Zusatzvereinbarung zur Auftragsverarbeitung

Geltungsbereich

Diese Zusatzvereinbarung zur Auftragsverarbeitung („DPA“) ist Bestandteil der Nutzungsbedingungen, wann immer Ihre Nutzung von Storelift personenbezogene Daten betrifft, die durch die DSGVO der EU (EU GDPR), die UK GDPR oder das türkische Gesetz Nr. 6698 (KVKK) geschützt sind.

Enterprise-Kunden, die ein gegengezeichnetes Exemplar benötigen, können es unter hello@storelift.net anfordern; der Text ist derselbe wie auf dieser Seite.

Rollen

Sie sind Verantwortlicher für die personenbezogenen Daten, die Sie in Storelift einbringen: Ihre Teammitglieder, die Bewertungen Ihrer Apps und die Berichte der Konten, die Sie verbinden. Storelift, betrieben von Volkan Günay (einer natürlichen Person in der Türkei), verarbeitet diese Daten in Ihrem Auftrag als Auftragsverarbeiter.

Für die Daten, die wir benötigen, um Ihr Konto selbst zu führen – Ihre Anmelde-E-Mail-Adresse, Abrechnung und Sicherheitsprotokolle –, ist Storelift eigenständiger Verantwortlicher, wie in der Datenschutzerklärung beschrieben.

Wessen Daten und wozu

Wir verarbeiten diese Daten, um die Funktionen bereitzustellen, die Sie nutzen: Ihre Apps zu messen und darüber zu berichten, Antworten und Vorschläge zu entwerfen, wenn Sie die KI-Funktionen nutzen, die von Ihnen eingerichteten Alarme und Berichte zu versenden und Ihre Supportanfragen zu beantworten. Dazu gehört, die Daten zu speichern, zu lesen, zu kombinieren, an die in dieser DPA genannten Empfänger zu senden und zu löschen.

Die Personen, auf die sich die Daten beziehen können:

• Ihr Team: die Personen, die Sie in Ihren Arbeitsbereich einladen.
• Verfasser von Bewertungen: Personen, die im App Store oder bei Google Play eine öffentliche Bewertung Ihrer Apps abgegeben haben.
• Endnutzer Ihrer Apps: Personen, deren Abonnement- oder Kaufereignisse uns über einen von Ihnen eingerichteten RevenueCat- oder Adapty-Webhook erreichen.
• Alle Personen, deren personenbezogene Angaben in Texten vorkommen, die Sie uns senden, etwa in einer Frage an die KI-Funktionen oder in einer Supportnachricht.

Was wir verarbeiten

• Teammitglieder: Name, E-Mail-Adresse, Rolle und das Audit-Protokoll ihrer Änderungen.
• App-Store-Bewertungen: Bewertungstext, Sternebewertung und der öffentliche Anzeigename des Verfassers sowie die Antworten, die Sie schreiben.
• Verbundene Konten (App Store Connect, Google Play, Apple Ads, RevenueCat, Google Analytics, AdMob, Adapty): aggregierte Berichte wie Downloads, Umsatz, Sitzungen und Kampagnenausgaben.
• RevenueCat- und Adapty-Webhooks enthalten außerdem Abonnement- und Kaufereignisse sowie Nutzer- oder Profilkennungen, die einem App-Endnutzer zugeordnet werden können, mit Angaben zu Produkt, Store, Land, Betrag und Quelle oder Kohorte. Normalisierte Ereignisdatensätze erhalten eine Aufbewahrungseinstellung von 400 Tagen, Nutzer- oder Kohortendatensätze eine von 800 Tagen; manche Aktualisierungen von Nutzerdatensätzen erneuern diesen Zeitraum. Abgelaufene Datensätze werden im Hintergrund entfernt.
• KI-Funktionen: Fragen, Gesprächs- und Seitenkontext, Bewertungstexte und relevante Berichtsdaten, auf die im Rahmen der Berechtigungen des Nutzers zugegriffen wird. Personenbezogene Angaben in diesen Eingaben können an den KI-Anbieter gesendet werden. Ask-Fragen und -Antworten, die Namen der Werkzeuge, der anfragende Nutzer, Modellangaben und Feedback werden im Verlauf des Arbeitsbereichs mit einer Aufbewahrungseinstellung von 90 Tagen gespeichert; der Zugriff hängt von Rollen und Datenzugriffsrechten ab. Dies ist getrennt von der Aufbewahrung in den eigenen Systemen des Anbieters.
• Support: die Nachrichten, die Sie uns senden.
• Dauer: Für die genannten Datensätze gelten die oben angegebenen besonderen Zeiträume; andere Kontodaten werden aufbewahrt, solange das Konto besteht, danach folgt die Löschung dem unten beschriebenen Verfahren.

