Datenschutzerklärung

Auslegung

Unter den folgenden Bedingungen sind die Bedeutungen der mit großem Anfangsbuchstaben geschriebenen Begriffe festgelegt. Die folgenden Begriffsbestimmungen haben dieselbe Bedeutung, unabhängig davon, ob sie im Singular oder im Plural verwendet werden.

Begriffsbestimmungen

Für die Zwecke dieser Datenschutzerklärung gilt:

• Anwendung bezeichnet die Web- oder mobile Anwendung von AACFlow oder damit verbundene Dienste.
• Konto bezeichnet ein für Sie eingerichtetes einzigartiges Konto, mit dem Sie auf unseren Dienst oder Teile davon zugreifen.
• Verbundenes Unternehmen bezeichnet ein Unternehmen, das eine Partei kontrolliert, von ihr kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht, wobei „Kontrolle“ den Besitz von 50 % oder mehr der Anteile, Beteiligungen oder sonstigen stimmberechtigten Wertpapiere für die Wahl von Direktoren oder anderen Leitungsorganen bedeutet.
• Business bezeichnet im Sinne des California Consumer Privacy Act („CCPA“) das Unternehmen als juristische Person, die personenbezogene Informationen von Verbrauchern erhebt und über die Zwecke und Mittel ihrer Verarbeitung entscheidet oder in deren Auftrag diese Informationen erhoben werden und die in Kalifornien geschäftlich tätig ist.
• Unternehmen (auch „das Unternehmen“, „Wir“, „Uns“ oder „Unser“) bezeichnet AACFlow.io. Im Sinne der DSGVO ist das Unternehmen der Verantwortliche, wenn es über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
• Cookies sind kleine Dateien, die eine Website auf Ihrem Computer, Mobilgerät oder einem anderen Gerät ablegt und die unter anderem Angaben zu Ihrem Surfverhalten enthalten.
• Land bezeichnet Deutschland. Betreiber des Dienstes ist Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany (siehe Impressum).
• Verantwortlicher bezeichnet im Sinne der DSGVO die Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
• Gerät bezeichnet jedes Gerät, das auf den Dienst zugreifen kann, etwa einen Computer, ein Mobiltelefon oder ein digitales Tablet.
• Do Not Track (DNT) ist ein von US-Aufsichtsbehörden gefördertes Konzept für Mechanismen, mit denen Internetnutzer die Nachverfolgung ihrer Online-Aktivitäten über Websites hinweg steuern können.
• Personenbezogene Daten bzw. personenbezogene Informationen sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach der DSGVO gehören dazu Angaben wie Name, Kennnummer, Standortdaten, Online-Kennung oder Faktoren, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität einer Person sind. Nach dem CCPA zählen dazu Informationen, die Sie identifizieren, sich auf Sie beziehen, Sie beschreiben, mit Ihnen in Verbindung gebracht werden können oder sich vernünftigerweise direkt oder indirekt mit Ihnen verknüpfen lassen.
• Google-Daten sind alle Daten, Inhalte oder Metadaten, die über Google-APIs, einschließlich der Google-Workspace-APIs, gewonnen werden.
• Allgemeines KI-/ML-Modell bezeichnet ein KI- oder Machine-Learning-Modell, das für ein breites Training über mehrere Nutzer hinweg vorgesehen ist und sich nicht auf die Daten oder das Verhalten eines einzelnen Nutzers bezieht.
• Nutzerseitige Funktionen sind Funktionen, die der einzelne Nutzer in der Anwendungsoberfläche unmittelbar sieht oder verwendet.
• Verkauf bedeutet im Sinne des CCPA, die personenbezogenen Informationen eines Verbrauchers gegen Geld oder eine andere wertvolle Gegenleistung an ein anderes Unternehmen oder einen Dritten zu verkaufen, zu vermieten, freizugeben, offenzulegen, zu verbreiten, bereitzustellen, zu übertragen oder anderweitig mitzuteilen.
• Dienstleister bezeichnet eine natürliche oder juristische Person, die im Auftrag des Unternehmens Daten verarbeitet, einschließlich Dritter, die beauftragt sind, den Dienst zu ermöglichen, bereitzustellen, zu unterstützen oder zu analysieren. Im Sinne der DSGVO sind Dienstleister Auftragsverarbeiter.
• Social-Media-Dienst eines Drittanbieters bezeichnet eine Website oder ein soziales Netzwerk, über das sich ein Nutzer beim Dienst anmelden oder ein Konto dafür erstellen kann.
• Nutzungsdaten sind automatisch erhobene Daten, die entweder durch die Nutzung des Dienstes oder in der Infrastruktur des Dienstes selbst entstehen.
• Website bezeichnet AACFlow, erreichbar unter aacflow.io.
• Sie bezeichnet die natürliche Person, die auf den Dienst zugreift oder ihn nutzt, oder das Unternehmen bzw. die sonstige juristische Person, in deren Namen diese Person auf den Dienst zugreift oder ihn nutzt. Nach der DSGVO können Sie die betroffene Person oder der Nutzer sein.

