Wir lesen die Konfiguration, schreiben nie zurück und verarbeiten so wenig personenbezogene Daten wie möglich. Die Read-only-Architektur ist kein Versprechen im Kleingedruckten, sondern im Code erzwungen.
Bausteine, die zusammen erklären, warum du dein Portal bedenkenlos verbindest — jeder einzelne nachprüfbar, keiner nur behauptet.
Der HubSpot-Client kennt nur GET. Mehrschichtiger Read-only-Guard, Endpoint-Allowlist und expliziter Sync-Modus. Der technisch erforderliche HubSpot-Automation-Scope kann mehr erlauben; die App begrenzt ihn deshalb zusätzlich auf freigegebene GET-Endpunkte und führt keine Schreibaufrufe aus.
Verschlüsselung in Transit und at rest. Vollständiges Audit-Log für die Rechenschaftspflicht. Strikt tenant-skopierte Mandantentrennung — jede Query ist app-seitig mandantengefiltert, DB-Row-Level-Security folgt als zusätzliche Härtung.
Wir ziehen keine Kontakt-/CRM-Daten aus deinem Portal — keine Kontakte, Deals, Form-Submissions oder Engagements. Synchronisiert werden nur Konfigurations-Metadaten (Workflows, Properties, Listen, Forms). Diese Metadaten laufen für die Analyse durch die KI-Inferenz bei Anthropic (USA, SCC) — kein Training auf deinen Daten.
Datenbank und App laufen in einem EU-Rechenzentrum. Die KI-Verarbeitung erfolgt über Anthropic PBC (USA) auf Grundlage der EU-Standardvertragsklauseln (SCC), kein Training auf deinen Daten. Eine EU-Datenresidenz der Inferenz ist geplant.
Du kannst dein HubSpot jederzeit trennen; deine Daten werden gelöscht. Token brauchen wir nur für Re-Syncs — du kannst sie dazwischen rotieren oder widerrufen.
KI-Verarbeitung über Anthropic PBC (USA) auf Grundlage der EU-Standardvertragsklauseln (SCC), Zahlungen über Stripe. Alle Subprozessoren werden in der AVV/DPA gelistet — du weißt, wer was verarbeitet.
Kein POST, kein PATCH, kein DELETE — keine Schreib-Methode existiert im HubSpot-Client. Wir synchronisieren Konfigurations-Metadaten, nie deine Records.
Was wir lesen
Was wir nie anfassen
Diese Daten verlassen HubSpot nie.
Read-only-Guard · Endpoint-Allowlist · 0 Schreibzugriffe
Du verbindest dein Portal per OAuth oder über einen Private-App-Token mit den minimal erforderlichen Berechtigungen. Das eigentliche Read-only überlassen wir aber nicht dem Scope allein, sondern erzwingen es mehrschichtig im Code — die vier Verteidigungslinien rechts greifen unabhängig voneinander. OAuth ist live; weil der für Workflows nötige Automation-Scope technisch mehr erlauben kann, bleibt diese Guard-Kette bei jedem HubSpot-Aufruf maßgeblich.
1. GET-only-Client-Guard
Der HubSpot-Client stellt ausschließlich GET bereit — POST, PATCH, PUT und DELETE existieren gar nicht.
2. Endpoint-Allowlist
Nur eine feste Liste lesender Konfigurations-Endpoints ist erlaubt; alles außerhalb wird abgewiesen.
3. Expliziter Sync-Modus
HubSpot-Aufrufe laufen nur im freigegebenen Sync-Modus und weiterhin ausschließlich über den GET-only-Client — ohne Rückschreibpfad in dein Portal.
4. check-readonly-CI
Ein CI-Check bricht den Build, sobald irgendwo ein schreibender Aufruf in den Code geriete.
Die Mandantentrennung ist app-seitig erzwungen: Jede Query ist strikt tenant-skopiert und mandantengefiltert, sodass ein Portal die Daten eines anderen nicht erhält. Eine DB-Row-Level-Security in Postgres ist als zusätzliche Härtung in Vorbereitung. Verschlüsselung in Transit und at rest, ein vollständiges Audit-Log dokumentiert jeden Zugriff.
Datenverarbeitung, Subprozessoren und Auftragsverarbeitung stehen schwarz auf weiß. Eine Sicherheitslücke gefunden? Melde sie direkt.
Strikt lesend, EU-gehostet, ohne Schreibzugriff — von der ersten Sekunde an. Du kannst jederzeit trennen, deine Daten werden gelöscht.
GET-only-Client · keine Kontaktdaten · EU-Hosting