Datenschutzerklärung

HEXAR SOFTWARE FACTORY S.R.L. ("Hexar", "wir", "uns"), CUIT 30-71907331-6, mit Sitz in Las Palmas 2779 Piso 3, Ciudad Autónoma de Buenos Aires, Argentinien, ist der für die Verarbeitung Verantwortliche für Konto-, Organisations-, Abrechnungs- und technische Daten, die in dieser Datenschutzerklärung beschrieben werden.

Für Infrastrukturdaten, die dein eigener Agent meldet (Abschnitt 2) und die personenbezogene Daten deiner Endnutzer oder Mitarbeiter enthalten oder daraus stammen, handelt Hexar als dein Auftragsverarbeiter und verarbeitet diese Daten ausschließlich gemäß deinen dokumentierten Anweisungen — siehe unseren Auftragsverarbeitungsvertrag ("DPA"), veröffentlicht unter /de/terms/dpa und durch Verweis in diese Erklärung einbezogen.

Diese Datenschutzerklärung ist Teil der Nutzungsbedingungen von Archynt. Die Annahme der Nutzungsbedingungen bedeutet, dass du deine ausdrückliche, informierte Zustimmung zu dieser Datenschutzerklärung erteilst — Voraussetzung für die Erstellung eines Archynt-Kontos, ohne Ausnahme.

Diese Datenschutzerklärung wird außerdem auf Englisch unter /privacy und auf Spanisch unter /es/privacy veröffentlicht. Für Nutzer und Organisationen mit Sitz in Argentinien ist die spanische Fassung der rechtlich maßgebliche Text bei Abweichungen zwischen den Fassungen.

Kontodaten, die du direkt angibst: E-Mail-Adresse und — falls du dich für die Registrierung per E-Mail/Passwort entscheidest — ein Passwort (vollständig von Firebase Authentication verwaltet; wir sehen oder speichern es niemals im Klartext). Meldest du dich über Google oder GitHub an, erhalten wir die E-Mail-Adresse und die Profilkennung, die diese Anbieter mit uns teilen.

Organisations- und Abrechnungsdaten: der Name deiner Organisation, ihr Plan, und — bei kostenpflichtigen Plänen — Abrechnungsdaten, die von Paddle, unserem Zahlungsabwickler, verarbeitet werden (Paddle, nicht Archynt, verwahrt deine Karten-/Zahlungsdaten).

Nachweis der Annahme der Nutzungsbedingungen: die Version der Bedingungen, die du akzeptiert hast, Datum und Uhrzeit sowie die IP-Adresse, von der aus die Annahme erfolgte — aufbewahrt als Audit-Protokoll (siehe Abschnitt 6 für die Aufbewahrungsfrist).

Infrastrukturdaten, die dein eigener Agent meldet, sofern du dich für dessen Betrieb entscheidest: Service-/Container-Topologie, TCP-Abhängigkeitskanten, Ressourcenmetriken von Host und Container sowie Log-Zeilen deiner eigenen Systeme — schreibgeschützt, nur gesendet, wenn du den Agenten einsetzt, und auf deine Organisation begrenzt. Log-Zeilen deiner eigenen Systeme können personenbezogene Daten deiner Endnutzer oder Mitarbeiter enthalten (zum Beispiel eine IP-Adresse oder eine von deiner Anwendung protokollierte Kennung); Hexar durchsucht Logs nicht, um solche Daten zu extrahieren oder zu profilieren, kann aber nicht vollständig verhindern, dass deine eigenen Systeme sie protokollieren.

Aus dem Code abgeleitete Daten: Wenn du Archynt auf ein Repository richtest, parsen wir es, um einen Architekturgraphen (Klassennamen, Paketstruktur, Beziehungen) zu erstellen, und speichern diesen Graphen — nicht eine Kopie des vollständigen Quellcode-Baums deines Repositorys.

Automatisch erhobene technische Daten: IP-Adresse, Browser/User-Agent und grundlegende Anfrageprotokolle, zu Sicherheits- und Missbrauchspräventionszwecken.

Um den Dienst bereitzustellen: dich zu authentifizieren, zu ermitteln, welcher Organisation und Rolle du angehörst, deinen Architekturgraphen zu erstellen und zu speichern, deine Runtime-Topologie und -Metriken zu erfassen und anzuzeigen, KI-Insights zu erzeugen und die Nutzungslimits deines Plans durchzusetzen.

Um dich abzurechnen, sofern du einen kostenpflichtigen Plan hast, über Paddle.

