Datenschutzerklärung

1. Datenverantwortlicher

Verantwortlicher für Ihre personenbezogenen Daten ist die Mapka P.S.A. mit Sitz in Wrocław, ul. Hermanowska 6A, 54-314 Wrocław, eingetragen im Unternehmerregister des Landesgerichtsregisters unter der KRS-Nummer 0001196336, NIP 8943269501 — Betreiber des Produkts Sancho WMS: der Website, der Webanwendung und der mobilen Anwendung.

Kontakt in Datenschutzangelegenheiten: contact@sancho-wms.pl.

2. Geltungsbereich der Richtlinie

Diese Richtlinie gilt für Personen, die unsere Website besuchen, für Nutzer der Web- und Mobilanwendung Sancho WMS sowie für Personen, die uns über das Kontaktformular oder per E-Mail kontaktieren.

Die Richtlinie umfasst keine Daten, die Kunden bei der Nutzung von Sancho WMS in den Dienst eingeben, z. B. Daten von Geschäftspartnern, Lagerdokumente, Rechnungen. Verantwortlicher für diese Daten ist der Kunde, und Mapka P.S.A. verarbeitet sie als Auftragsverarbeiter — die Grundsätze dieser Verarbeitung werden festgelegt durch Nutzungsbedingungen.

Die Richtlinie gilt nicht für Websites Dritter, auf die von unserer Website aus verlinkt wird.

3. Welche Daten erheben wir?

3.1 Website (ohne Konto)

• technische und statistische Daten, die von PostHog im cookielosen Modus erfasst werden: IP-Adresse, Browsertyp, Gerät und Betriebssystem, besuchte Unterseiten, grundlegende Ereignisse (Aufrufe, Klicks) sowie JavaScript-Fehler;
• Daten aus dem Kontaktformular: Vor- und Nachname, E-Mail-Adresse sowie Inhalt der Nachricht; das Formular ist durch Cloudflare Turnstile geschützt, das zur Verifizierung die IP-Adresse und ein Sicherheitstoken an Cloudflare übermittelt.

3.2 Anwendung (registrierte Benutzer)

• Kontodaten: Vor- und Nachname, E-Mail-Adresse, Passwort (ausschließlich in Form eines kryptografischen Hashes gespeichert) oder Identität aus der Anmeldung über Google oder Nextcloud;
• Abrechnungsdaten: Firmenname, Adresse, NIP — verarbeitet im Zusammenhang mit Zahlungen, die von Stripe abgewickelt werden;
• Nutzungsdaten der Web- und Mobilanwendung (PostHog): Produkt-Ereignisse, Lebenszyklusereignisse der Anwendung (Start, Schließen, Installation, Aktualisierung), Sitzungsaufzeichnungen, Fehlerberichte einschließlich Stacktrace, in der Anwendungskonsole protokollierte Fehler- und Warnmeldungen sowie Telemetrie von Netzwerkanfragen (Antwortzeiten und Latenzen);
• Kommunikation: Inhalt der an uns übermittelten Meldungen, Nachrichten und Meinungen.

3.3 Mobile App

• Mit der Kamera aufgenommene Fotos von Lieferdokumenten und Produkten werden an unsere Server übertragen; Lieferdokumente zusätzlich an den OCR-Dienst.
• Das Scannen von Barcodes erfolgt vollständig auf dem Gerät – das Kamerabild wird nicht übertragen;
• Anfragen zur App-Aktualisierung (Expo/EAS) enthalten Geräte- und App-Versionsmetadaten;
• Push-Benachrichtigungstoken – wenn Sie Benachrichtigungen zustimmen, ruft die Anwendung ein Token ab, also eine Kennung, die dieser App-Installation von Firebase Cloud Messaging (Google) und dem Expo Push Service zugewiesen wird. Es handelt sich um eine Gerätekennung, auch wenn sie selbst keine direkten personenbezogenen Daten enthält. Im Rahmen der Token-Registrierung bei Expo werden zusätzlich übermittelt: der native FCM-Token (Android) oder APNs-Token (iOS), die Kennung der App-Installation, die Paketkennung der App sowie die EAS-Projektkennung;
• Gerätekennzeichen, das auf unseren Servern gespeichert wird — zusammen mit dem Push-Token übermittelt uns die Anwendung das vom Betriebssystem zugewiesene Kennzeichen (Android ID unter Android, identifierForVendor unter iOS). Wir speichern es in unserer Datenbank zusammen mit der Plattform, dem Registrierungsdatum, dem Datum der letzten Aktivität sowie dem Widerrufsdatum. Das Kennzeichen ist für die jeweilige Installation der Anwendung auf dem jeweiligen Gerät dauerhaft und ermöglicht es uns, nachfolgende, rotierende Push-Token mit demselben Gerät zu verknüpfen. Unter Android ist es der Kombination aus dem Signaturschlüssel der Anwendung, dem Benutzer und dem Gerät zugeordnet und ändert sich nach dem Zurücksetzen auf Werkseinstellungen oder nach Änderung des Signaturschlüssels; unter iOS ändert es sich nach der Deinstallation aller Anwendungen desselben Herausgebers.

