Datenschutzerklärung

Diese Seite ist eine unverbindliche Übersetzung des englischen Rechtstextes. Bei Abweichungen ist die englische Fassung maßgeblich.

1. Verantwortlicher

Verantwortlicher ist Perspective Analytics SAS, 2 rue du Général de Gaulle, 44290 Guémené-Penfao, France. Datenschutzanfragen richten Sie an .

Datenschutzbeauftragter. Perspective Analytics SAS hat keinen Datenschutzbeauftragten bestellt, da keines der Kriterien des Art. 37 DSGVO erfüllt ist. Alle datenschutzrechtlichen Anfragen, auch Anfragen nach Art. 15 bis 22 DSGVO, werden über den oben genannten Datenschutzkontakt bearbeitet.

2. Von uns erfasste Daten

Kontodaten

Bei der Registrierung erheben wir eine per Einmalcode bestätigte E-Mail-Adresse und einen Organisationsnamen. Ein Passwort ist optional; falls eingerichtet, wird es mit Argon2id gehasht. Das Profil enthält einen Namen, soweit angegeben, und eine Rolle. Bei aktivierter MFA wird deren Geheimnis mit AES-256-GCM verschlüsselt. Rechnungsdaten und erforderliche Unternehmens- oder Umsatzsteuerkennungen werden bei Bedarf für ein kostenpflichtiges Abonnement erhoben.

Zertifikats- und Infrastrukturdaten

Wir speichern Metadaten zu TLS-Zertifikaten, die durch öffentliche Erfassung, Scans der lokalen Infrastruktur oder manuelle Importe gefunden wurden. Dazu gehören Subject-Namen, Angaben zum Aussteller, Gültigkeitszeiträume, Schlüsseltypen, TLS-Protokollversionen und Cipher Suites. Private Schlüssel speichern wir nicht.

Nutzungsdaten

Wir protokollieren Plattformaktivitäten wie Anmeldungen, Konfigurationsänderungen und Warnungsversand. Activity-Daten werden in den veröffentlichten Plänen standardmäßig 365 Tage aufbewahrt; eine gesondert vereinbarte Organisationsrichtlinie kann dies ändern. Dies ist ein Aktivitätsprotokoll, keine vollständige Rohhistorie der Scans oder Zusage, jedes Ereignis zu erfassen.

Daten beim Übergang zur Registrierung

Wenn Sie auf nocert.io eine Domain eingeben, übergibt sie das Standard-Startformular im Browser in einem URL-Fragment an die nocert-Anwendung. Die Anwendung verarbeitet dieses Fragment; es wird nicht als Teil der HTTP-Anfrage-URL übertragen. Ohne JavaScript öffnet die Ersatzfunktion eine allgemeine Registrierung und überträgt die Domain nicht. Nach dem Laden prüft die Anwendung die Domain mit einer begrenzten JSON-Anfrage an dieselbe Herkunft, die zur Erfassung der Übergaben dient. Die tägliche Zählertabelle speichert nur deren globale Anzahl, ohne Kennung für Besucher, Gerät, Sitzung, Konto oder Organisation und ohne IP-Adresse oder User-Agent. Eine gesonderte, kurzlebige und im Arbeitsspeicher geführte Ratenbegrenzung je IP-Adresse schützt den nicht authentifizierten Zähl-Endpunkt vor Missbrauch. Wenn die getrennt gesteuerte Domain-Warnfunktion aktiviert ist, kann die kanonische Domain außerdem als ungeprüfte Nutzereingabe an den privaten, bei Discord gehosteten Betriebskanal von nocert gesendet werden, sofern der Browser kein Global-Privacy-Control-Signal übermittelt. Die tägliche Zählertabelle speichert die Domain nicht. Die Funktion ist standardmäßig deaktiviert und wird erst aktiviert, wenn die Vorankündigungsfrist aus Abschnitt 11 abgelaufen und die unten beschriebene Nachrichtenlöschung betriebsbereit ist.

