Datenschutzrichtlinie

1. Wer wir sind

Avatorial ist ein Dienst von Nextarp B.V. („wir“, „uns“), registriert in Rotterdam, Niederlande. Für Arbeitsbereichsinhalte (Ihre Beiträge, Entwürfe, Schreibkorpus) ist Ihre Organisation der Datenverantwortliche und wir agieren als Auftragsverarbeiter. Für Konto- und Abrechnungsdaten sind wir der Verantwortliche. Kontakt: info@nextarp.com.

2. Was wir sammeln und warum

• Kontodaten — Name, E-Mail-Adresse und Organisationskennung von Ihrem Anmeldeanbieter (Microsoft Entra ID oder Google). Zweck: Authentifizierung und Arbeitsbereichsmitgliedschaft. Rechtsgrundlage: Vertrag.
• Schreibkorpus — Beiträge, die Sie über Ihren LinkedIn-Datenexport hochladen oder aus Ihrer eigenen Reddit-Historie importieren. Zweck: Aufbau Ihres persönlichen Sprachprofils. Rechtsgrundlage: Vertrag. Ihr Korpus wird nur für Ihr eigenes Profil verwendet — niemals zum Trainieren gemeinsamer oder Drittanbieter-Modelle.
• Entwürfe, Genehmigungen und Feedback — Inhalte, die für Sie generiert werden, Ihre Bearbeitungen, Genehmigungen und Ablehnungsgründe. Zweck: Bereitstellung und Verbesserung Ihrer eigenen Ergebnisse; Pflege des Genehmigungs-Audit-Trails.
• Plattform-Token — OAuth-Token, die Sie für LinkedIn und Reddit gewähren, gespeichert im Google Secret Manager (niemals in unserer Anwendungsdatenbank). Zweck: Veröffentlichung mit Ihrer Zustimmung. Jederzeit von der Plattform oder durch Trennen des Kontos widerrufbar.
• Medien — Fotos/Videos, die Sie für Beiträge hochladen, gespeichert im EU-Cloud-Speicher.
• Abrechnungsdaten — Abonnementstatus und Rechnungsstellung durch Stripe; wir sehen niemals vollständige Kartennummern.
• Dienstprotokolle — Technische Anforderungsprotokolle (IP, Zeitstempel, Endpunkte) für Sicherheit und Zuverlässigkeit, maximal 90 Tage aufbewahrt.

3. Wo Ihre Daten gespeichert sind

Die gesamte Anwendungsinfrastruktur läuft auf Google Cloud in der Europäischen Union (Region europe-west1, Belgien): Anwendungsserver, Datenbank, Medienspeicher und KI-Verarbeitung (Google Vertex AI, in der Region).

4. Unterauftragsverarbeiter

• Google Cloud EMEA (Hosting, Speicherung, KI-Verarbeitung) — EU
• Stripe Payments Europe (Abonnementabrechnung) — EU/US mit Standardvertragsklauseln (SCCs)
• Microsoft Ireland (Entra ID Anmeldung) — EU
• Google Ireland (Anmeldung mit Google — nur Name und E-Mail-Adresse) — EU
• Resend (Transaktions-E-Mails: Einladungen und Entwurfserinnerungen) — EU/US mit Standardvertragsklauseln (SCCs)
• Schriftarten werden von unserer eigenen Domain bereitgestellt — keine Schriftarten-CDN-Anfragen an Dritte.

LinkedIn und Reddit sind keine Unterauftragsverarbeiter: Sie agieren als unabhängige Verantwortliche, und Inhalte erreichen sie nur durch Ihre eigene OAuth-Zustimmung, wenn Sie einen Beitrag genehmigen.

4a. Wie lange wir Daten aufbewahren

• Arbeitsbereichsinhalte — solange der Arbeitsbereich existiert. Sie können den gesamten Arbeitsbereich jederzeit selbst löschen (Abrechnung → Diesen Arbeitsbereich löschen), wodurch Inhalte, Token und Mitglieder sofort gelöscht werden.
• Abgelaufene Arbeitsbereiche — automatisch und dauerhaft gelöscht 60 Tage nach Ablauf einer Testphase oder eines Abonnements.
• Genehmigungs-Audit-Protokoll — für die gesamte Lebensdauer des Arbeitsbereichs aufbewahrt, da es die Aufzeichnung darüber ist, wer was genehmigt hat.
• Technische Anforderungsprotokolle — maximal 90 Tage.

5. KI-Verarbeitung

Entwürfe werden von großen Sprachmodellen (Google Vertex AI) unter Verwendung Ihres Sprachprofils und, wo relevant, von Ihnen bereitgestellten Inhalten (Fotos, Hinweise, Beiträge, auf die Sie antworten wollten) generiert. Modelleingaben und -ausgaben werden in der EU verarbeitet und weder von uns noch von Google zum Trainieren von Basismodellen verwendet. Jeder KI-generierte Entwurf erfordert Ihre ausdrückliche menschliche Genehmigung vor der Veröffentlichung.

6. Aufbewahrung

• Arbeitsbereichsinhalte: für die Dauer Ihres Abonnements; gelöscht innerhalb von 60 Tagen nach Kontoschließung (oder auf Anfrage).
• Plattform-Token: sofort gelöscht, wenn Sie ein Konto trennen oder Ihren Arbeitsbereich schließen.
• Audit-Protokoll: zusammen mit dem Arbeitsbereich aufbewahrt, als integraler Nachweis der Genehmigungen.
• Rechnungen: gemäß niederländischem Steuerrecht aufbewahrt (7 Jahre).

7. Ihre Rechte

Gemäß der DSGVO können Sie Zugang, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung beantragen. Schreiben Sie an info@nextarp.com; wir antworten innerhalb von 30 Tagen. Sie können eine Beschwerde bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) einreichen.

8. Cookies

Die Anwendung verwendet ein einziges, unbedingt notwendiges Session-Cookie. Die Marketing-Website setzt keine Analyse- oder Werbe-Cookies.

9. Änderungen

Wesentliche Änderungen dieser Richtlinie werden wir den Arbeitsbereichsinhabern per E-Mail oder durch einen auffälligen Hinweis in der Anwendung mitteilen und das obige Datum aktualisieren.