Datenschutzerklärung

Supabase (Datenbank & Speicher)

• Zweck: Speicherung von Kontodaten, Verträgen und Metadaten
• Sicherheit: SOC 2 Type II, ISO/IEC 27001:2022, GDPR-konform
• DPA: Unterzeichnet

Unterauftragsverarbeiter für die Vertragsextraktion

• Google Vertex (Gemini): Primäre LLM-Extraktion. Läuft in der jeweiligen Region (EU-Region für die EU, US-Region für die USA). Keine Aufbewahrung und kein Modelltraining mit Daten, gemäß den Bedingungen von Google Vertex.
• Anthropic Claude (über AWS Bedrock): Validierungsdurchlauf. Läuft auf AWS Bedrock in Ihrer eigenen Region (EU-AWS-Regionen für EU-Kunden, USA für US-Kunden). Prompts und Ausgaben werden nicht aufbewahrt, und der Modellanbieter hat keinen Zugriff darauf, gemäß den Datenschutzbestimmungen von AWS Bedrock. Opt-out pro Organisation verfügbar.
• Was gesendet wird: Nur Vertragstext (keine Namen, E-Mail-Adressen oder Kontoinformationen).

Die maßgebliche Liste der Unterauftragsverarbeiter und die Offenlegung zu Betriebsprotokollen finden Sie auf /trust.

Resend (E-Mail-Dienst)

• Zweck: Versand von Verlängerungsbenachrichtigungen und Service-E-Mails
• Sicherheit: GDPR-konform
• Was gesendet wird: E-Mail-Adresse und Benachrichtigungsinhalt

Was geteilt wird

• Umfang: Nur die Daten, die von den von Ihnen genehmigten Scopes abgedeckt sind (z. B. Verträge lesen, E-Mail-Entwürfe erstellen). Der Einwilligungsbildschirm listet die genauen Berechtigungen auf, bevor Sie bestätigen.
• Mandantengrenze: Die Anwendung kann nur Ihre eigenen Verträge und die Daten von Organisationen sehen, in denen Sie Mitglied sind, niemals die Daten eines anderen Kunden.
• Was wir senden: Vertragsmetadaten, extrahierte Felder und alle Ausgaben, die das angeforderte Tool erzeugt. Wir übermitteln weder Ihr Passwort noch Ihre MFA-Faktoren, Rechnungsdaten oder sonstige Kontozugangsdaten.

Ihre Kontrolle

• Widerruf: Sie können jede verbundene Anwendung jederzeit widerrufen unter Settings → Connections. Der Widerruf macht das Token sofort ungültig.
• Audit: OAuth-Berechtigungen und -Widerrufe werden protokolliert und in Ihren Einstellungen angezeigt.
• Richtlinien von Drittanbietern: Sobald Daten Renewly verlassen, unterliegen sie der Datenschutzerklärung der verbundenen Anwendung. Prüfen Sie diese Erklärung, bevor Sie Zugriff gewähren.

Google Calendar

• Angeforderte Scopes: https://www.googleapis.com/auth/calendar.events (Termine in Ihren Kalendern lesen und schreiben) und https://www.googleapis.com/auth/userinfo.email (die primäre E-Mail-Adresse Ihres Google-Kontos, zur Kennzeichnung der Verbindung verwendet).
• Was wir damit tun: Wir erstellen in Ihrem primären Google Calendar für jeden Vertrag einen ganztägigen Termin am Verlängerungsdatum, mit Erinnerungen zu Ihren Vorlaufzeiten (standardmäßig 90, 60, 30 und 7 Tage vor diesem Verlängerungsdatum), und aktualisieren oder löschen diese Termine, wenn Sie den zugrunde liegenden Vertrag in Renewly ändern oder entfernen. Wir lesen keine anderen Kalendertermine, ändern keine Termine anderer Anwendungen und schreiben nicht in andere Kalender als Ihren primären Kalender.
• Was wir speichern: Ein verschlüsseltes OAuth-Refresh-Token (AES-256-GCM im Ruhezustand), die E-Mail-Adresse des Google-Kontos, mit dem Sie die Verbindung hergestellt haben, und ein serverseitiges Protokoll, welcher Renewly-Vertrag zu welcher Google-Termin-ID gehört, damit wir später den richtigen Termin aktualisieren können. Die Inhalte Ihrer übrigen Kalendertermine speichern wir nie.
• Aufbewahrung: Token werden aufbewahrt, bis Sie Calendar in Renewly trennen, Ihr Renewly-Konto löschen oder das Token über Ihr Google-Konto widerrufen wird. Beim Trennen werden die verschlüsselten Token innerhalb von 24 Stunden gelöscht; bei Kontolöschung werden sie im Rahmen der vollständigen Kontobereinigung gelöscht (siehe Abschnitt 4, Datenaufbewahrung).
• Eingeschränkte Nutzung: Die Nutzung und Übertragung von Informationen, die Renewly über Google-APIs erhält, an andere Apps erfolgt in Übereinstimmung mit der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. Insbesondere verwenden wir Google-Nutzerdaten nicht zum Trainieren generalisierter KI-/ML-Modelle, verkaufen oder übertragen sie nicht an Dritte und verwenden sie nicht für Werbung. Der Zugriff durch Menschen ist auf das Minimum beschränkt, das für Sicherheitsüberprüfungen, Debugging auf Nutzeranfrage oder die Einhaltung gesetzlicher Vorschriften erforderlich ist.

