Datenschutzerklärung

1. Einleitung

Spun Life, LLC („Spun“, „wir“, „uns“ oder „unser“) betreibt die Spun-Plattform, einschließlich der Website spun.com und der Webanwendung web.spun.com (zusammen der „Dienst“). Diese Datenschutzerklärung erläutert, wie wir deine Informationen erheben, verwenden, offenlegen und schützen, wenn du unseren Dienst nutzt.

Indem du auf den Dienst zugreifst oder ihn nutzt, erklärst du dich mit dieser Datenschutzerklärung einverstanden. Wenn du nicht einverstanden bist, nutze den Dienst bitte nicht.

2. Informationen, die wir erheben

2.1 Informationen, die du uns gibst

• Kontoinformationen: Name, E-Mail-Adresse und Anmeldedaten (über Google Sign-In oder mit E-Mail und Passwort).
• Organisationsdaten: Firmenname, Telefonnummern und Angaben zur WhatsApp-Integration.
• Zahlungsinformationen: Rechnungsdaten, die sicher über Stripe verarbeitet werden. Wir speichern keine Kreditkartennummern auf unseren Servern.
• Kontaktdaten: Kontaktinformationen, die du über den Dienst hochlädst oder verwaltest, einschließlich Namen, Telefonnummern und etwaiger benutzerdefinierter Felder.
• Nachrichteninhalte: WhatsApp-Nachrichten, die über den Dienst gesendet und empfangen werden, einschließlich Text, Medien und Anhängen.
• Support-Kommunikation: Informationen, die du uns gibst, wenn du unser Support-Team kontaktierst.
• Persönliche Ziele und Reflexionen: Ziele, die du dir selbst setzt, und die Reflexionen, die du dazu schreibst. Diese gehören dir und nicht deiner Organisation und können weder von einem Manager noch von einem Teammitglied gelesen werden. Unsere Sicherheitsseite beschreibt, wie das durchgesetzt wird.
• Besprechungsaufzeichnungen und Transkripte: Wenn deine Organisation die Aufzeichnung von Besprechungen aktiviert, werden zwei getrennte Elemente gespeichert: die Aufzeichnungsdatei (Audio oder Video) und ein schriftliches Transkript der Besprechung mit Kennzeichnung der Sprecher. Beide werden getrennt gespeichert und laufen nach getrennten Fristen ab: Eine Aufzeichnung wird am Ende der von deiner Organisation festgelegten Aufbewahrungsfrist für Aufzeichnungen gelöscht, die höchstens 30 Tage beträgt, während ein Transkript aufbewahrt wird, bis die Daten deiner Organisation gelöscht werden, sofern deine Organisation keine kürzere Aufbewahrungsfrist für Transkripte festlegt.

