Stand der Plattform
freestays ist eine Plattform, auf der Reise-Creator Content gegen einen Hotelaufenthalt tauschen. Zusätzlich wird eine Aufwandsentschädigung vereinbart, die außerhalb der Plattform gezahlt wird. Die Plattform befindet sich vor dem Start. Es gibt noch kein Produktivsystem mit echten Daten. Diese Seite beschreibt deshalb, was im Programmcode vorhanden ist und was vorgesehen ist. Sie beschreibt keinen laufenden Betrieb.
Betreiber ist die SnapNext GmbH & Co. KG. Anschrift und weitere Angaben stehen auf der Seite „Anbieter und Kontakt“.
Wer verarbeitet was
| Stelle | Rolle | Daten |
|---|---|---|
| Betreiber | Verantwortlicher für Konten, Profile und Bewerbungen | Konto- und Profildaten, Kanäle mit Reichweitenangaben, Bewerbungen, Vereinbarungen, Einwilligungen, Datenanfragen |
| Hotel (Haus) | Ab Eingang einer Bewerbung für die dabei erhaltenen Daten eigenständig verantwortlich | Bewerbung, Profil und Kanäle des Creators, Daten zur Vereinbarung |
| Creator | Betroffene Person | eigene Konto-, Profil- und Bewerbungsdaten |
| Dienstleister | Unterstützen den Betrieb, siehe Seite „Unterauftragsverarbeiter“ | je nach Dienst |
Diese Rollenverteilung ist der derzeit angenommene Stand. Sie wird rechtlich geprüft.
Ein Haus sieht nach dem Eingang einer Bewerbung das vollständige Profil und alle Kanäle des Creators. Die E-Mail-Adresse des Creators erhält das Haus dabei nicht.
Hosting und Regionen
| Dienst | Aufgabe | Region |
|---|---|---|
| Vercel | Betrieb der Website und zeitgesteuerte Aufrufe | Funktionsregion Frankfurt (fra1); Reichweite der Regionsangabe wird geprüft |
| Supabase | Datenbank, Dateiablage, Anmeldung | EU (Irland); ein Umzug nach Frankfurt wird geprüft |
Weitere Dienste sind vorgesehen und noch nicht im Einsatz. Die vollständige Liste steht auf der Seite „Unterauftragsverarbeiter“.
Maßnahmen im Überblick
Die folgenden Maßnahmen sind im Programmcode vorhanden. Sie sind im Betrieb nicht geprüft, weil es kein Produktivsystem gibt. „Teilweise“ bedeutet, dass die Maßnahme nur zum Teil vorhanden ist. Es gibt keine Zertifizierung und keine unabhängige Prüfung.
| Bereich | Maßnahme | Stand |
|---|---|---|
| Zugriffskontrolle | Zugriffsschutz auf Zeilenebene für die Tabellen zu Einwilligungen, Protokoll und Datenanfragen | teilweise, im Code vorhanden, im Betrieb nicht geprüft |
| Authentifizierung | Anmeldung über einen Anmeldedienst mit eigener Nutzerverwaltung und interner Kennung | im Code vorhanden, im Betrieb nicht geprüft |
| Authentifizierung | Sitzungs-Cookie nicht per Skript lesbar, nur verschlüsselt übertragen, mit Same-Site-Schutz | im Code vorhanden, im Betrieb nicht geprüft |
| Authentifizierung | Sitzungserneuerung auf dem Server; das Weiterleitungsziel nach der Anmeldung bestimmt der Server | im Code vorhanden, im Betrieb nicht geprüft |
| Anwendungssicherheit | Sicherheits-Header gegen Einbettung, Typ-Fehldeutung und Datenabfluss sowie HSTS | teilweise, im Code vorhanden, im Betrieb nicht geprüft |
| Anwendungssicherheit | Ratenbegrenzung der Anmeldung | teilweise, im Code vorhanden, im Betrieb nicht geprüft |
| Zugriffskontrolle | Absicherung der zeitgesteuerten Aufrufe durch ein geheimes Token | im Code vorhanden, im Betrieb nicht geprüft |
| Anwendungssicherheit | Zeitlimit für Aufrufe an die Datenbank und den Anmeldedienst | im Code vorhanden, im Betrieb nicht geprüft |
| Verschlüsselung | Transportverschlüsselung (HSTS) in der Produktion | im Code vorhanden, im Betrieb nicht geprüft |
| Betroffenenrechte | Löschsicherheit: Sperre je Anfrage, Löschung in einer einzigen Transaktion, Protokoll nur mit Kennungen | teilweise, im Code vorhanden, im Betrieb nicht geprüft |
| Zugriffskontrolle | Prüfung des Dateipfads beim Anlegen eines Medieneintrags: nur Dateien im eigenen Ordner der Person oder eines Hauses der eigenen Organisation | teilweise, im Code vorhanden, im Betrieb nicht geprüft |
Diese Liste zeigt eine Auswahl. Sie ist keine vollständige Beschreibung der Sicherheitslage. Maßnahmen, die noch nicht vorhanden oder nicht belegt sind, stehen hier nicht als vorhanden.
Was fehlt oder noch aussteht
- Ein unabhängiger Sicherheitstest oder eine Zertifizierung liegt nicht vor und ist hier nicht angegeben.
- Die Anbieter-Verträge und die Grundlage für Übermittlungen in Drittländer werden vor dem Start geklärt und rechtlich geprüft.
- Aufbewahrungsfristen für Vereinbarungen und Protokolle sind in der Plattform noch nicht gesetzt.
Rechte und Vorfälle
Wie betroffene Personen ihre Rechte ausüben, steht auf der Seite „Betroffenenrechte“. Den vorgesehenen Ablauf bei Sicherheitsvorfällen beschreibt die Seite „Umgang mit Sicherheitsvorfällen“. Fragen zum Datenschutz gehen an support@freestays.app.