Wo werden Kundendaten gehostet?

Die Produktionsanwendung und verwalteten Datendienste von QReportly laufen mit EU-only-Hosting für Plattform-Workloads — konsistent mit unserer öffentlichen GDPR-Haltung.

Kann ein Unternehmen die Meldungen eines anderen sehen?

Nein. Meldungen, Mitglieder und Anhänge sind organisationsbezogen. Administrativer Zugriff erfordert eine autorisierte Rolle in dieser Organisation.

Ist der Meldekanal anonym?

Melder können ohne Mitarbeiterkonto einreichen — mit Tracking-Code und Zugangsschlüssel. Der öffentliche Kanal speichert keine Reporter-IP oder Fingerprinting-Daten. Absolute Anonymität hängt auch davon ab, was der Melder schreibt oder anhängt.

Nutzen Sie Ende-zu-Ende-Verschlüsselung für Meldeinhalte?

Der Verkehr ist mit TLS in Transit geschützt, und Speicherzugriff ist organisationsbezogen kontrolliert. Wir vermarkten keine echte clientseitige E2E-Verschlüsselung von Meldeinhalten als Kernfeature — wir bevorzugen präzise Sprache statt Buzzwords.

Wer kann einen Fall im Unternehmen lesen?

Nur Nutzer mit der passenden Unternehmensrolle (z. B. Eigentümer, Admins oder benannte Beauftragte je nach Konfiguration). Partner- und Beauftragtenportale sind wo zutreffend von allgemeinen Unternehmenseinstellungen getrennt.

Wie sind Zahlungen abgesichert?

Abonnements werden über Stripe abgerechnet. Kartennummern werden auf Stripe-Checkout-Oberflächen eingegeben; QReportly speichert keine vollständigen Kartennummern auf eigenen Servern.

Was sollte ein DPO oder IT-Reviewer als Nächstes prüfen?

Prüfen Sie Datenschutz-, Cookie- und AGB-Dokumente, dann Rollen und Aufbewahrungseinstellungen. Für Vendor-Fragebögen senden Sie Ihre Checkliste an den Support — wir antworten mit Fakten, nicht mit Marketing.

Trust Center

Sicherheit und Architektur für vertrauliches Melden

QReportly ist eine produktive EU-SaaS-Plattform für interne Hinweisgeberkanäle — mit Organisationsisolation, rollenbasiertem Zugriff, verschlüsseltem Transport und einem öffentlichen Meldefluss, der Identifikationsrisiken minimiert.

Diese Seite richtet sich an technische Einkäufer, Datenschutzbeauftragte und Führungsteams, die prüfen, ob QReportly für vertrauliches internes Melden geeignet ist. Wir beschreiben Kontrollen, die wir tatsächlich betreiben — ohne Details, die einem Angreifer helfen würden.

Vertrauenssäulen

Vertrauliches Melden by Design

Der öffentliche Kanal ist für Personen gebaut, die ohne Mitarbeiterkonto melden müssen.

Anonyme Meldungen nutzen Tracking-Code und Zugangsschlüssel getrennt von der Arbeitsidentität.
Der öffentliche Flow speichert bewusst keine IP-Adresse, User-Agent oder Fingerprinting-Daten.
Bildanhänge werden beim Upload neu verarbeitet, um EXIF und ähnliche Metadaten zu entfernen.
Nachfragen bleiben im Fall — nicht in gemeinsamen Postfächern oder generischen E-Mail-Threads.

Zugriffskontrolle und Trennung der Aufgaben

Nur autorisierte Unternehmensrollen können Fallmaterial öffnen. Partner- und Beauftragten-Flows sind vom Hauptdashboard getrennt.

Workspace-Daten sind organisationsbezogen — Meldungen und Dateien werden nicht vermischt.
Plattformrollen umfassen Eigentümer, Admin, Mitglied und benannten Beauftragten mit klaren Aufgaben.
Partnerkonten und Beauftragtenzugang nutzen eigene Authentifizierungspfade.
Sitzungsbasierte Authentifizierung schützt Admin-Oberflächen; öffentliche Melde-URLs reichen nicht zur Unternehmensverwaltung.

Infrastruktur und Zahlungen

Produktionslasten laufen auf etablierten EU-Cloud-Anbietern; Kartenzahlungen über einen spezialisierten Processor.

Plattforminfrastruktur ist in der Europäischen Union gehostet (Anwendung und verwaltete Datenbank-/Speicherdienste).
Gesamter Browser- und API-Verkehr nutzt TLS-Verschlüsselung in Transit.
Objektspeicher für Anhänge nutzt Zugriffskontrolle pro Organisation.
Abonnements laufen über Stripe Checkout und Kundenportal — Kartendaten bleiben bei Stripe.

Operative Integrität

Compliance-Workflows sind Produktfunktionen, keine nachträglich angehängten Tabellen.

Eingangsbestätigung und Fallbearbeitung sind im Produktworkflow für Kanäle nach Richtlinie (EU) 2019/1937 integriert.
Aufbewahrung kann der internen Richtlinie des Arbeitgebers folgen; Anhänge können bei Ablauf gelöscht werden.
Ein elektronisches Register unterstützt auditnahe Falldokumentation.
Rechtliche Hinweise, Datenschutz- und Cookie-Richtlinie sind öffentlich — nicht hinter Sales-Calls versteckt.

