Borrador; revisión jurídica en curso.

SIGVORA Business · Datenschutz / Privacidad

This draft is currently available in German and Spanish. English and French versions are pending.

Ce projet est actuellement disponible en allemand et en espagnol. Les versions anglaise et française restent à préparer.

SIGVORA Business – Zusatz zur Datenschutzerklärung

Stand: 11.10.2026. Erprobungsphase auf sigvora.eu. Dieser Zusatz ist noch keine freigegebene Datenschutzerklärung; Prüfhinweise sind Teil des Entwurfs. Die Annahme der Datenschutzhinweise ersetzt keine gesonderte Einwilligung.

1. Verantwortlicher und Anwendungsbereich

Dirk Zimmermann (autónomo), Cami Vell d’Alcudia, buzón n.º 79, 07300 Inca, Islas Baleares, Spanien. Datenschutzkontakt: info@sigvora.eu. Der Zusatz betrifft Business-Registrierung, Firmen- und Privatkonten, den kostenlosen Testzugang von 3–7 Tagen sowie Garden, Animal, Gastro, Hotel, Fit, Products und Beauty. Individual-Anfragen sind Kontaktanfragen, kein achtes registrierbares Produkt.

Für eigene Konten, Zugang und Plattformbetrieb ist Dirk Zimmermann der vorgesehene Verantwortliche. Für vom Betrieb eingegebene Kunden-, Mitarbeiter- oder Gästedaten kann der jeweilige Betrieb verantwortlich und SIGVORA dessen Auftragsverarbeiter sein. Das muss für jedes Modul vertraglich festgelegt werden.

[P01 – Anwaltlich prüfen] Betreiberangaben, Rollenverteilung und Verträge bestätigen. Die bestehende Crew-Erklärung nennt noch „Calle Andaluzia, Buzón 79“; dieser Zusatz ersetzt oder korrigiert sie nicht automatisch. Auch Minderjährigenzugang und gegebenenfalls besondere Datenkategorien vor Freischaltung klären.

2. Daten und Zwecke

Verarbeitet werden Name, E-Mail, gegebenenfalls Firma und freiwillige Kontaktangaben, Sprache, Produktwahl, Kontotyp, Rollen, Teststatus und Nachweise zu akzeptierten Textversionen. Passwörter werden als Hash gespeichert. Bestätigungs-/Resetlinks, Einladungen, Sitzung und Sicherheitsereignisse ermöglichen Registrierung, Anmeldung, Kontowiederherstellung, Missbrauchsschutz und Zugriffstrennung.

Je nach gewähltem Produkt gehören dazu Pflanzen und Pflegehinweise, Tierakten mit Halterbezug, Speisen und Gästeanfragen, Hotelteam und Aufgaben, Training und Ziele, Produkte und Serviceanfragen oder Beauty-Leistungen und Termine. Auch Dokumente, Bilder und ausdrücklich freigegebene Inhalte können verarbeitet werden. Erinnerungen dienen den von Ihnen gewählten Abläufen; Individual-Anfragen der Bearbeitung Ihres Vorhabens. Berechtigte Betriebsmitglieder sehen nur die für ihre Rolle freigegebenen Daten. Externe Linkempfänger erhalten nur ausdrücklich ausgewählte Inhalte.

[P02 – Anwaltlich prüfen] Datenkategorien und Informationspflichten gegenüber eingeladenen Personen, Mitarbeitern, Kunden und Gästen je Modul vervollständigen; Zugriffsrechte und Linkfreigaben prüfen. Tiergesundheitsdaten sind nicht automatisch menschliche Gesundheitsdaten; Personenbezug in Freitext/Bildern gesondert bewerten. Beauty soll keine menschlichen Gesundheits- oder Allergiedaten erfassen.

3. Rechtsgrundlagen

Vorgesehen sind Art. 6 Abs. 1 lit. b DSGVO für den angeforderten Zugang und vorvertragliche Anfragen; lit. f für erforderliche Sicherheit und Missbrauchsschutz nach Interessenabwägung; lit. a für freiwillige Zusatzfunktionen, soweit Einwilligung erforderlich ist; lit. c nur bei konkret einschlägigen gesetzlichen Pflichten. Für Kundendaten bestimmt der verantwortliche Betrieb seine Rechtsgrundlage.

