Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die in dieser Erklärung beschriebenen Daten ist Rafael Henrique Barros. Für alle Datenschutzanliegen nutzen Sie bitte die unten genannte E-Mail-Adresse.

• Anbieter: Rafael Henrique Barros, natürliche Person mit Wohnsitz in Spanien, die den Dienst unter dem Handelsnamen Noctelo anbietet.
• Spanische Steuernummer (NIF/NIE): Z2504792M
• E-Mail: contato@noctelo.site

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Wir sind verantwortlich für die Daten der Konten, die Noctelo nutzen (Inhaber, Manager und Team), für die Abrechnung, den Support und die Besucher der Website.

Die Daten, die ein Betrieb über seine Kundschaft und seine Fachkräfte eingibt – Kontaktdaten, Termine, Nachrichten, Notizen, Fotos, Beträge –, gehören diesem Betrieb, der dafür verantwortlich ist. Für diese Daten handeln wir nur als Auftragsverarbeiter, im Auftrag des Betriebs und nach seinen Weisungen, wie in den Nutzungsbedingungen vereinbart. Wenn Sie Kundin, Kunde oder Fachkraft eines Betriebs sind, der Noctelo nutzt, richten Sie Ihre Anfragen bitte an diesen Betrieb; schreiben Sie uns, leiten wir die Anfrage weiter und helfen bei der Beantwortung.

3. Welche Daten wir verarbeiten

• Konto: Name, E-Mail, Telefonnummer, Passwort (nur als nicht umkehrbarer Hash gespeichert), Sprache, Rolle und Berechtigungen sowie der Nachweis Ihrer Zustimmung zu diesen Dokumenten (Version, Datum und IP-Adresse).
• Betrieb: Name, Anschrift, Land, Einstellungen, Tarif und Abonnementverlauf.
• Abrechnung: Kunden- und Abonnementkennungen bei Paddle, Betrag, Status und Datum der Zahlungen. Kartendaten werden im Formular von Paddle eingegeben und erreichen uns nie.
• Nutzung und Sicherheit: IP-Adresse, Geräte- und Browsertyp, Zugriffs- und Fehlerprotokolle.
• Support: der Inhalt der Nachrichten, die Sie uns senden.
• Besucher der Vitrine: pseudonymisierte Besuchsstatistiken. Die IP-Adresse wird in einen Code umgewandelt, der sich täglich ändert und nicht zurückgerechnet werden kann; die IP-Adresse selbst wird nicht gespeichert.
• Im Auftrag der Betriebe (als Auftragsverarbeiter): Daten der Kundschaft (Name, Telefonnummer, Terminverlauf, WhatsApp- und Telegram-Nachrichten, Notizen, Vertrauensbewertung), der Fachkräfte (Name, Kontaktdaten, Arbeitszeiten, Beträge und Provisionen, Fotos und Profil der Vitrine, PIN) und, wenn der Betrieb die Ankunftsprüfung bei Außendiensten nutzt, die Adresse des Termins und der Standort des Geräts zum Zeitpunkt der Ankunft.

4. Zwecke und Rechtsgrundlagen

• Einrichtung und Verwaltung des Kontos und Erbringung des gebuchten Dienstes — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Abrechnung sowie steuer- und handelsrechtliche Pflichten — Vertragserfüllung und rechtliche Verpflichtung (lit. b und c).
• Sicherheit, Betrugs- und Missbrauchsprävention, Schutz vor Bots bei der Registrierung und Fehleranalyse — berechtigtes Interesse an einem sicheren und funktionierenden Dienst (lit. f).
• Service-E-Mails (Kontobestätigung, Passwortwiederherstellung, Hinweise zum Abonnement und zu Änderungen dieser Dokumente) — Vertragserfüllung.
• Pseudonymisierte Statistiken der Vitrine, damit der Betrieb sieht, wie viele Besuche er hatte — berechtigtes Interesse, mit so wenigen Daten wie möglich.
• Beantwortung von Supportanfragen — Vertragserfüllung oder berechtigtes Interesse, Anfragen zu beantworten.

Wir verkaufen keine personenbezogenen Daten, nutzen sie nicht für Werbung und treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung für Sie. Marketingnachrichten senden wir nur mit Ihrer Einwilligung.