Unsere Verpflichtungen

• Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung: diese Bedingungen, Ihre Einstellungen und die Aktionen, die Sie im Produkt ausführen.
• Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Wir unterstützen Sie bei der Beantwortung von Anträgen betroffener Personen: Teammitglieder und Verbindungen lassen sich in den Einstellungen ändern und entfernen, und auf Anfrage senden wir eine Kopie der Daten oder löschen sie.
• Wir unterstützen Sie auf Ihre Anfrage bei Datenschutz-Folgenabschätzungen und Konsultationen mit Behörden, mit den Informationen, die uns vorliegen.
• Am Ende des Dienstes löschen wir die Daten wie unten beschrieben.

Sicherheitsmaßnahmen

• Die Daten werden in AWS Frankfurt (eu-central-1) gespeichert und im Ruhezustand verschlüsselt; jede Verbindung nutzt TLS.
• Neu gespeicherte Verbindungsschlüssel werden mit AWS KMS versiegelt und an Ihr Konto gebunden. Ältere verschlüsselte Datensätze können noch den früheren Kontext verwenden, bis sie erneut gespeichert werden; der Abschluss dieser Migration wurde nicht verifiziert. Autorisierte Verarbeitungsdienste, die Schlüssel benötigen, um verbundene Funktionen bereitzustellen, können sie entschlüsseln. Kein Bildschirm und keine API-Antwort gibt gespeicherte Verbindungsschlüssel zurück.
• API-Schlüssel werden nur als SHA-256-Hash gespeichert und einmal angezeigt.
• Rollen im Arbeitsbereich (Betrachter, Mitglied, Admin, Inhaber) begrenzen, wer was ändern darf; jede Änderung wird 365 Tage lang in einem Audit-Protokoll aufbewahrt.
• Kontinuierliche Point-in-Time-Backups und die KMS-Schlüsselrotation sind aktiviert.
• Mehr dazu: Vertrauen und Sicherheit.

Unterauftragsverarbeiter

Die aktuelle Liste steht unter Unterauftragsverarbeiter. Abonnenten dieser Seite informieren wir mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beginnt.

Innerhalb dieser Frist können Sie aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir den Widerspruch nicht ausräumen, können Sie den betroffenen Dienst beenden, bevor die Änderung wirksam wird.

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens so schützend sind wie diese DPA, und bleiben für dessen Tätigkeit verantwortlich.

Internationale Übermittlungen

Die eigenen Daten von Storelift bleiben in der EU (Frankfurt). Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR, des Vereinigten Königreichs oder der Türkei, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder auf die Standardvertragsklauseln der Europäischen Kommission und für die Türkei auf die Standardverträge nach Artikel 9 KVKK.

Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich und spätestens innerhalb von 72 Stunden, nachdem uns eine Verletzung bekannt geworden ist, die Ihre Daten betrifft, mit dem, was wir zu diesem Zeitpunkt wissen: die Art der Verletzung, die Kategorien und die ungefähre Zahl der Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Weitere Einzelheiten ergänzen wir, sobald wir sie kennen.

Audits

Einmal im Jahr beantworten wir kostenlos einen angemessenen Sicherheitsfragebogen; senden Sie ihn an hello@storelift.net. Enterprise-Kunden können in ihrem Vertrag weitere Auditbedingungen vereinbaren.

Löschung am Ende des Dienstes

Die Kontolöschung hat eine Wiederherstellungsfrist von 30 Tagen. Nach Ablauf dieser Frist bereinigt ein geplanter Vorgang Konto- und App-Datensätze in der primären Datenbank und veranlasst die Entfernung der Anmeldedaten. Ein minimaler Löschvermerk hat eine zusätzliche Ablaufzeit von 30 Tagen; abgelaufene Datensätze werden asynchron entfernt. Backups laufen nach ihrer eigenen Aufbewahrungsfrist ab. Anonyme Summen und gemeinsame Caches öffentlicher Store-Daten sind davon getrennt.

Für die Buchhaltung erforderliche Finanzdaten bewahren Storelift und Polar getrennt für die Zeiträume auf, die ihre jeweils geltenden Pflichten verlangen. E-Mail-Sperrvermerke werden aufbewahrt, damit unerwünschte E-Mails nicht erneut versendet werden. Kopien, die bereits an von Ihnen verbundene Ziele gesendet wurden, unterliegen den Aufbewahrungseinstellungen dieser Empfänger. Das Verfahren der Kontolöschung und wie Sie uns zu Ihren Daten erreichen, beschreibt die Datenschutzerklärung.

Wenn Sie vor der Löschung eine Kopie der Daten wünschen, fordern Sie sie unter hello@storelift.net an, solange das Konto besteht oder während der Wiederherstellungsfrist.

Kontakt

Fragen zu dieser DPA: hello@storelift.net.