Datenschutzerklärung

1. Einleitung

Willkommen bei Vaultiqo ("wir", "unser" oder "uns"). Wir verpflichten uns, Ihre Privatsphäre zu schützen und die Sicherheit Ihrer persönlichen Daten zu gewährleisten. Diese Datenschutzerklärung erläutert, wie wir Ihre Informationen sammeln, verwenden, offenlegen und schützen, wenn Sie unseren Team-Passwort-Manager-Dienst nutzen, der in Google Workspace integriert ist. Verantwortlicher für die Datenverarbeitung ist Ing. Jiří Psota, Firmen-ID (IČO) 76072266, mit Sitz in Zborovská 1200/6, 150 00 Praha 5 - Smíchov, Tschechische Republik.

Durch die Nutzung von Vaultiqo stimmen Sie der Sammlung und Nutzung von Informationen gemäß dieser Richtlinie zu. Wenn Sie unseren Richtlinien und Praktiken nicht zustimmen, nutzen Sie unseren Dienst bitte nicht.

2. Informationen, die wir sammeln

Wir sammeln verschiedene Arten von Informationen, um unseren Dienst bereitzustellen und zu verbessern:

2.1 Informationen, die Sie bereitstellen

• Kontoinformationen: Wenn Sie sich über Google Workspace™ SSO anmelden, erhalten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild von Ihrem Google-Konto.
• Vault-Daten: Passwörter, Zugangsdaten, API-Schlüssel, Notizen und andere sensible Informationen, die Sie in Vaultiqo speichern. Geheime Felder werden in Ihrem Browser verschlüsselt, bevor sie Ihr Gerät verlassen, und auf unseren Servern ein zweites Mal verschlüsselt.
• Gruppen- und Team-Informationen: Informationen über Gruppen, Teams und Zugriffsrechte, die Sie innerhalb der Anwendung konfigurieren.

2.2 Automatisch gesammelte Informationen

• Nutzungsdaten: Informationen darüber, wie Sie mit unserem Dienst interagieren, einschließlich genutzter Funktionen, durchgeführter Aktionen und verbrachter Zeit.
• Audit-Protokolle: Aufzeichnungen darüber, wer auf Zugangsdaten zugegriffen oder diese geändert hat, Zeitstempel und durchgeführte Aktionen zu Sicherheits- und Compliance-Zwecken.
• Geräteinformationen: Browsertyp, Betriebssystem, IP-Adresse und Gerätekennungen.
• Cookies und ähnliche Technologien: Wir verwenden Cookies und ähnliche Tracking-Technologien, um Ihre Sitzung aufrechtzuerhalten und die Benutzererfahrung zu verbessern.

3. Wie wir Ihre Informationen verwenden

Wir verwenden die gesammelten Informationen für folgende Zwecke:

• Um unseren Passwort-Management-Dienst bereitzustellen, zu warten und zu verbessern
• Um Benutzer über Google Workspace™ SSO zu authentifizieren
• Um Team-Kollaborations- und Zugriffskontrollfunktionen zu ermöglichen
• Um Audit-Protokolle für Sicherheit und Compliance zu führen
• Um technische Probleme und Sicherheitsbedrohungen zu erkennen, zu verhindern und zu beheben
• Um mit Ihnen über Service-Updates, Sicherheitswarnungen und Support zu kommunizieren
• Um gesetzlichen Verpflichtungen nachzukommen und unsere Nutzungsbedingungen durchzusetzen
• Um Nutzungsmuster zu analysieren und unseren Dienst zu verbessern

4. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn wir dafür eine Rechtsgrundlage nach Art. 6 DSGVO haben:

• Vertragserfüllung: Bereitstellung des Dienstes, Anmeldung über Google sowie Verwaltung Ihres Kontos, Ihres Vaults und Ihres Abonnements (Art. 6 Abs. 1 lit. b DSGVO).
• Berechtigtes Interesse: Absicherung des Dienstes, Audit-Protokoll, Verhinderung von Missbrauch, Behandlung von Sicherheitsvorfällen und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
• Rechtliche Verpflichtung: Führung von Buchhaltungs- und Steuerunterlagen (Art. 6 Abs. 1 lit. c DSGVO).
• Einwilligung: nicht notwendige Mitteilungen; Sie können Ihre Einwilligung jederzeit widerrufen (Art. 6 Abs. 1 lit. a DSGVO).

Für die Inhalte und Daten, die Ihre Organisation in Vaultiqo einbringt (Vault-Einträge, aus Google Workspace übernommene Benutzer und Gruppen, das Audit-Protokoll), ist Ihre Organisation der Verantwortliche und wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Diese Verarbeitung regelt der Auftragsverarbeitungsvertrag (AVV), der Bestandteil der Allgemeinen Geschäftsbedingungen ist und automatisch gilt. Verantwortlicher sind wir nur für Daten zu Kundenkonten, Abrechnung, Kommunikation mit Kunden sowie Betriebs- und Sicherheitsprotokolle. Die Liste der Unterauftragsverarbeiter finden Sie auf der Seite Unterauftragsverarbeiter.

