Datenschutzerklärung

HookPulse wird von Altix Code Ltd betrieben, einem in der Republik Zypern eingetragenen Unternehmen („Altix“, „wir“, „uns“). Diese Erklärung beschreibt, welche personenbezogenen Daten wir erheben, wenn Sie unsere Website und unser Dashboard (den „Dienst“) nutzen, welche Daten beim Veröffentlichen und Ausliefern von Webhook-Events durch den Dienst laufen, warum, wie lange wir sie speichern, an wen wir sie weitergeben und welche Rechte Sie daran haben.

In dieser Erklärung kommen durchgehend zwei verschiedene Rollen ins Spiel, und sie sind wichtig: Für Daten über Sie und Ihr Konto ist Altix der Verantwortliche. Für den Inhalt der Events, die Sie über den Dienst veröffentlichen – der selbst personenbezogene Daten über Ihre eigenen Endnutzer enthalten kann –, sind Sie der Verantwortliche und Altix ist Auftragsverarbeiter, der ausschließlich auf Ihre Weisung handelt, und zwar allein zu dem Zweck, diese Inhalte in Ihrem Auftrag zu signieren, auszuliefern und zu protokollieren. Siehe "Wenn wir Daten in Ihrem Auftrag verarbeiten" weiter unten.

1. Daten, die wir über Sie erheben

Wenn Sie sich registrieren und den Dienst nutzen, erheben wir:

Kontodaten – Ihre E-Mail-Adresse, optional einen Namen, den Namen Ihrer Organisation sowie eine gesalzene, unumkehrbar gehashte Kopie Ihres Passworts. Wir speichern Ihr tatsächliches Passwort nicht und haben keinen Zugriff darauf.

Team- und Berechtigungsdaten – wenn mehrere Personen Ihr Konto nutzen, speichern wir für jedes Mitglied die E-Mail-Adresse, die Rolle, wer es eingeladen hat und wann, damit der Kontoinhaber die Zugriffsrechte verwalten kann.

Zahlungsinformationen – Ihren Abonnement-Tarif, dessen Status und das Verlängerungsdatum. Karten- und Zahlungsdaten werden von Stripe, unserem Zahlungsdienstleister, erhoben und gespeichert; wir erhalten von dort lediglich eine Abonnement- und Kundenkennung, niemals Ihre Kartennummer.

API-Schlüssel – wir speichern einen Einweg-Hash jedes von Ihnen erzeugten API-Schlüssels sowie ein kurzes, nicht geheimes Präfix, das im Dashboard angezeigt wird, damit Sie Ihre Schlüssel unterscheiden können. Der Schlüssel selbst wird einmal bei der Erstellung angezeigt und danach nie wieder.

Support- und Kontokommunikation – alles, was Sie uns per E-Mail senden, einschließlich der Transaktions-E-Mails, die wir Ihnen senden (Passwort-Zurücksetzung, E-Mail-Verifizierung, Team-Einladungen).

Nutzungs- und Sicherheitsprotokolle – Anmeldezeitpunkte sowie ein Sicherheits-Audit-Log der Mitgliedschaftsaktionen in Ihrem Konto (Einladungen, Rollenänderungen, Entfernungen und Anträge auf Kontolöschung), jeweils versehen mit der E-Mail-Adresse der handelnden Person und dem Zeitpunkt.

Technische Daten – übliche Webserver- und Request-Logs (IP-Adresse, User-Agent, Zeitstempel), die bei der Nutzung des Dashboards entstehen und kurzzeitig zur Sicherheit und Missbrauchsprävention gespeichert werden.

2. Wenn wir Daten in Ihrem Auftrag verarbeiten

HookPulse ist dazu da, ein Event von Ihrem Backend zu empfangen, es zu signieren, an die von Ihnen oder Ihren eigenen Kunden konfigurierten Webhook-Endpunkte auszuliefern, es bei einem Fehlschlag erneut zu versuchen und ein dauerhaftes Protokoll jedes Versuchs zu führen. Dieses Protokoll – die Anfrage, die wir gesendet haben, die Antwort, die wir erhalten haben, und wann – ist das Produkt: Damit beantworten Sie und Ihre eigenen Kunden die Frage "Ist dieser Webhook angekommen, und was ist passiert, als er es nicht war?"

