Datenschutzerklärung für Vitrina Engine

Hier steht, was Infinity Curve LLC erhebt, wenn Sie Vitrina Engine nutzen, warum wir es speichern und worum Sie uns dazu bitten können. Wir sind dafür der Verantwortliche.

App: Vitrina Engine
Anbieter: Infinity Curve LLC
Anschrift: 76 Vazha-Pshavela Ave, 0186 Tbilisi, Georgia
Datenschutzkontakt: privacy@vitrinaengine.com

Diese Erklärung gilt für die Website Vitrina Engine sowie für die Vitrina Engine-Apps für iOS und Android.

Die Kurzfassung: Wir erheben, was nötig ist, um die Überwachung für Sie zu betreiben und Sie abzurechnen, wir verkaufen nichts davon, es gibt nirgends Werbung, die einzige Analyse ist unsere eigene auf unseren öffentlichen Seiten und sie speichert nichts auf Ihrem Gerät, und wir sehen nie Ihre Kartendaten.

Was wir erheben

Kontodaten

Ihren Namen, Ihre E-Mail-Adresse und den Hash Ihres Passworts; den Namen Ihrer Organisation; die Rollen und Arbeitsbereichszuordnungen der Personen, die Sie einladen. Passwörter werden gehasht, nie in lesbarer Form gespeichert und können nicht wiederhergestellt werden — nur zurückgesetzt.

Was Sie einrichten

Die Hostnamen, URLs, IP-Adressen und sonstigen Ziele, die wir für Sie prüfen sollen, sowie alle Zugangsdaten, die Sie einer Prüfung mitgeben, damit sie sich authentifizieren kann. Zugangsdaten und Webhook-Signaturgeheimnisse werden mit einem Schlüssel verschlüsselt, der außerhalb der Datenbank liegt, sodass eine Datenbanksicherung allein sie nicht enthält.

Was die Überwachung erzeugt

Antwortzeiten, Statuscodes, Angaben zu TLS-Zertifikaten, DNS-Antworten, Fehlertexte sowie die daraus abgeleiteten Vorfälle und Benachrichtigungen. Gibt ein überwachter Endpunkt personenbezogene Daten in einer Fehlermeldung zurück, wird dieser Text im Prüfergebnis gespeichert und im Alarm angezeigt — richten Sie Prüfungen also besser nicht auf Endpunkte, die das tun.

Abonnenten von Statusseiten

Wenn jemand eine Ihrer Statusseiten abonniert, speichern wir seine E-Mail-Adresse und den Zustand des Abonnements. Die Bestätigung erfolgt immer im Double-Opt-in: An eine unbestätigte Adresse geht nichts außer ihrer eigenen Bestätigung. Für diese Adressen sind Sie der Verantwortliche, und wir verarbeiten in Ihrem Auftrag.

Technische Daten

Serverprotokolle mit IP-Adresse, User-Agent und Anfragepfad, 30 Tage lang aufbewahrt zur Sicherheit und Fehlersuche. Sitzungscookies, die unbedingt erforderlich sind. Wir setzen nirgends und niemals Werbe-Cookies.

Die Cookie-Richtlinie führt jedes einzelne mit Namen auf, wozu es dient und wie lange es bleibt. Die Kurzfassung: Die öffentlichen Seiten setzen überhaupt nichts.

Zahlungsdaten

Keine, die eine Karte identifizieren. Paddle.com Market Ltd ist der Verkäufer im Rechtssinne: Der Bezahlvorgang gehört ihnen, Kartendaten werden in deren Systemen eingegeben, und wir erhalten nur eine Kundenreferenz, den Tarif, den Betrag, die Währung und den Zustand des Abonnements. Es gibt in diesem Produkt nirgends ein Formular, das eine Kartennummer annimmt.

Warum wir es speichern, und auf welcher Grundlage

• Zur Erbringung des Dienstes — Erfüllung unseres Vertrags mit Ihnen. Das umfasst Ihr Konto, Ihre Konfiguration und Ihren Überwachungsverlauf.
• Zur Abrechnung — Erfüllung des Vertrags und unsere gesetzliche Pflicht, Aufzeichnungen über Transaktionen aufzubewahren.
• Zur Sicherheit des Dienstes — unser berechtigtes Interesse an der Verhinderung von Missbrauch. Das umfasst Protokolle und die Begrenzung der Anfragerate.
• Zum Versand dienstbezogener E-Mails — Erfüllung des Vertrags. Alarme, Einladungen und Abrechnungshinweise sind kein Marketing und lassen sich nicht abschalten, solange das Konto besteht.

