Dies ist eine Übersetzung des spanischen Originals und dient nur der Bequemlichkeit. Bei Abweichungen ist die spanische Fassung maßgeblich.

1. Verantwortlicher

Firma: REVISIT XMD, S.L. (im Folgenden "Revisit")
Anschrift: C/ Holanda, 1, 08917 Badalona (Barcelona), Spanien
Steuernummer (NIF): B93872174
Kontakt-E-Mail: hola@revisit.es

2. Welche Daten wir erheben

Je nach Ihrer Beziehung zu Revisit verarbeiten wir unterschiedliche Kategorien personenbezogener Daten:

2.1. Besucher der Website

Über das Kontaktformular übermittelte Daten: Name, Name des Unternehmens, Telefonnummer und E-Mail-Adresse.

2.2. Kundenunternehmen (Tenants)

Unternehmensdaten: Handelsname, E-Mail, Telefon, Anschrift, Website, Logo.
Nutzerdaten (Personal des Unternehmens): Name, E-Mail, Passwort (verschlüsselt gespeichert), Profilbild.
Konfigurationsdaten des Dienstes: Öffnungszeiten, Treueprogramm, Prämien, Marketingkampagnen.
Google-OAuth-Zugangsdaten (verschlüsselt gespeichert) für die Anbindung an Google Business Profile.

2.3. Endkunden der Unternehmen

Die Unternehmen, die Revisit nutzen, erfassen Daten ihrer eigenen Kunden. In diesem Fall handelt das Unternehmen als Verantwortlicher und REVISIT XMD, S.L. über die Plattform Revisit als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO.

Identifikationsdaten: Name, E-Mail, Telefon, Ländervorwahl.
Demografische Daten (freiwillig): Geburtsdatum, Geschlecht, Postleitzahl, Akquisekanal.
Aktivitätsdaten: Besuche, Punkte, Stempel, durchschnittlicher Bon, Kundenwert (LTV), Kundenstatus.
Wallet-Daten: Wallet-Token, Kennung des Google-Wallet-Objekts.
Interaktionsdaten: Bewertungen, Prämieneinlösungen, versendete Bewertungsanfragen.
Marketing-Einwilligung: ausdrücklich und gesondert erfasst.

3. Zwecke der Verarbeitung

Erbringung des von den Unternehmen gebuchten Treuedienstes.
Verwaltung der Geschäftsbeziehung mit den Kundenunternehmen.
Bearbeitung von Kontaktanfragen und technischem Support.
Versand kommerzieller Mitteilungen über Revisit (ausschließlich mit vorheriger Einwilligung).
Verbesserung des Dienstes durch aggregierte und anonymisierte statistische Auswertungen.
Erfüllung der geltenden gesetzlichen Pflichten.

4. Rechtsgrundlage der Verarbeitung

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): zur Erbringung des Dienstes für die Unternehmen, die Revisit buchen.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): für den Versand kommerzieller Mitteilungen und für die Verarbeitung der Endkundendaten durch die Unternehmen.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): zur Verbesserung des Dienstes, für aggregierte statistische Auswertungen und zur Verhinderung von Betrug oder Missbrauch.
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): zur Erfüllung steuerlicher, handelsrechtlicher und datenschutzrechtlicher Pflichten.

5. Empfänger und Auftragsverarbeiter

Personenbezogene Daten können an folgende Empfänger oder Auftragsverarbeiter übermittelt werden:

OVH SAS (Gravelines, Frankreich, EU): Anbieter der Infrastruktur und des Hostings der Server, auf denen sämtliche Daten der Plattform gespeichert werden.
Google LLC (Vereinigte Staaten): für die Google-Wallet-Funktion und die Anbindung an Google Business Profile. Die Übermittlung ist durch den EU-US Data Privacy Framework abgedeckt.
Automatisierungs-Engine (gehostet bei OVH, Frankreich, EU): System zur Workflow-Automatisierung, das Ereignisse verarbeitet und Benachrichtigungen versendet.

Eine Weitergabe von Daten an Dritte findet nicht statt, außer bei gesetzlicher Verpflichtung oder wenn dies zur Erbringung des Dienstes unbedingt erforderlich ist.

6. Nutzung von Google-API-Daten (Limited-Use-Anforderungen)

Revisit greift über die Google-APIs (Google Wallet, Google Business Profile und Anmelden mit Google) ausschließlich auf Informationen zu, um die vom Unternehmen gebuchten Funktionen bereitzustellen: die Treuekarte des Kunden in Google Wallet auszustellen und zu aktualisieren, die Bewertungen des Unternehmens in seinem Google-Business-Profil anzuzeigen und zu beantworten und dem Inhaber die Anmeldung an seinem Verwaltungsbereich zu ermöglichen.

Die Nutzung und Weitergabe der über die Google-APIs erhaltenen Informationen durch Revisit erfolgt im Einklang mit der Google API Services User Data Policy einschließlich ihrer Limited-Use-Anforderungen. Insbesondere:

Wir verwenden die über die Google-APIs erhaltenen Daten ausschließlich, um für den Nutzer sichtbare Funktionen innerhalb von Revisit bereitzustellen oder zu verbessern.
Wir verkaufen die über die Google-APIs erhaltenen Daten nicht.
Wir verwenden diese Daten nicht für Werbezwecke, einschließlich personalisierter Werbung, und nicht zur Bonitätsprüfung oder für Kreditzwecke.
Wir gestatten keiner Person, diese Daten zu lesen, außer: (a) mit ausdrücklicher Einwilligung des Nutzers, (b) aus Sicherheitsgründen (etwa zur Untersuchung von Missbrauch), (c) zur Erfüllung geltender Rechtsvorschriften oder (d) wenn die Daten aggregiert und anonymisiert sind und für interne Zwecke gemäß den geltenden Richtlinien verwendet werden.

