Sicherheit & Compliance im Kern
des Kundenservice

Ja, Everhelp verfügt über die PCI-DSS-Zertifizierung. Das bedeutet, dass jede Support-Interaktion mit Zahlungsdaten in einer kontrollierten, geprüften Umgebung abläuft, in der Karteninhaberdaten in jeder Phase der Customer Journey geschützt sind. Bei der Zusammenarbeit mit uns können Sie sich darauf verlassen, dass die Zahlungsdaten Ihrer Kunden nach denselben Sicherheitsstandards behandelt werden, die auch die sensibelsten Vorgänge in der Zahlungskartenindustrie regeln.

ISO 27001 ist ein fortlaufendes Bekenntnis zum sicheren Datenmanagement. Das bedeutet:
‍

• Ihre Daten werden innerhalb eines dokumentierten, getesteten Sicherheitsrahmens verarbeitet
• Wir wenden dieselben Sicherheitsstandards auch auf unsere eigenen Drittanbieter und Tools an.
• Zugriffskontrollen, Vorfallreaktion und Risikomanagement sind definiert, werden regelmäßig überprüft und aktualisiert
• Unabhängige Auditoren überprüfen unsere Compliance regelmäßig, sodass Sie sich nicht nur auf unser Wort verlassen müssen.

‍

Keine Zertifizierung garantiert null Vorfälle. ISO 27001 sorgt dafür, dass Risiken nach einem weltweit anerkannten Standard identifiziert, gemanagt und dokumentiert werden.

Wir behandeln jede Anfrage zur Löschung personenbezogener Daten als zeitkritische operative Aufgabe. Wir:

‍

• Lokalisieren die Daten der Person in jedem System, in dem sie gespeichert sein könnten
• Löschen oder anonymisieren sie anschließend entsprechend
• Bestätigen den Abschluss gegenüber der anfragenden Partei
• Und dokumentieren den gesamten Prozess für Audit-Zwecke.

‍

Bestehen gesetzliche Aufbewahrungspflichten – zum Beispiel bei Finanzunterlagen, die nach geltendem Recht erforderlich sind – kennzeichnen wir diese Ausnahmen klar, anstatt eine pauschale Löschung vorzunehmen, die anderswo Compliance-Lücken schaffen würde.

Unser Ansatz zur Überwachung interner Bedrohungen kombiniert technische Kontrollen mit Verantwortlichkeit auf Mitarbeiterebene. Jeder Mitarbeiter unterzeichnet eine Vertraulichkeitsvereinbarung, die den Umgang mit Daten, Offenlegungsbeschränkungen und Pflichten beim Ausscheiden abdeckt. Verpflichtende Sicherheitsschulungen werden vor dem Start absolviert, und MFA gilt für den Zugriff auf jedes interne Tool. Darüber hinaus:
‍

• Wir stellen durch rollenbasierte Zugriffskontrollen sicher, dass Mitarbeiter nur die Kundendaten sehen, die für ihre jeweilige Funktion relevant sind.
• Clean-Desk- und Clean-Screen-Richtlinien gelten an allen Arbeitsplätzen, remote wie vor Ort.
• Das Offboarding von Mitarbeitern folgt einem festgelegten Protokoll: Der Zugriff wird entzogen, und alle vertraulichen Informationen werden bei Beendigung des Arbeitsverhältnisses zurückgegeben oder dauerhaft gelöscht.

Wird eine vermutete Sicherheitsanomalie festgestellt, benachrichtigen wir den betroffenen Kunden innerhalb von 24 Stunden. Ab diesem Zeitpunkt hält unser Team über die vereinbarten Kanäle regelmäßig Status-Updates bereit, bis das Problem vollständig gelöst ist.
‍

Jeder Vorfall wird sofort nach Erkennung nach Schweregrad klassifiziert, mit klar zugewiesener Verantwortung und Eindämmungsmaßnahmen, die parallel zu einer Ursachenanalyse ergriffen werden.
‍

Bei allem geschäftskritischen werden sofort die richtigen Personen hinzugezogen, und es wird zur obersten Priorität des Teams, bis es abgeschlossen ist.

Das hängt von Ihrem Setup ab, aber die Sicherheitsintegration ist von Anfang an Teil unseres Onboarding-Prozesses. Bei Standard-Tools (Ticketing-Plattformen wie Zendesk, MFA-Systemen und cloudbasierten Umgebungen) arbeiten wir direkt innerhalb Ihrer bestehenden Infrastruktur, wobei die Kontrolle fest bei Ihnen bleibt.
‍

Gehen Ihre Sicherheitsanforderungen über unsere Standardkontrollen hinaus, prüfen wir diese im Detail, bevor die Zusammenarbeit beginnt, identifizieren etwaige Lücken und vereinbaren einen Zeitplan für die Lösung. Wir starten erst, wenn beide Seiten mit dem Setup zufrieden sind.

In den meisten Fällen ja. Jede Kundenzusammenarbeit wird durch eine Datenverarbeitungsvereinbarung geregelt, die Rollen, Verarbeitungsgrenzen und Datenmanagementpflichten speziell für Ihre Partnerschaft festlegt.

‍

Sehen Ihre Richtlinien spezifische Zugriffsbeschränkungen, Anforderungen zum Datenstandort oder individuelle Eskalationsverfahren vor, prüfen wir diese und sehen, ob wir uns vor dem Start des Support-Betriebs daran ausrichten können. Für Kunden mit Sitz in der EU oder solche, die europäische Endnutzer bedienen, umfasst dies Standardvertragsklauseln für Daten, die die EWR verlassen. Gehen Ihre Anforderungen über das hinaus, was wir realistisch leisten können, sagen wir Ihnen das sofort – Standards zuzusagen, die wir nicht einhalten können, entspricht schlicht nicht unserer Politik.