Datenschutzerklärung

Zuletzt aktualisiert

Diese Erklärung legt dar, welche Daten Buvard verarbeitet, aus welchen Gründen, mit wem sie geteilt werden und wie du die Kontrolle darüber zurückgewinnst. Sie beschreibt die tatsächliche Funktionsweise der App, einschließlich ihres heikelsten Punkts: Die Inhalte, die du importierst, werden an Drittanbieter außerhalb der Europäischen Union gesendet, um deine Karten zu erstellen.

Verantwortlicher

Verantwortlicher für die Verarbeitung ist Vincent Pruvost, Einzelunternehmer (entrepreneur individuel), SIRET 941 612 962 00022, befreit von der Eintragung in das RCS und das RM.

Es wurde kein Datenschutzbeauftragter benannt: Die Benennung ist hier nicht verpflichtend, da die Tätigkeit weder auf einer umfangreichen Überwachung noch auf der Verarbeitung sensibler Daten beruht.

Verarbeitete Daten

Buvard erhebt nur, was der Dienst zum Funktionieren benötigt. Konkret:

  • Konto: deine E-Mail-Adresse, ein Anzeigename, falls du einen angibst, dein Plan (kostenlos oder Pro), deine Nutzungszähler für den Monat, das Datum deiner letzten Anmeldung und deine Einstellungen (Sprache, Tagesziel, Standardeinstellungen für die Generierung).
  • Anmeldung: für jede Anforderung eines Magic Links ein Hash des Tokens, ein Hash der Challenge, die im anfordernden Browser hinterlegt wurde, die betreffende E-Mail-Adresse, die IP-Adresse, von der die Anforderung stammt, die Seite, zu der du nach der Anmeldung weitergeleitet werden wolltest, das Datum, an dem der Link verwendet wurde, und ein Ablaufdatum. Diese Einträge dienen der Validierung des Links und ermöglichen es, Missbrauch zu erkennen.
  • Importierte Inhalte: Eingefügter Text und aus deinen Dateien extrahierter Text werden im Arbeitsspeicher verarbeitet, um die Karten zu erstellen. Die Datei selbst wird niemals auf unseren Servern gespeichert. Vom Quelltext wird nur ein Auszug von 500 Zeichen zusammen mit dem Stapel aufbewahrt, damit du weißt, woher er stammt. Vor deiner Anmeldung wird dieser Text hingegen auf DEINEM Gerät im lokalen Speicher des Browsers abgelegt, damit er beim Umweg über dein E-Mail-Postfach nicht verloren geht: siehe Abschnitt „Cookies und lokaler Speicher“.
  • Stapel und Karten: Titel, Beschreibung, Ordner, Einstellungen sowie Vorder- und Rückseite jeder Karte – in der Praxis also ein Teil deiner Inhalte in umformulierter Form.
  • Lernfortschritt: für jede wiederholte Karte ihr Status (neu, in Lernphase, beherrscht), die Anzahl der Wiederholungen und das Datum der letzten Wiederholung.
  • Generierungsverlauf: Datum, Titel, Modus, verwendetes Modell, Anzahl der gesendeten Zeichen, Anzahl der erstellten Karten, Dauer und gegebenenfalls die Fehlermeldung. Der gesendete Text ist darin nicht enthalten.
  • Zahlung: Buvard verarbeitet und speichert keinerlei Bankdaten. Die Pässe werden von Polar verkauft, das die Zahlungs- und Rechnungsinformationen allein erhebt und aufbewahrt. Buvard erhält davon nur deine Kundenkennung, deine E-Mail-Adresse, den gekauften Pass und seine Gültigkeitsdaten – das unbedingt Notwendige, um dein Konto freizuschalten.

Zwecke und Rechtsgrundlagen

Jede Verarbeitung verfolgt einen bestimmten Zweck und beruht auf einer Rechtsgrundlage im Sinne der DSGVO:

  • Bereitstellung des Dienstes – Konto, Generierung, Wiederholung, Export: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
  • Versand der Anmeldelinks und kontobezogener Nachrichten: Vertragserfüllung.
  • Durchsetzung der Kontingente und Verhinderung von Missbrauch: berechtigtes Interesse am Schutz des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
  • Gewährleistung der Sicherheit und Diagnose technischer Fehler: berechtigtes Interesse.
  • Erfüllung buchhalterischer und gesetzlicher Pflichten: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

Keine Direktwerbung, kein Werbeprofiling, kein Verkauf von Daten. Sollte jemals ein Newsletter entstehen, wird er auf einer ausdrücklichen und gesonderten Einwilligung beruhen.

Deine Inhalte werden an OpenAI übermittelt, außerhalb der Europäischen Union

Das ist der Punkt, den du kennen solltest, bevor du irgendetwas importierst. Um deine Karten zu generieren, wird der von dir bereitgestellte Inhalt über die Programmierschnittstelle von OpenAI an OpenAI übermittelt, das Unternehmen, das die verwendeten Modelle herausgibt. Es handelt sich um eine Offenlegung deiner Inhalte gegenüber einem Drittunternehmen, dessen Verarbeitung in den Vereinigten Staaten stattfindet.

