Privacy Policy
1. Who is the controller
Juan Diaz LLC, a Delaware (USA) Limited Liability Company, is the data controller for personal data processed via diazatlas.com and the Diaz Editor desktop application.
- Postal address: see /imprint (Delaware, USA)
- Email: juan@diazatlas.com
- EU representative under GDPR art. 27: appointment in progress
2. What we process and why
| Data | Purpose | Lawful basis (GDPR art. 6) | Retention |
|---|---|---|---|
| Email, name, country | Issue + email license key, support | art. 6(1)(b) contract | License lifetime + 7 yr (tax) |
| Trial signup: name, email, phone, optional company, device fingerprint (hashed), IP (hashed) and the country derived from it, operating system, marketing opt-in | Provision the 14-day trial, prevent trial-abuse/fraud, optional product updates | art. 6(1)(b) pre-contract + (f) fraud-prevention; marketing = (a) consent | 2 yr after trial expiry, then anonymised |
| Stripe customer ID, payment metadata | Process purchase, refund, fraud-prevention | art. 6(1)(b) contract + (c) legal obligation (tax) | 10 yr (Dutch tax law) |
| License key + usage timestamps | License validation handshake (IP + key only) | art. 6(1)(b) contract | License lifetime |
| Affiliate referral cookie (90 days) | Track partner-attributed sales | art. 6(1)(a) consent (cookie banner) | 90 days |
| Anonymous analytics (Vercel Web Analytics + Google Analytics 4 + Plausible) | Site improvement | art. 6(1)(a) consent (opt-in EU/UK/CA) | Vercel 30 days; GA4 14 months; Plausible cookieless, aggregate only |
| Server access logs | Security, abuse-prevention | art. 6(1)(f) legitimate interest | 30 days |
| Download click: platform chosen, salted hash of your IP, browser user-agent, language, referring page, landing page, campaign tags and partner reference. No account, no email. | Count downloads per platform and campaign, detect bots, credit partners | art. 6(1)(f) legitimate interest | 12 months, then the row is deleted (nightly job) |
| Cheat-sheet and newsletter sign-up (homepage, exit pop-up, tool pages) and the download form on /download: email, language, page you signed up on, referring page, campaign tags, partner reference, country derived from IP; on the download form also your company name and chosen platform | Send the PDF and a short email series about the editor, via Brevo. Every email has an unsubscribe link | art. 6(1)(a) consent | Until you unsubscribe; the row is deleted 30 days later (nightly job) |
| Partner (affiliate) application: name, email, company, audience, reach, payout preference, motivation, campaign tags | Assess and, if accepted, run the partnership | art. 6(1)(b) steps prior to a contract | Accepted: the lifetime of the partnership. Declined or ended: anonymised 6 months after; undecided after 12 months (nightly job) |
| Campaign attribution: UTM tags, Google/Meta/Microsoft click IDs, referring page, landing page, first-visit time. Stored in your browser (localStorage, 90 days). Sent to us once per visit only if you allowed analytics, and attached to a purchase so we know which campaign led to it. Never your IP or user-agent from the browser. | Measure which channel brings buyers | art. 6(1)(a) consent for the server copy; the browser copy is first-party and functional | 90 days in your browser; with the purchase record for the retention of that record |
| Feedback form: email and your message. Delivered to us as an email; not written to our database. | Answer you, improve the product | art. 6(1)(f) legitimate interest | In our mailbox until handled, at most 12 months |
| Update events: current and target version, update status, error message, plus a device fingerprint. Unlicensed installations send the fingerprint too; only the license key is then absent (the literal “no-license” is sent instead). Switchable off under Help → “Send update diagnostics”. | Deliver updates you paid for, diagnose failed updates | art. 6(1)(b) contract (licensed) + (f) legitimate interest | 12 months |
| Map background and address lookup: when you switch on a map layer or look up an address in the desktop app (both off by default), your device contacts PDOK (Dutch Kadaster) or OpenStreetMap directly. They see your IP address and the area in view, or — for a lookup — the address you typed. The app identifies itself by name and version only; since 18 Aug 2026 it no longer sends your operating system or language. This traffic does not pass through our servers and we receive none of it. | Show an aerial photo or street map behind your drawing, and find a location by address | art. 6(1)(b) contract — a feature you switched on | Nothing stored by us; see the PDOK and OSM policies |
The app collects no usage data. Diaz Editor sends nothing about what you draw, which tools you use, or which files you open. It did until 28 July 2026; that was removed, and the server which received it now refuses every request. What remains is the update check in the row above — the way you receive the updates included with your license.
3. Who we share data with (sub-processors)
- Stripe Payments Europe Ltd. (Ireland) — payments. DPA. EU + DPF.
- Supabase Inc. (USA, EU host: Paris/eu-west-3) — database + edge functions. DPA. SCCs.