Von Ihnen bereitgestellte personenbezogene Daten

Wenn Sie sich registrieren, Konten verknüpfen oder Funktionen nutzen, können Sie personenbezogene Daten wie die folgenden bereitstellen:

• Name und E-Mail-Adresse
• Telefonnummer und Postanschrift
• Profilbild, Einstellungen und Präferenzen
• Von Ihnen hochgeladene Inhalte, einschließlich Dokumente und Dateien
• Daten, die Sie ausdrücklich eingeben oder anbinden, auch über Google-Integrationen

Google-Daten über API-Berechtigungsbereiche (Scopes)

Wenn Sie Ihr Google-Konto verbinden, einschließlich Google Workspace, Gmail, Drive, Calendar oder Contacts, können wir bestimmte Scopes anfordern. Zu den Google-Daten, auf die wir zugreifen können, gehören:

• Grundlegende Profilinformationen, einschließlich Name und E-Mail-Adresse
• Drive-Dateien
• Kalendereinträge
• Kontakte
• Gmail-Nachrichten, nur wenn sie für eine bestimmte Funktion ausdrücklich angefordert werden
• Sonstige Google-Workspace-Inhalte oder Metadaten, die für eine aktivierte Funktion erforderlich sind

Wir fordern nur die für die von Ihnen aktivierten Funktionen mindestens erforderlichen Scopes an. Für nicht implementierte Funktionen fordern wir keine Scopes an.

Nutzungsdaten

Wir können Informationen darüber erheben, wie auf den Dienst zugegriffen wird und wie er genutzt wird. Nutzungsdaten können Ihre IP-Adresse (Internet Protocol), den Browsertyp, die Browserversion, besuchte Seiten, Datum und Uhrzeit eines Besuchs, die auf Seiten verbrachte Zeit, eindeutige Gerätekennungen und weitere Diagnosedaten umfassen.

Wenn Sie über ein mobiles Gerät auf den Dienst zugreifen, können wir den Gerätetyp, die eindeutige Gerätekennung, die IP-Adresse des Geräts, das mobile Betriebssystem, den Typ des mobilen Browsers und weitere Diagnosedaten erheben. Wir können auch Informationen erheben, die Ihr Browser beim Besuch oder Aufruf des Dienstes sendet.

Daten zu Tracking und Cookies

Wir verwenden Cookies und ähnliche Tracking-Technologien, darunter Beacons, Tags, Skripte, lokalen Speicher und Pixel, um Aktivitäten nachzuverfolgen und bestimmte Informationen zu speichern. Wo eine Einwilligung erforderlich ist, bleiben nicht notwendige Cookies deaktiviert, bis Sie über das Cookie-Banner eine Auswahl treffen. Notwendige Cookies bleiben aktiviert, weil der Dienst ohne sie nicht funktionieren kann. Sie können nicht notwendige Cookie-Kategorien akzeptieren, ablehnen oder anpassen und diese Auswahl später ändern oder widerrufen.

Die Cookie-Richtlinie listet die von AACFlow und seinen Anbietern gesetzten Cookies, ihre Zwecke, Laufzeiten und Anbieter sowie die Möglichkeiten zur Änderung oder zum Widerruf einer Auswahl auf.

Soweit die DSGVO Anwendung findet, stützt sich AACFlow wie folgt auf die Rechtsgrundlagen des Art. 6 Abs. 1:

Bei einer Verarbeitung auf Grundlage berechtigter Interessen nimmt AACFlow eine Interessenabwägung vor, die das verfolgte Interesse, die Erforderlichkeit der Verarbeitung sowie die Rechte und vernünftigen Erwartungen der betroffenen Personen berücksichtigt. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen, wie in Abschnitt 14 beschrieben.

AACFlow stützt sich bei keiner derzeitigen Verarbeitung auf das öffentliche Interesse nach Art. 6 Abs. 1 lit. e oder lebenswichtige Interessen nach Art. 6 Abs. 1 lit. d DSGVO. AACFlow verarbeitet im Rahmen der Bereitstellung des Dienstes keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.

Soweit AACFlow Kundeninhalte im Auftrag eines Kunden verarbeitet, handelt AACFlow als Auftragsverarbeiter, der Kunde ist der Verantwortliche und bestimmt die anwendbare Rechtsgrundlage. Diese Verarbeitung unterliegt dem Auftragsverarbeitungsvertrag (Data Processing Addendum) und den dokumentierten Weisungen des Kunden.

