Datenschutzerklärung

1. Wer wir sind

DoLoop wird betrieben von der BarnRecords SASU, einer französischen société par actions simplifiée unipersonnelle (vereinfachte Aktiengesellschaft mit einem einzigen Gesellschafter), Stammkapital 100 €, RCS Évry 982 485 260, Sitz: 24 rue de la Sablonnière, 91410 Les Granges-le-Roi, Frankreich („wir“, „uns“). Wir sind der Verantwortliche für die nachstehend beschriebenen personenbezogenen Daten.

Bei Fragen zu dieser Erklärung oder zu Ihren Daten schreiben Sie an contact@getdoloop.com. Diese Adresse wird von einem Menschen gelesen. Sie brauchen kein besonderes Formular und keine Vorlage.

2. Geltungsbereich

Diese Erklärung gilt für die DoLoop-Website unter getdoloop.com und die DoLoop-Webanwendung. Sie gilt nicht für Websites Dritter, auf die wir verlinken.

3. Unser Ansatz in einem Absatz

DoLoop ist ein Aufgabenorganisator. Wir brauchen eine E-Mail-Adresse, um Ihnen ein Konto einzurichten, und wir speichern die Aufgaben und Schleifen, die Sie anlegen, weil genau das das Produkt ist. Wir verkaufen keine Daten, wir schalten keine Werbung, wir erstellen keine Profile, und wir verwenden die Inhalte Ihrer Aufgaben nicht zum Training von Machine-Learning-Modellen. Wir erheben so wenig wie irgend möglich, und wir antworten lieber „das haben wir nicht“, als erklären zu müssen, warum wir es aufbewahrt haben.

4. Welche Daten wir speichern

Kontodaten — die Daten, die Sie bei der Registrierung angeben:

• E-Mail-Adresse (erforderlich — sie ist Ihre Anmeldekennung)
• ein Passwort, gespeichert ausschließlich als gesalzener bcrypt-Hash. Ihr Passwort selbst sehen und speichern wir nie.
• Anzeigename (optional)
• bevorzugte Sprache der Oberfläche
• Zeitpunkt der Kontoerstellung
• ob Sie sich über eine unserer Seiten mit Schleifen-Vorlagen registriert haben, und über welche (etwa template_weekly-home-reset); andernfalls leer

Inhaltsdaten — was Sie in der Anwendung anlegen:

• Aufgaben: Name, Beschreibung, Typ, Zeitplan (Cron-Ausdruck), Dauer, Daten
• Schleifen: Name, Beschreibung, Reihenfolge der Aufgaben, Aktivitätsstatus, Zeitplan
• Aktivitätszähler: wie oft jede Aufgabe erledigt und wie oft sie übersprungen wurde, sowie die Zeitpunkte der letzten Erledigung, des letzten Überspringens und der letzten Aktivierung
• der Zeitpunkt Ihres letzten Aktivierungsdurchgangs
• der Zeitpunkt Ihres ersten Aktivierungsdurchgangs

Diese Inhalte sind nur für Sie sichtbar sowie für diejenigen, die die Server betreiben, und zwar zum Zweck des Betriebs und der Wartung des Dienstes. Es gibt keine Freigabe an andere, kein öffentliches Profil und keine Team-Funktion.

Zwei dieser Angaben verwenden wir nur in aggregierter Form, um zu messen, ob Personen, die sich über eine Seite mit einer Schleifen-Vorlage registrieren, DoLoop zu nutzen beginnen: die Vorlage, über die Sie sich registriert haben, und den Zeitpunkt Ihres ersten Aktivierungsdurchgangs. Beide sind im in §10 beschriebenen Export enthalten.

API-Schlüssel — nur wenn Sie einen erstellen:

• der Name, den Sie dem Schlüssel geben, seine Zugriffsstufe (nur lesen oder lesen und schreiben) sowie die Zeitpunkte seiner Erstellung, seines Ablaufs und seines Widerrufs
• die ersten Zeichen des Schlüssels (etwa dl_9zq27svr), damit Sie Ihre Schlüssel auseinanderhalten können
• ein SHA-256-Hash des Schlüssels. Der Schlüssel selbst wird Ihnen ein einziges Mal angezeigt und nie gespeichert: Wir können ihn Ihnen nicht erneut anzeigen.
• wann der Schlüssel zuletzt verwendet wurde (diese Angabe wird höchstens einmal pro Minute aktualisiert)
• die Anzahl der Anfragen pro Schlüssel und Tag. Wir zählen sie, um Fair-Use-Grenzen festzulegen; sie werden nicht berechnet.

