1. Verantwortlicher
Die SAS Jalimani (Kürzel JLMN), SIREN 833 142 631, mit Sitz in Normandie, Frankreich, verarbeitet personenbezogene Daten über den Dienst QronoPlay (qronoplay.fr).
Kontakt: [email protected]
Benannter Datenschutzbeauftragter (DSB): [email protected]
2. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|
| Kontoerstellung, Verwaltung des Abonnements | Vertragserfüllung (Art. 6 Abs. 1 Buchst. b DSGVO) | Vertragslaufzeit + 3 Jahre |
| Verwaltung der Spielteilnahmen | Vertragserfüllung (Art. 6 Abs. 1 Buchst. b) — Empfehlung CNIL IS001 | 6 Monate nach Übergabe des Gewinns für Gewinner; sofortige Löschung nach der Endziehung für Nicht-Gewinner |
| Betrugsbekämpfung, Sicherheit | Berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f) | 12 Monate (Protokolle) |
| B2B-Akquise an generische geschäftliche Adressen | Berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f) | 3 Jahre nach dem letzten Kontakt |
| Newsletter-Versand | Einwilligung (Art. 6 Abs. 1 Buchst. a) | Bis zur Abmeldung |
| Buchhalterische und steuerliche Pflichten | Rechtliche Verpflichtung (Art. 6 Abs. 1 Buchst. c) | 10 Jahre |
3. Empfänger der Daten
Die Daten sind den internen Abteilungen der SAS Jalimani sowie unseren vertraglich gebundenen Auftragsverarbeitern zugänglich:
- OVH SAS (Server-Hosting, Frankreich) — 2 rue Kellermann, 59100 Roubaix
- Resend, Inc. (Versand transaktionaler E-Mails) — Vereinigte Staaten
- Mollie B.V. (Zahlungsabwicklung) — Keizersgracht 313, 1016 EE Amsterdam, Niederlande
- Stripe Payments Europe (Zahlungsabwicklung) — 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
4. Liste unserer Auftragsverarbeiter (Art. 28 DSGVO)
Gemäß Art. 28 DSGVO finden Sie nachfolgend die vollständige Liste unserer Auftragsverarbeiter. Wir verpflichten uns, Sie über jede Änderung 30 Tage vor deren Inkrafttreten zu informieren.
| Auftragsverarbeiter | Dienst | Land | Verarbeitete Daten | Garantien |
|---|---|---|---|---|
| OVH SAS | Hosting | Frankreich 🇫🇷 | Alle Daten (Datenbank + Speicher) | EU-Hosting — Roubaix / Straßburg |
| Mollie B.V. | Zahlung | Niederlande 🇳🇱 | E-Mail + Zahlungsdaten | DPA + strenge DSGVO-Konformität |
| Resend Inc. | Transaktionale E-Mails | USA 🇺🇸 ⚠️ | E-Mail + Name + E-Mail-Inhalt | SCC + TIA (Standardvertragsklauseln 2021 + Transfer Impact Assessment) |
| Sentry.io | Fehler-Monitoring | USA 🇺🇸 ⚠️ | Stack-Traces (anonymisiert) | SCC + TIA + IP-Scrubbing-Konfiguration |
| Cloudflare Inc. | CDN + WAF | USA 🇺🇸 ⚠️ | IP + HTTP-Header | SCC + TIA + optionaler EU-Datenspeicherort |
| Trustpilot A/S | Kundenbewertungen | Dänemark 🇩🇰 | E-Mail + Bewertungen | Strenge EU-DSGVO-Konformität |
| Google LLC (reCAPTCHA) | Anti-Bot | USA 🇺🇸 ⚠️ | IP + Verhalten | SCC + TIA (Alternative hCaptcha in Prüfung) |
⚠️ Für US-amerikanische Auftragsverarbeiter gelten spezifische Schutzmaßnahmen, die in Abschnitt 5 beschrieben sind.
