Datenschutzerklärung von Clarnix

1. Verantwortlicher

Verantwortlicher für die Verarbeitung deiner personenbezogenen Daten ist:

Aufsichtsbehörde für den Datenschutz in Spanien ist die Agencia Española de Protección de Datos (AEPD), erreichbar unter www.aepd.es.

2. Welche Daten wir erheben

Wir erheben nur die Daten, die zur Bereitstellung des Clarnix-Dienstes unbedingt erforderlich sind.

2.1 Kontodaten

Wenn du ein Konto erstellst, erheben wir deinen Namen, deine E-Mail-Adresse und (sofern zutreffend) ein gehashtes Passwort. Wenn du dich über OAuth (Google oder Microsoft) anmeldest, erhalten wir deinen Namen, deine E-Mail-Adresse und die vom Anbieter ausgestellte Nutzer-ID.

2.2 Über OAuth zugängliche E-Mail-Daten: Privacy by Design

Clarnix beruht auf dem Grundsatz Privacy by Design: E-Mail-Inhalte werden in unseren Systemen niemals gespeichert. Wir verarbeiten E-Mail-Inhalte ausschließlich flüchtig im Arbeitsspeicher, um Nachrichten zu klassifizieren und Zusammenfassungen für Briefings zu erstellen, und verwerfen sie unmittelbar danach. Die Google-OAuth-Berechtigungen, die wir anfordern, sind https://www.googleapis.com/auth/gmail.readonly (E-Mails lesen), https://www.googleapis.com/auth/gmail.modify (Labels anwenden und archivieren), https://www.googleapis.com/auth/gmail.labels (die von uns vergebenen Labels erstellen und verwalten) und https://www.googleapis.com/auth/calendar.readonly (bevorstehende Termine lesen, siehe unten). Bei Microsoft-Konten fordern wir die entsprechenden Microsoft-Graph-Berechtigungen Mail.Read und Mail.ReadWrite an. Die Metadaten, die wir tatsächlich speichern, beschränken sich auf:

• Name und E-Mail-Adresse des Absenders
• E-Mail-Adressen der Empfänger (An und Cc)
• Betreffzeile
• Empfangszeitpunkt (received_at)
• Message-ID und Thread-ID (vom Anbieter vergebene Kennungen)
• KI-generierte Klassifizierungs-Labels und Prioritäts-Scores
• KI-generierte Briefing-Zusammenfassungen (niemals wortgetreue Nachrichteninhalte)

Kalenderdaten: Wenn du die Kalenderberechtigung erteilst, lesen wir deine bevorstehenden Termine ausschließlich zu dem Zweck, deiner Zusammenfassung eine kurze Agenda hinzuzufügen. Die Agenda wird nur als Teil dieser Zusammenfassung gespeichert: für jeden Termin Titel, Beginn und Ende sowie Ort (oder „online“ bei einem Videocall). Sie wird zusammen mit der Zusammenfassung am Ende der Speicherdauer deines Tarifs gelöscht: 7 Tage bei Starter, 30 Tage bei Pro, 90 Tage bei Team und Team Pro. Terminbeschreibungen werden nur gelesen, um einen Meeting-Link zu erkennen; weder Beschreibungen noch Teilnehmerlisten werden gespeichert. Kalenderdaten werden niemals zum Trainieren von Modellen verwendet und niemals an Dritte weitergegeben. Du kannst den Kalenderabschnitt für jedes verbundene Konto jederzeit deaktivieren.

2.3 Zugangsdaten verbundener E-Mail-Konten

Um deinen E-Mail-Anbieter anzubinden, speichern wir OAuth-Zugriffstokens und Refresh-Tokens (bzw. bei IMAP verschlüsselte Zugangsdaten). Diese werden unter Verwendung eines ENCRYPTION_MASTER_KEY verschlüsselt gespeichert und ausschließlich verwendet, um in deinem Auftrag auf dein Postfach zuzugreifen.

2.4 Abrechnungsdaten

Zahlungskartendaten werden ausschließlich von Stripe erhoben und verarbeitet. Wir speichern lediglich deine Stripe-Kundennummer, den Abonnementstatus, die letzten 4 Stellen der Karte, den Rechnungsnamen, die Rechnungsadresse sowie die Umsatzsteuer-Identifikationsnummer, sofern angegeben. Vollständige Kartennummern sehen oder speichern wir niemals.

