1. Verantwortliche und Rollen
Unternehmen: GATAVIA GLOBAL, S.L. · spanische Steuer-ID B05722335 · Calle Rascafría, 67, escalera 11, 28670 Villaviciosa de Odón, Madrid, Spanien · info@gatavia.com
Datenschutzkontakt: info@gatavia.com.
Gatavia ist Verantwortliche für Konto, Vertrag, Abrechnung, Support, Sicherheit und eigene Vorgänge. Fügt ein Eigentümer, Verwalter oder Unternehmen Daten Dritter hinzu und bestimmt deren Zwecke, ist der Kunde Verantwortlicher und Gatavia Auftragsverarbeiter nach dokumentierten Weisungen.
2. Verarbeitete Daten
- Identitäts- und Kontaktdaten
- Konto, Authentifizierung, Präferenzen und zweiter Faktor, wenn aktiviert
- Immobilien-, Eigentümer-, Gast-, Buchungs-, Einnahmen-, Ausgaben- und Abrechnungsdaten, soweit personenbezogen
- Hochgeladene Dokumente, Verträge, Rechnungen und Belege
- Support- und Datenschutzanfragen
- Technische und sicherheitsbezogene Daten zum Schutz des Dienstes
- Plan-, Abrechnungs- und Zahlungsstatus; vollständige Kartendaten verarbeitet Stripe
3. Zwecke
- Konten und Sitzungen erstellen und schützen
- Gatavia-Dienste bereitstellen
- Buchungen, Eigentümer, Abrechnungen, Dokumente und angeforderte Analysen verwalten
- Dokumente verarbeiten, wenn der Nutzer Extraktion oder Analyse anfordert
- Käufe, Abonnements, Abrechnung, Support und Rechte verwalten
- Betrug, Missbrauch, unbefugten Zugriff und Sicherheitsvorfälle verhindern
- Gesetzliche Pflichten erfüllen
- Sicherheit und Betrieb verbessern
- Marketing nur auf gültiger Rechtsgrundlage
4. Rechtsgrundlagen
Je nach Verarbeitung: Vertrag oder vorvertragliche Maßnahmen, gesetzliche Pflicht, berechtigtes Interesse an Sicherheit, Betrugsprävention und Verbesserung oder Einwilligung.
Als Auftragsverarbeiter für Daten Dritter handelt Gatavia für den Kunden-Verantwortlichen nach Vereinbarung und dokumentierten Weisungen.
5. Anbieter, Unterauftragsverarbeiter und Übermittlungen
Gatavia nutzt Supabase für Datenbank, Authentifizierung und Speicherung, Vercel für Hosting, Stripe für Zahlungen und Abonnements, Resend für Transaktions-E-Mails und OpenAI für bestimmte KI-Funktionen.
Nur notwendige Daten werden übermittelt; Gatavia führt ein internes Verzeichnis der Unterauftragsverarbeiter.
Bei Drittlandbezug werden geeignete Garantien wie Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere zulässige Mechanismen eingesetzt.
6. KI und Dokumente
Die Finanz-KI von Gatavia folgt dem Grundsatz der Datenminimierung und erhält hauptsächlich notwendige Summen, Kennzahlen, Vergleiche und Kategorien, ohne unnötige personenbezogene Identifikatoren.
Bei ausdrücklich angeforderter Extraktion aus Rechnungen oder Dokumenten muss die erforderliche Datei verarbeitet werden. Gatavia beschränkt Dateitypen und -größe, prüft die Dateizugehörigkeit und konfiguriert OpenAI-Anfragen mit store:false.
OpenAI erklärt, dass Unternehmens- und API-Daten standardmäßig nicht zum Training verwendet werden. In der Standard-API-Konfiguration können bestimmte Daten derzeit bis zu 30 Tage vorübergehend gespeichert werden, sofern keine Zero-Data-Retention-Konfiguration gilt.
7. Sicherheit
Gatavia nutzt logische Trennung nach Nutzer und Konto, Row-Level-Zugriffsrichtlinien, privaten Dokumentenspeicher und temporär signierte Links.
Mein Gatavia unterstützt TOTP-2FA; nach Aktivierung ist der zweite Faktor beim Login erforderlich und bestimmte irreversible Aktionen erfordern eine verstärkte Prüfung. Neue Passwörter müssen mindestens 12 Zeichen enthalten.
