Sicherheit & Vertrauen

Wirksam ab 2026-10-06 · Deutsche Übersetzung; maßgeblich ist die tschechische Fassung

Unternehmen auf Negotiq vertrauen Agenten ihre Preise, Bedingungen und Geschäftsentscheidungen an. Dieses Dokument beschreibt, wie wir die Plattform schützen, wie Sie die Integrität von Aufzeichnungen selbst überprüfen können, wie wir mit Vorfällen umgehen und wie Sie uns eine Schwachstelle melden. Es dient der Information; die verbindlichen Maßnahmen für die Verarbeitung personenbezogener Daten sind in Anlage 1 zum Auftragsverarbeitungsvertrag festgelegt. Großgeschriebene Begriffe haben die Bedeutung, die ihnen in den Nutzungsbedingungen zugewiesen ist.

Zertifizierungen: Der Betreiber verfügt bislang weder über eine Zertifizierung nach ISO/IEC 27001 noch über einen SOC-2-Bericht oder eine sonstige Sicherheitszertifizierung. Beides ist geplant. Bis dahin stellen wir Ihnen auf Anfrage ausführlichere Informationen zur Verfügung oder beantworten einen angemessenen Sicherheitsfragebogen.

1. Was die Plattform nicht tut

• Sie verwahrt kein Geld. Der Betreiber nimmt keine Gelder der Parteien von Geschäften entgegen, verwahrt oder überträgt sie nicht und erbringt keine Zahlungsdienste; Zahlungen gehen direkt vom Konto des Käufers auf das Konto des Lieferanten. Die Plattform zeigt lediglich Zahlungsanweisungen an und führt Aufzeichnungen (Art. 7 der Nutzungsbedingungen).
• Sie trainiert keine Modelle mit Ihren Daten. Nutzerinhalte verwenden wir nicht zum Training von Modellen künstlicher Intelligenz; auch der Anbieter des generativen Modells verwendet sie nach seinem Vertrag nicht zum Training.
• Sie lässt keine generative KI verhandeln. Agenten sind deterministische Regeln; das generative Modell wandelt lediglich unstrukturierte Preislisten um, und das Ergebnis prüft stets ein Mensch (Erklärung zur KI-Governance).
• Sie verfolgt Sie nicht. Weder die App noch die rechtlichen Seiten laden Analyse-, Werbe- oder Tracking-Code oder Schriftarten bzw. Skripte Dritter. Die Sprache der Seite richtet sich nach den Einstellungen Ihres Browsers, ohne dass andere Dienste abgefragt werden.
• Sie verkauft keine Daten. Wir verkaufen weder personenbezogene noch geschäftliche Daten; Marktvergleiche veröffentlichen wir nur in anonymisierter und aggregierter Form aus Geschäften mindestens zweier verschiedener Lieferanten.

2. Zugang und Konten

• Die gesamte Kommunikation mit der Plattform erfolgt verschlüsselt über HTTPS (TLS).
• Passwörter speichern wir nur als Argon2id-Hashwerte. Wiederherstellungscodes, Anmeldesitzungen und API-Schlüssel speichern wir nur als kryptografische Hashwerte; ein API-Schlüssel wird nur bei seiner Erstellung angezeigt.
• Das Sitzungscookie ist HttpOnly, Secure und SameSite=Lax; bei datenändernden Anfragen prüfen wir den Origin-Header (Schutz vor CSRF).
• Nach 5 fehlgeschlagenen Anmeldeversuchen wird das Konto für 15 Minuten gesperrt; eine Passwortänderung meldet alle Geräte ab. Die API unterliegt Begrenzungen der Anfragenanzahl.
• Wer was darf, bestimmen die Rollen, die der Organisationsadministrator vergibt (z. B. die Berechtigung, Angebote freizugeben). Der Organisationsadministrator erstellt, benennt und widerruft API-Schlüssel und sieht die Audit-Aufzeichnungen seiner Organisation.

3. Trennung der Kunden

Jeder Zugriff auf Daten ist auf die Organisation des angemeldeten Nutzers oder des API-Schlüssels beschränkt; eine Anfrage nach Daten einer anderen Organisation lehnt die Plattform ab. Automatisierte Tests überprüfen diese Trennung bei jeder Änderung. Demodaten werden getrennt von den Daten realer Unternehmen gehalten. Vor dem Zustandekommen eines Geschäfts sieht die Gegenpartei weder die Identität noch die Limits der anderen Partei.

