Datenschutzerklärung

1. Wer verantwortlich ist

1.1 Verantwortlicher für die in dieser Erklärung beschriebene Bearbeitung ist James Vautier, selbständig erwerbender Einzelunternehmer (Einzelunternehmen), tätig unter der Geschäftsbezeichnung «Agence Vautier», Avenue Cardinal Mermillod 36, 1227 Carouge, Schweiz («Vautier», «wir»).

1.2 Für alle Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte: contact@agencevautier.ch, +41 22 300 08 29.

1.3 Vautier hat keinen Datenschutzberater ernannt; diese Ernennung ist nach Schweizer Recht freiwillig.

2. Geltungsbereich

2.1 Diese Erklärung gilt für die Website vautier.store, für die Konten der Händler und ihrer Teammitglieder, für die Nutzung des Dashboards von Vautier Store und für an uns gerichtete Anfragen.

2.2 Kauft eine Person in einem auf Vautier Store gehosteten Shop ein, entscheidet der Händler, der den Shop betreibt, welche Daten zu welchen Zwecken erhoben werden: Der Händler ist der Verantwortliche und muss seine Kunden informieren (jeder Shop verfügt über Seiten für seine eigene Datenschutzerklärung, deren Inhalt der Händler verfasst). Vautier bearbeitet diese Daten als Auftragsbearbeiter, im Auftrag und nach den Weisungen des Händlers (Ziffer 9).

2.3 Vautier bearbeitet zudem für eigene Rechnung die Daten, die für die Sicherheit der Plattform und die Erfüllung seiner gesetzlichen Pflichten erforderlich sind.

3. Welche Daten wir bearbeiten

• Kontodaten: E-Mail-Adresse; Name (sofern angegeben oder von Google übermittelt); Rolle im Team (Inhaber, Administrator, Mitarbeiter); Datum der Erstellung und der Verifizierung des Kontos; Sprache.
• Anmeldedaten: Einmal-Anmeldecodes, nur in nicht umkehrbarer Form gespeichert; Passwörter der Teammitglieder, die solche verwenden, nur gehasht gespeichert; Sitzungscookies; bei der Anmeldung mit Google: Kennung des Google-Kontos und E-Mail-Adresse.
• Daten des Shops und des Unternehmens: Name des Shops und des Unternehmens, Adresse, Kontaktangaben, erfasste Unternehmenskennungen, veröffentlichte Inhalte, Einstellungen.
• Einladungsdaten: E-Mail-Adresse der eingeladenen Personen, Rolle und Status der Einladung.
• Abonnementdaten, ab Freischaltung des Online-Abschlusses von Abonnements: Plan, Abrechnungszeitraum, Status, Referenzen der Kunden- und Abonnementdatensätze bei Stripe, Rechnungen. Die Kartendaten werden bei Stripe eingegeben und von Vautier nicht gespeichert.
• Nachrichten: Inhalt des Kontaktformulars (Name, E-Mail, Unternehmen, Betreff, Nachricht) oder Ihrer E-Mails.
• Zustimmung zu den Dokumenten: akzeptierte Version der Allgemeinen Geschäftsbedingungen und Datum der Zustimmung; bei der Registrierung angezeigte Version dieser Erklärung.
• Technische Daten und Sicherheitsdaten: IP-Adresse, Browsertyp, aufgerufene Seiten und Funktionen, Datum und Uhrzeit (Zugriffsprotokolle des Servers); Zähler der Anmeldeversuche pro IP-Adresse und pro E-Mail-Adresse; Protokoll der administrativen Handlungen, mit der IP-Adresse der handelnden Person; Fehlerprotokolle.

