Datenschutzerklärung

Verantwortlicher nach der DSGVO ist Teethawat Kanpai, Sonnenscheinpfad 64, 12277 Berlin (siehe Impressum). Zu deinen Daten schreib an info@comtor.app.

Für Nutzer in Deutschland gilt diese deutsche Fassung.

Deine E-Mail-Adresse, ein gehashtes Passwort (nie im Klartext), ob du Marke oder Creator bist, ob die E-Mail bestätigt ist und, wenn du die Zwei-Faktor-Anmeldung einschaltest, das Geheimnis zum Prüfen der Codes. Das brauchen wir, um dein Konto zu führen (Art. 6 Abs. 1 lit. b DSGVO). Wir schreiben dir, um die Adresse zu bestätigen, das Passwort zurückzusetzen, wenn du das verlangst, und wenn das Passwort geändert wurde.

Sperren wir ein Konto wegen eines Verstoßes, speichern wir wann und warum, damit die Entscheidung später prüfbar ist (Art. 6 Abs. 1 lit. f DSGVO).

Bei der Registrierung speichern wir außerdem, wann du den Bedingungen und dieser Datenschutzerklärung zugestimmt hast und in welcher Fassung, und dass du bestätigt hast, mindestens 18 Jahre alt zu sein. Das dient als Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO).

Welche Schritte der Einrichtung du gesehen oder abgeschlossen hast, speichern wir mit deinem Konto, um die Einrichtung zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Am Ende der Einrichtung fragen wir freiwillig, wie du von uns erfahren hast (zum Beispiel Suchmaschine oder Freund). Nur wenn du antwortest, speichern wir die gewählte Antwort mit deinem Konto, um zu sehen, welche Kanäle Menschen zu uns bringen (Art. 6 Abs. 1 lit. a DSGVO). Du kannst die Frage überspringen. Die Antwort löschen wir mit dem Konto.

Kommst du über einen Link mit Kampagnenangaben zu uns (zum Beispiel aus einer Anzeige) und registrierst dich, speichern wir diese Angaben (Quelle, Medium, Kampagne) mit deinem Konto, um zu sehen, welche Werbung zu Anmeldungen führt (Art. 6 Abs. 1 lit. f DSGVO). Dafür setzen wir weder ein Cookie noch einen Tracker: Die Angaben stehen nur in der Adresse des Links und werden erst gespeichert, wenn du dich registrierst. Wir löschen sie mit dem Konto.

E-Mail-Adresse und Passwort brauchen wir, um einen Vertrag mit dir zu schließen und zu erfüllen. Ohne sie gibt es kein Konto. Alle anderen Angaben sind freiwillig, bis auf das, was für Auszahlungen vorgeschrieben ist (Stripe prüft dafür deine Identität).

Was du ins Profil schreibst: bei Marken Firmenname, Logo, Website, Nische, Beschreibung und Social-Links; bei Creatorn Anzeigename, Bild, Nische, Bio, Sprache und Plattformen mit Followerzahlen und Links. Eine Anfrage einer Marke enthält Titel, Beschreibung, Bilder, Budget, Plattform und Inhalt, Datum und Produktdetails.

Profile und Anfragen sehen andere Nutzer (so funktioniert die Zuordnung) und liegen auf unseren Servern (Art. 6 Abs. 1 lit. b DSGVO).

Nachrichten, Angebote und die Links, die Creator zu ihren Beiträgen schicken, werden gespeichert und sind für die andere Seite sichtbar. Zu Zahlungen speichern wir Betrag, Gebühr, Status und Daten. Die Zahlung selbst läuft über Stripe, die volle Kartennummer sehen wir nicht. Bewertungen, Meldungen und Blockierungen speichern wir, damit diese Funktionen arbeiten (Art. 6 Abs. 1 lit. b DSGVO).