5. Empfänger

Wir setzen die folgenden Dienstleister ein, die Daten nur zur Erbringung ihrer Leistung für uns und unter vertraglichen Schutzpflichten verarbeiten:

• Paddle.com Market Ltd (Vereinigtes Königreich) — Merchant of Record: Bezahlvorgang, Zahlungen, Rechnungen, Steuern und Erstattungen. Paddle verarbeitet Zahlungsdaten zudem als eigener Verantwortlicher gemäß der Datenschutzerklärung von Paddle.
• Contabo GmbH (Deutschland, EU) — Server, auf denen der Dienst und die Datenbank gehostet werden.
• Backblaze, Inc. (USA) — Sicherungskopie der Datenbank außerhalb des Hauptservers.
• Sendinblue SAS — Brevo (Frankreich, EU) — Versand der Service-E-Mails.
• OpenAI (USA) — Verarbeitung von Nachrichten und Anfragen durch die KI-Funktionen, wenn der Betrieb sie nutzt.
• Functional Software, Inc. — Sentry (USA) — Überwachung technischer Fehler, wobei Authentifizierungs-Header und sensible Felder entfernt werden.
• Cloudflare, Inc. (USA) — Bot-Prüfung (Turnstile) bei der Registrierung.
• OpenStreetMap Foundation (Vereinigtes Königreich) — Umwandlung der Adresse eines Außendienstes in Koordinaten, wenn der Betrieb die Ankunftsprüfung nutzt. Übermittelt wird nur die Adresse, ohne Namen oder Kontaktdaten.
• Push-Dienste der Browser (Google, Apple, Mozilla) — Zustellung der Push-Benachrichtigungen, die Sie aktivieren.

WhatsApp (Meta) und Telegram sind nicht unsere Dienstleister: Es sind Dienste, die der Betrieb mit eigenen Konten anbindet, und Nachrichten, die darüber laufen, unterliegen deren Richtlinien.

Daten können außerdem an berufliche Berater (etwa Rechts- oder Steuerberater), die zur Verschwiegenheit verpflichtet sind, und an Behörden weitergegeben werden, soweit das Gesetz es verlangt.

6. Übermittlungen in Drittländer

Einige Dienstleister befinden sich außerhalb des Europäischen Wirtschaftsraums. Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework, sofern der Dienstleister zertifiziert ist, oder auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln. Sie können bei uns eine Kopie der jeweiligen Garantien anfordern.

7. Speicherdauer

• Konto- und Betriebsdaten: solange das Konto besteht. Nach einem Antrag auf Schließung haben Sie 30 Tage Zeit, es sich anders zu überlegen; danach werden die Daten gelöscht, und es bleibt nur ein Nachweis ohne personenbezogene Daten, dass die Löschung erfolgt ist.
• Sicherungen: werden rotierend ersetzt; jede Kopie wird nach 14 Tagen gelöscht.
• Abrechnungsunterlagen: für die steuer- und handelsrechtlich vorgeschriebene Dauer.
• Fehlerprotokolle: bis zu 90 Tage.
• Pseudonymisierte Statistiken der Vitrine: 400 Tage.
• Supportnachrichten: so lange, wie es für die Bearbeitung der Anfrage und etwaige Rückfragen nötig ist.

8. Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS). Passwörter werden nur als Hash gespeichert, WhatsApp-Sitzungen werden in der Datenbank verschlüsselt, der Serverzugang ist beschränkt und erfolgt per Schlüssel, und jeder Betrieb sieht nur seine eigenen Daten. Kein System ist unfehlbar; betrifft eine Datenschutzverletzung Ihre Daten, informieren wir Sie und die Behörden innerhalb der gesetzlichen Fristen.

9. Cookies und lokaler Speicher

Wir verwenden nur unbedingt erforderliche Cookies und lokalen Speicher: die Sitzung und den Schutz vor gefälschten Anfragen (CSRF), die gewählte Sprache, das Design und Oberflächeneinstellungen wie stummgeschaltete Benachrichtigungen oder den aktiven Betrieb. Wir verwenden keine Werbe-Cookies und keine Analysewerkzeuge Dritter und fragen daher keine Cookie-Einwilligung ab.

10. Ihre Rechte

Sie können Auskunft über Ihre Daten, deren Berichtigung, Löschung, die Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen sowie Verarbeitungen auf Grundlage berechtigter Interessen widersprechen. Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit widerrufen. Der Kontoinhaber kann die Daten des Betriebs exportieren und die Schließung direkt in den Einstellungen beantragen.

Um diese Rechte auszuüben, schreiben Sie an contato@noctelo.site. Wir antworten innerhalb eines Monats; diese Frist kann sich in den gesetzlich vorgesehenen Fällen verlängern. Wir können Angaben zur Bestätigung Ihrer Identität anfordern.

Wenn Sie der Ansicht sind, dass Ihre Rechte nicht gewahrt wurden, können Sie sich bei der spanischen Datenschutzbehörde (AEPD) oder bei der Datenschutzaufsichtsbehörde des Landes beschweren, in dem Sie leben oder arbeiten.

11. Minderjährige

Der Dienst richtet sich ausschließlich an Personen ab 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen; erfahren wir davon, löschen wir sie.

12. Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung aktualisieren, etwa wenn wir einen Dienstleister wechseln. Datum und gültige Version stehen oben auf der Seite; wesentliche Änderungen teilen wir den Kontoinhabern per E-Mail oder im Dashboard mit.