Privacy Policy
1. Who is the controller
Juan Diaz LLC, a Delaware (USA) Limited Liability Company, is the data controller for personal data processed via diazatlas.com and the Diaz Editor desktop application.
- Postal address: see /imprint (Delaware, USA)
- Email: juan@diazatlas.com
- EU representative under GDPR art. 27: appointment in progress
2. What we process and why
| Data | Purpose | Lawful basis (GDPR art. 6) | Retention |
|---|---|---|---|
| Email, name, country | Issue + email license key, support | art. 6(1)(b) contract | License lifetime + 7 yr (tax) |
| Trial signup: name, email, phone, optional company, device fingerprint (hashed), IP (hashed) and the country derived from it, operating system, marketing opt-in | Provision the 14-day trial, prevent trial-abuse/fraud, optional product updates | art. 6(1)(b) pre-contract + (f) fraud-prevention; marketing = (a) consent | 2 yr after trial expiry, then anonymised |
| Stripe customer ID, payment metadata | Process purchase, refund, fraud-prevention | art. 6(1)(b) contract + (c) legal obligation (tax) | 10 yr (Dutch tax law) |
| License key + usage timestamps | License validation handshake (IP + key only) | art. 6(1)(b) contract | License lifetime |
| Affiliate referral cookie (90 days) | Track partner-attributed sales | art. 6(1)(a) consent (cookie banner) | 90 days |
| Anonymous analytics (Vercel Web Analytics + Google Analytics 4) | Site improvement | art. 6(1)(a) consent (opt-in EU/UK/CA) | Vercel 30 days; GA4 14 months |
| Server access logs | Security, abuse-prevention | art. 6(1)(f) legitimate interest | 30 days |
| Update events: current and target version, update status, error message, plus a device fingerprint. Unlicensed installations send the fingerprint too; only the license key is then absent (the literal “no-license” is sent instead). Switchable off under Help → “Send update diagnostics”. | Deliver updates you paid for, diagnose failed updates | art. 6(1)(b) contract (licensed) + (f) legitimate interest | 12 months |
| Map background and address lookup: when you switch on a map layer or look up an address in the desktop app (both off by default), your device contacts PDOK (Dutch Kadaster) or OpenStreetMap directly. They see your IP address and the area in view, or — for a lookup — the address you typed. The app identifies itself by name and version only; since 18 Aug 2026 it no longer sends your operating system or language. This traffic does not pass through our servers and we receive none of it. | Show an aerial photo or street map behind your drawing, and find a location by address | art. 6(1)(b) contract — a feature you switched on | Nothing stored by us; see the PDOK and OSM policies |
The app collects no usage data. Diaz Editor sends nothing about what you draw, which tools you use, or which files you open. It did until 28 July 2026; that was removed, and the server which received it now refuses every request. What remains is the update check in the row above — the way you receive the updates included with your license.
3. Who we share data with (sub-processors)
- Stripe Payments Europe Ltd. (Ireland) — payments. DPA. EU + DPF.
- Supabase Inc. (USA, EU host: Paris/eu-west-3) — database + edge functions. DPA. SCCs.
- Resend.com (USA, EU region: Frankfurt) — transactional email delivery. DPA. SCCs.
- Vercel Inc. (USA) — site hosting + CDN. DPA. SCCs.
- Google LLC (USA) — Google Analytics 4 (opt-in only, anonymised IP, no ad-signals). DPA. SCCs + DPF.
- Telegram Messenger Inc. — operational alerts to the founder when a download, trial signup or purchase comes in. These messages carry no personal data. They state what happened plus non-identifying context (platform, language, campaign, licence tier, amount) and where to look it up. Your name and email address never leave our own database. Telegram offers no art. 28 processing agreement for data routed through its Bot API, which is exactly why nothing identifying is sent. Privacy policy.
No data is sold or shared for advertising. No third-party advertising trackers are loaded.
4. International transfers (GDPR art. 44–49)
The controller is a US entity. Personal data may be processed in the USA. Transfers rely on EU Commission Standard Contractual Clauses (Decision 2021/914) with each US sub-processor. Stripe additionally relies on the EU–US Data Privacy Framework. You may request a copy of the transfer mechanism documentation.