4. Integrität und Überprüfbarkeit von Aufzeichnungen

• Audit-Kette. Wesentliche Handlungen schreiben wir in eine Kette, an die Einträge nur angefügt werden können. Jeder Eintrag enthält den Hashwert des vorangehenden Eintrags, und ein Datenbank-Trigger blockiert die Änderung oder Löschung von Einträgen, sodass jede Manipulation erkennbar ist.
• Ed25519-Signaturen. Mandate, Abschlussbestätigungen, AP2-Aufzeichnungen (IntentMandate, CartMandate, PaymentMandate) und Exporte der Audit-Kette werden mit dem Schlüssel der Plattform signiert. Der öffentliche Schlüssel (Algorithmus, Schlüssel und Schlüsselkennung) ist unter https://app.negotiq.synqflows.com/api/trust/public-key und im JWKS-Format unter https://app.negotiq.synqflows.com/.well-known/jwks.json abrufbar; AP2-Aufzeichnungen tragen Signaturen im JWS-Format (EdDSA). Die Signaturen von Mandaten, Abschlussbestätigungen und AP2-Aufzeichnungen lassen sich auch direkt über die Verifizierungsendpunkte der API überprüfen.
• Öffentliche Prüfung. Unter https://app.negotiq.synqflows.com/api/trust/chain kann jeder feststellen, ob die Audit-Kette unversehrt ist, einschließlich des signierten letzten Hashwerts; https://app.negotiq.synqflows.com/api/trust/status zeigt, dass die Produktionsumgebung keine Entwicklungsschlüssel für Signatur oder Verschlüsselung verwendet.
• Treuhänderische Attestierung (custodial attestation). Aufzeichnungen signiert der Betreiber mit seinem eigenen Schlüssel, nicht mit Schlüsseln der Parteien. Die Signatur belegt, dass die Aufzeichnung auf der Plattform entstanden ist und seit der Signatur nicht verändert wurde; für sich allein belegt sie nicht, dass eine Partei sie signiert hat — die Verbindung zur handelnden Person stellen die Anmeldung, die Rollen und die Audit-Kette her. Wenn wir den Schlüssel wechseln, veröffentlichen wir den neuen Schlüssel mit einer neuen Kennung und halten frühere öffentliche Schlüssel zur Überprüfung älterer Aufzeichnungen weiterhin bereit.
• Webhooks. Benachrichtigungen werden mit HMAC-SHA256 gemäß der Spezifikation Standard Webhooks signiert (Header webhook-id, webhook-timestamp, webhook-signature). Überprüfen Sie sowohl die Signatur als auch das Alter der Nachricht und bewahren Sie das Geheimnis außerhalb des Quellcodes auf.

5. Datenschutz

• Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand beim Hosting-Anbieter.
• Zugangsdaten zu angebundenen Systemen (ERP) und Signaturgeheimnisse der Webhooks werden mit AES-256-GCM verschlüsselt. Zugangsdaten verwenden wir nur zum Abruf der Preisliste auf Weisung eines Nutzers; wir empfehlen, für die Anbindung einen eigenen Benutzer mit reinem Lesezugriff und den geringsten erforderlichen Berechtigungen anzulegen.
• Anhänge nehmen wir nur in zulässigen Formaten und Größen an, stellen sie nur berechtigten Personen und stets als Download bereit und zeigen sie nie im Browser an.
• Nachrichten an die Eingangsadresse werden nur von Verifizierten Absendern automatisch importiert; andere warten auf Bestätigung in der App. Absender, Betreff, Empfangszeitpunkt und Anhänge werden nach 90 Tagen gelöscht.
• Agenten behandeln den Inhalt von Preislisten, Spezifikationen, Anhängen oder E-Mails nicht als Anweisungen (Schutz vor dem Einschleusen von Anweisungen, sog. Prompt Injection).
• Bei potenziellen Lieferanten führen wir nur allgemeine Unternehmenskontakte.

6. Betrieb, Datensicherungen und Protokolle

• Anwendung und Datenbank laufen beim in Abschnitt 9 genannten Hosting-Anbieter. Die Datenbank wird regelmäßig gesichert; Sicherungen werden im regulären Zyklus spätestens innerhalb von 90 Tagen überschrieben.
• Betriebsprotokolle (einschließlich IP-Adressen) und Aufzeichnungen über die Zustellung an Webhooks bewahren wir höchstens 90 Tage auf, Einträge der Audit-Kette 10 Jahre.
• Zugang zur Produktionsumgebung hat nur befugtes, zur Verschwiegenheit verpflichtetes Personal des Betreibers.
• Abhängigkeiten sind auf exakte Versionen festgelegt. Bei jeder Änderung testen wir automatisch Sicherheitsinvarianten: Trennung der Organisationen, Einhaltung der Grenzen der Agenten und Vertraulichkeit von Obergrenzen und Minima.

