Datenschutzerklärung

Vavus AI und Vavus Keyboard werden von der DCI Brands LLC betrieben, einer Gesellschaft mit beschränkter Haftung nach dem Recht von Wyoming, 312 W 2nd Street, Casper, WY 82601, Vereinigte Staaten. Wir sind Verantwortlicher für die hier beschriebenen personenbezogenen Daten, außer soweit ein unterzeichneter Enterprise- oder Healthcare-Vertrag uns zum Auftragsverarbeiter oder zum Business Associate macht, der nach Weisung Ihrer Organisation handelt.

Datenschutzkontakt: constantine@vavusai.com.

Unser Vertreter in der Europäischen Union nach Art. 27 DSGVO ist Dragoș Ignat, Str. General Șova nr. 21, Letea Veche, jud. Bacău, 607270, Rumänien. Sie können sich in allen Fragen der Verarbeitung Ihrer personenbezogenen Daten zusätzlich zu uns oder anstelle von uns an den Vertreter wenden. Einen Vertreter im Vereinigten Königreich oder einen Datenschutzbeauftragten haben wir nicht benannt. Datenschutzfragen und Betroffenenanfragen richten Sie an constantine@vavusai.com; sie werden unmittelbar von der DCI Brands LLC bearbeitet.

Wir erheben, was erforderlich ist, um Ihr Konto anzulegen und abzusichern, die von Ihnen genutzten Funktionen bereitzustellen, Zahlungen einzuziehen, Supportanfragen zu beantworten und den Dienst zu betreiben.

• Kennungen und Kontodaten – E-Mail-Adresse, Name, Anmeldemethode, Organisationszugehörigkeit, Sicherheitseinstellungen, Geräte- und Sitzungskennungen.
• Von Ihnen übermittelte Inhalte – Übersetzungen, Transkripte, Audioaufnahmen, Nachrichten, Dokumente, Dateien und Bilder, die Sie verarbeiten oder speichern lassen.
• Audio- und Sprachdaten – die Sprache, die Sie diktieren oder übersetzen lassen. Soweit sie dazu dienen, Sie zu identifizieren oder zu charakterisieren, können sie nach dem Recht US-amerikanischer Bundesstaaten sensible personenbezogene Informationen darstellen.
• Gesundheitsbezogene Inhalte – ausschließlich in Konten, die unter einem Business Associate Agreement (BAA) für die Nutzung im Gesundheitswesen freigegeben sind.
• Geschäftsdaten – Tarif, Abonnement, Token-Guthaben, Kauf- und Rückerstattungshistorie. Kartennummern werden von Stripe, Apple oder Google verarbeitet; wir erhalten und speichern sie nie.
• Technische und Sicherheitsdaten – Gerätetyp, App-Version, Absturzdiagnosen, aus der IP-Adresse abgeleitete Sicherheitssignale, Missbrauchs- und Ratenbegrenzungsprotokolle.
• Website-Daten – Cookies und lokaler Speicher, Ihr Einwilligungsnachweis und, erst nach Ihrer Einwilligung, Analyse- und Kampagnenzuordnungsdaten.

Soweit die DSGVO oder die UK-DSGVO gilt, ist die Rechtsgrundlage für jeden Zweck nachstehend angegeben.

• Zur Bereitstellung des Dienstes – Übersetzung, Spracherkennung, Sprachausgabe, Tastaturdiktat, KI-Funktionen, Messaging, Anrufe, Dokumente und Kontoverwaltung. Vertragserfüllung (Art. 6 Abs. 1 lit. b).
• Zur Abrechnung sowie zur Führung steuerlicher und buchhalterischer Aufzeichnungen. Vertragserfüllung und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. b und lit. c).
• Zur Absicherung von Konten und Dienst – Authentifizierung, Missbrauchsprävention, Ratenbegrenzung, Betrugserkennung, Audit-Protokollierung. Berechtigtes Interesse am Schutz der Nutzer und des Dienstes (Art. 6 Abs. 1 lit. f).
• Zur Beantwortung von Supportanfragen. Vertragserfüllung und berechtigte Interessen.
• Zum Versand von Service-, Abrechnungs- und Sicherheitshinweisen. Vertragserfüllung und rechtliche Verpflichtung.
• Website-Analyse, Marketing-Messung und sämtliche nicht notwendigen Cookies. Einwilligung (Art. 6 Abs. 1 lit. a), die Sie jederzeit widerrufen können.
• Zur Erfüllung rechtlicher Anforderungen sowie zur Geltendmachung oder Verteidigung von Rechtsansprüchen. Rechtliche Verpflichtung und berechtigte Interessen.
• Gesundheitsdaten in Healthcare-Konten. Wir verarbeiten sie als Business Associate nach den dokumentierten Weisungen des Kunden; der Kunde bestimmt die Rechtsgrundlage, und soweit die DSGVO gilt, ist dies in der Regel Art. 9 Abs. 2 lit. h oder die auf ausdrücklicher Einwilligung beruhende Grundlage des Kunden.