Optionale Einrichtungshinweise und monatliche Zusammenfassungen

Sobald diese Optionen in ihrem Workspace verfügbar sind, können Inhaber Einrichtungshinweise passend zu ihrem Workspace und eine monatliche Bestandsübersicht getrennt abonnieren. Beide Optionen sind standardmäßig deaktiviert. Wir verwenden die E-Mail-Adresse des Kontos, die gewählte E-Mail-Sprache und Zeitzone sowie den aktuellen Workspace-Status für relevante Nachrichten. Rechtsgrundlage für diese optionalen Nachrichten ist Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Ihre Auswahl, Einwilligungszeitpunkte und Versionen des Einwilligungstextes bleiben beim Konto gespeichert. Die Versandwarteschlange speichert Organisations- und Nutzerkennungen, E-Mail-Kategorie, Planungs- und Versuchszeitpunkte, Status und begrenzte Fehlercodes für höchstens 90 Tage; sie speichert weder E-Mail-Inhalte noch zusätzliche Kopien der Empfängeradressen. Bei Kontolöschung werden diese Daten entfernt. Optionale E-Mails enthalten einen signierten Abmeldelink. Eine Abmeldung beendet Einrichtungshinweise und Zusammenfassungen; eine vom Mailserver bereits angenommene Nachricht kann nicht zurückgerufen werden. Sie können diese Auswahl auch unter Settings → Profile ändern. Anmeldecodes, angeforderte Überwachungsalarme und notwendige sachliche Kontomitteilungen, einschließlich Testende und Wechsel zu Free, werden weiterhin gesendet. Diese Nachrichten enthalten keine Tracking-Pixel oder Weiterleitungen zur Klickmessung.

3. Rechtsgrundlage der Verarbeitung

Vertragserfüllung (Art. 6 Abs. 1 Buchst. b DSGVO): Verarbeitung, die zur Bereitstellung des Dienstes erforderlich ist.
Berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f DSGVO): Sicherheitsüberwachung, Betrugsprävention, Produktverbesserung und begrenzte interne Kenntnis angeforderter Übergaben zur Registrierung.
Vorvertragliche Maßnahmen (Art. 6 Abs. 1 Buchst. b DSGVO): Öffnen des nach Eingabe einer Domain angeforderten Registrierungsablaufs.
Gesetzliche Verpflichtung (Art. 6 Abs. 1 Buchst. c DSGVO): Steuer- und buchhalterische Anforderungen.

4. Weitergabe von Daten

Wir geben personenbezogene Kundendaten an die folgenden Kategorien von Auftragsverarbeitern weiter. Die vollständige versionierte Liste nach dem Auftragsverarbeitungsvertrag (DPA) steht unter /de/legal/dpa/subprocessors.

Hosting: OVHcloud SAS (France), für die von nocert gehostete Infrastruktur in Frankreich und Deutschland.
Edge-Auslieferung: Cloudflare, Inc. / Cloudflare Ireland Limited, für CDN, WAF und DDoS-Schutz. Cloudflare verarbeitet Anfragen und begrenzte technische Metadaten, ist aber nicht das führende System für Anwendungsdaten.
Zahlungen: Stripe Payments Europe Ltd. (Ireland) und Stripe, Inc. (USA), für die Zahlungsabwicklung.
E-Rechnung: Tiime SAS (France), zertifizierte französische Plateforme Agréée für die elektronische Rechnungsstellung gemäß Artikel 289 bis CGI.
E-Mail: Google LLC / Google Ireland Limited (Google Workspace) für geschäftliche und Support-Korrespondenz sowie den derzeitigen SMTP-Versand der Anwendung: Anmeldecodes, Überwachungswarnungen, notwendige Kontomitteilungen und optionale E-Mails. Empfänger und Inhalte werden zur Zustellung verarbeitet; Warnungen können Angaben zur Kundeninfrastruktur enthalten.
Zusätzlicher E-Mail-Anbieter: Amazon Web Services EMEA SARL / Amazon Web Services, Inc. (Amazon SES). SES kann bei Aktivierung für Transaktionsnachrichten eingesetzt werden, vorbehaltlich der Anbieterwechsel- und Transferanforderungen des DPA. Es ist derzeit nicht der reguläre SMTP-Absender.

Unabhängig davon können begrenzte Daten an Discord Netherlands B.V. / Discord Inc. (EWR/USA) übermittelt werden, wenn nocert für Konto- und vorvertragliche Akquisitionsvorgänge als Verantwortlicher handelt. Discord ist dabei Empfänger auf Seiten des Verantwortlichen und Dienstleister für private betriebliche Nachrichten. Nachrichten können Kontakt- und Organisationsangaben zum Konto, Signale zu Abonnement, Abrechnung, Kontingent und anderen Abläufen des Dienstes auf Seiten des Verantwortlichen, globale Akquisitionsmengen ohne Kennung oder, nur bei aktivierter getrennter Funktion, die eingegebene Übergabe-Domain enthalten. Die Übergabemeldung selbst enthält weder E-Mail-Adresse noch Cookie, Sitzungskennung, IP-Adresse oder User-Agent aus der Anfrage. Allgemeine Betriebsmeldungen schließen Kundendaten wie überwachte Domains, Zertifikatsangaben, Sentinel-Hostnamen oder -Labels und Metadaten der Kundeninfrastruktur aus. Discord wird nicht als Unterauftragsverarbeiter dargestellt, der personenbezogene Kundendaten nach dem DPA verarbeitet, und steht deshalb nicht im verlinkten Register.

