Sicherheit und Datenschutz

Diese Seite fasst allgemein verständlich zusammen, welche Daten punchout.dev verarbeitet, wo und wie lange. Rechtlich verbindlich ist die Datenschutzerklärung.

Was punchout.dev verarbeitet

• Die Warenkorbseite während eines Punchouts. Solange ein Punchout läuft, verarbeitet punchout.dev den Inhalt der Warenkorbseite, um die Positionen zu lesen. Ist der Warenkorb-Container bekannt, liest es nur diesen Teil der Seite (Warenkorb-Erkennung).
• Die Seite bei der Warenkorb-Erkennung. Im Setup-Modus liest punchout.dev die Seite, auf der Sie sich befinden, und zwar nur dann, wenn Sie auf Warenkorb erkennen oder Diesen Bereich prüfen klicken.
• Einkäufer-Zugänge. Domain, Kennung und Bezeichnung sowie das Secret als Einweg-Hash.
• Portal-Konten. Ihre E-Mail-Adresse und Ihr Passwort als Einweg-Hash.

Die Inhalte von Feldern für Passwörter, E-Mail-Adressen, Telefonnummern und Kartendaten lässt punchout.dev beim Lesen einer Shopseite immer aus.

Auf der Shopseite

• Ohne Punchout oder Setup-Link sendet das Tag nichts.
• Das Tag liest keine Cookies des Shops.
• Das Tag setzt nie ein Geheimnis in eine URL.

Was beim Einkaufssystem ankommt

Am Ende eines Punchouts übergibt der Browser des Einkäufers den Warenkorb an die Rücksprung-Adresse, die das Einkaufssystem beim Öffnen des Shops gesendet hat. Die Übergabe enthält die Positionen, die der Einkäufer im Panel geprüft hat, aber nie ein Secret oder ein Passwort. Wohin Warenkörbe gehen dürfen, schränken Sie mit Erlaubte Rücksprung-Hosts ein (Einen Einkäufer verbinden).

Wo

punchout.dev wird bei AWS in Frankfurt gehostet, und die Daten bleiben in der EU. Jede Verbindung zu punchout.dev ist mit TLS verschlüsselt. Zahlungen laufen über Stripe, Karten- und Bankdaten erreichen punchout.dev nie.

Wie lange Daten bleiben

Daten	Aufbewahrt
Eine Punchout-Session und ihr Warenkorb	4 Stunden
Ein Test-Punchout-Ergebnis	30 Tage nach dem Eingang
Ein vorläufiger Shop aus dem Sofort-Tag	7 Tage, wenn er nicht übernommen wird
Ein Portal-Konto, das nie bestätigt wird	7 Tage
Datenbank-Backups	14 Tage
Ihr Konto, Ihre Shops und Einkäufer-Zugänge	Für die Dauer des Vertrags, siehe Datenschutzerklärung
Das Protokoll	Wird mit der Organisation nicht gelöscht. Siehe Team

Zugänge und Links

• Einkäufer-Secrets und Portal-Passwörter werden nur als Einweg-Hashes gespeichert. Niemand kann sie im Klartext auslesen, auch punchout.dev nicht. Ein Einkäufer-Secret wird einmal angezeigt, wenn es angelegt oder erneuert wird.
• Setup-Links, Einladungslinks und Test-Punchout-Links sind zufällig erzeugt und lassen sich nicht noch einmal anzeigen. Geht ein Link verloren, erzeugen Sie einen neuen.

Logs

punchout.dev schreibt in seine Logs nur, was der Betrieb erfordert, etwa Zeitpunkt, Shop und Ergebnis einer Aktion. Warenkorb-Inhalte, E-Mail- und Postadressen, Secrets, Passwörter und Shop-URLs landen nie in einem Log.

Das Portal

• Ihre Anmeldung gilt 12 Stunden und verlängert sich, solange Sie arbeiten.
• Bei einer fehlgeschlagenen Anmeldung meldet das Portal nur, dass Adresse oder Passwort falsch sind. Nach mehreren falschen Passwörtern wird das Konto für eine Weile gesperrt.

Auto-Login

Beim Auto-Login signiert punchout.dev ein kurzlebiges Token, und das Shop-Plugin prüft es mit den Public-Key-Zeilen aus dem Portal. Ein Token gilt 120 Sekunden, funktioniert einmal, gehört zu einem Shop und führt nur auf eine Seite innerhalb dieses Shops. Der Shop besitzt keinen Schlüssel, mit dem er Tokens erzeugen könnte. Einzelheiten stehen unter Auto-Login.

Für einen Auftragsverarbeitungsvertrag oder Fragen zu diesen Angaben nutzen Sie den Kontakt auf der Seite Datenschutzerklärung.