Um sicher zu operieren: Missbrauch zu erkennen, Enrollment-Key- und Sitzungsauthentifizierung durchzusetzen und Vorfälle zu untersuchen.

Um mit dir über dein Konto, Änderungen am Dienst oder — mit deiner Zustimmung, sofern erforderlich — Produktneuigkeiten zu kommunizieren.

Wir verkaufen deine personenbezogenen Daten nicht, und wir verwenden weder deinen Quellcode noch deine Infrastrukturdaten, um irgendein KI-Modell zu trainieren.

Firebase Authentication (Google) — Identitätsprüfung bei jeder Anmeldung.

Paddle — Zahlungsabwicklung und Abonnementabrechnung für kostenpflichtige Pläne; Paddle handelt als Merchant of Record.

Anthropic (Claude) — unser standardmäßiger KI-Insight-Anbieter; schlägt eine Anfrage an Anthropic fehl, wird automatisch auf OpenAI zurückgegriffen. In beiden Fällen senden wir eine abgeleitete Darstellung deines Architekturgraphen (Komponentennamen, Beziehungen, erkannte Befunde), niemals rohen Quellcode, ausschließlich zur Erzeugung dieser Antwort. Gemäß unseren Vereinbarungen mit Anthropic und den kommerziellen API-Bedingungen von OpenAI nutzt keiner der beiden Anbieter diese Daten zum Training seiner Modelle, und jeder wendet auf API-Daten sein eigenes, begrenztes Aufbewahrungsfenster an, unabhängig von der eigenen Aufbewahrungsrichtlinie von Archynt.

GitHub — falls du eine GitHub-App-Installation verbindest, um Repository-Inhalte zur Analyse zu lesen und PR-Checks an GitHub zurückzumelden, begrenzt auf die Repositories, die du ausdrücklich autorisierst.

Infrastruktur-/Hosting-Anbieter — die Server und der Speicher (Postgres, Neo4j, VictoriaMetrics, Loki), auf denen Archynt läuft, gehören uns; wo Cloud-Infrastruktur Dritter genutzt wird, handelt diese ausschließlich als Auftragsverarbeiter nach unseren Weisungen.

Wir geben personenbezogene Daten nur dann an Behörden weiter, wenn wir gesetzlich dazu verpflichtet sind.

Einige der in Abschnitt 4 genannten Auftragsverarbeiter — einschließlich Firebase/Google, Anthropic und OpenAI — befinden sich in den Vereinigten Staaten, außerhalb Argentiniens. Bietet das Empfängerland kein von der argentinischen Datenschutzbehörde (der AAIP) als angemessen anerkanntes Datenschutzniveau, stützen wir uns auf die von der AAIP genehmigten Musterklauseln für internationale Datenübermittlungen oder auf deine informierte Zustimmung zur jeweiligen Übermittlung, wie es Artikel 12 des Gesetzes Nr. 25.326 vorschreibt.

Wir halten die Liste der Auftragsverarbeiter und ihren Standort in dieser Erklärung aktuell; kontaktiere uns (Abschnitt 9), falls du den konkreten Übermittlungsmechanismus für einen bestimmten Anbieter erfahren möchtest.

Konto- und Organisationsdaten werden aufbewahrt, solange dein Konto besteht, zuzüglich eines angemessenen Zeitraums danach zur Erfüllung rechtlicher oder buchhalterischer Pflichten.

Runtime-Metriken und Log-Daten werden gemäß den Limits deines Plans aufbewahrt (siehe /pricing) und laufen automatisch nach diesem Zeitraum ab — dies wird serverseitig durchgesetzt, nicht nur als Anzeigefilter.

Nachweise der Annahme der Nutzungsbedingungen/Datenschutzerklärung werden 5 Jahre ab dem Zeitpunkt der Schließung deines Kontos aufbewahrt, entsprechend der allgemeinen Verjährungsfrist für vertragliche Ansprüche nach Artikel 2560 des Zivil- und Handelsgesetzbuchs, sofern nicht ein längerer Zeitraum zur Klärung eines anhängigen Anspruchs oder Verfahrens erforderlich ist.

Bei Schließung des Kontos deiner Organisation werden Infrastrukturdaten gemäß der Karenzfrist und dem Verfahren gelöscht oder unwiderruflich anonymisiert, die in Abschnitt 9 unserer Nutzungsbedingungen beschrieben sind.

Wir wenden branchenübliche Schutzmaßnahmen an: Passwörter werden niemals von unserem eigenen Code verarbeitet (ausschließlich Firebase Authentication); Sitzungstoken sind signiert und kurzlebig; der Runtime-Agent authentifiziert sich mit einem organisationsweiten Enrollment-Key und agentenspezifischen Bearer-Tokens, die im Ruhezustand gehasht sind; Webhook-Payloads werden signaturgeprüft.

