Datenschutzerklärung

Für deine Daten als Händler (Domain deines Shops, Zugriffstokens, Prüfdatensätze und die in Teil B für jede App genannten Daten) ist die Mora Technologies ApS eigenständiger Verantwortlicher.

Für die Daten deiner Endkunden handelt die Mora Technologies ApS, soweit eine App solche Daten überhaupt berührt, als Auftragsverarbeiter nach Art. 28 DSGVO, und zwar auf Weisung, die über die verpflichtenden Webhooks von Shopify für den Datenschutz erteilt wird (customers/data_request, customers/redact, shop/redact). Du bleibst Verantwortlicher für deine Kunden und für deinen Shop, einschließlich der Rechtmäßigkeit der Daten, die du von ihnen erhebst, der Hinweise, die du ihnen gibst, und der Dienste von Drittanbietern, die du installierst. Nichts in dieser Erklärung überträgt diese Verantwortung auf uns. Die Bedingungen dieser Verarbeitung (Art. 28 Abs. 3 DSGVO) regelt unser Auftragsverarbeitungsvertrag.

• Wir verkaufen, vermieten oder tauschen deine Daten niemals und geben sie niemals an Datenhändler oder Werbetreibende weiter.
• Wir verwenden deine Daten, die Inhalte deines Shops oder die Daten deiner Kunden niemals, um Modelle künstlicher Intelligenz zu trainieren, weder unsere eigenen noch die anderer.
• Wir platzieren niemals Code für Analyse, Werbung oder Tracking in deinem Onlineshop. Wo eine App Code in deinen Onlineshop einfügt (zum Beispiel eine Kennzeichnung oder ein Siegel), beschreibt Teil B genau, was dieser Code tut. Dieser Code sendet niemals personenbezogene Daten deiner Besucher an uns; unsere Server erreichen nur die technischen Daten, die jeder Browser beim Laden eines Skripts übermittelt (seine IP-Adresse, sein User Agent und die Seite, von der er kommt), und wir verwenden sie nur, um das Skript auszuliefern, die Anfragerate zu begrenzen und, beim Vertrauenssiegel, zu erkennen, ob sich der Besucher in der EU oder im EWR befindet (B.1.5). Die IP-Adresse bewahren wir nicht länger als zwei Stunden auf; A.11 erklärt die Dienstprotokolle unseres Hosters.
• Wir erheben niemals aus eigenem Antrieb personenbezogene Daten deiner Endkunden. Eine App erhält Kennungen von Kunden nur, wenn Shopify sie uns über seine verpflichtenden Webhooks schickt, und Teil B legt fest, was mit ihnen geschieht.
• Wir übermitteln Daten niemals in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), es sei denn auf Grundlage der in A.4 beschriebenen Garantien.
• Wir speichern Daten niemals länger als die Speicherdauer, die Teil B für sie angibt.

Jede App stützt sich auf die folgenden zentralen Unterauftragsverarbeiter. Teil B nennt zusätzliche Unterauftragsverarbeiter, die eine bestimmte App einsetzt.

Supabase, Vercel und Upstash (aufgeführt in Teil B) sind Unternehmen mit Sitz in den USA, deren Infrastruktur in der EU von Personal außerhalb des EWR unterstützt werden kann. Ein solcher verbleibender Zugriff ist durch die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) nach Art. 46 Abs. 2 Buchst. c DSGVO abgesichert, die Bestandteil des Data Processing Addendum des jeweiligen Anbieters sind. Ohne diese Garantien werden keine personenbezogenen Daten außerhalb des EWR übermittelt. Eine Kopie davon kannst du bei contact@aveus.ai anfordern.