5. Your rights (GDPR art. 12–22, UK GDPR, CCPA/CPRA)
- Access — request a copy of your data
- Rectification — correct inaccurate data
- Erasure ("right to be forgotten") — we delete in Stripe (where law allows), Supabase, Resend
- Restriction — limit our processing
- Portability — receive a machine-readable export
- Object — to processing based on legitimate interest
- Withdraw consent — at any time, without affecting prior lawful processing
- California (CCPA/CPRA) — Right to know, delete, correct, opt-out of sale/sharing (we do not sell), and limit use of sensitive PI. Use the "Do Not Sell or Share" link in the page footer.
- Complaint — lodge a complaint with your supervisory authority (NL: AP; ES: AEPD; UK: ICO; or your local DPA)
To exercise any right: email juan@diazatlas.com with subject line "Privacy request". Response within 30 days (GDPR art. 12(3)) or 45 days (CCPA).
6. Cookies & tracking
Strictly-necessary cookies are always on (session, language preference, consent storage). Anonymous analytics (Vercel Web Analytics + Speed Insights, and Google Analytics 4) is opt-in for visitors in the EU, UK, and Canada (default deny) and opt-out elsewhere. Both load only after consent. Manage via the "Privacy settings" link in the page footer. No advertising trackers, no third-party profiling.
7. Security
HTTPS enforced (HSTS preload). License keys are HMAC-signed. Database access is role-restricted (Supabase RLS). Secrets are vaulted (Supabase Vault + GitHub Secrets). Breach notification within 72 h (GDPR art. 33) to the lead supervisory authority and affected users where high risk (art. 34).
8. Children
Not directed at children under 16. We do not knowingly process data of minors.
9. Changes to this notice
We update this policy when processing changes. Material changes are emailed to active license-holders. Version history available on request.
1. Wie is de verwerkingsverantwoordelijke
Juan Diaz LLC, een Limited Liability Company gevestigd in Delaware (VS), is verwerkingsverantwoordelijke voor persoonsgegevens verwerkt via diazatlas.com en de Diaz Editor desktop-applicatie.
- Postadres: zie /imprint (Delaware, VS)
- Email: juan@diazatlas.com
- EU-vertegenwoordiger (AVG art. 27): aanstelling in voorbereiding
2. Welke gegevens en waarom
| Gegeven | Doel | Grondslag (AVG art. 6) | Bewaartermijn |
|---|---|---|---|
| Email, naam, land | License-key uitgeven + ondersteunen | art. 6(1)(b) overeenkomst | License-duur + 7 jr (fiscaal) |
| Trial-aanmelding: naam, email, telefoon, optioneel bedrijfsnaam, device-fingerprint (gehasht), IP (gehasht) en het daaruit afgeleide land, besturingssysteem, marketing opt-in | 14-daagse trial leveren, trial-misbruik/fraude voorkomen, optionele product-updates | art. 6(1)(b) pre-contract + (f) fraude-preventie; marketing = (a) toestemming | 2 jr na trial-einde, daarna geanonimiseerd |
| Stripe klant-ID, betaal-metadata | Aankoop, restitutie, fraude-preventie | art. 6(1)(b) overeenkomst + (c) wettelijke plicht | 10 jr (NL fiscaal) |
| License-key + gebruiksdatums | Validatie-handshake (IP + key) | art. 6(1)(b) overeenkomst | License-duur |
| Affiliate-cookie (90 dagen) | Partner-attributie verkopen | art. 6(1)(a) toestemming | 90 dagen |
| Anonieme analytics (Vercel Web Analytics + Google Analytics 4) | Site verbeteren | art. 6(1)(a) toestemming (opt-in EU/UK/CA) | Vercel 30 dagen; GA4 14 maanden |
| Server-logs | Beveiliging, misbruik-preventie | art. 6(1)(f) gerechtvaardigd belang | 30 dagen |