Wie lange wir es aufbewahren

• Einzelne Prüfergebnisse: für die Rohdaten-Aufbewahrungsdauer Ihres Tarifs, danach gelöscht.
• Aggregierter Verfügbarkeitsverlauf: für die Verlaufs-Aufbewahrungsdauer Ihres Tarifs.
• Konto- und Konfigurationsdaten: bis Sie die Organisation löschen, dann 30 Tage.
• Serverprotokolle: 30 Tage.
• Aufzeichnungen über Transaktionen: sieben Jahre, wie steuerlich vorgeschrieben.

Mit wem wir es teilen

Wir setzen wenige Auftragsverarbeiter ein und keine weiteren. Sie stehen an einer Stelle statt an zwei: die Unterauftragsverarbeiter-Liste nennt jeden einzelnen, was er für uns tut, welche Daten ihn erreichen, wo er sie verarbeitet und auf welcher Grundlage. Sie ändert sich an dem Tag, an dem sich jene Liste ändert, und nicht an dem Tag, an dem diese Seite das nächste Mal bearbeitet wird — genau dafür gibt es nur eine.

Drei Unternehmen, denen Sie begegnen können, stehen bewusst nicht darauf, weil sie nicht in unserem Auftrag handeln — sie entscheiden über ihre eigenen Zwecke und sind Ihnen dafür verantwortlich:

• Paddle — unser Reseller und der Verkäufer im Rechtssinne, sodass auf Ihrer Rechnung sie stehen und nicht wir. Sie nehmen die Zahlung entgegen, kümmern sich um die Steuer und antworten Ihrem Kartenherausgeber, und sie entscheiden selbst, wie: sie sind ein eigener Verantwortlicher mit eigener Datenschutzerklärung Ihnen gegenüber und kein Unternehmen, das in unserem Auftrag verarbeitet. Wir geben ihnen die E-Mail-Adresse und den Namen des Kontos, damit sie es abrechnen können. Ihre Überwachungsdaten erhalten sie nie.
• Google, Microsoft, Apple oder Huawei, wenn Sie sich damit anmelden — nur wenn Sie es so wählen. Sie nennen uns Ihre E-Mail-Adresse und Ihren Namen; was sie damit anfangen, dass Sie sich hier angemeldet haben, ist ihre Sache und nichts, was wir steuern. Sie können stattdessen ein Passwort verwenden.
• Telegram, wenn Sie Telegram-Alarme nutzen — nur wenn jemand einen Telegram-Chat verknüpft. Der Alarmtext geht dorthin und nennt den Monitor und den Fehler. Wir senden ihn über unseren eigenen Bot, aber Telegram verarbeitet ihn als Messaging-Anbieter seines eigenen Nutzers und nicht in unserem Auftrag. Ein im EWR registriertes Konto hat seine Telegram-Daten in den Niederlanden gespeichert.

Wir verkaufen keine personenbezogenen Daten, wir geben sie nicht zu Werbezwecken weiter, und wir legen sie gegenüber sonst niemandem offen, außer wo das Gesetz es verlangt.

Wo verarbeitet wird

Ihre Kontodaten — Organisationen, Benutzer, Monitore, Vorfälle und deren Verlauf — werden in der Europäischen Union gespeichert und verarbeitet, auf Servern, die von der Contabo GmbH betrieben werden. Auch Ihre E-Mails gehen von innerhalb der EU hinaus.

Da das innerhalb des Europäischen Wirtschaftsraums liegt, ist mit dem Hosting selbst keine Übermittlung aus ihm heraus verbunden. Für unser Verhältnis zum Hosting-Anbieter gilt ein Auftragsverarbeitungsvertrag nach Artikel 28 und keine Standardvertragsklauseln.

Wir haben unseren Sitz in Georgien und betreiben den Dienst von dort. Obwohl Ihre Daten also in der EU gespeichert sind, greifen die Personen, die sie betreiben, von außerhalb des EWR darauf zu — und das ist eine internationale Übermittlung. Wir sagen das lieber, als „Server in der EU“ etwas andeuten zu lassen, was es nicht besagt. Für Kunden im EWR und im Vereinigten Königreich ist diese Übermittlung von den Standardvertragsklauseln der Europäischen Kommission gedeckt, die in unserem Auftragsverarbeitungsvertrag niedergelegt sind.

Prüfungen laufen aus mehreren Ländern. Ihre personenbezogenen Daten nicht.

