Datenschutzrichtlinie

1. Allgemeine Informationen

Diese Datenschutzerklärung beschreibt die Regeln für die Verarbeitung personenbezogener Daten im Dienst DropAi.ovh. Das Dokument erfüllt die Informationspflicht nach Art. 13 DSGVO und für Daten, die nicht direkt bei der betroffenen Person erhoben werden, auch nach Art. 14 DSGVO.

Die Erklärung umfasst Daten, die bei der Nutzung des Benutzerkontos, von Kontaktformularen, beim Kauf von Credits, bei der Nutzung der Datei-Verarbeitungsfunktionen sowie bei der Veröffentlichung von Materialien über Freigabeseiten bereitgestellt werden.

Dieses Dokument bezieht sich auf: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 ("DSGVO") sowie in Bezug auf Cookies und ähnliche Technologien auf das polnische Gesetz vom 12. Juli 2024 - Gesetz über elektronische Kommunikation (insbesondere Art. 399-400).

2. Verantwortlicher und Kontakt

Verantwortlicher: SMOVE sp. z o.o.

Sitz: ul. Przemysłowa 14, 44-190 Knurów, Polska

E-Mail: E-Mail-Adresse anzeigen

Telefon: nicht angegeben

Kontaktformular: /contact

Kontakt zu Datenschutz- und DSGVO-Rechten: E-Mail-Adresse anzeigen

3. Umfang der Daten und Quellen

Datenkategorien

• Identifikations- und Kontodaten (z. B. E-Mail, Benutzerkennung, Kontoeinstellungen, Sprachpräferenzen),
• Daten zur Nutzung des Dienstes (z. B. Prompts, Job-Parameter, Job-Metadaten, Verlauf von Operationen, Ausführungsprotokolle, Einstellungen von Freigabeseiten und Branding-Einstellungen),
• zur Verarbeitung hochgeladene Dateien und erzeugte Ergebnisse (einschließlich Bild, Gesicht oder anderer in Foto oder Video sichtbarer Daten),
• technische Daten, die im Rahmen der KI-Auftragsausführung übertragen werden (z. B. öffentliche URL der Eingabedateien, Prediction-ID, Status, Modellmetriken und Logs),
• Abrechnungs- und Transaktionsdaten (z. B. Kaufhistorie von Credits, Stripe-Zahlungskennungen sowie die aktuell geltende Terminalgebühr für failed/canceled in Höhe von 0,0100 Credits pro Auftrag),
• Kontaktdaten und Kommunikationsinhalte (Kontaktformular, E-Mail),
• technische und Sicherheitsdaten (z. B. IP, User-Agent, Sitzungskennungen, Anti-Bot-Token, Server-Logs).

Datenquellen (Art. 14 DSGVO)

• grundsätzlich werden Daten direkt von Ihnen bei der Nutzung des Dienstes erhoben,
• bei Zahlungen erhalten wir einen Teil der Daten vom Zahlungsanbieter Stripe (z. B. Transaktionsstatus, Zahlungskennung),
• bei der Ausführung von KI-Aufträgen erhalten wir außerdem Rückgabedaten vom KI-Anbieter Replicate, Inc. (z. B. Prediction-Status, Zeitmetadaten, Ausgabedatei-Links und technische Logs),
• in Veranstaltungs-, Agentur- oder B2B-Szenarien können Fotos und Teilnehmerdaten durch den Kontoinhaber, Veranstalter, Fotobox-Betreiber oder ein anderes im Auftrag der Teilnehmer oder des Kunden handelndes Unternehmen hochgeladen werden,
• wenn Daten von Dritten stammen, erteilen wir eine zusätzliche Information innerhalb der Fristen nach Art. 14 DSGVO, soweit dies erforderlich ist.

