Sicherheit und Datenverarbeitung

Für Daten über die Besucher eines Shops („Käufer“) ist der Händler der Verantwortliche und OneSite Agency sein Auftragsverarbeiter. Für die eigenen Konten der Händler und für unsere Website sind wir der Verantwortliche. Unsere Nutzungsbedingungen sind unser Auftragsverarbeitungsvertrag; ein gesondertes Dokument ist nicht zu unterschreiben.

Käuferdaten, je Shop und nur für diesen Shop gespeichert:

• Gespräche: was der Käufer getippt oder diktiert hat sowie die angezeigten und gewählten Produkte (Tabellen queries, events). Diktierte Sprache wird auf unseren eigenen Servern in Text umgewandelt; das Audio wird nicht gespeichert.
• Besuche: Referrer, UTM-Parameter, Gerätetyp, Browser, Betriebssystem, Zeitzone sowie ein aus der IP-Adresse abgeleitetes ungefähres Land und eine ungefähre Stadt (Tabelle visits). Die IP-Adresse selbst wird nicht gespeichert.
• Kontakte, die ein Käufer nach einer Anfrage hinterlässt, die der Shop nicht beantworten konnte (Tabelle misses): verschlüsselt mit AES-GCM gespeichert, der Schlüssel liegt außerhalb der Datenbank, daneben ein Hash mit Schlüssel, der nur dazu dient, sie für eine Löschung oder Datenanfrage wiederzufinden. Bitten um einen Menschen — „Mit einer Person sprechen“, eine Bestellfrage, die der Assistent nicht beantworten konnte, „Bescheid geben, sobald verfügbar“ (Tabelle handoffs) — werden genauso gespeichert, die Worte des Käufers bereinigt um weitere Kontakte; nur die Leute des Shops sehen sie, im Posteingang ihres Dashboards, und sie werden nach derselben Frist gelöscht.
• Bestellnotizen und Anfragen zu den Daten eines Käufers (Tabellen checkout_notes, data_exports).
• Bestelldaten des Shops (Tabellen purchase_orders, purchase_lines, purchase_discounts, purchase_cart): Summen, Positionen und Rabattcodes. Sie enthalten keine Identität eines Käufers; ihre Verknüpfung mit einem Gespräch wird entfernt, wenn die Käuferdaten ablaufen.

Daten des Händlers und des Shops:

• Katalog, Produkt-Embeddings und Anreicherung, die Angaben des Händlers zu Lieferung, Zahlung und Rückgabe, Storefront-Seiten und hochgeladene Bilder, monatliche Modellkosten und die Aktionen des Händlers im Dashboard (Tabellen products, embeddings, product_enrichment, facts, pages, storefront_*, budget_month, cabinet_deeds und ähnliche, alle dem Shop zugeordnet).
• Konten von Händlern, die sich auf unserer Website anmelden: E-Mail-Adresse, ein nur als Argon2id-Hash gespeichertes Passwort, Sprache sowie Zeit, IP-Adresse und Browser jeder Anmeldung (Tabellen accounts, memberships, sessions).
• Plattformanbindung: die Domain des Shops, der Abostatus und die Zugriffsschlüssel, die für Aufrufe der Plattform-API nötig sind; bei Direktkunden die Kunden- und Abo-Kennungen von Stripe. Kartendaten erreichen uns nie.
• Über unsere Website gesendete Anfragen und, bei von einem Empfehlungspartner vermittelten Shops, die aufgelaufene Provision (Tabellen applications, partner_accruals).

Wissen, das an keinen Shop gebunden ist und konstruktionsbedingt keine Shop-Kennung trägt: Bewertungen aus Charts anderer Seiten, eine Referenztabelle von IP zu Ort, aus Titeln abgeleitete Merkmale je Titel sowie öffentliche Bewertungen und Rezensionen von Büchern, gelesen von öffentlichen Seiten anderer Websites. Rezensionen enthalten Anzeigenamen und Text des Verfassers und werden nur so lange gespeichert, wie die Quelle sie noch zeigt (siehe unten).

