GAdvisory-Anhang zur Auftragsverarbeitung

Was dieser Anhang ist

Die Angaben nach Art. 28 Abs. 3 für gehostetes GAdvisory. Er ist Bestandteil der Vereinbarung zur Auftragsverarbeitung, in der die Pflichten stehen; diese Seite enthält nur das für diesen Dienst Besondere.

Er gilt, wenn wir die Instanz betreiben. Für eine Instanz, die Sie selbst betreiben, sind Sie allein verantwortlich, und hier ist nichts zu vereinbaren.

Art und Zweck der Verarbeitung

Betrieb eines Dienstes für koordinierte Schwachstellenoffenlegung in Ihrem Auftrag: Entgegennahme der an Sie gerichteten Meldungen, Speicherung der Meldungen und der zugehörigen Korrespondenz, Bearbeitung durch Ihre Leute, Reservierung und Veröffentlichung von Kennungen sowie Veröffentlichung der Advisories, die Sie veröffentlichen wollen.

Kategorien betroffener Personen

• Ihre eigenen Leute: die Nutzerinnen und Nutzer, die Sie in Ihrer Organisation und deren Projekten anlegen.
• Sicherheitsforschende und andere meldende Personen, mit oder ohne Konto. Eine Meldung kann per E-Mail oder Webformular von jemandem kommen, der sich nie registriert.
• In einer Meldung genannte Personen. Eine Meldung ist Freitext und kann jeden nennen: eine betroffene Kundin, einen Kollegen, eine dritte Partei.
• In einem Advisory genannte Personen.
• Empfängerinnen und Empfänger von Advisory-Benachrichtigungen.

Kategorien personenbezogener Daten

Kontodaten. E-Mail-Adresse, Benutzername, Anzeigename, Sprache, Zeitzone, Ländercode, optional Bild und Kurzbiografie, optional Git-Benutzername und -E-Mail zur Signatur von Datensätzen, Zeitpunkt der E-Mail-Bestätigung, letzte Anmeldung.

Meldungen. Betreff und Text, Formularantworten, Dateianhänge sowie entweder ein verknüpftes Konto oder Name und E-Mail-Adresse der meldenden Person. Kommt eine Meldung per E-Mail, werden die Kopfzeilen mitgeführt: Absender, Empfänger, Adressen in Kopie und die Kennungen, die einen Verlauf zusammenhalten. Die unverarbeitete Eingangsnachricht bleibt neben der ausgewerteten Fassung bis 12 Monate nach der Sichtung der Meldung erhalten.

Beteiligte eines Verlaufs. E-Mail-Adresse und Anzeigename, mit und ohne Konto.

Namensnennungen. Name und Kontakt, um die eine forschende Person gebeten hat. Veröffentlicht.

Abonnements. Eine E-Mail-Adresse, im Double-Opt-in bestätigt, mit Abmelde-Token.

Browser-Push. Soweit aktiviert: der Push-Endpunkt, seine zwei Schlüssel und die User-Agent-Zeichenkette.

Prüfprotokoll. Wer wann was getan hat, Werte davor und danach, IP-Adresse und User Agent.

Nutzung von Freigabelinks. Eine gehashte IP-Adresse, nicht die Adresse. Ein Freigabelink muss beantworten, ob er von mehr als einem Ort benutzt wurde, nicht wo jemand ist.

KI-Läufe, soweit aktiviert. Prompts und Antworten, aufbewahrt zur Nachvollziehbarkeit eines Vorschlags, planmäßig bereinigt.

Anmeldedaten. Gehalten von unserem eigenen Identitätsdienst (Hexclave) und nicht von GAdvisory: Passwort-Hash, zweite Faktoren, Passkeys, verknüpfte Konten und Sitzungen. GAdvisory hält die Benutzerkennung, die Hexclave vergibt und, bei Konten aus der Zeit davor, einen älteren Passwort-Hash.

Weitere personenbezogene Angaben. Ein verknüpftes GitHub-Konto (Login, Name, Avatar-Adresse), GitHub-Login und Einladungsstand externer Mitwirkender an einem privaten Fix, GitHub-Logins übernommener Kommentierender, Gastsitzungen mit gehashter IP-Adresse und User-Agent, Entwürfe von Meldeformularen (Kontakt-E-Mail-Adresse, IP-Adresse), das E-Mail-Protokoll (Absender- und Empfängeradressen, 24 Monate), Ziele von Benachrichtigungskanälen sowie Name und E-Mail-Adresse des Committers bei Git-Sync.

Verbindungen von KI-Assistenten. Der eingetragene Name und die Weiterleitungsadressen des Assistenten, die Zustimmung und die Berechtigungen, Zugriffs- und Aktualisierungstoken als Hash sowie Audit-Einträge zu Erteilungen, Aktualisierungen und Widerrufen.

