Datenschutzerklärung

1. Verantwortlicher

Elni Consulting SRL, Rue Grande Coyarde 7, 1367 Ramillies, Belgique — BE 1002.511.925.

Fragen oder Ausübung Ihrer Rechte: privacy@climatememory.com.

Wir haben keinen Datenschutzbeauftragten benannt: unsere Tätigkeit fällt unter keinen der Fälle, in denen die DSGVO das verlangt (Art. 37).

2. Was wir verarbeiten, und wozu

Konto: E-Mail-Adresse, gegebenenfalls Anzeigename, Sprache und die undurchsichtige Kennung des Identitätsanbieters, wenn Sie Google oder GitHub nutzen. Zweck: Sie authentifizieren und erreichen. Grundlage: Vertragserfüllung.

Abrechnung: Land, gegebenenfalls Firmenname und USt-IdNr. sowie das Verzeichnis Ihrer Rechnungen. Zweck: ordnungsgemäße Rechnungen und korrekte Mehrwertsteuer. Grundlage: rechtliche Verpflichtung.

API-Nutzung: Schlüsselkennung, minutengenauer Zeitstempel, aufgerufener Endpunkt und Kosten in Credits. Zweck: Abrechnung, Kontingente, Missbrauchserkennung. Grundlage: Vertrag und berechtigtes Interesse. Diese Einträge enthalten weder Ihre Anfrageparameter noch die abgefragten Koordinaten.

Sicherheit: ein gekürzter, gesalzener Fingerabdruck Ihrer IP-Adresse bei der Anmeldung und bei sensiblen Aktionen sowie der User-Agent. Zweck: auffälliges Verhalten erkennen. Grundlage: berechtigtes Interesse. Die Adressen selbst speichern wir nicht.

Einwilligungen: der Zeitstempel-Nachweis, dass die Vertragsdokumente akzeptiert und gegebenenfalls auf das Widerrufsrecht verzichtet wurde. Grundlage: rechtliche Verpflichtung (DSGVO Art. 7 Abs. 1 und WGB Art. VI.53).

3. Was wir nicht tun

Wir verkaufen oder vermieten Ihre Daten nicht. Wir nutzen sie nicht für gezielte Werbung. Wir treffen keine automatisierten Entscheidungen mit Rechtswirkung Ihnen gegenüber und betreiben kein Profiling.

Wir speichern keine Passwörter, weil wir keine verwenden.

4. Empfänger

Hosting: OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France. Server und Datenbanken stehen in der Europäischen Union.

Auslieferung und Schutz: Cloudflare, Inc., das IP-Adressen der Besucher zur Abwehr von Angriffen verarbeitet.

Zahlung: Stripe Payments Europe, Ltd., Dublin, Irlande, das für Zahlungsdaten als Verantwortlicher handelt und als Einziges Kartendaten hält.

Transaktions-E-Mail: Amazon Web Services EMEA SARL (Amazon SES, Region Paris), Luxemburg. Postfächer: OVHcloud (Zimbra), Frankreich.

Diese Dienstleister handeln auf Weisung und vertraglich gebunden. Außerhalb des Europäischen Wirtschaftsraums werden keine Daten übermittelt, ausgenommen durch Cloudflare, Stripe und Amazon Web Services im Rahmen ihrer eigenen rechtlich abgesicherten Übermittlungsmechanismen.

5. Speicherfristen

Konto: solange es besteht, danach Löschung auf Anfrage.

Rechnungen und Abrechnungsdaten: sieben Jahre ab Abschluss des Geschäftsjahres, wie das belgische Buchhaltungsrecht verlangt. Diese Aufbewahrung überdauert ein Löschersuchen (DSGVO Art. 17 Abs. 3 lit. b), doch die aufbewahrte Rechnung ist keinem aktiven Konto mehr zugeordnet.

Nutzungsprotokolle: rollierend dreizehn Monate.

Sitzungen: dreißig Tage nach der letzten Nutzung.

Anmeldelinks: fünfzehn Minuten, danach spätestens nach sieben Tagen gelöscht.

Rohe Zahlungsereignisse von Stripe: neunzig Tage, und sofort bei Löschung des betroffenen Kontos.

6. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit nach Art. 15 bis 22 DSGVO zu.

Die Löschung starten Sie selbst im Kundenbereich, ohne Antrag und ohne Wartezeit: sie widerruft Ihre Schlüssel, entfernt Ihre Anmeldeidentitäten und Sitzungen, überschreibt die identifizierenden Daten Ihres Kontos und löst Ihre Rechnungen ab, die ohne zugeordnete personenbezogene Daten bestehen bleiben. Der Vorgang ist unumkehrbar.

Sie können auch an privacy@climatememory.com schreiben. Wir antworten binnen eines Monats.

7. Beschwerde

Genügt unsere Antwort nicht, können Sie sich an die Autorité de protection des données (APD/GBA), Rue de la Presse 35, 1000 Bruxelles, Belgique — https://www.autoriteprotectiondonnees.be wenden.

Zuständig ist die belgische und nicht die französische Behörde: unsere Hauptniederlassung liegt in Belgien.

8. Sicherheit

API-Schlüssel und Sitzungs-Token werden nie im Klartext gespeichert, sondern nur als kryptografischer Fingerabdruck — eine Kopie der Datenbank taugt damit nicht zum Anmelden.

Die Datenbankrollen sind getrennt: der Prozess, der API-Anfragen beantwortet, hat keinerlei Leserecht auf die Tabellen mit personenbezogenen Daten. Das ist keine interne Richtlinie, sondern eine vom Server durchgesetzte Beschränkung.

Der Datenverkehr ist auf dem Transportweg verschlüsselt. Bei einer Verletzung mit voraussichtlichem Risiko für Ihre Rechte benachrichtigen wir die Behörde binnen 72 Stunden und informieren Sie, wenn das Risiko hoch ist.

9. Änderungen

Wesentliche Änderungen dieser Erklärung teilen wir per E-Mail mit. Die geltende Fassung trägt das oben angegebene Datum.