| Update-gebeurtenissen: huidige en doelversie, status, foutmelding, plus een apparaatvingerafdruk. Ook zonder licentie gaat die vingerafdruk mee; alleen de licentiesleutel ontbreekt dan (er gaat dan letterlijk “no-license” mee). Uit te zetten via Help → “Update-diagnostiek versturen”. | Updates leveren waarvoor je betaald hebt, mislukte updates onderzoeken | art. 6(1)(b) overeenkomst (met licentie) + (f) gerechtvaardigd belang | 12 maanden |
| Kaartachtergrond en adres opzoeken: zet je in de desktop-app een kaartlaag aan of zoek je een adres op (beide standaard uit), dan neemt je apparaat rechtstreeks contact op met PDOK (Kadaster) of OpenStreetMap. Zij zien je IP-adres en het gebied in beeld, of — bij een adres opzoeken — het adres dat je intypt. De app noemt daarbij alleen haar naam en versie; sinds 18 aug 2026 gaan je besturingssysteem en taal niet meer mee. Dat verkeer loopt niet langs onze servers en wij ontvangen er niets van. | Een luchtfoto of stratenkaart achter je tekening tonen, en een locatie op adres vinden | art. 6(1)(b) overeenkomst — een functie die je zelf aanzet | Bij ons niets; zie het beleid van PDOK en OSM |
De app verzamelt geen gebruiksgegevens. Diaz Editor stuurt niets over wat je tekent, welk gereedschap je gebruikt of welke bestanden je opent. Tot 28 juli 2026 gebeurde dat wel; dat is verwijderd, en de server die het ontving weigert nu elk verzoek. Wat overblijft is de update-controle uit de regel hierboven — de manier waarop je de updates krijgt die bij je licentie horen.
3. Met wie delen wij gegevens (sub-verwerkers)
- Stripe Payments Europe Ltd. (Ierland) — betalingen. DPA. EU + DPF.
- Supabase Inc. (VS, EU-host: Parijs/eu-west-3) — database + edge functions. DPA. SCCs.
- Resend.com (VS, EU-regio: Frankfurt) — transactionele email. DPA. SCCs.
- Vercel Inc. (VS) — hosting + CDN. DPA. SCCs.
- Google LLC (VS) — Google Analytics 4 (alleen na opt-in, geanonimiseerd IP, geen ad-signalen). DPA. SCCs + DPF.
- Telegram Messenger Inc. — operationele meldingen aan de oprichter zodra er een download, proefaanmelding of aankoop binnenkomt. Die berichten bevatten geen persoonsgegevens. Ze melden wát er gebeurde plus niet-herleidbare context (platform, taal, campagne, licentiesoort, bedrag) en waar het op te zoeken is. Je naam en e-mailadres verlaten onze eigen database niet. Telegram biedt geen verwerkersovereenkomst onder art. 28 voor gegevens die via de Bot API lopen, en juist daarom gaat er niets herleidbaars heen. Privacybeleid.
Geen verkoop van gegevens. Geen advertentie-trackers van derden.
4. Doorgifte buiten EU (AVG art. 44–49)
De verantwoordelijke is een US-entiteit. Persoonsgegevens kunnen in de VS verwerkt worden. Doorgifte op basis van EU Standaardcontractbepalingen (Besluit 2021/914) met elke US-subverwerker. Stripe rekent ook op het EU–US Data Privacy Framework. Documentatie op verzoek beschikbaar.
5. Jouw rechten (AVG art. 12–22)
- Inzage — kopie van jouw gegevens opvragen
- Rectificatie — onjuiste gegevens corrigeren
- Vergetelheid — wij verwijderen in Stripe (waar toegestaan), Supabase, Resend
- Beperking — verwerking beperken
- Overdraagbaarheid — machine-leesbare export ontvangen
- Bezwaar — tegen verwerking op basis van gerechtvaardigd belang
- Toestemming intrekken — op elk moment, zonder gevolgen voor eerder rechtmatige verwerking
- Klacht — bij Autoriteit Persoonsgegevens
Verzoek indienen: mail juan@diazatlas.com met onderwerp "Privacy-verzoek". Reactie binnen 30 dagen (AVG art. 12(3)).
