TwinOry Datenschutzerklärung
1. Verantwortlicher
1.1 Verantwortlicher für die auf twinory.net verarbeiteten personenbezogenen Daten ist SMARTEDTECH SL, B66970831, Carrer Agricultura, 16, 1º, 9ª, 08320 El Masnou, Barcelona, Spanien (der Betreiber). Datenschutzkontakt: privacy@twinory.net. Formular für Rechte: /legal/privacy-rights.
1.2 Die Datenschutzrollen sind wie folgt zugeordnet.
1.3 Plattformdaten. Der Betreiber ist Verantwortlicher für die personenbezogenen Daten, die zum Betrieb der Plattform verarbeitet werden: Konto, Identitätsprüfung, Annahmedatensätze, Zahlungen, Sicherheit, Support, Kommunikation und Analysen.
1.4 Anbieterdaten der Leistung. Erbringt ein Anbieter über die Plattform Leistungen an eine Kundin oder einen Kunden, ist der Anbieter unabhängiger Verantwortlicher für die Daten, die er für diese Leistung benötigt (Buchungs-, Bestell-, klinische, bildungsbezogene oder berufliche Aufzeichnungen), und der Betreiber ist Verantwortlicher für den plattformbezogenen Datensatz des Vorgangs. Jede Partei erfüllt ihre eigenen Pflichten; keine handelt für die andere. Auf twinory.net gilt dieser Absatz nur, wenn eine Leistung eines Dritten aktiviert und in der Bestellübersicht bezeichnet ist.
1.5 Auftragsverarbeitungsdienste. Verarbeitet der Betreiber personenbezogene Daten im Auftrag einer Geschäftskundin oder eines Geschäftskunden nach deren Weisungen (zum Beispiel Beschäftigtendaten eines Unternehmensmandanten), gilt der Auftragsverarbeitungsvertrag (DAT-01) und ist maßgeblich; er wird als Teil der Bestellung unterzeichnet.
1.6 Weitergabe zwischen SET-Plattformen. Personenbezogene Daten werden an keine andere vom Betreiber oder seiner Gruppe betriebene Plattform weitergegeben, es sei denn, Sie aktivieren das konkrete Ziel in Ihren Einstellungen. Die Aktivierung eines Ziels aktiviert keine anderen, und Sie können sie jederzeit deaktivieren.
1.7 Internationale Übermittlungen. Personenbezogene Daten werden im Europäischen Wirtschaftsraum gespeichert. Wird ein Auftragsverarbeiter außerhalb des EWR eingesetzt, ist die Übermittlung durch Standardvertragsklauseln abgedeckt, aufgeführt im Anhang der Unterauftragsverarbeiter (DAT-02).
2. Was wir verarbeiten, warum und auf welcher Grundlage
| Datenklasse | Zweck | Rechtsgrundlage (DSGVO) | Aufbewahrung |
|---|---|---|---|
| Kontodaten: E-Mail, Anzeigename, Geburtsdatum oder Altersgruppe, Passwort-Hash, Sprache, Einstellungen | Konto erstellen und betreiben; Altersprüfung; Sicherheit | Art. 6 Abs. 1 lit. b DSGVO – Vertrag | Lebensdauer des Kontos + 90 Tage (Klausel 6) |
| Annahmedatensätze: Dokumentenkennung, Version, Hash, Zeitpunkt, Methode, gehashte IP-Adresse und User-Agent | Nachweisen, welche Bedingungen Sie angenommen haben | Art. 6 Abs. 1 lit. c und Art. 6 Abs. 1 lit. f DSGVO – Nachweis der Einhaltung | 5 Jahre nach Ende der Beziehung |
| Twin-Inhalte: veröffentlichte Felder, Fragen und Antworten der Ask Cards, Folgen, Sichtbarkeitseinstellungen | Ihren Twin und den Dienst der sozialen Entdeckung betreiben | Art. 6 Abs. 1 lit. b DSGVO – Vertrag | Lebensdauer des Kontos + 90 Tage |
| Private Twin-Konfiguration: Never-Do-Regeln, privater Speicher, geschützte Identitätseinstellungen | Die Grenzen durchsetzen, die Sie für Ihren Twin festlegen | Art. 6 Abs. 1 lit. b DSGVO – Vertrag; Klausel 4 Vertraulichkeit | Lebensdauer des Kontos + 90 Tage; niemals veröffentlicht oder indexiert |
| Stimm-, Bild- und Abbildmaterial (nur wenn Sie es aktivieren) | Die Stimme oder die visuelle Darstellung Ihres Twin erstellen | Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, Zweck recording_voice / likeness_persona (ACC-02) | bis zum Widerruf + 30 Tage (C25.3) |
