugen, denn darauf beruhen unsere Festpreise. Lassen Ihre Richtlinien keine der beiden Optionen oben zu, arbeiten wir ohne KI; dafür erstellen wir ein individuelles Angebot.
Unterauftragsverarbeiter
Nur Dienste, die Ihren Code oder Ihre Daten verarbeiten können. Die vollständige Liste mit Firmen, Anschriften und der Rechtsgrundlage jeder Übermittlung außerhalb der EU ist eine Anlage zum AVV. Dort ist auch der Passwortmanager genannt, in dem die Zugangsdaten liegen, die Sie uns geben. Einen neuen Unterauftragsverarbeiter kündigen wir 30 Tage im Voraus an, und Sie können widersprechen.
| Unterauftragsverarbeiter | Zweck | Ort der Verarbeitung | Wann |
|---|---|---|---|
| Anthropic | KI-Modelle (Claude) | USA | Standard |
| Amazon Web Services EMEA SARL (Amazon Bedrock) | KI-Modelle (Claude) über ein EU-Inferenzprofil | EU | Option „nur EU“ |
| Google Cloud EMEA Limited (Google Workspace) | E-Mail für refberg.com | EU/USA | immer |
Wenn in Ihrer Anwendung etwas ausfällt
Das gilt für Kunden mit einem Care-Paket.
-
Zeiten
Montag bis Freitag, 9–18 Uhr MEZ/MESZ, außer an gesetzlichen Feiertagen in Polen. Es gelten die Reaktionszeiten Ihres Pakets: nächster Arbeitstag bei Basic, bei kritischen Störungen bis zu 4 Stunden in der Geschäftszeit bei Standard und Plus. Abende und Wochenenden sind eine kostenpflichtige Ergänzung (Erweiterte Servicezeiten). Eine Rufbereitschaft rund um die Uhr bieten wir nicht an, und wir verkaufen Ihnen auch keine.
-
Was Reaktion heißt
Wir bestätigen die Meldung und beginnen mit der Analyse. Nicht unbedingt schon mit der Behebung.
-
Was wir tun
Zuerst eindämmen: zurückrollen, die Funktion abschalten, den Traffic sperren. Dann beheben, dann erklären. Solange der Vorfall offen ist, erhalten Sie kurze Updates.
-
Danach
Nach einem kritischen Vorfall erhalten Sie einen Vorfallbericht: was passiert ist, die Ursache, was wir geändert haben und was eine Wiederholung verhindern würde. Spätestens mit dem nächsten Monatsbericht.
Wenn auf unserer Seite etwas schiefgeht
Geht ein Gerät von uns verloren oder wird gestohlen, wird eines unserer Konten kompromittiert oder vermuten wir, dass Ihr Code oder Ihre Zugangsdaten offengelegt worden sein könnten, informieren wir Sie innerhalb von 48 Stunden, nachdem wir davon erfahren haben. Wir sagen Ihnen, was betroffen sein kann und welche Zugangsdaten Sie austauschen sollten, und entfernen unsere Zugänge selbst, wo wir können.
Das gilt auch während unserer Urlaubszeiten. Die vollständigen Pflichten stehen im Auftragsverarbeitungsvertrag.
Kontinuität: Sie hängen nie von uns ab
Sie können jederzeit ohne uns weitermachen. Dafür sorgen diese Regeln.
-
Alles liegt in Ihren Konten
Code, CI, Dokumentation und Zugangsdaten liegen in Ihren Systemen, nicht in unseren. Sie können die Anwendung jederzeit an jemand anderen übergeben.
-
Das Runbook bleibt aktuell
Deployment, Rollback, Wiederherstellung aus dem Backup, Cronjobs, Queues und Monitoring sind dokumentiert. Das Runbook wird bei jeder Änderung aktualisiert und bei Care Standard und Plus in jedem Quartalsreview durchgesehen. Ein anderer PHP-Entwickler sollte damit übernehmen können.
-
Geplante Abwesenheit wird angekündigt
Bis zu zwei Urlaubszeiten im Jahr, jeweils bis zu zwei Wochen, mindestens 30 Tage im Voraus angekündigt. Während dieser Zeit bearbeiten wir nur kritische Sicherheitsvorfälle, nach bestem Bemühen und ohne Reaktionszeit.
-
Für ungeplante Abwesenheit gibt es Regeln
Sie stehen im Vertrag: Ab dem 6. Arbeitstag der Abwesenheit sinkt die Care-Gebühr, und nach 10 Arbeitstagen können Sie Care sofort beenden.
-
Exit-Kit ohne Kosten
Wenn Sie gehen, erhalten Sie alles, was Sie brauchen, um ohne uns weiterzumachen.
Dokumente, die Sie vor der Unterschrift erhalten
| Dokument | Wann |
|---|---|
| Gegenseitige NDA | bevor wir Code sehen |
| Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) mit Liste der Unterauftragsverarbeiter | mit dem Angebot |
| Erklärung und Zustimmung zum Einsatz von KI-Werkzeugen (AI Tooling Disclosure & Consent) | mit dem Angebot |
| Unsere Standardantworten auf einen Sicherheitsfragebogen für Lieferanten | auf Anfrage, innerhalb eines Arbeitstags |
| Amtlicher CEIDG-Auszug (Eintrag im Gewerberegister) | auf Anfrage |
| W-8BEN (für Kunden in den USA) | auf Anfrage |
Fragen zur Sicherheit
Können wir Ihre Antworten auf einen Sicherheitsfragebogen sehen, bevor wir sprechen?
Ja. Fragen Sie über das Kontaktformular, und wir schicken Ihnen unsere Standardantworten innerhalb eines Arbeitstags. Nutzen Sie SIG Lite, CAIQ oder ein eigenes Format, schicken Sie es uns, und wir füllen es aus.
Kann die KI-Verarbeitung unseres Codes in der EU bleiben?
Ja. Mit der Option „nur EU“ vereinbaren wir im Anhang eine Einrichtung in der EU, zum Beispiel Amazon Bedrock mit einem EU-Inferenzprofil. Sie können außerdem einzelne Repositories oder Verzeichnisse ganz von der KI-Verarbeitung ausnehmen.
Wie können wir prüfen, ob es Ihr Unternehmen wirklich gibt?
In den öffentlichen polnischen und europäischen Registern. Die Seite Firmendaten prüfen nennt jedes Register, was Sie eingeben und was Sie sehen sollten.
Wie melden wir ein Sicherheitsproblem in etwas, das Sie gebaut haben oder betreuen?
Schreiben Sie an contact@refberg.com, mit „Security“ im Betreff.
Schicken Sie uns zuerst Ihre Sicherheitsfragen
Vor allem anderen. Sie bekommen unsere Antworten und lesen NDA, AVV und die KI-Zustimmung, bevor Sie etwas unterschreiben.