Für Anmeldung und Sicherheit werden technisch erforderliche Sitzungscookies verwendet; Sprach- und Darstellungseinstellungen werden im Browser gespeichert. Die allgemeinen Datenschutz- und Nutzungsbedingungen-Häkchen decken keine Werbung oder sämtliche Modulverarbeitungen ab.

[P03 – Anwaltlich prüfen] Zuordnung pro Zweck, Interessenabwägung, Beschäftigtendaten, Browser-Speicherung und spanisches Telekommunikations-/Werberecht prüfen; keine pauschale Einwilligung als Grundlage des gesamten Dienstes. Auftragsverarbeitung benötigt einen eigenen Vertrag.

4. E-Mail und Push

Notwendige Konto-E-Mails (Bestätigung, Passwortwiederherstellung, Einladungen und Zugangsinformationen) werden über OVH versandt. OVH verarbeitet dabei Empfängeradresse, Nachrichteninhalt und Versandmetadaten. Freiwillige E-Mail- und Push-Erinnerungen sind standardmäßig ausgeschaltet und werden über eigene Einstellungen aktiviert.

Browser-Push benötigt zusätzlich die Freigabe auf dem jeweiligen Gerät. Gespeichert werden die Push-Endpunktadresse und die Abonnementschlüssel p256dh/auth. VAPID identifiziert den sendenden Dienst; VAPID ist kein zusätzliches Nutzerkonto. Je nach Browser wird ein Push-Dienst von Google, Apple, Mozilla oder Microsoft angesprochen. Er erhält insbesondere Zustelladresse und Transportmetadaten; Web-Push-Inhalte werden für das Abonnement verschlüsselt. Anzeigen können auf dem Sperrbildschirm sichtbar sein. Einstellungen lassen sich ausschalten, Geräteabonnements widerrufen; bereits zugestellte Nachrichten lassen sich nicht zurückholen. Registrierungs- und Individual-Meldungen an den Betreiber dienen der Bearbeitung und sind von Nutzer-Erinnerungen getrennt.

[P04 – Anwaltlich prüfen] Notwendige Kontomails von freiwilligen Erinnerungen und Werbung abgrenzen; keine Browserberechtigung mit einer vollständigen datenschutzrechtlichen Einwilligung gleichsetzen. Anbieterrollen, konkrete Vertragsgesellschaften, Übermittlungsstaaten und zulässige Transfermechanismen prüfen. Keine Zusage, dass sämtliche Push-Metadaten ausschließlich in der EU bleiben.

5. Empfänger, OVH und Sicherungen

Empfänger sind befugte Personen bei SIGVORA, berechtigte Mitglieder des jeweiligen Betriebs, ausgewählte Linkempfänger und technisch erforderliche Dienstleister; Behörden nur bei rechtlicher Verpflichtung. OVHcloud ist als Anbieter für Hosting, Datenbank, E-Mail und Sicherungen vorgesehen. Nach Betreiberangabe sollen Business-Sicherungen bei OVH in Gravelines, Frankreich liegen. Das L1-Ziel ist eine eigene Business-Datenbank bei OVH; Preview verwendet derzeit eine getrennte lokale PostgreSQL-Datenbank auf dem Preview-Server. Standort und Unterauftragnehmer der konkreten Datenbank- und Mailprodukte sind noch zu bestätigen.

Im L1-Sicherungsplan sind verschlüsselte Datenbankarchive und ein privates Business-Ziel bei OVH vorgesehen. Dieser Entwurf erklärt noch keine erfolgreiche Einrichtung oder Wiederherstellungsprüfung dieses Ziels. Der Standort Frankreich allein belegt keine ausschließliche EU-Verarbeitung durch alle Anbieter, Supportstellen oder Push-Dienste.

[P05 – Anwaltlich und technisch prüfen] Tatsächliche OVH-Vertragsgesellschaft, Art.-28-Verträge, Unterauftragnehmer, Regionen, Zugriffe und etwaige Drittlandübermittlungen dokumentieren. Gravelines-Ziel, Verschlüsselung, Schlüsselzugriff und Wiederherstellung vor L1 technisch nachweisen.