4. Weshalb wir diese Daten bearbeiten

• Erbringung des Dienstes: Ihr Konto und Ihren Shop erstellen und verwalten, Ihr Team verwalten, die Funktionen Ihres Plans bereitstellen (Vertragserfüllung; Art. 6 Abs. 1 lit. b der EU-Datenschutz-Grundverordnung (DSGVO), soweit die DSGVO anwendbar ist).
• Sichere Identifizierung: Ihre E-Mail-Adresse verifizieren, die Anmeldecodes senden, ein Google-Konto nach Bestätigung per Code verknüpfen (Vertrag; berechtigtes Interesse an der Sicherheit, Art. 6 Abs. 1 lit. f DSGVO).
• Abrechnung, ab Freischaltung des Online-Abschlusses von Abonnements: Abonnements, Zahlungen und Rechnungen verwalten und die Buchhaltung führen (Vertrag; rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO).
• Kommunikation mit Ihnen: Ihre Nachrichten beantworten und Sie über Änderungen des Dienstes, der Bedingungen oder dieser Erklärung informieren (berechtigtes Interesse; Vertrag).
• Sicherheit und Verhinderung von Missbrauch: Anmeldeversuche begrenzen, Vorfälle erkennen und behandeln, administrative Handlungen protokollieren (berechtigtes Interesse; rechtliche Verpflichtung).
• Beweis und gesetzliche Pflichten: die Zustimmung zu den Bedingungen speichern, Buchhaltungsbelege aufbewahren, Anfragen von Behörden beantworten (rechtliche Verpflichtung; berechtigtes Interesse).

Nach Schweizer Recht benötigt eine Bearbeitung, die den Grundsätzen des Bundesgesetzes über den Datenschutz (DSG) entspricht, keinen Rechtfertigungsgrund; ist ein solcher erforderlich, liefert ihn die Vertragserfüllung oder ein überwiegendes Interesse. Die Zustimmung zu den Allgemeinen Geschäftsbedingungen gilt nicht als Einwilligung in jede hier beschriebene Bearbeitung; wir holen eine Einwilligung nur dort ein, wo das Gesetz es verlangt. Wir versenden keine Werbemitteilungen.

5. Anmeldung per E-Mail-Code

5.1 Bei der Anmeldung oder Registrierung senden wir einen 6-stelligen Code an Ihre E-Mail-Adresse. Der Code ist 5 Minuten gültig, kann nur einmal verwendet werden und funktioniert nur in dem Browser, der ihn angefordert hat; nach 5 Fehlversuchen wird er ungültig. Wir speichern nur eine nicht umkehrbare Form des Codes; sie wird einen Tag nach Ablauf gelöscht.

5.2 Ein Händlerkonto wird erst nach Bestätigung der Adresse durch den Code erstellt. Registrierungen, die mit einem früheren Verifizierungslink begonnen und nie bestätigt wurden, werden nach 7 Tagen gelöscht.

5.3 Ist einer Adresse kein Konto zugeordnet, senden wir eine E-Mail mit dem Hinweis, dass kein Konto besteht, um Dritten nicht offenzulegen, welche Adressen registriert sind.

6. Anmeldung mit Google

6.1 Wählen Sie «Weiter mit Google», bestätigt uns Google Ihre Identität. Wir fragen nur Ihr Basisprofil ab: Kennung des Google-Kontos, E-Mail-Adresse (und Bestätigung ihrer Verifizierung durch Google) und Name. Wir erhalten Ihr Google-Passwort nicht und verlangen keinen Zugriff auf Ihre E-Mails, Dateien oder Kontakte.

6.2 Wir speichern die Kennung des Google-Kontos und die E-Mail-Adresse zusammen mit Ihrem Konto, um Sie bei späteren Anmeldungen wiederzuerkennen; Ihr Name wird in Ihr Profil übernommen. Gehört die E-Mail-Adresse bereits zu einem Konto bei Vautier Store, bitten wir Sie, mittels eines an diese Adresse gesendeten Codes zu bestätigen, bevor wir die beiden verknüpfen.

6.3 Google bearbeitet die Daten nach seiner eigenen Datenschutzerklärung (policies.google.com/privacy).

7. Cookies und Speicherung im Browser

7.1 Wir verwenden nur Cookies und Speicher, die für den Betrieb der Website und des Dashboards erforderlich sind. Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies und keine Tracking-Werkzeuge Dritter; die Schriften werden von unseren eigenen Servern ausgeliefert.

7.2 Verwendete Cookies und Speicher:

• sid und zugehörige Sitzungscookies (Dashboard): Sie angemeldet halten; laufen spätestens 170 Stunden nach der letzten Nutzung oder bei der Abmeldung ab.
• __Host-vx_auth (Dashboard): einen Anmeldecode mit dem Browser verknüpfen, der ihn angefordert hat; 30 Minuten.
• __Host-vx_gstate (Dashboard): den Hin- und Rückweg zu Google absichern; 10 Minuten.
• vautier_locale (Website vautier.store): die gewählte Sprache speichern; 1 Jahr.
• vautier.lang (lokaler Speicher, Anmelde- und Registrierungsseiten): die Sprache speichern; bis zur Löschung im Browser.
• vautier.sidebar (lokaler Speicher, Dashboard): den Zustand der Seitenleiste speichern; bis zur Löschung im Browser.

