Diese Seite ist eine Übersetzung zu Deiner Information. Rechtlich verbindlich ist die englische Version.

Gültig ab 1. September 2026

Rollen

Der Händler ist der Verantwortliche für die personenbezogenen Daten seiner Kunden, und Point Blank Engineering Limited handelt als Auftragsverarbeiter. Verantwortlicher sind wir nur für die Kontodaten der Händler, etwa die Kontaktdaten des Shop-Inhabers. Unser Auftragsverarbeitungsvertrag legt die Bedingungen für die Auftragsverarbeitung fest; eine Kopie erhältst Du per E-Mail an support@subscriptions.super-simple.co.

Wo die Daten gehostet werden

Unser Team greift von Bulgarien aus, also innerhalb der Europäischen Union, auf die Produktivsysteme zu.

Unterauftragsverarbeiter

Shopify ist die Plattform, auf der die App läuft. Verbindet ein Händler Klaviyo, sendet die App Benachrichtigungsereignisse auf Weisung des Händlers an dessen eigenes Klaviyo-Konto. Wir informieren vorab, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, damit Händler widersprechen können.

Personenbezogene Daten, die die App speichert

• Händler: E-Mail-Adressen für den Shop-Kontakt, der Name des Shop-Inhabers, Shopify-Mitarbeiter-IDs im Audit-Protokoll der Administration, Support-Chat-Nachrichten und Nutzungsanalysen der Administration.
• Kunden: Shopify-IDs von Kunden, Abonnements und Bestellungen; Abonnementstatus und -verlauf; Lieferadressen, die Kunden im Kundenportal eingeben; die E-Mail-Adressen, an die Benachrichtigungen gesendet wurden; Notizen der Händler; Gründe und Kommentare zu Pausierung und Kündigung; und Details von Abonnements, die aus einer anderen App importiert wurden.
• Nicht gespeichert: Zahlungskartendaten, die bei Shopify bleiben. Weitere Namen, E-Mail-Adressen und Adressen von Kunden werden live aus Shopify gelesen und nicht gespeichert.

Sicherheitsmaßnahmen

• Verschlüsselung bei der Übertragung: TLS für alle Verbindungen zur App. Der Load Balancer akzeptiert nur HTTPS, und nur vom CDN.
• Verschlüsselung im Ruhezustand: Die Datenbank und der Dateispeicher werden von ihren Anbietern verschlüsselt. API-Schlüssel von Integrationen werden zusätzlich von der App verschlüsselt.
• Zugriff auf den Shop: Shopify OAuth, beschränkt auf die bei der Installation angezeigten Berechtigungen.
• Authentifizierung von Anfragen: Admin-Anfragen werden als signierte Shopify-Sitzungen geprüft, Shopify-Webhooks per HMAC-Signatur und Anfragen aus dem Kundenportal pro Kunde.
• Mandantentrennung: Jeder Datensatz ist genau einem Shop zugeordnet.
• Audit-Protokoll: Aktionen in der Administration werden aufgezeichnet und 13 Monate aufbewahrt.
• Backups: Die Datenbank wird von MongoDB Atlas automatisch gesichert.
• Zugriff durch Mitarbeiter: Für AWS, MongoDB Atlas, Shopify Partners, PostHog und Crisp ist eine Multi-Faktor-Authentifizierung vorgeschrieben.

Löschung und Schwärzung

Geschwärzte Werte werden mit „[redacted]“ überschrieben, sodass der Verlauf weiterhin zeigt, dass eine Adresse geändert oder eine E-Mail gesendet wurde. Weitere Aufbewahrungsfristen: Audit-Protokoll der Administration 13 Monate, beim Deinstallieren erstellter Snapshot der Einstellungen 12 Monate, anonyme Fehlerberichte aus dem Storefront 30 Tage.

Anfragen betroffener Personen

• Auskunftsanfragen (Shopify customers/data_request): Wir stellen die Daten zusammen, die wir zu diesem Kunden speichern, machen sie dem Händler in der App zum Download verfügbar und informieren den Händler innerhalb von 30 Tagen per E-Mail, dass sie bereitliegen. Die E-Mail enthält keine Kundendaten.
• Direkt an uns gerichtete Anfragen: Kunden werden an den Händler als Verantwortlichen verwiesen, und wir unterstützen den Händler unverzüglich.

Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen betroffene Händler unverzüglich und innerhalb von 48 Stunden, nachdem uns eine Verletzung bekannt geworden ist, und stellen ihnen die Informationen bereit, die sie für ihre eigenen Meldungen benötigen.

Kontakt

Stefan Gagov, Datenschutzbeauftragter, support@subscriptions.super-simple.co.