Datenschutzerklärung
Diese Datenschutzerklärung erläutert, wie Marko Omelyash VARSOFIA (Betreiber von sign.yt) personenbezogene Daten verarbeitet. Wir handeln als Verantwortlicher in Bezug auf Besucher- und Betreiberkontodaten und als Auftragsverarbeiter in Bezug auf Dokumenteninhalte und Unterzeichnerdaten, die von unseren Kundenorganisationen hochgeladen werden. Die Verarbeitung von Kunden-Dokumentendaten wird zusätzlich durch einen separaten Auftragsverarbeitungsvertrag (AVV/DPA) geregelt.
1. Identität des Verantwortlichen
Marko Omelyash VARSOFIA, Einzelunternehmen mit Sitz in Polen, NIP 7011036703. Kontakt für alle Datenschutz- und Datenschutzangelegenheiten: support@sign.yt.
2. Geltungsbereich und Funktion
Wir sind Verantwortlicher für: Besucheranalysen, Anmeldedaten von Betreiber-Nutzern, Abrechnungsdaten und Sicherheitstelemetrie. Wir sind Auftragsverarbeiter für: durch Kundenorganisationen hochgeladene Dokumenteninhalte, in diesen Dokumenten enthaltene personenbezogene Daten von Empfängern sowie Audit-Log-Einträge, die aus kundengesteuerten Workflows entstehen. Kundenorganisationen sind Verantwortliche dieser Daten und weisen uns über den Dienst und den AVV an.
3. Kategorien von Daten
Konto: E-Mail, Name, Passwort-Hash, MFA-Geheimnisse (verschlüsselt), SSO-Kennungen. Dokumentendaten: hochgeladene Dateien (im Ruhezustand verschlüsselt), Empfängernamen, E-Mail-Adressen und Telefonnummern sowie Signaturnachweise. Telemetrie: IP-Adresse, User-Agent, Zeitstempel und Referrer zur Sicherheits- und Missbrauchserkennung. Cookies: zwingend erforderliche Sitzungs- und CSRF-Token sowie Sprach- und Theme-Einstellungen. Wir setzen standardmäßig keine Analyse-, Werbe- oder Drittanbieter-Tracking-Cookies ein.
4. Rechtsgrundlage (Art. 6 DSGVO)
Vertragserfüllung — für Diensterbringung, Kontoverwaltung und Abrechnung. Berechtigtes Interesse — für Sicherheit, Betrugsprävention, Systemadministration und Direktkommunikation mit bestehenden Kunden (jeweils widerspruchsfähig). Rechtliche Verpflichtung — für Steuer-, Buchhaltungs- und Audit-Log-Aufbewahrung. Einwilligung — für jegliche nicht-essenziellen Cookies, Marketingkommunikation an Nicht-Kunden sowie die optionalen KI-Funktionen.
5. Unterauftragsverarbeiter
Wir setzen Unterauftragsverarbeiter ein, um Infrastruktur zu hosten, E-Mails und SMS zuzustellen, Zahlungen abzuwickeln und — nur wenn ein Kunde sie aktiviert — optionale KI-Funktionen bereitzustellen. Die aktuelle Liste der Unterauftragsverarbeiter wird online geführt und gelegentlich aktualisiert; Kunden können sie jederzeit einsehen und einem neuen Unterauftragsverarbeiter aus berechtigten Gründen widersprechen. Jeder Unterauftragsverarbeiter wird auf Grundlage angemessener vertraglicher Vereinbarungen (Datenschutzvereinbarungen, Geschäfts- oder API-Bedingungen) und der in Abschnitt 6 beschriebenen Garantien für internationale Übermittlungen eingebunden. Die aktuelle Liste ist unter sign.yt/subprocessors veröffentlicht.
6. Internationale Übermittlungen
Standardmäßig werden Kunden-Dokumentendaten innerhalb des Europäischen Wirtschaftsraums verarbeitet. Sofern personenbezogene Daten außerhalb des EWR übermittelt werden — beispielsweise über bestimmte in den USA ansässige Abrechnungs-, E-Mail- oder KI-Unterauftragsverarbeiter — stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) und auf technische und organisatorische Maßnahmen im Einklang mit dem Schrems-II-Urteil, einschließlich Verschlüsselung bei der Übertragung und im Ruhezustand, strenger Zugriffskontrollen und Transparenz hinsichtlich rechtmäßiger Auskunftsersuchen, die der jeweilige Unterauftragsverarbeiter erhält.
7. Speicherdauer
Kunden-Dokumentendaten werden gemäß der vom Kunden für seine Organisation gewählten Aufbewahrungseinstellung gespeichert oder, sofern keine Einstellung konfiguriert ist, für eine Standard-Archivierungsfrist von zehn (10) Jahren nach Abschluss als Beweissicherungsfunktion des Dienstes (nicht als von uns auferlegte gesetzliche Pflicht). Kontodaten werden für die aktive Lebensdauer des Kontos und bis zu 24 Monate danach aufbewahrt. Audit-Logs werden ebenso lange wie die zugehörigen Dokumentendaten aufbewahrt. Sicherungen folgen einer rollierenden 90-Tage-Rotation. KI-Eingaben (Prompts) werden nicht über den Inferenzaufruf hinaus aufbewahrt.