E-Mails, die du uns schickst. Unser Postfach contact@aveus.ai, in dem Supportanfragen, Anfragen zum Datenschutz und Antworten auf die E-Mails unserer Apps eingehen, wird von der Google Ireland Limited (Google Workspace / Gmail) auf Grundlage ihres Auftragsverarbeitungsvertrags gehostet. Verarbeiten Google oder die von Google eingesetzten Unterauftragsverarbeiter diese Nachrichten außerhalb des EWR, gelten die Standardvertragsklauseln dieses Vertrags. Wir verwenden deine Nachrichten nur, um dir zu antworten und zu dokumentieren, wie wir dein Anliegen bearbeitet haben (Art. 6 Abs. 1 Buchst. b und Art. 6 Abs. 1 Buchst. f DSGVO), und löschen sie spätestens drei Jahre nach der letzten Nachricht des jeweiligen Schriftwechsels. Bitte schick uns keine personenbezogenen Daten deiner Kunden per E-Mail.

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen, darunter: Verschlüsselung der Zugriffstokens von Shopify im Ruhezustand mit AES-256-GCM, Row Level Security (RLS), damit ein Shop niemals die Zeilen eines anderen Shops lesen kann, Prüfung der HMAC-Signatur jedes Webhooks von Shopify, TLS bei der Übertragung, Prüfprotokolle, die nur ergänzt werden können (die einzige erlaubte Änderung ist, einen von dir erfassten Vorfall als gemeldet zu markieren), die Prüfung von Abhängigkeiten und die Suche nach offengelegten Secrets bei der Erstellung unserer Software sowie regelmäßige Sicherheitsprüfungen anhand der OWASP Top 10. Kein System ist vollkommen sicher. Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten, die dich betrifft, benachrichtigen wir dich und, soweit erforderlich, die Aufsichtsbehörde innerhalb der Fristen nach Art. 33 und 34 DSGVO.

Nach Kapitel III DSGVO hast du in Bezug auf deine Daten als Händler folgende Rechte:

• Auskunftsrecht (Art. 15): Du kannst eine Kopie der Daten verlangen, die wir über deinen Shop auf Shopify gespeichert haben.
• Recht auf Berichtigung (Art. 16): Du kannst die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17): Du kannst die Löschung deiner Daten verlangen. Was ein verifizierter Löschantrag entfernt und was bei der Deinstallation der App automatisch entfernt wird, ist in Teil B für jede App angegeben.
• Recht auf Datenübertragbarkeit (Art. 20): Du kannst deine Daten in einem maschinenlesbaren Format verlangen.
• Recht auf Einschränkung der Verarbeitung (Art. 18): Du kannst unter bestimmten Umständen verlangen, dass wir die Verwendung deiner Daten einschränken.
• Widerspruchsrecht (Art. 21): Du kannst einer Verarbeitung widersprechen, die auf berechtigten Interessen beruht.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): Wenn wir uns auf deine Einwilligung stützen (Neuigkeiten von Aveus per Mail, A.12 und B.1.1), kannst du sie jederzeit so einfach widerrufen, wie du sie gegeben hast: in den Einstellungen der App, über den Link in jeder Mail mit Neuigkeiten oder indem du uns schreibst. Der Widerruf berührt nicht, was vorher geschehen ist.
• Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2 und 3): Du kannst jederzeit widersprechen, Neuigkeiten und Angebote von uns per Mail zu erhalten. Wir hören sofort auf.

Um eines dieser Rechte auszuüben, schreib uns an contact@aveus.ai, und zwar von der Mailadresse, die mit deinem Shop auf Shopify verknüpft ist, oder nutze die Webhooks von Shopify für den Datenschutz. Wir antworten innerhalb von 30 Tagen (Art. 12 DSGVO). Bevor wir einen Antrag bearbeiten, können wir dich bitten nachzuweisen, dass du den betreffenden Shop kontrollierst.

Die Angabe deiner Daten als Händler ist für den Abschluss und die Erfüllung unseres Vertrags mit dir erforderlich: Ohne sie kann die App nicht funktionieren. Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO); die Einstufungen und Schätzungen einer App sind Vorschläge, die du prüfst und über die du entscheidest.

Diese Rechte hast du auch, wenn du dich auf aveus.ai für unsere Neuigkeiten angemeldet hast, ohne Händler zu sein (A.12).

