Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie Refacthor („wir“, „uns“, „unser“) Ihre personenbezogenen Daten erhebt, verwendet, speichert und schützt, wenn Sie die Corthex-Plattform („Dienst“) nutzen, die unter folgender Adresse verfügbar ist: www.corthex.app. Wir verpflichten uns, Ihre personenbezogenen Daten im Einklang mit der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“), dem niederländischen DSGVO-Durchführungsgesetz (Uitvoeringswet AVG, „UAVG“) und anderen geltenden Datenschutzvorschriften zu verarbeiten.

1. Verantwortlicher

Verantwortlicher für Ihre personenbezogenen Daten ist:

2. Von uns erhobene Daten

2.1 Kontodaten

Wenn Sie ein Konto erstellen, erheben wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Profilbild (sofern angegeben) und den Namen Ihrer Organisation. Diese Daten werden über Supabase Auth und unsere Datensätze zur Workspace-Mitgliedschaft verwaltet.

Wenn Sie sich mit Google anmelden, übermittelt Google Ihre Kontokennung, Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild an Supabase Auth, um Ihr Konto zu authentifizieren. Ihr Name und Ihr Profilbild werden zur Einrichtung Ihres Corthex-Profils verwendet.

2.2 Organisations- und Bot-Daten

Wir speichern Ihre Organisationseinstellungen, Bot-Konfigurationen (Name, Beschreibung, System-Prompt, Modellpräferenzen, Markeneinstellungen) und API-Schlüssel-Metadaten (gehashte Schlüssel, Namen, Nutzungszeitstempel).

2.3 Inhalte der Wissensdatenbank

Von Ihnen hochgeladene Dokumente (PDFs, DOCX-Dateien, URLs, Klartext) werden analysiert, in Abschnitte aufgeteilt und in Vektoreinbettungen umgewandelt. Die ursprünglichen Textabschnitte und ihre Einbettungen werden in Ihrer isolierten Datenbankpartition gespeichert.

2.4 Gesprächsdaten

Chatnachrichten zwischen Nutzern und Ihren KI-Assistenten werden gespeichert, um Gesprächsverläufe und Analysen zu ermöglichen. Dazu gehören Nachrichteninhalte, Zeitstempel und das verwendete KI-Modell.

2.5 Abrechnungsdaten

Zahlungsinformationen (Kartendaten, Rechnungsadresse) werden ausschließlich von Stripe erhoben und verarbeitet. Wir speichern Ihre vollständigen Zahlungskartendaten nicht auf unseren Servern. Wir bewahren Informationen zu Ihrem Abonnementstatus, Ihrer Tarifstufe und Ihrem Abrechnungszeitraum auf.

2.6 Nutzungs- und technische Daten

Wir erheben automatisch IP-Adressen (zur Ratenbegrenzung und Sicherheit), Browsertyp und -version, Seitenaufrufe und Navigationsmuster, Kennzahlen zur Funktionsnutzung, Fehlerprotokolle und Leistungsdaten.

2.7 Endnutzerdaten (Widget-Nutzer)

Wenn Endnutzer mit Ihrem eingebetteten KI-Assistenten-Widget interagieren, erheben wir ihre Chatnachrichten, IP-Adresse (ausschließlich zur Ratenbegrenzung) und Gesprächsmetadaten. Endnutzer müssen kein Konto erstellen.

Beim Laden des Widgets verarbeiten wir außerdem Browser-/Assistentenkennungen, beobachtete Browser- und Betriebssysteminformationen, Besuchszeitstempel, Ursprünge/Pfade von Einstiegs- und verweisenden URLs sowie den Kontext der vorherigen Seite. Soweit übermittelt, speichern wir neun Kampagnendimensionen (Quelle, Medium, Kampagne, ID, Inhalt, Suchbegriff, Quellplattform, Anzeigenformat und Marketingtaktik), erkannte Matomo-Entsprechungen, zugelassene Klickmarkierungen und beobachtbare Android-App-Verweise. Diese Werte dienen der Berichterstattung über Besuchsquellen; sie verifizieren keine Werbekonten und identifizieren Personen nicht geräteübergreifend. Beliebige Abfrageparameter und URL-Fragmente werden nicht als Kampagnendetails gespeichert.