4. Zwecke und Rechtsgrundlagen

• Einrichtung und Führung des Kontos sowie Erbringung des Dienstes: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung),
• Ausführung von KI-Aufträgen unter Einsatz eines externen Auftragsverarbeiters (Replicate): Art. 6 Abs. 1 lit. b DSGVO und für Sicherheit und Zuverlässigkeit zusätzlich Art. 6 Abs. 1 lit. f DSGVO,
• Zahlungen, Abrechnungen und steuer-/buchhaltungsrechtliche Pflichten: Art. 6 Abs. 1 lit. b und c DSGVO,
• Bearbeitung von Anfragen und Korrespondenz: Art. 6 Abs. 1 lit. b oder f DSGVO,
• Sicherheit des Dienstes (einschließlich Missbrauchs- und Bot-Schutz): Art. 6 Abs. 1 lit. f DSGVO,
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen: Art. 6 Abs. 1 lit. f DSGVO,
• Veröffentlichung und Bereitstellung von Ergebnisdateien über öffentliche Freigabeseiten und Galerien auf Wunsch des Nutzers: Art. 6 Abs. 1 lit. b DSGVO und, soweit erforderlich, zusätzlich Art. 6 Abs. 1 lit. f DSGVO,
• Marketingmaßnahmen, die eine Einwilligung erfordern (falls aktiviert): Art. 6 Abs. 1 lit. a DSGVO.

Zu den berechtigten Interessen des Verantwortlichen gehören insbesondere: Sicherstellung der Dienstkontinuität, Infrastruktursicherheit, Missbrauchsschutz, Nutzerbetreuung sowie die Durchsetzung oder Abwehr von Ansprüchen.

5. Empfänger der Daten

Daten können an folgende Kategorien von Empfängern weitergegeben werden:

• Hosting- und Serverinfrastruktur-Anbieter: dhosting.pl (Polen),
• Anbieter von E-Mail- und Kommunikationstools (SMTP),
• Zahlungsanbieter: Stripe,
• Anbieter der KI-Technologie und Auftragsverarbeiter: Replicate, Inc. (USA) - Ausführung von Predictions, Verarbeitung von Prompts, Parametern und Eingabedatei-URLs sowie Rückgabe von Ausgabedateien, Logs und Metriken,
• Infrastruktur zur Auslieferung von Replicate-Ausgabedateien (replicate.delivery und Subdomains),
• Unterauftragsverarbeiter des KI-Anbieters gemäß der jeweils aktuellen Replicate-Subprozessorenliste,
• Anbieter von Anti-Bot-Sicherheitsdiensten (Google reCAPTCHA v3),
• Anbieter von Front-End-Ressourcen aus externen CDNs (z. B. jsDelivr, Google Fonts),
• Empfänger öffentlicher Freigabeseiten-Links und - nach öffentlicher Verbreitung solcher Links - Suchmaschinen, Messenger und soziale Netzwerke, die Vorschauen erzeugen oder öffentliche Seiten indexieren,
• gesetzlich befugte Empfänger (z. B. Behörden).

6. Datenübermittlung außerhalb des EWR

Grundsätzlich werden Daten innerhalb des Europäischen Wirtschaftsraums verarbeitet. Bei der Ausführung von KI-Aufträgen werden jedoch Daten (insbesondere Prompt-Text, URLs von Eingabedateien und Prediction-Metadaten) an Replicate, Inc. mit Sitz in den USA übermittelt, was eine Übermittlung außerhalb des EWR darstellt.

In solchen Fällen verwenden wir Mechanismen nach Kapitel V DSGVO, insbesondere einen Angemessenheitsbeschluss (z. B. für Stellen unter dem EU-US Data Privacy Framework) oder Standardvertragsklauseln (SCC), bei Bedarf ergänzt durch zusätzliche Schutzmaßnahmen. Informationen zum aktuell verwendeten Mechanismus für einen konkreten Empfänger erhalten Sie beim Verantwortlichen.

7. Speicherdauer

• Kontodaten: für die Dauer des Vertrags/Kontos und anschließend bis zum Ablauf von Verjährungsfristen,
• Abrechnungs- und Buchhaltungsdaten: für den gesetzlich vorgeschriebenen Zeitraum,
• Daten aus Kontaktformular und Korrespondenz: bis zu 24 Monate nach Abschluss des Vorgangs oder länger, wenn für Ansprüche erforderlich,
• technische und Sicherheitsdaten (Logs): so lange wie zur Gewährleistung der Sicherheit und Untersuchung von Vorfällen erforderlich,
• an Replicate über die Predictions-API übermittelte Daten (Input/Output/Logs): werden bei Replicate standardmäßig etwa 1 Stunde nach Abschluss der Prediction gelöscht (gemäß API-Dokumentation des Anbieters),
• bei uns gespeicherte Job-Metadaten (z. B. Status, Prediction-IDs, Parameter und technische Payloads): für den Zeitraum, der für Abrechnung, Reklamationsbearbeitung und Anspruchsabwehr erforderlich ist,
• Cookie-Einwilligungseinstellungen (CMP): im Browser bis zu 180 Tage oder bis zur Änderung/Löschung; im Benutzerkonto bis zur Änderung oder Kontolöschung,
• Cookie zur Begrenzung erneuter Nettopreis-Anfragen (dropai_net_pricing_request): im Browser bis zu 48 Stunden oder bis zur Löschung,
• Einstellungen von Freigabeseiten und Branding-Dateien: bis sie geändert werden, das Konto gelöscht wird oder der Nutzer sie entfernt, sofern keine längere Aufbewahrung für Ansprüche oder Sicherheit erforderlich ist,
• auf Datenträgern gespeicherte Nutzerdateien: 90 Tage; nach diesem Zeitraum werden Dateien unwiderruflich vom Datenträger gelöscht und können nicht wiederhergestellt werden; Datenbankeinträge können länger bestehen bleiben.