- Brevo (Sendinblue SAS, France — servers in the EU) — transactional email delivery. DPA. No transfer outside the EU.
- Vercel Inc. (USA) — site hosting + CDN. DPA. SCCs.
- Google LLC (USA) — Google Analytics 4 (opt-in only, anonymised IP, no ad-signals). DPA. SCCs + DPF.
- Plausible Insights OÜ (Estonia, EU) — cookieless web analytics, EU-hosted, no personal data collected. DPA. No transfer outside the EU.
- Telegram Messenger Inc. — operational alerts to the founder when a download, trial signup or purchase comes in. These messages carry no personal data. They state what happened plus non-identifying context (platform, language, campaign, licence tier, amount) and where to look it up. Your name and email address never leave our own database. Telegram offers no art. 28 processing agreement for data routed through its Bot API, which is exactly why nothing identifying is sent. Privacy policy.
No data is sold or shared for advertising. No third-party advertising trackers are loaded.
4. International transfers (GDPR art. 44–49)
The controller is a US entity. Personal data may be processed in the USA. Transfers rely on EU Commission Standard Contractual Clauses (Decision 2021/914) with each US sub-processor. Stripe additionally relies on the EU–US Data Privacy Framework. You may request a copy of the transfer mechanism documentation.
5. Your rights (GDPR art. 12–22, UK GDPR, CCPA/CPRA)
- Access — request a copy of your data
- Rectification — correct inaccurate data
- Erasure ("right to be forgotten") — we delete in Stripe (where law allows), Supabase, Brevo
- Restriction — limit our processing
- Portability — receive a machine-readable export
- Object — to processing based on legitimate interest
- Withdraw consent — at any time, without affecting prior lawful processing
- California (CCPA/CPRA) — Right to know, delete, correct, opt-out of sale/sharing (we do not sell), and limit use of sensitive PI. Use the "Do Not Sell or Share" link in the page footer.
- Complaint — lodge a complaint with your supervisory authority (NL: AP; ES: AEPD; UK: ICO; or your local DPA)
To exercise any right: email juan@diazatlas.com with subject line "Privacy request". Response within 30 days (GDPR art. 12(3)) or 45 days (CCPA).
6. Cookies & tracking
Strictly-necessary cookies are always on (session, language preference, consent storage). Anonymous analytics (Vercel Web Analytics + Speed Insights, Google Analytics 4, and Plausible) is opt-in for visitors in the EU, UK, and Canada (default deny) and opt-out elsewhere. Both load only after consent. Manage via the "Privacy settings" link in the page footer. No advertising trackers, no third-party profiling.
7. Security
HTTPS enforced (HSTS preload). License keys are HMAC-signed. Database access is role-restricted (Supabase RLS). Secrets are vaulted (Supabase Vault + GitHub Secrets). Breach notification within 72 h (GDPR art. 33) to the lead supervisory authority and affected users where high risk (art. 34).
8. Children
Not directed at children under 16. We do not knowingly process data of minors.
9. Changes to this notice
We update this policy when processing changes. Material changes are emailed to active license-holders. Version history available on request.
1. Wie is de verwerkingsverantwoordelijke
Juan Diaz LLC, een Limited Liability Company gevestigd in Delaware (VS), is verwerkingsverantwoordelijke voor persoonsgegevens verwerkt via diazatlas.com en de Diaz Editor desktop-applicatie.
- Postadres: zie /imprint (Delaware, VS)
- Email: juan@diazatlas.com
- EU-vertegenwoordiger (AVG art. 27): aanstelling in voorbereiding
2. Welke gegevens en waarom
| Gegeven | Doel | Grondslag (AVG art. 6) | Bewaartermijn |
|---|---|---|---|
| Email, naam, land | License-key uitgeven + ondersteunen | art. 6(1)(b) overeenkomst | License-duur + 7 jr (fiscaal) |
| Trial-aanmelding: naam, email, telefoon, optioneel bedrijfsnaam, device-fingerprint (gehasht), IP (gehasht) en het daaruit afgeleide land, besturingssysteem, marketing opt-in | 14-daagse trial leveren, trial-misbruik/fraude voorkomen, optionele product-updates | art. 6(1)(b) pre-contract + (f) fraude-preventie; marketing = (a) toestemming | 2 jr na trial-einde, daarna geanonimiseerd |
| Stripe klant-ID, betaal-metadata | Aankoop, restitutie, fraude-preventie | art. 6(1)(b) overeenkomst + (c) wettelijke plicht | 10 jr (NL fiscaal) |