Wenn Sie einen Schlüssel einem Werkzeug Ihrer Wahl geben — einem Skript, einer Integration, einem KI-Assistenten —, kann dieses Werkzeug nach Ihren Anweisungen Ihre Aufgaben und Schleifen lesen (und mit einem Schlüssel zum Lesen und Schreiben auch ändern). Es handelt für Sie, nicht für uns: Wir wählen es nicht aus und kontrollieren es nicht, es ist nicht unser Auftragsverarbeiter, und für das, was es mit Ihren Daten tut, gelten seine eigenen Bedingungen und Datenschutzbestimmungen. Widerrufen Sie den Schlüssel jederzeit, um ihm den Zugriff zu entziehen.

Verbundene Apps (OAuth). Wenn Sie eine App eines Drittanbieters (zum Beispiel einen KI-Assistenten) mit DoLoop verbinden, speichern wir, welche App Sie verbunden haben, welchen Zugriff Sie gewährt haben (Lesen oder Lesen und Schreiben), wann sie verbunden und wann sie zuletzt verwendet wurde, sowie Hashes ihrer Zugriffstoken. Die App kann im Rahmen dieses Zugriffs auf Ihre Aufgaben und Schleifen zugreifen, bis Sie sie in Ihrem Konto trennen, Ihr Passwort ändern oder zurücksetzen oder Ihr Konto löschen. Was die App mit den gelesenen Daten macht, richtet sich nach der Datenschutzerklärung dieser App.

Technische Daten — entstehen automatisch, wenn Sie den Dienst nutzen:

• Serverprotokolle unseres Hosting-Anbieters mit IP-Adresse, Zeitstempel, aufgerufener URL, User-Agent und Antwortstatus. Sie dienen der Sicherheit und der Fehlersuche.
• aggregierte Nutzungsstatistiken unserer öffentlichen Seiten, ausführlich beschrieben in §5. Sie umfassen Ihre gekürzte IP-Adresse und den User-Agent Ihres Browsers, aus denen ein kurzlebiger Besuchs-Fingerabdruck abgeleitet wird — sie sind daher pseudonymisiert und nicht vollständig anonym.

Was wir nicht speichern: Zahlungs- oder Kartendaten (es gibt kein Abrechnungssystem und keinen kostenpflichtigen Tarif), Postanschrift, Telefonnummer, Geburtsdatum, Standortdaten, Kontakte, Werbe- oder seitenübergreifende Tracking-Kennungen sowie jegliche besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO.

5. Reichweitenmessung

Wir messen die Nutzung unserer öffentlichen Website-Seiten mit Matomo, einem Open-Source-Analysewerkzeug. Wir betreiben es auf einem selbst gehosteten Server in der Europäischen Union, den wir gemeinsam mit den anderen Produkten desselben Teams betreiben; es ist kein kommerzieller Analysedienst, und Ihre Daten werden an kein Analyseunternehmen übermittelt.

Was das in der Praxis bedeutet, genau gesagt:

• Keine Cookies. Matomo ist im cookielosen Modus konfiguriert. Es speichert nichts auf Ihrem Gerät — kein Cookie, keinen Eintrag im lokalen Speicher, keine Werbe-ID — und es verfolgt Sie weder über andere Websites noch über Ihre verschiedenen Geräte hinweg.
• Ihre IP-Adresse wird vor der Speicherung gekürzt. Die letzten zwei Bytes werden entfernt, sodass eine Adresse wie 82.67.144.31 als 82.67.0.0 gespeichert wird. Ihre vollständige IP-Adresse speichern wir in der Reichweitenmessung nie.
• Ein kurzlebiger technischer Fingerabdruck wird verwendet. Um zu erkennen, dass mehrere Seitenaufrufe zum selben Besuch gehören, leitet Matomo aus Ihrer bereits gekürzten IP-Adresse und der User-Agent-Zeichenfolge Ihres Browsers eine vorübergehende Kennung ab. Sie wird nicht auf Ihrem Gerät gespeichert, sie ändert sich, wenn sich diese Eingaben ändern, sie ist nicht mit Ihrem Konto verknüpft, und die seitenübergreifende Wiedererkennung ist abgeschaltet, sodass sie nicht dazu verwendet werden kann, Ihnen auf eine andere Website zu folgen. Es handelt sich um eine pseudonyme und nicht um eine vollständig anonyme Kennung, und wir sagen Ihnen lieber, dass es sie gibt, als zuzulassen, dass „cookielos“ den Eindruck erweckt, es gäbe sie nicht.
• Do Not Track wird respektiert. Wenn Ihr Browser ein Do-Not-Track-Signal („nicht verfolgen“) sendet, werden bei Ihrem Besuch überhaupt keine Analysedaten erhoben.
• Nur öffentliche Seiten, dazu die Registrierungsseite. Die Registrierungsseite wird wie eine öffentliche Seite gezählt, ohne den Teil ihrer Adresse nach dem ?. Wenn eine Registrierung abgeschlossen wird, wird ein Ereignis „Registrierung abgeschlossen“ gesendet. Es enthält keine Kontodaten: nichts, was Sie in das Formular eingeben, und keine E-Mail-Adresse, keinen Namen und keine Benutzer-ID. Wie ein Seitenaufruf enthält es die Seitenadresse, den Referrer und Angaben zu Ihrem Gerät und Browser, und es gehört zum selben Besuch wie Ihre Seitenaufrufe. Wenn Sie sich über eine unserer Seiten mit Schleifen-Vorlagen registriert haben, nennt ein zweites Ereignis diese Vorlage (zum Beispiel „plant-care“); auch es enthält keine Kontodaten. Die angemeldete Anwendung wird nicht gemessen: /dashboard und die Anmeldeseite senden nichts. Wir wissen nicht, was Sie innerhalb von DoLoop anklicken.
• Was wir uns tatsächlich ansehen: Seitenaufrufzahlen, Referrer, ungefähres Land, Gerätetyp und Browser — in aggregierter Form. Wir erstellen kein Profil über Sie, und es gibt keinerlei Werbung.

Rechtsgrundlage: unser berechtigtes Interesse daran zu verstehen, ob unsere Website funktioniert (Art. 6(1)(f)). Da keine Cookies oder sonstigen Informationen auf Ihrem Gerät gespeichert oder von dort ausgelesen werden, ist hierfür nach den ePrivacy-Vorschriften keine Einwilligung erforderlich, und DoLoop zeigt deshalb kein Cookie-Banner.

6. Cookies und lokaler Speicher

DoLoop setzt keine Tracking-Cookies. Die API ist von Grund auf cookielos.

Die Webanwendung legt zwei Dinge im lokalen Speicher Ihres Browsers ab:

• ein Authentifizierungstoken, damit Sie angemeldet bleiben. Unbedingt erforderlich — ohne es kann die Anwendung nicht funktionieren.
• Ihre Spracheinstellung.

Beides wird gelöscht, wenn Sie sich abmelden oder Ihre Browserdaten löschen.

7. Warum wir sie speichern dürfen (Rechtsgrundlage)

Wir stützen uns für nichts auf eine Einwilligung, weil wir nichts tun, das eine erfordert.

8. Wer sie sonst noch sieht (Auftragsverarbeiter)

• Scaleway SAS (8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich) — hostet die Anwendung, die Datenbank, die Serverprotokolle und die Datenbank-Backups auf Servern und Objektspeicher in Frankreich (Region Paris), und versendet unsere E-Mails (etwa zum Zurücksetzen des Passworts).
• Unser eigener Analyseserver (Europäische Union) — die in §5 beschriebene Matomo-Instanz. Sie wird von uns betrieben, auf einer Infrastruktur, die wir mit den anderen Produkten desselben Teams teilen, und sie erhält keine Konto- oder Inhaltsdaten. Sie ist kein externes Analyseunternehmen, und Analysedaten werden weder verkauft noch weitergegeben noch anderswohin übermittelt.

Das ist die vollständige Liste. Wir haben keine Werbepartner, keine Datenhändler und keine externen Werkzeuge für Kundensupport, CRM oder Sitzungsaufzeichnung. Die gesamte Verarbeitung findet in der EU/im EWR statt; wir nehmen keine internationalen Übermittlungen im Sinne von Kapitel V DSGVO vor.

