1. Grundsatz
SparWay ONE ist die Prozessschicht zwischen Vertrieb und Anbietern. Sicherheit heißt hier: wer darf welchen Vorgang sehen — und lässt sich das später nachweisen.
Zugriffskontrolle
Belegt im SystemZugriffe folgen Rollen und Berechtigungen (hausinterne Rollenmatrix, Anbieterrollen, Policies). Produktfreigaben steuern, welche Sparten eine Organisation nutzen darf. Bankdaten in erzeugten Dokumenten haben eine eigene Berechtigung.
Mandantentrennung
Belegt im SystemFachliche Datensätze tragen eine Mandantenbindung. Der Anwendungscode filtert über diesen Kontext. Das ist logische Trennung in einer Anwendung, kein hier belegtes physisch isoliertes Rechenzentrum je Kunde.
Nachvollziehbarkeit
Belegt im SystemWesentliche Statuswechsel werden historisiert (bisheriger Status, neuer Status, Zeitpunkt, Akteur, soweit das jeweilige Modul das so führt). Kontoereignisse und operative Vorgänge können gesondert protokolliert werden. Anträge im Gesundheitsmodul werden storniert, nicht still gelöscht.
Technischer Schutz (belegt)
Belegt im SystemPasswörter werden gehasht. Ausgewählte Felder (unter anderem IBAN, Versichertennummer, TOTP-Geheimnis) liegen feldverschlüsselt vor. Optionaler zweiter Faktor (TOTP). Die veröffentlichte Anwendung wird unter HTTPS angeboten. Debug-Ausgaben in der Produktionsumgebung sind im Anwendungscode unterbunden.
Nicht belegt: Verschlüsselung ruhender Datenträger, Session-Cookie- Verschlüsselung (Beispielkonfiguration unverschlüsselt), Backup-Konzept.
2. Datenschutz
Öffentliche Information: Datenschutzerklärung. Speicher auf dem Endgerät: Cookies. Ein Datenschutzbeauftragter ist nicht benannt.
3. Datenort
Hosting
Teilweise belegtDie Web-Anwendung wird auf https://app.sparway.de betrieben. Der rechtliche Hostingvertrag, das Rechenzentrumsland und die vollständige Unterauftragskette sind hier nicht so dokumentiert, dass „Hosting in Deutschland“ behauptet werden dürfte.
4. Unterauftragsverarbeiter
Eine öffentliche Liste namentlich benannter Unterauftragsverarbeiter wird hier nicht geführt. Die für den jeweiligen Mandantenvertrag maßgeblichen Auftragsverarbeiter stehen im Auftragsverarbeitungsvertrag, nicht in einer Marketingliste.
Optional und nur bei Konfiguration: Nutzung eines Sprachmodell-Dienstes in den USA für die Feldzuordnung von Tarifdokumenten. Das ist kein Standardprozessor für jeden Mandanten.
5. Betriebskontinuität
Es gibt keine öffentliche, belegte Aussage zu RTO, RPO oder Backup-Intervallen. Der Systemstatus ist bewusst ohne Live-Feed.
6. Meldung von Schwachstellen
Bitte Sicherheitsfunde an one@sparway.de senden. Eine gesonderte Security-Adresse oder ein Bug-Bounty-Programm ist nicht eingerichtet. Eine maschinenlesbare Hinweisdatei liegt unter /.well-known/security.txt.
Beschreiben Sie den Fund so, dass er nachvollziehbar ist, ohne Daten anderer Mandanten beizufügen. Wir bitten, keine öffentlichen Exploits zu verbreiten, bevor eine Behebung möglich war.
7. Nachweise und Dokumente
Es werden keine ISO-27001-, SOC-2-, BSI-C5-, TISAX- oder „GDPR-Certified“-Siegel gezeigt. Auftragsverarbeitung, TOM und individuelle Nachweise gehören in den Vertrag, nicht auf eine Marketingfläche.
8. Kontakt
Sparway GmbH, Alter Markt 10, 42275 Wuppertal. one@sparway.de.