Souveränität
100 % Ihrer Geschäftsdaten gehostet in Frankreich, bei OVH Cloud, in europäischen Rechenzentren. Keine Übertragungen außerhalb der EU.
Sicherheit
Die Sicherheit Ihrer Daten, ohne Geschwafel
Ihre Geschäftsdaten, Fahrten, Ladungen, Besatzungen, sind sensibel. Hier konkret, was wir technisch und organisatorisch tun, um sie zu schützen.
Die 4 Säulen
Unser Ansatz in vier Schichten
Verschlüsselung
TLS 1.3 überall (Transit), Verschlüsselung im Ruhezustand auf Festplatten, Passwörter mit argon2id (moderner, angriffsresistenter Algorithmus).
Zugriffskontrolle
Strenges Multi-Tenant, PostgreSQL Row Level Security, 4 verschiedene Rollen, optionales 2FA, vom Reeder einsehbares Audit-Log.
Kontinuität
Stündliche verschlüsselte Backups, warme Replicas in 2 Rechenzentren, getesteter Notfallplan, RTO < 4 h und RPO < 1 h.
Hosting
OVH Cloud · französische Rechenzentren
Alle Dienste und alle Geschäftsdaten unserer Kunden werden bei OVH Cloud gehostet, einem französischen Betreiber, der ISO 27001 und SecNumCloud (ANSSI-Referenzrahmen für sensible Cloud-Dienste) zertifiziert ist.
Ihre Daten werden auf die Rechenzentren Gravelines (Hauts-de-France), Roubaix (Hauts-de-France) und Straßburg (Grand Est) verteilt, mit Active-Active-Replikation zwischen zwei Regionen. Keine Geschäftsdaten verlassen Frankreich.
Nur die Marketing-Website fluviapro.fr ist auf Cloudflare gehostet (weltweites CDN, kostenlos). Die Website enthält ausschließlich öffentliche statische Inhalte, keine Kundendaten passieren sie.
- Betreiber
- OVH Cloud (FR)
- Zertifizierungen
- ISO 27001, SecNumCloud
- Datenstandort
- Frankreich · 100 %
- Rechenzentren
- Gravelines · Roubaix · Straßburg
Verschlüsselung
Ihre Daten verschlüsselt, überall, jederzeit
Im Transit
TLS 1.3 zwischen Ihrem Browser (oder Binnenschiffer-Tablet) und unseren Servern. HSTS aktiviert. Let's-Encrypt-Zertifikate automatisch erneuert.
Im Ruhezustand
Block-Level-verschlüsselte Festplatten (LUKS) auf allen Servern. PostgreSQL Transparent Data Encryption aktiviert auf der Produktionsdatenbank.
Passwörter
Hashing mit argon2id (Gewinner des Password Hashing Competition 2015). Moderne Parameter: 64 MB Speicher, 3 Iterationen, Parallelität 4.
Geheimnisse
Verwaltet durch selbstgehostetes Infisical. Keine Klartext-Geheimnisse in Code, Logs oder Backups. Schlüsselrotation alle 90 Tage.
Zugriffskontrolle
Strenges Multi-Tenant, 4 Rollen, vollständiges Audit
Jede Kundenorganisation (Reederei) ist durch eine `organization_id` auf jeder Geschäftstabelle isoliert. Die Filterung wird zweimal angewendet: durch den Anwendungscode UND durch PostgreSQL Row Level Security. Ein Datenleck von einer Organisation zur anderen ist technisch unmöglich.
Vier verschiedene Rollen mit granularen Berechtigungen: Reeder (vollständige Verwaltung der Organisation), Binnenschiffer (Borderfassung + Lesezugriff auf seine Fahrten), Buchhalter (Rechnungen, Exporte, Nur-Lesen auf den Rest), Kunde (Verlader-Portal mit Nur-Lesen-Zugriff auf seine Ladungen).
Die Authentifizierung verwendet kurzlebige JWTs (15 Minuten) mit Refresh-Tokens (30 Tage, widerrufbar). Optionales TOTP-2FA (empfohlen für Reeder). Jede Anmeldung, jede sensible Aktion (Export, Löschung, Rechteänderung) wird in einem vom Reeder einsehbaren Audit-Log erfasst.
Backups & Kontinuität
Keine Daten gehen jemals verloren
Backups
PostgreSQL Point-in-Time Recovery: Wiederherstellung auf jede Sekunde der letzten 30 Tage möglich. Tägliche verschlüsselte Snapshots werden 12 Monate aufbewahrt.
Replikation
Synchrone Replica in einem zweiten Rechenzentrum (Roubaix ⇄ Straßburg). Manuelle Umschaltung < 1 h bei einem schweren Vorfall in der Primärregion.
Dateispeicher
OVH Object Storage mit geografischer Replikation. Vignetten, Zertifikate und PDF-Exporte über 2 französische Regionen dupliziert.
Notfallplan
Halbjährlich getestetes Verfahren. Vertragliche Ziele: RTO (Recovery Time Objective) < 4 h, RPO (Recovery Point Objective) < 1 h.
Konformität
DSGVO und mehr
- DSGVO: vollständige Konformität, aktuelles Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge mit allen technischen Subunternehmern unterzeichnet.
- Hosting-Anbieter zertifiziert ISO 27001 und SecNumCloud (ANSSI-Referenzrahmen für sensible Cloud-Dienste).
- Jährliches externes Sicherheitsaudit durch ein unabhängiges Büro (Anwendungs-Pentest + Infrastruktur-Review).
- Wöchentliches Audit der Softwareabhängigkeiten (Snyk + Dependabot). Anwendung kritischer Patches binnen 48 h.
- Vorfallsmanagement-Richtlinie: Qualifikation binnen 4 h, Kundenbenachrichtigung binnen 24 h, öffentliches Post-Mortem binnen 7 Tagen.
Verantwortungsvolle Offenlegung
Sicherheitslücke gefunden?
Wenn Sie eine Sicherheitslücke in FluviaPro entdecken, danken wir Ihnen für eine verantwortungsvolle Meldung an security@fluviapro.fr. Wir bestätigen den Empfang binnen 24 h, qualifizieren binnen 72 h und beheben kritische Lücken binnen 7 Tagen maximal. Wir würdigen Beiträge öffentlich (mit Ihrer Zustimmung) und arbeiten an einem Bug-Bounty-Programm.
security@fluviapro.frFragen zu unserer Sicherheit?
Unser technisches Team beantwortet alle Sicherheitsfragen (IT-Fragebögen, interne Audits, Due Diligence).