Informationssicherheitsrichtlinie

Infrastruktur

Die Server von Telefonanlage und Panel werden in der Türkei gehostet; Gesprächsaufzeichnungen, Transkripte und Berichte verlassen das Land nicht. KI-Modelle verarbeiten Ton/Text nur während des Gesprächs; der Anbieter verwendet diese Daten nicht zum Training des Modells.
Telefonanlage und Panel laufen auf getrennten Maschinen und kommunizieren über ein privates Netz; der Zugriff auf die Verwaltungsoberflächen ist IP-beschränkt.
Der gesamte Web-Verkehr wird per TLS verschlüsselt; WebRTC-Ton wird über DTLS-SRTP übertragen.

Zugriffsverwaltung

Kundendaten sind pro Kunde getrennt; jede Abfrage wird auf die Kunden-ID der Sitzung begrenzt.
Rollenbasierte Berechtigungen im Panel (Bevollmächtigter / Mitarbeiter), Sichtbarkeit nach Seite und Nebenstelle, Liste zugelassener IPs, Sperre für Auslands-IPs.
Es werden 2-Schritt-Verifizierung (Authenticator, E-Mail, SMS) und Passkey (WebAuthn) unterstützt; eine Anmeldesperre (5 Fehler in 15 Min. pro E-Mail) ist aktiv.
Sitzungs-Cookies HttpOnly, Secure, SameSite; 2 Stunden Inaktivität / 12 Stunden absolute Dauer.

Aufbewahrung der Geheimnisse

Passwörter werden per Einweg-Hash (bcrypt) gespeichert. API-Schlüssel und Integrationsgeheimnisse werden mit AES-256-GCM verschlüsselt; der Schlüssel liegt nicht in der Datenbank, sondern in der Serverkonfiguration.
Kartendaten gelangen zu keinem Zeitpunkt in die Buluthat-Systeme; sie werden auf den Seiten des Zahlungsdienstleisters (iyzico, PayTR) verarbeitet. Eine gespeicherte Karte wird nur als Token dargestellt. Beim Tastenfeld-Eingabeschritt für Karten am Telefon wird die Aufzeichnung stummgeschaltet und es werden keine Tasten protokolliert.
Sprach-Bestätigungscodes werden nur als Hash gespeichert.

Aufzeichnung und Aufbewahrung

Gesprächsaufzeichnungen werden standardmäßig 12 Monate aufbewahrt; der Kunde lädt sie jederzeit im Panel herunter oder löscht sie.
Der Vorgangsverlauf (Anmeldung, Seitenaufrufe, Einstellungsänderungen) wird 180 Tage aufbewahrt und ist im Kundenpanel einsehbar.
Tägliche Backups werden verschlüsselt erstellt und 30 Tage an einem getrennten Ort aufbewahrt.

Vorfallmanagement

Die Systemgesundheit (Telefonanlagen-Sync, Assistentendienst, E-Mail-Warteschlange) wird laufend überwacht; der Kunde sieht den Systemstatus im Support-Center.
Bei Verdacht auf eine Sicherheitsverletzung werden betroffene Kunden innerhalb von 72 Stunden informiert; Meldungen im Rahmen des KVKK erfolgen innerhalb der gesetzlichen Frist.
Zur Meldung einer Sicherheitslücke: destek@buluthat.com (konu: "güvenlik").

Dritte

Soweit für die Leistung erforderlich, werden Daten mit Telekommunikationsbetreibern, Zahlungsinstituten, Anbietern von Sprach-/Sprachmodellen (OpenAI, Google) sowie E-Mail-/SMS-Anbietern geteilt; die Datenverarbeitungsbedingungen mit jedem von ihnen sind vertraglich geregelt.

Letzte Aktualisierung: September 2026.