Sicherheit und Datenschutz

So schützen wir die Daten Ihres Studios

• Verschlüsselung bei der Übertragung

  Alles, was zwischen Ihrem Browser oder der App und unseren Servern übertragen wird, ist mit TLS (HTTPS) verschlüsselt. Zusätzlich senden wir den HSTS-Header, der den Browser verpflichtet, ein Jahr lang immer HTTPS für die Verbindung mit uns zu verwenden.

• Verschlüsselung sensibler Daten

  Daten besonderer Kategorien in den gesundheitsbezogenen Pflichtangaben (wie ethnische Herkunft, Geschlechtsidentität, Behinderung oder Krankenversicherer) werden verschlüsselt gespeichert. Auch die Zugangsdaten der Zahlungsanbieter und der Integrationen jedes Standorts werden verschlüsselt gespeichert, und die privaten Schlüssel der Zertifikate sind durch ein Passwort geschützt, das mit einem Server-Geheimnis verstärkt wird, das nicht in der Datenbank liegt.

• Jedes Studio ist von den anderen getrennt

  Jede Person arbeitet mit einem Profil, das an ein Unternehmen und einen Standort gebunden ist, und Berechtigungen und Abfragen sind auf diesen Bereich beschränkt. Ein Studio sieht die Daten eines anderen nicht, und innerhalb eines Studios sieht jede Rolle nur das, was ihr Standort erlaubt.

• Verschlüsselte und geprüfte Backups

  Wir erstellen täglich ein Backup der Datenbanken. Jedes Backup wird verschlüsselt (AES-256), bevor es den Server verlässt, und in verschlüsseltem Speicher abgelegt; die Backups werden 15 Tage aufbewahrt. Damit wir sicher sind, dass sie tatsächlich funktionieren, führen wir einen Wiederherstellungstest durch, der ein Backup in einer separaten Umgebung einspielt und prüft, dass die Daten darin enthalten sind.

• QR-Codes für den Zutritt zur einmaligen Verwendung

  Der QR-Code, den das Mitglied am Drehkreuz vorzeigt, wird zufällig erzeugt, ist nur einmal verwendbar und wird erneuert, sobald er eine Tür geöffnet hat. Wird er nicht verwendet, läuft er nach 24 Stunden ab und wird durch einen neuen ersetzt. Es gibt keinen festen Schlüssel, der kopiert oder weitergeleitet werden könnte.

• Audit-Protokoll

  Relevante Aktionen werden protokolliert, mit der Angabe, wer sie ausgeführt hat und über welchen Kanal (Panel, App oder Assistent), damit nachvollzogen werden kann, was wann passiert ist.

Schutz der Konten

• Passwörter

  Neue Passwörter müssen mindestens 8 Zeichen lang sein (und höchstens 72). Sie werden nie im Klartext gespeichert.

• Begrenzung von Anmeldeversuchen

  Wenn jemand wiederholt das falsche Passwort eingibt, wird der Zugang für eine gewisse Zeit gesperrt. Die Sperre hebt sich von selbst auf und macht das Konto nicht unbrauchbar.

• Zwei-Faktor-Authentifizierung (2FA)

  Verfügbar mit jeder Authenticator-App (Google Authenticator, Authy und ähnliche), mit Wiederherstellungscodes für den Fall, dass Sie Ihr Handy verlieren. Sie ist verpflichtend für die Administratoren der Plattform und für das Team der Standorte, die sich dafür entscheiden, sie vorzuschreiben; wer sie selbst aktiviert, kann sie bei der Anmeldung nicht mehr umgehen. Wenn Sie ein Gerät als vertrauenswürdig markieren, werden Sie 7 Tage lang nicht erneut danach gefragt.

• Ablauf der Sitzung

  Sitzungen im Panel laufen nach 7 Tagen ab, und Sie müssen sich erneut anmelden. Sie können Ihre aktiven Sitzungen einsehen und beenden.

Wo die Daten liegen

Die Server und Datenbanken der Plattform befinden sich bei Amazon Web Services, in einem Rechenzentrum in Spanien (Europäische Union). Der Assistent LAIA arbeitet mit KI-Modellen, die auf Servern in der Europäischen Union ausgeführt werden. Weitere Details zur Datenverarbeitung finden Sie in der Datenschutzerklärung.

Anbieter, die Daten verarbeiten (Unterauftragsverarbeiter)

Dies sind die Anbieter, die Daten Ihres Studios verarbeiten, damit der Dienst funktioniert. Sie verwenden die Daten nur nach unseren Weisungen.

Wenn das Studio Integrationen mit anderen Diensten aktiviert (Körperanalysewaagen, Verwaltungssoftware), werden die Daten mit diesen geteilt, weil das Studio dies so entscheidet. Befindet sich ein Anbieter ausserhalb des Europäischen Wirtschaftsraums, stützt sich die Übermittlung auf das EU-US Data Privacy Framework oder auf die Standardvertragsklauseln der Europäischen Kommission.

Auftragsverarbeitungsvertrag (AVV)

Wenn Ihr Studio einen Auftragsverarbeitungsvertrag mit uns abschliessen muss, senden wir ihn Ihnen auf Anfrage zu. Schreiben Sie dazu an info@fitmewise.com.

Richtlinie zur Offenlegung von Sicherheitslücken

Wenn Sie glauben, in Fitmewise eine Sicherheitslücke gefunden zu haben, möchten wir davon wissen. Danke, dass Sie uns verantwortungsvoll informieren.

So melden Sie eine Lücke

Schreiben Sie uns an info@fitmewise.com. Die Kontaktdaten finden Sie auch unter /.well-known/security.txt.

Was die Meldung enthalten sollte

• Was Sie gefunden haben und wo (Webadresse, Bildschirm oder Endpoint).
• Die Schritte zur Reproduktion, mit einem Proof of Concept, falls vorhanden.
• Welche Auswirkungen Sie vermuten und welche Daten betroffen sein könnten.
• Ihre Kontaktdaten, falls wir weitere Informationen benötigen (Sie können anonym schreiben, dann können wir Ihnen aber nicht antworten).

Was im Geltungsbereich liegt

• fitmewise.com
• das Dashboard (das Verwaltungspanel des Studios)
• die API von Fitmewise
• die mobilen Apps von Fitmewise und die der einzelnen Studios

Was nicht im Geltungsbereich liegt

• Denial-of-Service-Angriffe (DoS/DDoS) oder Lasttests.
• Social Engineering gegen Mitarbeiter, Studios oder Mitglieder (Phishing, Anrufe usw.).
• Physische Angriffe auf Büros, Geräte oder Einrichtungen.
• Versand von Spam oder Massennachrichten über unsere Formulare oder Kanäle.

Guter Glaube

Wenn Sie in gutem Glauben handeln, nicht auf mehr Daten zugreifen, als zum Nachweis der Lücke nötig sind, diese weder verändern noch zerstören, den Dienst nicht beeinträchtigen und uns vor einer Veröffentlichung eine angemessene Frist zur Behebung einräumen, werden wir wegen dieser Untersuchung keine rechtlichen Schritte gegen Sie einleiten.

Reaktionszeiten

Wir bestätigen den Eingang innerhalb von maximal 5 Werktagen und halten Sie über den Fortschritt der Behebung auf dem Laufenden.

Belohnungen

Wir haben kein Programm mit finanziellen Belohnungen (Bug Bounty): Wir zahlen nicht für Meldungen, danken Ihnen aber sehr für Ihren Einsatz.