Du hast das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen:

Jede Datenkategorie in Teil B wird automatisch gelöscht, sobald ihre Speicherdauer abläuft. Die Fristen sind Höchstgrenzen, keine Mindestfristen: Wir speichern Daten nicht über den Zweck hinaus, der ihre Speicherung rechtfertigt (Art. 5 Abs. 1 Buchst. e DSGVO, Speicherbegrenzung). Wird eine Kategorie nach der Deinstallation aufbewahrt, sagt Teil B dies und nennt den Grund. Aufzeichnungen, die belegen, dass wir einem rechtlichen Ersuchen nachgekommen sind (zum Beispiel der Eintrag, der nachweist, dass ein Webhook shop/redact verarbeitet wurde), werden als Nachweis der Einhaltung nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und Art. 17 Abs. 3 Buchst. e DSGVO (Verteidigung von Rechtsansprüchen) aufbewahrt. Der Eintrag zu einem verarbeiteten Antrag shop/redact behält die Domain des Shops 90 Tage, damit er die Löschung belegen kann; andere solche Einträge werden, soweit möglich, pseudonymisiert.

Die Apps sind Softwarewerkzeuge. Ihre Ergebnisse (Einstufungen zur Konformität, Risikobewertungen, Kennzeichnungen von Bildern, Zertifikate, erstellte Dokumente und Ähnliches) entstehen automatisch aus den Daten, die der App zum jeweiligen Zeitpunkt vorliegen, und können unvollständig oder unzutreffend sein. Sie sollen dich unterstützen und stellen keine Rechtsberatung dar. Du allein bist dafür verantwortlich, sie zu prüfen und dafür zu sorgen, dass dein Shop den EU AI Act, die DSGVO und alle anderen für dich geltenden Gesetze einhält. Unsere Haftung, die Gewährleistung, das anwendbare Recht und der Gerichtsstand richten sich ausschließlich nach unseren Nutzungsbedingungen, die du in jeder App annimmst, bevor du sie nutzt (in Aveus AI auf ihrem ersten Bildschirm). Diese Datenschutzerklärung beschreibt, wie wir mit Daten umgehen; sie begründet keine Pflichten über das hinaus, was das Datenschutzrecht verlangt.

Wir können diese Datenschutzerklärung aktualisieren, auch indem wir Teil B einen Abschnitt für eine neue App hinzufügen oder einen bestehenden Abschnitt ändern, wenn eine App ändert, was sie mit Daten tut. Wir informieren dich darüber, indem wir das Datum „Zuletzt aktualisiert“ oben auf dieser Seite anpassen. Wesentliche Änderungen teilen wir dir mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail oder in der App mit, sofern sie nicht gesetzlich oder von Shopify vorgeschrieben sind, und wenn eine davon in Kraft tritt, fordert dich Aveus AI auf, die neue Version in der App anzunehmen, bevor du sie weiter nutzen kannst.

Unsere Website aveus.ai verwendet keinerlei Cookies, Analysewerkzeuge, Werbung oder Tracking, und ihre Schriftarten werden von unserer eigenen Domain ausgeliefert. Die Website wird von der Vercel Inc.gehostet (siehe A.4), und ihre Seiten werden über das Netz von Vercel vom Standort ausgeliefert, der dir am nächsten ist. Um jede Seite auszuliefern und die Website vor Missbrauch zu schützen, verarbeitet Vercel die technischen Daten, die jede Anfrage im Web mit sich führt: deine IP-Adresse, den User Agent deines Browsers, die aufgerufene Seite und den Zeitpunkt der Anfrage. Vercel speichert diese Daten nur für den begrenzten Zeitraum, in dem seine Dienstprotokolle aufbewahrt werden. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO (unser berechtigtes Interesse am Betrieb einer sicheren Website). Wenn du uns schreibst, erklärt A.4, wie mit deiner E-Mail umgegangen wird.