Wir verwenden erhobene Daten für die folgenden Zwecke:

• Um den Dienst bereitzustellen und aufrechtzuerhalten
• Um Sie über Änderungen am Dienst zu informieren
• Um Ihnen die Teilnahme an interaktiven Funktionen zu ermöglichen, wenn Sie dies wünschen
• Um Kundenbetreuung und Support zu leisten
• Um Analysen oder Informationen bereitzustellen, die uns helfen, den Dienst zu verbessern
• Um die Nutzung des Dienstes zu überwachen
• Um technische Probleme zu erkennen, zu verhindern und zu beheben
• Um Ihr Konto zu verwalten
• Um unseren Vertrag mit Ihnen zu erfüllen
• Um Sie per E-Mail, Telefon, SMS oder gleichwertigen elektronischen Kommunikationsmitteln zu kontaktieren
• Um von Nutzern aktivierte Integrationen mit Google-Diensten zu ermöglichen und zu unterstützen, einschließlich Datei- oder Kalendersynchronisierung, Personalisierung, Vorschlägen und nutzerspezifischer Automatisierung
• Um Betrug, Missbrauch und Sicherheitsvorfälle zu erkennen und zu verhindern
• Um rechtlichen Verpflichtungen nachzukommen

Google-Daten, die innerhalb von AACFlow verwendet werden, werden ausschließlich für Funktionen verwendet, die an den jeweiligen Nutzer gebunden sind, und nicht für das Training allgemeiner KI-/ML-Modelle oder eine nutzerübergreifende gemeinsame Modellverbesserung genutzt.

Ihre Informationen, einschließlich personenbezogener Daten, können an Computer außerhalb Ihres Bundesstaates, Ihrer Provinz, Ihres Landes oder einer anderen staatlichen Rechtsordnung übermittelt und dort gespeichert werden, wo die Datenschutzgesetze abweichen können. Wenn Sie sich außerhalb der Vereinigten Staaten befinden und uns Informationen bereitstellen, übermitteln wir die Daten in die Vereinigten Staaten und verarbeiten sie dort. Die primäre Hosting-Region von AACFlow ist AWS us-east-1 in den Vereinigten Staaten. Die aktuelle Liste der Dienstleister wird auf der Seite Unterauftragsverarbeiter (Sub-processors) geführt.

Die Bereitstellung personenbezogener Daten stellt für sich genommen keine Einwilligung in eine internationale Übermittlung dar. Soweit sich AACFlow auf eine Einwilligung stützt, wird diese freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich, gesondert durch eine eindeutige bestätigende Handlung erteilt und dokumentiert.

Internationale Übermittlungen aus dem Europäischen Wirtschaftsraum oder dem Vereinigten Königreich erfolgen mit den geltenden Übermittlungsgarantien, darunter:

• Die Standardvertragsklauseln der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914 und, für Übermittlungen aus dem Vereinigten Königreich, der UK International Data Transfer Addendum
• Auftragsverarbeitungsverträge mit jedem Unterauftragsverarbeiter, die die geltenden Übermittlungsklauseln enthalten
• Datenübermittlungs-Folgenabschätzungen (Transfer Impact Assessments), soweit erforderlich
• Technische und organisatorische Maßnahmen gemäß Abschnitt 5, einschließlich Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen und Protokollierung

Eine Kopie der geltenden Übermittlungsklauseln ist auf Anfrage unter privacy@aacflow.io erhältlich.

Unternehmenstransaktionen

Wenn das Unternehmen an einer Fusion, einer Übernahme oder einem Verkauf von Vermögenswerten beteiligt ist, können Ihre personenbezogenen Daten übertragen werden. Wir informieren Sie, bevor Ihre personenbezogenen Daten übertragen werden und einer anderen Datenschutzerklärung unterliegen.

Strafverfolgung

Das Unternehmen kann verpflichtet sein, Ihre personenbezogenen Daten offenzulegen, wenn dies gesetzlich vorgeschrieben ist oder auf wirksame Anfragen von Behörden, einschließlich Gerichten oder Regierungsstellen, sowie um Anforderungen der nationalen Sicherheit oder der Strafverfolgung zu erfüllen.

Rechtliche Anforderungen

AACFlow kann Ihre personenbezogenen Daten offenlegen, wenn es nach Treu und Glauben der Auffassung ist, dass dies erforderlich ist, um:

• einer rechtlichen Verpflichtung nachzukommen
• die Rechte oder das Eigentum von AACFlow zu schützen und zu verteidigen
• mögliches Fehlverhalten im Zusammenhang mit dem Dienst zu verhindern oder zu untersuchen
• die persönliche Sicherheit der Nutzer des Dienstes oder der Öffentlichkeit zu schützen
• sich vor rechtlicher Haftung zu schützen

Die Sicherheit Ihrer Daten ist uns wichtig, doch keine Übertragungsmethode über das Internet und keine Methode der elektronischen Speicherung ist vollkommen sicher. Wir setzen technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein, darunter Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen, rollenbasierte Berechtigungen, Protokollierung und Auditierung. Wir verwenden wirtschaftlich vertretbare Maßnahmen zum Schutz personenbezogener Daten, können jedoch keine absolute Sicherheit garantieren.