2.8 Verbundene Nachrichtenkanäle

Wenn eine Organisation Instagram Direct über Meta verbindet, verarbeiten wir die Kennung des verbundenen professionellen Kontos, den Kontonamen, die verschlüsselten Zugangsdaten, den Verbindungsstatus und die über diesen Kanal ausgetauschten Nachrichten. Wir verwenden diese Daten ausschließlich, um die angeforderte Nachrichtenverbindung bereitzustellen, Nachrichten zu senden und zu empfangen, die Verbindung abzusichern und den Kundenserviceablauf der Organisation zu unterstützen.

2.9 Kalenderverbindungen und Terminverifizierung

Calendar Beta ist optional. Ein Workspace-Administrator autorisiert den Kalenderzugriff gesondert; eine Anmeldung bei Corthex mit Google verbindet nicht automatisch einen Kalender. Wir verarbeiten die Kennung und den Namen des ausgewählten Kalenders, verschlüsselte OAuth-Zugangsdaten, Belegtzeiten sowie die begrenzten Ereignis- und Teilnehmerdaten, die zum Erstellen oder Finden angeforderter Termine erforderlich sind. Besucher geben die konfigurierten Buchungsangaben an und verifizieren ihre E-Mail-Adresse, bevor sie eine Buchung bestätigen oder Termine außerhalb des ursprünglich verifizierten Gesprächs abrufen.

Wir verwenden diese Informationen, um freie Zeiten anzuzeigen, ausdrücklich bestätigte Termine zu erstellen und die eigenen Terminzeiten des Besuchers zu prüfen. Der Assistent kann verfügbare Zeitfenster und Zeiten für einen in diesem Gespräch verifizierten Termin erhalten. Andere Teilnehmer, Ereignistitel und Ereignisbeschreibungen werden dem Assistenten oder Besucher nicht offengelegt. Der ausgewählte Kalenderanbieter erhält die zur Erstellung des Ereignisses und zum Versand seiner Einladung erforderlichen Buchungsangaben. Der Anbieter für Verifizierungs-E-Mails erhält die Empfängeradresse und die E-Mail mit dem Code. Optionale Kontobenachrichtigungen senden Ihre verifizierte Konto-E-Mail-Adresse, die gewählte Benachrichtigungskategorie, den Workspace-Namen und einen Link zu Corthex über SMTP2GO EU. Benachrichtigungen zu Mitarbeiteranfragen und Kundenantworten können außerdem verfügbare Kundenkontaktdaten, Assistenten- und Kanalangaben, die aktuelle Seitenadresse und begrenzte Auszüge aus bis zu drei aktuellen Kundennachrichten enthalten. Vollständige Gesprächsprotokolle, interne Notizen, Mitarbeiter- oder Bot-Nachrichten und Angaben aus der Terminaufnahme sind in diesen Benachrichtigungen nicht enthalten. Einstellungen gelten persönlich je Workspace und können in den Einstellungen deaktiviert werden; Authentifizierungs- und Sicherheitsnachrichten bleiben davon getrennt.

Corthex verkauft keine Kalenderdaten, nutzt sie nicht für Werbung und trainiert damit keine KI-Modelle. Daten aus Google APIs unterliegen der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Durch das Trennen der Verbindung werden die gespeicherten Zugangsdaten entfernt; Sie können den Zugriff auch in Ihrem Google-Konto widerrufen. Durch das Entfernen der Integration werden bereits in Ihrem Kalender erstellte Ereignisse nicht gelöscht.

