Datenschutzerklärung

Verantwortlicher

KLEOS Bilişim Danışmanlık Ltd. Şti., Dijitalpark Teknokent Ataşehir Yerleşkesi, Barbaros Mah. Şebboy Sok. No:4M, 34758 Ataşehir / İstanbul, Türkiye

Datenschutzkontakt

support@dxmap.ai

Aufsichtsbehörde

Kişisel Verileri Koruma Kurumu (KVKK) — Turkish Data Protection Authority

Vertreter in der EU (Art. 27 DSGVO)

Utku Erol, Darser Str. 12B, 14167 Berlin, Deutschland — utku@dxmap.ai

Betroffene Personen und Aufsichtsbehörden in der Union können sich in allen Fragen des Datenschutzes zusätzlich zu uns oder an unserer Stelle an unseren Vertreter in der Europäischen Union wenden.

Wir sind Verantwortlicher für Nutzerkonten, einschließlich der Konten eingeladener Kolleginnen und Kollegen; für Abrechnung, Zahlungen und Rechnungen; für diese Website, ihr Kontaktformular und ihre Cookies; für Sicherheits- und Audit-Protokolle; und für das Benchmarking, also anonymisierte, aggregierte Statistiken, die aus Assessments abgeleitet werden.

Für den Inhalt eines Assessments (die Antworten, die Unternehmensnotizen, die abschließende Antwort zu den Zielen Ihrer Organisation, die Angaben zu Automatisierungssystemen, die Aufzeichnung, welches Mitglied welche Antwort abgegeben hat, und den erstellten Report) ist die Kundenorganisation verantwortlich, die das Assessment durchführt. Wir verarbeiten diese Inhalte in ihrem Auftrag als Auftragsverarbeiter auf Grundlage des Auftragsverarbeitungsvertrags.

Bei Fragen zum Umgang mit Ihren Daten schreiben Sie an die obige Adresse. Sie erhalten eine Antwort von einem Menschen.

Wir verarbeiten das Minimum, das nötig ist, um ein Konto zu führen, einen Report zu liefern und eine Zahlung entgegenzunehmen. Wir verkaufen keine Daten, betreiben keine Werbeprofile und trainieren keine Modelle mit Ihren Assessment-Antworten.

Das meiste, was Sie uns geben, sind Geschäftsinformationen über Ihre Organisation und keine personenbezogenen Daten. Personenbezogen sind im Wesentlichen die Kontaktdaten der Personen, die den Dienst nutzen.

• Kontodaten: Name, geschäftliche E-Mail-Adresse, Organisation, Rolle im Workspace und gegebenenfalls zugewiesener Verantwortungsbereich (Abteilung), Spracheinstellung, Passwort-Hash.
• Unternehmensangaben: Unternehmensname, Website, Ort, Land, Branche und Größe.
• Assessment-Inhalte: die Antworten, Unternehmensnotizen und Ziele, die Ihre Organisation eingibt, sowie die Aufzeichnung, welches Mitglied welche Antwort abgegeben hat. Dies sind überwiegend Geschäftsinformationen über Ihre Organisation; wir verarbeiten sie als Auftragsverarbeiter für Ihre Organisation.
• Bestelldaten: Paket, Betrag, Umsatzsteuerstatus, Zahlungsart, Rechnungsreferenzen. Kartendaten verarbeitet Stripe; sie erreichen uns nie.
• Kommunikation: Nachrichten aus dem Kontaktformular.
• Technische Daten: IP-Adresse, User-Agent und Zeitstempel in Server-Logs, kurzfristig zur Sicherheit und Fehlersuche, sowie ein Audit-Protokoll privilegierter Vorgänge.

Werden Sie von einer Kollegin oder einem Kollegen eingeladen, erhalten wir Ihre geschäftliche E-Mail-Adresse, Ihre Rolle und Ihren Verantwortungsbereich (Abteilung) von dieser Person, nicht von Ihnen. Eine Einladung verfällt nach 48 Stunden; danach erneuert oder löscht die einladende Organisation sie. Bei Ihrer ersten Anmeldung akzeptieren Sie die Allgemeinen Geschäftsbedingungen und nehmen diese Datenschutzerklärung zur Kenntnis.

• Anlegen und Betreiben Ihres Kontos und Organisations-Workspace, einschließlich der Einladung von Kolleginnen und Kollegen.
• Durchführung des Assessments und Erstellung Ihres Reports im Auftrag Ihrer Organisation.
• Prüfung der von Ihnen gewählten Branche und Recherche öffentlich verfügbarer Informationen über Ihr Unternehmen für den Report.
• Zahlungsabwicklung, Rechnungsstellung und steuerliche Pflichten.
• Beantwortung Ihrer Anfragen.
• Sicherheit des Dienstes und Fehlerdiagnose.
• Erstellung anonymisierter, aggregierter Benchmarks.
• Mit Ihrer Einwilligung: Messung der Websitenutzung (Google Analytics) und der Wirksamkeit unserer Werbung (Google Ads).

• Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung: Konten der Nutzer des Kunden, die die Bedingungen akzeptiert haben, einschließlich eingeladener Kolleginnen und Kollegen ab ihrer Zustimmung; Erbringung des Dienstes; Zahlung und Rechnungsstellung.
• Art. 6 Abs. 1 lit. c DSGVO, rechtliche Verpflichtung: Rechnungen und Aufbewahrung steuerrelevanter Unterlagen.
• Art. 6 Abs. 1 lit. f DSGVO, berechtigte Interessen: das Konto einer eingeladenen Person vor Annahme der Bedingungen, damit der Vertrag des Kunden mit uns erfüllt werden kann; Sicherheit des Dienstes und Sicherheitsprotokolle; Missbrauchsprävention; Beantwortung von Anfragen über die Website; Benchmarking, das ausschließlich mit anonymisierten, aggregierten Daten arbeitet.
• Art. 6 Abs. 1 lit. a DSGVO, Einwilligung: Analyse- und Marketing-Cookies, die bis zu Ihrer Zustimmung deaktiviert sind.

Für Assessment-Inhalte sind wir Auftragsverarbeiter; die Rechtsgrundlage dieser Verarbeitung bestimmt Ihre Organisation als Verantwortlicher.

Wir setzen wenige Auftragsverarbeiter ein, die jeweils durch einen Auftragsverarbeitungsvertrag gebunden sind. Sie dürfen Daten ausschließlich nach unserer Weisung verarbeiten.

Ihr Assessment-Dialog wird ausschließlich von Sprachmodellen von OpenAI gelesen, damit Antworten verstanden, bewertet und im Report ausformuliert werden können. OpenAI handelt als Auftragsverarbeiter, nutzt die Inhalte nicht zum Training seiner Modelle und speichert API-Eingaben zur Missbrauchserkennung höchstens 30 Tage, bevor sie gelöscht werden. Die Fragen betreffen Ihre Organisation; bitte geben Sie daher keine Namen einzelner Personen ein, sie werden nicht benötigt.

Auf der Report-Seite beantwortet der Report-Assistent Fragen zu Ihrem Report. Dazu werden bei jeder Frage die Frage, die letzten Beiträge der Unterhaltung und der Inhalt Ihres Reports an das Sprachmodell von OpenAI übermittelt, das dabei auch unsere Wissensdatenbank aus veröffentlichten Studien und Fallbeispielen durchsuchen kann; es gelten dieselben Bedingungen. Die Unterhaltung selbst wird nur in Ihrem Browser gespeichert, für 24 Stunden (siehe Cookie-Tabelle). Wir bewahren keine Kopie auf, und die Automatisierungs-Engine protokolliert nur fehlgeschlagene Durchläufe, für 14 Tage.

Zur Prüfung der von Ihnen gewählten Branche und zur Recherche für den Report werden Unternehmensname, Website, Ort, Land und gewählte Branche an das Sprachmodell von OpenAI mit Websuche übermittelt, das öffentlich verfügbare Informationen über das Unternehmen recherchiert, etwa Geschäftsergebnisse, Markt und Regulierung. Dies sind Informationen über das Unternehmen; personenbezogen sind sie nur, soweit der Unternehmensname eine Person erkennen lässt, etwa bei einem Einzelunternehmen.

Die Automatisierungs-Engine, die die Modelle aufruft (n8n), läuft auf unserem eigenen Server in Frankfurt. Sie speichert zu jedem Durchlauf ein Ausführungsprotokoll, das den Antworttext enthält, für 14 Tage.

Nur wenn Sie in den Cookie-Einstellungen Analyse oder Marketing aktivieren, laden wir den Google Tag Manager, der Google Analytics (wie die Website genutzt wird) und die Conversion-Messung von Google Ads (ob eine Anzeige Sie hierher gebracht hat) ausführt. Anbieter ist die Google Ireland Limited; Daten können an die Google LLC in den USA gelangen, die nach dem EU-US Data Privacy Framework zertifiziert ist. Ohne diese Einwilligung wird keine Anfrage an Google gesendet, und ein Datenschutzsignal des Browsers (Global Privacy Control oder Do Not Track) gilt als Ablehnung. Sie können Ihre Einwilligung jederzeit in den Cookie-Einstellungen widerrufen.

Die folgende Tabelle nennt jeden eingesetzten Auftragsverarbeiter, seine Aufgabe und seinen Standort.