Wir trainieren oder verfeinern keine Sprachmodelle mit Daten von Händlern oder Käufern und verkaufen keine Daten. Daten von Shops, die über Shopify installiert haben, werden für keinerlei Lernen verwendet.

• Käuferdaten (Gespräche, Ereignisse, Besuche, Kontakte, Bestellnotizen, Datenanfragen): werden 395 Tage (13 Monate) nach ihrer Erfassung durch einen nächtlichen Job gelöscht. Die Frist ist eine Produktentscheidung: Die Berichte des Inhabers vergleichen einen Monat mit demselben Monat des Vorjahres.
• Von anderen Seiten kopierte Rezensionen: werden 30 Tage nachdem die Quelle sie zuletzt zeigte gelöscht. Bewertungen bleiben, da sie keine Person enthalten.
• Ein Shop nach der Deinstallation: Die Daten bleiben erhalten, damit eine Neuinstallation sie wiederherstellt, bis Shopify 48 Stunden später seine Löschmitteilung (shop/redact) sendet; dann wird alles über den Shop gelöscht. Bei einem Direktabo wird der Shop 30 Tage nach Ende des Abos gelöscht.
• Ein Händlerkonto: solange das Konto besteht, und innerhalb von 30 Tagen nach einer Anfrage gelöscht.
• Datenbanksicherungen: nächtlich, verschlüsselt, 14 Tage auf demselben Server aufbewahrt, sodass gelöschte Daten innerhalb von 14 Tagen aus den Sicherungen verschwinden.

• Der Händler sieht im Dashboard die Daten seines eigenen Shops. Jeder Datensatz wird unter dem Shop gespeichert, zu dem er gehört, und nur im Auftrag dieses Shops gelesen; ein Shop sieht nie die Daten eines anderen, und ein Register aller Tabellen und Caches hält fest, welche einem Shop gehören und welche gemeinsames Wissen sind – durch einen Test erzwungen.
• Unser Betreiber hat Zugriff auf die Produktivsysteme; der Zugriff ist auf den Betreiber beschränkt.
• Ein Empfehlungspartner, der einen Shop vermittelt hat, sieht die Domain des Shops, ob er zahlt und die aufgelaufene Provision.
• Die unten genannten Unterauftragsverarbeiter, nur das, was für jeden beschrieben ist.

Alles, was wir speichern, liegt auf unseren Servern bei der Hetzner Online GmbH in Nürnberg, Deutschland. Suche, Text-Embeddings und Spracherkennung laufen auf diesen Servern, ohne Dritte. Unterauftragsverarbeiter:

• Hetzner Online GmbH, Deutschland: Hosting.
• DeepSeek (China): das Sprachmodell (für Shops außerhalb der EU, des EWR und des Vereinigten Königreichs). Für eine Antwort erhält es den Gesprächstext, Produktdaten aus dem Katalog des Shops, Texte öffentlicher Buchrezensionen ohne die Namen der Verfasser und ein Foto, das der Käufer selbst anhängt, in Shops, die die Suche per Foto eingeschaltet haben (wir speichern es nicht). Es erhält nie Namen von Käufern, Kontaktdaten, IP-Adressen und Bestelldaten. Anfragen werden über eine verschlüsselte Verbindung gesendet.
• Für Shops in der EU, im EWR und im Vereinigten Königreich: Antworten werden ohne Sprachmodell auf unseren eigenen Servern zusammengestellt; keine Käuferdaten gehen an einen Modellanbieter.
• Shopify: die Plattform, auf der die App läuft, und die Abrechnung für App-Installationen. Stripe: Abrechnung für Händler, die direkt bei uns abonnieren.
• PostHog, EU-Cloud: Nutzungsanalyse auf unserer Website und im Dashboard, nicht im Assistenten auf einem Storefront.
• Telegram: sofern aktiviert, interne Benachrichtigungen an unser Team über neue Händleranfragen.