Konto-Mails (Bestätigung, Passwort zurücksetzen, geändertes Passwort) gehen raus, weil du ein Konto hast (Art. 6 Abs. 1 lit. b DSGVO). Versand über Resend.

Gelegentliche Produkt-News sind getrennt und freiwillig. Hakst du das beim Anlegen des Kontos an, ist der Haken deine Einwilligung. Wir schicken dann keine Mail zum Bestätigen, die Adresse hast du gerade selbst angegeben. Schaltest du es später in den Einstellungen ein, schicken wir einen Link. Die Einwilligung ist dann der Button auf der Seite, nicht das Öffnen der Mail. In beiden Fällen speichern wir den Zeitpunkt (Art. 6 Abs. 1 lit. a DSGVO). In den Einstellungen kannst du es stoppen, dann schreiben wir nicht weiter. Eine unbestätigte Anfrage aus den Einstellungen ist keine Einwilligung.

Werbe-Mails schicken wir nur an Personen, die vorher ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 3 UWG). Eine Adresse in einer Liste reicht dafür nicht. Wir speichern Name und E-Mail-Adresse, einen Vermerk, wie und wann du eingewilligt hast, und welche Nachricht wir dir geschickt haben (Versandprotokoll, 90 Tage). Ob du eine Mail öffnest oder einen Link anklickst, erfassen wir nicht. Jede dieser Mails sagt dir, warum du sie bekommst, und enthält einen Abmeldelink (auch als Ein-Klick-Abmeldung im Mailprogramm).

Du kannst deine Einwilligung jederzeit widerrufen, über den Link in der Mail oder an info@comtor.app. Dann löschen wir deine Adresse und das Versandprotokoll. Wir merken uns nur eine Prüfsumme (Hash) der Adresse, damit wir dich nicht versehentlich wieder anschreiben (Art. 6 Abs. 1 lit. c und f DSGVO).

Lässt du auf der Startseite eine E-Mail-Adresse, um zu hören, wann die Apps für iOS und Android da sind, speichern wir sie zusammen damit, ob du Marke oder Creator gewählt hast, und schicken zuerst eine Mail mit einem Link, der bestätigt, dass die Adresse dir gehört (Double-Opt-in). Erst nach der Bestätigung nutzen wir sie, und nur für diese eine Mail (Art. 6 Abs. 1 lit. a DSGVO). Den Zeitpunkt der Bestätigung behalten wir als Nachweis. Bestätigst du nicht, hörst du nicht von uns, und die Adresse wird nach 30 Tagen gelöscht. Sind die Apps da und haben wir dich informiert, wird die Adresse gelöscht. Die Einwilligung kannst du jederzeit widerrufen, an info@comtor.app, dann löschen wir sie sofort.

Jede Anmeldung speichert Zeitpunkt, ob sie geklappt hat, deine IP-Adresse und deinen Browser, damit du die letzten Anmeldungen in den Einstellungen siehst und wir Missbrauch wie Passwortraten stoppen können. Wenn du comtor nutzt, verarbeitet unser Hoster außerdem technische Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser), um die Seite auszuliefern und abzusichern. Beides stützt sich auf unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Das Anmeldeprotokoll löschen wir nach 90 Tagen, die IP-Adresse bei Registrierungen nach 7 Tagen und die Zähler gegen Missbrauch nach 24 Stunden.

Wir setzen nur unbedingt nötige Cookies: eins, das dich angemeldet hält (30 Tage ab dem letzten Besuch), zwei kurzlebige der Anmeldung (Schutz vor gefälschten Anfragen und die Rücksprungadresse) und eins für die gewählte Sprache (ein Jahr). Ein neues Passwort meldet die anderen Geräte ab. Darstellung, Ton, ob du den Installationshinweis weggeklickt hast und ob du auf der Startseite Marke oder Creator gewählt hast, liegen im lokalen Speicher deines Browsers und gehen nicht an uns. Analyse- oder Werbe-Cookies gibt es nicht.