6. Speicherdauer und Löschung

Testablauf beendet den Testzugang, löscht Daten derzeit jedoch nicht automatisch. Selbstlöschung entfernt das Nutzerkonto; eine Organisation ohne verbleibenden Inhaber wird zur endgültigen Löschung nach 30 Tagen vorgemerkt. Betriebsdaten, gesetzlich erforderliche Unterlagen, Nachweise und Sicherungskopien können davon getrennt betroffen sein.

Konten und Moduldaten: für die vereinbarte Nutzung; danach Löschung/Anonymisierung, sobald der Zweck endet und keine konkret erforderliche Aufbewahrung besteht. Entwurfsvorschlag, noch nicht umgesetzt: unbestätigte Registrierungen nach 30 Tagen und nicht verlängerte Testkonten nach 30 Tagen ab Testende bereinigen, mit geregelter Vorabinformation.
Individual-/Supportanfragen: bis Abschluss; Entwurfsvorschlag, noch nicht umgesetzt: ohne Folgeauftrag spätestens sechs Monate danach löschen. Erforderliche Vertrags-/Anspruchsnachweise separat begrenzen.
Sicherheits-, Audit-, Versand- und Erinnerungsdaten: nur solange erforderlich; Entwurfsvorschlag, noch nicht umgesetzt: Routineprotokolle und abgeschlossene Versanddaten 90 Tage. Vorfalls-/Einwilligungsnachweise separat begründen und befristen.
Links: Bestätigungslink derzeit 24 Stunden, Resetlink eine Stunde, Einladungen 1–14 Tage gültig. Gültigkeitsende ist nicht identisch mit Löschung des gespeicherten Datensatzes; dessen Bereinigung ist noch festzulegen.
Sicherungen: L1-Plan: 14 tägliche, acht wöchentliche und zwölf monatliche Stände; damit können gelöschte Daten bis etwa zwölf Monate in alten Sicherungen verbleiben. Kein normaler Produktzugriff auf diese Kopien. Bei Wiederherstellung müssen frühere Löschungen erneut angewendet werden.

[P06 – Anwaltlich und technisch prüfen] Die genannten Vorschläge sind keine geltenden oder bereits implementierten Löschzusagen. Fristen, spanische Aufbewahrungs-/Verjährungsregeln und Nachweise verbindlich festlegen, Löschjobs umsetzen und testen. Zwölfmonatige Backup-Historie für kurze Tests auf Erforderlichkeit prüfen oder verkürzen; Wiederherstellungs-Löschprozess festlegen.

7. Ihre Rechte

Sie können Auskunft, Berichtigung, Löschung, Einschränkung, gegebenenfalls Datenübertragbarkeit und Widerspruch verlangen sowie Einwilligungen für die Zukunft widerrufen. Schreiben Sie an info@sigvora.eu. Eine erforderliche Identitätsprüfung erfolgt angemessen. Die Antwort erfolgt grundsätzlich innerhalb eines Monats; zulässige Verlängerungen werden begründet mitgeteilt. Beschwerden sind bei der Agencia Española de Protección de Datos (AEPD) oder einer anderen zuständigen Aufsicht möglich. Soweit der Betrieb verantwortlich ist, unterstützen wir ihn bei der Bearbeitung Ihrer Rechte.

[P07 – Anwaltlich prüfen] Zuständigkeiten, Kontaktweg und Abläufe für Auskunft/Export/Löschung einschließlich Sicherungen und Betriebskonten bestätigen. Gesetzliche Ausnahmen und gegebenenfalls Rechte bei automatisierten Entscheidungen berücksichtigen.

SIGVORA Business – Anexo a la política de privacidad

Fecha: 11/10/2026. Fase de pruebas en sigvora.eu. Este anexo todavía no es una política aprobada; las notas de revisión forman parte del borrador. La aceptación del aviso de privacidad no sustituye un consentimiento específico.