6. Cookies & tracking
Strikt-noodzakelijke cookies altijd aan (sessie, taal, consent-opslag). Anonieme analytics (Vercel Web Analytics + Speed Insights, en Google Analytics 4) is opt-in voor bezoekers in EU/UK/CA (default uit) en laadt pas ná toestemming. Beheer via de "Privacy-instellingen"-link in de footer. Geen advertentie-trackers.
7. Beveiliging
HTTPS afgedwongen (HSTS preload). License-keys HMAC-getekend. Database-toegang rol-beperkt (Supabase RLS). Secrets in vault. Inbreukmelding binnen 72 u (AVG art. 33) aan de bevoegde toezichthouder; aan betrokkenen bij hoog risico (art. 34).
8. Kinderen
Niet gericht op kinderen onder 16. Wij verwerken bewust geen gegevens van minderjarigen.
9. Wijzigingen
Wijzigingen worden bij actieve license-houders per email gemeld. Versiegeschiedenis op verzoek.
1. Quién es el responsable del tratamiento
Juan Diaz LLC, sociedad de responsabilidad limitada (LLC) constituida en Delaware (EE. UU.), es el responsable del tratamiento de los datos personales procesados a través de diazatlas.com y de la aplicación de escritorio Diaz Editor.
- Dirección postal: ver /imprint (Delaware, EE. UU.)
- Correo: juan@diazatlas.com
- Representante UE (RGPD art. 27): designación en curso
2. Qué datos tratamos y por qué
| Dato | Finalidad | Base jurídica (RGPD art. 6) | Plazo |
|---|---|---|---|
| Correo, nombre, país | Emisión de licencia + soporte | art. 6(1)(b) contrato | Vida de la licencia + 7 años (fiscal) |
| Registro de prueba: nombre, correo, teléfono, empresa opcional, huella de dispositivo (hash), IP (hash) y el país derivado de ella, sistema operativo, opt-in de marketing | Proveer la prueba de 14 días, prevenir abuso/fraude de prueba, actualizaciones opcionales | art. 6(1)(b) precontrato + (f) prevención de fraude; marketing = (a) consentimiento | 2 años tras expirar la prueba, luego anonimizado |
| ID de cliente Stripe, metadatos de pago | Compra, reembolso, prevención de fraude | art. 6(1)(b) contrato + (c) obligación legal | 10 años (fiscal NL) |
| Clave de licencia + marcas de uso | Validación (IP + clave) | art. 6(1)(b) contrato | Vida de la licencia |
| Cookie de afiliado (90 días) | Atribución de ventas a partners | art. 6(1)(a) consentimiento | 90 días |
| Analítica anónima (Vercel Web Analytics + Google Analytics 4) | Mejora del sitio | art. 6(1)(a) consentimiento (opt-in EU/UK/CA) | Vercel 30 días; GA4 14 meses |
| Logs de servidor | Seguridad, prevención de abuso | art. 6(1)(f) interés legítimo | 30 días |
| Eventos de actualización: versión actual y de destino, estado, mensaje de error, más una huella del dispositivo. Sin licencia también se envía la huella; solo falta entonces la clave de licencia (se envía literalmente “no-license”). Desactivable en Ayuda → “Enviar diagnóstico de actualizaciones”. | Entregar las actualizaciones que pagaste, diagnosticar fallos | art. 6(1)(b) contrato (con licencia) + (f) interés legítimo | 12 meses |
| Fondo de mapa y búsqueda de dirección: si activas una capa de mapa o buscas una dirección en la app de escritorio (ambos desactivados por defecto), tu dispositivo contacta directamente con PDOK (Kadaster neerlandés) u OpenStreetMap. Ellos ven tu IP y la zona en pantalla o, al buscar, la dirección que escribes. La app solo indica su nombre y versión; desde el 18 ago 2026 ya no envía tu sistema operativo ni tu idioma. Ese tráfico no pasa por nuestros servidores y no recibimos nada. | Mostrar una ortofoto o un callejero detrás de tu dibujo, y localizar por dirección | art. 6(1)(b) contrato — una función que activas tú | Nada por nuestra parte; consulta las políticas de PDOK y OSM |
La app no recoge datos de uso. Diaz Editor no envía nada sobre lo que dibujas, qué herramientas usas ni qué archivos abres. Hasta el 28 de julio de 2026 sí lo hacía; se eliminó, y el servidor que lo recibía ahora rechaza cualquier petición. Queda la comprobación de actualizaciones de la fila anterior — la vía por la que recibes las actualizaciones incluidas en tu licencia.
