Prüfbare Grenzen statt pauschaler Compliance-Versprechen
Dokumentierte Anbieterpfade und arbeitsbereichsgebundene Zugriffskontrollen. Ein vollständiger AVV muss mit dem tatsächlichen Kundenunternehmen vor Produktivstart separat ausgeführt werden. SSO, erweiterte Audit-Exporte und spezielle Deployment-Modelle sind Roadmap-Themen.
- Art. 28AVV separat vor ProduktivstartKundenpflicht
- Art. 32Maßnahmen pfadbezogen prüfenBegrenzt
- Art. 17Gestufter LöschprozessBegrenzt
- Art. 20Begrenzter JSON-ExportBegrenzt
- Art. 30Verantwortung des KundenKundenpflicht
- Art. 35Bewertung des KundenKundenpflicht
Begrenzte Ereignissicht statt Vollständigkeitsversprechen
Die aktuelle Settings-Ansicht bündelt eine definierte Teilmenge kundenrelevanter Ereignisse. Die Visualisierung darunter ist synthetisch; sie ist weder Live-Telemetrie noch der Nachweis eines lückenlosen Audit-Trails.
- 15:42:11owner@beispiel.desettings.updateSynthetisches Beispielereignis
- 15:43:04owner@beispiel.deknowledge.uploadproduktblatt.pdf · Beispieldatensatz
- 15:45:32systemtask_completedSynthetische Aufgabenreferenz
- 15:47:18assistentemail.draftNur Beispiel · kein Versand
- 15:51:09owner@beispiel.deintegration.connectSynthetischer Connector
Dokument, Produktgrenze und Kundenpflicht getrennt
Die öffentliche Anbieterübersicht ist weder ein ausgeführter AVV noch eine TOM-Anlage. Sie ersetzt außerdem weder das Verzeichnis der Verarbeitungstätigkeiten noch eine Datenschutz-Folgenabschätzung des Verantwortlichen.
Auftragsverarbeitung
Vollständigen AVV separat vor Produktivstart ausführen
Sicherheit der Verarbeitung
Maßnahmen je Anbieter, Datenpfad und Konfiguration bewerten
Datenschutz-Folgenabschätzung
Bewertung des Verantwortlichen · keine automatische DSFA
Verzeichnis der Verarbeitungstätigkeiten
Pflicht des Verantwortlichen · Aktivitätslog ist kein Ersatz
Datenübertragbarkeit
Begrenzter JSON-Export · weitergehende Auskunft separat
Recht auf Löschung
Gestufter 30-Tage-Prozess · Anbietergrenzen vor Abschluss prüfen
Datenweg, Rechte, Löschung und Nachweise vorab prüfen
Single Sign-On
SAML/OIDC und SCIM sind geplant, derzeit aber kein freigegebener Bestandteil der Tarife. Verfügbarkeit wird erst nach produktivem End-to-End-Nachweis zugesagt.
Datenexport (Art. 20)
Der begrenzte JSON-Export enthält dokumentierte Zeilenlimits und keine geheimen Schlüssel. Er ist kein vollständiger Abzug des Arbeitsbereichs; weitergehende Auskünfte müssen separat angefordert werden.
Recht auf Löschung (Art. 17)
Eine Kontolöschung kann mit 30-tägiger Widerrufsfrist angestoßen werden. Der technische Ablauf arbeitet schrittweise und stoppt bei ungeklärten Restdaten externer Anbieter; eine pauschal lückenlose Lösch- oder Prüfprotokoll-Zusage folgt daraus nicht.
Verschlüsselung
Transport und Datenhaltung nutzen die dokumentierten Verschlüsselungsmechanismen der eingesetzten Infrastruktur-Anbieter. Separate HSM-Schlüssel je Arbeitsbereich sind derzeit kein Produktversprechen.
Belegte Kontrollgrenzen für die technische Prüfung
Häufige Fragen aus IT- und Compliance-Audits
Wo genau sind die Server?
Noctive nutzt mehrere Infrastruktur- und Funktionsanbieter. Die öffentliche Anbieterübersicht beschreibt den vorgesehenen Anbieterstand; maßgeblich bleiben der konkret aktivierte Produktpfad, die Kontokonfiguration und die separat ausgeführten Verträge. Eine pauschale Aussage zur ausschließlichen Verarbeitung in der EU machen wir nicht.Wie steht es um Penetration-Tests?
Wir nennen externe Pen-Tests, Frequenzen oder Berichte erst, wenn ein belastbarer Nachweis vorliegt. Sicherheitsmeldungen können an info@noctive.de gesendet werden; eine pauschale Reaktionszeit versprechen wir nicht ohne operativ belegtes SLA.Welche Unterauftragsverarbeiter setzen Sie ein?
Die öffentliche Anbieterübersicht nennt den derzeit vorgesehenen Anbieterstand. Vor Produktivstart müssen aktivierte Funktionen, tatsächliche Kontokonfiguration, Speicherfristen, Transfers und die jeweils geltenden Vertragsanlagen konkret abgeglichen und ausgeführt werden.Können wir die Engine on-premise betreiben?
Noch nicht als Standardprodukt. Ein kundenseitiges Betriebsmodell wäre ein separates Enterprise-Projekt und setzt vor jeder Zusage eine technische, vertragliche und sicherheitsseitige Prüfung voraus.Was passiert mit unseren Daten bei Vertragsende?
Der implementierte Löschprozess für einen Arbeitsbereich beginnt mit einer 30-tägigen Widerrufsfrist und arbeitet danach anbieter- und datenpfadbezogen. Ungeklärte externe Reste blockieren den Abschluss. Gesetzliche Aufbewahrungspflichten und Anbieterfristen müssen im konkreten Vertrag geprüft werden.
Prüfen Sie Dokumente und Produktgrenzen direkt
Die öffentliche Anbieterübersicht und die Datenschutzhinweise zeigen den dokumentierten Arbeitsstand, sind aber kein ausgeführter AVV. Zusätzliche Unterlagen, Zertifikate oder Prüfberichte werden erst zugesagt, wenn sie tatsächlich vorliegen.
- Anbieter dokumentiert
- Freigaben vor Wirkung
- Team in München