Wir beauftragen Drittunternehmen und Einzelpersonen, um den Dienst zu ermöglichen, den Dienst in unserem Auftrag bereitzustellen, dienstbezogene Leistungen zu erbringen oder uns bei der Analyse der Nutzung des Dienstes zu unterstützen. Diese Dienstleister dürfen nur zur Erfüllung der ihnen übertragenen Aufgaben in unserem Auftrag auf personenbezogene Daten zugreifen und sie weder offenlegen noch für andere Zwecke verwenden.

Die Rechtsgrundlage für die Offenlegung personenbezogener Daten gegenüber Dienstleistern hängt vom jeweiligen Dienst ab:

• Vertragserfüllung – Art. 6 Abs. 1 lit. b DSGVO: Anbieter, die erforderlich sind, um den Dienst, Integrationen, die Abrechnung oder andere von Ihnen gewünschte Funktionen bereitzustellen
• Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO: Anbieter für Sicherheit, Hosting, Monitoring und Support-Werkzeuge, wobei das Interesse von AACFlow darin besteht, den Dienst zu betreiben, zu schützen, zu warten und zu unterstützen
• Einwilligung – Art. 6 Abs. 1 lit. a DSGVO: Analyse- und Werbeanbieter, die über nicht notwendige Cookies oder ähnliche Technologien aktiviert werden

Jeder Dienstleister, der im Auftrag von AACFlow personenbezogene Daten verarbeitet, wird auf Grundlage eines schriftlichen Auftragsverarbeitungsvertrags beauftragt, der Vertraulichkeit, Zweckbindung, Sicherheit und Kontrollen für Unterauftragsverarbeiter regelt. Jeder Anbieter wird vor der Beauftragung und danach regelmäßig einer Sicherheitsprüfung unterzogen und handelt nur auf dokumentierte Weisung von AACFlow. Die aktuelle Anbieterliste wird auf der Seite Unterauftragsverarbeiter (Sub-processors) geführt.

Wir können Nicht-Google-Daten, die keinen Personenbezug aufweisen, für interne Analysen, Produktverbesserung, Nutzungstrends oder Leistungsüberwachung aggregieren oder anonymisieren. Diese Daten lassen sich nicht einzelnen Nutzern zuordnen und werden nicht für das Training allgemeiner KI-/ML-Modelle mit Google-Daten verwendet.

Das Unternehmen nutzt die Remarketing-Dienste von Google Ads, Twitter und Facebook, um nach Ihrem Besuch des Dienstes auf Websites Dritter zu werben. Diese Dienste arbeiten mit nicht notwendigen Cookies und ähnlichen Technologien. Marketing-Cookies und Werbepersonalisierung werden erst aktiviert, nachdem Sie im Cookie-Banner in die Kategorie Marketing eingewilligt haben. Google Ads kann vor dieser Einwilligung mit verweigertem Werbespeicher geladen werden und eingeschränkte cookielose Einwilligungssignale senden, wie in der Cookie-Richtlinie beschrieben.

Sie können Ihre Einwilligung jederzeit über den Link zu den Cookie-Einstellungen ändern oder widerrufen. Sendet Ihr Browser oder eine Erweiterung ein Global-Privacy-Control-Signal, behandeln wir dies als Widerruf der Einwilligung in Analyse- und Marketing-Cookies. Die Cookie-Richtlinie erläutert die Technologien, Anbieter, Zwecke, Laufzeiten und verfügbaren Steuerungsmöglichkeiten.

Steuerungsmöglichkeiten bei den Anbietern stehen zusätzlich zur Verfügung:

• Google Ads: Google Ads Settings
• Twitter: Personalization and data settings
• Facebook: Ad preferences

Wir können innerhalb des Dienstes kostenpflichtige Produkte oder Leistungen anbieten und Zahlungsdienstleister Dritter einsetzen. Wir speichern oder erheben Ihre Zahlungskartendaten nicht. Diese Daten werden direkt an den Zahlungsdienstleister übermittelt, dessen Verwendung personenbezogener Daten sich nach dessen Datenschutzerklärung richtet. Zahlungsdienstleister halten den vom PCI Security Standards Council verwalteten PCI Data Security Standard ein. Der von uns eingesetzte Zahlungsdienstleister ist Stripe.

