Datenschutzerklärung

1. Verantwortliche Stelle

Sinew GmbH, Marke now4it (UID CHE-293.157.044, Angaben siehe Impressum)
Leibernweg 14, 4468 Kienberg, Schweiz
E-Mail: [email protected]

2. Grundsatz

Der Schutz Ihrer Personendaten ist uns ein wichtiges Anliegen. Wir verarbeiten Ihre Daten gemäss dem Schweizer Bundesgesetz über den Datenschutz (DSG), der Datenschutz-Grundverordnung der EU (DSGVO) sowie weiteren anwendbaren Datenschutzgesetzen.

Diese Datenschutzerklärung informiert Sie darüber, welche Personendaten wir zu welchem Zweck bearbeiten.

3. Erhobene Daten

Wenn Sie unseren KI Website-Check nutzen, erheben wir folgende Daten:

• E-Mail-Adresse: zum Versand des Analyse-Reports
• Website-URL: für die automatisierte Analyse
• IP-Adresse: zur Missbrauchsprävention (Rate Limiting, CAPTCHA)
• Turnstile-Token: zur Bot-Erkennung (Cloudflare)
• Zahlungsdaten: bei kostenpflichtigen Tiers, verarbeitet durch Stripe (wir speichern keine Kreditkartendaten)

Für die kostenlosen Prüfwerkzeuge unter now4it.com/pruefen gilt Abschnitt 8b, für now4it Consent Abschnitt 8a, für den Kundenbereich now4it Cockpit Abschnitt 8c.

4. Zweck der Datenverarbeitung

• Durchführung der Website-Analyse und Zustellung des Reports per E-Mail
• Verhinderung von Missbrauch (Bot-Schutz, Rate Limiting, Deduplizierung)
• Abwicklung von Zahlungen für kostenpflichtige Services
• Verbesserung unserer Dienste

5. Drittanbieter und Auftragsverarbeiter

Wir setzen folgende Drittanbieter ein:

6. Speicherdauer

• E-Mail + URL Kombination: maximal 7 Tage für Zustellung, Deduplizierung, Missbrauchsprävention und Supportfälle (ausser bei bezahlten Reports im Cockpit, siehe unten)
• Analyse-Reports und technische Analysewerte: maximal 7 Tage in der Datenbank des Website-Checks, danach automatische Löschung (bezahlte Reports zusätzlich im Cockpit, nächste Zeile)
• Bezahlte Reports (Basic, Premium) im now4it Cockpit: 12 Monate ab Erstellung, danach automatische Löschung (Abschnitt 8c); kostenlose Checks werden dort nicht gespeichert
• Zahlungsdaten: gemäss Stripe-Aufbewahrungsrichtlinien und gesetzlicher Buchführungspflichten (10 Jahre)
• Server-Logs: 7 Tage

7. Datensicherheit

Wir treffen angemessene technische und organisatorische Sicherheitsmassnahmen:

• Verschlüsselte Übertragung (TLS/HTTPS) für alle Verbindungen
• Hetzner Cloud in Nürnberg (Deutschland) und Helsinki (Finnland), DSGVO-konform, ISO 27001 zertifiziert
• SSRF-Schutz und Prompt-Injection-Quarantäne für KI-Anfragen
• Rate Limiting und Turnstile CAPTCHA gegen Missbrauch
• Herkunftsprüfung für schreibende Anfragen im Kundenkonto; die öffentlichen Prüf-Endpunkte sind absichtlich für alle Herkünfte lesbar

8. Cookies und Webanalyse

now4it verwendet keine Tracking-Cookies. Beim ersten Besuch zeigt unser eigener Dienst now4it Consent einen Hinweis-Banner; dass Sie ihn gesehen haben, merkt sich Ihr Browser lokal (Eintrag n4c_notice, ein Jahr), ohne Daten an uns zu senden ausser einer anonymen Zählung der Anzeige. Cloudflare kann technisch notwendige Cookies setzen (__cf_bm), die ausschliesslich der Sicherheit dienen. Im Kundenbereich now4it Cockpit (cockpit.now4it.com) setzen wir nur technisch notwendige Cookies für die Anmeldung (Abschnitt 8c).

