Datenschutzerklärung

OmniMessage ist ein Messaging-Gateway, das unter der Marke GridStudio angeboten wird. Anbieter ist die auf Ihrer Rechnung genannte Gesellschaft der GridStudio-Gruppe (wir, uns). Diese Erklärung erläutert, wie wir im Zusammenhang mit der OmniMessage-Website, der Konsole und der API mit personenbezogenen Daten umgehen.

Wir handeln in zwei unterschiedlichen Rollen, und der Unterschied ist für Ihre Rechte von Bedeutung:

• Als Verantwortlicher entscheiden wir, wie und warum personenbezogene Daten verwendet werden, wenn wir unser eigenes Geschäft betreiben: die Daten von Personen, die die Website besuchen, ein Konto erstellen, Mitglied eines Kontos sind, an uns zahlen oder uns schreiben. Dies beschreiben die Abschnitte 2 bis 9.
• Als Auftragsverarbeiter verarbeiten wir die Nachrichten, die unsere Kunden senden und empfangen, sowie die Kennungen der Personen, mit denen sie Nachrichten austauschen, ausschließlich auf Weisung des Kunden. Verantwortlicher für diese Daten ist der Kunde. Dies beschreibt Abschnitt 4.

• Kontodaten: Ihr Name, Ihre E-Mail-Adresse, Ihr Passwort (nur als Hash gespeichert), der Name Ihres Arbeitsbereichs und Ihres Unternehmens, Ihr Land, Ihre Rolle im Konto und Ihre Oberflächensprache.
• Anmeldedaten von Google, Apple oder Facebook, nur wenn Sie sich für die Anmeldung über einen dieser Anbieter entscheiden: die Kennung, die Ihnen dieser Anbieter für unseren Dienst zuweist, Ihr Name, Ihre E-Mail-Adresse und ob der Anbieter sie bestätigt hat. Apple kann uns anstelle Ihrer eigenen Adresse eine private Weiterleitungsadresse übermitteln. Wir erhalten weder Ihr Passwort bei diesem Anbieter noch Ihre Kontakte oder Ihre Beiträge, und wir speichern die Zugriffstoken des Anbieters nicht.
• Abrechnungsdaten: Ihre Rechnungs-E-Mail-Adresse, Ihr Zahlungsverlauf, Rechnungsnummern und Belege sowie die Kennungen, die uns unser Zahlungsdienstleister für Ihren Kundendatensatz und Ihre Zahlungen mitteilt. Kartendaten werden auf den Seiten des Zahlungsdienstleisters eingegeben; vollständige Kartennummern erhalten und speichern wir nicht.
• Nutzungs- und Sicherheitsdaten: die IP-Adresse und der Browsertyp Ihrer Sitzungen, Anmeldezeitpunkte, der Zeitpunkt der letzten Verwendung eines API-Schlüssels, Aufzeichnungen über fehlgeschlagene Anmeldeversuche und ein Audit-Protokoll der Aktionen, die Mitglieder im Konto vornehmen.
• Technische Daten: die in der Cookie-Richtlinie beschriebenen Cookies und ähnlichen Speichertechniken sowie die Informationen, die ein Browser mit jeder Anfrage sendet.
• Korrespondenz: was Sie uns senden, wenn Sie Support oder Vertriebsinformationen anfragen.

Wir erhalten diese Daten von Ihnen, von den anderen Mitgliedern Ihres Kontos, etwa wenn eines von ihnen Sie einlädt, und von unserem Zahlungsdienstleister.

• Zur Erbringung des Dienstes: Erstellen und Absichern Ihres Kontos, Authentifizieren von Anfragen, Abwickeln von Zahlungen, Anzeigen von Guthaben und Nutzung, Versenden von Service-E-Mails wie Bestätigungslinks, Warnungen bei niedrigem Guthaben und Belegen sowie Leisten von Support. Grundlage ist unser Vertrag mit Ihnen oder mit der Organisation, der Sie angehören.
• Um den Dienst sicher und funktionsfähig zu halten: Verhindern von Betrug und Missbrauch, Durchsetzen von Rate-Limits, Untersuchen von Vorfällen, Führen von Audit-Aufzeichnungen und Verbessern der Zuverlässigkeit. Grundlage ist unser berechtigtes Interesse am Betrieb eines sicheren Dienstes.
• Zur Erfüllung rechtlicher Verpflichtungen: Führen von Buchhaltungs- und Steuerunterlagen und Beantworten rechtmäßiger Anfragen von Behörden.

Wir verkaufen keine personenbezogenen Daten, wir verwenden sie nicht für Werbung, und wir treffen keine automatisierten Entscheidungen über Sie, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

Die Website und die Konsole verwenden keine Analyse- oder Werbe-Tracker.