| License-key + gebruiksdatums | Validatie-handshake (IP + key) | art. 6(1)(b) overeenkomst | License-duur |
| Affiliate-cookie (90 dagen) | Partner-attributie verkopen | art. 6(1)(a) toestemming | 90 dagen |
| Anonieme analytics (Vercel Web Analytics + Google Analytics 4 + Plausible) | Site verbeteren | art. 6(1)(a) toestemming (opt-in EU/UK/CA) | Vercel 30 dagen; GA4 14 maanden; Plausible cookieloos, alleen geaggregeerd |
| Server-logs | Beveiliging, misbruik-preventie | art. 6(1)(f) gerechtvaardigd belang | 30 dagen |
| Download-klik: gekozen platform, gezouten hash van je IP, browser-user-agent, taal, verwijzende pagina, landingspagina, campagnetags en partnerreferentie. Geen account, geen e-mail. | Downloads tellen per platform en campagne, bots herkennen, partners crediteren | art. 6(1)(f) gerechtvaardigd belang | 12 maanden, daarna wordt de rij verwijderd (nachtelijke taak) |
| Cheat-sheet- en nieuwsbriefaanmelding (homepage, exit-pop-up, toolpagina's) en het downloadformulier op /download: e-mail, taal, pagina van aanmelding, verwijzende pagina, campagnetags, partnerreferentie, land afgeleid uit IP; bij het downloadformulier ook je bedrijfsnaam en gekozen platform | De PDF en een korte mailreeks over de editor sturen, via Brevo. Elke mail heeft een afmeldlink | art. 6(1)(a) toestemming | Tot je je afmeldt; 30 dagen later wordt de rij verwijderd (nachtelijke taak) |
| Partner-(affiliate-)aanvraag: naam, e-mail, bedrijf, doelgroep, bereik, uitbetalingsvoorkeur, motivatie, campagnetags | Beoordelen en, bij acceptatie, het partnerschap uitvoeren | art. 6(1)(b) precontractuele stappen | Geaccepteerd: de looptijd van het partnerschap. Afgewezen of beëindigd: 6 maanden later geanonimiseerd; onbeslist na 12 maanden (nachtelijke taak) |
| Campagne-attributie: UTM-tags, klik-ID's van Google/Meta/Microsoft, verwijzende pagina, landingspagina, tijdstip eerste bezoek. Bewaard in je browser (localStorage, 90 dagen). Eén keer per bezoek naar ons gestuurd, alleen als je analytics toestond, en gekoppeld aan een aankoop zodat we weten welke campagne ertoe leidde. Nooit je IP of user-agent vanuit de browser. | Meten welk kanaal kopers oplevert | art. 6(1)(a) toestemming voor de serverkopie; de browserkopie is first-party en functioneel | 90 dagen in je browser; bij de aankoop zolang dat record bewaard wordt |
| Feedbackformulier: e-mail en je bericht. Komt als mail bij ons binnen; wordt niet in onze database geschreven. | Je antwoorden, het product verbeteren | art. 6(1)(f) gerechtvaardigd belang | In onze mailbox tot afgehandeld, hooguit 12 maanden |
| Update-gebeurtenissen: huidige en doelversie, status, foutmelding, plus een apparaatvingerafdruk. Ook zonder licentie gaat die vingerafdruk mee; alleen de licentiesleutel ontbreekt dan (er gaat dan letterlijk “no-license” mee). Uit te zetten via Help → “Update-diagnostiek versturen”. | Updates leveren waarvoor je betaald hebt, mislukte updates onderzoeken | art. 6(1)(b) overeenkomst (met licentie) + (f) gerechtvaardigd belang | 12 maanden |
| Kaartachtergrond en adres opzoeken: zet je in de desktop-app een kaartlaag aan of zoek je een adres op (beide standaard uit), dan neemt je apparaat rechtstreeks contact op met PDOK (Kadaster) of OpenStreetMap. Zij zien je IP-adres en het gebied in beeld, of — bij een adres opzoeken — het adres dat je intypt. De app noemt daarbij alleen haar naam en versie; sinds 18 aug 2026 gaan je besturingssysteem en taal niet meer mee. Dat verkeer loopt niet langs onze servers en wij ontvangen er niets van. | Een luchtfoto of stratenkaart achter je tekening tonen, en een locatie op adres vinden | art. 6(1)(b) overeenkomst — een functie die je zelf aanzet | Bij ons niets; zie het beleid van PDOK en OSM |
De app verzamelt geen gebruiksgegevens. Diaz Editor stuurt niets over wat je tekent, welk gereedschap je gebruikt of welke bestanden je opent. Tot 28 juli 2026 gebeurde dat wel; dat is verwijderd, en de server die het ontving weigert nu elk verzoek. Wat overblijft is de update-controle uit de regel hierboven — de manier waarop je de updates krijgt die bij je licentie horen.
3. Met wie delen wij gegevens (sub-verwerkers)
- Stripe Payments Europe Ltd. (Ierland) — betalingen. DPA. EU + DPF.
- Supabase Inc. (VS, EU-host: Parijs/eu-west-3) — database + edge functions. DPA. SCCs.