5. Datensicherheit und Verschlüsselung

Sicherheit hat für uns oberste Priorität. Wir setzen branchenübliche Sicherheitsmaßnahmen ein, um Ihre Daten zu schützen:

• Clientseitige Verschlüsselung: Sensible Daten (Passwörter, Notizen und andere geheime Felder) werden in Ihrem Browser mit AES-256-GCM und dem eigenen Schlüssel Ihrer Organisation verschlüsselt, bevor sie Ihr Gerät verlassen. Auf unseren Servern werden sie zusätzlich durch eine zweite, serverseitige Verschlüsselungsschicht geschützt.
• Verwaltete Schlüssel: Die Verschlüsselungsschlüssel werden von Vaultiqo verwaltet und durch einen Hauptschlüssel in Google Secret Manager geschützt, auf den der Zugriff streng beschränkt ist. Da die Schlüssel verwaltet werden, ist der Team-Vault nicht Zero-Knowledge: Der Dienst kann Vault-Daten technisch entschlüsseln, was es Ihren Administratoren ermöglicht, den Zugriff wiederherzustellen. Öffentliche Freigabelinks sind Zero-Knowledge: Der Entschlüsselungsschlüssel bleibt im Link und wird nie an unsere Server gesendet.
• Sichere Speicherung: Daten werden mit Sicherheit auf Enterprise-Niveau in der von Vaultiqo gehosteten Datenbank auf Google Cloud (Standard) oder, je nach Konfiguration und Tarif, in Ihrem eigenen Google Firestore™-Projekt oder in Google Drive™ (geteilte Ablage) gespeichert. Bei eigenem Speicher werden dort die verschlüsselten Geheimnisse und Anhänge abgelegt, während Metadaten und Schlüssel bei Vaultiqo verbleiben. Namen von Einträgen, Benutzernamen, URLs, Audit-Protokolle und Gruppenmitgliedschaften werden als unverschlüsselte Metadaten gespeichert.
• Transportsicherheit: Die gesamte Datenübertragung erfolgt über TLS/SSL-Verschlüsselung.
• Zugriffskontrollen: Strenge Zugriffskontrollen und Authentifizierungsmechanismen schützen Ihr Konto.

Obwohl wir uns bemühen, Ihre Informationen zu schützen, ist keine Methode der Übertragung über das Internet oder elektronische Speicherung zu 100% sicher. Wir können keine absolute Sicherheit garantieren.

6. Datenweitergabe und Offenlegung

Wir verkaufen, handeln oder vermieten Ihre persönlichen Daten nicht an Dritte. Wir können Ihre Informationen nur unter folgenden Umständen weitergeben:

• Mit Ihrem Team: Informationen, die Sie innerhalb von Gruppen und Vaults teilen, sind für autorisierte Teammitglieder zugänglich.
• Dienstleister: Wir nutzen Google Cloud Platform™ zum Hosten und Betreiben unseres Dienstes und Stripe für die Zahlungsabwicklung und Abrechnung. Diese Anbieter sind an strenge Vertraulichkeits- und Datenschutzpflichten gebunden. Um Passwörter mit bekannten Datenlecks abzugleichen, fragt Ihr Browser Have I Been Pwned per k-Anonymität ab: Es werden nur die ersten 5 Zeichen eines Passwort-Hashes übermittelt, niemals das Passwort selbst.
• Gesetzliche Anforderungen: Wir können Informationen offenlegen, wenn dies gesetzlich, durch einen Gerichtsbeschluss oder eine behördliche Anfrage erforderlich ist, oder um unsere Rechte und Sicherheit zu schützen.
• Geschäftsübertragungen: Im Falle einer Fusion, Übernahme oder eines Verkaufs von Vermögenswerten können Ihre Informationen an das übernehmende Unternehmen übertragen werden.

7. Datenaufbewahrung

Wir bewahren Ihre Informationen so lange auf, wie Ihr Konto aktiv ist oder wie es für die Bereitstellung von Diensten erforderlich ist. Sie können jederzeit die Löschung Ihres Kontos und der zugehörigen Daten anfordern. Nach einer Löschungsanfrage werden wir Ihre Daten innerhalb von 30 Tagen entfernen, es sei denn, die Aufbewahrung ist gesetzlich vorgeschrieben oder für legitime Geschäftszwecke erforderlich (wie z.B. Audit-Protokolle zur Compliance). Buchhaltungs- und Steuerunterlagen bewahren wir für die gesetzlich vorgeschriebene Dauer auf, höchstens 10 Jahre.

