Datenschutzhinweise für NEXT Code Guard.

Verantwortlicher und Rollen

TOMORIS GmbH, Saturnstraße 1, 4614 Marchtrenk, Österreich, E-Mail [email protected], Telefon +43 7243 53091.

Für den Besuch dieser Website, die Anmeldung, den Kauf und die Rechnung ist TOMORIS Verantwortlicher. Für den Inhalt Ihrer Repositories ist Ihr Unternehmen Verantwortlicher und TOMORIS Auftragsverarbeiter (Art. 28 DSGVO, AGB Teil C).

Besuch der Website

Die Website läuft auf Servern der TOMORIS GmbH in Österreich. Der Weg dorthin führt über Cloudflare, das die Verbindung verschlüsselt und Angriffe abwehrt. Dabei fallen technisch nötige Daten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Statuscode. Sie dienen nur Betrieb und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO) und werden nur so lange aufbewahrt, wie es dafür nötig ist.

Code Guard lädt keine Schriften, Skripte oder Bilder anderer Anbieter, außer dem Vorschaubild von tomoris.com für geteilte Links. Es gibt keine Statistik- und keine Werbe-Cookies.

Cookies und Speicher im Browser

Nur technisch nötige Cookies: das Anmelde-Cookie (höchstens 8 Stunden, nur über HTTPS, nicht für Skripte lesbar), ein kurzlebiges Cookie, das die Anmeldung bei GitHub absichert, und ein Schutz-Cookie gegen gefälschte Formulare.

Ihre Wahl des Farbmodus speichert der Browser lokal. Kommen Sie über eine Anzeige, hält der Browser die Klickkennung bis zum Schließen des Tabs (siehe Anzeigenmessung).

Anmeldung mit GitHub

Sie melden sich mit Ihrem GitHub-Konto an. GitHub teilt uns Ihre Kennung, Ihren Login und die Installationen der Code-Guard-App mit, auf die Sie Zugriff haben. Daraus entscheidet Code Guard, welche Organisationen Sie sehen dürfen (Art. 6 Abs. 1 lit. b DSGVO). Zugangstoken von GitHub werden nicht gespeichert.

Prüfung Ihrer Repositories

Die GitHub-App liest nur, und nur die Repositories, die Sie freigeben: Inhalte, Metadaten, Prüfläufe und Dependabot-Warnungen. Für einen Prüflauf wird ein Repository in einen eigenen Ordner geklont, den nur das Dienstkonto lesen kann, und nach dem Lauf gelöscht.

Gespeichert werden Befunde ohne Code: Repository, Commit, Pfad, Zeilen, Regel, Schweregrad, Titel, Beschreibung und Empfehlung. Quellcode, Klone, Installations- und Benutzertoken werden nicht gespeichert. Die Codeansicht im Dashboard liest den Ausschnitt live und speichert ihn nicht zwischen.

Personenbezogene Daten können im Code stehen, etwa Namen und E-Mail-Adressen in Commits. Sie werden nur im Rahmen der Prüfung verarbeitet.

KI-Prüfung

Für das KI-Review der Änderungen und das Architektur-Review gehen Ausschnitte an das Sprachmodell Claude von Anthropic: beim Scan die Änderungen seit dem letzten Lauf (höchstens 60 KB je Repository), beim Review Teile des Repositorys (höchstens 80.000 Token je Teil). Geheimnisse werden vorher geschwärzt.

Code geht nur über einen Zugang mit Zero Data Retention an Anthropic: Anthropic speichert weder Anfrage noch Antwort. Ist dieser Zugang nicht bestätigt, sendet Code Guard für Ihre Organisation nichts an ein Modell, und der Bericht lautet "nicht gemessen". Die Verarbeitung erfolgt in den USA; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission.

Testphase, Kauf und Rechnung

Für Testphase und Abo übergibt Code Guard an TOMORIS Commerce, unseren eigenen Abrechnungsdienst: die Kennung Ihrer Installation, das gewählte Paket, die E-Mail-Adresse für Rechnung und Testphase und das Land des Firmensitzes. Die Zahlungsdaten geben Sie direkt bei Stripe ein; TOMORIS sieht keine vollständigen Kartendaten.

Rechnungen erstellt TOMORIS in Microsoft Dynamics 365 Business Central und versendet sie per E-Mail über Microsoft 365. Grundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und die gesetzliche Aufbewahrungspflicht (§ 132 BAO, Art. 6 Abs. 1 lit. c DSGVO).

Anzeigenmessung

Kommen Sie über eine Google-Anzeige, trägt die Adresse eine Klickkennung (gclid, gbraid oder wbraid). Code Guard gibt sie mit dem Link zur Installation an GitHub weiter, bekommt sie nach der Installation zurück und speichert sie mit Ihrer Organisation im Ereignisprotokoll, zusammen mit den Ereignissen "Test gestartet" und "Kauf". So sehen wir, ob eine Anzeige zu einem Test oder Kauf geführt hat (Art. 6 Abs. 1 lit. f DSGVO).

Code Guard lädt derzeit keine Mess- oder Werbeskripte von Google, und an Google wird nichts übermittelt. Ändert sich das, geschieht es nur mit Ihrer Einwilligung, und diese Hinweise werden vorher ergänzt.

Empfänger und Unterauftragsverarbeiter

GitHub ist kein Unterauftragsverarbeiter: Sie nutzen GitHub selbst, Code Guard greift über die App zu, die Sie installieren. Für Übermittlungen in die USA gelten das EU-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission. Über neue Unterauftragsverarbeiter informieren wir Kunden mindestens 30 Tage vorher (AGB Teil C).

Speicherdauer

Organisation (Installation, GitHub-Konto, Status, Budgets): bis 90 Tage nach der Deinstallation. Repositories, geprüfte Commits, Abdeckung und Berechtigung aus Commerce: so lange wie die Organisation. Offene Befunde, solange sie gemeldet werden; erledigte Befunde 12 Monate. Prüfläufe mit Zeit, Status und Kosten sowie das Ereignisprotokoll: 24 Monate. Rechnungen: 7 Jahre.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Schreiben Sie an [email protected]. Beschweren können Sie sich bei der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, www.dsb.gv.at.