- Brevo (Sendinblue SAS, Frankrijk — servers in de EU) — transactionele e-mail. DPA. Geen doorgifte buiten de EU.
- Vercel Inc. (VS) — hosting + CDN. DPA. SCCs.
- Google LLC (VS) — Google Analytics 4 (alleen na opt-in, geanonimiseerd IP, geen ad-signalen). DPA. SCCs + DPF.
- Plausible Insights OÜ (Estland, EU) — cookieloze webanalytics, EU-gehost, geen persoonsgegevens. DPA. Geen doorgifte buiten de EU.
- Telegram Messenger Inc. — operationele meldingen aan de oprichter zodra er een download, proefaanmelding of aankoop binnenkomt. Die berichten bevatten geen persoonsgegevens. Ze melden wát er gebeurde plus niet-herleidbare context (platform, taal, campagne, licentiesoort, bedrag) en waar het op te zoeken is. Je naam en e-mailadres verlaten onze eigen database niet. Telegram biedt geen verwerkersovereenkomst onder art. 28 voor gegevens die via de Bot API lopen, en juist daarom gaat er niets herleidbaars heen. Privacybeleid.
Geen verkoop van gegevens. Geen advertentie-trackers van derden.
4. Doorgifte buiten EU (AVG art. 44–49)
De verantwoordelijke is een US-entiteit. Persoonsgegevens kunnen in de VS verwerkt worden. Doorgifte op basis van EU Standaardcontractbepalingen (Besluit 2021/914) met elke US-subverwerker. Stripe rekent ook op het EU–US Data Privacy Framework. Documentatie op verzoek beschikbaar.
5. Jouw rechten (AVG art. 12–22)
- Inzage — kopie van jouw gegevens opvragen
- Rectificatie — onjuiste gegevens corrigeren
- Vergetelheid — wij verwijderen in Stripe (waar toegestaan), Supabase, Brevo
- Beperking — verwerking beperken
- Overdraagbaarheid — machine-leesbare export ontvangen
- Bezwaar — tegen verwerking op basis van gerechtvaardigd belang
- Toestemming intrekken — op elk moment, zonder gevolgen voor eerder rechtmatige verwerking
- Klacht — bij Autoriteit Persoonsgegevens
Verzoek indienen: mail juan@diazatlas.com met onderwerp "Privacy-verzoek". Reactie binnen 30 dagen (AVG art. 12(3)).
6. Cookies & tracking
Strikt-noodzakelijke cookies altijd aan (sessie, taal, consent-opslag). Anonieme analytics (Vercel Web Analytics + Speed Insights, Google Analytics 4 en Plausible) is opt-in voor bezoekers in EU/UK/CA (default uit) en laadt pas ná toestemming. Beheer via de "Privacy-instellingen"-link in de footer. Geen advertentie-trackers.
7. Beveiliging
HTTPS afgedwongen (HSTS preload). License-keys HMAC-getekend. Database-toegang rol-beperkt (Supabase RLS). Secrets in vault. Inbreukmelding binnen 72 u (AVG art. 33) aan de bevoegde toezichthouder; aan betrokkenen bij hoog risico (art. 34).
8. Kinderen
Niet gericht op kinderen onder 16. Wij verwerken bewust geen gegevens van minderjarigen.
9. Wijzigingen
Wijzigingen worden bij actieve license-houders per email gemeld. Versiegeschiedenis op verzoek.
1. Quién es el responsable del tratamiento
Juan Diaz LLC, sociedad de responsabilidad limitada (LLC) constituida en Delaware (EE. UU.), es el responsable del tratamiento de los datos personales procesados a través de diazatlas.com y de la aplicación de escritorio Diaz Editor.
- Dirección postal: ver /imprint (Delaware, EE. UU.)