Zur Analyse des Nutzungsverhaltens setzen wir Umami Analytics ein, eine datenschutzfreundliche, cookielose Lösung, die ausschliesslich auf unseren eigenen Servern (Hetzner Cloud, Deutschland) betrieben wird und keine personenbezogenen Daten an Dritte überträgt. Es werden anonymisierte Seitenaufrufe und Klickereignisse erfasst, ohne IP-Adressen oder Cookies zu speichern.

8a. now4it Consent (Cookie-Consent-Dienst)

Für den Dienst now4it Consent (consent.now4it.com) verarbeiten wir zwei Arten von Daten: Daten unserer Kundinnen und Kunden in eigener Verantwortung und Daten der Website-Besucher im Auftrag der Kunden.

Kundenkonto: Einstellungen der Websites und der Stand von Testphase und Abo. Grundlage ist der Vertrag über die Nutzung des Dienstes (AGB, Teil B). Anmeldung, Firma, Personen und Sitzungen führen wir im now4it Cockpit (Abschnitt 8c).

Rechnung und Zahlung: Beim Abschluss eines Abos erfasst Stripe Name, Rechnungsadresse, auf Wunsch die UID und das Zahlungsmittel. Wir erhalten keine Karten- oder Kontodaten, nur Rechnungsbetrag, Status und die Stripe-Kundenkennung. Rechnungsdaten bewahren wir gemäss den gesetzlichen Buchführungspflichten zehn Jahre auf.

E-Mails: Login-Links, Hinweise zur Testphase, Rechnungsquittungen, Alarme des Compliance-Monitors und auf Wunsch ein Wochenbericht werden über Microsoft 365 versendet. Der Wochenbericht lässt sich im Konto abwählen.

Aufbewahrung: Firmen lassen sich im now4it Cockpit jederzeit selbst löschen. Nach dem Vertragsende löschen wir die Daten von now4it Consent (Websites, Einstellungen und Protokolle) nach 90 Tagen, nach einer abgelaufenen Testphase ohne Abo nach 180 Tagen; Consent-Protokolle gelöschter Websites werden nach 30 Tagen entfernt. Für Firma, Personen und Reports im Cockpit gilt Abschnitt 8c.

Consent-Protokoll der Kundenwebsite: Besucher der Website unserer Kunden entscheiden im Banner über Cookies. Gespeichert werden Zeitpunkt, Entscheidung je Kategorie, Banner-Version, Sprache, Herkunftsland, eine zufällige Besucher-Kennung im Browser des Besuchers und ein gekürzter, mit einem Geheimnis versehener Hash der IP-Adresse. Es werden keine Namen und keine vollständigen IP-Adressen gespeichert. Diese Verarbeitung erfolgt im Auftrag der jeweiligen Kundin oder des Kunden (Auftragsbearbeitung nach Art. 9 DSG, Details im Auftragsbearbeitungsvertrag); verantwortlich ist die Betreiberin der besuchten Website. Speicherort: Hetzner in Helsinki (Finnland), verschlüsselte Sicherungen bei Hetzner in Nürnberg (Deutschland), Auslieferung des Banners über Cloudflare.

Der Website-Scanner ruft auf Wunsch des Kunden dessen Website ab und erkennt eingebundene Dienste; dabei werden keine Besucherdaten verarbeitet.

8b. Kostenlose Prüfwerkzeuge und E-Mail-Tipps

Daten bei einer Prüfung (now4it.com/pruefen): die eingegebene Domain, ein gekürzter, mit einem Geheimnis versehener Hash Ihrer IP-Adresse, das Turnstile-Token, Zeitpunkt und Ergebnis. Grundlage ist die Durchführung der von Ihnen angeforderten Prüfung und unser berechtigtes Interesse an Missbrauchsschutz. Für die Prüfung übermitteln wir nur den Domainnamen an DNS-Resolver von Google (dns.google) und Cloudflare (cloudflare-dns.com) sowie an RDAP-Verzeichnisdienste; die geprüfte Website rufen wir wie ein Browser ab. Es entstehen keine Profile.

