Ihre Konten und Daten bleiben in Ihrem Besitz
Ein Wachstumspartner sieht Budgets, Ergebnisse und Kundenpipelines. Dieser Zugriff sollte eng begrenzt, protokolliert und leicht widerrufbar sein. Der Service läuft verteilt und verschlüsselt in mehr als 125 Ländern, und die unten beschriebenen Kontrollen sind fest in FOCUSADS.si eingebaut. Wir beschreiben, was sie leisten, nicht die Anbieter und Versionen dahinter, damit diese Seite Angreifern keine Landkarte liefert.
Drei Regeln, nach denen wir entwickeln
Das Eigentum bleibt bei Ihnen
Werbekonten, Pixel, Analytics und CRM bleiben auf Ihren Namen. Wir arbeiten über Nutzer- oder Partnerzugriffe, die Sie erteilen und jederzeit entziehen können. Wir fragen nie nach Passwörtern.
Minimale Rechte, ohne Ausnahme
Mitarbeitende sehen nur, was ihre Rolle erfordert. Kunden sehen nur ihren eigenen Arbeitsbereich. Jede sensible Aktion hinterlässt einen Audit-Eintrag, der nachträglich nicht bearbeitet werden kann.
Belege statt Behauptungen
Gemeldete Zahlen tragen ihre Quellplattform, das Konto, den Zeitraum, die Währung und den Erfassungszeitpunkt, sodass Sie sie mit dem Dashboard der Plattform abgleichen können.
Kontrollen im Produkt
Verpflichtende Zwei-Faktor-Authentifizierung
Jedes Kunden- und Mitarbeiterkonto muss eine Authenticator-App (Google Authenticator oder eine beliebige TOTP-App) einrichten, bevor sich das Dashboard oder die Operations-Konsole öffnet.
- QR-Code und manueller Schlüssel bei der Einrichtung, bestätigt mit einem ersten Code.
- Einmal verwendbare Wiederherstellungscodes, nur als Hashes gespeichert.
- Anmelde- und MFA-Ereignisse werden im Audit-Log erfasst.
Mandantentrennung auf zwei Ebenen
Jeder Kunden-Arbeitsbereich ist im Anwendungscode und zusätzlich in der Datenschicht selbst getrennt, sodass auch eine im Code fehlende Prüfung keine Datensätze eines anderen Kunden zurückgeben kann.
- Jede Anfrage läuft in einem Kontext, der Arbeitsbereich und Rolle festlegt.
- Serverseitige Autorisierung bei jedem Lese- und Schreibvorgang; bei Rollen wird dem Browser nie vertraut.
- Automatisierte Tests versuchen, mandantenübergreifend auf Berichte, Ausgaben, Aufgaben, Rechnungen und Mediapläne zuzugreifen.
Delegierter Plattformzugriff
Wir beantragen Zugriff über Verknüpfungen mit Google-Ads-Verwaltungskonten, Partnerzugriff in Meta Business, Kontorollen bei LinkedIn und entsprechende Funktionen anderer Plattformen. Jede Freigabe können Sie in Ihren Plattformeinstellungen einsehen und widerrufen.
- Keine geteilten Logins, keine Erfassung von Passwörtern.
- Der Zugriffsstatus wird in Ihrem Dashboard pro Konto angezeigt.
Audit-Log, das nur ergänzt werden kann
Anmeldungen, MFA-Änderungen, Änderungen an Rollen und Zugriffen, Abrechnungsereignisse, die Veröffentlichung von Berichten und Datenexporte werden erfasst. Die Datenbank lehnt Änderungen oder Löschungen von Audit-Einträgen ab.
- IP-Adressen werden vor der Speicherung pseudonymisiert.
- Secrets und Tokens werden nie in Logs geschrieben.
Verschlüsselte Übertragung und strikte Header
Der gesamte Datenverkehr nutzt TLS mit HSTS. Die Anwendung sendet eine Content Security Policy, Frame-Schutz, eine strikte Referrer-Policy und eine restriktive Permissions Policy.
- Session-Cookies sind HttpOnly, Secure und SameSite=Lax.
- Anmelde- und Formular-Endpunkte sind ratenbegrenzt.
Kartenzahlungen bleiben außerhalb unserer Systeme
Checkout, Rechnungen und das Abrechnungsportal laufen über einen nach PCI DSS zertifizierten Zahlungsanbieter. Kartennummern erreichen unsere Server nie. Der Zahlungsstatus ändert sich nur durch signierte, verifizierte Ereignisse, die jeweils einmal verarbeitet werden.
- Wiederholte Ereignisse haben keine Wirkung.
- Mediaausgaben werden nicht über FOCUSADS abgerechnet, es sei denn, Ihr Bestellformular sieht dies vor.