Betroffen sind: der in den Generator eingefügte Text und der aus deinen PDFs, Word-Dokumenten und Textdateien extrahierte Text. Die Bilder, die du importierst, werden an denselben Anbieter gesendet, dessen Vision-Modell die darin enthaltenen Zeichen erkennt. Die Textextraktion aus PDFs und Word-Dokumenten erfolgt hingegen auf unseren eigenen Servern, ohne Dritte.

Diese Übermittlung erfolgt in ein Land außerhalb der Europäischen Union. Sie ist durch die Standardvertragsklauseln der Europäischen Kommission abgesichert, denen OpenAI in seinen Datenverarbeitungsbedingungen beigetreten ist.

Praktische Konsequenz: Sende keine Gesundheitsdaten, personenbezogenen Daten Dritter, Berufsgeheimnisse oder vertraulichen Dokumente an Buvard. Kursunterlagen ja, eine Patientenakte nein.

Weitere Empfänger und Auftragsverarbeiter

Neben OpenAI sind folgende Dienstleister am Betrieb des Dienstes beteiligt:

  • Polar Software, Inc. – verkauft die Pässe als offizieller Verkäufer und wickelt die Zahlungen ab. Polar erhebt die Zahlungs- und Rechnungsinformationen selbst; sie laufen niemals über Buvard. Für diese Verarbeitung handelt Polar als EIGENSTÄNDIGER Verantwortlicher und nicht als Auftragsverarbeiter: Polar ist der Verkäufer, legt seine eigenen Zwecke fest und ist für seine steuerlichen Pflichten selbst verantwortlich. Die Datenschutzerklärung von Polar gilt daher eigenständig.
  • Resend – Versand der Anmelde-E-Mails. Erhält deine E-Mail-Adresse und den Inhalt der Nachricht.
  • Es ist kein Ersatz-SMTP-Anbieter eingerichtet: Schlägt der Versand über Resend fehl, erhält kein anderer Dienstleister deine Adresse.
  • OVH SAS (Frankreich) – hostet die Website, führt den Code aus und speichert Konten, Stapel, Karten, Verlauf und Lernfortschritt. Die Daten verbleiben in Frankreich.
  • Cloudflare, Inc. (Vereinigte Staaten) – liefert die Website aus und schützt sie vor Angriffen. Sieht die IP-Adressen und die Header der Anfragen, ohne auf die Inhalte der Konten zuzugreifen. Übernimmt außerdem die Reichweitenmessung (Cloudflare Web Analytics): Anzahl der Besuche, aufgerufene Seiten, verweisende Seite, Land und Gerätetyp, ohne Cookie und ohne dauerhafte Kennung und ohne Erstellung eines Profils von einem Besuch zum nächsten. Übermittlungen abgesichert durch die Standardvertragsklauseln der Europäischen Kommission.

Keine weiteren Empfänger. Kein Werbevermarkter, kein Verkauf von Daten und keine Reichweitenmessung außer der oben beschriebenen.

Speicherdauer

Es gelten folgende Fristen:

  • Konto, Stapel, Karten, Lernfortschritt, Ordner und Verlauf: werden aufbewahrt, solange das Konto besteht, und bei dessen Löschung sofort gelöscht.
  • Anmelde-Tokens (Hash, E-Mail-Adresse, IP-Adresse): fünfzehn Minuten gültig, nach Ablauf automatisch gelöscht.
  • Sitzungscookie: dreißig Tage, bei jeder Anmeldung erneuert.
  • Technische Protokolle: werden höchstens 30 Tage auf dem Server aufbewahrt und dann automatisch gelöscht. Sie enthalten die IP-Adresse, das Datum und die aufgerufene Seite und dienen ausschließlich der Sicherheit und der Fehlerdiagnose. Sie werden niemals mit deinem Konto abgeglichen.
  • Buchhaltungsunterlagen zu den Pässen: zehn Jahre ab dem Abschluss des Geschäftsjahres gemäß Artikel L123-22 des französischen Handelsgesetzbuchs (Code de commerce). Sie betreffen die von Polar erhaltenen Auszahlungen und nicht Kundenrechnungen – diese werden von Polar als Verkäufer des Passes ausgestellt und aufbewahrt.

Cookies und lokaler Speicher

Buvard setzt keine Werbetracker ein. Die Reichweitenmessung der Website erfolgt über Cloudflare Web Analytics, das weder Cookies noch sonstige Daten auf deinem Gerät speichert und dich nicht von einer Website zur nächsten verfolgt. Deshalb wird kein Einwilligungsbanner angezeigt: Außer den unten aufgeführten Cookies, die für den von dir angeforderten Dienst unbedingt erforderlich und daher von der vorherigen Einwilligung ausgenommen sind, wird nichts auf deinem Endgerät gespeichert.