3. Con quién compartimos datos (subencargados)
- Stripe Payments Europe Ltd. (Irlanda) — pagos. DPA. UE + DPF.
- Supabase Inc. (EE. UU., host UE: París/eu-west-3) — base de datos + edge functions. DPA. CCEs.
- Resend.com (EE. UU., región UE: Frankfurt) — correo transaccional. DPA. CCEs.
- Vercel Inc. (EE. UU.) — alojamiento + CDN. DPA. CCEs.
- Google LLC (EE. UU.) — Google Analytics 4 (solo tras opt-in, IP anonimizada, sin señales publicitarias). DPA. CCEs + DPF.
- Telegram Messenger Inc. — avisos operativos al fundador cuando entra una descarga, un alta de prueba o una compra. Esos mensajes no contienen datos personales. Indican qué ocurrió más contexto no identificativo (plataforma, idioma, campaña, tipo de licencia, importe) y dónde consultarlo. Tu nombre y tu correo no salen de nuestra propia base de datos. Telegram no ofrece contrato de encargado del art. 28 para datos enviados por su Bot API, y precisamente por eso no se envía nada identificativo. Política de privacidad.
No vendemos ni compartimos datos para publicidad. No cargamos rastreadores publicitarios de terceros.
4. Transferencias internacionales (RGPD art. 44–49)
El responsable es una entidad estadounidense. Los datos pueden tratarse en EE. UU. Las transferencias se basan en las Cláusulas Contractuales Tipo de la UE (Decisión 2021/914) firmadas con cada subencargado en EE. UU. Stripe se acoge además al EU–US Data Privacy Framework. Documentación disponible bajo petición.
5. Tus derechos (RGPD art. 12–22, LOPDGDD)
- Acceso — solicitar copia de tus datos
- Rectificación — corregir datos inexactos
- Supresión ("derecho al olvido") — eliminamos en Stripe (cuando la ley lo permite), Supabase, Resend
- Limitación del tratamiento
- Portabilidad — exportación legible por máquina
- Oposición al tratamiento basado en interés legítimo
- Retirar consentimiento — en cualquier momento
- Reclamación ante la Agencia Española de Protección de Datos (AEPD)
Para ejercer cualquier derecho: escribe a juan@diazatlas.com con asunto "Solicitud de privacidad". Respuesta en 30 días (RGPD art. 12(3)).
6. Cookies y rastreo
Cookies estrictamente necesarias siempre activas (sesión, idioma, consentimiento). Analítica anónima (Vercel Web Analytics + Speed Insights, y Google Analytics 4) es opt-in en UE/RU/CA (denegado por defecto) y solo carga tras el consentimiento. Gestiona desde "Configuración de privacidad" en el pie de página. Sin rastreadores publicitarios.
7. Seguridad
HTTPS obligatorio (HSTS preload). Claves de licencia firmadas con HMAC. Acceso a base de datos restringido por roles (Supabase RLS). Secretos en vault. Notificación de brechas en 72 h (RGPD art. 33) a la autoridad competente; a los afectados en caso de alto riesgo (art. 34).
8. Menores
No dirigido a menores de 16 años. No tratamos conscientemente datos de menores.
9. Cambios
Cambios materiales se notifican por correo a los titulares de licencia activos. Historial de versiones bajo petición.
1. Wer ist der Verantwortliche
Juan Diaz LLC, eine Limited Liability Company mit Sitz in Delaware (USA), ist Verantwortlicher für personenbezogene Daten, die über diazatlas.com und die Diaz-Editor-Desktopanwendung verarbeitet werden.