2.2 Automatisch erhobene Informationen

• Nutzungsdaten: besuchte Seiten, genutzte Funktionen, Zeitstempel und Interaktionsmuster.
• Geräteinformationen: Browsertyp, Betriebssystem, Gerätekennungen und IP-Adresse.
• Cookies und lokaler Speicher: Wir verwenden Cookies und den lokalen Speicher des Browsers, um Sitzungen aufrechtzuerhalten, Einstellungen zu speichern und die Nutzererfahrung zu verbessern.
• Fehlerberichte: automatisierte Fehlerdiagnosen, die uns helfen, Probleme zu erkennen und zu beheben (sie enthalten keine Inhalte, die eine Person identifizieren).
• Nutzungsdaten von API-Schlüsseln (einschließlich MCP): Wenn sich deine Organisation über einen API-Schlüssel verbindet, einschließlich der Verbindung eines KI-Assistenten über den Spun-MCP-Server, erfassen wir bei jeder Nutzung den Schlüssel, die Aktion, die IP-Adresse und Metadaten der Client-Software, zu Sicherheits- und Audit-Zwecken. IP-Adressen werden als personenbezogene Daten behandelt.
• Netzwerkdaten des Computers mit „Eigener Proxy“: Wenn eine Organisation die Funktion „Eigener Proxy“ auf einem Computer oder Router betreibt, der ihr gehört (in diesem Absatz „der Computer“), meldet das Spun-Programm auf diesem Computer den Verbindungstyp (WLAN, kabelgebunden oder Mobilfunk), den Namen des WLAN-Netzwerks, sofern das Betriebssystem das Auslesen erlaubt, einen Einweg-Fingerabdruck der Hardwareadresse des Routers (die Adresse selbst wird nicht gespeichert) und die öffentliche Internetadresse. Wir erfassen ein Ereignis nur, wenn sich das Netzwerk ändert, und zeigen es nur den Managern der Organisation in der „Proxy-Historie“ in den Einstellungen an, damit sie sehen können, welches Netzwerk einer Trennung eines Kanals vorausging. Wenn ein Manager eine Verbindungsprüfung startet oder die Verknüpfung der Verbindung fehlschlägt, baut Spun außerdem von diesem Computer aus eine Testverbindung zu unserer eigenen Website und zu WhatsApp Web auf und erfasst nur das Ergebnis und den Namen eines etwaigen Filterprodukts, das anstelle der Website geantwortet hat. Wenn ein Filter anstelle von WhatsApp Web antwortet, bewahrt Spun außerdem die öffentliche Zertifikatskette des Filters auf (nur Zertifikate, niemals einen Schlüssel), damit Spun seinen WhatsApp-Anbieter bitten kann, diesem Filter zu vertrauen, und informiert einmalig sein eigenes Team; der Manager sieht auf dem Bildschirm, dass das Team benachrichtigt wurde. Wenn es sich um ein Filterprodukt handelt, das Spun erkennt, kann Spun diese Inspektion für den Computer automatisch zulassen, damit die Länderprüfung bestanden werden kann; ein Manager kann dies jederzeit unter „Überprüfung der sicheren Verbindung“ des Computers in den Einstellungen abschalten. Wir erheben weder gespeicherte Netzwerke noch Listen von Netzwerken in der Nähe noch die eigenen Adressen des Computers, und wir erheben keinen Netzwerknamen von Telefonen. Wenn „Eigener Proxy“ ausfällt, erhebt Spun für den Support außerdem Diagnosedaten zum Ausfall: die Verbindungsdaten des Computers (Status, Ausgangsadresse und Testergebnisse) und das eigene Protokoll des Agent-Programms; sie werden 30 Tage lang aufbewahrt und sind nur für die Support-Mitarbeiter von Spun einsehbar.

3. Wie wir deine Informationen verwenden

Wir verwenden die von uns erhobenen Informationen für folgende Zwecke:

• Bereitstellung, Betrieb und Wartung des Dienstes.
• Abwicklung von Transaktionen und Versand zugehöriger Informationen (Quittungen, Rechnungen).
• Bereitstellung KI-gestützter Funktionen wie automatischer Antworten, des Verfassens von Nachrichten und der Transkription.
• Versand von administrativen Nachrichten, Sicherheitswarnungen und Kontobenachrichtigungen.
• Beantwortung deiner Kommentare, Fragen und Support-Anfragen.
• Überwachung und Analyse von Nutzungstrends, um den Dienst zu verbessern.
• Erkennung, Verhinderung und Behebung technischer Probleme, von Betrug und Missbrauch.
• Erfüllung gesetzlicher Pflichten.

4. KI-Funktionen und Datenverarbeitung

Unser Dienst umfasst KI-gestützte Funktionen (automatische Antworten, Verfassen von Nachrichten, Transkription und Vergabe von Labels). Wenn du diese Funktionen nutzt, gilt Folgendes:

• Nachrichteninhalte können zur Verarbeitung an externe KI-Anbieter (wie OpenAI) gesendet werden.
• Wir verwenden deine Nachrichteninhalte nicht zum Training von KI-Modellen.
• Die KI-Verarbeitung erfolgt für jede Anfrage einzeln, und Inhalte werden von KI-Anbietern nicht über den Verarbeitungszeitraum hinaus aufbewahrt.
• Du kannst KI-Funktionen jederzeit in den Einstellungen deiner Organisation deaktivieren.
• Wenn ein Manager deiner Organisation einen externen KI-Assistenten (wie Claude oder Cursor) über den Spun-MCP-Server verbindet, greift dieser Assistent entsprechend den Berechtigungen (Scopes) des API-Schlüssels, die deine Organisation gewährt, auf Daten des Arbeitsbereichs zu. Von der KI ausgelöstes Senden von Nachrichten erfordert standardmäßig eine menschliche Freigabe im Team-Posteingang, und die Organisation kann diesen Zugriff jederzeit einschränken (Liste zugelassener Kanäle, Labels, Gruppen) oder vollständig abschalten.