Wir verkaufen keine personenbezogenen Daten und verwenden sie nicht für Werbung Dritter oder zum Trainieren, Feinabstimmen oder Bewerten von KI-Modellen. Mit Ihrer gesonderten Einwilligung wählen wir anhand des aktuellen Zustands Ihres Arbeitsbereichs eine passende Nachricht mit Einrichtungshinweisen aus. Diese Auswahl trifft keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung für Sie.

5. Internationale Übermittlungen

Die zentralen Anwendungsdaten werden bei OVHcloud in Frankreich und Deutschland gehostet. E-Mail-, Netzwerk- und Zahlungsanbieter können Daten außerhalb des EWR verarbeiten; europäisches Kernhosting bedeutet nicht, dass jede Verarbeitung in der EU bleibt. Transfers erfordern einen anwendbaren Angemessenheitsbeschluss nach Artikel 45 DSGVO, etwa DPF-Abdeckung für einen aktuell zertifizierten Empfänger und erfassten Dienst, oder Garantien nach Artikel 46 wie anwendbare SCCs mit erforderlicher Bewertung und Zusatzmaßnahmen. Der Mechanismus richtet sich nach tatsächlichem Empfänger, Dienst und Transfer; dies ist keine allgemeine Zertifizierung von NoCert. Das Anbieterverzeichnis beschreibt ihre Rollen.

Discord kann in den Vereinigten Staaten begrenzte Daten aus Betriebsnachrichten verarbeiten, die auf Seiten des Verantwortlichen anfallen. Zu den für diese gesonderte Offenlegung geltenden Schutzmaßnahmen gehören die Teilnahme von Discord am EU-US-Datenschutzrahmen und Standardvertragsklauseln, wie in seiner Datenschutzrichtlinie beschrieben.

6. Datenaufbewahrung

Konto- und Kundendaten: Das bloße Ende eines kostenpflichtigen Abonnements führt zur Fortsetzung im Free-Plan, ohne dass die Löschung beginnt. Bei Beendigung des gehosteten Dienstes sieht Abschnitt 16 einen sechzigtägigen Abrufzeitraum vor, erforderlichenfalls verlängert auf mindestens dreißig Tage nach Abschluss des Übergangs zu einem anderen Anbieter. Danach werden Produktionsdaten gelöscht und Sicherungen laufen innerhalb von dreißig Tagen ab. Eine rechtmäßige frühere Löschanweisung wird unverzüglich vorbehaltlich gesetzlicher Aufbewahrung bearbeitet. Selbst gehostete Daten unter alleiniger Kontrolle des Kunden bleiben dessen Verantwortung.
Test- und Gratis-Konten: Wird ein Konto nicht in einen kostenpflichtigen Plan umgewandelt, läuft es gemäß Abschnitt 4 der Nutzungsbedingungen im kostenlosen Plan weiter: Die Überwachung läuft innerhalb der Kontingente des kostenlosen Plans weiter, und es werden keine Daten planmäßig gelöscht. Eine Löschung erfolgt auf Antrag des Kontoinhabers oder bei einer Kündigung, nach dem Verfahren in Abschnitt 16 der Bedingungen (Löschung aus der Produktion, dann binnen 30 Tagen aus den Backups).
Zertifikatsdaten: werden aufbewahrt, solange das zugehörige Überwachungsziel aktiv ist, und bei dessen Entfernung oder bei Vertragsende nach der vorstehenden Regelung gelöscht.
Activity-Protokolle: standardmäßig 365 Tage, vorbehaltlich einer gesondert vereinbarten Organisationsrichtlinie und Kontolöschung. Produktmessereignisse und Datensätze der optionalen E-Mail-Warteschlange haben die oben genannten eigenen 90-Tage-Fristen. Aufbewahrung in ausschließlich vom Kunden kontrollierter selbst gehosteter Infrastruktur verwaltet der Kunde.
Rechnungsunterlagen: werden nach Artikel L123-22 des Code de commerce 10 Jahre lang aufbewahrt; steuerliche Belege nach Artikel L102 B des Livre des procédures fiscales 6 Jahre lang.
Aggregierte Akquisitionszähler: Tägliche globale Zählungen werden bis zu 13 Monate lang gespeichert und dann automatisch gelöscht. Sie enthalten weder eine übermittelte Domain noch eine Besucherkennung.