Aufbewahrung: Ergebnisse und IP-Hash 24 Stunden, danach automatische Löschung. Wir führen anonyme Tageszähler (Anzahl Prüfungen je Werkzeug, Verteilung der Befunde) ohne Personenbezug.

E-Mail-Tipps (freiwillig): Geben Sie Ihre E-Mail-Adresse an und setzen Sie das Häkchen, senden wir zuerst eine Bestätigungs-Mail (Double-Opt-in). Dasselbe Verfahren gilt für das freiwillige Häkchen «Tipps per E-Mail» im Formular des Website-Checks. Erst nach dem Klick auf den Bestätigungslink senden wir das Ergebnis und danach gelegentlich Tipps zu Website, Cookies und E-Mail-Sicherheit sowie Hinweise zu now4it-Werkzeugen, höchstens zwei E-Mails im Monat. Gespeichert werden Adresse, Zeitpunkt der Eintragung und der Bestätigung, Textversion der Einwilligung, IP-Hash und Browserkennung als Nachweis. Grundlage ist Ihre Einwilligung (Art. 31 Abs. 1 DSG; für Personen in der EU Art. 6 Abs. 1 lit. a DSGVO). Versand über Microsoft 365, Speicherung bei Hetzner (Helsinki), Bot-Schutz durch Cloudflare Turnstile.

Widerruf und Löschung: Jede E-Mail enthält einen Abmeldelink; alternativ genügt eine E-Mail an [email protected]. Nicht bestätigte Adressen löschen wir nach 7 Tagen. Bestätigte Adressen bleiben bis zur Abmeldung gespeichert, längstens 24 Monate ohne Reaktion. Nach der Abmeldung behalten wir die Adresse nur als Sperrvermerk. Ihre Rechte nach Ziffer 9 gelten uneingeschränkt.

8c. now4it Cockpit (Kundenbereich)

Das now4it Cockpit (cockpit.now4it.com) ist der gemeinsame Kundenbereich für alle now4it-Werkzeuge. Grundlage ist der Vertrag mit der Firma (AGB, Teil D). Für Personen in der EU: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartei sind, sonst Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse und das Ihrer Firma, ihren Personen einen Kundenbereich bereitzustellen); für das Sicherheitsprotokoll Art. 6 Abs. 1 lit. f DSGVO.

Firma und Personen: Kunde ist die Firma; dazu speichern wir auf Wunsch Ihren Namen und den Namen der Firma. Rechnungsadresse und UID erfasst Stripe beim Kauf (Abschnitt 8a). Je Person speichern wir die E-Mail-Adresse, die Rolle in der Firma (Inhaber, Admin, Mitglied, Buchhaltung) sowie Zeitpunkt der Eintragung und der letzten Anmeldung.

Anmeldung und Sitzungen: Die Anmeldung erfolgt ohne Passwort über einen Link mit Code per E-Mail. Code und Sitzungskennung speichern wir nur als Hash. Die Sitzung hält ein technisch notwendiges Cookie (__Host-n4c_sess) höchstens 30 Tage, nach 14 Tagen ohne Nutzung endet sie; ohne dieses Cookie ist keine Anmeldung möglich, und es dient keinem anderen Zweck. Für die Geräteliste speichern wir je Sitzung eine gekürzte Browserkennung und den Zeitpunkt der letzten Nutzung, keine IP-Adresse.

Sicherheitsprotokoll: Anmeldungen, Abmeldungen, Bestätigungen, Änderungen der E-Mail-Adresse, Einladungen und Rollenwechsel halten wir mit Zeitpunkt, Firma und Person in einem gegen nachträgliche Änderung gesicherten Protokoll fest, ohne IP-Adressen. Einträge löschen wir nach 12 Monaten, auch wenn die Firma vorher gelöscht wurde.

Einladungen: Laden Sie eine Person ins Team ein, speichern wir deren E-Mail-Adresse, die vorgesehene Rolle und wer eingeladen hat, und senden ihr einen Link, der 7 Tage gilt. Sie sind dafür verantwortlich, nur Personen einzuladen, die Zugang zu den Daten Ihrer Firma haben dürfen. Haben Sie eine Einladung erhalten, stammt Ihre E-Mail-Adresse von der Person Ihrer Firma, die Sie eingeladen hat.

