Datenschutzerklärung

1. Verantwortlicher

Syvorex

Österreich

E-Mail: support@syvorex.com

Website: https://syvorex.com

2. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zur Bereitstellung von Website, Benutzerkonto, Workspaces, KI-Funktionen, Publishing-Integrationen, Support und Abrechnung. Je nach Verarbeitung stützen wir uns insbesondere auf Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), rechtliche Verpflichtungen (lit. c), berechtigte Interessen an sicherem und zuverlässigem Betrieb (lit. f) oder Ihre Einwilligung (lit. a).

Die konkrete Zuordnung und Interessenabwägung, insbesondere für Logs, einzelne Plattformrollen und internationale Transfers, bedarf abschließender juristischer Prüfung.

3. Welche Daten werden verarbeitet?

Je nach Nutzung können insbesondere folgende Kategorien verarbeitet werden:

• Name, E-Mail-Adresse, Benutzer- und Sitzungskennungen
• Tarif-, Abrechnungs- und Transaktionsreferenzen; vollständige Zahlungsdaten verbleiben bei Stripe
• Workspace-Mitgliedschaften und Berechtigungen
• Company/Brand Knowledge, Kampagnen, Projekte und Publishing-Daten
• Bilder, Videos und sonstige Creative Assets
• KI-Eingaben, bereitgestellter Kontext und erzeugte Ausgaben
• OAuth-, Kanal- und Verbindungsmetadaten
• verschlüsselte Provider-Credentials und OAuth-Tokens
• Nutzungs-, Sicherheits- und Server-Logdaten

4. Benutzerkonto und Workspaces

Supabase verarbeitet für die Authentifizierung insbesondere E-Mail-Adresse, Benutzer-ID und Authentifizierungsdaten. Syvorex speichert kein lesbares oder reversibel abrufbares Passwort. Tarif, Kontostatus, Workspace-Zugehörigkeit und Berechtigungen werden serverautoritativ verwaltet.

Company/Brand Knowledge, Kampagnen, AI Inputs/Outputs, Creative Assets, Publishing-Daten und verfügbare Analytics werden workspacebezogen verarbeitet. Technische Kontrollen umfassen serverseitige Autorisierung, Row Level Security und Tenant-Isolation.

5. KI-Verarbeitung, Managed AI und BYOK

Bei Nutzung von KI-Funktionen können Daten an den jeweils ausgewählten KI-Anbieter übertragen werden. Umfang, Speicherort, Aufbewahrung und weitere Verarbeitung richten sich nach dem jeweiligen Provider, dem verwendeten Produkt/API und der gewählten Konfiguration. Ein Eintrag im Provider-Katalog bedeutet nicht, dass der Anbieter für jeden Workspace aktiv genutzt wird.

Managed AI verwendet einen von Syvorex bereitgestellten Providerzugang. Bei Bring Your Own Key (BYOK) verwendet Syvorex das vom Nutzer hinterlegte, verschlüsselt gespeicherte Credential; BYOK verhindert die erforderliche Übertragung an den ausgewählten Anbieter nicht. Syvorex dokumentiert die technisch ausführbaren Anbieter. Weitergehende vertragliche und datenschutzrechtliche Prüfungen einzelner Provider sind Bestandteil der laufenden Compliance-Prozesse; eine pauschale Garantie zu Region, Training oder Aufbewahrung wird nicht gegeben.

6. Zahlungsabwicklung

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe Ltd. Stripe verarbeitet Zahlungsdaten eigenverantwortlich.

Weitere Informationen: https://stripe.com/privacy

7. Authentifizierung und Datenbank

Für Benutzerverwaltung und Speicherung der Kontodaten verwenden wir Supabase. Dabei können insbesondere Benutzerkonto, Login, Authentifizierung, Projektdaten und Nutzungsinformationen verarbeitet werden.

Weitere Informationen: https://supabase.com/privacy

8. Hosting

Unsere Plattform wird über Vercel Inc. bereitgestellt. Beim Besuch unserer Website werden technische Informationen verarbeitet.

Weitere Informationen: https://vercel.com/legal/privacy-policy

9. DNS und Sicherheit

Zur Verwaltung unserer Domain sowie zur technischen Absicherung verwenden wir Cloudflare.

Weitere Informationen: https://www.cloudflare.com/privacypolicy/

10. Cookies, lokale Speicherung, Analytics und Werbung

Syvorex verwendet technisch notwendige Cookies und Browser-Speicherungen insbesondere für Sprache, Anmeldung, Sicherheit, Sitzungsverwaltung und Benutzerkonto.

