Sicherheit und Daten für Organisationen

• Boards, Karten, Kommentare und Anhänge laufen direkt zwischen den Apps und Ihrem Nextcloud-Server, nie über einen Server von Deckloud.
• Für einen Server im lokalen Netz erlauben die Apps unverschlüsseltes http://. Für eine verschlüsselte Übertragung verwenden Sie HTTPS.
• Jede App prüft ihre Lizenz bei api.deckloud.com, wie unten aufgeführt.
• api.deckloud.com verbindet sich nur bei der Bestätigung als Admin mit Ihrem Server.

Einen Server ohne Lizenz prüfen die Apps höchstens einmal am Tag. Bei einem lizenzierten Server prüft die Desktop-App alle 6 Stunden, solange sie läuft; die Apps für iPhone, iPad und Android prüfen das aktive Konto beim Öffnen, sobald die letzte Prüfung 12 Stunden zurückliegt. Nutzer können außerdem Erneut prüfen wählen.

Die Apps senden keine Namen, E-Mail-Adressen, Nextcloud-Nutzer-IDs oder Gruppenmitgliedschaften. Sie lesen ID und Gruppen des Nutzers mit dessen Anmeldung von Ihrem Server (/ocs/v2.php/cloud/user) und prüfen die Gruppe auf dem Gerät. Deckloud kennt nur die ID der lizenzierten Gruppe. Für den Vorschlag einer Teamlizenz zählt die App auf dem Gerät, wie viele Personen die Boards des Nutzers teilen; diese Zahl wird nie gesendet. Ein „An die IT senden“-Link, den Sie verschicken, enthält die vorgeschlagene Zahl der Plätze. deckloud.com erhält sie, wenn jemand den Link öffnet.

Admins, die die Lizenz verwalten, senden zusätzlich ihre Eingaben: Lizenzschlüssel, Serveradressen, Gruppen-ID und Analyse-Richtlinie.

• Die Lizenz: Tarif, Status, Plätze, bezahlter Zeitraum, Name der Organisation (von Polar oder bei einer Testphase vor dem 8. November 2026 eingegeben) sowie Kunden-, Abonnement- und Bestell-IDs bei Polar. Dazu ein SHA-256-Hash des Lizenzschlüssels, die E-Mail-Adresse, an die der Schlüssel ging, die gewählte Gruppen-ID und die Analyse-Richtlinie.
• Bei Testphasen, die vor dem 8. November 2026 begonnen haben: die Kontakt-E-Mail, die ein Admin angegeben hat, und ein Protokoll der gesendeten E-Mails zur Testphase. Deckloud sendet diese E-Mails nicht mehr; zum Löschen einer Adresse schreiben Sie an partners@deckloud.com.
• Verknüpfte Server: jede Serveradresse mit dem Zeitpunkt der Verknüpfung. Bei Testphasen vor dem 8. November 2026 zusätzlich die Serveradresse jeder Testphase.
• Plätze: jeder Platz-Hash mit erster und letzter Nutzung; die letzte wird höchstens einmal pro UTC-Tag aktualisiert. Ein Platz wird 60 Tage nach der letzten Nutzung gelöscht. Jeder, der api.deckloud.com erreicht, könnte einen Platz-Hash melden. Die Zahl der Plätze ist deshalb nur eine Information und begrenzt weder Pro noch die Abrechnung.
• Bei Provider-Lizenzen: der tägliche Höchststand verknüpfter Server für die Abrechnung.
• Für Ratenbegrenzungen: SHA-256-Hashes der anfragenden IP-Adresse und anderer begrenzter Werte wie des Lizenzschlüssels, gelöscht nach höchstens 2 Tagen.

Um eine Lizenz ohne Schlüssel zu verwalten oder eine Lizenz zu kaufen, die den Server verknüpft, bestätigt ein Admin den Server:

1. api.deckloud.com startet Nextcloud Login Flow v2 auf der Serveradresse, die der Admin eingegeben hat.
2. Der Admin meldet sich auf der Anmeldeseite des eigenen Servers an und erteilt den Zugriff. Nextcloud gibt api.deckloud.com ein temporäres App-Passwort.
3. api.deckloud.com liest damit einmal /ocs/v2.php/cloud/user und prüft, ob das Konto in der Gruppe admin ist.
4. Dann fordert es Nextcloud auf, das App-Passwort zu löschen. Eine Admin-Sitzung erstellt es erst, wenn Nextcloud die Löschung bestätigt.

Bis dahin bewahrt api.deckloud.com das App-Passwort verschlüsselt auf, nur für diese Prüfung und seine Löschung; gelingt das Speichern nicht, lässt es die Prüfung aus und fordert die Löschung sofort an. Eine fehlgeschlagene Löschung wiederholt es bis zu 30 Tage lang; mit der Bestätigung oder nach diesen 30 Tagen wird die Kopie gelöscht. Verschlüsselte Sicherungen der Datenbank (7 tägliche, 4 wöchentliche und 6 monatliche Kopien) können Kopie und Schlüssel bis zu ihrem Ablauf enthalten. Der Admin kann das App-Passwort auch unter Nextcloud-Einstellungen > Sicherheit widerrufen.

api.deckloud.com verbindet sich nur mit öffentlichen Adressen über HTTPS. Eine Bestätigung gilt 1 Stunde und nur für die bestätigte Serveradresse. Um Server hinzuzufügen oder das Polar-Kundenportal zu öffnen, braucht es den Lizenzschlüssel.