9. Wie lange wir sie aufbewahren

• Konto- und Inhaltsdaten: solange Ihr Konto besteht. Löschen Sie Ihr Konto, und sie sind weg.
• API-Schlüssel: solange Ihr Konto besteht, einschließlich des Eintrags widerrufener oder abgelaufener Schlüssel (die nicht mehr verwendbar sind), zusammen mit ihren täglichen Anfragezahlen. Alles wird gelöscht, wenn Sie Ihr Konto löschen.
• Nach der Löschung: Ihr Konto, Ihre Aufgaben, Schleifen und Zähler werden sofort aus der Live-Datenbank gelöscht. Datenbank-Backups können eine Kopie für bis zu 30 Tage enthalten; danach werden sie fortlaufend gelöscht. Backups werden ausschließlich zur Wiederherstellung im Notfall verwendet.
• Serverprotokolle: 14 Tage.
• Reichweitenmessung: aggregierte Berichte (Seitenaufrufzahlen, Referrer, Länder) werden unbefristet aufbewahrt, da sie keine Kennung enthalten. Die zugrunde liegenden Rohdaten der Besuche, die in §5 beschrieben sind — gekürzte IP, User-Agent und der abgeleitete Besuchs-Fingerabdruck — werden nach 760 Tagen automatisch gelöscht.

10. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf Auskunft über Ihre Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Widerspruch gegen die Verarbeitung sowie darauf, Ihre Daten in einem übertragbaren, maschinenlesbaren Format zu erhalten. Sie können außerdem Beschwerde bei der Datenschutzaufsichtsbehörde Ihres Landes einlegen — in Frankreich ist das die CNIL (Commission nationale de l'informatique et des libertés, www.cnil.fr).

In der Praxis:

• Auskunft / Export — exportieren Sie Ihre Aufgaben und Schleifen aus der Anwendung, oder schreiben Sie an contact@getdoloop.com, und wir senden Ihnen alles, was wir über Sie gespeichert haben, im JSON-Format.
• Berichtigung — ändern Sie Ihren Namen und Ihre Sprache in der Anwendung; für Ihre E-Mail-Adresse schreiben Sie uns.
• Löschung — löschen Sie Ihr Konto oder bitten Sie uns darum. Mit Ihrem Konto werden auch Ihre Aufgaben und Schleifen gelöscht (sie werden zusammen mit dem Benutzerdatensatz kaskadierend gelöscht).
• Widerspruch / Einschränkung — schreiben Sie uns.

Wir antworten innerhalb von 30 Tagen, in der Regel deutlich schneller. Die Ausübung dieser Rechte ist kostenlos, und wir werden Sie nicht bitten, sich zu rechtfertigen.

11. Sicherheit

Passwörter werden als bcrypt-Hashes gespeichert und weder protokolliert noch sind sie wiederherstellbar. Der gesamte Datenverkehr zu getdoloop.com und api.getdoloop.com läuft über HTTPS. Der Zugriff auf die Produktionsdatenbank ist auf diejenigen beschränkt, die den Dienst betreiben.

DoLoop ist ein Produkt in einem frühen Stadium, entwickelt von einem sehr kleinen Team. Wir werden kein Sicherheitsniveau behaupten, das wir nicht belegen können. Wenn Sie eine Sicherheitslücke finden, teilen Sie sie uns bitte unter contact@getdoloop.com mit, bevor Sie anderen davon erzählen; auf Wunsch nennen wir Sie gern namentlich.

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für Ihre Rechte mit sich bringt, melden wir sie innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde und informieren die betroffenen Nutzer direkt.

12. Kinder

DoLoop richtet sich nicht an Kinder unter 16 Jahren. Wir legen wissentlich keine Konten für sie an. Wenn Sie glauben, dass ein Kind ein Konto hat, schreiben Sie uns, und wir löschen es.

13. Automatisierte Entscheidungsfindung

Keine. Nichts in DoLoop erstellt ein Profil über Sie oder trifft automatisierte Entscheidungen über Sie, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

14. Änderungen dieser Erklärung

Wenn wir diese Erklärung wesentlich ändern — ein neuer Auftragsverarbeiter, ein neuer Zweck, eine neue Datenkategorie —, aktualisieren wir das Datum oben und informieren registrierte Nutzer per E-Mail, bevor die Änderung wirksam wird. Rein redaktionelle Korrekturen können ohne Ankündigung erfolgen.

15. Kontakt

BarnRecords SASU, 24 rue de la Sablonnière, 91410 Les Granges-le-Roi, Frankreich — contact@getdoloop.com

Alle Angaben zum Herausgeber finden Sie in unserem Impressum.