Verbindliche Erklärung und Einhaltung

Die Nutzung, Speicherung, Verarbeitung und Übermittlung von Google-Daten durch AACFlow, ob roh oder abgeleitet, hält die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen sowie, soweit anwendbar, die Nutzerdatenrichtlinie der Google-Workspace-APIs strikt ein. Wir bestätigen:

• AACFlow verwendet Google-Daten nicht, überträgt sie nicht und erlaubt auch nicht, dass sie verwendet werden, um allgemeine oder nicht personalisierte KI-/ML-Modelle zu trainieren, zu verbessern oder zu entwickeln.
• Die Verarbeitung von Google-Daten beschränkt sich auf die Bereitstellung oder Verbesserung nutzerseitiger Funktionen, die in der Anwendungsoberfläche sichtbar sind.
• Wir gestatten Dritten keinen Zugriff auf Google-Daten zum Training oder zur Modellverbesserung.
• Übermittlungen von Google-Daten sind unzulässig, außer in den nachstehend beschriebenen begrenzten zulässigen Fällen.

Zulässige Übermittlungen und Datennutzung

Wir dürfen Google-Daten, ob roh oder abgeleitet, nur unter den folgenden begrenzten Bedingungen und im Einklang mit den Informationen an die Nutzer und deren Einwilligung an Dritte übermitteln:

• Zur Bereitstellung oder Verbesserung nutzerseitiger Funktionen mit ausdrücklicher Einwilligung des Nutzers
• Für Sicherheit, die Untersuchung von Missbrauch oder die Systemintegrität
• Zur Einhaltung von Gesetzen oder rechtlichen Verpflichtungen
• Im Rahmen einer Fusion, Übernahme, Veräußerung oder eines Verkaufs von Vermögenswerten mit ausdrücklicher Einwilligung des Nutzers

Beschränkungen des menschlichen Zugriffs

Kein Mitarbeiter, Auftragnehmer oder Beauftragter darf Google-Daten einsehen, es sei denn, es trifft eine der folgenden Voraussetzungen zu:

• Der Nutzer hat ausdrücklich und dokumentiert eingewilligt, bestimmte Elemente einzusehen, etwa indem er dem Kundensupport erlaubt, eine bestimmte E-Mail oder Datei anzusehen.
• Der Zugriff ist für die Sicherheit, die Untersuchung von Missbrauch oder ein Rechtsverfahren erforderlich.
• Die Daten sind aggregiert und anonymisiert und werden ohne Re-Identifizierung ausschließlich für interne Abläufe verwendet.

Minimierung und Begründung der Scopes

Wir fordern nur Scopes an, die für von Ihnen aktivierte Funktionen wesentlich sind. Wir fordern keine weitreichenden oder ungenutzten Berechtigungen an. Für jeden angeforderten Google-API-Scope führen wir interne Dokumentation darüber, warum der Scope benötigt wird und warum ein engerer Scope nicht ausreicht. Wo möglich, verwenden wir inkrementelle Autorisierung und fordern zusätzliche Scopes erst an, wenn sie im Kontext benötigt werden.

Sichere Handhabung und Speicherung

• Google-Daten werden bei der Übertragung mittels TLS/HTTPS und im Ruhezustand verschlüsselt.
• Zugriffskontrollen, rollenbasierte Berechtigungen, Protokollierung und Auditierung schützen Google-Daten.
• OAuth-Tokens und Zugangsdaten werden mit verschlüsselten Tresoren (Vault) oder sicheren Schlüsselverwaltungsmaßnahmen sicher gespeichert.
• Wir überprüfen regelmäßig unsere Sicherheitspraktiken und Infrastruktur.
• Betrifft ein Sicherheitsvorfall Google-Daten, benachrichtigen wir Google wie erforderlich und arbeiten uneingeschränkt mit.

Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie es für die offengelegten Zwecke erforderlich ist:

Wenn Sie den Zugriff widerrufen, Ihr Konto löschen oder eine Funktion nicht mehr nutzen, entfernen wir die zugehörigen Daten innerhalb der oben genannten Fristen. Sie können die Löschung über die Einstellungen in der Anwendung oder durch Kontaktaufnahme mit uns verlangen.

AACFlow ist eine Plattform zum Erstellen und Betreiben von KI-Agenten. KI-Modelle verarbeiten die Prompts, Dateien, Datensätze, Integrationsdaten und sonstigen Inhalte, die Nutzer über ihre Workflows senden.

Modellanbieter werden als Unterauftragsverarbeiter auf Grundlage von Auftragsverarbeitungsverträgen eingesetzt und sind auf der Seite Unterauftragsverarbeiter (Sub-processors) aufgeführt. An einen Modellanbieter gesendete Kundeninhalte werden weder von AACFlow noch von diesem Anbieter zum Training oder zur Verbesserung allgemeiner oder gemeinsam genutzter Modelle verwendet. Diese Zusage gilt allgemein für Kundeninhalte und wiederholt für Google-Daten die Limited-Use-Zusage zu Google-Daten aus Abschnitt 10.