• Ein Lizenzschlüssel hat 125 Bit Zufall. Deckloud schickt ihn an die beim Kauf angegebene E-Mail-Adresse und speichert nur seinen Hash; die Website zeigt ihn nie an.
• Tokens sind mit Ed25519 signiert. Die Apps prüfen die Signatur auf dem Gerät mit den eingebauten öffentlichen Schlüsseln von Deckloud.
• Ein Gerät akzeptiert ein Token nur, wenn: die Signatur gültig ist; das Token nicht abgelaufen ist; die Serveradresse des Kontos in origins steht; die Plattform des Geräts in platforms steht; und, falls grp eine Gruppe nennt, der Nutzer Mitglied ist.
• Die Organisationslizenz entfernt oder ersetzt nie einen privaten Pro-Kauf.
• Pro der Organisation gilt nur, solange das Konto auf dem lizenzierten Server in der App aktiv ist, nie für private Konten auf demselben Gerät.

{
  "lid": "lic_01J8Z…",
  "plan": "business",
  "org": "Example GmbH",
  "origins": ["https://cloud.example.com"],
  "seats": 50,
  "platforms": ["ios", "android", "macos", "windows", "linux"],
  "policy": { "analytics": "default" },
  "grp": "deckloud-users",
  "iat": 1790000000,
  "exp": 1792592000
}

Ein Token gilt höchstens 30 Tage ab Ausstellung. Es endet mit dem bezahlten Zeitraum eines gekündigten Abonnements, bei einem sich verlängernden bis zu 7 Tage danach, damit eine verspätete Zahlung abgedeckt ist. Bis dahin funktioniert Pro auch offline und bei einem Ausfall von api.deckloud.com. Nach einer Erstattung oder einem Widerruf wechseln die Apps bei der nächsten Lizenzprüfung oder mit Ablauf des Tokens zu Free. Dabei wird nichts gelöscht.

Für Netze ohne Internetzugang stellt Deckloud im Rahmen einer gesonderten Vereinbarung signierte Offline-Lizenzen aus, verteilt über die verwaltete Konfiguration. Die Apps prüfen sie bis zum vereinbarten Enddatum nur auf dem Gerät, ohne api.deckloud.com zu kontaktieren oder Plätze zu zählen.

Die Anmeldung läuft über Nextcloud Login Flow v2 auf der Anmeldeseite Ihres eigenen Servers, daher gelten Ihr Single Sign-on und Ihre Zwei-Faktor-Authentifizierung unverändert. Die App erhält ein Geräte-App-Passwort, das der Nutzer oder ein Admin in Nextcloud widerrufen kann. Ein Deckloud-Konto gibt es nicht.

• Zugangsdaten: Schlüsselbund auf iPhone, iPad und Mac; Android Keystore unter Android; Anmeldeinformationsverwaltung unter Windows; Secret Service unter Linux.
• Arbeitsdaten: eine lokale SQLite-Datenbank für die Offline-Nutzung, die beim Abmelden entfernt wird.
• Lizenz: der geprüfte Lizenzdatensatz, pro Konto gespeichert und mit dem Konto gelöscht.

Die Apps senden pseudonyme Produktanalysen und Fehlerdiagnosen mit einer zufälligen Installations-ID an PostHog, ohne Board-Inhalte, Zugangsdaten, Server-URLs oder E-Mail-Adressen. Enthalten sind:

• Zwei Ja-Nein-Angaben: ob das Konto in der Nextcloud-Gruppe admin ist und ob das Gerät per MDM verwaltet wird.
• Fehlerdiagnosen: die Code-Stellen eines Fehlers und in den mobilen Apps native Absturzberichte.
• Leistungsmessungen für Start, Synchronisierung, das Öffnen eines Boards und die Suche, etwa alle fünf Minuten je Art. Jede Meldung enthält die Anzahl der Messungen, Anzahlen je Zeitspanne, Gesamtdauer, längste Dauer und die Länge dieses Zeitraums. Inhalte oder Kennungen von Boards und Karten sind nicht enthalten.

Nutzer können die Analyse in der App abschalten. Sie können sie mit der Analyse-Richtlinie für alle lizenzierten Nutzer abschalten oder auf verwalteten Geräten mit dem MDM-Schlüssel analytics; die Einstellung in der App ist dann gesperrt.

• Analyse-Richtlinie im Admin-Handbuch
• MDM-Schlüssel

Die Apps senden nur die oben aufgeführten Daten. Deckloud verarbeitet technische Verbindungsdaten, zum Beispiel die IP-Adressen der Geräte, um den Lizenzdienst zu betreiben und abzusichern. Wenn Ihre Datenschutzprüfung ergibt, dass ein Vertrag zur Auftragsverarbeitung nötig ist, wenden Sie sich an partners@deckloud.com.

Bei eingeschalteter Analyse ist Deckloud eigener Verantwortlicher für die oben beschriebene pseudonyme Geräteanalyse. Deckloud Cloud, der optionale gehostete Arbeitsbereich, ist ein eigener Dienst und nicht Teil der Organisationslizenz.

Die Sicherheitsseite der Apps beschreibt den Umgang der Apps mit Daten vollständig (auf Englisch). Fragen aus Sicherheitsprüfungen richten Sie an partners@deckloud.com.