5. Übermittlungen außerhalb der EU
Die Daten werden ausschließlich in Frankreich gehostet (OVH Roubaix). Für US-amerikanische Auftragsverarbeiter, die mit ⚠️ gekennzeichnet sind, wenden wir die von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC 2021) an, begleitet von einer Transfer Impact Assessment gemäß dem Schrems-II-Urteil (C-311/18). Diese Maßnahmen gewährleisten ein dem DSGVO-Niveau gleichwertiges Schutzniveau.
6. Ihre Rechte
Gemäß der DSGVO und dem französischen Datenschutzgesetz haben Sie die folgenden Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung sowie das Recht, Anweisungen für die Zeit nach Ihrem Tod festzulegen.
Ausübung der Rechte: [email protected] oder per Post an SAS Jalimani, Normandie, Frankreich.
Antwortfrist: 1 Monat (verlängert um 2 Monate bei komplexen Anfragen).
Beschwerde bei der CNIL: www.cnil.fr
Um Ihre Einwilligung in das Partner-Marketing zu widerrufen, nutzen Sie den Link „Abmelden" in jeder erhaltenen E-Mail oder wenden Sie sich an den DSB.
7. Cookies
Die Website verwendet ohne vorherige Einwilligung ausschließlich technisch notwendige Cookies (Sitzungen, Sicherheit). Cookies von Drittanbietern (Statistik, Marketing) werden nur nach ausdrücklicher Einwilligung über unser Consent-Banner gesetzt. Keine Werbecookies. Maximale Dauer: 13 Monate.
Sitzungsaufzeichnung. Mit Ihrer Einwilligung (Kategorie "Analyse" des Banners) verwenden wir PostHog (in der Europäischen Union gehostet), um die Navigation im Verwaltungsbereich anonymisiert aufzuzeichnen, um Fehlfunktionen zu erkennen und die Benutzerfreundlichkeit zu verbessern. Eingabefelder (E-Mail, Telefon, Passwort) werden systematisch maskiert und niemals im Klartext aufgezeichnet. Rechtsgrundlage: Ihre Einwilligung, die Sie jederzeit widerrufen können. Speicherdauer: maximal 30 Tage.
Messung der Produktnutzung. Für in ihrem Bereich angemeldete Nutzer zeichnen wir serverseitig bestimmte Schlüsselaktionen auf (Anmeldung, Erstellung und Veröffentlichung einer Kampagne oder eines Parcours, Hinzufügen eines Gewinns, Generierung eines QR-Codes, Einladung eines Mitglieds, Änderung des Abonnements), verknüpft mit Ihrer Kennung, Ihrer E-Mail-Adresse und Ihrer Rolle, mithilfe von PostHog (in der Europäischen Union gehostet). Bei dieser Messung wird kein Cookie auf Ihrem Gerät gespeichert. Rechtsgrundlage: berechtigtes Interesse (Verbesserung und Sicherheit des Dienstes). Sie können dieser Verarbeitung jederzeit widersprechen, indem Sie an [email protected] schreiben. Speicherdauer: maximal 13 Monate.
8. Sicherheit
TLS-Verschlüsselung bei der Übertragung, verschlüsselte Datenbank im Ruhezustand, tägliche Sicherungen, MFA für Administratorzugänge, Trennung der Umgebungen.
9. B2B-Kunden — Auftragsverarbeitung (Art. 28 DSGVO)
Wenn Sie QronoPlay verwenden, um die Daten Ihrer eigenen Spieler zu erheben und zu verarbeiten, handelt QronoPlay als Auftragsverarbeiter und Sie sind Verantwortlicher. Ein Standard-Auftragsverarbeitungsvertrag (Data Processing Agreement) im Einklang mit Art. 28 DSGVO ist unter qronoplay.fr/dpa abrufbar.
10. Änderungen
Diese Erklärung kann sich weiterentwickeln. Wesentliche Änderungen werden aktiven Konten 30 Tage vor Inkrafttreten per E-Mail mitgeteilt.