Die App selbst unter app.aveus.ai wird auf dieselbe Weise gehostet, und Vercel verarbeitet bei jeder Anfrage dieselben technischen Daten. Wenn unsere Sicherheitsregeln eine Anfrage blockieren, speichern unsere Protokolle einen pseudonymisierten Hash der IP-Adresse, den User Agent und den Pfad. Zum Schutz des Dienstes können wir Anfragen aus bestimmten Ländern oder Netzen blockieren, zum Beispiel aus Ländern unter Sanktionen oder aus Netzen, die für Missbrauch genutzt werden. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO (unser berechtigtes Interesse an einem sicheren Dienst).

Auf aveus.ai kannst du Neuigkeiten von Mora Technologies ApS per Mail anfordern: neue Funktionen von Aveus AI, andere Apps von Mora Technologies für Shopify und Angebote zu Tarifen. Die Anmeldung ist freiwillig und nie eine Bedingung für irgendetwas.

Was wir verarbeiten. Die Mailadresse, die du eingibst, die Sprache der Seite, die Version des Einwilligungstexts, die dir angezeigt wurde, und wann und wie du dich angemeldet, bestätigt, eine Nachricht erhalten oder abgemeldet hast. Abgesehen von den technischen Daten, die Vercel bei jeder Anfrage an unsere Server verarbeitet (siehe den vorigen Abschnitt über Besucher unserer Website), wird deine IP-Adresse nur als Schlüssel eines kurzlebigen Zählers zur Begrenzung der Anfragen verwendet, der das Formular vor Missbrauch schützt (B.1.3); sie wird nicht mit deiner Anmeldung gespeichert.

Doppelte Bestätigung. Wir schicken dir zuerst eine Mail mit einem Bestätigungslink, der 72 Stunden gilt. Bis du ihn anklickst, schicken wir dir nichts anderes, außer einer neuen Bestätigungsmail, höchstens einer am Tag, wenn das Formular erneut mit deiner Adresse abgeschickt wird; eine nicht bestätigte Anmeldung wird nach 7 Tagen gelöscht.

Rechtsgrundlage. Deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Die Aufbewahrung des Nachweises deiner Einwilligung nach der Abmeldung: unser berechtigtes Interesse, sie nachweisen zu können (Art. 6 Abs. 1 Buchst. f DSGVO). Der Versand der Bestätigungsmail und die Aufbewahrung einer nicht bestätigten Anfrage bis zu 7 Tage: unser berechtigtes Interesse, zu prüfen, dass die Anfrage von der Person stammt, die die Adresse nutzt (Art. 6 Abs. 1 Buchst. f DSGVO).

Speicherdauer. Solange du angemeldet bist und danach 2 Jahre nach deiner Abmeldung, als Nachweis deiner Einwilligung. Danach wird sie gelöscht.

Widerruf. Über den Link in jeder Mail, die wir dir nach deiner Bestätigung schicken, mit sofortiger Wirkung, oder indem du an contact@aveus.ai schreibst.

Empfänger. Das Formular verarbeitet unsere App auf app.aveus.ai, gehostet von Vercel in Frankfurt (A.4), und den Zähler zur Begrenzung der Anfragen speichert Upstash (B.1.3). Die Liste wird in unserer Datenbank bei Supabase in Frankfurt gespeichert (A.4), und die Mails verschickt Lettermint B.V. (Niederlande, EU) ohne Tracking von Öffnungen oder Klicks (B.1.3). Wir laden diese Liste nie in eine andere App, verknüpfen sie nie mit Daten eines Shopify Shops und verkaufen oder teilen sie nie.