Unsere Server und Datenbanken befinden sich in der Europäischen Union: die Datenbank bei Supabase in Stockholm, die Anwendung bei Fly.io in Amsterdam und die Automatisierungs-Engine auf unserem eigenen Server in Frankfurt.

Die Sprachmodelle, die das Assessment auswerten, betreibt OpenAI in den Vereinigten Staaten. Diese Übermittlung sowie jede Verarbeitung durch einen anderen Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission, ergänzt um zusätzliche Maßnahmen, soweit erforderlich.

• Kontodaten: solange Ihr Konto besteht, danach gelöscht.
• Einladungen: bis zur Annahme. Eine nicht angenommene Einladung verfällt nach 48 Stunden; danach erneuert oder löscht die einladende Organisation sie.
• Assessment-Inhalte und Reports: für die Dauer der Zusammenarbeit zuzüglich 24 months, damit Sie auf Ihren Report zurückgreifen können.
• Ausführungsprotokolle der Automatisierungs-Engine, die Antworttext enthalten: 14 Tage.
• API-Eingaben bei OpenAI: höchstens 30 Tage, danach von OpenAI gelöscht.
• Der in Ihrem Browser gespeicherte Chat-Verlauf: höchstens 24 Stunden.
• Rechnungen und Steuerunterlagen: für die gesetzliche Aufbewahrungsfrist, derzeit 10 years, für nach türkischem Recht geführte Unterlagen 10 years (Turkish Commercial Code art. 82).
• Serverprotokolle: 30 days.

Löscht die Kontoinhaberin oder der Kontoinhaber das Konto, wird der gesamte Workspace der Organisation gelöscht: die Konten aller Kolleginnen und Kollegen sowie das Assessment mit seinen Antworten und Reports, sowohl aus unserer Anwendungsdatenbank als auch aus der Assessment-Datenbank. Löscht eine eingeladene Person ihr Konto, werden nur ihr eigenes Konto und ihre personenbezogenen Daten gelöscht; das Assessment der Organisation bleibt bestehen.

Zahlungs- und Rechnungsunterlagen, die wir nach Steuerrecht aufbewahren müssen, bewahren wir für die gesetzliche Frist auf, getrennt von den gelöschten Konten.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Ihr Konto können Sie in den Einstellungen selbst löschen. Für alles Weitere schreiben Sie an support@dxmap.ai; wir antworten innerhalb eines Monats. Betrifft Ihr Anliegen Assessment-Inhalte, leiten wir es an die verantwortliche Kundenorganisation weiter und unterstützen sie bei der Beantwortung; Anliegen zu Ihren Konto- oder Abrechnungsdaten beantworten wir selbst.

Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Ihr Report wird automatisiert aus den Antworten Ihrer Organisation erzeugt: Sprachmodelle verfassen den Text, und die Reifegradstufe wird durch eine Bewertungslogik abgeleitet. Dies ist keine Entscheidung mit rechtlicher Wirkung Ihnen gegenüber oder mit ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO: Bewertet wird Ihre Organisation, und Ihre Organisation prüft das Ergebnis, bevor sie daraus handelt.

Über einzelne Personen wird keine automatisierte Entscheidung getroffen, weder zu Beschäftigung noch zu Bonität oder Zugang.

Der Zugriff auf Kundendaten ist auf Datenbankebene mit zeilenbasierter Sicherheit auf die jeweilige Organisation begrenzt. Ein Report wird erst ausgeliefert, nachdem der Server geprüft hat, dass Ihre Organisation das Assessment erworben hat; interne Verarbeitungsdaten werden entfernt, bevor sie Ihren Browser erreichen.

Wir verschlüsseln durchgehend in der Übertragung und führen Audit-Trails für privilegierte Vorgänge.

Standardmäßig setzen wir ausschließlich unbedingt erforderliche Cookies und Browserspeicher-Einträge. Analyse- und Marketing-Cookies erfordern Ihre Einwilligung und sind bis dahin deaktiviert.

Der Assessment-Chat speichert den Dialog der angemeldeten Person bis zu 24 Stunden im lokalen Speicher dieses Browsers, damit er beim Neuladen der Seite nicht verloren geht. Er wird nirgendwohin übermittelt; Sie können ihn mit der Schaltfläche „Neue Bewertung starten“ im Chat oder über die Website-Daten-Einstellungen Ihres Browsers löschen. Die vollständige Übersicht und die Einstellungen finden Sie in der Cookie-Richtlinie.

Wir aktualisieren diese Erklärung, wenn sich der Dienst ändert. Das Datum oben nennt stets die aktuelle Fassung. Wesentliche Änderungen kündigen wir Kontoinhabern per E-Mail an.