8. Ihre Rechte und Wahlmöglichkeiten

Sie haben folgende Rechte bezüglich Ihrer persönlichen Daten:

• Zugriff: Sie können auf Ihre persönlichen Informationen innerhalb der Anwendung zugreifen und diese überprüfen.
• Korrektur: Sie können Ihre Informationen jederzeit aktualisieren oder korrigieren.
• Löschung: Sie können die Löschung Ihres Kontos und Ihrer Daten anfordern.
• Export: Administratoren können Gruppeneinträge jederzeit als CSV exportieren.
• Widerspruch: Sie können dem Erhalt nicht wesentlicher Mitteilungen widersprechen.
• Einschränkung der Verarbeitung: Sie können verlangen, dass wir die Verarbeitung Ihrer Daten vorübergehend einschränken.
• Widerspruch gegen die Verarbeitung: Sie können einer Verarbeitung, die auf berechtigten Interessen beruht, jederzeit widersprechen.
• Datenübertragbarkeit: Sie können die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerruf der Einwilligung: Sie können Ihre Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Um diese Rechte auszuüben, kontaktieren Sie uns bitte unter der unten angegebenen E-Mail-Adresse. Wir antworten unverzüglich, spätestens innerhalb eines Monats, und unentgeltlich. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

Sie haben außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. In der Tschechischen Republik ist dies das Amt für den Schutz personenbezogener Daten (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Prag 7, uoou.gov.cz, oder die Aufsichtsbehörde in dem EU-Land, in dem Sie leben oder arbeiten.

9. Google Workspace™ Integration

Vaultiqo integriert sich in Google Workspace™ und nutzt die Authentifizierungsdienste von Google. Wenn Sie unseren Dienst nutzen, stimmen Sie auch der Datenschutzerklärung und den Nutzungsbedingungen von Google zu. Wir fordern nur die für die Bereitstellung unseres Dienstes erforderlichen Mindestberechtigungen an.

10. Browser-Erweiterung

Die Vaultiqo-Browser-Erweiterung ist eine weitere Möglichkeit, denselben Vault zu nutzen. Sie verwendet Ihre bestehende Vaultiqo-Sitzung, ruft Ihre Einträge vom Vaultiqo-Backend ab und entschlüsselt ein Geheimnis nur dann, wenn Sie es anzeigen, kopieren oder ausfüllen. Ein Anmeldefeld füllt sie nur aus, wenn Sie dies ausdrücklich wählen. Sie speichert keine Geheimnisse oder Tokens auf Ihrem Gerät, enthält keine Analyse- oder Drittanbieter-Anfragen und sendet Daten ausschließlich an Ihr Vaultiqo-Backend.

11. Internationale Datenübermittlung

Wir speichern die Daten des Dienstes in Rechenzentren von Google Cloud in der Europäischen Union (Region europe-west1, Belgien). Wenn Sie Ihr eigenes Google Drive oder Firestore wählen, liegen die verschlüsselten Daten an dem Ort, den Ihre Organisation festlegt. Soweit ein Auftragsverarbeiter (zum Beispiel Google LLC oder Stripe, Inc.) Daten außerhalb des Europäischen Wirtschaftsraums übermittelt, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

12. Privatsphäre von Kindern

Unser Dienst richtet sich nicht an Kinder unter 13 Jahren. Wir sammeln nicht wissentlich persönliche Informationen von Kindern unter 13 Jahren. Wenn Ihnen bekannt wird, dass uns ein Kind persönliche Informationen zur Verfügung gestellt hat, kontaktieren Sie uns bitte, und wir werden Schritte unternehmen, um diese Informationen zu löschen.

13. Cookies und lokaler Speicher

Diese Website verwendet keine Analyse- oder Werbe-Cookies. Im lokalen Speicher Ihres Browsers wird nur die von Ihnen gewählte Sprache gespeichert. Die Vaultiqo-App verwendet ausschließlich technisch notwendige Cookies für die Anmeldung und die Sitzungssicherheit, für die keine Einwilligung erforderlich ist.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wir werden Sie über Änderungen informieren, indem wir die neue Datenschutzerklärung auf dieser Seite veröffentlichen und das Datum "Zuletzt aktualisiert" aktualisieren. Wesentliche Änderungen werden per E-Mail oder durch eine deutliche Benachrichtigung innerhalb der Anwendung mitgeteilt.

15. Kontaktieren Sie uns

Wenn Sie Fragen, Bedenken oder Anfragen bezüglich dieser Datenschutzerklärung oder unserer Datenpraktiken haben, kontaktieren Sie uns bitte unter:

E-Mail: hello@vaultiqo.app
Webseite: www.vaultiqo.app
Betreiber: Ing. Jiří Psota, Firmen-ID (IČO) 76072266, Zborovská 1200/6, 150 00 Praha 5 - Smíchov, Tschechische Republik

Wir haben keinen Datenschutzbeauftragten benannt, da wir nach Art. 37 DSGVO nicht dazu verpflichtet sind. Bitte richten Sie alle Fragen zum Datenschutz an hello@vaultiqo.app.