- Postanschrift: siehe /imprint (Delaware, USA)
- E-Mail: juan@diazatlas.com
- EU-Vertreter (DSGVO Art. 27): Benennung in Vorbereitung
2. Welche Daten und wozu
| Daten | Zweck | Rechtsgrundlage (DSGVO Art. 6) | Speicherdauer |
|---|---|---|---|
| E-Mail, Name, Land | Lizenzschlüssel ausstellen + Support | Art. 6(1)(b) Vertrag | Lizenzdauer + 7 Jahre (steuerlich) |
| Testphase-Anmeldung: Name, E-Mail, Telefon, optional Firmenname, Geräte-Fingerabdruck (gehasht), IP (gehasht) und das daraus abgeleitete Land, Betriebssystem, Marketing-Opt-in | 14-tägige Testphase bereitstellen, Missbrauch und Betrug verhindern, optionale Produkt-Updates | Art. 6(1)(b) vorvertraglich + (f) Betrugsprävention; Marketing = (a) Einwilligung | 2 Jahre nach Ablauf der Testphase, danach anonymisiert |
| Stripe-Kunden-ID, Zahlungs-Metadaten | Kauf, Rückerstattung, Betrugsprävention | Art. 6(1)(b) Vertrag + (c) rechtliche Verpflichtung | 10 Jahre (niederländisches Steuerrecht) |
| Lizenzschlüssel + Nutzungszeitpunkte | Validierung (IP + Schlüssel) | Art. 6(1)(b) Vertrag | Lizenzdauer |
| Affiliate-Cookie (90 Tage) | Zuordnung von Verkäufen zu Partnern | Art. 6(1)(a) Einwilligung | 90 Tage |
| Anonyme Analyse (Vercel Web Analytics + Google Analytics 4) | Verbesserung der Website | Art. 6(1)(a) Einwilligung (Opt-in EU/UK/CA) | Vercel 30 Tage; GA4 14 Monate |
| Server-Logs | Sicherheit, Missbrauchsprävention | Art. 6(1)(f) berechtigtes Interesse | 30 Tage |
| Update-Ereignisse: aktuelle und Zielversion, Status, Fehlermeldung sowie ein Geräte-Fingerabdruck. Auch ohne Lizenz wird der Fingerabdruck gesendet; nur der Lizenzschlüssel fehlt dann (stattdessen wird wörtlich “no-license” gesendet). Im Hilfe-Menü abschaltbar. | Updates ausliefern, für die du bezahlt hast, fehlgeschlagene Updates untersuchen | Art. 6(1)(b) Vertrag (mit Lizenz) + (f) berechtigtes Interesse | 12 Monate |
| Kartenhintergrund und Adresssuche: Schalten Sie in der Desktop-App eine Kartenebene ein oder suchen Sie eine Adresse (beides standardmäßig aus), nimmt Ihr Gerät direkt Kontakt zu PDOK (niederländisches Kadaster) oder OpenStreetMap auf. Diese sehen Ihre IP-Adresse und den sichtbaren Bereich bzw. — bei einer Suche — die eingegebene Adresse. Die App nennt dabei nur Namen und Version; seit dem 18.08.2026 sendet sie Ihr Betriebssystem und Ihre Sprache nicht mehr. Der Verkehr geht nicht über unsere Server, und wir erhalten davon nichts. | Ein Luftbild oder eine Straßenkarte hinter Ihrer Zeichnung anzeigen und einen Ort per Adresse finden | Art. 6(1)(b) Vertrag — eine von Ihnen aktivierte Funktion | Bei uns nichts; siehe die Richtlinien von PDOK und OSM |
Die App erhebt keine Nutzungsdaten. Diaz Editor sendet nichts darüber, was du zeichnest, welche Werkzeuge du benutzt oder welche Dateien du öffnest. Bis zum 28. Juli 2026 war das anders; es wurde entfernt, und der Server, der diese Daten entgegennahm, weist inzwischen jede Anfrage ab. Es bleibt die Update-Prüfung aus der Zeile darüber — der Weg, auf dem du die zu deiner Lizenz gehörenden Updates erhältst.