3. Rechtsgrundlagen der Verarbeitung

Gemäß Artikel 6 DSGVO verarbeiten wir Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 Buchst. b): Verarbeitung, die zur Bereitstellung des von Ihnen gebuchten Dienstes erforderlich ist, einschließlich Kontoverwaltung, Bot-Bereitstellung, Wissensaufnahme, Chatfunktionen und Abrechnung.
• Berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f): Analysen, Betrugsprävention, Sicherheitsüberwachung, Verbesserung des Dienstes und Fehlerverfolgung. Nach unserer Bewertung überwiegen diese Interessen nicht Ihre Grundrechte und Grundfreiheiten.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 Buchst. c): Steuerliche und finanzielle Aufbewahrungspflichten nach niederländischem und EU-Recht.
• Einwilligung (Art. 6 Abs. 1 Buchst. a): Soweit erforderlich, etwa für nicht notwendige Cookies oder Marketingmitteilungen. Sie können Ihre Einwilligung jederzeit widerrufen.

4. Verwendung Ihrer Daten

• Bereitstellung und Wartung des Dienstes
• Verarbeitung Ihrer Wissensdokumente zu Vektoreinbettungen für den KI-gestützten Abruf
• Ermöglichung KI-gestützter Gespräche über unser System mit mehreren Anbietern
• Abwicklung von Zahlungen und Verwaltung von Abonnements
• Erstellung von Nutzungsanalysen und Dashboards für Ihre Organisation
• Durchsetzung von Ratenbegrenzungen und Nutzungskontingenten gemäß Ihrem Abonnementtarif
• Erkennung, Verhinderung und Behebung von Sicherheitsvorfällen
• Überwachung von Anwendungsfehlern und Leistung
• Erfüllung rechtlicher Verpflichtungen
• Mitteilung von Dienstaktualisierungen, Sicherheitswarnungen und Abrechnungsbenachrichtigungen

5. Externe Datenverarbeiter

Wir geben Ihre personenbezogenen Daten an die folgenden Kategorien externer Auftragsverarbeiter weiter, die jeweils durch Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO gebunden sind:

„SCCs“ bezeichnet die von der Europäischen Kommission genehmigten Standardvertragsklauseln für internationale Datenübermittlungen (siehe Abschnitt 7).

6. KI und Datenverarbeitung

Corthex nutzt KI-Modelle Dritter zur Bereitstellung seiner Kernfunktionen. Wenn Sie oder Ihre Endnutzer eine Chatnachricht senden:

• Die Nachricht wird zusammen mit relevantem Kontext aus Ihrer Wissensdatenbank an einen unserer KI-Anbieter (Google Gemini, Groq, OpenAI oder DeepSeek) gesendet.
• Google Gemini, Groq, OpenAI und DeepSeek verarbeiten Daten zur Erstellung von Antworten. Ihre Daten werden nicht zum Trainieren oder Verbessern ihrer Modelle verwendet.
• Dokumenttext wird von Google Gemini verarbeitet, um Vektoreinbettungen (numerische Darstellungen) für die Ähnlichkeitssuche zu erzeugen. Die Einbettungen werden in unserer in der EU gehosteten Datenbank gespeichert.
• Die intelligente Erkennung ist standardmäßig aktiviert, wenn der Dienst konfiguriert ist. Sie sendet minimierten Nachrichtentext oder ausgewählte Workflow-Eingaben, etwa eine gespeicherte Antwort oder ein Nachschlagefeld, an einen externen Erkennungsdienst. Bei Bedarf können eine Bedingungsfrage und bis zu 16 bestehende Kategoriebezeichnungen enthalten sein. Ganze Gesprächsverläufe, Anhänge, Seitenkontext oder Wissensdatenbanken werden nicht automatisch übertragen. Ausgewählte Workflow-Eingaben können Text aus einer früheren Antwort oder einem Nachschlageergebnis enthalten. Das Schwärzen von Daten garantiert keine Anonymität. Organisationen bleiben für die geltende Verarbeitungsgrundlage und die Information der Besucher verantwortlich. Die Erkennung schlägt begrenzte Auswahlmöglichkeiten vor und erstellt weder selbstständig Chatantworten noch autorisiert sie Aktionen. Auch der Testmodus kann Daten verarbeiten; Plattformbetreiber können den Dienst zentral deaktivieren.
• Es erfolgt keine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO).