3.4 KI-Assistent

Wenn die KI-Assistentenfunktion aktiviert ist, wird der Inhalt der Chatnachrichten von Google (Gemini / Vertex AI) oder Anthropic (Claude) verarbeitet, um eine Antwort zu generieren.

4. Zwecke und Rechtsgrundlagen der Verarbeitung

• Betrieb und Sicherheit der Website – berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO);
• Einrichtung und Führung des Kontos sowie Erbringung der Dienstleistung — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO);
• Abrechnungen und Buchhaltung — rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO);
• Analytik und Produktentwicklung — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO);
• Support und Kommunikation mit den Nutzern — Vertragserfüllung sowie berechtigtes Interesse (Art. 6 Abs. 1 Buchst. b und f DSGVO);
• Versand von Push-Benachrichtigungen über Ereignisse im System (z. B. Zuweisung einer Qualitätskontrolle, Kommentar zu einem Dokument, Änderung des Dokumentstatus) — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigtes Interesse an der Information des Nutzers über für die Nutzung des Dienstes wesentliche Ereignisse (Art. 6 Abs. 1 lit. f DSGVO); der Erhalt von Benachrichtigungen erfordert eine auf Ebene des Betriebssystems des Geräts erteilte Einwilligung, die Sie jederzeit in den Geräteeinstellungen widerrufen können, ohne dass dies Auswirkungen auf die übrigen Funktionen der Anwendung hat;
• Antwort auf Nachrichten aus dem Kontaktformular — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO);
• Geltendmachung, Untersuchung und Verteidigung von Ansprüchen — berechtigtes rechtliches Interesse (Art. 6 Abs. 1 lit. f DSGVO).

5. Cookies und ähnliche Technologien

Auf der Website arbeitet das Analysetool PostHog im cookielosen Modus – es speichert keine Cookies und keine Daten im Browserspeicher. Daher zeigt die Website kein Banner zur Zustimmung zu Cookies an.

In der Anwendung verwenden wir eigene Cookies und den lokalen Speicher des Browsers zur Verwaltung der Anmeldesitzung sowie für die Produktanalyse.

6. Auftragsverarbeiter

Wir nutzen die folgenden Dienstleister, die Daten in unserem Namen verarbeiten:

• PostHog Inc. — Produktanalytik, Sitzungsaufzeichnungen und Fehlerüberwachung; Daten werden in der EU-Region gespeichert (PostHog Cloud EU, Frankfurt);
• Stripe — Zahlungsabwicklung, Abonnements und Rechnungsstellung; Stripe ist nach PCI DSS Level 1 zertifiziert, und wir speichern keine vollständigen Zahlungskartendaten;
• Fakturownia — Rechnungserstellung und Abwicklungsverwaltung (Abrechnungsdaten der Kunden);
• HubSpot — CRM und Vertriebskommunikation (Kontakt- und Abrechnungsdaten der Kunden);
• Parser — OCR von Lieferdokumenten (Verarbeitung hochgeladener Dokumente und der daraus ausgelesenen Daten)
• Cloudflare — Dateispeicherung, Versand von Transaktions-E-Mails und Schutz von Formularen (Turnstile);
• Axiom — Aggregation von Server-Logs
• Google (Gemini / Vertex AI) und Anthropic (Claude) – Verarbeitung der Inhalte von Gesprächen mit dem KI-Assistenten, ausschließlich wenn die Funktion aktiviert ist;
• Expo — 650 Industries, Inc. (Vereinigte Staaten), tätig unter der Marke Expo: Bereitstellung von Updates der mobilen Anwendung (EAS Update) sowie Zustellung von Push-Benachrichtigungen (Expo Push Service). Im Rahmen des Expo Push Service speichert und verarbeitet Expo den Push-Token (ExponentPushToken), der mit dem nativen FCM- oder APNs-Token, der Installationskennung der Anwendung, der Paketkennung der Anwendung sowie der EAS-Projektkennung verknüpft ist — ausschließlich zum Zweck der Zustellung der Benachrichtigung an das richtige Gerät. Über Expo und anschließend über FCM oder APNs wird auch der Inhalt der Benachrichtigung selbst übermittelt — ihr Titel und die Ereignisbeschreibung, die den Vor- und Nachnamen der Person enthalten können, deren Handlung das Ereignis ausgelöst hat, sowie die Kennzeichnung des Dokuments, auf das sich das Ereignis bezieht. Von EAS Update verarbeitete Aktualisierungsanfragen übermitteln zusätzlich Metadaten zum Gerät und zur Version der Anwendung;
• Google (Firebase Cloud Messaging) – Zustellung von Push-Benachrichtigungen an Geräte mit Android-System; verarbeitet die Firebase-Installations-ID sowie das Registrierungs-Token des Geräts, die für die Zustellung der Benachrichtigung erforderlich sind, sowie den Inhalt der zugestellten Benachrichtigung in dem oben beschriebenen Umfang.