- Correo: juan@diazatlas.com
- Representante UE (RGPD art. 27): designación en curso
2. Qué datos tratamos y por qué
| Dato | Finalidad | Base jurídica (RGPD art. 6) | Plazo |
|---|---|---|---|
| Correo, nombre, país | Emisión de licencia + soporte | art. 6(1)(b) contrato | Vida de la licencia + 7 años (fiscal) |
| Registro de prueba: nombre, correo, teléfono, empresa opcional, huella de dispositivo (hash), IP (hash) y el país derivado de ella, sistema operativo, opt-in de marketing | Proveer la prueba de 14 días, prevenir abuso/fraude de prueba, actualizaciones opcionales | art. 6(1)(b) precontrato + (f) prevención de fraude; marketing = (a) consentimiento | 2 años tras expirar la prueba, luego anonimizado |
| ID de cliente Stripe, metadatos de pago | Compra, reembolso, prevención de fraude | art. 6(1)(b) contrato + (c) obligación legal | 10 años (fiscal NL) |
| Clave de licencia + marcas de uso | Validación (IP + clave) | art. 6(1)(b) contrato | Vida de la licencia |
| Cookie de afiliado (90 días) | Atribución de ventas a partners | art. 6(1)(a) consentimiento | 90 días |
| Analítica anónima (Vercel Web Analytics + Google Analytics 4 + Plausible) | Mejora del sitio | art. 6(1)(a) consentimiento (opt-in EU/UK/CA) | Vercel 30 días; GA4 14 meses; Plausible sin cookies, solo agregado |
| Logs de servidor | Seguridad, prevención de abuso | art. 6(1)(f) interés legítimo | 30 días |
| Eventos de actualización: versión actual y de destino, estado, mensaje de error, más una huella del dispositivo. Sin licencia también se envía la huella; solo falta entonces la clave de licencia (se envía literalmente “no-license”). Desactivable en Ayuda → “Enviar diagnóstico de actualizaciones”. | Entregar las actualizaciones que pagaste, diagnosticar fallos | art. 6(1)(b) contrato (con licencia) + (f) interés legítimo | 12 meses |
| Fondo de mapa y búsqueda de dirección: si activas una capa de mapa o buscas una dirección en la app de escritorio (ambos desactivados por defecto), tu dispositivo contacta directamente con PDOK (Kadaster neerlandés) u OpenStreetMap. Ellos ven tu IP y la zona en pantalla o, al buscar, la dirección que escribes. La app solo indica su nombre y versión; desde el 18 ago 2026 ya no envía tu sistema operativo ni tu idioma. Ese tráfico no pasa por nuestros servidores y no recibimos nada. | Mostrar una ortofoto o un callejero detrás de tu dibujo, y localizar por dirección | art. 6(1)(b) contrato — una función que activas tú | Nada por nuestra parte; consulta las políticas de PDOK y OSM |
| Clic de descarga: plataforma elegida, hash con sal de tu IP, user-agent del navegador, idioma, página de origen, página de entrada, etiquetas de campaña y referencia de partner. Sin cuenta, sin correo. | Contar descargas por plataforma y campaña, detectar bots, acreditar partners | art. 6(1)(f) interés legítimo | 12 meses; después la fila se elimina (tarea nocturna) |
| Alta a la chuleta y al boletín (inicio, pop-up de salida, páginas de herramientas) y el formulario de descarga en /download: correo, idioma, página de alta, página de origen, etiquetas de campaña, referencia de partner, país derivado de la IP; en el formulario de descarga también el nombre de tu empresa y la plataforma elegida | Enviarte el PDF y una breve serie de correos sobre el editor, mediante Brevo. Cada correo lleva enlace de baja | art. 6(1)(a) consentimiento | Hasta que te des de baja; 30 días después la fila se elimina (tarea nocturna) |
| Solicitud de partner (afiliado): nombre, correo, empresa, audiencia, alcance, preferencia de pago, motivación, etiquetas de campaña | Evaluar y, si se acepta, gestionar la colaboración | art. 6(1)(b) medidas precontractuales | Aceptada: mientras dure la colaboración. Rechazada o finalizada: anonimizada 6 meses después; sin decidir, a los 12 meses (tarea nocturna) |
| Atribución de campaña: etiquetas UTM, IDs de clic de Google/Meta/Microsoft, página de origen, página de entrada, hora de la primera visita. Guardado en tu navegador (localStorage, 90 días). Se nos envía una vez por visita solo si permitiste la analítica, y se vincula a una compra para saber qué campaña la generó. Nunca tu IP ni tu user-agent desde el navegador. | Medir qué canal trae compradores | art. 6(1)(a) consentimiento para la copia en servidor; la copia en el navegador es propia y funcional | 90 días en tu navegador; junto a la compra mientras se conserve ese registro |
| Formulario de feedback: correo y tu mensaje. Nos llega como correo; no se escribe en nuestra base de datos. | Responderte, mejorar el producto | art. 6(1)(f) interés legítimo | En nuestro buzón hasta gestionarlo, como máximo 12 meses |
La app no recoge datos de uso. Diaz Editor no envía nada sobre lo que dibujas, qué herramientas usas ni qué archivos abres. Hasta el 28 de julio de 2026 sí lo hacía; se eliminó, y el servidor que lo recibía ahora rechaza cualquier petición. Queda la comprobación de actualizaciones de la fila anterior — la vía por la que recibes las actualizaciones incluidas en tu licencia.
3. Con quién compartimos datos (subencargados)
- Stripe Payments Europe Ltd. (Irlanda) — pagos. DPA. UE + DPF.
- Supabase Inc. (EE. UU., host UE: París/eu-west-3) — base de datos + edge functions. DPA. CCEs.
- Brevo (Sendinblue SAS, Francia — servidores en la UE) — correo transaccional. DPA. Sin transferencia fuera de la UE.
- Vercel Inc. (EE. UU.) — alojamiento + CDN. DPA. CCEs.