| Daten der sorgeberechtigten Person für Mitglieder im Alter von 16–17 Jahren, soweit Klausel 3 eine Beteiligung der sorgeberechtigten Person verlangt | Identität und Befugnis der sorgeberechtigten Person prüfen | Art. 6 Abs. 1 lit. c und Art. 6 Abs. 1 lit. f DSGVO | Lebensdauer des Kontos der minderjährigen Person + 90 Tage |
| Zahlungsdaten: Tarif, Kundenreferenz des Zahlungsdienstleisters, Rechnungsdaten (niemals vollständige Kartennummern) | Abrechnung kostenpflichtiger Tarife, sobald aktiviert (CUS-01, per Funktionskennzeichen) | Art. 6 Abs. 1 lit. b DSGVO – Vertrag; Art. 6 Abs. 1 lit. c DSGVO – Steuer | 6 Jahre (Steuern und Buchhaltung) |
| Support- und Beschwerdekorrespondenz | Anfragen beantworten, Beschwerden bearbeiten, menschliche Prüfung von KI-Interaktionen | Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO | 12 Monate nach Abschluss des Vorgangs |
| Sicherheits- und Prüfprotokolle | Missbrauch verhindern, Vorfälle untersuchen, den nur ergänzbaren Prüfnachweis führen | Art. 6 Abs. 1 lit. f DSGVO | 12 Monate; Prüfereignisse nach Klausel 6 |
| Optionale Analysen | Nutzung der Website messen (nur nachdem Sie „Optionale akzeptieren“ gewählt haben) | Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, Zweck analytics_optional (PUB-03) | gemäß Inventar PUB-03 |
| Marketing-E-Mail (nur bei Ihrer Einwilligung) | Produktneuigkeiten senden | Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, Zweck marketing_email | bis zur Abmeldung |
| Empfehlungsprofilbildung (nur bei Ihrer Einwilligung) | Ihnen relevante Twins und Ask Cards vorschlagen | Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, Zweck profiling_recommendation | bis zum Widerruf |
2.2 Pflichtfelder sind auf jedem Erfassungsbildschirm gekennzeichnet. Die Annahme der Mitgliedskontobedingungen ist keine Einwilligung in einen optionalen Zweck; jeder optionale Zweck hat eine eigene, nicht angekreuzte Steuerung und kann in den Einstellungen widerrufen werden.
2.3 Keine KI-Entscheidung auf dieser Plattform erzeugt ohne menschliche Prüfung rechtliche oder in ähnlicher Weise erhebliche Wirkungen für Sie (Klausel 2 von ACC-02; C07.2).
3. Alter und Sorgeberechtigte
3.1 TwinOry-Konten stehen Personen ab 16 Jahren zur Verfügung. Konten für Personen unter 16 Jahren werden bei der Registrierung abgelehnt und, wenn sie später entdeckt werden, geschlossen.
3.2 Mitglieder im Alter von 16 oder 17 Jahren dürfen den Dienst mit folgenden Grenzen nutzen: Sie dürfen einen Twin nicht monetarisieren, keinen kostenpflichtigen Tarif abschließen und einen Twin nur nach der zusätzlichen Veröffentlichungsprüfung veröffentlichen, die in den Einstellungen angezeigt wird. Diese Grenzen werden durch die Altersprüfung durchgesetzt und können nicht durch Selbstauskunft aufgehoben werden.
3.3 Die Plattform darf von Personen unter 18 Jahren nur genutzt werden, wenn der jeweilige Dienst dies vorsieht. In Spanien darf eine Person ab 14 Jahren selbst in die Verarbeitung ihrer personenbezogenen Daten einwilligen; bei Personen unter 14 Jahren müssen die Inhaber der elterlichen Sorge oder der Vormundschaft einwilligen und die Bedingungen akzeptieren. Im Vereinigten Königreich liegt das entsprechende Alter bei 13 Jahren. Auf twinory.net beträgt das Mindestalter des Dienstes 16 Jahre; demnach erteilt ein Mitglied im Alter von 16 oder 17 Jahren seine eigene datenschutzrechtliche Einwilligung, und die Klauseln 3.4 bis 3.6 gelten, soweit eine sorgeberechtigte Person beteiligt ist.