8. Rollen des Verantwortlichen, des Nutzers und öffentlicher Galerien

In Bezug auf Kontodaten, Abrechnung, Sicherheit, Support-Anfragen und den laufenden Betrieb des Dienstes handeln wir als Verantwortlicher.

In Veranstaltungs-, Agentur-, B2B- oder Fotobox-Szenarien können Nutzer, Veranstalter oder Betreiber selbständig entscheiden, ob und welche Teilnehmerdaten erhoben, in den Dienst hochgeladen, durch KI verarbeitet oder veröffentlicht werden. In diesem Umfang kann der Nutzer als eigenständiger Verantwortlicher der Teilnehmerdaten handeln, und wir können diese Daten als technischer Dienstleister auf Weisung des Nutzers verarbeiten, unabhängig von unserer Verantwortlichen-Rolle für Konto-, Abrechnungs- und Sicherheitsdaten.

Öffentliche Freigabeseiten und Galerien sind für den Zugriff per Link bestimmt. Wenn der Nutzer einen solchen Link teilt, können Materialien und Vorschau-Metadaten für Link-Empfänger und externe Dienste verfügbar werden, die Vorschauen erzeugen oder öffentliche Inhalte indexieren. Das Entfernen einer Datei aus unserem Dienst garantiert keine sofortige Entfernung aus externen Caches oder Indizes.

9. Fotos, Gesichter, besondere Kategorien von Daten und Minderjährige

Der Dienst verarbeitet Gesichter und andere auf einem Bild sichtbare Elemente nur als Teil des Bildes, der für die Ausführung des KI-Auftrags und die Bereitstellung des Ergebnisses erforderlich ist. In unseren eigenen Systemen stellen wir keine Funktion bereit, die für Gesichtserkennung, Identitätsprüfung oder den Aufbau dauerhafter biometrischer Vorlagen bestimmt ist.

In unseren eigenen Systemen verwenden wir hochgeladene Dateien nicht eigenständig zum Training eigener KI-Modelle. Die KI-Verarbeitung erfolgt unter Einbindung externer Anbieter und ausgewählter Modelle, deren eigene Bedingungen und Datenschutzregeln beeinflussen können, wie Daten auf ihrer Seite verarbeitet werden.

Der Dienst ist nicht für die unmittelbare Nutzung durch Kinder als Kontoinhaber bestimmt. Wenn Sie Fotos von Minderjährigen oder besondere Kategorien personenbezogener Daten hochladen, müssen Sie über eine geeignete Rechtsgrundlage verfügen und - soweit erforderlich - über die Einwilligung eines Elternteils, gesetzlichen Vertreters oder eine andere gültige Rechtsgrundlage nach anwendbarem Recht.

10. Rechte der Nutzer und Beschwerde bei UODO

Ihnen stehen folgende Rechte zu:

• Auskunft über Ihre Daten,
• Berichtigung Ihrer Daten,
• Löschung Ihrer Daten ("Recht auf Vergessenwerden"),
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO,
• Widerruf einer Einwilligung jederzeit (soweit Einwilligung Rechtsgrundlage ist), ohne Einfluss auf die Rechtmäßigkeit der vorherigen Verarbeitung.

Recht auf Auskunft über alle registrierten Daten: Sie können Informationen über alle personenbezogenen Daten anfordern, die das System zu Ihrer Person erfasst hat, einschließlich einer Kopie Ihrer Daten (Art. 15 DSGVO). Senden Sie Ihren Antrag an E-Mail-Adresse anzeigen.