4a. Kontaktintelligenz (Kontaktanreicherung)

Wenn deine Organisation die Funktion aktiviert, kann ein Nutzer für einen einzelnen gespeicherten Kontakt ausdrücklich die Abfrage eines öffentlichen beruflichen Profils anfordern. Die Funktion ist standardmäßig deaktiviert und läuft nie automatisch:

• Eine Abfrage erfolgt nur, wenn ein Nutzer sie ausdrücklich für einen bestimmten Kontakt anklickt. Es gibt kein proaktives Durchsuchen, keine Massenverarbeitung, und deine Kontaktliste wird nie hochgeladen.
• Die einzigen Daten, die an den Anbieter gesendet werden, sind der Name und die Telefonnummer dieses Kontakts sowie das Land dieser Telefonnummer. Nachrichteninhalte werden nie gesendet.
• Der Anbieter ist People Data Labs (Vereinigte Staaten), der in unserem Verzeichnis der Unterauftragsverarbeiter aufgeführt ist.
• Eine in den USA vergebene Telefonnummer dient nur als Kriterium für die Berechtigung zur Nutzung der Funktion. Die Nummer belegt weder den Standort noch die Staatsangehörigkeit einer Person und wird nicht als Nachweis dafür behandelt.
• Gespeichert werden nur berufliche Felder, die auf einer Positivliste stehen (Berufsbezeichnung, Unternehmen, Branche, LinkedIn-URL, beruflicher Werdegang, allgemeine Region). Geschätztes Gehalt, Geburtsdatum, Geschlecht, Wohnadresse, private E-Mail-Adressen, weitere Telefonnummern und Angehörige werden nie gespeichert.
• Die unverarbeitete Antwort des Anbieters wird innerhalb von 7 Tagen gelöscht. Ein Manager kann alle vom Anbieter stammenden Felder eines Kontakts jederzeit löschen.
• Deine Organisation ist der Verantwortliche und ist für jede Information betroffener Personen zuständig, die sie erteilen muss (zum Beispiel nach Art. 14 DSGVO oder nach Amendment 13 in Israel). Spun versendet diese Informationen nicht in deinem Namen.

5. SMS-Nachrichten

Wenn deine Organisation Coaching-Tipps per SMS aktiviert, gilt Folgendes:

• SMS werden über einen externen Anbieter ausschließlich an US-Nummern gesendet (TextGrid / 10DLC).
• Empfänger können jederzeit mit STOP antworten, um keine SMS mehr zu erhalten.
• Empfänger können mit START antworten, um sich erneut anzumelden.
• Telefonnummern und der Opt-in-/Opt-out-Status werden in unserer verschlüsselten Datenbank gespeichert.
• Für Empfänger können die üblichen Nachrichtentarife ihres Mobilfunkanbieters anfallen.
• SMS-Opt-in-Informationen (einschließlich mobiler Opt-in-Daten) werden nicht an Dritte oder verbundene Unternehmen für deren Marketing- oder Werbezwecke verkauft, vermietet, verliehen oder weitergegeben.

6. Google-Nutzerdaten (Google API Services)

Du kannst dein Google-Konto optional mit Spun verbinden. Wenn du das tust, greift Spun nur auf die folgenden Google-Nutzerdaten zu:

• Google Calendar (calendar.events): Spun erstellt und aktualisiert Kalendertermine, die du ausdrücklich anforderst: Google-Meet-Links für Konversationen, Erinnerungen (Alarme), die du synchronisieren möchtest, und Termine aus dem Spun-Kalender, wenn die Zwei-Wege-Synchronisierung aktiviert ist. Wenn du die Einblendung des Hauptkalenders aktivierst, liest Spun außerdem Termine aus deinem Google-Hauptkalender, um sie neben deinen Spun-Terminen anzuzeigen. Spun schreibt nie in deinen Hauptkalender: Alles, was Spun erstellt, landet in einem separaten Kalender, den Spun für dich anlegt.
• Google Calendar (calendar.app.created): Ermöglicht Spun, in deinem Konto einen eigenen, dafür vorgesehenen Kalender zu erstellen und zu verwalten. Spun nutzt diese Berechtigung nur für den Kalender, den Spun erstellt hat.
• Google Meet (meetings.space.created): Erstellen von Google-Meet-Links für Termine, die du erstellst. Spun kann nur auf Meet-Bereiche zugreifen, die Spun selbst erstellt hat.
• Google Drive (drive.file): Speichern von Dateien, die du in deinem eigenen Drive speichern möchtest. Diese Berechtigung gewährt nur Zugriff auf Dateien, die mit Spun erstellt oder geöffnet wurden.
• Gmail (gmail.send): Wenn du den E-Mail-Versand verbindest, sendet Spun auf deine Anforderung Nachrichten von deiner Gmail-Adresse, mit einem Empfänger pro Sendung. Dies ist eine reine Sendeberechtigung: Spun kann damit in deinem Postfach nichts lesen, durchsuchen oder löschen. Die Berechtigung wird über einen separaten Google-Client erteilt, der nur für den E-Mail-Versand verwendet wird.
• E-Mail-Adresse (userinfo.email): Wird ausschließlich verwendet, um dir in den Einstellungen anzuzeigen, welches Google-Konto verbunden ist.

