Sicherheit & Datenschutz
Deine Daten in besten Händen
Favorade ist von Grund auf für Sicherheit und Datenschutz konzipiert. Enterprise-Grade Infrastruktur, DSGVO by Design und transparente Prozesse.
Datenschutz & DSGVO
Consent Logging
Jede Einwilligung wird mit Typ, Version, IP-Adresse, User-Agent und Zeitstempel protokolliert.
Datenexport (Art. 15)
Vollständiger JSON-Download aller personenbezogenen Daten auf Knopfdruck.
Löschung (Art. 17)
Cascade Delete über alle verknüpften Tabellen — vollständige Datenlöschung garantiert.
Aufbewahrungsfristen
Automatische Bereinigung: Benachrichtigungen >90 Tage, Audit-Logs >12 Monate, In-App >30 Tage.
Cookie Consent Banner
DSGVO-konformes Cookie-Banner mit Wahlmöglichkeit zwischen essenziellen und allen Cookies.
Datenschutzbeauftragter
Benannter Datenschutzbeauftragter mit direktem Kontaktweg für Betroffenenrechte.
Infrastruktur-Sicherheit
PostgreSQL mit Row Level Security
76 Tabellen mit aktiviertem RLS — jede Abfrage wird auf Datenbankebene isoliert.
Automatische RLS-Enforcement
CI/CD Pipeline prüft und erzwingt RLS auf allen Tabellen bei jedem Deployment.
Supabase (SOC 2, ISO 27001)
Gehostete Datenbank mit SOC 2 Typ II und ISO 27001 Zertifizierung.
Vercel (SOC 2, ISO 27001)
Edge-Deployment mit SOC 2 und ISO 27001 zertifizierter Infrastruktur.
Security Headers
HSTS (2 Jahre), X-Content-Type-Options, X-Frame-Options auf allen Responses.
Anwendungs-Sicherheit
HMAC-Verifizierung
Timing-safe HMAC-SHA256 auf allen Webhooks (WhatsApp, Shopify, Shopware, WooCommerce, Stripe).
API Rate Limiting
60 Requests pro Minute pro API-Key mit X-RateLimit-* Headers.
RBAC (5 Rollen, 12 Permissions)
Rollenbasierte Zugriffskontrolle mit Owner, Admin, Manager, Editor und Viewer.
Org-Isolation
Alle Datenbankabfragen enthalten organizationId — strikte Mandantentrennung.
Atomic Currency
UPDATE ... WHERE balance >= cost verhindert Überziehungen bei Punktetransaktionen.
Race Condition Protection
FOR UPDATE SKIP LOCKED auf Coupon-Einlösungen verhindert Doppelnutzung.
CSV Injection Prevention
Formel-Prefix-Schutz in allen Exporten verhindert Code-Injection über CSV-Dateien.
Approval & Audit
Content Versioning
Jede Änderung wird versioniert mit vollständigem Diff und Restore-Möglichkeit.
Approval Workflows
Draft → Review → Approve Workflow mit Auto-Expire nach 7 Tagen.
Audit Trail
Alle Admin-Aktionen werden mit Zeitstempel, Benutzer und Details geloggt.
Team-Rollen
Granulare Permissions pro Rolle — wer darf was sehen, bearbeiten und genehmigen.
AI & Daten
Kein AI-Training
AI-Aufrufe werden nicht zum Training der Modelle verwendet. Deine Daten bleiben privat.
Token-Tracking
Alle AI-Aufrufe werden in ai_sessions mit Token-Verbrauch und Dauer protokolliert.
Keine sensiblen Daten
Sensible personenbezogene Daten werden nie in AI-Prompts eingebettet.
LRU Cache mit TTL
In-Memory Cache mit TTL-basierter Bereinigung — keine dauerhafte Speicherung von AI-Antworten.
Verschlüsselung
TLS 1.3 in Transit
Alle Daten werden mit TLS 1.3 verschlüsselt übertragen.
AES-256 at Rest
Supabase verschlüsselt alle gespeicherten Daten mit AES-256.
HMAC-SHA256 Signaturen
Webhook-Signaturen werden mit HMAC-SHA256 erstellt und timing-safe verifiziert.
SHA-256 Hashing
Ad-Audience-Uploads werden vor der Übertragung mit SHA-256 gehasht.
SLA & Uptime
99.9% Uptime-Ziel
Enterprise-grade Verfügbarkeit mit kontinuierlichem Monitoring.
Health-Check Endpoint
Automatisierter /api/health Endpoint prüft DB-Konnektivität, Version und Umgebung.
Error Monitoring
Optionale Sentry-Integration für Echtzeit-Fehlererkennung und -analyse.
Reliable Background Jobs
Inngest-basierte Hintergrundprozesse mit automatischem 3x Retry bei Fehlern.