Konkret speichern und übertragen wir für jedes Event, das Sie über die API veröffentlichen, auf Ihre Weisung und zu keinem anderen Zweck:

Die von Ihnen übermittelte Event-Payload – beliebiges JSON aus Ihren eigenen Systemen, das selbst personenbezogene Daten über Ihre eigenen Endnutzer enthalten kann (zum Beispiel ein Bestell- oder Abonnement-Event, in dem ein Kunde namentlich genannt wird). Wir prüfen diese Inhalte nicht, werten sie nicht inhaltlich aus und nutzen sie zu keinem anderen Zweck als zur Auslieferung und Protokollierung.

Die Ziel-Endpunkt-URL und, sofern Sie eine angeben, eine Abonnenten-Kennung in Ihrem eigenen Namensraum, mit der ein Auslieferungsprotokoll dem richtigen Ihrer Kunden zugeordnet wird.

Das Ergebnis jedes Auslieferungsversuchs – der Antwort-Statuscode, die Antwort-Header und der Antwort-Body (oder der Fehler, falls der empfangende Server nicht erreichbar war) und die benötigte Zeit – jeweils angefügt, nie überschrieben, damit ein späterer Versuch nicht löscht, was ein früherer festgehalten hat.

Sie bleiben Verantwortlicher für diese Daten: Sie entscheiden, was veröffentlicht wird, wohin es ausgeliefert wird und wer (zum Beispiel über ein eingeschränktes, kurzlebiges Portal-Token) die Auslieferungshistorie einsehen darf. Sie sind für Ihre eigene Rechtsgrundlage dafür verantwortlich, personenbezogene Daten in ein Event aufzunehmen, und für alles, was Sie Ihren eigenen Endnutzern dazu nach Ihrer eigenen Datenschutzerklärung schulden.

Jedes Signing-Secret und jeder Signaturschlüssel für Portal-Tokens wird im Ruhezustand mit AES-256-GCM versiegelt; Payloads und Antwort-Bodies selbst werden über die Festplattenverschlüsselung der Datenbank hinaus nicht separat verschlüsselt, und der Zugriff darauf ist auf Ihr Konto und – für eine bestimmte Auslieferung – auf das eingeschränkte Portal-Token beschränkt, das Sie dafür ausstellen.

3. Warum wir sie verarbeiten

Um den Dienst selbst bereitzustellen – Signieren, Ausliefern, Wiederholen und Protokollieren der von Ihnen veröffentlichten Events sowie Durchsetzung des Auslieferungsvolumens Ihres Tarifs.

Um Ihnen über Stripe ein von Ihnen gewähltes bezahltes Abonnement in Rechnung zu stellen.

Um mit Ihnen über Ihr Konto zu kommunizieren, einschließlich der für dessen Betrieb erforderlichen E-Mails (Verifizierung, Passwort-Zurücksetzung, Team-Einladungen) und, sofern Sie nicht widersprochen haben, gelegentlicher Produktneuigkeiten.

Um einen Sicherheits-Audit-Trail darüber zu führen, wer in Ihrem Konto was getan hat, damit Kontoinhaber Aktivitäten prüfen können und wir vermutete Kompromittierungen untersuchen können.

Um unsere rechtlichen und buchhalterischen Pflichten einschließlich des Steuerrechts zu erfüllen.