Kein System ist absolut sicher. Hat Hexar die hier beschriebenen Schutzmaßnahmen angewendet, haftet es nicht für unrechtmäßiges Abfangen oder unbefugten Zugriff auf seine Systeme, den es billigerweise nicht hätte verhindern können.

Erlangen wir Kenntnis von einem Sicherheitsvorfall, der die Vertraulichkeit, Integrität oder Verfügbarkeit deiner personenbezogenen Daten oder der Infrastrukturdaten deiner Organisation beeinträchtigt hat, benachrichtigen wir den Owner der betroffenen Organisation unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bestätigung des Vorfalls, per E-Mail und In-App-Hinweis.

Diese Benachrichtigung beschreibt, soweit zu diesem Zeitpunkt bekannt: die Art des Vorfalls, die Kategorien und die ungefähre Menge der betroffenen Daten, die ergriffenen oder geplanten Maßnahmen sowie eine Kontaktstelle für weitere Informationen. Sofern nach der Resolución AAIP 47/2018 oder einer entsprechenden anwendbaren Regelung erforderlich, benachrichtigen wir zusätzlich die AAIP.

Je nach anwendbarem Recht kannst du das Recht auf Zugang, Berichtigung, Löschung oder Übertragbarkeit deiner personenbezogenen Daten sowie auf Widerruf deiner Einwilligung haben, sofern die Verarbeitung darauf beruht. Du kannst diese Rechte ausüben, indem du uns unter [email protected] kontaktierst; Konto- und Organisationsdaten lassen sich auch direkt über die Seiten Organisation und Profil deines Dashboards verwalten.

Bist du mit unserer Antwort nicht zufrieden, hast du das Recht, eine Beschwerde bei der argentinischen Datenschutzbehörde, der Agencia de Acceso a la Información Pública (AAIP), oder bei der entsprechenden Datenschutzbehörde deines Wohnsitzlandes einzureichen, sofern dir das anwendbare Recht dieses Recht einräumt.

Die Löschung deines Kontos entfernt deine persönlichen Kontodaten; Daten, die einer Organisation gehören, die du nicht allein besitzt, können stattdessen ein Handeln eines Owners/Admins dieser Organisation erfordern.

Archynt ist ein Geschäfts-/Entwickler-Tool und richtet sich nicht an Personen unter 18 Jahren und wird nicht wissentlich von ihnen genutzt — das Alter der vollen Geschäftsfähigkeit gemäß den Artikeln 25–26 des Zivil- und Handelsgesetzbuchs, oder das nach anwendbarem Recht erforderliche Alter, um selbstständig in die Datenverarbeitung einzuwilligen, je nachdem, welches höher ist. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter diesem Alter.

Archynt verwendet einen minimalen Satz an Cookies: ein httpOnly-Sitzungscookie, das dich angemeldet hält, und keine Werbe- oder Tracking-Cookies von Drittanbietern. Deaktivierst du das Sitzungscookie in deinem Browser, wirst du abgemeldet.

Die in Abschnitt 1 beschriebene Auftragsverarbeiter-Beziehung für Infrastrukturdaten — einschließlich der von uns für diese Daten eingesetzten Subunternehmer, des Verfahrens zur Benachrichtigung bei Sicherheitsvorfällen, der Unterstützung bei Anfragen der Betroffenen deiner eigenen Endnutzer sowie des Datenexports und der Datenlöschung bei Vertragsbeendigung — ist vollständig in unserem Auftragsverarbeitungsvertrag unter /de/terms/dpa geregelt, der Bestandteil dieser Bedingungen und dieser Erklärung ist.

Wir werden diese Datenschutzerklärung im Zuge der Weiterentwicklung des Dienstes aktualisieren. Bei einer wesentlichen Änderung informieren wir dich mindestens 30 Tage im Voraus über dieselben Kanäle wie bei Änderungen der Nutzungsbedingungen und holen — wo gesetzlich vorgeschrieben — deine erneute Zustimmung ein.

Diese Datenschutzerklärung unterliegt den Gesetzen der Republik Argentinien. Jede Streitigkeit im Zusammenhang mit ihrer Auslegung, Gültigkeit oder Erfüllung wird den ordentlichen Gerichten mit Sitz in der Stadt Buenos Aires vorgelegt, vorbehaltlich derselben Verbraucherschutz-Ausnahme, die in Abschnitt 12 unserer Nutzungsbedingungen beschrieben ist.