7. Internationale Datenübermittlungen

Ihre primären Daten werden in der Europäischen Union gespeichert (Supabase, Region eu-west-1). Bestimmte Auftragsverarbeiter befinden sich jedoch außerhalb des EWR. Bei diesen Übermittlungen stützen wir uns auf:

• Standardvertragsklauseln (SCCs) der Europäischen Kommission gemäß Beschluss 2021/914, die mit jedem Auftragsverarbeiter außerhalb des EWR vereinbart wurden.
• Zusätzliche Maßnahmen einschließlich Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand, Zugriffskontrollen und Datenminimierung.
• Bewertungen der Auswirkungen von Datenübermittlungen (TIAs) für jeden Auftragsverarbeiter außerhalb des EWR zur Bewertung des rechtlichen Rahmens im Empfängerland.

Für DeepSeek (mit Sitz in China) führen wir eine vertiefte Sorgfaltsprüfung durch und setzen zusätzliche Maßnahmen um. Dieser Anbieter wird nur bei ausdrücklicher Auswahl genutzt; er ist kein Standardmodell.

8. Aufbewahrung von Daten

• Kontodaten: Werden für die Dauer Ihres Kontos aufbewahrt. Löschung innerhalb von 30 Tagen nach Kontoschließung.
• Inhalte der Wissensdatenbank: Werden aufbewahrt, bis Sie die Quelle oder den Bot löschen. Dauerhafte Entfernung innerhalb von 30 Tagen nach der Löschung.
• Gesprächsverlauf: Wird für die Lebensdauer des Bots aufbewahrt. Löschung, wenn der Bot oder die Organisation entfernt wird.
• Kalenderdaten: Zugangsdaten werden beim Trennen der Verbindung entfernt. Verschlüsselte Terminbelege verbleiben beim Workspace, Bot und Gespräch, bis diese Datensätze gelöscht werden. Verifizierungscodes laufen nach zehn Minuten ab; gespeichert werden nur schlüsselbasierte Hashes, und alte Verifizierungsvorgänge werden bei nachfolgenden Verifizierungsanfragen bereinigt.
• Abrechnungsunterlagen: Werden gemäß niederländischem Steuerrecht (Algemene wet inzake rijksbelastingen) für 7 Jahre nach Ende des Geschäftsjahres aufbewahrt, in dem die Transaktion stattgefunden hat.
• Serverprotokolle und Fehlerdaten: Werden für Fehlerbehebung und Sicherheitszwecke bis zu 90 Tage aufbewahrt.
• Daten zur Ratenbegrenzung: Verfallen automatisch innerhalb weniger Minuten (gleitendes Zeitfenster).
• Zugangsdaten verbundener Meta-Konten: Werden nur aufbewahrt, solange die Organisation die Instagram-Verbindung aktiv hält. Die gespeicherten Zugangsdaten und die Kontozuordnung werden entfernt, wenn die Verbindung getrennt wird, Meta die App-Autorisierung widerruft oder Meta eine verifizierte Löschanfrage übermittelt.

9. Ihre Rechte nach der DSGVO

Als betroffene Person nach DSGVO und UAVG haben Sie folgende Rechte:

• Auskunftsrecht (Art. 15): Eine Kopie Ihrer personenbezogenen Daten anfordern.
• Recht auf Berichtigung (Art. 16): Unrichtige oder unvollständige Daten berichtigen.
• Recht auf Löschung (Art. 17): Die Löschung Ihrer personenbezogenen Daten verlangen („Recht auf Vergessenwerden“).
• Recht auf Einschränkung (Art. 18): Die Verarbeitung unter bestimmten Umständen einschränken.
• Recht auf Datenübertragbarkeit (Art. 20): Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21): Einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): Die Einwilligung jederzeit widerrufen, ohne dass dies die vorherige Verarbeitung berührt.

Um eines dieser Rechte auszuüben, senden Sie eine E-Mail an info@refacthor.nl. Wir antworten innerhalb von 30 Tagen (bei komplexen Anfragen gemäß Art. 12 Abs. 3 DSGVO um 60 Tage verlängerbar). Vor der Bearbeitung Ihrer Anfrage können wir einen Identitätsnachweis verlangen.

