Trust Center
Transparenz zu Sicherheit, Datenschutz und Verlässlichkeit bei oxom.
Status & Highlights
Kontrollen & Maßnahmen
Zugriffe auf geschutzte Bereiche laufen uber Clerk-Authentifizierung.
Zugriffe werden uber Rollen wie Admin, Editor und Member differenziert.
Berechtigungen werden moglichst eng am Workspace- und Aufgabenkontext gehalten.
Anderungen werden vor Veroffentlichung gepruft.
Abhangigkeiten werden laufend beobachtet und aktualisiert.
Ausbau von Schutzmechanismen fur missbrauchsanfallige Endpunkte ist geplant.
Verbindungen zur Plattform sind auf HTTPS/TLS ausgelegt.
Backup-Funktionen werden primar durch unsere Infrastruktur-Provider bereitgestellt.
Erweiterte Security-Audit-Logs fur mehr Transparenz sind geplant.
Datenzugriffe werden uber Workspace-Scoping und Supabase-RLS-Policies begrenzt.
Plattform-, Subdomain- und Custom-Domain-Routing folgt einem Tenant-Resolution-Modell.
Security Advisories
OXOM-2026-001
Eine interne Datenbankfunktion zur Entschlüsselung gespeicherter API-Credentials war ohne Authentifizierung über die REST-API erreichbar. Der Zugriff wurde auf serverseitige Service-Role beschränkt. Betroffene Daten: keine Anzeichen auf unautorisierte Zugriffe.
Subprozessoren
| Anbieter | Zweck | Standort | Link |
|---|---|---|---|
| Vercel | Hosting und Edge-Auslieferung | EU/US (providerabhangig) | vercel.com |
| Supabase | Postgres-Datenbank und Plattformdienste | EU/US (providerabhangig) | supabase.com |
| Clerk | Authentifizierung und Session-Management | EU/US (providerabhangig) | clerk.com |
| Anthropic | AI Features | Variiert | www.anthropic.com/ |
| OpenAI | AI Features | Variiert | openai.com |
| Dub | Link-Infrastruktur | Variiert | dub.co |
| Liveblocks | Collab | EU/US (providerabhangig) | liveblocks.io |
| Cloudflare | Datenspeicher (R2) | EU/US (providerabhangig) | www.cloudflare.com/ |
| Stripe | Zahlungsabwicklung und Billing | EU/US (providerabhangig) | stripe.com |
| DeepL | Ubersetzung und Sprachverarbeitung | EU/US (providerabhangig) | www.deepl.com/en |
| ElevenLabs | Text-to-Speech | Variiert | elevenlabs.io |
| Upstash | Redis-basiertes Rate Limiting | EU/US (providerabhangig) | upstash.com |
| Discord | Community- und Ankundigungs-Integrationen | Variiert | discord.com |
| Twitch | Command- und Bot-Integrationen | Variiert | www.twitch.tv/ |
| Linear | Issue-Tracking und internes Ticketing | Variiert | linear.app |
| Buffer | Social-Media-Planung und Publishing | Variiert | buffer.com |
Vulnerability Disclosure
Bitte betroffene URL, Reproduktionsschritte und erwartete Auswirkung angeben.
Keine Störung des laufenden Betriebs und nur minimal notwendiger Datenzugriff.
Reaktionsziele
- Erstbestatigung innerhalb von 72 Stunden.
- Kritisch: Ziel fur erste Mitigation innerhalb von 72 Stunden.
- Hoch: Ziel fur Behebung innerhalb von 7 Tagen.
- Mittel: Ziel fur Behebung innerhalb von 30 Tagen.
- Niedrig: Ziel fur Behebung innerhalb von 90 Tagen.
Safe Harbor: Gutglaubige, verantwortungsvolle Meldungen werden unterstutzt, sofern legal, nicht-destruktiv und mit begrenztem Scope getestet wird.
FAQs
Wo werden meine Daten gespeichert?
Daten liegen bei ausgewahlten Infrastruktur-Providern. Wo sinnvoll und moglich, setzen wir auf EU-nahe Deployments.
Wie trennt ihr Workspaces voneinander?
Workspace-Daten werden auf Anwendungsebene und uber Supabase Row-Level Security (RLS) voneinander isoliert.
Unterstutzt oxom Custom Domains?
Ja. Subdomains und Custom Domains sind uber das Domain-Mapping-Modell der Plattform vorgesehen.
Wie kann ich ein Sicherheitsproblem melden?
Bitte an security@oxom.de senden, inklusive betroffener URL, Reproduktionsschritten und moglicher Auswirkung.
Gibt es ein Bug-Bounty-Programm?
Ein offentliches Bug-Bounty-Programm ist aktuell nicht angekundigt. Coordinated Disclosure ist uber den Security-Kontakt moglich.
Unterstutzt ihr SSO?
Ein offentlicher SSO-Status ist derzeit nicht separat dokumentiert. Fur den aktuellen Stand bitte Support kontaktieren.
Wie geht ihr mit AI-Daten um?
AI-Funktionen konnen externe Modell-Provider nutzen. Wir zielen darauf ab, nur notwendige Daten zu ubermitteln und den Umfang zu minimieren.
Wie schnell reagiert ihr auf Sicherheitsmeldungen?
Ziel ist eine Erstbestatigung innerhalb von 72 Stunden und eine priorisierte Behebung nach Schweregrad.
Zuletzt aktualisiert: 22. Februar 2026