Signierte Datenübernahme
Leistungsnachweise gelangen nur über kryptografisch signierte, zeitlich begrenzte und einmal verwendbare Anfragen in die Plattform, sodass erfasste Daten weder gefälscht noch erneut eingespielt werden können.
- Verspätete oder wiederholte Anfragen werden abgelehnt.
- Korrekturen werden als Revisionen gespeichert; veröffentlichte Berichtsversionen lassen sich nicht ändern.
Verteilt und verschlüsselt in über 125 Ländern
Der Service wird über ein verteiltes Netzwerk in mehr als 125 Ländern bereitgestellt, verschlüsselt bei der Übertragung und im Ruhezustand. Produktions- und Testumgebungen sind vollständig getrennt, und Testumgebungen werden nie indexiert.
- Secrets liegen in einem verwalteten Secret-Speicher, getrennt je Umgebung, nie im Quellcode.
- Scans auf Abhängigkeiten, Secrets und Code laufen bei jeder Änderung.
Datenverarbeitung auf einen Blick
- Verantwortlicher
- THEFOCUS LTD für Anfragen über die Website und für Konten; Sie als Kunde für die Daten in Ihrem Arbeitsbereich.
- Anwendbares Recht
- UK-DSGVO, der Data Protection Act 2018 und PECR.
- Besondere Kategorien personenbezogener Daten
- Nicht zulässig. Gesundheitsdaten oder andere sensible Daten dürfen weder hochgeladen noch für Targeting verwendet werden.
- Meldung von Datenschutzverletzungen
- Kunden werden unverzüglich benachrichtigt, innerhalb von 48 Stunden, nachdem wir davon Kenntnis erlangt haben.
- Retention
- Audit-Logs 24 Monate; Kundendaten für die Vertragslaufzeit plus 6 Jahre; nicht konvertierte Anfragen 24 Monate.
- Unterauftragsverarbeiter
- Nach Kategorien aufgeführt auf der Seite „Unterauftragsverarbeiter“: Infrastruktur und Hosting, Zahlungen, E-Mail und Analytics (nur mit Einwilligung). Die namentliche Liste steht Kunden im Dashboard und auf Anfrage zur Verfügung.
Eine Schwachstelle gefunden?
Melden Sie sie über das Kontaktformular und wählen Sie „Sicherheitsmeldung“. Geben Sie die betroffene URL, die Schritte zur Reproduktion und die Auswirkungen an. Bitte greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, und stören Sie den Service nicht. Wir bestätigen Meldungen innerhalb von zwei britischen Werktagen und halten Sie auf dem Laufenden, bis die Korrektur ausgeliefert ist.
Sicherheitsmeldung sendenWas wir nicht behaupten
- Wir verfügen derzeit über keine Zertifizierung nach ISO 27001 oder SOC 2. Sollte sich das ändern, nennt diese Seite die Details des Zertifikats.
- Wir sind kein offizieller Partner der auf dieser Website genannten Werbeplattformen, sofern eine Seite nicht das konkrete Programm nennt.
- Keine Sicherheitsmaßnahme beseitigt jedes Risiko. Wir beschreiben, was vorhanden ist und wie wir reagieren, wenn etwas schiefgeht.
Brauchen Sie die Passwörter unserer Werbekonten? Nein. Wir beantragen Zugriff über das Berechtigungssystem der jeweiligen Plattform, zum Beispiel eine Verknüpfung mit einem Google-Ads-Verwaltungskonto oder Partnerzugriff in Meta Business. Sie genehmigen ihn in der Plattform und können ihn jederzeit entfernen.
Kann ein anderer Kunde unsere Daten sehen? Nein. Arbeitsbereiche sind im Anwendungscode und zusätzlich in der Datenschicht isoliert, und wir testen mandantenübergreifende Zugriffsversuche automatisiert.
Ist die Zwei-Faktor-Authentifizierung optional? Nein. Jedes Kunden- und Mitarbeiterkonto muss eine Authenticator-App einrichten, bevor es auf das Dashboard oder die Operations-Konsole zugreifen kann.
Wo werden unsere Daten gehostet? In einem verteilten, verschlüsselten Netzwerk in mehr als 125 Ländern. Übermittlungen außerhalb des Vereinigten Königreichs stützen sich auf anerkannte Garantien, die in der Datenschutzerklärung und auf der Seite „Unterauftragsverarbeiter“ beschrieben sind.
Brauchen Sie vor der Unterzeichnung eine Sicherheitsprüfung?
Enterprise-Teams können während der Qualifizierung unsere Antworten auf Sicherheitsfragebögen und die Auftragsverarbeitungsvereinbarung anfordern.