Private Fixes (Advisory Patch). Das Repository mit dem Upstream-Verlauf und dem Fix, Pull Requests, Reviews, Kommentare und Markierungen angesehener Dateien, Mitwirkende und der Stand ihrer Einladungen sowie die Zugangsdaten zum Einbringen eines Fixes (verschlüsselt; angezeigt wird nur, wer das Geheimnis wann gesetzt hat).

Besondere Kategorien

Es werden keine erhoben und keine sind vorgesehen. Eine Meldung ist Freitext und ein Anhang kann jede Datei sein, sodass Material nach Art. 9 eingehen kann, ohne dass eine der beiden Seiten das beabsichtigt. Was danach mit einer Meldung geschieht, entscheiden Sie; wir lesen Ihre Warteschlange nicht.

Verarbeitungsvorgänge

Erhebung, Speicherung, Organisation, Abruf, Verwendung, Offenlegung gegenüber den Beteiligten eines Verlaufs, Veröffentlichung, soweit Sie veröffentlichen, Einschränkung, Löschung in den unten genannten Grenzen und Sicherung.

Unterauftragsverarbeiter

Die in der allgemeinen Vereinbarung genannten (IONOS SE und eigene Hardware, beides in Deutschland, und Cloudflare nur für DNS) und allein für diesen Dienst:

• Sentry (Functional Software, Inc.), in dessen EU-Datenregion: Fehler- und Leistungsberichte. Dorthin gelangen Ausnahmen und Stacktraces, die fehlgeschlagene Anfrage und, sofern jemand angemeldet war, dessen Kennung und Handle. Eine nicht maskierte Aufzeichnung einer Browsersitzung, die die Seite so zeigt, wie sie war, einschließlich der Eingaben, geht nur dann an Sentry, wenn die Person zugestimmt hat, und nie von den Seiten eines privaten Fix-Repositorys. Keine IP-Adressen und keine Anfrageinhalte. Speicherung in der EU. Functional Software, Inc. sitzt in den Vereinigten Staaten und ist nach dem EU-US Data Privacy Framework zertifiziert.

Der Mailbetrieb läuft auf eigenen Servern bei IONOS und die Dateiablage ist ein eigenes MinIO; beides ist damit kein Dritter.

• OpenRouter, Inc. (Vereinigte Staaten), mit Google Gemini dahinter: die KI-Funktionen, die im gehosteten Dienst aktiviert sind. Google LLC, an die es weiterleitet, ist nach dem EU-US Data Privacy Framework zertifiziert.

Sie sind darauf beschränkt, wer sie ausführen darf (das Team von Gelhaus Solutions), und nicht darauf, was sie lesen dürfen: Innerhalb der Geltungsbereiche von Gelhaus Solutions und Postiz erfasst das Meldungen, Bearbeitungslisten und Streitfälle, und für eine Administration praktisch die Instanz.

Auf Ihren Geltungsbereich erstreckt sich das nicht. Wir führen keine KI-Aufgaben über den Geltungsbereich einer Kundin oder eines Kunden aus, und dessen KI-Konfiguration gehört Ihnen. Aktivieren Sie sie, ist es Ihr Schlüssel und derjenige Anbieter, zu dem er gehört.

Da OpenRouter in den Vereinigten Staaten sitzt, ist dies eine Übermittlung in ein Drittland und stützt sich auf die Standardvertragsklauseln der Europäischen Kommission in der Auftragsverarbeitungsvereinbarung von OpenRouter, die Teil seiner Nutzungsbedingungen ist.

• GitHub, Inc. (Vereinigte Staaten, nach dem EU-US Data Privacy Framework zertifiziert): nur wenn private Fixes im GitHub-Modus genutzt werden. Es speichert die private Kopie des Repositorys und die Einladungen dazu, in der GitHub-Organisation, die wir für private Fixes führen. Lassen Sie einen privaten Fix stattdessen in einer eigenen GitHub-Organisation anlegen, hält GitHub diese Kopie nach Ihren eigenen Bedingungen mit GitHub und ist dafür nicht unser Unterauftragsverarbeiter.

Die Anmeldung übernimmt Hexclave, von uns auf unseren eigenen Servern betrieben, und ist damit kein Dritter.

Kein Analysedienst, kein Werbenetzwerk, keine Schriften oder Skripte von Dritten.

Drei Übermittlungen, die keine Auftragsverarbeitung sind

Browser-Push, sofern eine Nutzerin oder ein Nutzer ihn einschaltet, wird von dem Push-Dienst zugestellt, den der jeweilige Browser benennt (Google, Mozilla oder Apple), und diese liegen außerhalb der EU. Endpunkt und Zeitpunkt erreichen diesen Dienst, die Nutzlast ist auf die Schlüssel des Browsers verschlüsselt und damit nicht. Anders lässt sich ein Web-Push nicht zustellen.