Nutzer wählen, welche Modelle und Anbieter ihre Workflows aufrufen. Nutzer können auch eigene Zugangsdaten für Anbieter verwenden. Stellt ein Nutzer Zugangsdaten eines Anbieters bereit, unterliegt die Verarbeitung durch den gewählten Anbieter weiterhin der Vereinbarung des Nutzers mit diesem Anbieter sowie der vom Nutzer gewählten Workflow-Konfiguration.

KI-Ausgaben sind probabilistisch und können unvollständig, ungenau oder für einen bestimmten Zweck ungeeignet sein. Nutzer sollten Ausgaben prüfen und sich nicht allein darauf stützen, wenn sie eine Entscheidung treffen, die gegenüber einer Person rechtliche oder ähnlich erhebliche Wirkung entfaltet.

AACFlow führt keine automatisierte Entscheidungsfindung durch, die gegenüber Personen rechtliche oder ähnlich erhebliche Wirkung im Sinne des Art. 22 DSGVO entfaltet. Ändert sich dies, aktualisieren wir diese Datenschutzerklärung und sehen die nach Art. 22 DSGVO erforderlichen Garantien vor, einschließlich Informationen über die involvierte Logik sowie das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und gegebenenfalls auf Anfechtung der Entscheidung.

Prompts und Ausgaben werden entsprechend der Datenkategorie und dem Kontext ihrer Verarbeitung aufbewahrt. Konto- und Workflow-Inhalte folgen der Frist für Kontodaten in der Aufbewahrungstabelle in Abschnitt 10; Google-Daten, Nutzungsprotokolle und Transaktionsunterlagen folgen den jeweiligen Fristen in dieser Tabelle. Fragen zur KI-Verarbeitung können an privacy@aacflow.io gerichtet werden.

Unser Dienst kann Links zu Websites enthalten, die nicht von uns betrieben werden. Wenn Sie einem Link eines Dritten folgen, gelangen Sie auf die Website dieses Dritten. Wir empfehlen, die Datenschutzerklärung jeder besuchten Website zu prüfen. Wir haben keine Kontrolle über die Inhalte, Datenschutzerklärungen oder Praktiken von Websites oder Diensten Dritter und übernehmen dafür keine Verantwortung.

Der Dienst richtet sich nicht an Personen unter 18 Jahren, und AACFlow erhebt oder verarbeitet wissentlich keine personenbezogenen Daten von Kindern. Wurden personenbezogene Daten von Kindern versehentlich ohne die erforderliche Einwilligung der Erziehungsberechtigten erhoben, wird AACFlow die erforderlichen Schritte ergreifen, um sie aus seinen Unterlagen zu löschen. Wer glaubt, dass AACFlow personenbezogene Daten von Kindern erhoben hat, sollte sich an privacy@aacflow.io wenden, damit der Sachverhalt umgehend bearbeitet werden kann.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wir informieren Sie, indem wir die überarbeitete Datenschutzerklärung auf dieser Seite veröffentlichen und das Datum „Zuletzt aktualisiert“ anpassen. Bei wesentlichen Änderungen informieren wir Sie vor Inkrafttreten per E-Mail oder durch einen deutlichen Hinweis im Dienst. Änderungen werden mit der Veröffentlichung wirksam, sofern der Hinweis nichts anderes bestimmt.

Wenn Sie sich im Europäischen Wirtschaftsraum befinden, stehen Ihnen die folgenden Datenschutzrechte zu:

• Auskunft: das Recht, eine Bestätigung darüber zu erhalten, ob wir Ihre personenbezogenen Daten verarbeiten, und eine Kopie dieser Daten zu erhalten.
• Berichtigung: das Recht, unrichtige personenbezogene Daten zu berichtigen und unvollständige personenbezogene Daten zu vervollständigen.
• Löschung: das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, wenn die geltenden Voraussetzungen erfüllt sind.
• Widerspruch: das Recht, der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen und der Verarbeitung für Direktwerbung jederzeit zu widersprechen.
• Einschränkung: das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn die geltenden Voraussetzungen erfüllt sind.
• Datenübertragbarkeit: das Recht, die von Ihnen bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie, soweit anwendbar, an einen anderen Verantwortlichen zu übermitteln.
• Widerruf der Einwilligung: das Recht, eine Einwilligung jederzeit zu widerrufen, soweit sich AACFlow auf eine Einwilligung stützt. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Sie können eine Anfrage an privacy@aacflow.io richten, für Auskunft und Löschung über die Konto-Einstellungen in der Anwendung oder über die Postanschrift in Abschnitt 17 stellen.

Wir antworten unverzüglich und innerhalb eines Monats nach Eingang einer Anfrage. Diese Frist kann um bis zu zwei weitere Monate verlängert werden, wenn dies wegen der Komplexität oder der Anzahl der Anfragen erforderlich ist. Ist eine Verlängerung erforderlich, teilen wir Ihnen dies innerhalb des ersten Monats mit und nennen den Grund.