Überwachen heißt, von mehr als einem Ort aus Anfragen an Ihre Systeme zu stellen, damit ein Ausfall auch anderswo bestätigt wird als dort, wo wir zufällig sitzen. Einige dieser Beobachtungspunkte liegen außerhalb des EWR, und welche es sind, ändert sich, wenn wir Kapazität hinzunehmen oder abbauen.

An sie werden nie personenbezogene Daten gesendet. Wo die Konfiguration einer Prüfung personenbezogene Daten enthalten könnte — ein Anfrage-Header, ein Anfrage-Body —, läuft sie ausschließlich innerhalb des EWR. Das ist keine Richtlinie, um deren Einhaltung wir bitten: Unser Ordnungsdienst wird eine solche Prüfung nirgendwo sonst platzieren, und die Beschränkung wird bei jedem Build gegen eine echte Datenbank getestet.

Was ein Beobachtungspunkt außerhalb des EWR erhält, ist die geprüfte Adresse und ob sie geantwortet hat. Er bekommt nie Datenbank-Zugangsdaten, es gibt dort also über die laufenden Prüfungen hinaus nichts zu verlieren, und keine von ihnen speichert etwas.

Wir zählen die Länder hier bewusst nicht auf. Sie ändern sich, und eine Liste, die heute stimmt, würde still und leise aufhören zu stimmen — was schlimmer ist, als keine zu veröffentlichen. Wenn Sie genau wissen müssen, von wo Prüfungen gegen Ihre Systeme laufen, auch für Ihre eigene Compliance, fragen Sie uns unter privacy@vitrinaengine.com; wir sagen es Ihnen und halten Sie auf dem Laufenden, wenn es sich ändert.

Wie es geschützt ist

Auf dem Transportweg ist alles verschlüsselt, einschließlich der Strecke zwischen unseren eigenen Servern. Zugangsdaten, die Sie bei uns speichern — ein Webhook-Signaturgeheimnis, ein SMTP-Passwort — werden mit AES-256-GCM unter einem separat gehaltenen Schlüssel versiegelt. Sicherungen sind mit einem Schlüssel verschlüsselt, der auf keinem der Server liegt; eine Kopie einer Maschine ist also keine Kopie Ihrer Daten.

Unsere Übermittlungen an Paddle.com Market Ltd und an Bunny sind durch die Standardvertragsklauseln der Europäischen Kommission gedeckt, und wir senden Ihnen auf Anfrage eine Kopie. Für Google und Microsoft gelten deren eigene Datenverarbeitungsbedingungen. Unser eigener Zugriff aus Georgien ist durch den Auftragsverarbeitungsvertrag gedeckt. Die Server mit Ihren Kontodaten stehen im EWR, und der Server für Ihre Statusseiten ebenfalls.

Ihre Rechte

Sie können von uns eine Kopie Ihrer Daten verlangen, deren Berichtigung oder deren Löschung. Sie können einer Verarbeitung widersprechen, die auf einem berechtigten Interesse beruht, und Sie können Ihre Daten in einem übertragbaren Format verlangen. Das meiste davon können Sie auch einfach selbst aus dem Dashboard exportieren oder löschen.

Schreiben Sie an privacy@vitrinaengine.com, und wir antworten binnen 30 Tagen. Wenn Sie im EWR oder im Vereinigten Königreich sind und mit unserer Antwort nicht zufrieden sind, können Sie sich bei Ihrer zuständigen Aufsichtsbehörde beschweren.

Sicherheit

Der Datenverkehr ist auf dem Transportweg verschlüsselt. Gespeicherte Zugangsdaten und Kanalgeheimnisse sind mit einem Schlüssel verschlüsselt, der außerhalb der Datenbank liegt. Die Trennung zwischen Kunden wird in der Abfrageschicht durchgesetzt statt durch Konvention, und jeder API-Schlüssel ist an die Mitgliedschaft gebunden, die ihn erstellt hat — jemandem den Zugang zu entziehen nimmt also dessen Schlüssel gleich mit.

Wenn Sie glauben, eine Schwachstelle gefunden zu haben, schreiben Sie bitte an security@vitrinaengine.com. Wir gehen gegen niemanden vor, der eine in gutem Glauben meldet.

Änderungen und Kontakt

Wir schreiben den Kontoinhabern, bevor eine wesentliche Änderung wirksam wird. Bei allem, was hier steht:

Infinity Curve LLC
76 Vazha-Pshavela Ave, 0186 Tbilisi, Georgia
privacy@vitrinaengine.com

Diese Übersetzung dient der Bequemlichkeit. Bei Abweichungen ist die englische Fassung maßgeblich.

Zuletzt aktualisiert am 31 August 2026.