Datenschutzhinweis für eingeladene Empfänger
Kernpunkte
- Sie lesen dies, weil jemand, der CIBHER nutzt, Sie zum Austausch verschlüsselter Dokumente eingeladen hat.
- Wir haben Ihre E-Mail-Adresse, und wir haben sie von der Person erhalten, die Sie eingeladen hat.
- Sie können jederzeit widersprechen, indem Sie an privacy@cibher.eu schreiben; dann hören wir auf.
Warum Sie dies lesen
Jemand, der CIBHER nutzt, möchte verschlüsselte Dokumente mit Ihnen austauschen und hat Ihre E-Mail-Adresse eingegeben, um Ihnen eine Einladung zu senden. Sie sind nicht unser Kunde und haben keinen Vertrag mit uns; deshalb beschreibt dieser Hinweis — und nicht unsere Datenschutzerklärung für Kunden —, was wir mit Ihren Daten tun.
Wer wir sind
CBPROJEKT sp. z o.o., Wschodnia 6/15, 20-015 Lublin, Polen (KRS 0001221768), ist der Verantwortliche. Wir haben keinen Datenschutzbeauftragten bestellt; der Weg für alles, was Ihre Daten betrifft, ist privacy@cibher.eu.
Was wir haben und woher es stammt
Wir haben Ihre E-Mail-Adresse, die wir von der CIBHER-Nutzerin oder dem CIBHER-Nutzer erhalten haben, die bzw. der Sie eingeladen hat, zusammen mit dem Zeitpunkt der Einladung und, falls Sie annehmen, der ausgetauschten öffentlichen Schlüsselkarte. Wir erhalten kein Dokument, keine Dokumentinhalte und kein privates Schlüsselmaterial.
Unsere Rechtsgrundlage und die dahinterstehende Abwägung
Wir stützen uns auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): einer Person, die Ihnen ein Dokument sicher senden möchte, dies zu ermöglichen.
Wir haben die Einwilligung erwogen und sind zu dem Schluss gekommen, dass sie hier strukturell die falsche Grundlage ist, weil wir Ihre Einwilligung einholen müssten, bevor wir Ihnen genau die Nachricht senden, mit der wir darum bitten. Stattdessen halten wir die Verarbeitung minimal, informieren Sie beim ersten Kontakt darüber und machen den Widerspruch einfach.
Wie lange wir es aufbewahren
- Ihre Schlüsselkarte wird gelöscht, sobald die Zustellung bestätigt ist.
- Beim Einladungsdatensatz wird Ihre Adresse gelöscht, wenn die Einladung abgeschlossen ist, und der Datensatz wird nach 30 Tagen gelöscht. Einladungen verfallen nach 14 Tagen.
- Wenn Sie anschließend eine eigene Absenderadresse bestätigen, wird diese Adresse im Klartext vorgehalten, bis die veröffentlichte Aufbewahrungsfrist abgelaufen ist: Das Absender-Token verfällt nach 90 Tagen, und der Datensatz wird innerhalb von 24 Stunden nach diesem Verfall gelöscht — etwa 91 Tage ab Ihrer letzten Bestätigung. Der Pairing-Dienst ist noch nicht in Betrieb, daher existiert heute kein solcher Datensatz.
- Wenn Sie eine Einladung ablehnen und uns bitten, keine weiteren Einladungen dieses Absenders zuzulassen, bewahren wir einen Sperrdatensatz auf, damit die Sperre durchgesetzt werden kann. Er enthält keine Adresse: Er besteht aus einem Paar gesalzener Hashes — einem der Absenderadresse und einem Ihrer — und wir können weder den einen noch den anderen zurücklesen oder auflisten, wen Sie gesperrt haben. Wir bewahren ihn drei Jahre ab dem letzten Mal auf, an dem er eine Einladung verhindert hat; jede verhinderte Einladung setzt diese Frist neu in Gang. Es ist der eine Datensatz, der einen Widerspruch überdauert, weil er dazu da ist, ihn durchzusetzen.
Wer es sonst noch sieht
Zur Signatur der Attestierung, die einer Einladung beiliegt, nutzen wir Google Cloud
KMS in der Region europe-central2 (Warschau), und auf diesem Weg wird
Ihre E-Mail-Adresse an Google übergeben, als Teil der zu signierenden
Nachricht. Google ist für diesen Vorgang Auftragsverarbeiter, und da die Region in Polen liegt,
bleibt die Verarbeitung innerhalb der EU.
Die Einladung selbst wird von Microsoft zugestellt, über Azure Communication Services in der Region polandcentral (Polen). Eine Nachricht an Sie zuzustellen offenbart Ihre Adresse zwangsläufig dem Dienst, der sie befördert; Microsoft ist daher auch für diese Adresse Auftragsverarbeiter.
Diese beiden sind die gesamte Liste. Wir verkaufen Ihre Adresse nicht, wir bewerben Sie nicht und wir nehmen Sie in nichts auf.
Ihre Rechte, einschließlich des Widerspruchsrechts
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit und — weil wir uns auf berechtigte Interessen stützen — ein uneingeschränktes Widerspruchsrecht.
Schreiben Sie an privacy@cibher.eu. Wenn Sie widersprechen, stellen wir die Verarbeitung Ihrer Adresse ein und löschen, was wir haben — mit einer Ausnahme, die wir nennen, statt sie Ihnen zu überlassen: Wenn Sie uns gebeten haben, weitere Einladungen eines Absenders zu sperren, bleibt der oben beschriebene Sperrdatensatz bestehen, denn ihn zu löschen würde diese Einladungen wieder durchlassen. Sie müssen keinen Grund angeben und Sie müssen kein Kunde sein.
Sie können sich auch bei Prezes Urzędu Ochrony Danych Osobowych (Präsident des Amtes für den Schutz personenbezogener Daten), ul. Stawki 2, 00-193 Warszawa, oder bei der Aufsichtsbehörde an Ihrem Wohnort beschweren.