Aveus AI, im Shopify App Store unter dem Namen „Aveus: EU AI Act Labels“ geführt, ist eine B2B-Plattform im Bereich RegTech für Händler auf Shopify. Wir erheben nur die Daten, die für unsere Prüfung der Konformität erforderlich sind (Art. 5 Abs. 1 Buchst. c DSGVO, Datenminimierung). Kundenprofile, Bestellungen oder Zahlungsdaten deiner Endkunden (Verbraucher) erheben wir nicht. Die einzigen Kundendaten, mit denen wir umgehen, sind die Kennungen von Kunden, die Shopify in seinen verpflichtenden Webhooks für den Datenschutz sendet, und die IP-Adresse, die jede Anfrage an unsere Server mitbringt und die wie in B.1.3 und B.1.5 beschrieben verwendet wird. Keine Funktion von Aveus AI läuft, auch nicht die nächtliche Prüfung, bevor du die Nutzungsbedingungen, den Auftragsverarbeitungsvertrag und diese Datenschutzerklärung in der App angenommen hast. Vorher geschieht nur, was Installation und Annahme erfordern: Die Sitzung der Installation wird gespeichert, deine Annahme wird festgehalten, und die verpflichtenden Webhooks von Shopify zum Datenschutz und der Webhook zur Deinstallation werden beantwortet, und die öffentlichen Endpunkte des Onlineshops nutzen die IP-Adresse der Besucher als Schlüssel zur Begrenzung der Anfragerate (B.1.3).

B.1.1 Welche Daten wir erheben und warum

B.1.2 Speicherdauer

B.1.3 Zusätzliche Unterauftragsverarbeiter

Die KI-Einstufung läuft auf Google Cloud Vertex AI, fest gebunden an den multiregionalen Endpunkt der EU und beschränkt auf allgemein verfügbare Modelle, sodass die Verarbeitung der zur Analyse übermittelten Inhalte durch maschinelles Lernen innerhalb der Europäischen Union stattfindet. Wir authentifizieren uns mit kurzlebigen Zugangsdaten, die über Workload Identity Federation ausgestellt werden: In unserer Laufzeitumgebung gibt es keinen langlebigen Schlüssel für ein Dienstkonto von Google Cloud. Für die Verarbeitung gilt das Data Processing Addendum von Google Cloud (Art. 28 DSGVO). Wir senden keine personenbezogenen Daten deiner Endkunden an das Modell: Analysiert werden Auszüge aus den Dateien deines Themes (Code, Einstellungen und jeder Text, den du dort eingetragen hast) und öffentlich verfügbare Dokumentation von Anbietern. Damit eine Analyse nicht wiederholt wird, bleiben Ergebnisse unter einem Fingerabdruck des analysierten Inhalts bis 30 Tage nach ihrer letzten Nutzung im Cache, sodass identischer Inhalt in einem anderen Shop das Ergebnis wiederverwendet; in diesem Cache wird nichts gespeichert, was deinen Shop identifiziert. Google Cloud EMEA Limited kann Google LLC (USA) und andere mit Google verbundene Unternehmen als eigene Unterauftragsverarbeiter für begrenzten Support, technischen Zugriff und die Überwachung von Missbrauch einsetzen, auf Grundlage der in A.4 beschriebenen Standardvertragsklauseln.

B.1.4 Löschung und Deinstallation

Ein verifizierter Löschantrag entfernt dein KI-Inventar, das Konformitätsprotokoll, die Prüfprotokolle, Sitzungen, erkannte Anbieter, Markierungen synthetischer Medien, Zertifikate, Telemetrie zu KI-Kosten, Ausgabenzähler in unserer Datenbank, Telemetrie zur Leistung der Scans, Betriebsbenachrichtigungen, den Verlauf der Scans deines Onlineshops, Aufzeichnungen der Nächte mit automatischer Durchsetzung, pseudonymisierte Fehlereinträge, Nachweise der rechtlichen Zustimmung, dein Abonnement der Neuigkeiten von Aveus und den Nachweis deiner Einwilligung, Aufzeichnungen zu Nachweisakten und Verknüpfungen mit Partneragenturen. Bei der Deinstallation der App werden dein KI-Inventar, Markierungen synthetischer Medien, erkannte Anbieter und Sitzungsdaten automatisch entfernt; die übrigen Kategorien werden durch einen verifizierten Löschantrag oder mit Ablauf ihrer Speicherdauer entfernt. Die Deinstallation beendet außerdem sofort die Mails mit Neuigkeiten von Aveus.