Anfragen werden kostenlos bearbeitet. Ist eine Anfrage offenkundig unbegründet, exzessiv oder wiederholt, können wir ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen oder uns weigern, tätig zu werden. Lehnen wir ab oder verlangen wir ein Entgelt, nennen wir die Gründe und erläutern die verfügbaren Beschwerde- und gerichtlichen Rechtsbehelfe.

Wir können Informationen anfordern, die zur Überprüfung Ihrer Identität erforderlich sind, bevor wir eine Anfrage bearbeiten. Zur Überprüfung erhobene Informationen werden ausschließlich zu diesem Zweck verwendet.

Sie haben das Recht, bei der Aufsichtsbehörde des Mitgliedstaats Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes Beschwerde einzulegen (Art. 77 DSGVO), unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs.

Dieselben Rechte werden betroffenen Personen im Vereinigten Königreich nach der UK GDPR eingeräumt.

Wenn Sie in Kalifornien ansässig sind, haben Sie Rechte nach dem CCPA und dem California Privacy Rights Act, einschließlich des Rechts zu erfahren, welche personenbezogenen Informationen wir erheben, des Rechts auf Löschung personenbezogener Informationen und des Rechts, dem Verkauf oder der Weitergabe („Sharing“) personenbezogener Informationen zu widersprechen.

Meine personenbezogenen Informationen nicht verkaufen oder weitergeben

Wir verkaufen personenbezogene Informationen nicht gegen Geld. Einige Offenlegungen für Analyse- oder Werbezwecke können nach kalifornischem Recht als „Verkauf“ oder „Weitergabe“ gelten. Sie können widersprechen, indem Sie privacy@aacflow.io kontaktieren oder den Link zu den Cookie-Einstellungen nutzen.

Global Privacy Control

Wir erkennen Global-Privacy-Control-Signale an und beachten sie. Sendet Ihr Browser ein Global-Privacy-Control-Signal, behandeln wir dieses als wirksamen Widerspruch gegen den Verkauf oder die Weitergabe personenbezogener Informationen.

Der California Civil Code, Abschnitt 1798.83, erlaubt in Kalifornien ansässigen Personen, Auskunft über die Kategorien personenbezogener Informationen zu verlangen, die im vorangegangenen Kalenderjahr zu Direktmarketingzwecken an Dritte weitergegeben wurden. Anfragen nach dem CCPA, dem California Privacy Rights Act oder dem Shine-the-Light-Gesetz können über die Kontaktangaben in Abschnitt 17 gestellt werden.

AACFlow setzt sich dafür ein, die Datensicherheit zu wahren, indem es die unbefugte Offenlegung von Informationen verhindert. Dieser Abschnitt enthält Anweisungen für Sicherheitsforscher zur Suche nach Schwachstellen und zur Meldung festgestellter Schwachstellen.

Leitlinien

• Informieren Sie uns so bald wie möglich, nachdem Sie ein tatsächliches oder mögliches Sicherheitsproblem entdeckt haben.
• Geben Sie uns angemessen Zeit, das Problem vor einer öffentlichen Bekanntgabe zu beheben.
• Vermeiden Sie Verletzungen der Privatsphäre, Beeinträchtigungen der Nutzererfahrung, Störungen von Produktivsystemen sowie die Zerstörung oder Manipulation von Daten.
• Nutzen Sie Exploits nur in dem Umfang, der erforderlich ist, um das Bestehen einer Schwachstelle zu bestätigen. Verwenden Sie einen Exploit nicht, um Daten zu kompromittieren oder zu erlangen, Zugriff auf die Kommandozeile oder Persistenz herzustellen oder auf andere Systeme zu wechseln.
• Stoßen Sie auf sensible Daten, einschließlich personenbezogener Daten, Finanzinformationen, geschützter Informationen oder Geschäftsgeheimnisse, beenden Sie den Test, informieren Sie uns unverzüglich und behandeln Sie die Daten vertraulich.
• Reichen Sie keine große Zahl von Meldungen geringer Qualität ein.

Autorisierung

Sicherheitsforschung, die im Einklang mit dieser Richtlinie durchgeführt wird, gilt als zulässig. Wir arbeiten mit Ihnen zusammen, um das Problem zu verstehen und zu beheben, und AACFlow wird im Zusammenhang mit richtlinienkonformer Forschung keine rechtlichen Schritte nahelegen oder verfolgen.

Geltungsbereich

Diese Richtlinie gilt für die folgenden Systeme und Dienste:

• Website aacflow.io
• AACFlow-Webanwendung
• AACFlow-API-Dienste

Ein oben nicht ausdrücklich aufgeführter Dienst, einschließlich damit verbundener Dienste Dritter, liegt außerhalb des Geltungsbereichs und darf nicht getestet werden. Schwachstellen in Produkten Dritter, die AACFlow nutzt, sind nicht erfasst und sollten dem jeweiligen Anbieter nach dessen Offenlegungsrichtlinie gemeldet werden. Sind Sie unsicher, ob ein System oder Endpunkt im Geltungsbereich liegt, kontaktieren Sie vor dem Test security@aacflow.io.