- Google LLC (EE. UU.) — Google Analytics 4 (solo tras opt-in, IP anonimizada, sin señales publicitarias). DPA. CCEs + DPF.
- Plausible Insights OÜ (Estonia, UE) — analítica web sin cookies, alojada en la UE, sin datos personales. DPA. Sin transferencia fuera de la UE.
- Telegram Messenger Inc. — avisos operativos al fundador cuando entra una descarga, un alta de prueba o una compra. Esos mensajes no contienen datos personales. Indican qué ocurrió más contexto no identificativo (plataforma, idioma, campaña, tipo de licencia, importe) y dónde consultarlo. Tu nombre y tu correo no salen de nuestra propia base de datos. Telegram no ofrece contrato de encargado del art. 28 para datos enviados por su Bot API, y precisamente por eso no se envía nada identificativo. Política de privacidad.
No vendemos ni compartimos datos para publicidad. No cargamos rastreadores publicitarios de terceros.
4. Transferencias internacionales (RGPD art. 44–49)
El responsable es una entidad estadounidense. Los datos pueden tratarse en EE. UU. Las transferencias se basan en las Cláusulas Contractuales Tipo de la UE (Decisión 2021/914) firmadas con cada subencargado en EE. UU. Stripe se acoge además al EU–US Data Privacy Framework. Documentación disponible bajo petición.
5. Tus derechos (RGPD art. 12–22, LOPDGDD)
- Acceso — solicitar copia de tus datos
- Rectificación — corregir datos inexactos
- Supresión ("derecho al olvido") — eliminamos en Stripe (cuando la ley lo permite), Supabase, Brevo
- Limitación del tratamiento
- Portabilidad — exportación legible por máquina
- Oposición al tratamiento basado en interés legítimo
- Retirar consentimiento — en cualquier momento
- Reclamación ante la Agencia Española de Protección de Datos (AEPD)
Para ejercer cualquier derecho: escribe a juan@diazatlas.com con asunto "Solicitud de privacidad". Respuesta en 30 días (RGPD art. 12(3)).
6. Cookies y rastreo
Cookies estrictamente necesarias siempre activas (sesión, idioma, consentimiento). Analítica anónima (Vercel Web Analytics + Speed Insights, Google Analytics 4 y Plausible) es opt-in en UE/RU/CA (denegado por defecto) y solo carga tras el consentimiento. Gestiona desde "Configuración de privacidad" en el pie de página. Sin rastreadores publicitarios.
7. Seguridad
HTTPS obligatorio (HSTS preload). Claves de licencia firmadas con HMAC. Acceso a base de datos restringido por roles (Supabase RLS). Secretos en vault. Notificación de brechas en 72 h (RGPD art. 33) a la autoridad competente; a los afectados en caso de alto riesgo (art. 34).
8. Menores
No dirigido a menores de 16 años. No tratamos conscientemente datos de menores.
9. Cambios
Cambios materiales se notifican por correo a los titulares de licencia activos. Historial de versiones bajo petición.
1. Wer ist der Verantwortliche
Juan Diaz LLC, eine Limited Liability Company mit Sitz in Delaware (USA), ist Verantwortlicher für personenbezogene Daten, die über diazatlas.com und die Diaz-Editor-Desktopanwendung verarbeitet werden.
- Postanschrift: siehe /imprint (Delaware, USA)
- E-Mail: juan@diazatlas.com
- EU-Vertreter (DSGVO Art. 27): Benennung in Vorbereitung
2. Welche Daten und wozu
| Daten | Zweck | Rechtsgrundlage (DSGVO Art. 6) | Speicherdauer |
|---|---|---|---|
| E-Mail, Name, Land | Lizenzschlüssel ausstellen + Support | Art. 6(1)(b) Vertrag | Lizenzdauer + 7 Jahre (steuerlich) |
| Testphase-Anmeldung: Name, E-Mail, Telefon, optional Firmenname, Geräte-Fingerabdruck (gehasht), IP (gehasht) und das daraus abgeleitete Land, Betriebssystem, Marketing-Opt-in | 14-tägige Testphase bereitstellen, Missbrauch und Betrug verhindern, optionale Produkt-Updates | Art. 6(1)(b) vorvertraglich + (f) Betrugsprävention; Marketing = (a) Einwilligung | 2 Jahre nach Ablauf der Testphase, danach anonymisiert |
| Stripe-Kunden-ID, Zahlungs-Metadaten | Kauf, Rückerstattung, Betrugsprävention | Art. 6(1)(b) Vertrag + (c) rechtliche Verpflichtung | 10 Jahre (niederländisches Steuerrecht) |
| Lizenzschlüssel + Nutzungszeitpunkte | Validierung (IP + Schlüssel) | Art. 6(1)(b) Vertrag | Lizenzdauer |