Wenn ein Kunde über OmniMessage Nachrichten sendet oder empfängt, verarbeiten wir im Auftrag des Kunden: den Inhalt der Nachrichten einschließlich der Medien, auf die sie verweisen; die Kennungen von Absendern und Empfängern, etwa Telefonnummern, Chat-IDs und Plattform-Nutzer-IDs; Zustell- und Lesestatus; die Referenzen und Metadaten, die der Kunde hinzufügt; und die Webhook-Ereignisse, die diese Informationen an den Kunden übermitteln.

Wir verwenden diese Daten nur, um die Nachrichten zuzustellen und zu empfangen, ihren Status zu melden, dem Kunden gegenüber abzurechnen, den Dienst sicher zu halten und gesetzliche Vorgaben einzuhalten. Die Einzelheiten sind in der Vereinbarung zur Auftragsverarbeitung geregelt.

Die Zugangsdaten, Zugriffstoken und Autorisierungscodes, mit denen ein Kunde einen Kanal verbindet, werden an unsere Zustellplattform weitergeleitet und vom Gateway weder gespeichert noch protokolliert.

Wenn Sie eine Nachricht von einem Unternehmen erhalten haben, das OmniMessage nutzt, und wissen möchten, wie Ihre Daten verwendet werden, keine Nachrichten mehr erhalten möchten oder Ihre Rechte ausüben möchten, wenden Sie sich bitte an dieses Unternehmen. Wenn Sie sich an uns wenden, leiten wir Ihre Anfrage an den betreffenden Kunden weiter, sofern wir ihn ermitteln können.

Wir geben personenbezogene Daten nur an die folgenden Kategorien von Empfängern weiter, und nur soweit der jeweilige Empfänger sie benötigt:

• Zahlungsabwicklung: Stripe, das Kartenzahlungen abwickelt und Belege ausstellt.
• Hosting und Infrastruktur: die Anbieter, die unsere Server, Datenbanken und Backups hosten.
• E-Mail-Versand: der Anbieter, der unsere Service-E-Mails versendet.
• Anmeldeanbieter: Google, Apple oder Meta (Facebook), nur wenn Sie sich für die Anmeldung über einen dieser Anbieter entscheiden. Der Anbieter erfährt, dass und wann Sie sich bei OmniMessage angemeldet haben, und handelt nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung.
• Messaging-Netzwerke: die Kanalanbieter, die ein Kunde verbindet, etwa Meta für WhatsApp, Messenger und Instagram, Telegram, TikTok, Twilio sowie andere SMS-Anbieter und Netzbetreiber. Sie erhalten die Nachrichten, die der Kunde sendet, und handeln nach ihren eigenen Bedingungen und Datenschutzerklärungen.
• Gesellschaften der GridStudio-Gruppe, die die Zustellplattform betreiben und den Dienst unterstützen.
• Berater und Behörden: fachliche Berater sowie Gerichte, Aufsichts- oder Strafverfolgungsbehörden, wenn das Gesetz dies verlangt oder wenn es zur Geltendmachung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Wird das Unternehmen umstrukturiert oder übertragen, können personenbezogene Daten auf den Rechtsnachfolger übergehen, der an diese Erklärung gebunden bleibt.

Messaging ist seiner Natur nach international, und einige der oben genannten Empfänger befinden sich außerhalb des Landes, in dem Sie leben. Soweit das Gesetz die Übermittlung personenbezogener Daten in ein anderes Land beschränkt, stützen wir uns auf einen gesetzlich anerkannten Mechanismus, etwa einen Angemessenheitsbeschluss oder von der zuständigen Behörde genehmigte Standardvertragsklauseln, und erforderlichenfalls auf zusätzliche Garantien. Einzelheiten können Sie unter support@omnimessage.co bei uns erfragen.

Wir bewahren personenbezogene Daten so lange auf, wie sie für die oben beschriebenen Zwecke benötigt werden, und löschen oder anonymisieren sie anschließend:

