Wie Ihre Mandantendaten behandelt werden.

Die Konsolen-Anmeldung nutzt Ihr Spot Suite-Konto über Spot Suite OIDC unter spot-cloud.spot-suite.com, im Business-Tarif mit Single Sign-on über Microsoft Entra ID. Geräte-Agents sehen niemals Benutzerpasswörter.

Testphasen und gemeinsam genutzte Daten liegen im gemeinsam genutzten Supabase-Postgres-Projekt in der EU (Paris); ein bezahlter Workspace hat ein eigenes Supabase-Projekt in der beim Kauf gewählten Region.

Richtlinie, Block-Ereignisse und Enrollment-Datensätze sind auf Ihren Mandanten beschränkt. Zeilen überschreiten keine Kundengrenzen.

Testphasen laufen in der EU; ein bezahlter Workspace läuft in der beim Kauf gewählten Region, und seine Datenbank wird dort gespeichert. Unabhängig von der Region liegen gemeinsam genutzte Bundle-Dateien (R2) und der stündliche Backup-Dump im Cloudflare-Objektspeicher in Westeuropa, nicht an eine EU-Jurisdiktion gebunden. Betrieben von Spot Cloud B.V.

Block-Ereignisse erfassen Gerät, Domain, Kategorie, Quelle und Zeitstempel. Die Konsole exportiert die letzten 25 Ereignisse als CSV oder JSON.

Verwaltete Agents authentifizieren sich mit pro-Gerät csk_ API-Schlüsseln, serverseitig sha256-gehasht. Schlüssel werden mit 0600-Berechtigungen auf dem Endgerät gespeichert.

Threat-Feeds werden als ed25519-signierte gzip-Bundles ausgeliefert. Agents überprüfen die Signatur vor der Anwendung der Indikatoren — der Offline-Cache behält das zuletzt verifizierte Bundle.

Die Erzwingung ist DNS-only. Blockierte Domains werden in einem lokalen Sinkhole auf eine Blockseite umgeleitet. Keine TLS-Inspektion, PAC-Datei oder Netzwerk-Gateway im Richtlinienpfad. Unter Linux kann eine gesperrte HTTPS-Website statt der Sperrseite eine Zertifikatswarnung des Browsers zeigen.

Plattform-Controls sind auf GDPR, DORA und NIS2 gemappt. Audit-Nachweise und das Control-Mapping-Paket werden unter NDA geteilt.