nocert speichert keine Datenbankkopie der beim Übergang zur Registrierung eingegebenen Domain. Wird eine entsprechende Meldung versandt, speichert nocert nur die Discord-Nachrichten-ID, die nicht geheime Webhook-ID zur gezielten Löschung und Lebenszyklus-Metadaten. Die sichtbare Nachricht wird spätestens 30 Tage nach der Zustellung zur Löschung eingeplant. Die Lebenszyklus-Tabelle enthält weder Webhook-Token noch Domain. Nur nocert-Betriebspersonal hat Zugriff auf den Kanal. Nach dem Löschen der sichtbaren Nachricht kann Discord nach seinen dokumentierten Aufbewahrungsregeln Restkopien in Backups behalten.

7. Ihre Rechte

Nach der DSGVO haben Sie folgende Rechte:

Auskunft über Ihre personenbezogenen Daten (Art. 15)
Berichtigung unrichtiger Daten (Art. 16)
Löschung Ihrer Daten (Art. 17)
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit (Art. 20)
Widerspruch gegen die Verarbeitung (Art. 21)

Keine automatisierte Entscheidungsfindung. Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO führen wir nicht durch. Die vom Dienst erstellten Compliance-Scores und Warnungen dienen der Information und haben keine rechtlichen oder ähnlich erheblichen Auswirkungen auf Sie im Sinne dieses Artikels.

Zur Ausübung dieser Rechte wenden Sie sich an . Wir antworten nach Art. 12 Abs. 3 DSGVO innerhalb eines Monats nach Eingang des Antrags. Sie können außerdem Beschwerde bei der CNIL einlegen ( www.cnil.fr ).

Anweisungen für den Todesfall für Personen mit Wohnsitz in Frankreich. Nach Artikel 85 der Loi Informatique et Libertés können Sie bestimmen, was nach Ihrem Tod mit Ihren personenbezogenen Daten geschieht. Übermitteln Sie die Anweisungen an oder hinterlegen Sie sie bei einem von der CNIL zertifizierten vertrauenswürdigen digitalen Dritten.

8. Sicherheitsmaßnahmen

AES-256-GCM-Verschlüsselung für sensible Felder auf der Anwendungsebene
Mindestens TLS 1.2 für Web-/API-Verbindungen der Kunden und Verbindungen zur Sentinel API; TLS 1.3 wird bevorzugt, sofern unterstützt
Passwort-Hashing mit Argon2id
Rollenbasierte Zugriffskontrolle mit sitzungsbasierter Authentifizierung
Sentinel-Kommunikation durch HTTP-Signaturen nach RFC 9421 abgesichert
Cloudflare WAF- und DDoS-Abwehr am Edge

Datenschutzverletzungen: Als Verantwortlicher dokumentieren wir Verletzungen und melden sie der zuständigen Behörde unverzüglich, möglichst innerhalb von 72 Stunden nach Kenntnis, sofern voraussichtlich ein Risiko für Rechte und Freiheiten besteht (Artikel 33 DSGVO). Bei hohem Risiko informieren wir Betroffene unverzüglich, vorbehaltlich der Ausnahmen in Artikel 34. Für im Auftrag verarbeitete Kundendaten verlangt das DPA eine unverzügliche Meldung an den Kunden innerhalb von 48 Stunden; diese Höchstfrist erlaubt kein Warten, wenn eine frühere Mitteilung möglich ist.