7.3 Sie können diese Elemente in Ihrem Browser löschen oder blockieren; die Anmeldung beim Dashboard funktioniert dann nicht mehr. Die in den Shops der Händler verwendeten Cookies müssen von jedem Händler in seiner eigenen Datenschutzerklärung beschrieben werden.

8. Empfänger und Dienstleister

8.1 Wir ziehen die folgenden Dienstleister bei, die Daten in unserem Auftrag oder, für ihre eigenen Dienste, als eigenständige Verantwortliche bearbeiten:

• Amazon Web Services (AWS): Hosting der Plattform, ihrer Datenbank und ihrer Dateien auf Servern in Frankfurt (Deutschland).
• Hostinger: E-Mail-Dienst (Versand der E-Mails der Plattform, Postfächer @vautier.store) und DNS-Dienst.
• Google: Anmeldung mit Google, sofern Sie diese wählen; öffentliche DNS-Auflösung für die Verifizierung eigener Domains (nur Domainnamen).
• Cloudflare: öffentliche DNS-Auflösung für die Verifizierung eigener Domains (nur Domainnamen, keine Personendaten).
• Let's Encrypt (Internet Security Research Group): Sicherheitszertifikate für die Adressen der Plattform und die eigenen Domains (nur Domainnamen).
• Der Anbieter des Postfachs der in Ziffer 1.2 angegebenen Kontaktadresse: Empfang der Nachrichten aus dem Kontaktformular und der an uns gerichteten E-Mails.
• Stripe, erst ab Freischaltung des Online-Abschlusses von Abonnements oder der Online-Zahlung in den Shops: Zahlung der Abonnements und Online-Zahlungen auf das eigene Stripe-Konto des Händlers.

8.2 Wir verkaufen keine Personendaten. Wir geben Daten nur an Behörden weiter, wenn uns das Gesetz dazu verpflichtet.

9. Daten der Kunden der Shops

9.1 Für die Shops der Händler bearbeitet Vautier im Auftrag des Händlers insbesondere: Name, E-Mail-Adresse und Telefonnummer der Kunden; ihre Lieferadressen; ihre Bestellungen und Warenkörbe; die Anmeldecodes der Kunden, in nicht umkehrbarer Form; die Sitzungscookies der Shops. Diese Daten sind von denjenigen aller anderen Shops getrennt.

9.2 Die Kunden eines Shops müssen ihre Anfragen zu ihren Daten an den Händler richten. Erreicht uns eine Anfrage direkt, leiten wir sie an den Händler weiter.

10. Speicherort und Bekanntgabe ins Ausland

10.1 Die Datenbank und die Dateien der Plattform werden auf Servern in Frankfurt (Deutschland) gespeichert. Deutschland gehört zu den Staaten, deren Gesetzgebung nach Feststellung des Bundesrats einen angemessenen Schutz gewährleistet.

10.2 Verschlüsselte Sicherungskopien werden zudem vom Betreiber ausserhalb dieses Servers aufbewahrt.

10.3 Bestimmte Dienstleister, namentlich Google und Cloudflare sowie, ab seiner Aktivierung, Stripe, können Daten in den USA oder in anderen Ländern bearbeiten. Nach Schweizer Recht gewährleisten die USA einen angemessenen Schutz nur für Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind. Informationen über das Land der Bearbeitung und die für jeden Dienstleister geltenden Garantien erhalten Sie unter der in Ziffer 1.2 angegebenen Adresse.

11. Aufbewahrungsdauer

• Konto- und Shopdaten: während der Dauer des Kontos. Bei der Schliessung des Kontos erfolgt die Löschung manuell durch Vautier innert angemessener Frist, unter Vorbehalt gesetzlicher Aufbewahrungspflichten.
• Anmeldecodes (Händler und Kunden der Shops): einen Tag nach ihrem Ablauf gelöscht.
• Hin- und Rückwege der Google-Anmeldung: 10 Minuten.
• Unbestätigte Registrierungen aus früheren Links: 7 Tage.
• Datenexportdateien: 72 Stunden.
• Von der Plattform versandte E-Mails (Versandwarteschlange, einschliesslich Nachrichten aus dem Kontaktformular): 30 Tage.
• Fehlerprotokolle: 14 Tage.
• Aktivitätsprotokoll (Anmeldungen): 90 Tage.
• Protokoll der administrativen Handlungen: unbefristet; es enthält technische Kennungen und die IP-Adresse der handelnden Person, keine Daten der Kunden der Shops.
• Zugriffsprotokolle des Servers: automatisch nach ihrer Grösse erneuert.
• Rechnungen und Buchhaltungsbelege: während der gesetzlich vorgesehenen Dauer.
• Zustimmung zu den Bedingungen: während der Dauer des Kontos und darüber hinaus, solange sie zu Beweiszwecken erforderlich ist.
• Sicherungen: die laufenden Sicherungen auf dem Server werden nach 14 Tagen ersetzt; die vor Wartungsarbeiten erstellten Kopien und die verschlüsselten Kopien ausserhalb des Servers werden aufbewahrt, solange sie für eine Wiederherstellung erforderlich sind, und danach gelöscht.