| Affiliate-Cookie (90 Tage) | Zuordnung von Verkäufen zu Partnern | Art. 6(1)(a) Einwilligung | 90 Tage |
| Anonyme Analyse (Vercel Web Analytics + Google Analytics 4 + Plausible) | Verbesserung der Website | Art. 6(1)(a) Einwilligung (Opt-in EU/UK/CA) | Vercel 30 Tage; GA4 14 Monate; Plausible cookielos, nur aggregiert |
| Server-Logs | Sicherheit, Missbrauchsprävention | Art. 6(1)(f) berechtigtes Interesse | 30 Tage |
| Download-Klick: gewählte Plattform, gesalzener Hash Ihrer IP, Browser-User-Agent, Sprache, verweisende Seite, Einstiegsseite, Kampagnen-Tags und Partner-Referenz. Kein Konto, keine E-Mail. | Downloads je Plattform und Kampagne zählen, Bots erkennen, Partnern gutschreiben | Art. 6(1)(f) berechtigtes Interesse | 12 Monate, danach wird die Zeile gelöscht (nächtlicher Job) |
| Cheat-Sheet- und Newsletter-Anmeldung (Startseite, Exit-Pop-up, Tool-Seiten) und das Download-Formular auf /download: E-Mail, Sprache, Anmeldeseite, verweisende Seite, Kampagnen-Tags, Partner-Referenz, aus der IP abgeleitetes Land; beim Download-Formular auch Ihr Firmenname und die gewählte Plattform | Das PDF und eine kurze E-Mail-Serie zum Editor senden, über Brevo. Jede E-Mail hat einen Abmeldelink | Art. 6(1)(a) Einwilligung | Bis zur Abmeldung; 30 Tage später wird die Zeile gelöscht (nächtlicher Job) |
| Partner-(Affiliate-)Bewerbung: Name, E-Mail, Firma, Zielgruppe, Reichweite, Auszahlungspräferenz, Motivation, Kampagnen-Tags | Prüfen und bei Annahme die Partnerschaft führen | Art. 6(1)(b) vorvertragliche Maßnahmen | Angenommen: für die Dauer der Partnerschaft. Abgelehnt oder beendet: 6 Monate danach anonymisiert; unentschieden nach 12 Monaten (nächtlicher Job) |
| Kampagnen-Attribution: UTM-Tags, Klick-IDs von Google/Meta/Microsoft, verweisende Seite, Einstiegsseite, Zeitpunkt des Erstbesuchs. Gespeichert in Ihrem Browser (localStorage, 90 Tage). Einmal je Besuch an uns gesendet, nur wenn Sie Analytics erlaubt haben, und einem Kauf zugeordnet, damit wir wissen, welche Kampagne dazu geführt hat. Nie Ihre IP oder Ihr User-Agent aus dem Browser. | Messen, welcher Kanal Käufer bringt | Art. 6(1)(a) Einwilligung für die Serverkopie; die Browserkopie ist First-Party und funktional | 90 Tage in Ihrem Browser; beim Kauf so lange, wie dieser Datensatz aufbewahrt wird |
| Feedback-Formular: E-Mail und Ihre Nachricht. Erreicht uns als E-Mail; wird nicht in unsere Datenbank geschrieben. | Ihnen antworten, das Produkt verbessern | Art. 6(1)(f) berechtigtes Interesse | In unserem Postfach bis zur Bearbeitung, höchstens 12 Monate |
| Update-Ereignisse: aktuelle und Zielversion, Status, Fehlermeldung sowie ein Geräte-Fingerabdruck. Auch ohne Lizenz wird der Fingerabdruck gesendet; nur der Lizenzschlüssel fehlt dann (stattdessen wird wörtlich “no-license” gesendet). Im Hilfe-Menü abschaltbar. | Updates ausliefern, für die du bezahlt hast, fehlgeschlagene Updates untersuchen | Art. 6(1)(b) Vertrag (mit Lizenz) + (f) berechtigtes Interesse | 12 Monate |
| Kartenhintergrund und Adresssuche: Schalten Sie in der Desktop-App eine Kartenebene ein oder suchen Sie eine Adresse (beides standardmäßig aus), nimmt Ihr Gerät direkt Kontakt zu PDOK (niederländisches Kadaster) oder OpenStreetMap auf. Diese sehen Ihre IP-Adresse und den sichtbaren Bereich bzw. — bei einer Suche — die eingegebene Adresse. Die App nennt dabei nur Namen und Version; seit dem 18.08.2026 sendet sie Ihr Betriebssystem und Ihre Sprache nicht mehr. Der Verkehr geht nicht über unsere Server, und wir erhalten davon nichts. | Ein Luftbild oder eine Straßenkarte hinter Ihrer Zeichnung anzeigen und einen Ort per Adresse finden | Art. 6(1)(b) Vertrag — eine von Ihnen aktivierte Funktion | Bei uns nichts; siehe die Richtlinien von PDOK und OSM |
Die App erhebt keine Nutzungsdaten. Diaz Editor sendet nichts darüber, was du zeichnest, welche Werkzeuge du benutzt oder welche Dateien du öffnest. Bis zum 28. Juli 2026 war das anders; es wurde entfernt, und der Server, der diese Daten entgegennahm, weist inzwischen jede Anfrage ab. Es bleibt die Update-Prüfung aus der Zeile darüber — der Weg, auf dem du die zu deiner Lizenz gehörenden Updates erhältst.