Wir verwenden Ihre Inhalte nicht zum Training unserer Modelle, und wir verpflichten unsere Sprach-, Übersetzungs- und KI-Anbieter vertraglich dazu, Ihre Inhalte vom Training ihrer Modelle auszunehmen.

Wir verkaufen Ihre personenbezogenen Informationen nicht und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter, wie diese Begriffe im California Consumer Privacy Act in seiner geänderten Fassung und in vergleichbaren Datenschutzgesetzen US-amerikanischer Bundesstaaten definiert sind.

Wir treffen keine automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Die Bereitstellung von Konto- und Zahlungsdaten ist erforderlich, um ein Konto zu eröffnen und zu führen; ohne sie können wir den Dienst nicht erbringen. Alles Übrige – optionale Cookies, Marketingeinstellungen – ist tatsächlich freiwillig.

Übersetzungen, Transkriptionen und KI-Ergebnisse können falsch sein. Sie stellen keine medizinische, rechtliche oder finanzielle Beratung dar und sind nicht für den Einsatz in Notfällen bestimmt. Prüfen Sie die Ergebnisse, bevor Sie sich darauf verlassen, und verwenden Sie sie niemals als alleinige Grundlage einer klinischen, rechtlichen, finanziellen oder sicherheitskritischen Entscheidung. Alles, was von Bedeutung ist, sollte von einem Menschen geprüft werden.

Neue Verlaufseinträge, gespeicherte Dokumente und gespeicherte Audioaufnahmen werden vor dem Hochladen auf Ihrem Gerät verschlüsselt, sodass auf unseren Servern nur Chiffretext liegt, den wir nicht entschlüsseln können. Messaging nutzt das Signal Protocol und ist zwischen den Teilnehmenden Ende-zu-Ende verschlüsselt.

Es gibt genau zwei Ausnahmen, und beide setzen voraus, dass Sie die Funktion nutzen:

• Gruppenumfragen. Der Server muss eine Umfrage lesen, um Stimmen auszuzählen und Ergebnisse anzuzeigen; Umfragen sind daher nicht Ende-zu-Ende verschlüsselt. In Healthcare-Konversationen sind sie deaktiviert.
• Übersetzung von Sprachnachrichten. Die Übersetzung einer Sprachnachricht erfordert, dass genau diese eine Nachricht auf unseren Servern entschlüsselt wird. Wir holen zuvor Ihre Einwilligung ein, dokumentieren sie und protokollieren den Zugriff. Ohne Ihre Entscheidung geschieht dies nie.

Inhalte, die Sie nicht speichern, werden nach Erzeugung Ihres Ergebnisses nicht als Verlauf aufbewahrt. Live gesprochene Sprache besteht während der Verarbeitung nur kurz im Arbeitsspeicher und wird nicht in den Speicher geschrieben.

• Gespeicherter Verlauf, Dokumente und Dateien – bis Sie sie löschen oder Ihr Konto schließen.
• Konto- und Profildaten – für die Dauer des Kontos, danach bis zu 30 Tage nach dessen Schließung.
• Abrechnungs-, Steuer- und Transaktionsunterlagen – 7 Jahre, wie es Steuer- und Handelsrecht verlangen.
• Sicherheits-, Betrugs- und Missbrauchsprotokolle – 12 Monate.
• Supportkonversationen – 24 Monate.
• Healthcare-Audit-Protokolle – 6 Jahre, wie es HIPAA verlangt. Sie enthalten ausschließlich Metadaten: wer wann von welchem Gerät aus was getan hat. Niemals PHI, niemals Inhalte.
• Cookie- und Einwilligungsnachweise – Ihre Einwilligungsentscheidungen werden im lokalen Speicher Ihres Browsers abgelegt und bleiben bestehen, bis Sie Ihre Browserdaten löschen oder wir eine neue Einwilligungsversion veröffentlichen; dann fragen wir erneut.