Wie diese Daten verwendet, gespeichert und weitergegeben werden:

• Google-Nutzerdaten werden ausschließlich verwendet, um die oben genannten Funktionen auf deine Anforderung bereitzustellen. Wir verwenden sie nicht für Werbung, verkaufen sie nicht und übermitteln sie nicht an Dritte, außer soweit dies zur Bereitstellung dieser Funktionen erforderlich ist (die API-Aufrufe an Google selbst), soweit es gesetzlich vorgeschrieben ist oder im Rahmen einer Fusion oder Übernahme, die dieser Richtlinie unterliegt.
• Google-Zugriffstoken werden verschlüsselt auf unseren Servern gespeichert. Wir speichern keine Kopien der Inhalte deines Drive. Bei Kalenderterminen speichern wir nur, was die Funktion benötigt: die für die Synchronisierung verwendeten Kennungen und, wenn die Zwei-Wege-Synchronisierung aktiviert ist, die Details der synchronisierten Termine selbst (Titel, Beschreibung, Ort und Zeiten), damit sie in Spun angezeigt werden können. Termine, die für die Einblendung des Hauptkalenders gelesen werden, werden live angezeigt und nicht gespeichert.
• Aufbewahrung und Löschung: Wenn du dein Google-Konto in den Einstellungen trennst, werden die gespeicherten Token sofort gelöscht. Du kannst den Zugriff außerdem jederzeit unter myaccount.google.com/permissions widerrufen. Wenn du dein Spun-Konto löschst (siehe unsere Seite Konto- und Datenlöschung), werden auch die Verbindungsdaten gelöscht.
• E-Mails, die du über Spun sendest: Wir speichern die Empfängeradressen, den Betreff und den Text sowie etwaige Anhänge, damit die Korrespondenz in der Konversation angezeigt werden kann. Antworten, die du erhältst, werden auf dieselbe Weise gespeichert, zusammen mit den Ergebnissen der Absenderauthentifizierung, die die empfangende Domain meldet. Unverarbeitete eingehende Inhalte und Anhänge werden für die Aufbewahrungsfrist aufbewahrt, die für deine Organisation konfiguriert ist. Ein Empfänger kann sich jederzeit abmelden, und vor jedem Versand wird die Abmeldeliste geprüft.
• Google-Nutzerdaten werden nicht verwendet, um Modelle der künstlichen Intelligenz oder des maschinellen Lernens zu entwickeln, zu trainieren oder zu verbessern.

Die Nutzung von Informationen, die Spun von Google-APIs erhält, und deren Übermittlung an eine andere App durch Spun erfolgen gemäß der Google API Services User Data Policy, einschließlich der Anforderungen an Limited Use (eingeschränkte Nutzung).

7. Weitergabe und Offenlegung von Daten

Wir verkaufen deine personenbezogenen Informationen nicht. Wir können Informationen weitergeben an:

• Dienstleister: externe Anbieter, die beim Betrieb des Dienstes unterstützen, wie Messaging-Anbieter, Cloud-Hosting-Anbieter, Zahlungsdienstleister, Authentifizierungsanbieter, KI-Anbieter und Anbieter für den E-Mail-Versand.
• Messaging-Anbieter: Nachrichtendaten können über externe Messaging-Anbieter übertragen werden, die Messaging-Funktionen mit WhatsApp und/oder SMS ermöglichen.
• Gesetzliche Anforderungen: wenn dies gesetzlich, durch einen Gerichtsbeschluss oder durch behördliche Vorschriften verlangt wird.
• Unternehmensübertragungen: im Zusammenhang mit einer Fusion, einer Übernahme oder einem Verkauf von Vermögenswerten.
• Mit deiner Einwilligung: wenn du die Weitergabe ausdrücklich erlaubst.
• Werbemessung (Google Ads): Wenn du über eine Google-Anzeige zu Spun gekommen bist, können wir Google Ads melden, dass der Klick auf diese Anzeige zu einer Registrierung und zu einer verbundenen WhatsApp-Leitung geführt hat, damit wir unsere Werbung messen können. Die Meldung enthält nur die Klick-ID der Anzeige, das Registrierungsdatum und das Verbindungsdatum, niemals Namen, Nachrichten oder Kontakte. Für Kunden in der EU, im Vereinigten Königreich, in der Schweiz und in Brasilien wird diese Meldung nur gesendet, wenn du sie im Registrierungsformular erlaubt hast.
• Gäste des externen Aufgabenportals: Wenn ein Teammitglied eine einzelne Aufgabe per Link teilt, sieht die Person, die diesen Link hat, die in Abschnitt 7a beschriebenen eingeschränkten Aufgabendaten, ohne sich bei Spun anzumelden.