• Kontodaten werden aufbewahrt, solange das Konto besteht, und danach so lange, wie es erforderlich ist, um das Konto ordnungsgemäß zu schließen und Ansprüche zu bearbeiten.
• Die Verknüpfung zwischen Ihrem Konto und einer Anmeldung über Google, Apple oder Facebook wird aufbewahrt, bis Sie sie in den Einstellungen aufheben, bis Sie den Anbieter auffordern, sie zu beenden (Apple und Facebook weisen uns dann an, sie zu entfernen), oder bis das Konto geschlossen wird.
• Abrechnungs- und Buchhaltungsunterlagen werden für die Dauer aufbewahrt, die Steuer- und Rechnungslegungsvorschriften verlangen.
• Nachrichtendatensätze und der Zustellverlauf, die wir für Kunden verarbeiten, werden aufbewahrt, solange das Konto des Kunden besteht, damit das Nachrichtenprotokoll und die Nutzungsberichte funktionieren, es sei denn, der Kunde verlangt eine frühere Löschung.
• Sicherheits- und Audit-Aufzeichnungen werden so lange aufbewahrt, wie es erforderlich ist, um Vorfälle zu untersuchen und nachzuweisen, wie das Konto genutzt wurde.
• Eine Anmeldesitzung endet, wenn Sie sich abmelden, und läuft nach 30 Tagen ohne Nutzung ab. Idempotenzschlüssel, die mit API-Anfragen gesendet werden, werden 24 Stunden aufbewahrt.

Zu den Maßnahmen, die wir anwenden, gehören:

• Verschlüsselung der Daten bei der Übertragung mit TLS;
• Speicherung von Passwörtern ausschließlich als gesalzene Hashes mit Argon2id sowie von Sitzungstoken und API-Schlüsseln ausschließlich als Hashes;
• Verschlüsselung ruhender Geheimnisse mit AES-256-GCM, etwa der Webhook-Signaturgeheimnisse und der Schlüssel, die ein Konto mit der Zustellplattform verknüpfen;
• Durchleitung von Kanal-Zugangsdaten und Token an die Zustellplattform, ohne dass das Gateway sie speichert oder protokolliert;
• rollenbasierter Zugriff innerhalb eines Kontos, nach Scope und IP-Adresse beschränkte API-Schlüssel, Rate-Limits und eine vorübergehende Sperre nach wiederholt fehlgeschlagenen Anmeldungen;
• ein Audit-Protokoll der administrativen und der abrechnungsrelevanten Aktionen;
• signierte Webhooks sowie Prüfungen, die verhindern, dass Webhook-Adressen auf private Netze verweisen.

Kein System ist vollkommen sicher. Wenn eine Verletzung des Schutzes personenbezogener Daten Sie betrifft, benachrichtigen wir Sie und die zuständigen Behörden, wie es das Gesetz verlangt.

Je nachdem, wo Sie leben, gibt Ihnen das Datenschutzrecht Rechte in Bezug auf die personenbezogenen Daten, die wir als Verantwortlicher verarbeiten. Nach der Datenschutz-Grundverordnung der EU und des Vereinigten Königreichs, dem türkischen Gesetz zum Schutz personenbezogener Daten (KVKK), dem Gesetz der VAE zum Schutz personenbezogener Daten und ähnlichen Gesetzen umfassen diese in der Regel das Recht:

• zu erfahren, ob wir Ihre personenbezogenen Daten verarbeiten, und eine Kopie davon zu erhalten;
• unrichtige oder unvollständige Daten berichtigen zu lassen;
• Daten löschen zu lassen, wenn für uns kein Grund mehr besteht, sie aufzubewahren;
• die Verarbeitung einzuschränken oder ihr zu widersprechen, insbesondere einer Verarbeitung auf der Grundlage unserer berechtigten Interessen;
• die Daten, die Sie uns bereitgestellt haben, in einem übertragbaren Format zu erhalten oder an einen anderen Anbieter übermitteln zu lassen;
• Beschwerde bei der Datenschutzaufsichtsbehörde des Landes einzulegen, in dem Sie leben oder arbeiten.

Um ein Recht auszuüben, schreiben Sie an support@omnimessage.co. Unter Umständen müssen wir Ihre Identität bestätigen, bevor wir tätig werden. Mitglieder eines Kontos können die meisten Kontodaten selbst in der Konsole berichtigen.

Soweit wir Ihre Daten im Auftrag eines Kunden verarbeiten, richten Sie Ihre Anfrage bitte an diesen Kunden, wie in Abschnitt 4 erläutert.

Der Dienst ist für Unternehmen bestimmt. Er richtet sich nicht an Kinder, und wir erheben als Verantwortlicher nicht wissentlich personenbezogene Daten von Personen unter 18 Jahren.

Wir aktualisieren diese Erklärung, wenn sich unsere Praxis ändert. Das Datum oben gibt die neueste Fassung an, und bei einer wesentlichen Änderung informieren wir die Kontoinhaber per E-Mail.

Verantwortlicher ist die auf Ihrer Rechnung genannte Gesellschaft der GridStudio-Gruppe. Bei Fragen und Anliegen zum Datenschutz schreiben Sie an support@omnimessage.co.

Unsere Postanschrift ist auf Ihren Rechnungen angegeben und wird auf Anfrage mitgeteilt.