3. Mit wem wir Daten teilen (Auftragsverarbeiter)
- Stripe Payments Europe Ltd. (Irland) — Zahlungen. AVV. EU + DPF.
- Supabase Inc. (USA, EU-Host: Paris/eu-west-3) — Datenbank + Edge Functions. AVV. SCC.
- Resend.com (USA, EU-Region: Frankfurt) — transaktionale E-Mails. AVV. SCC.
- Vercel Inc. (USA) — Hosting + CDN. AVV. SCC.
- Google LLC (USA) — Google Analytics 4 (nur nach Opt-in, anonymisierte IP, keine Werbesignale). AVV. SCC + DPF.
- Telegram Messenger Inc. — betriebliche Benachrichtigungen an den Gründer, sobald ein Download, eine Testanmeldung oder ein Kauf eingeht. Diese Nachrichten enthalten keine personenbezogenen Daten. Sie nennen, was passiert ist, dazu nicht identifizierenden Kontext (Plattform, Sprache, Kampagne, Lizenzstufe, Betrag) und wo es nachzuschlagen ist. Dein Name und deine E-Mail-Adresse verlassen unsere eigene Datenbank nicht. Telegram bietet keinen Auftragsverarbeitungsvertrag nach Art. 28 für Daten über die Bot-API — genau deshalb wird nichts Identifizierendes gesendet. Datenschutzerklärung.
Kein Verkauf von Daten. Keine Werbe-Tracker Dritter.
4. Übermittlung in Drittländer (DSGVO Art. 44–49)
Der Verantwortliche ist eine US-Gesellschaft. Personenbezogene Daten können in den USA verarbeitet werden. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) mit jedem US-Auftragsverarbeiter. Stripe stützt sich zusätzlich auf das EU–US Data Privacy Framework. Unterlagen auf Anfrage.
5. Deine Rechte (DSGVO Art. 12–22)
- Auskunft — eine Kopie deiner Daten anfordern
- Berichtigung — unrichtige Daten korrigieren lassen
- Löschung — wir löschen bei Stripe (soweit zulässig), Supabase, Resend
- Einschränkung — die Verarbeitung einschränken lassen
- Datenübertragbarkeit — einen maschinenlesbaren Export erhalten
- Widerspruch — gegen Verarbeitung auf Grundlage berechtigten Interesses
- Widerruf der Einwilligung — jederzeit, ohne Auswirkung auf die bis dahin rechtmäßige Verarbeitung
- Beschwerde — bei der Aufsichtsbehörde deines Wohnsitzlandes. In Deutschland sind das die Landesdatenschutzbehörden; eine Übersicht führt der BfDI.
Anfrage stellen: E-Mail an juan@diazatlas.com mit dem Betreff „Datenschutzanfrage“. Antwort innerhalb von 30 Tagen (DSGVO Art. 12(3)).
6. Cookies & Tracking
Unbedingt erforderliche Cookies sind immer aktiv (Sitzung, Sprache, Speicherung der Einwilligung). Anonyme Analyse (Vercel Web Analytics + Speed Insights sowie Google Analytics 4) ist für Besucher in EU/UK/CA Opt-in, standardmäßig aus, und lädt erst nach Einwilligung. Verwaltung über den Link „Datenschutz-Einstellungen“ im Fußbereich. Keine Werbe-Tracker.
7. Sicherheit
HTTPS erzwungen (HSTS-Preload). Lizenzschlüssel HMAC-signiert. Datenbankzugriff rollenbeschränkt (Supabase RLS). Geheimnisse im Vault. Meldung von Verletzungen innerhalb von 72 Stunden (DSGVO Art. 33) an die zuständige Aufsichtsbehörde; bei hohem Risiko auch an die betroffenen Personen (Art. 34).
8. Kinder
Nicht an Kinder unter 16 Jahren gerichtet. Wir verarbeiten wissentlich keine Daten Minderjähriger.
9. Änderungen
Wesentliche Änderungen werden aktiven Lizenzinhabern per E-Mail mitgeteilt. Versionshistorie auf Anfrage.