Sicherheit und Meldung von Schwachstellen
Wie CaliMoney dein Konto schützt und wie du eine Sicherheitslücke meldest
So werden deine Daten geschützt
- Bei der Übertragung: Jede Verbindung zu CaliMoney und zu Firebase nutzt HTTPS (TLS).
- Bei der Speicherung: Die Daten liegen in Google Cloud Firestore in der EU (
europe-west8), von Google im Ruhezustand verschlüsselt. Mit eingeschalteter Ende-zu-Ende-Verschlüsselung werden die Details deiner Buchungen zusätzlich auf deinem Gerät mit einem Schlüssel verschlüsselt, den nur du hast. - Zugriffskontrolle: Die Firestore-Sicherheitsregeln erlauben jedem Konto, nur seine eigenen Dokumente zu lesen und zu schreiben. Rein serverseitige Datensätze (Ratenlimits, Wiederherstellungstoken, Benachrichtigungsprotokolle, Feedback) kann kein Client lesen.
- Kontoschutz: optionale Zwei-Faktor-Authentifizierung (TOTP), Ratenlimits an sensiblen Endpunkten und automatische Sperre nach 15 Minuten Inaktivität bei eingeschalteter Verschlüsselung. Das optionale biometrische Entsperren hält den Schlüssel auf dem Gerät versiegelt, unter einem Passkey, der dein Gesicht, deinen Fingerabdruck oder deine PIN braucht.
- KI-Funktionen: Anfragen an KI-Anbieter laufen ohne Datenspeicherung – Prompts und Ausgaben werden weder gespeichert noch zum Training verwendet.
- Updates: CaliMoney ist eine Web-App. Sicherheitskorrekturen erreichen jeden Nutzer beim nächsten Laden der Seite, ohne Installation; Abhängigkeiten werden bei jeder Änderung automatisch geprüft.
Eine Schwachstelle melden
Glaubst du, eine Sicherheitslücke gefunden zu haben, schreib bitte an support@calimoney.it mit dem Betreff "Security" und gib an:
- eine Beschreibung des Problems und seiner Auswirkung,
- die Schritte, um es nachzustellen (URLs, Anfragen, Screenshots),
- ob du glaubst, dass es aktiv ausgenutzt wird.
Was dich erwartet:
- eine Eingangsbestätigung innerhalb von 5 Werktagen;
- Updates, während wir untersuchen und beheben;
- eine Nennung in der Ankündigung der Korrektur, wenn du das möchtest.
Teste bitte nur mit deinem eigenen Konto, greife nicht auf Daten anderer Nutzer zu und verändere sie nicht, vermeide es, den Dienst zu beeinträchtigen, und gib uns angemessen Zeit für eine Behebung, bevor du etwas veröffentlichst. Gegen Forschung in gutem Glauben, die diese Regeln einhält, gehen wir nicht vor.
Die maschinenlesbare Kontaktdatei ist unter /.well-known/security.txt veröffentlicht.
Wenn etwas schiefgeht
Birgt eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für deine Rechte, melden wir sie innerhalb von 72 Stunden der italienischen Datenschutzbehörde (Garante) und informieren betroffene Nutzer unverzüglich, wie es die DSGVO verlangt (Artikel 33–34).