1. Responsable y ámbito

Dirk Zimmermann (autónomo), Cami Vell d’Alcudia, buzón n.º 79, 07300 Inca, Islas Baleares, España. Contacto de privacidad: info@sigvora.eu. Este anexo cubre el registro Business, cuentas de empresas y particulares, acceso gratuito de prueba durante 3–7 días y Garden, Animal, Gastro, Hotel, Fit, Products y Beauty. Individual es un formulario de contacto, no un octavo producto con registro.

Dirk Zimmermann es el responsable previsto para las cuentas propias, el acceso y la operación de la plataforma. Para datos de clientes, empleados o huéspedes introducidos por una empresa, esta puede ser responsable y SIGVORA encargado del tratamiento. Debe concretarse por módulo y contrato.

[P01 – Revisión jurídica] Confirmar identidad, funciones y contratos. La política Crew existente todavía indica «Calle Andaluzia, Buzón 79»; este anexo no la sustituye ni corrige automáticamente. Resolver también el acceso de menores y, cuando proceda, las categorías especiales de datos antes de la puesta en servicio.

2. Datos y finalidades

Se tratan nombre, correo electrónico, empresa cuando corresponda, datos de contacto opcionales, idioma, producto, tipo de cuenta, roles, estado de prueba y registro de las versiones de textos aceptadas. Las contraseñas se almacenan como hash. Los enlaces de confirmación/restablecimiento, invitaciones, sesiones y eventos de seguridad permiten registro, inicio de sesión, recuperación, prevención de abusos y separación de accesos.

Según el producto, se incluyen plantas y cuidados, fichas de animales relacionadas con sus titulares, platos y solicitudes de clientes, equipo y tareas del hotel, entrenamiento y objetivos, productos y solicitudes de servicio o servicios y citas Beauty. También pueden tratarse documentos, imágenes y contenido expresamente compartido. Los recordatorios apoyan las funciones elegidas; las consultas Individual permiten estudiar su proyecto. Los miembros autorizados de una empresa acceden solo a datos permitidos por su rol; los destinatarios externos de enlaces solo al contenido seleccionado.

[P02 – Revisión jurídica] Completar categorías e información a invitados, empleados, clientes y huéspedes por módulo; revisar permisos y enlaces. La salud animal no equivale automáticamente a salud humana; evaluar por separado datos personales en textos e imágenes. Beauty no debe recoger datos humanos de salud o alergias.

3. Bases jurídicas

Se prevén el art. 6.1.b RGPD para el acceso solicitado y consultas precontractuales; el art. 6.1.f para seguridad necesaria y prevención de abusos, previa ponderación; el art. 6.1.a para funciones voluntarias que requieran consentimiento; y el art. 6.1.c solo para obligaciones legales concretas. La empresa responsable determina su base para los datos de sus clientes.

El acceso y la seguridad utilizan cookies técnicas necesarias; las preferencias de idioma y apariencia se guardan en el navegador. Las casillas generales de privacidad y condiciones no autorizan publicidad ni todos los tratamientos de cada módulo.

[P03 – Revisión jurídica] Revisar bases por finalidad, ponderación, datos de empleados, almacenamiento en el navegador y normativa española sobre comunicaciones/publicidad. No basar todo el servicio en un consentimiento genérico. El encargo de tratamiento requiere un contrato específico.

4. Correo y notificaciones push

Los mensajes necesarios de cuenta (confirmación, recuperación, invitaciones e información de acceso) se envían mediante OVH, que trata dirección del destinatario, contenido y metadatos de envío. Los recordatorios voluntarios por correo y push están desactivados inicialmente y se habilitan en sus propios ajustes.

El push necesita además permiso en el dispositivo. Se almacenan el endpoint y las claves de suscripción p256dh/auth. VAPID identifica al servicio emisor y no constituye una cuenta adicional del usuario. Según el navegador, interviene un servicio push de Google, Apple, Mozilla o Microsoft: recibe principalmente dirección de entrega y metadatos de transporte; los contenidos Web Push se cifran para la suscripción. Una notificación puede verse en la pantalla bloqueada. Puede desactivar los canales y revocar suscripciones; los mensajes ya entregados no pueden recuperarse. Los avisos de registro y consultas Individual al operador sirven para su gestión y son distintos de los recordatorios del usuario.