Gelöschte Daten können in den Sicherungen bis zu deren Löschung fortbestehen.

12. Sicherheit

Wir schützen die Daten durch dem Risiko angemessene technische und organisatorische Massnahmen, insbesondere: verschlüsselte Verbindungen (HTTPS); Anmeldecodes und Passwörter nur in geschützter Form gespeichert; gespeicherte Geheimnisse verschlüsselt; strikte Trennung der Daten jedes Shops; Administrationszugriff beschränkt auf befugtes Personal, über eine eigene Adresse, mit Protokollierung der Änderungshandlungen; Begrenzung der Anmeldeversuche; verschlüsselte Sicherungskopien ausserhalb des Servers. Kein System ist vollkommen sicher. Bei einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, informieren wir gemäss dem Gesetz den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und, soweit erforderlich, die betroffenen Personen.

13. Anwendung der DSGVO

Vautier hat seinen Sitz in der Schweiz. Die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) kann auf bestimmte Bearbeitungen anwendbar sein, wenn wir unsere Dienste Personen in der Europäischen Union anbieten; in diesem Umfang werden Ihnen auch die Rechte nach der DSGVO gewährleistet. Die Europäische Kommission anerkennt, dass die Schweiz einen angemessenen Schutz gewährleistet.

14. Ihre Rechte

14.1 Nach dem DSG können Sie insbesondere Auskunft über Ihre Personendaten verlangen (kostenlos, Antwort grundsätzlich innert 30 Tagen), deren Berichtigung oder Löschung verlangen oder einer Bearbeitung widersprechen, unter Vorbehalt gesetzlicher Aufbewahrungspflichten; die Daten, die Sie uns bekanntgegeben haben, in einem gängigen elektronischen Format erhalten; und verlangen, dass bestrittene Daten mit einem entsprechenden Vermerk versehen werden.

14.2 Soweit die DSGVO anwendbar ist, haben Sie zudem das Recht auf Einschränkung der Bearbeitung und das Recht, eine erteilte Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmässigkeit der bis dahin erfolgten Bearbeitung berührt wird.

14.3 Zur Ausübung Ihrer Rechte schreiben Sie uns an die in Ziffer 1.2 angegebene Adresse. Wir können Sie auffordern, Ihre Identität nachzuweisen. Die Person mit der Rolle Inhaber kann die Daten des Shops zudem selbst über das Dashboard exportieren.

14.4 Sie können bei einer Aufsichtsbehörde Beschwerde einreichen: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch); in der Europäischen Union bei der Behörde Ihres Wohn- oder Arbeitsorts.

15. Automatisierte Entscheidungen

Wir treffen keine ausschliesslich auf einer automatisierten Bearbeitung beruhenden Entscheidungen, die für Sie mit einer Rechtsfolge verbunden sind oder Sie erheblich beeinträchtigen. Die automatischen Begrenzungen von Anmeldeversuchen sind vorübergehend und dienen ausschliesslich der Sicherheit.

16. Änderung dieser Erklärung

Vautier Store ist eine Plattform in ständiger Weiterentwicklung. Diese Erklärung kann aktualisiert werden, um der Entwicklung unserer Dienste, unserer Bearbeitungen oder der gesetzlichen Anforderungen Rechnung zu tragen; sie beschreibt stets unsere aktuellen Bearbeitungen. Jede Version ist datiert; die bei Ihrer Registrierung angezeigte Version wird zusammen mit Ihrem Konto gespeichert. Über wesentliche Änderungen informieren wir Sie vor deren Inkrafttreten per E-Mail, und wir holen Ihre Einwilligung ein, wenn das Gesetz es verlangt.