Wir setzen Dienstleister nach Funktion ein: Cloud-Hosting und -Speicher; Spracherkennung und Sprachsynthese; maschinelle Übersetzung und KI-Modelle; Zahlungsabwicklung; E-Mail-Zustellung; Zustellung von Push-Benachrichtigungen; und Supportbetrieb. Jeder erhält nur das, was seine Funktion erfordert, auf Grundlage schriftlicher Auftragsverarbeitungsbedingungen.

Anbieter, die Ihre Inhalte für Sprache, Übersetzung oder KI verarbeiten, sind so konfiguriert, dass diese Inhalte vom Training ihrer Modelle ausgenommen sind und die Aufbewahrung überall dort minimiert wird, wo der Dienst dies unterstützt; sie erhalten allein den Inhalt – nicht Ihren Namen, Ihr Konto oder Ihre Identität. Zahlungs- und App-Store-Anbieter erhalten notwendigerweise Identifizierungs- und Transaktionsdaten, weil eine Zahlung ohne sie nicht abgewickelt werden kann.

Unser Support-Chat wird auf unserer eigenen Infrastruktur selbst gehostet; Supporttranskripte werden daher keinem externen Anbieter übergeben.

Eine namentliche Liste der Unterauftragsverarbeiter stellen wir Enterprise- und Healthcare-Kunden im Rahmen eines Auftragsverarbeitungsvertrags zur Verfügung. Wir können Daten außerdem offenlegen, um dem Gesetz oder einem rechtmäßigen Ersuchen nachzukommen, unsere Nutzungsbedingungen durchzusetzen, Rechte und die Sicherheit zu schützen sowie im Zusammenhang mit einer Verschmelzung oder Übernahme; in diesem Fall gilt diese Erklärung fort.

Wir arbeiten von den Vereinigten Staaten aus, mit Edge-Infrastruktur in der Europäischen Union und in Asien. Ihre Daten können in die Vereinigten Staaten und in andere Länder übermittelt und dort verarbeitet werden, deren Recht von dem Ihres Landes abweicht.

Für Übermittlungen aus dem EWR, dem Vereinigten Königreich oder der Schweiz stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), mit dem UK-Addendum und dem Schweizer Anhang, soweit einschlägig, zusammen mit den in Abschnitt 6 beschriebenen technischen Maßnahmen – vor allem der clientseitigen und der Ende-zu-Ende-Verschlüsselung –, was bedeutet, dass die empfangende Infrastruktur für den größten Teil der gespeicherten Inhalte nur Chiffretext vorhält. Eine Kopie der einschlägigen Übermittlungsbedingungen stellen wir auf Anfrage zur Verfügung.

Wenn Sie sich im EWR, im Vereinigten Königreich oder in der Schweiz befinden, können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen, einer auf berechtigten Interessen beruhenden Verarbeitung widersprechen und eine Einwilligung jederzeit widerrufen, ohne dass die bereits erfolgte Verarbeitung berührt wird.

Sie können außerdem Beschwerde bei einer Aufsichtsbehörde einlegen: in der EU bei der Behörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes; im Vereinigten Königreich beim Information Commissioner's Office.

Wenn Sie in Kalifornien, Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana oder einem anderen Bundesstaat mit einem umfassenden Datenschutzgesetz leben, können Sie Auskunft über die bei uns vorhandenen personenbezogenen Informationen und Zugang zu ihnen verlangen, sie berichtigen und löschen lassen sowie eine übertragbare Kopie erhalten; außerdem können Sie dem Verkauf, der Weitergabe, zielgerichteter Werbung und einem Profiling mit rechtlicher oder ähnlich erheblicher Wirkung widersprechen.

Nichts davon tun wir. Dennoch beachten wir den Global Privacy Control und andere anerkannte Signale für Widerspruchspräferenzen: Sendet Ihr Browser ein solches Signal, behandeln wir es als Widerspruch gegen die Kategorien Analyse und Marketing für diesen Browser, ohne dass Sie weiter tätig werden müssen.

Einwohner Kaliforniens können uns außerdem auffordern, die Verwendung sensibler personenbezogener Informationen einzuschränken. Wir verwenden sie bereits ausschließlich dazu, den von Ihnen gewünschten Dienst zu erbringen und ihn abzusichern; das sind zulässige Zwecke. Für die Ausübung eines Datenschutzrechts benachteiligen wir Sie nicht.