2.5 Nutzungsdaten

Wir erheben aggregierte, anonymisierte Nutzungsdaten wie aufgerufene Funktionen, Anzahl der erstellten Regeln, Anzahl der Briefings und Zustellungsereignisse. Außerdem erfassen wir technische Daten wie IP-Adresse (zur sicherheitsbezogenen Ratenbegrenzung), Browsertyp und Fehlerprotokolle.

3. Wie wir deine Daten verwenden

Wir verwenden die erhobenen Daten zu folgenden Zwecken:

• Bereitstellung, Betrieb und Wartung des Clarnix-Dienstes
• Klassifizierung deiner eingehenden E-Mails mittels KI und Anwendung der von dir konfigurierten Regeln
• Erstellung KI-synthetisierter Briefing-Zusammenfassungen und Zustellung an den von dir gewählten Kanal (E-Mail, WhatsApp, Telegram, Slack, Microsoft Teams)
• Abwicklung von Zahlungen und Verwaltung deines Abonnements über Stripe
• Versand transaktionaler E-Mails (Kontobestätigung, Belege, Briefing-Zustellung)
• Aggregierte und anonymisierte Produktanalysen, um die Nutzung von Funktionen zu verstehen und den Dienst zu verbessern
• Sicherheitsüberwachung, Betrugsprävention und Missbrauchserkennung
• Erfüllung gesetzlicher Pflichten

Wir verwenden deine Daten nicht für verhaltensbasierte Werbung, verkaufen sie nicht an Dritte und nutzen E-Mail-Inhalte zu keinem anderen Zweck als der In-Memory-Triage-Verarbeitung.

5. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

Wir stützen uns auf folgende Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung deiner E-Mail-Metadaten und Kontodaten ist erforderlich, um die von dir abonnierten Triage-, Klassifizierungs- und Briefing-Funktionen bereitzustellen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Wir verarbeiten technische Daten und Nutzungsdaten, um die Sicherheit des Dienstes aufrechtzuerhalten, Missbrauch zu verhindern, Fehler zu erkennen und die Zuverlässigkeit der Plattform zu verbessern. Unsere Interessen werden gegen deine Rechte abgewogen und überwiegen diese nicht.
• Einwilligung (Art. 6 Abs. 1 lit. a): Für nicht zwingend erforderliche Cookies und Marketingkommunikation stützen wir uns auf deine Einwilligung. Du kannst diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Soweit erforderlich, verarbeiten wir Daten zur Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrung von Rechnungsunterlagen nach spanischem Steuerrecht).

7. Internationale Datenübermittlungen

Einige unserer Unterauftragsverarbeiter sind außerhalb des Europäischen Wirtschaftsraums (EWR) tätig. In diesen Fällen stellen wir sicher, dass geeignete Garantien bestehen (derzeit in allen Fällen die EU-Standardvertragsklauseln), sodass deine Daten ein Schutzniveau erhalten, das dem innerhalb des EWR garantierten gleichwertig ist.

10. Deine Rechte nach der DSGVO

Als betroffene Person nach der DSGVO stehen dir die folgenden Rechte zu:

• Auskunftsrecht (Art. 15): Einen großen Teil kannst du dir selbst in der App ansehen: Der Bereich E-Mail-Aktivität in Clarnix zeigt jede Aktion, die wir mit deinen E-Mails ausgeführt haben, samt Absender, Betreff, Postfach, Datum und der zugrunde liegenden Regel. Wie weit dieser Bereich zurückreicht, hängt von deinem Tarif ab, im Einklang mit Abschnitt 8. Für eine Kopie von allem, was dort nicht zu sehen ist, schreib an legal@clarnix.app; wir stellen sie zusammen und senden sie dir zu.
• Recht auf Berichtigung (Art. 16): Du kannst verlangen, dass wir unrichtige oder unvollständige Daten berichtigen.
• Recht auf Löschung (Art. 17): Du kannst die Löschung deiner personenbezogenen Daten verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten (z. B. Rechnungsunterlagen).
• Recht auf Datenübertragbarkeit (Art. 20): Du kannst die personenbezogenen Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen, maschinenlesbaren Format anfordern. Clarnix hat keine Schaltfläche für einen Selbst-Export oder Download, deshalb stellen wir diese Kopie nach deiner Anfrage von Hand zusammen, innerhalb der unten genannten Antwortfrist.
• Recht auf Einschränkung der Verarbeitung (Art. 18): Du kannst unter bestimmten Umständen verlangen, dass wir die Verarbeitung deiner Daten einschränken.
• Widerspruchsrecht (Art. 21): Du kannst Verarbeitungen widersprechen, die auf berechtigten Interessen beruhen. Wir werden dem nachkommen, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die deine Interessen überwiegen.
• Recht auf Widerruf der Einwilligung: Soweit die Verarbeitung auf einer Einwilligung beruht, kannst du diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung dieser Rechte wende dich bitte an legal@clarnix.app. Gemäß Art. 12 Abs. 3 DSGVO antworten wir innerhalb eines Monats nach Eingang deiner Anfrage. Bei besonders komplexen Anfragen oder einer hohen Anzahl von Anfragen kann diese Frist um bis zu zwei weitere Monate verlängert werden; in diesem Fall informieren wir dich innerhalb eines Monats nach Eingang der Anfrage über eine solche Verlängerung und deren Gründe. Solltest du mit unserer Antwort nicht zufrieden sein, hast du das Recht, Beschwerde bei der spanischen Datenschutzbehörde (AEPD (Agencia Española de Protección de Datos)) oder bei der Aufsichtsbehörde des EU-Mitgliedstaats deines gewöhnlichen Aufenthalts einzulegen.

11. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz deiner personenbezogenen Daten um, darunter: TLS-1.3-Verschlüsselung bei der Übertragung, von Supabase verwaltete Verschlüsselung im Ruhezustand, mit einem ENCRYPTION_MASTER_KEY verschlüsselte OAuth-Tokens, auf Datenbankebene durchgesetzte Row Level Security sowie Zugriffskontrollen, die den Zugang zu Produktivsystemen beschränken. Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für deine Rechte und Freiheiten birgt, melden wir den Vorfall innerhalb von 72 Stunden an die AEPD.

12. Cookies

Clarnix verwendet ausschließlich technisch erforderliche Cookies zur Verwaltung von Authentifizierungssitzungen. Daneben bieten wir optionale Analyse-Cookies an, deren Einsatz deine Einwilligung voraussetzt. Vollständige Informationen findest du in unserer Cookie-Richtlinie. Cookie Policy.

13. Kinder

Der Clarnix-Dienst richtet sich nicht an Nutzer unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Sollten wir Kenntnis davon erhalten, dass wir Daten eines Kindes unter 16 Jahren erhoben haben, werden wir das Konto unverzüglich löschen.

14. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen informieren wir dich über ein In-App-Banner sowie per E-Mail mindestens 30 Tage vor Inkrafttreten der Änderungen. Das Datum „Zuletzt aktualisiert“ am Anfang dieser Seite weist auf die jeweils aktuellste Fassung hin.

15. Kontakt

Bei Fragen, Anliegen oder Wünschen zu dieser Datenschutzerklärung oder zur Verarbeitung deiner personenbezogenen Daten wende dich bitte an die nachstehenden Adressen. NEXTGENWEBS, S.L. betreibt zwei spezialisierte Postfächer: legal@clarnix.app, betreut vom Legal-&-Privacy-Team, das DSGVO-Anfragen betroffener Personen, vertragliche Fragen und sonstige rechtliche Angelegenheiten bearbeitet; sowie hello@clarnix.app, betreut vom Kundensupport-Team, das alltägliche Produkt-, Konto- und Abrechnungsfragen beantwortet. Eingehende Anfragen bestätigen wir in der Regel innerhalb von zwei Arbeitstagen. Substantielle Antworten auf Anfragen betroffener Personen erfolgen innerhalb der in Abschnitt 10 oben genannten gesetzlichen Fristen. Personenbezogene Daten, die du uns über diese Postfächer mitteilst (dein Name, deine E-Mail-Adresse und der Inhalt deiner Anfrage), werden auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung, soweit wir eine Anfrage einer betroffenen Person beantworten) oder Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Bearbeitung von Korrespondenz) verarbeitet. Aufzeichnungen dieser Kommunikation werden so lange aufbewahrt, wie es zum Nachweis unserer Antwort erforderlich ist, längstens jedoch 6 Jahre, soweit dies nach spanischem Recht erforderlich ist.