B.1.5 Was die App in deinem Shop liest und schreibt

Um Herkunftsmarkierungen zu erkennen, lädt die App von jedem Produktbild höchstens die ersten 256 KB herunter (bei manchen großen Dateien zusätzlich die letzten 256 KB), untersucht sie im Arbeitsspeicher und verwirft sie anschließend; gespeichert wird nur das Ergebnis der Erkennung. Sie liest die Dateien deines Themes, verändert sie aber nie. Sie schreibt in deinen Shop für jedes gekennzeichnete Bild ein Metafeld am Produkt und ein Metafeld am Shop mit der Liste der gekennzeichneten Dateien, jeweils im eigenen Namespace der App, sowie ein Metafeld an der Installation der App (aveus.free_plan), das den Blöcken des Themes sagt, ob dein Shop im kostenlosen Tarif ist. In kostenpflichtigen Tarifen stellt sie außerdem bei jeder Prüfung und jede Nacht deine Datenschutzeinstellungen bei Shopify so ein, dass in den Ländern der EU und des EWR, im Vereinigten Königreich, in der Schweiz und in den Gebieten, in denen dieselben Regeln gelten (die französischen Gebiete Réunion, Guadeloupe, Martinique, Guayana, Mayotte und Saint Martin, dazu Åland, Gibraltar, Jersey, Guernsey und die Isle of Man), die Einwilligung in Cookies und die Möglichkeit zum Widerspruch gegen den Verkauf von Daten vorgeschrieben sind, sofern dein Shop für das jeweilige Land noch die Standardeinstellung von Shopify verwendet; eine Einstellung, die du selbst vorgenommen hast, bleibt unverändert, und du kannst sie im Adminbereich von Shopify ändern. Diese Einstellung zeigt kein Cookiebanner an: Das schaltest du selbst ein, bei Shopify oder mit einer anderen App.

Der Block für das Vertrauenssiegel, den du in deinem Theme aktivieren kannst, lädt ein Skript von app.aveus.ai. Der Browser des Besuchers verbindet sich dadurch mit unseren Servern, und seine IP-Adresse wird als der in B.1.3 beschriebene Schlüssel für die Begrenzung der Anfragerate verwendet; das Land, das Vercel daraus ableitet und das wir nicht speichern, entscheidet, ob das Siegel erscheint, denn es erscheint nur für Besucher in der EU und im EWR. Der Block setzt kein Cookie und speichert nichts im Browser des Besuchers. Der Block „KI-Bilder kennzeichnen“ liest die oben genannten Metafelder und lädt nichts von unseren Servern; sein Link öffnet deine öffentliche Seite zur Offenlegung auf app.aveus.ai, die jeder öffnen kann und die die in deinem Theme gefundenen KI-Technologien und die in deinem Shop gekennzeichneten Bilder auflistet (Name, Risikostufe, Zweck und Datum); sie zeigt keine Einstufungen, die auf eine Prüfung durch einen Menschen warten oder dabei abgelehnt wurden. Um dir im Tab „Hinweise in deinem Shop“ zu zeigen, ob dein Shop ein Cookiebanner hat, liest die App deine Datenschutzeinstellungen bei Shopify (ob das Cookiebanner von Shopify aktiviert ist) und die in deinem veröffentlichten Theme aktivierten Blöcke von Apps; sie speichert diese Informationen nicht. Im Adminbereich von Shopify speichert die App einige Einstellungen im lokalen Speicher deines Browsers (zum Beispiel die gewählte Sprache und die als gelesen markierten Hinweise); sie bleiben in deinem Browser.

Bevor eine neue App von Aveus im Shopify App Store veröffentlicht wird, fügen wir Teil B einen Abschnitt hinzu, der die von ihr verarbeiteten Daten beschreibt (was wir speichern und warum, was wir lesen, ohne es zu speichern, was die App in deinen Shop schreibt, Speicherdauer, Unterauftragsverarbeiter, Webhooks für den Datenschutz). Das Datum „Zuletzt aktualisiert“ oben auf dieser Seite ändert sich an diesem Tag. Eine App, die keinen Abschnitt in Teil B hat, fällt nicht unter diese Datenschutzerklärung und wird nicht von uns veröffentlicht.