7. Vorfälle und Meldung von Verletzungen

1. Jeden Sicherheitsvorfall bewerten wir, begrenzen seine Auswirkungen, beseitigen seine Ursache und dokumentieren ihn.
2. Betroffene Kunden informieren wir unverzüglich. Eine Verletzung des Schutzes personenbezogener Daten, die wir als Auftragsverarbeiter verarbeiten, melden wir dem Verantwortlichen spätestens innerhalb von 48 Stunden, nachdem sie uns bekannt geworden ist (Art. 5 des Auftragsverarbeitungsvertrags).
3. Sind wir Verantwortlicher, melden wir eine Verletzung des Schutzes personenbezogener Daten der tschechischen Datenschutzbehörde (Úřad pro ochranu osobních údajů) innerhalb von 72 Stunden, nachdem sie uns bekannt geworden ist, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 DSGVO); bei einem hohen Risiko benachrichtigen wir auch die betroffenen Personen unverzüglich (Art. 34 DSGVO).
4. Nach Abschluss eines Vorfalls stellen wir betroffenen Kunden auf Anfrage eine Zusammenfassung seiner Ursachen und der ergriffenen Maßnahmen zur Verfügung.

8. Meldung von Schwachstellen

Bitte melden Sie Schwachstellen an inquiry@negotiq.synqflows.com. Kontakte und Regeln finden Sie auch in der maschinenlesbaren Datei https://app.negotiq.synqflows.com/.well-known/security.txt.

• Geben Sie eine Beschreibung der Schwachstelle, die betroffene Adresse oder Schnittstelle, die Schritte zur Reproduktion und die möglichen Auswirkungen an; die Kommunikation ist auf Tschechisch oder Englisch möglich.
• Wir bestätigen den Eingang Ihrer Meldung unverzüglich, halten Sie über den Fortgang auf dem Laufenden und danken Ihnen nach der Behebung mit Ihrer Zustimmung öffentlich. Geldprämien (Bug Bounty) zahlen wir nicht.
• Regeln: Testen Sie nur mit Ihren eigenen Konten und Daten; greifen Sie auf Daten anderer Personen nur in dem zum Nachweis der Schwachstelle erforderlichen Umfang zu, verändern oder löschen Sie nichts und bewahren Sie erlangte Daten nicht auf; führen Sie keine Angriffe auf die Verfügbarkeit (DoS), kein Social Engineering, kein Phishing und keine physischen Angriffe durch; senden Sie keine Massennachrichten an Eingangsadressen; veröffentlichen Sie die Schwachstelle nicht, bevor wir sie behoben haben oder 90 Tage seit Ihrer Meldung vergangen sind, sofern wir nichts anderes vereinbaren.
• Safe Harbour: Forschung, die in gutem Glauben und im Einklang mit diesen Regeln durchgeführt wird, betrachten wir als befugt, und wir erteilen unsere Zustimmung zum Zugriff in diesem Umfang. Wir werden keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige erstatten, und sollte ein Dritter solche Schritte einleiten, bestätigen wir, dass Sie im Einklang mit diesen Regeln gehandelt haben. Eine Zustimmung im Namen Dritter (z. B. des Hosting-Anbieters oder von Drittdiensten) können wir nicht erteilen.

9. Speicherort der Daten und Unterauftragsverarbeiter

Die verbindliche Liste und die Regeln für Änderungen (Mitteilung mindestens 14 Tage im Voraus mit Einspruchsrecht) enthält der Auftragsverarbeitungsvertrag (Art. 4). Von der Organisation gewählte Systeme (ERP, Produktfeeds, Webhook-Endpunkte, Agenten Dritter) sind nicht unsere Auftragsverarbeiter; wir übermitteln ihnen Daten auf ihre Weisung.

10. Betriebskontinuität

Wir streben eine ununterbrochene Verfügbarkeit an, ohne eine schriftlich vereinbarte Dienstgütevereinbarung (SLA) garantieren wir jedoch kein bestimmtes Verfügbarkeitsniveau und keine Wiederherstellungszeit. Wir sichern die Datenbank regelmäßig und kündigen geplante Wartungsarbeiten nach Möglichkeit im Voraus an. Sie können die Daten Ihrer Organisation jederzeit kostenlos exportieren (JSON) sowie Abschlussbestätigungen und AP2-Aufzeichnungen herunterladen und mit dem öffentlichen Schlüssel auch ohne Zugang zur Plattform überprüfen.

11. Kontakt

• Sicherheit und Schwachstellen: inquiry@negotiq.synqflows.com
• Datenschutz: inquiry@negotiq.synqflows.com
• Sonstige Anfragen und Kontaktstelle nach dem DSA: inquiry@negotiq.synqflows.com