Datenschutzrichtlinie

1. Verantwortlicher für die Datenverarbeitung

Der für die Verarbeitung der über die Plattform Certyneo erfassten Daten Verantwortliche ist das Unternehmen Certyneo, dessen Geschäftssitz sich in der rue Beffroy 14, 92200 Neuilly-sur-Seine, Frankreich, befindet und das im Handelsregister von Nanterre unter der Nummer 105 648 703 eingetragen ist. Für Fragen zu Ihren personenbezogenen Daten können Sie uns unter privacy@certyneo.com kontaktieren.

2. Erfasste Daten

Wir erfassen die Daten, die Sie uns direkt mitteilen (Name, Vorname, E-Mail, gehashtes Passwort, Funktion, Unternehmen, Telefonnummer), die Dokumente, die Sie zum Signieren hochladen, sowie technische Metadaten, die für den Service erforderlich sind (IP-Adresse, User-Agent, Zeitstempel, Sitzungs-IDs).

3. Zwecke der Verarbeitung

Ihre Daten werden verarbeitet für: (i) Bereitstellung und Betrieb des Diensts für elektronische Signaturen, (ii) Gewährleistung der Beweiskraft der ausgegebenen Signaturen, (iii) Abrechnung Ihres Abonnements, (iv) Sicherung der Plattform und Betrugsprävention, (v) Versendung von Service-Mitteilungen an Sie, und (vi) Erfüllung unserer rechtlichen und regulatorischen Verpflichtungen.

4. Rechtsgrundlage

Die durchgeführten Verarbeitungen beruhen auf der Erfüllung des zwischen uns bestehenden Vertrags (Artikel 6 Absatz 1 Buchstabe b DSGVO), auf der Einhaltung gesetzlicher Verpflichtungen (Artikel 6 Absatz 1 Buchstabe c) sowie auf unserem berechtigten Interesse an der Sicherung unseres Dienstes (Artikel 6 Absatz 1 Buchstabe f). Ohne Ihre vorherige ausdrückliche Einwilligung erfolgt keine Datenverarbeitung zu Zwecken der Kundenwerbung.

5. Empfänger

Ihre Daten sind für unsere technischen und Support-Teams, die ausdrücklich bevollmächtigt sind, sowie für unsere derzeitigen Auftragsverarbeiter zugänglich: Hosting-Anbieter (IONOS, Europäische Union), Transaktions-E-Mail-Service (Resend) und OTP-SMS-Service (Twilio Verify). Alle unsere Auftragsverarbeiter sind vertraglich gebunden und bieten ausreichende Sicherheitsgarantien. Die aktuelle Liste ist auf Anfrage unter privacy@certyneo.com verfügbar.

Die vollständige und aktuelle Liste unserer Unterauftragnehmer mit dem Zweck und den Datenkategorien jedes einzelnen wird auf der Seite Unterauftragnehmer veröffentlicht.

6. Hosting und Standort

Ihre Daten werden ausschließlich auf Servern innerhalb der Europäischen Union gehostet. Keine personenbezogenen Daten werden ohne angemessene Garantien außerhalb der EU übertragen (Standardvertragsklauseln der Europäischen Kommission).

7. Aufbewahrungsdauer

Die Daten Ihres Kontos werden aufbewahrt, solange Sie Nutzer des Services sind. Unterzeichnete Dokumente und deren Audit-Nachweis werden 10 Jahre nach der Unterzeichnung aufbewahrt, gemäß eIDAS-Verordnung und Bürgerliches Gesetzbuch. Technische Daten (Logs) werden maximal 12 Monate aufbewahrt.

8. Ihre Rechte

Gemäß DSGVO haben Sie das Recht auf Zugang, Berichtigung, Löschung, Einschränkung, Datenportabilität und Widerspruch bezüglich Ihrer Daten. Sie können diese Rechte über Ihr Dashboard oder durch Schreiben an privacy@certyneo.com ausüben. Sie haben auch das Recht, eine Beschwerde bei der CNIL (www.cnil.fr) einzureichen.

8.bis Datenschutzbeauftragt(er) (DPO)

Certyneo vertraut auf einen externen gemeinsamen Datenschutzbeauftragten über die DPO-Consulting-Kanzlei. Sie können ihn unter dpo@certyneo.com kontaktieren, wenn Sie Fragen zu Ihren personenbezogenen Daten haben, und eine Beschwerde bei der CNIL (3, place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07) einreichen, wenn Ihre Anfrage nicht beantwortet wird. Eine Anmeldung bei der CNIL im DPO-Register wurde im Rahmen unserer DSGVO-Compliance durchgeführt.

9. Sicherheit

Wir implementieren die folgenden technischen und organisatorischen Maßnahmen zum Schutz Ihrer Daten: TLS 1.3-Verschlüsselung aller Kommunikationen (Caddy 2 + Let's Encrypt), scrypt-Hashing mit Salt und Timing-sichere Vergleich für Benutzerkennwörter, OTP Twilio Verify zur Einmalverwendung für erweiterte Signaturen, Einmal-Verifizierungs- und Passwort-Reset-Token mit kurzer Gültigkeit (1 Stunde), Rate Limiting pro Plan für sensible Endpunkte, zeitgestempelte Protokollierung jedes Schritts des Lebenszyklus einer Enveloppe (Audit-Log), Objektspeicher mit aktivierter Versionierung für unterzeichnete Dokumente, eingeschränkter Zugriff auf Daten durch Administratoren. Eine detaillierte Liste unserer Sicherheitspraktiken finden Sie auf der Seite /security.

10. Cookies

Wir verwenden nur Cookies, die für den Betrieb des Services erforderlich sind (Sitzungsverwaltung, Spracheinstellungen, CSRF-Schutz). Keine Third-Party-Analyse- oder Werbe-Cookies werden ohne explizite Zustimmung gesetzt.

10.bis Daten aus Google APIs (Limited Use)

Wenn Sie Ihr Google-Konto mit Certyneo verbinden, befolgt die Nutzung und Übertragung von Informationen aus Google APIs durch Certyneo die Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), einschließlich ihrer Limited-Use-Anforderungen. Konkret: Die Google Drive-Dateien, die Sie uns bezeichnen, und die Gmail-Anhänge, die Sie importieren, dienen ausschließlich der von Ihnen angeforderten Signaturfunktionalität. Sie werden weder verkauft noch zu Werbezwecken an Dritte weitergegeben, noch für zielgerichtete Werbung genutzt, noch von Menschen gelesen — außer mit Ihrer ausdrücklichen Zustimmung, aus Sicherheitsgründen, zur Erfüllung einer gesetzlichen Verpflichtung oder für streng erforderliche interne Operationen auf anonymisierten oder aggregierten Daten. Certyneo fordert niemals Zugriff auf Ihr gesamtes Drive oder Ihr Gmail-Postfach an: Die verwendeten Bereiche gewähren Zugriff nur auf die Dateien, die Sie bezeichnen, und nur auf die Nachricht, die Sie geöffnet haben.

11. Änderungen

Diese Richtlinie kann sich ändern, um Änderungen unseres Services oder der geltenden Vorschriften widerzuspiegeln. Wesentliche Änderungen werden Ihnen per E-Mail mitgeteilt. Das Datum der letzten Aktualisierung finden Sie am Kopf dieser Seite.