  • buvard_session – hält deine Sitzung aufrecht. Signiert, für das JavaScript der Seite nicht zugänglich, dreißig Tage.
  • buvard_challenge – verknüpft einen Magic Link mit dem Browser, der ihn angefordert hat, damit ein abgefangener Link nicht anderswo verwendet werden kann. Fünfzehn Minuten.
  • NEXT_LOCALE – speichert die gewählte Anzeigesprache. Ein Jahr.
  • buvard_sidebar – speichert, ob die Seitenleiste der App eingeklappt ist. Ein Jahr.
  • buvard:draft – lokaler Speicher, kein Cookie: der Generierungsentwurf, also der Text, den du eingefügt hast oder der aus deinen Dateien extrahiert wurde (bis zu 300.000 Zeichen), der vorgeschlagene Titel und die Namen der Dokumente. Er bleibt auf deinem Gerät, wird nur eine Stunde lang wieder aufgegriffen und gelöscht, sobald die Generierung abgeschlossen ist, bei deinem nächsten Besuch, falls er abgelaufen ist, oder über die Funktion „Websitedaten löschen“ deines Browsers.
  • buvard:decks-view – lokaler Speicher: speichert, ob deine Stapel als Raster oder als Liste angezeigt werden.

Die letzten beiden Einträge sind keine Cookies: Sie liegen im lokalen Speicher des Browsers, werden niemals an unsere Server gesendet und verlassen das Gerät nicht, auf dem sie geschrieben wurden. Der Entwurf ist der einzige Ort, an dem deine Inhalte außerhalb deines Kontos gespeichert werden; wenn du das nicht möchtest, lösche die Websitedaten nach deiner Generierung.

Keines dieser Cookies verfolgt dein Surfverhalten außerhalb von Buvard.

Deine Rechte

Du hast ein Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit in Bezug auf deine Daten sowie das Recht, Verfügungen darüber zu treffen, was nach deinem Tod mit ihnen geschieht.

Diese Rechte kannst du kostenlos ausüben, und die Löschung deines Kontos musst du nicht begründen.

So übst du sie in der App aus

Zwei dieser Rechte sind direkt in Buvard umgesetzt, ohne dass du jemandem schreiben musst: Öffne in der App den Bildschirm „Einstellungen“, Reiter „Daten“.

  • Auskunft und Datenübertragbarkeit: „Als JSON exportieren“ erzeugt eine Datei mit deinem Konto, deinen Stapeln, deinen Karten und deinem Generierungsverlauf. Jeder Stapel kann außerdem im Format .apkg exportiert werden, das Anki lesen kann.
  • Löschung: „Mein Konto löschen“ löscht kaskadierend dein Konto, deine Stapel, deine Karten, deinen Lernfortschritt, deine Ordner, deinen Verlauf und die mit deiner Adresse verknüpften Anmelde-Tokens. Das geschieht sofort und endgültig – exportiere vorher.
  • Berichtigung: Deinen Anzeigenamen, deine Sprache und deine Einstellungen änderst du auf demselben Bildschirm.

Für die übrigen Rechte oder wenn du keinen Zugriff mehr auf dein Konto hast, schreib an [email protected]. Wir antworten gemäß der DSGVO innerhalb eines Monats.

Sicherheit

Es gibt kein Passwort und damit auch keine Passwortdatenbank, die kompromittiert werden könnte. Anmelde-Tokens werden nur als Hash gespeichert, das Sitzungscookie ist kryptografisch signiert und für das JavaScript der Seite nicht lesbar, und die Kommunikation erfolgt über HTTPS.

Dennoch ist kein System unfehlbar. Im Fall einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein hohes Risiko für deine Rechte zur Folge hat, wirst du gemäß Artikel 34 DSGVO benachrichtigt.

Minderjährige

Buvard richtet sich an Oberstufenschüler, Studierende und Berufstätige. Der Dienst ist Personen ab 15 Jahren vorbehalten: In Frankreich kann ein Minderjähriger unter fünfzehn Jahren nicht allein in die Verarbeitung seiner Daten für einen Online-Dienst einwilligen. Das Alter wird bei der Registrierung angegeben und nicht anhand eines Nachweises überprüft; erfahren wir, dass ein Konto einer Person unter 15 Jahren gehört, wird es gelöscht.

Änderungen

Diese Erklärung kann sich ändern, insbesondere wenn ein Auftragsverarbeiter wechselt. Das Datum der letzten Aktualisierung steht oben auf der Seite, und jede wesentliche Änderung wird den Kontoinhabern mitgeteilt.

Kontakt und Beschwerde

Bei Fragen oder um ein Recht auszuüben: [email protected].

Wenn dich unsere Antwort nicht zufriedenstellt, kannst du dich an die französische Datenschutzaufsichtsbehörde Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, oder an die Aufsichtsbehörde deines Wohnsitzlandes wenden.