[P04 – Revisión jurídica] Separar correos necesarios, recordatorios opcionales y publicidad; el permiso del navegador no equivale por sí solo a un consentimiento completo de protección de datos. Revisar funciones de proveedores, sociedades contratadas, países y mecanismos de transferencia. No afirmar que todos los metadatos push permanecen exclusivamente en la UE.

5. Destinatarios, OVH y copias

Los destinatarios son personas autorizadas de SIGVORA, miembros habilitados de la empresa correspondiente, destinatarios elegidos de enlaces y proveedores técnicos necesarios; autoridades cuando exista obligación legal. OVHcloud está previsto para alojamiento, base de datos, correo y copias. Según la información del operador, las copias Business se ubicarán en OVH Gravelines, Francia. Para L1 se prevé una base Business propia en OVH; Preview utiliza actualmente PostgreSQL local separado en el servidor Preview. Deben confirmarse ubicación y subencargados de los productos concretos de base de datos y correo.

El plan L1 prevé archivos cifrados y un destino Business privado en OVH. Este borrador no acredita su configuración ni una restauración satisfactoria. La ubicación en Francia no demuestra que todos los proveedores, soportes o servicios push traten datos exclusivamente en la UE.

[P05 – Revisión jurídica y técnica] Documentar sociedad OVH contratada, contratos del art. 28, subencargados, regiones, accesos y posibles transferencias internacionales. Verificar destino Gravelines, cifrado, acceso a claves y restauración antes de L1.

6. Conservación y supresión

El fin de la prueba termina el acceso, pero actualmente no borra los datos automáticamente. La eliminación de la cuenta borra el usuario; una organización sin otro titular queda programada para eliminación definitiva tras 30 días. Datos de la empresa, documentos legalmente necesarios, evidencias y copias pueden tener un tratamiento separado.

Cuentas y datos de módulos: durante el uso acordado y después solo mientras sean necesarios, con eliminación/anonimización al terminar la finalidad, salvo conservación concretamente justificada. Propuesta, aún no implementada: limpiar registros sin confirmar a los 30 días y cuentas de prueba no ampliadas 30 días después de su fin, con aviso previo regulado.
Consultas Individual/soporte: hasta su resolución; propuesta, aún no implementada: sin contratación posterior, eliminar como máximo seis meses después. Limitar por separado pruebas necesarias de contratos o reclamaciones.
Seguridad, auditoría, envíos y recordatorios: solo mientras sea necesario; propuesta, aún no implementada: 90 días para registros rutinarios y envíos finalizados. Justificar y limitar por separado evidencias de incidentes/consentimiento.
Enlaces: confirmación actualmente 24 horas, restablecimiento una hora e invitaciones 1–14 días. La caducidad no es eliminación del registro; queda por definir su limpieza.
Copias: plan L1 de 14 versiones diarias, ocho semanales y doce mensuales; los datos eliminados pueden permanecer aproximadamente doce meses en copias antiguas. Sin acceso ordinario desde el producto. Una restauración debe volver a aplicar las supresiones anteriores.

[P06 – Revisión jurídica y técnica] Las propuestas no son plazos vigentes ni promesas de borrado implementadas. Fijar plazos, obligaciones españolas de conservación/prescripción y evidencias; implementar y probar la limpieza. Justificar o acortar doce meses de copias para pruebas breves y definir la reaplicación de supresiones tras restaurar.

7. Derechos

Puede solicitar acceso, rectificación, supresión, limitación, portabilidad cuando corresponda y oposición, y retirar el consentimiento para el futuro. Escriba a info@sigvora.eu. La comprobación de identidad necesaria será proporcionada. El plazo general de respuesta es un mes; se comunicarán las prórrogas legalmente permitidas y su motivo. Puede reclamar ante la Agencia Española de Protección de Datos (AEPD) u otra autoridad competente. Cuando la empresa sea responsable, la apoyaremos en la gestión de sus derechos.

[P07 – Revisión jurídica] Confirmar responsables, canal y procedimientos de acceso/exportación/supresión, incluidas copias y cuentas empresariales. Considerar excepciones legales y, cuando proceda, derechos relacionados con decisiones automatizadas.