PayToMe Sicherheit: so schützen wir Ihre Daten

PayToMe Sicherheit beginnt mit einer einfachen Idee: Die sichersten Daten sind die, die wir nie erheben. Diese Seite beschreibt, was wir heute tun, um die Besucher dieser Website zu schützen, wie Konten und Zahlungen gehandhabt werden und wie Sie ein Problem melden. PayToMe befindet sich in der öffentlichen Beta. Wir sagen es dort, wo eine Schutzmaßnahme noch nicht umgesetzt ist.

PayToMe Sicherheit: was heute gilt

Verschlüsselte Verbindungen

Die Website wird über HTTPS ausgeliefert. Außerdem senden wir einen HTTP-Strict-Transport-Security-Header (HSTS), der Browsern mitteilt, bei künftigen Besuchen der Website HTTPS zu verwenden.

Strenge Schutzmaßnahmen im Browser

Wir senden eine strenge Content Security Policy (CSP) und weitere Sicherheits-Header. Eine CSP begrenzt, welche Skripte, Stile und Verbindungen eine Seite nutzen darf, und verringert so den Schaden, falls jemand versuchen würde, Schadcode einzuschleusen. Die Website lädt keine Skripte von Drittanbietern.

Keine Cookies und keine Tracker

Die Website setzt keine Cookies und betreibt weder Analyse- noch Werbe-Tracker. Es gibt kein Tracking-Skript, das Daten preisgeben, verkaufen oder missbrauchen könnte.

Daten der Generatoren bleiben in Ihrem Browser

Die kostenlosen Tools, etwa der Rechnungsgenerator und der Mahngebühren-Rechner, laufen in Ihrem Browser. Was Sie dort eingeben, darunter Kundennamen, Positionen und Beträge, wird nicht an unsere Server gesendet. Alle Tools finden Sie auf der Tool-Seite.

Newsletter-Daten

Der Newsletter ist optional. Wenn Sie ihm beitreten, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt Ihrer Anmeldung und die Seite, von der aus Sie sich angemeldet haben. Die Website wird bei Cloudflare gehostet, das auch die Datenbank mit den Newsletter-Anmeldungen betreibt. E-Mails werden über Resend versendet. Diese beiden Unternehmen verarbeiten Daten in unserem Auftrag. Was wir speichern und warum, steht in der Datenschutzerklärung.

Um Missbrauch des Newsletter-Formulars einzudämmen, speichern wir statt der rohen IP-Adresse einen gesalzenen Hash davon.

Anmeldung

Unter app.paytome.si haben Menschen Konten. Sie melden sich mit einem Passkey, einer Wallet oder einem Code an, der an Ihre E-Mail-Adresse gesendet wird. Ein Passkey bedeutet, dass es kein Passwort gibt, das sich erraten oder abfischen lässt. Wir fragen Sie nie per E-Mail nach einem Passkey, einer Wallet-Wiederherstellungsphrase oder einem Anmeldecode, behandeln Sie also jede Nachricht, die danach fragt, als verdächtig.

Zahlungen

Zahlungen werden von Stripe abgewickelt. PayToMe speichert keine Kartennummern. Kostenpflichtige Tarife sind Abonnements, die von Stripe abgerechnet werden, und Sie können jederzeit kündigen.

Sichere KI

Der Via-Assistent bereitet Rechnungen vor und fragt vor dem Versand nach. Die Summen berechnet die Rechnungs-Engine von PayToMe, nicht das KI-Modell. Via ist in der Beta live.

Was in Entwicklung ist

Diese Punkte sind in Entwicklung und noch nicht live.

• Die mobile App. Sie ist in Entwicklung, und diese Seite wird erweitert, um sie abzudecken, sobald sie live geht.

Eine Zertifizierung, etwa SOC 2 oder PCI DSS, behaupten wir erst, wenn wir sie besitzen.

Eine Sicherheitslücke melden

Wir freuen uns über Meldungen von Sicherheitsforschenden und von allen, denen etwas Merkwürdiges auffällt. Unsere Kontaktdaten folgen RFC 9116, dem Standard für eine security.txt-Datei, und sind unter /.well-known/security.txt veröffentlicht.

Um ein Problem zu melden, schreiben Sie an security@paytome.si und geben Sie an:

1. Eine Beschreibung des Problems und seiner Auswirkung.
2. Schritte zur Reproduktion oder einen Proof of Concept.
3. Die betroffene Seitenadresse oder Komponente.
4. Wie wir Sie erreichen können, wenn Sie eine Antwort wünschen.

Grundregeln

• Testen Sie nur mit Ihren eigenen Daten und Sitzungen. Greifen Sie nicht auf Daten anderer zu, ändern oder löschen Sie sie nicht.
• Führen Sie keine Denial-of-Service-Tests durch und versenden Sie keinen Spam über das Newsletter-Formular.
• Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie Einzelheiten öffentlich machen.
• Wenden Sie kein Social Engineering gegen irgendjemanden an.

Wenn Sie diese Regeln einhalten, behandeln wir Ihre Meldung als in gutem Glauben abgegeben. Wir lesen jede Meldung und arbeiten an bestätigten Problemen.

Noch kein Bug-Bounty

PayToMe betreibt derzeit kein Bug-Bounty-Programm, deshalb können wir keine Bezahlung für Meldungen anbieten. Wir können uns bedanken und, mit Ihrer Erlaubnis, Sie nach der Behebung eines Problems namentlich würdigen. Starten wir ein Programm, steht das auf dieser Seite.

Was Sie tun können

• Nutzen Sie einen aktuellen Browser, damit er die von uns gesendeten Schutzmaßnahmen durchsetzt.
• Wenn Sie eine E-Mail erhalten, die angeblich von PayToMe stammt und nach einem Passwort oder Zahlungsdaten fragt, antworten Sie nicht. Leiten Sie sie an security@paytome.si weiter.
• Denken Sie daran, dass die Generatoren Ihre Daten in Ihrem Browser halten, sodass sie verschwinden, wenn Sie die Websitedaten löschen oder den Tab schließen.

Fragen

Zu allem, was hier nicht behandelt wird, besuchen Sie die Kontaktseite oder lesen Sie auf der Seite »Über uns« mehr über unseren Ansatz.