Google AdSense und die Werbe-Einwilligung werden auf dafür freigegebenen redaktionellen Seiten über die veröffentlichte Google-CMP für europäische Verordnungen verwaltet. Das AdSense-Script wird nicht auf Login-, Registrierungs-, Redirect-, Utility-, Review- oder sonstigen Seiten ohne freigegebenen redaktionellen Hauptinhalt geladen. Auf freigegebenen Inhaltsseiten kann Google die CMP anzeigen und Anzeigen entsprechend dem dort erteilten Einwilligungsstatus ausliefern. Die separate Syvorex-Einstellung im Footer betrifft nur Google Analytics; Analytics wird erst nach ausdrücklicher Einwilligung geladen. Beide Einwilligungen können jederzeit über die jeweiligen Einstellungen geändert werden. Rechtsgrundlage für die optionalen Dienste ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021. Informationen: https://policies.google.com/privacy

11. Social Login und freiwillige Kontoverbindung

Nutzer können freiwillig ausschließlich eigene Konten oder berechtigt verwaltete Organisationskonten verbinden. OAuth-basierte Verbindungen bestehen für LinkedIn, X, Pinterest, TikTok, YouTube/Google, Facebook, Instagram Business und Google Business Profile; WhatsApp Business wird über autorisierte Meta-Zugangsdaten verbunden. WordPress, Ghost, Mailchimp, Brevo und LINE verwenden vom Nutzer hinterlegte API- oder Anwendungsschlüssel. Eine Verbindung ist für die übrigen Syvorex-Funktionen nicht erforderlich.

Vor der Verbindung zeigt der jeweilige Plattformanbieter die angeforderten Berechtigungen an. Syvorex erhält und verarbeitet nur die Daten und Berechtigungen, die der Nutzer ausdrücklich autorisiert. Es werden keine fremden Konten gelesen, verbunden oder verwaltet und keine Inhalte oder Daten von Konten verarbeitet, die der Nutzer nicht selbst verbunden hat.

12. Verarbeitete Social-Media-Daten und Zweck

Syvorex verarbeitet die vom Anbieter bereitgestellte Konto-, Profil-, Kanal-, Seiten-, Board-, Listen- oder Standortkennung, den Anzeigenamen und gegebenenfalls ein Profilbild sowie erteilte Berechtigungen, Token- und Verbindungsmetadaten. Bei TikTok können dies Open ID und Union ID sein; bei Meta die verwalteten Pages und das zugeordnete Instagram-Business-Konto.

Zweck ist, das verbundene Zielkonto anzuzeigen, auswählbare Ziele abzurufen, vom Nutzer gewählte Inhalte vorzubereiten und ausdrücklich angeforderte Veröffentlichungs-, Entwurfs-, Newsletter- oder Verbindungstests auszuführen.

Veröffentlichungen oder Übermittlungen an eine Plattform erfolgen ausschließlich nach einer ausdrücklichen Aktion oder Freigabe des Nutzers und im Umfang der erteilten Berechtigungen. Syvorex veröffentlicht nicht ohne eine solche Aktion oder Freigabe und liest, importiert oder verwaltet keine fremden Konten.

13. OAuth-Tokens, Sicherheit und Speicherdauer

Access- und Refresh-Tokens sowie Provider-Credentials werden serverseitig verschlüsselt in der von Supabase bereitgestellten Datenbank gespeichert und durch Vercel Functions nur für autorisierte Requests verwendet. Tokens und Secrets werden nicht an den Browser zurückgegeben, verkauft oder zu Werbezwecken verwendet.

Tokens und Verbindungsmetadaten werden nur so lange gespeichert, wie die jeweilige Verbindung aktiv ist und sie für die vom Nutzer angeforderte Funktion benötigt werden. Ein technisch notwendiges, verschlüsseltes Verbindungs-Cookie ist auf höchstens 90 Tage begrenzt. Abgelaufene oder widerrufene Tokens werden nicht weiter verwendet; bei einer erneuten Autorisierung können sie technisch ersetzt werden.

14. Verbindung widerrufen und Daten löschen

Der Nutzer kann Verbindungen unter Social Publishing trennen oder den Zugriff beim jeweiligen Anbieter widerrufen. Beim Trennen entfernt Syvorex die aktive serverseitige Token-/Credential-Verbindung und zugehörige Metadaten. Eine zusätzliche Remote-Revocation wird ausgeführt, soweit die jeweilige Plattform sie technisch unterstützt; sie ist nicht bei allen Anbietern universell verfügbar.

Datenexport und Kontolöschung können im Privacy Center bzw. über https://syvorex.com/data-deletion oder support@syvorex.com angefordert werden. Der Erasure-Preflight blockiert eine Löschung bei offenen Billing-, Publishing- oder nicht geklärten Integrationsvorgängen; danach werden registrierte Storage-Objekte, Workspace-/Kontodaten, aktive Tokens und Auth-Daten kontrolliert bereinigt. Bereits extern veröffentlichte Inhalte müssen beim Plattformanbieter verwaltet werden.