Für ein über Meta verbundenes Instagram-Konto kann Meta auch direkt eine signierte Deautorisierungs- oder Datenlöschanfrage an Corthex senden. Diese Anfrage entfernt die gespeicherten Meta-Zugangsdaten und die Kontoverbindung; Gesprächsdaten des Kanals unterliegen weiterhin der in dieser Erklärung genannten Aufbewahrungsdauer des Workspaces.

10. Cookies und Tracking-Technologien

Corthex verwendet folgende Cookies und Tracking-Technologien:

• Unbedingt erforderliche Cookies: Cookies für Authentifizierungssitzungen (Supabase Auth), CSRF-Schutztoken. Diese sind für die Funktion des Dienstes unerlässlich und erfordern keine Einwilligung.
• Analysen: Vercel Web Analytics und Speed Insights erheben anonymisierte Seitenaufruf- und Leistungsdaten. Sie sind datenschutzfreundlich und verwenden keine dauerhaften Kennungen.
• Google Analytics 4: Google Analytics 4 erfasst ausdrückliche Seitenaufruf- und Aktivierungsereignisse auf der Corthex-Produktionswebsite. Ereignisse werden nach Marketing-, Hilfe-, Konto- oder Produktnutzung gruppiert. Google Analytics kann Client-Kennungen und Cookies verwenden. Die Messung behält zugelassene Kampagnenparameter bei und sendet keine Assistentennamen, Gesprächsinhalte, Authentifizierungstoken oder andere geheime URL-Parameter an Google Analytics. Google Signals und die Personalisierung von Werbung sind deaktiviert.
• Fehlerüberwachung: Sofern konfiguriert, kann Sentry zur Fehlerreproduktion Sitzungsaufzeichnungen erfassen (Stichprobe von 5 %). Diese Daten werden anonymisiert und bis zu 90 Tage aufbewahrt.

Wir verwenden keine Werbe-Cookies, Social-Media-Tracker oder websiteübergreifenden Tracking-Pixel. Wir verkaufen Ihre Daten nicht an Dritte.

11. Datenschutz von Kindern

Corthex ist eine B2B-Plattform für Unternehmen und Fachleute. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren (das niederländische Alter für die digitale Einwilligung gemäß Art. 8 DSGVO und UAVG). Sollten wir feststellen, dass wir Daten eines Kindes unter 16 Jahren erhoben haben, löschen wir sie unverzüglich. Bitte kontaktieren Sie uns unter info@refacthor.nl wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat.

12. Sicherheitsmaßnahmen

Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten um, darunter:

• Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand
• Richtlinien zur Sicherheit auf Zeilenebene (Row-Level Security, RLS) für alle Datenbanktabellen, die eine strikte Datenisolierung zwischen Mandanten gewährleisten
• Hashing von API-Schlüsseln (SHA-256): Wir speichern niemals API-Schlüssel im Klartext
• Ratenbegrenzung zur Verhinderung von Missbrauch und Brute-Force-Angriffen
• Überprüfung von Webhook-Signaturen (Svix und anbieterspezifische Überprüfung, einschließlich Meta) für eingehende Webhooks
• Sentry-Fehlerverfolgung, sofern konfiguriert
• Prinzip der geringsten Berechtigungen für Datenbank- und Dienstzugriffe

13. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen teilen wir per E-Mail an die mit Ihrem Konto verknüpfte Adresse oder durch einen deutlich sichtbaren Hinweis im Dienst mit. Die weitere Nutzung des Dienstes nach einer solchen Mitteilung gilt als Annahme der aktualisierten Erklärung. Wir empfehlen Ihnen, diese Seite regelmäßig zu prüfen.

14. Kontakt und Beschwerden

Bei Datenschutzfragen oder zur Ausübung Ihrer Rechte:

Wenn Sie der Meinung sind, dass wir auf Ihre Anliegen nicht angemessen eingegangen sind, haben Sie das Recht, bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) Beschwerde einzulegen: