Vertrauen
Sicherheit, klar erklärt
Arbeitsschutzdaten nennen echte Menschen an ihren schlimmsten Tagen. So geht Forma360 damit um, in derselben klaren Sprache wie der Rest der Website. Dazu gehört auch, was die meisten Sicherheitsseiten weglassen: was wir noch nicht haben.
Eine Organisation, eine Grenze
Jeder Datensatz gehört Ihrer Organisation und ist auf Datenebene auf sie beschränkt. Ein Arbeitsbereich kann niemals einen anderen Arbeitsbereich lesen. Die Trennung steckt im Aufbau der Plattform, sie ist kein Filter, der obendrauf liegt.
Berechtigungen, auf dem Server durchgesetzt
Benannte Berechtigungssätze regeln, wer was sehen und tun darf, und jede Prüfung läuft auf dem Server. Eine Schaltfläche auszublenden ist nie das Sicherheitsmodell. Wer Standorten zugewiesen ist, sieht deren Datensätze, alle Standorte darunter und die eigene Arbeit. Das gilt gleichermaßen in Registern, Suche, Exporten, Dashboards und im Assistenten. Eine Deaktivierung wirkt sofort, auch für bereits angemeldete Sitzungen, und die Plattform verweigert jede Änderung, die einen Arbeitsbereich ohne Administrator lassen würde.
Anmeldung, die geleakten Passwörtern standhält
Anmeldung mit Passwort oder mit einem Einmalcode per E-Mail. Jedes Konto kann den Code immer nutzen. Passwörter müssen mindestens 12 Zeichen lang sein, werden beim Festlegen mit bekannten Datenlecks abgeglichen und gehasht gespeichert. Jede Passwortänderung und jedes Zurücksetzen löst eine E-Mail an den Kontoinhaber aus und meldet andere Sitzungen ab.
Freigabelinks unter Ihrer Kontrolle
Öffentliche Freigabelinks (Inspektionsberichte, Briefings) nutzen lange, nicht erratbare Tokens, sind von der Indexierung durch Suchmaschinen ausgeschlossen und lassen sich jederzeit widerrufen. Der Widerruf greift sofort.
Der Assistent sieht, was Sie sehen
Der KI-Assistent antwortet nur aus den Datensätzen Ihres eigenen Arbeitsbereichs, gefiltert nach Ihren eigenen Berechtigungen. Bei WhatsApp wird die Signatur jeder eingehenden Nachricht geprüft und der Absender seinem Konto zugeordnet, bevor irgendetwas abgefragt wird.
Telemetrie ohne Ihre Daten
Fehlerberichte werden bereinigt, bevor sie die Anwendung verlassen: Request-Bodys, Cookies, Query-Strings und Zugriffstokens werden entfernt. Eine Fehlerdiagnose bedeutet also nie, dass Ihre Datensätze exportiert werden.
Verschlüsselung, Backups und Audit
Der gesamte Datenverkehr wird bei der Übertragung verschlüsselt, und die Anwendung läuft auf verwalteter Cloud-Infrastruktur. Administrative Aktivitäten werden in einem Audit-Log erfasst, das Ihre Administratoren in den Einstellungen einsehen können, und jedes Register lässt sich jederzeit exportieren. Ihre Datensätze werden nie als Geisel gehalten.
Was wir noch nicht haben
Wir sagen es Ihnen lieber, bevor Sie es selbst herausfinden: Single Sign-on (SSO/SAML) und formale Zertifizierungen wie ISO 27001 gibt es noch nicht. Wenn Ihre Organisation vor der Einführung einen Sicherheitsfragebogen beantwortet haben möchte, schicken Sie ihn uns. Wir beantworten ihn ehrlich.
Fragen, Fragebögen, Meldungen von Schwachstellen
All das geht an support@forma360.io. Wenn Sie glauben, eine Schwachstelle gefunden zu haben, melden Sie sie bitte dort, bevor Sie sie anderswo offenlegen. Wir nehmen Meldungen ernst und antworten wie Menschen.