Sicherheit bei Ojava
Wie wir Ihre Daten schützen — und was wir gar nicht erst erfassen.
Keine Datei- oder E-Mail-Inhalte erfasst
Ojava erfasst nur Metadaten: Anmeldeereignisse, Postfachregel-Änderungen, OAuth-Freigaben, MFA-Anfragen, Administrator-Aktionen. Wir laden niemals Inhalte von E-Mails, Anhängen, OneDrive- oder Drive-Dateien herunter oder speichern sie. Was wir zur Angriffserkennung nicht brauchen, fragen wir nicht ab.
Mandantentrennung
Jede Datenbankabfrage ist auf der Anwendungsebene auf die anfragende Organisation begrenzt; ein mandantenübergreifender Zugriff ist konstruktiv unmöglich. Wir überwachen jede authentifizierte Anfrage und protokollieren privilegierte Aktionen — siehe Audit-Log im Dashboard.
Verschlüsselung in Transit und im Ruhezustand
Aller Datenverkehr läuft über TLS 1.3 (keine Downgrades). Datenbank, Objektspeicher und Backups sind im Ruhezustand AES-256-verschlüsselt. OAuth-Tokens werden zusätzlich auf Anwendungsebene mit Fernet verschlüsselt — sie bleiben selbst bei Datenbankzugriff unlesbar.
EU-Datenstandort
Die Produktion läuft bei Hetzner Frankfurt (Deutschland) — vollständig innerhalb der EU. Backups bleiben in der EU. Unterauftragsverarbeiter sind im AVV dokumentiert und werden jährlich überprüft. Ein reiner Schweizer Standort ist für Enterprise-Kunden auf unserer Roadmap.
DSGVO- und Schweizer nDSG-Konformität
Wir verarbeiten personenbezogene Daten als Auftragsverarbeiter für Ihre Organisation. Ein Auftragsverarbeitungsvertrag (AVV/DPA) ist auf Anfrage verfügbar und Bestandteil jedes kostenpflichtigen Vertrags. Anfragen zu Auskunft, Export und Löschung unterstützen wir über Ihr Konto oder per E-Mail an privacy@ojava.ch.
Verantwortungsvolle Offenlegung
Haben Sie eine Sicherheitslücke gefunden? Schreiben Sie an security@ojava.ch mit technischen Details. Wir bestätigen innerhalb von 48 Stunden und koordinieren eine Behebung.
SOC 2-Roadmap
Wir verfolgen SOC 2 Type II für das zweite Betriebsjahr. In der Zwischenzeit orientieren sich unsere internen Kontrollen am SOC 2-Kontrollkatalog, und wir kommunizieren materielle Änderungen (Unterauftragsverarbeiter, AVV, Vorfallshistorie) an die Kunden.