15. Auftragsverarbeiter und Plattformanbieter

Vercel Inc. verarbeitet technische Anfragen und stellt das Hosting der Landingpage und Anwendung bereit. Weitere Informationen: https://vercel.com/legal/privacy-policy

Supabase, Inc. stellt Authentifizierung und Datenbank bereit; dort werden die verschlüsselten OAuth-Tokens und Verbindungsmetadaten dem Syvorex-Benutzerkonto zugeordnet gespeichert. Weitere Informationen: https://supabase.com/privacy

Stripe und Cloudflare werden entsprechend den vorstehenden Zwecken eingesetzt. Die konkrete Rollenverteilung kann je Verarbeitung variieren und bedarf juristischer Prüfung. Eine direkte produktive Resend-Integration ist derzeit nicht technisch belegt und wird daher nicht als aktiver Direktanbieter geführt.

Plattformanbieter und offizielle Datenschutzhinweise: TikTok (https://www.tiktok.com/legal/page/eea/privacy-policy/de), Google/YouTube/Google Business Profile (https://policies.google.com/privacy?hl=de), Meta/Facebook/Instagram/WhatsApp Business (https://www.facebook.com/privacy/policy/), LinkedIn (https://www.linkedin.com/legal/privacy-policy), X (https://x.com/de/privacy), Pinterest (https://policy.pinterest.com/de/privacy-policy), LINE (https://terms.line.me/line_rules), WordPress.com/Automattic soweit genutzt (https://automattic.com/privacy/), Ghost (https://ghost.org/privacy/), Mailchimp (https://www.intuit.com/privacy/statement/) und Brevo (https://www.brevo.com/legal/privacypolicy/). Bei selbst gehostetem WordPress ist zusätzlich der jeweilige Websitebetreiber verantwortlich.

Die rechtliche Einordnung als Auftragsverarbeiter, eigener oder gemeinsamer Verantwortlicher ist verarbeitungsspezifisch. Sie wird durch diese technische Beschreibung nicht abschließend festgelegt.

16. Speicherdauer und Backups

Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck, die Vertragsabwicklung, Sicherheit, Streitbeilegung oder rechtliche Pflichten erforderlich sind. Tokens/Credentials bleiben grundsätzlich bis zum Trennen, Workspace-Inhalte bis zur Nutzerlöschung oder Kontolöschung aktiv gespeichert. Konkrete Fristen für Publishing-Historie, Logs, Billing-Daten und Backups sind in einer technischen Retention Policy dokumentiert, aber noch nicht abschließend juristisch freigegeben.

Bei Backups erfolgt eine Löschung grundsätzlich durch Ablauf und Überschreiben des Backup-Zyklus; bei einem Restore müssen nach dem Wiederherstellungspunkt protokollierte Löschungen erneut angewendet werden. Die abschließende Backup-Erasure- und Aufbewahrungsregelung bleibt juristisch zu prüfen.

17. Internationale Übermittlungen

Vercel, Supabase, Stripe, AI- und Plattformanbieter können Daten außerhalb des EWR verarbeiten. Abhängig von Anbieter und Zielstaat kommen Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere Garantien in Betracht. Die accountbezogenen DPAs, SCCs und Transfer Impact Assessments sind noch nicht für alle Anbieter abschließend rechtlich geprüft.

18. Ihre Rechte und Beschwerderecht

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Widerruf einer Einwilligung. Datenschutz- und Löschanfragen richten Sie an support@syvorex.com.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Österreichischen Datenschutzbehörde: https://www.dsb.gv.at/

19. Datensicherheit

Wir setzen risikogerechte technische und organisatorische Maßnahmen ein. Dazu zählen Workspace-/Tenant-Isolation, Row Level Security, private workspace-media-Speicherung, zeitlich begrenzte Signed URLs, serverseitige Autorisierung, verschlüsselte Provider-Credentials und OAuth-Tokens sowie Logging Redaction. Ein absoluter Schutz kann nicht garantiert werden.

20. Datenschutz-Readiness und offene Prüfung

Syvorex hat technische Datenschutz-Readiness-Kontrollen für Dateninventar, Export/DSAR, Account Erasure, Retention-Dokumentation, Logging Redaction, Workspace-Isolation und Subprocessor-Dokumentation implementiert. Eine formale Rechtsprüfung insbesondere von DPA, SCC, TIA, Anbieterrollen, Rechtsgrundlagen und internationalen Übermittlungen ist noch offen. Daraus folgt keine Garantie vollständiger DSGVO-Konformität.

21. Bereitstellung von Daten und automatisierte Entscheidungen

Konto-, Authentifizierungs- und für die gewählte Funktion erforderliche Workspace-Daten müssen bereitgestellt werden, damit der Vertrag und die angeforderte Funktion ausgeführt werden können. Optionale Integrationen, Analytics-Einwilligung und zusätzliche KI-Kontexte sind freiwillig.

Syvorex verwendet KI zur Erstellung und Vorbereitung von Inhalten, trifft dadurch aber keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung über den Nutzer. Nutzer prüfen und genehmigen Ergebnisse und externe Veröffentlichungen selbst.

22. Änderungen

Wir passen diese Datenschutzerklärung bei technischen oder rechtlichen Änderungen an. Die aktuelle Version ist auf der Website verfügbar.