7. Internationale Datenübermittlungen

Die zentrale Infrastruktur von Revisit befindet sich in der Europäischen Union (OVH, Gravelines, Frankreich).

Die Anbindung an die Google-Dienste (Wallet und Business Profile) kann Datenübermittlungen in die Vereinigten Staaten mit sich bringen. Diese Übermittlungen sind durch den EU-US Data Privacy Framework abgedeckt, den die Europäische Kommission mit Angemessenheitsbeschluss vom 10. Juli 2023 anerkannt hat, sowie gegebenenfalls durch Standardvertragsklauseln (SCC).

8. Speicherdauer

Daten aus Leads und Kontaktformularen: 12 Monate ab der Anfrage, sofern kein Vertragsverhältnis zustande kommt.
Daten der Kundenunternehmen: für die Dauer des Vertragsverhältnisses zuzüglich der gesetzlichen Aufbewahrungsfristen (steuer- und handelsrechtliche Pflichten).
Daten der Endkunden: solange das Unternehmen sein Revisit-Konto aktiv hält oder bis der Endkunde beim betreffenden Unternehmen die Löschung verlangt.
Nach Beendigung des Dienstes: Die Daten werden für die gesetzlichen Fristen gesperrt aufbewahrt und danach sicher gelöscht.

9. Rechte der betroffenen Personen

Nach der DSGVO und dem spanischen Datenschutzgesetz LOPDGDD können Sie folgende Rechte geltend machen:

Auskunft (Art. 15 DSGVO): zu erfahren, welche Ihrer personenbezogenen Daten wir verarbeiten.
Berichtigung (Art. 16 DSGVO): unrichtige oder unvollständige Daten korrigieren zu lassen.
Löschung (Art. 17 DSGVO): die Löschung Ihrer Daten zu verlangen, wenn sie nicht mehr erforderlich sind.
Einschränkung der Verarbeitung (Art. 18 DSGVO): unter bestimmten Umständen die Einschränkung der Verarbeitung zu verlangen.
Datenübertragbarkeit (Art. 20 DSGVO): Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln.
Widerspruch (Art. 21 DSGVO): der Verarbeitung Ihrer Daten in bestimmten Fällen zu widersprechen.
Widerruf der Einwilligung: Beruht die Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Um eines dieser Rechte auszuüben, senden Sie eine E-Mail an hola@revisit.es mit Angabe des Rechts, das Sie geltend machen möchten, und einer Kopie Ihres Ausweisdokuments. Wir antworten innerhalb eines Monats nach Eingang der Anfrage; bei komplexen oder zahlreichen Anfragen kann diese Frist um zwei weitere Monate verlängert werden, worüber wir Sie informieren.

Endkunden der Unternehmen richten ihre Anträge auf Ausübung der Rechte an das betreffende Unternehmen, das für ihre Daten verantwortlich ist. Wenn Sie Unterstützung benötigen, können Sie sich dennoch an hola@revisit.es wenden.

10. Auftragsverarbeiter

REVISIT XMD, S.L. handelt über die Plattform Revisit als Auftragsverarbeiter hinsichtlich der Endkundendaten, die die Unternehmen in die Plattform eingeben. Jedes Unternehmen, das Revisit bucht, schließt einen Auftragsverarbeitungsvertrag (AVV) gemäß Artikel 28 DSGVO, der Folgendes regelt:

Die Weisungen des Verantwortlichen für die Datenverarbeitung.
Die geltenden technischen und organisatorischen Sicherheitsmaßnahmen.
Die Vertraulichkeitspflichten des Personals mit Datenzugriff.
Die Bedingungen für den Einsatz von Unterauftragsverarbeitern.
Die Unterstützung des Verantwortlichen bei der Erfüllung seiner Pflichten (Betroffenenrechte, Datenschutz-Folgenabschätzungen, Meldung von Verletzungen).
Die Rückgabe oder Löschung der Daten bei Beendigung des Vertragsverhältnisses.

11. Sicherheitsmaßnahmen

Revisit setzt geeignete technische und organisatorische Maßnahmen ein, um die Sicherheit personenbezogener Daten zu gewährleisten, darunter:

Passwörter, die mit sicheren Hash-Verfahren (bcrypt) verschlüsselt sind.
Sämtliche Kommunikation ist über HTTPS/TLS verschlüsselt.
OAuth-Token und sensible Zugangsdaten werden verschlüsselt gespeichert und niemals in API-Antworten offengelegt.
OTP-Verifizierung bei der Registrierung von Endkunden.
Rollen- und Berechtigungssystem mit Datenisolierung pro Tenant (Unternehmen).
Regelmäßige Sicherungskopien.
Eingeschränkter Zugang zu Servern und Produktivsystemen.

12. Beschwerden

Wenn Sie der Auffassung sind, dass die Verarbeitung Ihrer personenbezogenen Daten nicht den geltenden Vorschriften entspricht, haben Sie das Recht, Beschwerde bei der spanischen Datenschutzbehörde (AEPD) einzulegen:

Website: www.aepd.es
Anschrift: C/ Jorge Juan, 6, 28001 Madrid, Spanien

Datenschutzerklärung