Architektur im Überblick

Multi-Tenant-Anwendungsmodell: Jede Kundenorganisation ist ein eigener logischer Workspace. Meldungen, Mitgliedschaft und Anhänge sind an diese Organisationsgrenze gebunden.
Authentifizierungsschichten: Unternehmensnutzer melden sich am Dashboard mit Kontodaten an (optional Google, sofern konfiguriert). Beauftragte und Partner nutzen eigene Flows, damit Privilegien getrennt bleiben.
Passwortschutz: Kontopasswörter werden als einseitige bcrypt-Hashes gespeichert — nicht als umkehrbarer Klartext.
Transportsicherheit: HTTPS/TLS schützt Daten zwischen Browsern, APIs und der Plattform-Edge. Wir behaupten keine clientseitige Ende-zu-Ende-Verschlüsselung von Meldeinhalten als Produktfeature.
Anhangverarbeitung: Uploads werden ggf. von identifizierenden Metadaten bereinigt und unter organisationsbezogenen Zugriffsregeln gespeichert.
Billing-Isolation: Zahlungsinstrumente werden von Stripe verarbeitet. QReportly speichert Abonnement- und Kundenreferenzen für den Betrieb — keine vollständigen Karten-PANs.

Verantwortungsvolle Transparenz

Vertrauen heißt auch zu wissen, was wir nicht veröffentlichen. Zu viele Infrastrukturdetails erhöhen das Risiko für alle Kunden.

Was wir hier teilen: Sicherheitsprinzipien, Zugriffsmodell, Hosting-Region, Zahlungsabwicklung, Anonymitätsdesign des öffentlichen Kanals und Links zu Rechtsdokumenten.
Was wir nicht veröffentlichen: Interne Netzdiagramme, exakte Firewall-Regeln, unveröffentlichte Schwachstellendetails, Mitarbeiterzugangsdaten oder schrittweise Angriffsflächenkarten.
Zertifizierungen: Wir beschreiben Kontrollen, die wir heute betreiben. Wir beanspruchen auf dieser Seite kein SOC 2, ISO 27001 o. Ä., sofern nicht unabhängig abgeschlossen und hier gelistet.
Sicherheitskontakt: Für Datenschutz- oder Sicherheitsfragen zu Evaluation oder Einsatz kontaktieren Sie den Support über den veröffentlichten Kanal. Senden Sie keine Live-Zugangsdaten oder Exploit-Payloads per E-Mail.

Technische & Sicherheits-FAQ

Wo werden Kundendaten gehostet?: Die Produktionsanwendung und verwalteten Datendienste von QReportly laufen mit EU-only-Hosting für Plattform-Workloads — konsistent mit unserer öffentlichen GDPR-Haltung.
Kann ein Unternehmen die Meldungen eines anderen sehen?: Nein. Meldungen, Mitglieder und Anhänge sind organisationsbezogen. Administrativer Zugriff erfordert eine autorisierte Rolle in dieser Organisation.
Ist der Meldekanal anonym?: Melder können ohne Mitarbeiterkonto einreichen — mit Tracking-Code und Zugangsschlüssel. Der öffentliche Kanal speichert keine Reporter-IP oder Fingerprinting-Daten. Absolute Anonymität hängt auch davon ab, was der Melder schreibt oder anhängt.
Nutzen Sie Ende-zu-Ende-Verschlüsselung für Meldeinhalte?: Der Verkehr ist mit TLS in Transit geschützt, und Speicherzugriff ist organisationsbezogen kontrolliert. Wir vermarkten keine echte clientseitige E2E-Verschlüsselung von Meldeinhalten als Kernfeature — wir bevorzugen präzise Sprache statt Buzzwords.
Wer kann einen Fall im Unternehmen lesen?: Nur Nutzer mit der passenden Unternehmensrolle (z. B. Eigentümer, Admins oder benannte Beauftragte je nach Konfiguration). Partner- und Beauftragtenportale sind wo zutreffend von allgemeinen Unternehmenseinstellungen getrennt.
Wie sind Zahlungen abgesichert?: Abonnements werden über Stripe abgerechnet. Kartennummern werden auf Stripe-Checkout-Oberflächen eingegeben; QReportly speichert keine vollständigen Kartennummern auf eigenen Servern.
Was sollte ein DPO oder IT-Reviewer als Nächstes prüfen?: Prüfen Sie Datenschutz-, Cookie- und AGB-Dokumente, dann Rollen und Aufbewahrungseinstellungen. Für Vendor-Fragebögen senden Sie Ihre Checkliste an den Support — wir antworten mit Fakten, nicht mit Marketing.

QReportly mit klaren Erwartungen bewerten

Starten Sie einen Workspace, prüfen Sie Preise oder stellen Sie vor der Entscheidung eine Sicherheitsfrage. Vertrauliches Melden verdient eine Plattform, die ihre Kontrollen ehrlich erklärt.

Konto erstellen Preise ansehenSupport kontaktieren