7a. Externes Aufgabenportal (eine Aufgabe per Link teilen)

Ein Teammitglied, das eine Aufgabe bearbeiten darf, kann genau diese Aufgabe mit einem gespeicherten Kontakt teilen, indem es einen Link erzeugt. Dies ist die einzige Stelle in Spun, an der Daten der Organisation an eine Person ausgeliefert werden, die nicht bei Spun angemeldet ist. Für eine Aufgabe bleibt das Portal deaktiviert, bis eine Freigabe erstellt wird, und die teilende Person wählt aus, welche der unten genannten Möglichkeiten der Link gewährt.

• Was der Empfänger sehen kann: die Aufgabennummer, den Titel, das separate Feld für die externe Beschreibung, den Status, die Priorität, das Fälligkeitsdatum mit Uhrzeit, den Zeitpunkt der Erledigung, den Namen deiner Organisation und seinen eigenen Namen. Wenn die teilende Person es aktiviert hat, sieht der Empfänger außerdem die Titel der Checklistenpunkte der Aufgabe und ob jeder davon erledigt ist, sowie Kommentare, die ein Teammitglied bewusst als extern markiert hat, jeweils mit dem Namen des Teammitglieds oder Kontakts, von dem der Kommentar stammt. Die interne Beschreibung und interne Kommentare werden nie an das Portal gesendet, und ein Kommentar ist intern, sofern ein Teammitglied ihn nicht anders markiert.
• Was der Empfänger tun kann und was erfasst wird: Je nach den Möglichkeiten, die die teilende Person aktiviert hat, kann der Empfänger die Aufgabe auf offen, in Bearbeitung oder erledigt setzen, Checklistenpunkte abhaken und das Häkchen wieder entfernen sowie einen Kommentar veröffentlichen. Jede dieser Aktionen erzeugt einen Aktivitätseintrag in der Aufgabe, der dem Empfänger als externem Kontakt zugeordnet wird und den dein Team in der Aktivitätsansicht der Aufgabe sieht. Wir erfassen außerdem, wann der Link zuletzt verwendet und wann die Aufgabe zuletzt von außen angesehen wurde.
• Der Link selbst ist der Zugangsnachweis: Es gibt keine Anmeldung. Wer den Link hat, verfügt über den Zugriff, den die Freigabe gewährt, daher sollte er als Geheimnis behandelt werden. Wir speichern nur einen SHA-256-Hash des Link-Tokens und können einen manuell geteilten Link daher nicht wiederherstellen. Wenn die teilende Person Spun bittet, den Link per WhatsApp oder SMS zuzustellen, statt ihn zu kopieren, wird zusätzlich eine verschlüsselte Kopie des Tokens gespeichert, damit spätere Benachrichtigungen zu dieser Aufgabe denselben Link enthalten können. Ein Empfänger, der den Link per SMS erhält, kann mit STOP antworten, um keine Benachrichtigungen zur Aufgabe mehr zu erhalten.
• Widerruf: Ein Teammitglied kann eine Freigabe jederzeit widerrufen, und ein widerrufener Link funktioniert ab der nächsten Anfrage nicht mehr. Wird die letzte aktive Freigabe einer Aufgabe widerrufen, wird die externe Seite für diese Aufgabe vollständig abgeschaltet.
• Ablauf und Aufbewahrung: Eine Freigabe läuft standardmäßig 30 Tage nach ihrer Erstellung ab. Die teilende Person kann stattdessen einen beliebigen Zeitraum von 1 bis 365 Tagen wählen oder festlegen, dass sie nie abläuft. Ablauf und Widerruf beenden die Funktion des Links, sie löschen die Freigabe selbst nicht: Der Zugriffsdatensatz, die Kommentare des Gasts und die Aktivitätseinträge bleiben bei der Aufgabe und werden entfernt, wenn die Organisationsdaten dieser Aufgabe gelöscht werden.