Nicht autorisierte Tests

Die folgenden Tests sind nicht autorisiert:

• Netzwerkbasierte Denial-of-Service- oder Distributed-Denial-of-Service-Tests
• Physische Tests, einschließlich Büro-Zutritt, offener Türen oder Tailgating
• Social Engineering, einschließlich Phishing oder Vishing
• Sonstige nicht technische Schwachstellentests

Meldung

Senden Sie Schwachstellenmeldungen an security@aacflow.io. Wir bestätigen eine Meldung bis zum nächsten Werktag. Meldungen können anonym eingereicht werden.

Eine Meldung sollte nach Möglichkeit enthalten:

• Eine Beschreibung der Schwachstelle
• Den Ort, an dem sie entdeckt wurde
• Ihre möglichen Auswirkungen
• Schritte zur Reproduktion, gegebenenfalls einschließlich Skripten und Screenshots

Meldungen sollten nach Möglichkeit auf Englisch erfolgen. Wenn Sie Kontaktdaten angeben, kommunizieren wir transparent und zeitnah. Wir bestätigen den Eingang innerhalb von drei Werktagen und halten Sie im möglichen Umfang über Validierung und Behebung auf dem Laufenden.

Fragen, Anfragen oder Beschwerden zu dieser Datenschutzerklärung oder zu unseren Datenpraktiken können an Folgendes gerichtet werden:

• E-Mail: privacy@aacflow.io
• Postanschrift: Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany

Wir beantworten Ihre Anfrage innerhalb der in Abschnitt 14 genannten Fristen, soweit diese Fristen gelten.

Für Nutzer in der Russischen Föderation werden personenbezogene Daten vom russischen Betreiber gemäß dem Bundesgesetz Nr. 152-FZ verarbeitet. Siehe die russischsprachige Richtlinie unter /privacy-ru, die auch die Angaben zum Betreiber und die Zahlungsdienstleister (Bank Tochka, Robokassa) nennt.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für Konto-, Abrechnungs- und Website-Daten, die über aacflow.io verarbeitet werden, ist Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany (siehe Impressum). Datenschutzkontakt: privacy@aacflow.io. Allgemeiner Kontakt: legal@aacflow.io.

Datenschutzbeauftragter. Wir haben keinen Datenschutzbeauftragten benannt, weil wir hierzu gesetzlich nicht verpflichtet sind (§ 38 BDSG, Art. 37 DSGVO); Fragen richten Sie bitte an den oben genannten Datenschutzkontakt. [[TO BE FILLED: Owner - confirm no DPO is required, or enter the DPO name and e-mail in lib/legal/company.ts]]

Wenn wir Kundeninhalte als Auftragsverarbeiter für einen Geschäftskunden verarbeiten, ist der Kunde der Verantwortliche, und es gilt unser Auftragsverarbeitungsvertrag (DPA); die aktuelle Liste der Unterauftragsverarbeiter ist öffentlich.

Sie können bei einer Datenschutz-Aufsichtsbehörde Beschwerde einlegen (Art. 77 DSGVO). Die für uns zuständige Behörde ist: [[TO BE FILLED: competent data protection supervisory authority (Aufsichtsbehoerde) for the operator's seat, e.g. the Land commissioner for data protection]]. Sie können sich auch an die Behörde in Ihrem Mitgliedstaat des Wohnsitzes oder Arbeitsplatzes wenden. Nutzer im Vereinigten Königreich können sich an das ICO wenden.

• Verlassen personenbezogene Daten den EWR in ein Land ohne Angemessenheitsbeschluss, stützen wir uns auf die EU-Standardvertragsklauseln (Beschluss (EU) 2021/914) und, für das Vereinigte Königreich, die UK Addendum, zusammen mit ergänzenden Maßnahmen. Eine Kopie ist auf Anfrage erhältlich.
• Bei Kunden, die über Bank Tochka oder Robokassa zahlen, werden die Zahlungsdaten in der Russischen Föderation nach dem Bundesgesetz Nr. 152-FZ verarbeitet (siehe /privacy-ru). Für Russland liegt kein EU-Angemessenheitsbeschluss vor; diese Übermittlungen sind zur Vertragserfüllung erforderlich (Art. 49 Abs. 1 lit. b DSGVO) und betreffen nur Kunden, die diese Zahlungsarten wählen.
• Modellanbieter (zum Beispiel OpenAI, Anthropic, OpenRouter) sind überwiegend in den USA tätig. Ihre Prompts werden nur an die Modelle weitergeleitet, die Sie in Ihren Workflows auswählen. Siehe die Liste der Unterauftragsverarbeiter.