Anwendungsdaten speichern wir auf unserer eigenen Serverinfrastruktur in der Europäischen Union.

7. Datenempfänger

Wir übermitteln Daten ausschließlich, wenn dies erforderlich ist: an die oben genannten Dienstleister, an Berufsberater?

8. Datenübermittlung außerhalb des EWR

Soweit möglich, nutzen wir Anbieter, die Daten innerhalb der Europäischen Union speichern, darunter PostHog Cloud EU. Werden Daten außerhalb des Europäischen Wirtschaftsraums übermittelt, darunter an Stripe, HubSpot, Google und Anthropic, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, einschließlich des EU-U.S. Data Privacy Framework, oder auf Grundlage von Standardvertragsklauseln (SCC).

Dies betrifft insbesondere die Verarbeitung von Push-Benachrichtigungen: 650 Industries, Inc. (Expo) und Google LLC haben ihren Sitz in den Vereinigten Staaten und verfügen über eine aktive Zertifizierung im Rahmen des EU-U.S. Data Privacy Framework sowie dessen Erweiterung für das Vereinigte Königreich und des Swiss-U.S. Data Privacy Framework. Die Übermittlung von Daten an diese Unternehmen erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission und, soweit dieser Mechanismus nicht anwendbar ist, auf Grundlage der Standardvertragsklauseln (SCC).

9. Aufbewahrungsfrist für Daten

• Kontodaten — für die Dauer des Vertrags sowie bis zu 30 Tage nach Löschung des Kontos;
• Abrechnungs- und Buchhaltungsunterlagen – 5 Jahre gemäß den Rechnungslegungsvorschriften;
• Analysedaten – gemäß dem in PostHog konfigurierten Aufbewahrungszeitraum;
• Push-Benachrichtigungstoken und zugehörige Gerätekennung — wir markieren die Geräteregistrierung bei der Abmeldung sowie dann als zurückgezogen, wenn der Expo-Dienst meldet, dass das Gerät nicht erreichbar ist, z. B. nach der Deinstallation der Anwendung; der Widerruf der Zustimmung zu Benachrichtigungen in den Einstellungen des Betriebssystems stoppt deren Anzeige, entfernt die Registrierung jedoch nicht automatisch. Eine zurückgezogene Registrierung wird nicht mehr für den Versand verwendet, der Eintrag in der Datenbank wird jedoch erst zusammen mit der Löschung des Benutzerkontos entfernt — wir führen keine separate Bereinigungsaufgabe für zurückgezogene Registrierungen durch;
• Nachrichten aus dem Kontaktformular – bis zu 12 Monate nach Abschluss der Korrespondenz.

Wir speichern die Daten länger nur dann, wenn dies gesetzlich vorgeschrieben ist oder zur Feststellung, Geltendmachung oder Verteidigung von Ansprüchen erforderlich ist.

10. Ihre Rechte

Gemäß der DSGVO stehen Ihnen folgende Rechte zu:

• Zugriffsrecht auf Ihre Daten
• Recht auf Berichtigung der Daten
• Recht auf Datenlöschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Widerspruchsrecht gegen eine auf berechtigtem Interesse beruhende Verarbeitung
• das Recht, die Einwilligung jederzeit zu widerrufen — sofern die Verarbeitung auf ihr beruht.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: contact@sancho-wms.pl. Sie haben außerdem das Recht, eine Beschwerde beim Präsidenten des Amtes für den Schutz personenbezogener Daten einzureichen (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

11. Daten der Kinder

Der Dienst richtet sich an Unternehmer und ist nicht für Kinder unter 16 Jahren bestimmt. Wir erfassen wissentlich keine Daten von Kindern – wenn Sie der Ansicht sind, dass ein Kind uns seine Daten übermittelt hat, kontaktieren Sie uns, damit wir diese löschen können.

12. Änderungen der Datenschutzrichtlinie

Wir können diese Richtlinie regelmäßig aktualisieren. Änderungen veröffentlichen wir auf dieser Seite zusammen mit der Aktualisierung des Datums Letzte Aktualisierung. Über wesentliche Änderungen können wir Sie zusätzlich per E-Mail oder in der Anwendung informieren.