7b. Das Onboarding-Glücksrad (eine WhatsApp-Nachricht an Spun)

Während der Einrichtung kann neuen Konten neben der Installationsanleitung ein Glücksrad angeboten werden. Das Glücksrad wird freigeschaltet, indem du eine vorbereitete WhatsApp-Nachricht von deiner eigenen WhatsApp-Nummer an Spun sendest. So gehen wir mit dem um, was sich daraus ergibt.

• Die Nachricht eröffnet eine Support-Konversation: Eine WhatsApp-Nachricht an Spun zur Freischaltung des Glücksrads eröffnet mit Spun eine Support-Konversation, die mit deinem Konto verknüpft ist. Die absendende Nummer wird bei Spun als Kontakt gespeichert und mit einem Label als Kunde in der Einrichtung gekennzeichnet, und die Nachrichten in dieser Konversation werden wie jede andere Support-Konversation aufbewahrt. Diese Nummer ist die persönliche Nummer, von der du geschrieben hast, nicht die geschäftliche WhatsApp-Leitung, die du mit Spun verbindest, und wir führen die beiden nie zusammen.
• Die Einwilligung in Kommunikation ist vom Bestehen des Versuchs getrennt: Das Anzeigen des Glücksrads erzeugt einen ausstehenden Versuchsdatensatz und die vorbereitete Nachricht, nichts weiter. Deine Einwilligung, dass Spun dich per WhatsApp zu deiner Einrichtung, zum Support und zu deinem Konto kontaktiert, ist eine eigenständige Tatsache und wird nur erfasst, wenn du das Einwilligungskästchen ankreuzt, zusammen mit dem Wortlaut der Einwilligung, ihrer Version und dem Zeitpunkt. Das Bestehen des Versuchs ist keine Einwilligung, und du kannst jederzeit mit STOP antworten, um keine nicht wesentlichen Nachrichten mehr zu erhalten.
• Aufbewahrung: Sobald deine Nachricht verifiziert ist, gehören der Kontakt, das Label, die Konversation und der Glücksrad-Datensatz der Spun-Organisation, die die Nachricht empfangen hat, und ihre Aufbewahrung richtet sich nach der Aufbewahrungsrichtlinie dieser empfangenden Organisation, wie bei jeder anderen Support-Konversation. Wenn du dein Konto löschst, werden auch der Glücksrad-Datensatz, die Angaben zum Gewinn und das Label gelöscht, und die Konversation wird vom Konto gelöst.
• Einblendungen auf der Einrichtungsseite und ungenutzte Versuche sind Einrichtungsdatensätze: Die Anzeige der Karte wird einmal pro Zuweisung erfasst, und ein Versuch, für den keine Nachricht gesendet wurde, erzeugt keinen Kontakt, keine Einwilligung und keinen Marketing-Lead. Dies sind Datensätze der Kontoeinrichtung, keine Leads, und sie werden mit dem Ablauf des jeweiligen Versuchs gelöscht.