3. Mit wem wir Daten teilen (Auftragsverarbeiter)
- Stripe Payments Europe Ltd. (Irland) — Zahlungen. AVV. EU + DPF.
- Supabase Inc. (USA, EU-Host: Paris/eu-west-3) — Datenbank + Edge Functions. AVV. SCC.
- Brevo (Sendinblue SAS, Frankreich — Server in der EU) — transaktionale E-Mails. AVV. Keine Übermittlung außerhalb der EU.
- Vercel Inc. (USA) — Hosting + CDN. AVV. SCC.
- Google LLC (USA) — Google Analytics 4 (nur nach Opt-in, anonymisierte IP, keine Werbesignale). AVV. SCC + DPF.
- Plausible Insights OÜ (Estland, EU) — cookielose Webanalyse, EU-gehostet, keine personenbezogenen Daten. AVV. Keine Übermittlung außerhalb der EU.
- Telegram Messenger Inc. — betriebliche Benachrichtigungen an den Gründer, sobald ein Download, eine Testanmeldung oder ein Kauf eingeht. Diese Nachrichten enthalten keine personenbezogenen Daten. Sie nennen, was passiert ist, dazu nicht identifizierenden Kontext (Plattform, Sprache, Kampagne, Lizenzstufe, Betrag) und wo es nachzuschlagen ist. Dein Name und deine E-Mail-Adresse verlassen unsere eigene Datenbank nicht. Telegram bietet keinen Auftragsverarbeitungsvertrag nach Art. 28 für Daten über die Bot-API — genau deshalb wird nichts Identifizierendes gesendet. Datenschutzerklärung.
Kein Verkauf von Daten. Keine Werbe-Tracker Dritter.
4. Übermittlung in Drittländer (DSGVO Art. 44–49)
Der Verantwortliche ist eine US-Gesellschaft. Personenbezogene Daten können in den USA verarbeitet werden. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) mit jedem US-Auftragsverarbeiter. Stripe stützt sich zusätzlich auf das EU–US Data Privacy Framework. Unterlagen auf Anfrage.
5. Deine Rechte (DSGVO Art. 12–22)
- Auskunft — eine Kopie deiner Daten anfordern
- Berichtigung — unrichtige Daten korrigieren lassen
- Löschung — wir löschen bei Stripe (soweit zulässig), Supabase, Brevo
- Einschränkung — die Verarbeitung einschränken lassen
- Datenübertragbarkeit — einen maschinenlesbaren Export erhalten
- Widerspruch — gegen Verarbeitung auf Grundlage berechtigten Interesses
- Widerruf der Einwilligung — jederzeit, ohne Auswirkung auf die bis dahin rechtmäßige Verarbeitung
- Beschwerde — bei der Aufsichtsbehörde deines Wohnsitzlandes. In Deutschland sind das die Landesdatenschutzbehörden; eine Übersicht führt der BfDI.
Anfrage stellen: E-Mail an juan@diazatlas.com mit dem Betreff „Datenschutzanfrage“. Antwort innerhalb von 30 Tagen (DSGVO Art. 12(3)).
6. Cookies & Tracking
Unbedingt erforderliche Cookies sind immer aktiv (Sitzung, Sprache, Speicherung der Einwilligung). Anonyme Analyse (Vercel Web Analytics + Speed Insights, Google Analytics 4 sowie Plausible) ist für Besucher in EU/UK/CA Opt-in, standardmäßig aus, und lädt erst nach Einwilligung. Verwaltung über den Link „Datenschutz-Einstellungen“ im Fußbereich. Keine Werbe-Tracker.
7. Sicherheit
HTTPS erzwungen (HSTS-Preload). Lizenzschlüssel HMAC-signiert. Datenbankzugriff rollenbeschränkt (Supabase RLS). Geheimnisse im Vault. Meldung von Verletzungen innerhalb von 72 Stunden (DSGVO Art. 33) an die zuständige Aufsichtsbehörde; bei hohem Risiko auch an die betroffenen Personen (Art. 34).
8. Kinder
Nicht an Kinder unter 16 Jahren gerichtet. Wir verarbeiten wissentlich keine Daten Minderjähriger.
9. Änderungen
Wesentliche Änderungen werden aktiven Lizenzinhabern per E-Mail mitgeteilt. Versionshistorie auf Anfrage.