Integrationszugänge werden nicht dem Browser offengelegt, privilegierte Funktionen werden eingeschränkt und Datenschutzanfragen sowie Sicherheitsvorfälle werden protokolliert.
8. Aufbewahrung und Löschung
Operative Daten werden so lange gespeichert, wie sie für den Dienst erforderlich sind. Nach Löschantrag oder Vertragsende werden nicht mehr benötigte Daten gelöscht oder anonymisiert; gesetzlich erforderliche Daten werden gesperrt oder eingeschränkt.
In Spanien können bestimmte Geschäftsunterlagen einer allgemeinen sechsjährigen Aufbewahrungspflicht unterliegen; allgemeine steuerliche Verjährungsfristen betragen vier Jahre, vorbehaltlich besonderer Regeln.
Gatavia führt interne Aufbewahrungsregeln je Datenkategorie und vermeidet automatische Löschung, wenn gesetzliche Aufbewahrungspflichten bestehen können.
9. Rechte
Soweit anwendbar können Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Datenübertragbarkeit und Widerruf über info@gatavia.com verlangt werden.
Gatavia protokolliert Anfragen mit Datum, Typ, Status und Verlauf. Ein Antrag auf Kontolöschung erzeugt zusätzlich einen Datenschutzvorgang und verlangt bei aktivierter 2FA eine verstärkte Prüfung.
Beschwerden können an die zuständige Datenschutzbehörde gerichtet werden.
10. Professionelle Verwalter und Auftragsverarbeitung
Verarbeitet ein Verwalter, Unternehmen oder Eigentümer in Gatavia Daten Dritter in eigener Verantwortung, wird Gatavias Rolle als Auftragsverarbeiter in einer versionierten Vereinbarung formalisiert.
Der Zugang zu Modulen mit Eigentümer- oder Gästedaten kann die Annahme der aktuellen Fassung erfordern; Nutzer, Konto, Version, Datum und Methode werden protokolliert.
Die Vereinbarung regelt unter anderem Gegenstand, Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Rechte, Vorfälle, Rückgabe oder Löschung und Audit.
11. Vorfälle und Nachweis
Gatavia führt ein strukturiertes Register für Sicherheitsvorfälle mit Art, Schweregrad, betroffenen Daten, Eindämmung und Risikobewertung.
Soweit gesetzlich erforderlich, werden die einschlägigen Meldeverfahren und Fristen eingehalten, einschließlich der Überwachung der 72-Stunden-Frist, wenn sie anwendbar ist.
12. Änderungen
Diese Erklärung wird bei rechtlichen, technischen, funktionalen, Anbieter- oder Sicherheitsänderungen aktualisiert. Wesentliche Änderungen der Auftragsverarbeitungsvereinbarung werden zusätzlich versioniert und erneut angenommen.
13. YouTube API Services
Gatavia verwendet YouTube API Services ausschließlich, damit ein autorisiertes Konto Videos und Shorts über die internen Veröffentlichungstools von Gatavia auf den eigenen YouTube-Kanal hochladen kann.
Die Verbindung erfolgt über Google OAuth 2.0. Für Uploads fordert Gatavia nur den dafür erforderlichen Umfang (youtube.upload) an. Die Integration wird nicht zum Lesen privater Nachrichten, zur Werbeverwaltung, zum Verkauf von Daten oder zum Zugriff auf nicht für den autorisierten Upload erforderliche Kanalinformationen verwendet.
Gatavia kann die für die Verbindung unbedingt erforderlichen OAuth-Tokens sicher speichern, damit nicht vor jedem Upload erneut autorisiert werden muss. Diese Tokens werden nur für vom Kontoinhaber genehmigte Aktionen verwendet und nicht zu Werbezwecken verkauft oder an Dritte weitergegeben.
Nutzer können den Zugriff von Gatavia auf ihr Google-Konto jederzeit im Bereich für Drittanbieter-Verbindungen ihres Google-Kontos widerrufen. Nach einem Widerruf oder wenn die Integration nicht mehr benötigt wird, löscht oder invalidiert Gatavia die gespeicherten Zugangsdaten so bald wie vernünftigerweise möglich; ausgenommen sind minimale technische Protokolle, die aus Sicherheits- oder Rechtsgründen erforderlich sein können.
Die Nutzung von Informationen aus Google APIs durch Gatavia entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.