4. An wen wir sie weitergeben

Wir verkaufen keine personenbezogenen Daten und geben Ihre Event-Payloads oder Ihre Auslieferungshistorie niemals an Dritte weiter, außer auf Ihre eigene Veranlassung (zum Beispiel über einen Portal-Link, den Sie einem Ihrer Kunden ausstellen). Kontodaten geben wir nur an die Auftragsverarbeiter weiter, die für den Betrieb des Dienstes erforderlich sind und die jeweils vertraglich verpflichtet sind, diese ausschließlich zur Erbringung ihrer Leistung für uns zu verwenden:

Stripe, Inc. – Zahlungsabwicklung und Abonnementabrechnung.

Resend (über dessen SMTP-Relay) – Versand von Transaktions-E-Mails.

Cloudflare, Inc. – Bot- und Missbrauchsschutz (Turnstile) in unseren Registrierungs- und Passwort-Zurücksetzen-Formularen.

Hetzner Online GmbH – unser Infrastruktur-Anbieter, auf dessen Systemen unsere Server und Datenbanken physisch laufen (Standort EU).

Ihre eigenen Webhook-Endpunkte – die von Ihnen konfigurierten URLs – erhalten zwangsläufig die Event-Payloads, deren Auslieferung Sie bei uns beauftragen. Diese Auslieferung ist der Dienst; sie ist keine Offenlegung an Dritte, die wir von uns aus vornehmen, sondern die, die Sie angewiesen haben.

Ausgestellte Rechnungen werden im internen Rechnungssystem von Altix Code Ltd erfasst, das wir produktübergreifend nutzen, damit wir unseren buchhalterischen und steuerlichen Pflichten als ein Unternehmen nachkommen können.

Einige dieser Auftragsverarbeiter befinden sich außerhalb des Europäischen Wirtschaftsraums. In diesen Fällen stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission oder eine gleichwertige anerkannte Garantie.

Wir können Daten außerdem offenlegen, soweit dies gesetzlich vorgeschrieben ist, um unsere Nutzungsbedingungen durchzusetzen oder um die Rechte, das Eigentum oder die Sicherheit von Altix, unseren Kunden oder Dritten zu schützen.

5. Wie lange wir sie speichern

Kontodaten, veröffentlichte Events sowie deren Auslieferungs- und Versuchshistorie werden so lange gespeichert, wie Ihr Konto aktiv ist – derzeit gibt es für Auslieferungsprotokolle keinen separaten automatischen Ablauf über die Lebensdauer des Kontos hinaus, denn genau dieses Protokoll ist die Grundlage dafür, dass Sie und Ihre eigenen Kunden Auslieferungsfragen im Nachhinein beantworten können.

Wenn Sie Ihr Konto löschen, werden alle darin enthaltenen Apps, Endpunkte, API-Schlüssel, Events und Auslieferungsdatensätze sowie der Zugriff aller Teammitglieder sofort und dauerhaft entfernt – siehe "Ihr Konto löschen" weiter unten.

Bereits ausgestellte Rechnungen bleiben unabhängig von Ihrem Konto in unserem Rechnungssystem, solange das zyprische Steuer- und Handelsrecht die Aufbewahrung von Finanzunterlagen verlangt (derzeit bis zu sieben Jahre).

Einträge im Sicherheits-Audit-Log bleiben auch nach der Löschung eines Kontos erhalten, denn der Sinn eines Sicherheitsprotokolls ist es, das Ereignis zu überdauern, das es möglicherweise erklären muss; die Einträge werden so lange aufbewahrt, wie es für Sicherheits-, Betrugspräventions- und rechtliche Zwecke erforderlich ist.

Server- und Request-Logs werden nur kurz gespeichert (typischerweise einige Wochen) und dann gelöscht oder anonymisiert.