3.4 Handelt eine sorgeberechtigte Person für ein Mitglied im Alter von 16 oder 17 Jahren (zum Beispiel um das Konto zu schließen oder Rechte auszuüben), werden Identität und Befugnis der sorgeberechtigten Person geprüft, bevor das Ersuchen ausgeführt wird. Die sorgeberechtigte Person kann auf die Daten der minderjährigen Person zugreifen, sie berichtigen und löschen und das Konto jederzeit schließen.
3.5 Erwachsene, die über die Plattform mit Minderjährigen in Kontakt stehen, unterliegen den Regeln zur zulässigen Nutzung in ACC-01; die Kommunikation mit Minderjährigen über Ask Cards wird protokolliert und kann geprüft werden. Die Aufzeichnung von Stimme oder Abbild einer minderjährigen Person für einen Twin erfordert die Einwilligung der sorgeberechtigten Person zusätzlich zur eigenen Aktivierung durch die minderjährige Person.
3.6 Die Zahlung für den Dienst einer minderjährigen Person leistet die sorgeberechtigte Person; das Konto der minderjährigen Person kann keine Entgelte auslösen.
4. Vertraulichkeit privater Twin-Regeln (Never-Do-Regeln)
4.1 Die Never-Do-Regeln, der private Speicher und die geschützten Identitätseinstellungen, die Sie für Ihren Twin konfigurieren (Private Regeln), sind vertrauliche Informationen des Mitglieds. Der Betreiber behandelt Private Regeln wie folgt:
(a) Private Regeln werden getrennt von veröffentlichten Twin-Feldern gespeichert und niemals in öffentliche Seiten, Suchindizes, Sitemaps, API-Antworten an andere Mitglieder, Exporte an andere Plattformen oder Werbematerial aufgenommen;
(b) Private Regeln werden nicht in Annahmedatensätze, Nutzlasten von Prüfereignissen, Nachweisdatensätze oder ein nur ergänzbares Register geschrieben; aufgezeichnet wird nur eine minimierte Referenz (Kennung des Regelsatzes, Version, Hash);
(c) Private Regeln sind für Personal des Betreibers nur über die geprüfte Funktion für privilegierten Zugang nach INT-01 zugänglich, aus einem angegebenen Grund, für eine begrenzte Zeit und niemals zum Vorteil eines anderen Mitglieds;
(d) Private Regeln werden nicht zum Training von Modellen verwendet und keinem Auftragsverarbeiter offengelegt, der über die Hosting- und Inferenzdienste hinausgeht, die zu ihrer Durchsetzung erforderlich sind; jeder dieser Dienste ist an die Vertraulichkeit nach DAT-01 gebunden;
(e) ein Twin gibt die Existenz einer bestimmten Privaten Regel gegenüber keiner Person außer seinem Inhaber preis, umschreibt sie nicht und bestätigt sie nicht.
4.2 Diese Klausel gilt nach Schließung des Kontos fort, solange eine Kopie der Privaten Regeln besteht, und der Betreiber löscht Private Regeln innerhalb der Frist in Klausel 6.1.
5. Empfänger
5.1 Personenbezogene Daten werden nur offengelegt gegenüber: (a) den im Anhang der Unterauftragsverarbeiter (DAT-02) aufgeführten Auftragsverarbeitern für Hosting, Authentifizierung, E-Mail-Zustellung, KI-Inferenz, Zahlungsabwicklung (sobald kostenpflichtige Tarife aktiviert sind) und Support-Werkzeuge, jeweils auf Grundlage eines Auftragsverarbeitungsvertrags; (b) anderen Mitgliedern, beschränkt auf die Twin-Felder, die Sie veröffentlicht haben, und auf die von Ihnen gewählte Zielgruppe; (c) Behörden, soweit eine gesetzliche Pflicht besteht; (d) einem Rechtsnachfolger bei einer Verschmelzung oder einem Erwerb, unter denselben Pflichten.