Recht auf Löschung: Sie können die unwiderrufliche Löschung Ihres Kontos sowie aller im Dienst erstellten Inhalte verlangen (Art. 17 DSGVO). Senden Sie Ihren Antrag an E-Mail-Adresse anzeigen. Wir bearbeiten solche Anträge unverzüglich, vorbehaltlich Daten, die aufgrund gesetzlicher Pflichten aufzubewahren sind (z. B. Buchhaltungsunterlagen) oder zur Abwehr von Rechtsansprüchen erforderlich bleiben.

Die Ausübung der oben genannten Rechte umfasst auch Daten, die von unseren Auftragsverarbeitern (einschließlich Replicate) verarbeitet werden, soweit wir auf diese Daten Zugriff haben und das Ersuchen wirksam erfüllen können.

Wir beantworten Anträge betroffener Personen ohne unangemessene Verzögerung und in der Regel innerhalb von 1 Monat nach Eingang, mit Verlängerungsmöglichkeit in den von der DSGVO vorgesehenen Fällen.

Sie haben außerdem das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen: Präsident des Amtes für den Schutz personenbezogener Daten (UODO), ul. Stawki 2, 00-193 Warschau, uodo.gov.pl.

11. Freiwilligkeit der Datenbereitstellung

Die Bereitstellung von Daten ist freiwillig, in vielen Fällen jedoch für den Abschluss und die Durchführung des Vertrags erforderlich (z. B. Kontoerstellung, Job-Ausführung, Zahlung). Die Nichtbereitstellung der für eine bestimmte Handlung erforderlichen Daten kann die Nutzung des Dienstes oder eines Teils davon unmöglich machen.

Der Umfang hochgeladener Materialien sollte auf die Daten beschränkt werden, die zur Ausführung des Effekts, zur Durchführung des Auftrags oder zur Veröffentlichung von Materialien erforderlich sind. Wenn ein weniger eingriffsintensiver Weg zur Zielerreichung besteht, sollte dieser bevorzugt werden.

12. Profiling und automatisierte Entscheidungen

Der Verantwortliche trifft gegenüber Nutzern keine Entscheidungen, die rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen, ausschließlich auf Grundlage einer automatisierten Verarbeitung personenbezogener Daten, einschließlich Profiling.

13. Cookies sowie Analyse-/Marketing-Tools

Der Dienst verwendet Cookies und ähnliche Technologien (einschließlich localStorage) für notwendige, funktionale und Sicherheitszwecke. Zum Zeitpunkt dieser Version verwenden wir keine aktiven Marketing-Pixel und keine Tools wie Google Analytics, Meta Pixel, Hotjar oder Microsoft Clarity.

Die Regeln zur Speicherung von Informationen auf dem Endgerät des Nutzers und zum Zugriff darauf werden entsprechend dem Gesetz über elektronische Kommunikation (Art. 399-400) umgesetzt. Eine Einwilligung ist für Technologien erforderlich, die nicht strikt notwendig sind, um den Dienst bereitzustellen.

Für den Betrieb des Dienstes strikt notwendige Cookies werden ohne gesonderte Einwilligung verwendet. Falls wir künftig Analyse- oder Marketing-Cookies einführen, werden diese erst nach Einwilligung des Nutzers aktiviert (Cookie-Banner mit Akzeptieren/Ablehnen und granularen Einstellungen).

Sie können Cookie-Einstellungen im Browser, über den dauerhaften Link "Cookie-Einstellungen" in der Fußzeile und (nach Anmeldung) in den Kontoeinstellungen verwalten. Eine Änderung der Einwilligung ist jederzeit möglich.

14. Sicherheit und Änderungen der Richtlinie

Wir wenden organisatorische und technische Maßnahmen an, die dem Risiko angemessen sind, darunter verschlüsselte Übertragung (SSL/TLS), Zugriffskontrolle, Autorisierungsmechanismen, Missbrauchsschutz, logische Trennung von Nutzerressourcen sowie Sicherheitsmonitoring der Dienste.

Die Hosting-Infrastruktur befindet sich in Polen (dhosting.pl), in einer vom Anbieter als Tier-3-konform deklarierten Umgebung (ANSI/TIA-942), mit redundanter Stromversorgung, Monitoringsystemen und physischen Sicherheitsmaßnahmen.

Diese Richtlinie kann aufgrund rechtlicher, organisatorischer oder technologischer Änderungen aktualisiert werden. Die aktuelle Fassung gilt ab dem am Dokumentanfang angegebenen Datum.