6. Ihr Konto löschen

Kontoinhaber können ihr Konto jederzeit in den Einstellungen dauerhaft löschen. Dadurch:

wird ein laufendes Abonnement sofort gekündigt – es erfolgt keine weitere Abrechnung, und der Zugriff endet unmittelbar und nicht erst am Ende des Abrechnungszeitraums.

werden alle Apps, Endpunkte, API-Schlüssel, veröffentlichten Events und die gesamte Auslieferungshistorie des Kontos dauerhaft gelöscht.

wird der Zugriff aller Teammitglieder auf das Konto sofort entzogen.

wird die Löschung in einem Protokolleintrag festgehalten, der nicht mit dem Konto gelöscht wird (siehe oben).

bleiben bereits ausgestellte Rechnungen unberührt; sie verbleiben aufgrund unserer gesetzlichen Aufbewahrungspflichten unabhängig vom gelöschten Konto in unserem Rechnungssystem.

Dieser Vorgang kann nicht rückgängig gemacht werden. Das Dashboard verlangt zur Bestätigung die Eingabe des Kontonamens, bevor es fortfährt.

7. Cookies

Unsere Website und unser Dashboard verwenden ein einziges, unbedingt erforderliches Cookie, um Sie angemeldet zu halten. Wir verwenden auf dieser Seite keine Werbe- oder seitenübergreifenden Tracking-Cookies.

8. Ihre Rechte

Wenn Sie sich im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in einem anderen Rechtsraum mit vergleichbarem Schutz befinden, haben Sie das Recht:

auf Auskunft über die personenbezogenen Daten, die wir über Sie speichern, und auf eine Kopie davon.

unrichtige Daten berichtigen zu lassen.

Ihre Daten löschen zu lassen, auch indem Sie Ihr Konto wie oben beschrieben selbst löschen.

bestimmte Verarbeitungen einschränken zu lassen oder ihnen zu widersprechen.

Ihre Daten in einem übertragbaren Format zu erhalten.

eine Einwilligung zu widerrufen, soweit die Verarbeitung darauf beruht (zum Beispiel bei optionalen E-Mails zu Produktneuigkeiten).

Beschwerde bei Ihrer zuständigen Datenschutzbehörde einzulegen – für Zypern beim Office of the Commissioner for Personal Data Protection.

Um eines dieser Rechte auszuüben, schreiben Sie an privacy@altixcode.com. Wenn sich Ihre Anfrage auf den Inhalt eines Events bezieht – also auf Daten über die Endnutzer eines unserer Kunden, die den Dienst lediglich durchlaufen –, sind wir für diese Daten Auftragsverarbeiter und nicht Verantwortlicher; wir leiten die Anfrage dann an das Konto weiter, das sie veröffentlicht hat, da dieses als Verantwortlicher für die Beantwortung zuständig ist, sofern es uns nichts anderes angewiesen hat.

9. Sicherheit

Passwörter werden mit bcrypt gehasht und niemals im Klartext gespeichert. API-Schlüssel werden als Einweg-Hash gespeichert; nur ein kurzes Präfix wird zur Identifizierung im Klartext aufbewahrt. Signing-Secrets für Endpunkte und Signaturschlüssel für Portal-Tokens werden im Ruhezustand mit AES-256-GCM versiegelt. Einladungs- und Passwort-Zurücksetzen-Links verwenden einmalig nutzbare, kryptografisch zufällige Tokens, die im Ruhezustand gehasht werden. Der Datenverkehr zum Dienst und jede ausgehende Auslieferung an Ihre Endpunkte werden bei der Übertragung mit TLS verschlüsselt. Der Zugang zur Produktionsinfrastruktur ist auf die Personen beschränkt, die ihn für den Betrieb des Dienstes benötigen.

10. Kinder

Der Dienst richtet sich an Unternehmen und Fachleute; er ist nicht für Kinder unter 16 Jahren bestimmt und wird auch nicht wissentlich genutzt, um Daten von ihnen zu erheben.

11. Änderungen dieser Erklärung

Bei einer wesentlichen Änderung dieser Erklärung informieren wir die Kontoinhaber per E-Mail und aktualisieren das oben genannte Datum des Inkrafttretens, bevor die Änderung wirksam wird.

12. Kontakt

Altix Code Ltd (Zypern). Bei Fragen zu dieser Erklärung oder zu Ihren Daten schreiben Sie an privacy@altixcode.com.