8. Datenspeicherung und Sicherheit

• Die Anwendungsserver und die primäre PostgreSQL-Datenbank werden bei Hetzner Cloud in Nürnberg, Deutschland (EU), gehostet.
• Spun nutzt eine Architektur regionaler Zellen. Jede Organisation ist einer Region zugeordnet, und ihre Betriebsdaten (Nachrichten, Kontakte, Konversationen) werden in der Datenbank dieser Region gespeichert. Die EU-Region wird bei Hetzner in Nürnberg, Deutschland, gehostet; die US-Region wird bei netcup in Manassas, Virginia, USA, gehostet. Für Organisationen, die der US-Region zugeordnet sind, werden diese Daten in den Vereinigten Staaten gespeichert.
• Sprach- und Videoanrufe werden zum nächstgelegenen Medienknoten geleitet. Wir betreiben selbst gehostete Knoten bei netcup in Nürnberg (EU) und Manassas (USA), sodass Echtzeitmedien von Teilnehmern auf dem amerikanischen Kontinent über Infrastruktur in den Vereinigten Staaten laufen können. Medien werden in Echtzeit weitergeleitet und nicht auf diesen Knoten gespeichert.
• Eine neue WhatsApp-Verbindung ohne die Funktion „Eigener Proxy“ läuft über eine verwaltete Verbindung: Bevor der QR-Code angezeigt wird, bestätigst du das Land, in dem du WhatsApp nutzt. Wenn das WhatsApp-Gateway in diesem Land über eine regionale Verbindung verfügt, erreicht die Verbindung WhatsApp über diese (angezeigt als Spun-Verbindung); sie ist Teil des Gateway-Dienstes, der bereits in unserer Liste der Unterauftragsverarbeiter steht. Andernfalls erreicht sie WhatsApp über die Internetadresse eines privaten Internetanschlusses in diesem Land, die von einem externen Residential-Proxy-Netzwerk bereitgestellt wird (Infatica, siehe unsere Liste der Unterauftragsverarbeiter; angezeigt als vorübergehende Verbindung). Der über beide Wege übertragene Datenverkehr ist verschlüsselter WhatsApp-Datenverkehr, und der Anbieter sieht nur die Verbindungsmetadaten, die für die Übertragung nötig sind; wir speichern das bestätigte Land, das nach der Verknüpfung nicht mehr geändert werden kann, und prüfen bei einer vorübergehenden Verbindung regelmäßig, dass die Verbindung von diesem Land aus erfolgt. Nur die WhatsApp-Sitzung selbst läuft über einen dieser Wege: Herunter- und Hochladen von Medien (Fotos, Videos, Sprachnachrichten, Dokumente) erfolgen direkt zwischen dem WhatsApp-Gateway und WhatsApp, nicht über die verwaltete Verbindung oder deinen eigenen Computer oder Router. Eine Organisation, die sich für „Eigener Proxy“ entscheidet, wird stattdessen über Relay-Server geleitet, die Spun betreibt. Wir betreiben Relays bei Hetzner in Nürnberg, Deutschland (EU), und bei netcup in Manassas, Virginia, USA, und die Verbindung nutzt das Relay, das dem Computer oder Router am nächsten liegt, auf dem deine Funktion „Eigener Proxy“ läuft. Relay-Datenverkehr ist TLS-verschlüsselt und wird nur in Echtzeit weitergeleitet: Er wird nicht auf den Relay-Servern gespeichert.
• Mediendateien (Bilder, Videos, Audio, Dokumente) werden im Objektspeicher Cloudflare R2 mit serverseitiger AES-256-Verschlüsselung gespeichert.
• Die Marketing-Website und statische Ressourcen werden über das globale Edge-Netzwerk von Cloudflare Pages ausgeliefert.
• Wir setzen branchenübliche Sicherheitsmaßnahmen ein, darunter Verschlüsselung bei der Übertragung (TLS 1.2+), Zeilenisolierung auf Datenbankebene und sichere Authentifizierung.
• Zahlungsdaten werden von Stripe verarbeitet, einem PCI-DSS-Level-1-konformen Zahlungsdienstleister.
• Trotz unserer Bemühungen ist keine Methode der elektronischen Speicherung zu 100 % sicher. Wir können keine absolute Sicherheit garantieren.

9. Aufbewahrung von Daten

Wir bewahren deine Daten auf, solange dein Konto aktiv ist oder soweit es zur Bereitstellung des Dienstes erforderlich ist. Die Aufbewahrungsfristen für Nachrichtendaten hängen von deinem Abonnement ab:

• Free Trial: 30 Tage
• Starter: 90 Tage
• Pro: 1 Jahr
• Max: unbegrenzt

Nutzungs- und Audit-Datensätze zu API-Schlüsseln und MCP, einschließlich IP-Adressen, Metadaten der Client-Software, Freigabeentscheidungen und der Begründung, die die KI für eine Aktion angegeben hat, werden 180 Tage lang aufbewahrt.

Nach der Löschung eines Kontos löschen oder anonymisieren wir deine personenbezogenen Daten innerhalb von 30 Tagen, sofern die Aufbewahrung nicht gesetzlich vorgeschrieben oder für berechtigte geschäftliche Zwecke erforderlich ist (z. B. Betrugsprävention, Finanzunterlagen).

Weitere Informationen und die Möglichkeit, einen Löschantrag zu stellen, findest du auf unserer Seite Konto- und Datenlöschung.

10. Deine Rechte

Je nach deiner Rechtsordnung hast du möglicherweise folgende Rechte:

• Auskunft: eine Kopie der personenbezogenen Daten anfordern, die wir über dich gespeichert haben.
• Berichtigung: die Berichtigung unrichtiger personenbezogener Daten verlangen.
• Löschung: die Löschung deiner personenbezogenen Daten verlangen.
• Datenübertragbarkeit: einen maschinenlesbaren Export deiner Daten direkt in den Einstellungen deiner Organisation herunterladen oder ihn per E-Mail anfordern.
• Widerspruch: bestimmten Verarbeitungen deiner personenbezogenen Daten widersprechen.
• Widerruf der Einwilligung: Wenn eine Verarbeitung auf einer Einwilligung beruht, kannst du diese jederzeit widerrufen.