9. Cookies

Die Anwendung verwendet notwendige Authentifizierungs-Cookies mit den Attributen HttpOnly, Secure und SameSite=Strict. Wir setzen keine Werbe-Cookies von Drittanbietern ein. Wenn die Besuchsmessung auf nocert.io verfügbar ist, bitten wir Sie gesondert um Ihre Einwilligung, bevor wir einen kurzen Navigationsverlauf erfassen. Dieser enthält bekannte Seiten, Sprache, benannte Aktionen, technische Fehlerkategorien, ein geschätztes Land und eine grobe Herkunftskategorie. Formulareingaben, vollständige IP-Adressen, URL-Parameter und URL-Fragmente werden in diesen Besuchsdaten nicht gespeichert. Eine zufällige Kennung bleibt in Ihrem Tab und wird nach 30 Minuten Inaktivität erneuert; ein Besuch dauert höchstens 24 Stunden. Die Besuchsdetails werden 30 Tage in der aktiven Datenbank aufbewahrt und nicht mit Ihrem Konto verknüpft. Sicherungskopien folgen einem gesonderten Rotationsplan. Bei einer Wiederherstellung löschen wir die Besuchsdaten, bevor der Zugriff darauf wieder freigegeben wird. Ihre Zustimmung oder Ablehnung gilt in diesem Browser sechs Monate. Sie können sie über „Besuchsmessung“ im Seitenfuß ändern. Das Beenden der Messung fordert auch die Löschung des laufenden Besuchs an. Bei fehlender Netzwerkverbindung versuchen wir es erneut, sobald die Verbindung wieder verfügbar ist oder eine weitere Seite im selben Tab geladen wird. Ein gehashter Löschvermerk bleibt bis zu 30 Tage erhalten, um verspätete Ereignisse abzuweisen. Global Privacy Control deaktiviert die optionale Besuchsmessung. Die Website bleibt auch nach einer Ablehnung nutzbar. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Technische Anfrageprotokolle zur Sicherheit werden getrennt verarbeitet.

Der Zähler für Übergaben zur Registrierung arbeitet serverseitig und nur aggregiert. Er setzt und liest weder Cookies noch Werte im lokalen Speicher oder im Sitzungsspeicher noch Besucherkennungen. Ist Global Privacy Control aktiviert, wird die aggregierte Anzahl weiterhin erfasst, die Domain wird jedoch nicht an den bei Discord gehosteten Betriebskanal gesendet.

Cloudflare ist der Plattform für Edge-Auslieferung und Bot-Schutz vorgeschaltet. Cloudflare kann technisch notwendige Cookies setzen, insbesondere __cf_bm zur Bot-Erkennung mit einer Lebensdauer von bis zu 30 Minuten und, wenn eine Sicherheitsprüfung angezeigt wird, cf_clearance für deren Ergebnis. Diese Cookies dienen ausschließlich dazu, legitime Besucher von Bots zu unterscheiden und das Ergebnis einer Sicherheitsprüfung zu speichern. Nach den Leitlinien der CNIL ist keine vorherige Einwilligung erforderlich, weil die Cookies für einen vom Nutzer ausdrücklich angeforderten Dienst unbedingt notwendig sind.

10. Anonymisierte Aggregate und Bedrohungsinformationen

Aus den über den Dienst erhobenen Kundendaten können wir anonymisierte und aggregierte Statistiken ableiten, etwa zur Verteilung von Cipher Suites, zur Verbreitung von TLS-Protokollversionen, zur Post-Quantum-Bereitschaft nach Branche oder zu Marktanteilen von Zertifizierungsstellen. Vor jeder solchen Nutzung führen und dokumentieren wir eine Bewertung des Reidentifizierungsrisikos nach der Methodik der CNIL und der früheren Artikel-29-Datenschutzgruppe: Herausgreifen, Verknüpfbarkeit und Inferenz.

Daten, die weiterhin eine Person identifizieren können, auch durch angemessene Verknüpfung oder Schlussfolgerung, sind nicht anonym. Sie werden weder als anonyme Statistik veröffentlicht noch als von der DSGVO ausgenommen behandelt. Ein eigener Verarbeitungszweck erfordert vorab eine dokumentierte Rechtsgrundlage und erforderliche Information; diese Datenschutzerklärung allein erlaubt keine Wiederverwendung personenbezogener Kundendaten.

Zwecke: Produktverbesserung; Veröffentlichung sektoraler Bedrohungsinformationen und Forschung zum TLS-Ökosystem.
Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f DSGVO), nämlich das berechtigte Interesse von nocert und der Sicherheitsgemeinschaft, das TLS-Ökosystem zu verstehen und den Dienst zu verbessern.
Empfänger: interne nocert-Teams; Leser aller von uns veröffentlichten Berichte mit Bedrohungsinformationen.
Aufbewahrung: Aggregierte Statistiken können auf unbestimmte Zeit aufbewahrt werden, da sie keine Einzelpersonen mehr identifizieren.
Widerspruchsrecht: Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen. Schreiben Sie dazu an .

Wir verwenden personenbezogene Daten, ob roh oder aggregiert, nicht zum Trainieren, Feinabstimmen oder Bewerten von Modellen künstlicher Intelligenz oder maschinellen Lernens.

11. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail mitgeteilt. Das Datum „Letzte Aktualisierung“ oben gibt die aktuellste Überarbeitung an.