Website-Check-Reports: Bezahlte Reports (Basic, Premium) legen wir nach dem Versand der E-Mail zusätzlich im Cockpit ab: E-Mail-Adresse des Kaufs, geprüfte URL, Score, Inhalt des Reports und beim Premium-Report das PDF. Ein Report ist einer Firma zugeordnet, wenn der Kauf über deren Kundenkonto bei Stripe lief oder eine Person ihn der Firma zuordnet; dann sehen ihn alle Personen der Firma. Sonst sieht ihn nur die Person mit derselben E-Mail-Adresse. Kostenlose Checks landen nicht im Cockpit.

Geteilte Postfächer: Wer auf das Postfach einer E-Mail-Adresse zugreifen kann, kann sich mit ihr anmelden. Bei geteilten Adressen (zum Beispiel info@) sehen deshalb alle Personen mit Zugriff auf das Postfach das Cockpit und die Reports. Für den Zugang zu Ihrem Postfach sind Sie verantwortlich.

Speicherdauer: Reports 12 Monate ab Erstellung. Nicht angenommene Einladungen und abgelaufene Codes löschen wir einen Tag nach Ablauf, Geräteeinträge mit dem Ende der Sitzung. Firmen- und Personenangaben bewahren wir auf, solange die Firma besteht; Personen, die keiner Firma mehr angehören, löschen wir nach 30 Tagen, Firmen ohne laufendes Werkzeug und ohne Reports 12 Monate nach der letzten Anmeldung. Für die Daten von now4it Consent gilt Abschnitt 8a.

Speicherort und Empfänger: Hetzner in Helsinki (Finnland), verschlüsselte Sicherungen bei Hetzner in Helsinki (7 Tage) und Nürnberg (Deutschland, 30 Tage). Der Datenverkehr zum Cockpit läuft über Cloudflare, E-Mails versenden wir über Microsoft 365 (Postfächer in Rechenzentren in der EU), Zahlungen wickelt Stripe ab (Abschnitte 5 und 8a). Dabei können Daten in die USA gelangen. Cloudflare, Microsoft und Stripe sind nach dem Swiss-U.S. Data Privacy Framework zertifiziert; die USA gelten für solche Unternehmen nach Anhang 1 der Datenschutzverordnung als Staat mit angemessenem Datenschutz, ebenso Finnland und Deutschland.

Löschung: Inhaber können die Firma im Cockpit löschen, sobald kein Abo mehr läuft; dann entfernen wir Firma, Mitgliedschaften, Freischaltungen und Reports sofort, Personen ohne weitere Firma spätestens nach 30 Tagen, Consent-Protokolle nach 30 Tagen. Gelöschte Daten verschwinden aus den Sicherungen spätestens nach deren Aufbewahrungsfrist. Rechnungsdaten bewahren wir gemäss den gesetzlichen Buchführungspflichten zehn Jahre auf.

9. Ihre Rechte

Sie haben jederzeit das Recht:

• Auskunft über Ihre bei uns gespeicherten Daten zu verlangen
• Die Berichtigung unrichtiger Daten zu verlangen
• Die Löschung Ihrer Daten zu verlangen
• Die Einschränkung der Verarbeitung zu verlangen
• Widerspruch gegen die Verarbeitung einzulegen
• Ihre Daten in einem strukturierten Format zu erhalten (Datenportabilität)

Bitte richten Sie Ihre Anfrage an: [email protected]

10. Aufsichtsbehörde

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern, Schweiz
www.edoeb.admin.ch

Personen in der EU können sich zudem bei der Datenschutz-Aufsichtsbehörde ihres Wohnsitzes, ihres Arbeitsorts oder des Orts der mutmasslichen Verletzung beschweren.

11. Änderungen

Wir können diese Datenschutzerklärung jederzeit anpassen. Die aktuelle Version ist auf dieser Seite verfügbar.