Spun ist eine Plattform für mehrere Organisationen, und Anfragen werden pro Organisation bearbeitet: Eine Anfrage, die über eine Organisation gestellt wird, umfasst nur die personenbezogenen Daten, die im Konto dieser Organisation gespeichert sind. Wenn du mit mehreren Organisationen zu tun hattest, die Spun nutzen, führt jede von ihnen eigene Datensätze über dich, und für jede Organisation ist eine separate Anfrage erforderlich.

Um eines dieser Rechte auszuüben, kontaktiere uns bitte unter [email protected]. Für dein Spun-Anmeldekonto selbst (getrennt von den Daten einer einzelnen Organisation) wende dich an dieselbe Adresse.

11. Überwachung und Fehlerverfolgung

Wir nutzen die folgenden Dienste, um die Zuverlässigkeit zu gewährleisten, Fehler zu erkennen und den Zustand des Systems zu überwachen. Diese Dienste erhalten technische Betriebsdaten. Unsere Betriebsprotokolle enthalten Telefonnummern von Kontakten, weil unsere Support- und Engineering-Teams sie benötigen, um eine bestimmte Konversation nachzuverfolgen, wenn etwas schiefgeht. Zugangsdaten und E-Mail-Adressen werden automatisch geschwärzt, bevor die Protokolle unsere Server verlassen, und WhatsApp-Nachrichteninhalte werden nicht routinemäßig protokolliert.

• Better Stack (Better Uptime, s.r.o.): überwacht die Verfügbarkeit unserer öffentlichen API-Endpunkte. Der Dienst erhält nur Prüfergebnisse (Endpunkt-URL, HTTP-Status, Antwortzeit); es werden keine Kundendaten an ihn gesendet.
• Axiom (Axiom, Inc.): fasst Server- und Container-Protokolle aus unserer gesamten Infrastruktur zusammen: Zeitstempel, Host- und Dienstnamen, Anfragepfade, Fehlermeldungen und Stacktraces sowie Telefonnummern von Kontakten, wenn sie in einem Betriebsereignis vorkommen. Zugangsdaten und E-Mail-Adressen werden geschwärzt, bevor die Protokolle unsere Server verlassen, und Nachrichteninhalte werden nicht routinemäßig protokolliert. Die Protokolle werden in der EU (Frankfurt) gespeichert und 30 Tage lang aufbewahrt.

Den aktuellen Status unseres Dienstes in Echtzeit findest du unter spun.betteruptime.com.

12. Cookies

Wir verwenden essenzielle Cookies und den lokalen Speicher, um deine Anmeldesitzung und deine Einstellungen aufrechtzuerhalten. Wir verwenden keine Werbe- oder Tracking-Cookies von Drittanbietern. Du kannst deinen Browser so einstellen, dass er Cookies ablehnt, allerdings funktionieren dann einige Funktionen des Dienstes möglicherweise nicht richtig.

13. Datenschutz bei Kindern

Der Dienst ist nicht für Personen unter 18 Jahren bestimmt. Wir erheben nicht wissentlich personenbezogene Informationen von Kindern. Wenn wir feststellen, dass wir Daten von einem Kind unter 18 Jahren erhoben haben, ergreifen wir Maßnahmen, um sie umgehend zu löschen.

14. Internationale Datenübermittlungen

Deine Informationen können in andere Länder als dein Wohnsitzland übermittelt und dort verarbeitet werden, einschließlich der Vereinigten Staaten. In diesen Ländern können andere Datenschutzgesetze gelten. Durch die Nutzung des Dienstes willigst du in die Übermittlung deiner Informationen in diese Länder ein.

15. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir dich, indem wir die aktualisierte Erklärung auf dieser Seite veröffentlichen und das Datum „Zuletzt aktualisiert“ anpassen. Wenn du den Dienst nach Änderungen weiter nutzt, gilt dies als Annahme der aktualisierten Erklärung.

16. Kontakt

Wenn du Fragen zu dieser Datenschutzerklärung hast, kontaktiere uns bitte unter:

Spun Life, LLC
Adresse: 20805 NE 31st Place, Aventura, FL 33180, USA
Ansprechpartner für Datenschutz (Datenschutzbeauftragter): Samuel Capuano, 20805 NE 31st Place, Aventura, FL 33180, USA
E-Mail: [email protected]
Website: https://spun.com
Weitere Datenschutzinformationen, unter anderem zu Verschlüsselungspraktiken, Unterauftragsverarbeitern, zum Stand der Compliance und zu den Richtlinien für WhatsApp-Nachrichten, findest du unter: https://spun.com/privacy