Wir zählen, wie oft unsere Startseite und der Anfang der Anmeldung aufgerufen werden, ohne Cookie und ohne dich wiederzuerkennen: pro Tag nur eine Zahl je Seite und Herkunft (der Name der verweisenden Webseite oder die Quelle und Kampagne aus dem Link). Deine IP-Adresse, deine Browserkennung oder eine Kennung für dich speichern wir dafür nicht. Das dient dazu zu sehen, welche Werbung und welche Seiten Besucher bringen (Art. 6 Abs. 1 lit. f DSGVO).

Auf den Seiten, auf denen du Auszahlungen einrichtest, lädt Stripe eigene Skripte. Sie können zur Betrugsvorbeugung eigene Cookies oder Gerätekennungen setzen (siehe die Datenschutzerklärung von Stripe).

Push-Mitteilungen gibt es nur, wenn du sie einschaltest (Art. 6 Abs. 1 lit. a DSGVO). Im Browser liefert sie der Push-Dienst des Browsers (Apple, Google oder Mozilla). In der App für iPhone oder Android speichern wir ein Geräte-Token und schicken sie über den Dienst von Apple oder über Googles Firebase Cloud Messaging. Du kannst sie jederzeit in den Einstellungen, im Browser oder im Telefon abschalten.

Diese Stellen verarbeiten Daten in unserem Auftrag und nach unserer Weisung (Art. 28 DSGVO): Vercel Inc., USA, hostet Website und App; Neon Inc., USA, stellt die Datenbank, Standort Frankfurt; Resend Inc., USA, verschickt unsere E-Mails (Konto, geschäftliche Hinweise und Warteliste); Google Ireland Limited liefert Push-Mitteilungen an die Android-App über Firebase Cloud Messaging.

Zahlungen, Auszahlungen und die Identitätsprüfung dafür macht Stripe. Für einen Teil ist Stripe Payments Europe, Ltd. (Irland) selbst verantwortlich. Siehe die Datenschutzerklärung von Stripe.

Push-Mitteilungen an die iPhone-App liefert Apple Inc., USA, über den Apple Push Notification service.

Gelangen Daten in die USA, stützt sich die Übermittlung auf das EU-US Data Privacy Framework oder auf die EU-Standardvertragsklauseln.

Wir behalten deine Daten, solange du ein Konto hast. Löschst du es in den Einstellungen, gehen Profil, Anfragen, Nachrichten und alles, was daran hängt, mit.

Eine Ausnahme sind Zahlungsbelege (Betrag, Gebühr, Status, Datum und Stripe-Kennungen). Die müssen wir so lange aufbewahren, wie das Steuer- und Handelsrecht es verlangt, je nach Beleg 8 bis 10 Jahre (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB). Sie werden anonymisiert, sodass sie nicht mehr auf dich verweisen. Stripe behält eigene Zahlungsunterlagen, wie das Gesetz es verlangt.

Weitere Fristen: Anmeldeprotokoll 90 Tage, IP-Adresse bei Registrierungen 7 Tage, Zähler gegen Missbrauch 24 Stunden, Versandprotokoll von Werbe-Mails 90 Tage, nicht bestätigte Wartelisten-Adressen 30 Tage.

Du kannst Auskunft verlangen (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Herausgabe in einem übertragbaren Format (Art. 20). Den Export in den Einstellungen kannst du jederzeit ziehen. Du kannst der Verarbeitung auf Grundlage eines berechtigten Interesses widersprechen (Art. 21) und eine Einwilligung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib an info@comtor.app.

Du kannst dich bei einer Aufsichtsbehörde beschweren. Für uns ist das die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Welche Anfragen ein Creator sieht, entscheiden einfache Regeln (Nische, Sprache des Inhalts und Followerzahl), keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO).

Wir passen diese Erklärung an, wenn sich der Dienst ändert. Das Datum oben zeigt die geltende Fassung.