KI-Assistenten. Verbindet eine Person einen KI-Assistenten, geht das, was er liest, an den Anbieter, der ihn betreibt, nach der eigenen Vereinbarung dieser Person mit dem Anbieter. Die Person entscheidet, im Rahmen ihrer eigenen Berechtigungen; das ist keine Verarbeitung in Ihrem Auftrag. Material unter Embargo hält sie von einem Assistenten fern, sofern das Embargo es nicht erlaubt.

Veröffentlichung. Veröffentlichen Sie ein Advisory bei GitHub Security Advisories oder über das CVE-Programm oder synchronisieren Sie Datensätze in ein von Ihnen konfiguriertes Git-Repository, gehen das Advisory und jede Nennung darin an diese Stellen: GitHub, Inc. und das CVE-Programm, beide in den Vereinigten Staaten. Sie sind Empfänger, die für eigene Zwecke handeln, auf Ihre Weisung hin zu veröffentlichen, und keine Auftragsverarbeiter, die auf unsere handeln. Eine Veröffentlichung ist eine von Ihnen je Advisory entschiedene Offenlegung, und sie lässt sich nicht rückgängig machen, sobald sie weitergespiegelt wurde. GitHub ist nach dem EU-US Data Privacy Framework zertifiziert.

Besondere Sicherheitsmaßnahmen dieses Dienstes

Über die Maßnahmen der allgemeinen Vereinbarung hinaus:

• API-Token, OAuth-Client-Geheimnisse und Anwendungsgeheimnisse werden ausschließlich als Hashwerte gespeichert.
• Integrationsgeheimnisse werden envelope-verschlüsselt gespeichert; eine Instanz kann sie in HashiCorp Vault halten.
• Die Nutzung von Freigabelinks wird mit gehashter IP statt mit der Adresse festgehalten.
• Das Prüfprotokoll ist hash-verkettet: jede Zeile trägt den Hash der vorherigen, sodass sich zeigen lässt, dass das Protokoll nachträglich nicht verändert wurde.
• Die Teilnahme an einem Embargo ist ausdrücklich und wird je Beteiligtem mit Annahme festgehalten.

• Ein KI-Assistent handelt nur mit den Berechtigungen der Person, die ihn verbunden hat, und seine Token sind kurzlebig (eine Stunde), mit einem Aktualisierungstoken, das nach 90 Tagen ohne Benutzung verfällt.
• Ein Lockdown kann die Anmeldung und den API-Zugriff für alle vorsorglich in Stufen einschränken; Köderkonten und -schlüssel, die keine echte Person nutzt, weisen jeden Versuch ab und melden ihn.

Aufbewahrung und zwei echte Grenzen der Löschung

Kontodaten bleiben, bis das Konto gelöscht wird. Meldungen und ihre Korrespondenz bleiben, solange die Koordination läuft, und danach als Beleg dafür, wie sie behandelt wurde. Abonnementadressen entfallen mit der Abmeldung. Verbindungen von KI-Assistenten enden mit dem Widerruf oder 90 Tage nach der letzten Benutzung. Private Fix-Repositories werden 30 Tage nach der Veröffentlichung des Advisorys gelöscht, sofern nichts anderes eingestellt ist. Das E-Mail-Protokoll und Audit-Einträge werden nach 24 Monaten gelöscht.

Zwei Dinge lassen sich durch Löschen nicht rückgängig machen, und beide folgen aus dem Entwurf, nicht aus Unwillen:

Das Prüfprotokoll ist manipulationssicher. Seine Zeilen sind verkettet, und genau das macht es zum Beleg. Einzelne Einträge sind deshalb nicht auf gewöhnlichem Weg löschbar. Stattdessen wird das Protokoll als Ganzes gekürzt: Einträge werden nach 24 Monaten gelöscht, und bei jeder Löschung wird der Hash festgehalten, mit dem das verbleibende Protokoll beginnt. Ist die Löschung eines Eintrags erforderlich, besprechen wir, was möglich ist, in der Regel die Schwärzung eines Feldes statt der Entfernung einer Zeile.

Veröffentlichung ist endgültig. Ein veröffentlichtes Advisory und jede Nennung darin werden in Datenbanken gespiegelt, zu denen wir keine Beziehung haben. Aus unserer Fassung entfernen wir eine Nennung auf Wunsch. Aus fremden können wir es nicht. Das ist die ehrliche Reichweite des Art. 17 an dieser Stelle, und deshalb wird um die Nennung überhaupt als Einwilligung gebeten.

Bei Beendigung

Wie in der allgemeinen Vereinbarung: Rückgabe oder Löschung nach Ihrer Wahl, standardmäßig 30 Tage Exportmöglichkeit, Sicherungen laufen nach ihrem eigenen Zyklus ab.

Von Ihnen veröffentlichte Advisories bleiben veröffentlicht, aus dem oben genannten Grund.