Datenschutzerklärung

Platzhalter. Der Betreiber ersetzt diesen Text vor dem Betrieb. Grundlage: Hypatio ID ist für
Kontodaten Verantwortlicher und für Daten der Organisationen Auftragsverarbeiter
(Spezifikation 4.6); Hosting in Deutschland. Die Abschnitte unten beschreiben, was die Software
tatsächlich verarbeitet; Verantwortlicher, Rechtsgrundlagen, SMTP-Anbieter und
Aufsichtsbehörde ergänzt der Betreiber.

Welche Daten Hypatio ID verarbeitet

• Kontodaten: Name, E-Mail-Adresse, optional Vor- und Nachname, Profilbild, Sprache, Zeitzone,
  optional eine Wiederherstellungsadresse.
• Anmeldedaten: Passwort-Hash, Passkeys (öffentliche Schlüssel), Authenticator-Geheimnis,
  Wiederherstellungscodes, verknüpfte Anbieter-Kennungen.
• Sitzungs- und Gerätedaten: ein aus der Browserkennung abgeleiteter Gerätename, IP-Adresse,
  Zeitpunkte. Hypatio ID ermittelt keinen Standort.
• Sicherheitsprotokoll: An- und Abmeldungen, Änderungen an Anmeldedaten, Einwilligungen.
• Organisationen: Mitgliedschaften, Rollen, Einladungen.

Weitergabe an Anwendungen

Anwendungen erhalten nur die Daten, in die du bei der Anmeldung eingewilligt hast, und für jede
Anwendung eine eigene Kennung. Das Profilbild ist unter einer zufälligen Adresse öffentlich
abrufbar, damit Anwendungen es anzeigen können.

Weitere Empfänger

• E-Mail-Versand (Bestätigungen, Sicherheitshinweise, Einladungen) über den SMTP-Anbieter des
  Betreibers.
• Prüfung neuer Passwörter gegen bekannt gewordene Passwörter (Have I Been Pwned): übertragen
  werden nur die ersten fünf Zeichen des SHA-1-Hashes, nie das Passwort oder die E-Mail-Adresse.
• Anmeldung über Google, Microsoft, Apple oder GitHub nur, wenn du sie selbst wählst; dann
  erhält Hypatio ID vom Anbieter dessen Kennung, deinen Namen und deine E-Mail-Adresse.

Cookies

Nur technisch notwendige Cookies: die Anmeldesitzung (höchstens 14 Tage), Schutz vor
Formularfälschung, Zwischenschritte der Zwei-Faktor- und Anbieter-Anmeldung, die gewählte
Sprache (hypatio.lang) und die Sitzung der Konsole. Kein Tracking, keine Analyse.

Speicherdauer

• Das Konto, bis du es löschst. Die Löschung wird nach 14 Tagen wirksam und lässt sich bis dahin
  zurücknehmen.
• Optional (in der Konsole einstellbar) wird ein Konto nach 12, 18, 24 oder 36 Monaten ohne
  Anmeldung gelöscht, mit Hinweis 30 Tage vorher.
• Das Sicherheitsprotokoll eines gelöschten Kontos bleibt 12 Monate erhalten (Nachweis bei
  Missbrauch und Streitfällen) und wird dann automatisch entfernt.

Deine Rechte

Auskunft (Datenexport in der Konsole), Berichtigung, Löschung (Kontolöschung in der Konsole),
Widerruf von Einwilligungen (Konsole), Beschwerde bei einer Aufsichtsbehörde.