Microsoft Calendar (Outlook / Microsoft 365)

• Angeforderte Scopes: Calendars.ReadWrite und User.Read (Ihre primäre E-Mail-Adresse).
• Was wir damit tun: Wie bei Google Calendar - Erinnerungstermine für Verlängerungen in Ihrem primären Microsoft-Kalender erstellen, aktualisieren und löschen.
• Aufbewahrung + Speicherung: Wie bei Google Calendar (verschlüsselte Token, gelöscht beim Trennen oder bei Kontolöschung).

Slack und Microsoft Teams

• Mechanismus: Ausgehend, per Einfügen einer Incoming-Webhook-URL. Sie erstellen den Webhook in Ihrem Slack-Workspace oder Teams-Kanal und fügen die URL in Renewly ein. Kein OAuth, keine in Ihrem Workspace installierte Renewly-App.
• Was wir senden: Verlängerungswarnungen (Vertragstitel, Tage bis zur Verlängerung, Link zurück zu Renewly). Nur in eine Richtung: Wir lesen niemals Nachrichten aus Ihrem Workspace.
• Was wir speichern: Die verschlüsselte Webhook-URL (AES-256-GCM im Ruhezustand). Gelöscht beim Trennen oder bei Kontolöschung.

DocuSign und Salesforce

• Scopes: Beschränkt auf das, was die jeweilige Integration erfordert - DocuSign: Signaturen/Envelopes lesen und erstellen, Salesforce: Vertragsdatensätze lesen und gemäß Feldzuordnung schreiben.
• Was wir damit tun: Wir synchronisieren Vertragsmetadaten zwischen Renewly und diesen Systemen, damit der Vertragsstatus konsistent bleibt. Wir lesen niemals Dokumente oder Datensätze außerhalb der von Ihnen konfigurierten Feldzuordnungen.
• Aufbewahrung + Speicherung: Verschlüsselte Refresh-Token, gelöscht beim Trennen oder bei Kontolöschung.

Essenzielle Cookies (immer aktiv)

• Zweck: Halten Sie angemeldet und speichern Ihre Cookie-Einstellung
• Deaktivierbar: Nein - ohne sie funktioniert der Dienst nicht

Analyse-Cookies (Einwilligung erforderlich)

• Dienste: Google Analytics
• Zweck: Verstehen, wie das Produkt genutzt wird, damit wir es verbessern können
• Rechtsgrundlage: Einwilligung (GDPR Art. 6(1)(a))
• Einstellung ändern: Settings → Account → Cookie preferences, jederzeit

Besucherstatistik (eigene, ohne Cookies)

• Was wir erfassen: Die Seiten, die Sie aufrufen, und wie lange, Ihren ungefähren Standort (Land, Region und Stadt, ermittelt aus Ihrer IP-Adresse), Ihren Browser, Ihr Betriebssystem und Ihren Gerätetyp sowie die Website, von der Sie kamen. Es wird kein Cookie gesetzt und nichts auf Ihrem Gerät gespeichert.
• Ihre IP-Adresse: Wird nur gespeichert, wenn Sie im Cookie-Banner auf "Alle akzeptieren" klicken und Ihr Browser kein Global-Privacy-Control-Signal sendet. Sie wird nach 90 Tagen gelöscht.
• Wo und wie lange: In unserer eigenen Datenbank in der EU, 13 Monate lang, danach gelöscht. Die Daten werden nicht verkauft und nur an die Anbieter weitergegeben, die unseren Dienst betreiben.
• Rechtsgrundlage: Berechtigtes Interesse daran, zu verstehen, wie unsere Website genutzt wird (Art. 6 Abs. 1 lit. f DSGVO); für Ihre IP-Adresse Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Marketing- und Besucher-Identifikations-Cookies (Einwilligung erforderlich)

• Dienste: Apollo, Google Ads
• Zweck: Erkennen, welche Unternehmen unsere Marketing-Website besuchen (Apollo, anhand der IP-Adresse), und messen, welche Anzeigen zu Registrierungen führen (Google Ads). Diese werden nur auf der Marketing-Website geladen, nie im angemeldeten Produkt.
• Rechtsgrundlage: Einwilligung (GDPR Art. 6(1)(a))
• Einstellung ändern: Settings → Account → Cookie preferences, jederzeit