Welcher Anbieter welche Shops bedient, wird an einer einzigen Stelle unseres Codes nach der Datenzone des Shops entschieden, und die Einträge zum Sprachmodell oben werden aus dieser Stelle erzeugt; diese Seite kann also nichts sagen, was der Code nicht tut. Einen Unterauftragsverarbeiter nehmen wir in die Datenschutzerklärung auf oder ändern ihn dort, mit Datum, bevor er beginnt.

Der Händler entscheidet über die Daten der Käufer, daher schreiben Käufer zuerst dem Shop; schreiben sie uns, leiten wir die Anfrage weiter und helfen dem Händler bei der Antwort. Über Shopify werden die drei Standardanfragen automatisch bearbeitet:

• Datenanfrage (customers/data_request): Innerhalb von 30 Tagen senden wir dem Shopinhaber die Daten, die wir über diesen Kunden haben, als maschinenlesbare Datei.
• Löschung eines Kunden (customers/redact): Wir löschen den von diesem Kunden hinterlassenen Kontakt, die damit verknüpften Gespräche und die in der Anfrage genannten Bestellungen.
• Löschung eines Shops (shop/redact): Wir löschen alles, was wir über den Shop haben.

Händler schreiben an die unten genannte Adresse, und wir antworten innerhalb von 30 Tagen. Käufer und Händler können sich außerdem bei einer Datenschutzbehörde beschweren.

Ein einziger Weg dient sowohl einer Löschmitteilung der Plattform als auch einer Entfernung durch den Betreiber. Jede shopeigene Tabelle verweist mit einem kaskadierenden Schlüssel auf den Shop, sodass das Löschen der einen Shop-Zeile alles, was dazugehört, in einer Transaktion entfernt – ganz oder gar nicht. Im Storefront-Builder hochgeladene Bilder liegen auf der Platte und werden zuerst entfernt; eine fehlgeschlagene Löschung wird wiederholt. Händler ohne verbleibende Shops werden nach dem Shop entfernt.

Was nach dem Löschen eines Shops bewusst bleibt:

• Dem Empfehlungspartner geschuldete Provisionen: Betrag und Domain, die Shop-Kennung ist entfernt. Sie enthalten keine Käufer.
• Das Aktionsprotokoll des Betreibers, das seinen Gegenstand überdauern muss, als Nachweis, wer einen Shop aktiviert, deaktiviert oder gelöscht hat, einschließlich der Löschung selbst.
• Das oben beschriebene shopunabhängige Wissen, das keine Shop- oder Käuferkennung enthält. Sicherungen laufen innerhalb von 14 Tagen ab.

• Der Datenverkehr zu und von unseren Servern ist mit TLS verschlüsselt. Sicherungen sind verschlüsselt (AES-256) und nur für das Administratorkonto des Servers lesbar.
• Passwörter werden nur als Argon2id-Hashes gespeichert, Anmelde-Token nur als SHA-256-Fingerabdrücke. Kontakte von Käufern werden verschlüsselt gespeichert (AES-GCM), der Schlüssel liegt außerhalb der Datenbank.
• Benachrichtigungen von Shopify und Stripe werden nur mit gültiger Signatur angenommen. Die Daten jedes Shops werden getrennt gehalten und nur für diesen Shop gelesen.
• Der Zugriff auf Produktivsysteme ist auf unseren Betreiber beschränkt. Öffnet der Betreiber das Dashboard eines Händlers für eine Support-Frage, wird protokolliert, wer welchen Shop geöffnet hat.

Sicherheitsfragen, Meldungen von Schwachstellen und Datenanfragen gehen an die unten genannte Adresse; wir antworten in der Regel innerhalb eines Werktags. Betrifft eine Verletzung personenbezogene Daten, die wir speichern, informieren wir die betroffenen Händler unverzüglich und spätestens 72 Stunden, nachdem sie uns bekannt wurde.