Widerspruchsverfahren. Lehnen wir eine Anfrage ab, können Sie dagegen vorgehen, indem Sie auf unsere Entscheidung antworten oder an constantine@vavusai.com mit dem Betreff „Privacy appeal“ schreiben. Wir antworten innerhalb von 45 Tagen – in Colorado innerhalb von 60 Tagen – mit unserer Entscheidung und deren Begründung. Weisen wir den Widerspruch zurück, können Sie sich an den Attorney General Ihres Bundesstaats wenden. Utah sieht kein Widerspruchsrecht vor; wir prüfen Ihren Widerspruch dennoch.

Wir gewähren Bonus-Tokens für die Bestätigung Ihrer E-Mail-Adresse und für Empfehlungen. Dabei handelt es sich um finanzielle Anreizprogramme im Sinne von Section 1798.125(b) des California Civil Code (Cal. Civ. Code). Die wesentlichen Bedingungen finden Sie auf unseren Preis- und Empfehlungsseiten: Die Tokens sind Werbezugaben, haben keinen Barwert und können ausschließlich für Vavus-Funktionen eingesetzt werden.

Wir schätzen den Wert der betroffenen personenbezogenen Informationen auf etwa den Verkaufspreis der gewährten Tokens, gemessen an unserem veröffentlichten Token-Preis. Wir berechnen ihn so, weil die betroffenen Daten – eine E-Mail-Adresse und eine Empfehlungsbeziehung – uns keine gesonderten Einnahmen verschaffen, da wir personenbezogene Informationen nicht verkaufen. Die Teilnahme ist freiwillig, und Sie können sie jederzeit durch eine Nachricht an uns beenden; die Beendigung holt bereits ausgegebene Tokens nicht zurück.

Nutzen Sie die im Produkt verfügbaren Steuerungen oder schreiben Sie an constantine@vavusai.com. Wir prüfen Anfragen, indem wir Ihre Angaben mit unseren Konto-, Abrechnungs-, Support- oder Sicherheitsunterlagen abgleichen, und können bei sensiblen Anfragen weitere Angaben verlangen. Ein bevollmächtigter Vertreter kann mit schriftlicher Vollmacht für Sie handeln. Wir antworten innerhalb von 45 Tagen und können die Frist einmal um weitere 45 Tage verlängern; den Grund teilen wir Ihnen mit.

Der HIPAA-Schutz gilt ausschließlich für Konten, die wir unter einem abgeschlossenen Business Associate Agreement für die Nutzung im Gesundheitswesen freigegeben haben. Haben Sie mit uns kein BAA abgeschlossen, ist Ihr Konto kein HIPAA-Workflow, und Sie dürfen darin keine geschützten Gesundheitsdaten (PHI) hochladen.

Freigegebene Healthcare-Konten arbeiten mit 8-Stunden-Sitzungstokens, einer Leerlaufzeitüberschreitung von 15 Minuten, PHI-Handhabungskontrollen, sicherer Löschung von PHI-Beständen und einer Audit-Aufbewahrung von 6 Jahren; Anwendungsprotokolle sind so ausgelegt, dass sie keine PHI enthalten. In diesen Konten handeln wir als Business Associate: Ihre Organisation – nicht wir – entscheidet, was mit den Daten geschieht, und wir handeln nach ihren Weisungen.

Wir nutzen TLS bei der Übertragung, die oben beschriebene clientseitige und Ende-zu-Ende-Verschlüsselung, Authentifizierung mit rotierenden Tokens, gesonderte Stream-Tokens für Echtzeitsitzungen, SSO für Enterprise-Konten, Schutz vor Brute-Force-Angriffen, Token-Widerruf beim Abmelden und beim Passwortwechsel, Ratenbegrenzung, Zugriffskontrollen und Audit-Protokollierung.

Kein System ist vollkommen sicher. Betrifft eine Verletzung Ihre personenbezogenen Daten, benachrichtigen wir Sie und die zuständigen Behörden unverzüglich und innerhalb von 72 Stunden nach Bestätigung einer Verletzung, die Ihre personenbezogenen Daten betrifft, wie es das Gesetz verlangt.

Vavus is not directed to anyone under 18, and an account requires you to be 18 or older. We do not knowingly collect personal information from anyone under 18.

A parent or guardian who believes a child has created an account can email constantine@vavusai.com. We will verify the report and delete the account and its data promptly. We also close any account we discover belongs to someone under 18.

Wir können diese Erklärung aktualisieren. Die Zeile „Zuletzt aktualisiert“ gibt die geltende Fassung an. Wirkt sich eine Änderung wesentlich darauf aus, wie wir personenbezogene Daten verarbeiten, informieren wir vor ihrem Inkrafttreten im Produkt oder per E-Mail.