5.2 Der Betreiber verkauft keine personenbezogenen Daten und gibt sie nicht an Werbetreibende weiter.
5.3 Die plattformübergreifende Weitergabe an andere SET-Plattformen ist standardmäßig AUS und wird je Ziel in den Einstellungen gesteuert (Klausel 1.6).
6. Aufbewahrung und Löschung
6.1 Kontodaten werden für die Lebensdauer des Kontos aufbewahrt und innerhalb von 90 Tagen nach der Schließung gelöscht oder anonymisiert, außer wenn das Gesetz eine längere Frist verlangt (Steuer- und Buchhaltungsunterlagen: 6 Jahre; Annahme- und Einwilligungsdatensätze: 5 Jahre nach dem Ende der Beziehung, als Nachweis der Einhaltung; Datensätze unter einer rechtlichen Aufbewahrungssperre: bis zum Ende der Sperre).
6.2 Gesprächsprotokolle, Aufzeichnungen und Uploads, die nicht mit einem laufenden Vertrag verbunden sind, werden spätestens 12 Monate nach der letzten Interaktion gelöscht, und auf Ihren Wunsch früher, es sei denn, eine rechtliche Aufbewahrungssperre gilt.
6.3 Sicherungen werden in einem Zyklus von höchstens 35 Tagen erneuert; aus dem Produktivsystem gelöschte Daten werden am Ende des Zyklus aus den Sicherungen entfernt.
6.4 Ist ein Anbieter unabhängiger Verantwortlicher, gelten für seine Datensätze seine eigenen Aufbewahrungsregeln.
7. Ihre Rechte
7.1 Sie können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung verlangen und jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über /legal/privacy-rights oder privacy@twinory.net.
7.2 Der Betreiber prüft die Identität verhältnismäßig (in der Regel durch Bestätigung über die Konto-E-Mail) und antwortet innerhalb eines Monats; ist eine Verlängerung rechtmäßig erforderlich, teilt der Betreiber Ihnen den Grund innerhalb des ersten Monats mit.
7.3 Die Löschung kann für die in Klausel 6.1 genannten Datensätze beschränkt sein; der Betreiber teilt Ihnen Umfang und Dauer einer solchen Beschränkung mit.
7.4 Sie können sich bei der Agencia Española de Protección de Datos (www.aepd.es) oder bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts beschweren.
7.5 Datenschutzkontakt: privacy@twinory.net. Der Betreiber hat keinen Datenschutzbeauftragten bestellt; der Datenschutzkontakt ist der Datenschutzkontakt des Betreibers.
8. Sicherheit
Der Betreiber setzt Mandantenisolation mit Sicherheit auf Zeilenebene, Zugriff nach dem Grundsatz der geringsten Berechtigung und Mehrfaktorzugang für privilegierte Rollen, Verschlüsselung bei der Übertragung und im Ruhezustand für gespeicherte Inhalte, getrennte Speicherung der Privaten Regeln, nur ergänzbare Prüfereignisse und geprüfte Wiederherstellungsverfahren ein, wie im Anhang der technischen und organisatorischen Maßnahmen von DAT-01 dokumentiert. Verletzungen des Schutzes personenbezogener Daten werden bewertet und, soweit erforderlich, der AEPD innerhalb von 72 Stunden und den betroffenen Personen unverzüglich mitgeteilt (DAT-03).
9. Änderungen
9.1 Der Betreiber kann diesen Hinweis aus berechtigten Gründen ändern: Änderungen des Rechts, des Dienstes, der Sicherheit oder der Betrugsprävention, des Zahlungsanbieters oder zur Klarstellung des Wortlauts. Der Betreiber teilt Ihnen wesentliche Änderungen per E-Mail und im Produkt mindestens 30 Tage vor ihrem Wirksamwerden mit (unverzüglich, soweit Recht oder Sicherheit dies verlangen).
9.2 Ein neuer Zweck oder eine neue Empfängerkategorie wird nur nach Mitteilung und, wenn die Rechtsgrundlage die Einwilligung ist, nach Ihrer gesonderten Einwilligung aktiviert.
9.3 Jede Fassung wird mit Datum und Inhalts-Hash unter /legal/privacy/v/ archiviert.