8. Ihre Rechte
Vorbehaltlich der Artikel 15-22 DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten sowie das Recht, eine erteilte Einwilligung zu widerrufen. Zur Ausübung dieser Rechte schreiben Sie an support@sign.yt oder nutzen Sie den im Produkt verfügbaren /rodo-request-Workflow. Wir antworten innerhalb von 30 Tagen. Wurden Ihre personenbezogenen Daten von einer Kundenorganisation hochgeladen, leiten wir Ihre Anfrage an diesen Kunden (den Verantwortlichen) weiter und unterstützen ihn bei der Beantwortung. Sie können auch Beschwerde beim Präsidenten des polnischen Datenschutzamts (Prezes UODO, ul. Stawki 2, 00-193 Warszawa, Polen) oder bei Ihrer örtlichen Aufsichtsbehörde einlegen.
9. Sicherheit
Wir setzen technische und organisatorische Maßnahmen um, die dem Risiko gemäß Art. 32 DSGVO angemessen sind, einschließlich TLS während der Übertragung, Verschlüsselung im Ruhezustand für Dokumenten-Blobs und feldweise Verschlüsselung sensibler Anmeldedaten, modernes Passwort-Hashing, Unterstützung für Mehr-Faktor-Authentifizierung, rollenbasierte Zugriffskontrolle, ein nur-anhängendes Audit-Log mit Hash-Ketten-Integrität sowie ein 72-Stunden-Meldeverfahren für Datenschutzverletzungen gemäß Art. 33. Zusätzlich nutzen wir externen Perimeterschutz (TLS-Terminierung, DDoS-Abwehr, WAF) namhafter Anbieter.
10. KI-Verarbeitung
KI-Funktionen (z. B. automatische Felderkennung oder Vertragsprüfung) sind je Organisation optional und müssen aktiviert werden. Bei Aktivierung wird Dokumententext an den vom Kunden gewählten KI-Anbieter (Anthropic, OpenAI, Google oder einen anderen unterstützten Anbieter) ausschließlich zu Inferenzzwecken übermittelt. Soweit die Geschäfts- oder API-Bedingungen des gewählten Anbieters dies vorsehen, werden Kundeninhalte nicht zum Trainieren der Modelle des Anbieters verwendet; wir können die Vertragsbedingungen jedes Drittanbieters nicht garantieren, daher sollte der Kunde sie vor Aktivierung der KI-Funktionen prüfen. Der Kunde kann die KI-Verarbeitung jederzeit in den Einstellungen seiner Organisation deaktivieren.
11. Cookies
Wir verwenden ausschließlich zwingend erforderliche Cookies — Sitzungs-Cookies zur Authentifizierung, ein Cookie mit CSRF-Token sowie Sprach-/Theme-Einstellungen. Wir setzen standardmäßig keine Analyse-, Werbe- oder Drittanbieter-Tracking-Cookies ein. Sollten wir künftig nicht-essenzielle Cookies einführen, holen wir vorab eine informierte Einwilligung gemäß der ePrivacy-Richtlinie 2002/58/EG und den sie umsetzenden polnischen Vorschriften zur elektronischen Kommunikation ein. Auf den Anmelde-, Registrierungs- und öffentlichen Signaturformularen verwenden wir Cloudflare Turnstile (Cloudflare, Inc.), um automatisierten Missbrauch zu verhindern. Dabei werden Ihre IP-Adresse und technische Browsersignale verarbeitet; ggf. wird ein kurzlebiges Sicherheitstoken im Browser gespeichert. Dies dient ausschließlich der Sicherheit (Art. 6 Abs. 1 lit. f DSGVO), nicht dem Tracking oder der Werbung.
12. Kinder
Der Dienst richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Kundenorganisationen sichern zu, dass sie über eine geeignete Rechtsgrundlage verfügen, sofern der Dienst zur Verarbeitung personenbezogener Daten Minderjähriger genutzt wird.
13. Änderungen dieser Erklärung
Wir können diese Erklärung von Zeit zu Zeit ändern. Über wesentliche Änderungen informieren wir mindestens 30 Tage im Voraus per E-Mail und über ein Banner im Produkt. Die aktuelle Fassung und das Datum des Inkrafttretens sind oben angegeben.
14. Kontakt
Für alle Fragen oder zur Ausübung Ihrer Rechte aus dieser Erklärung wenden Sie sich bitte an den Verantwortlichen unter support@sign.yt. Der Auftragsverarbeitungsvertrag, der die Verarbeitung von Kunden-Dokumentendaten regelt, ist unter /dpa verfügbar.