Datenschutz

Zuletzt aktualisiert: Oktober 2026

Verantwortlicher und Geltungsbereich

Der gehostete Nibomo-Dienst wird von SAMO DANNI EOOD betrieben, Unternehmens-ID 207395566, VAT BG207395566, eingetragene Anschrift bulv. Maritza 154, entrance D, floor 6 #14, 4018, Plovdiv, Bulgaria. Nibomo wurde von Kirill Markin erstellt.

Diese Erklärung gilt für die von uns betriebenen gehosteten Websites, Apps, APIs und den MCP-Dienst. Eine selbst gehostete Instanz wird von ihrem jeweiligen Betreiber kontrolliert; dieser ist für die dortige Datenverarbeitung verantwortlich.

Alter

Der gehostete Dienst ist für Personen ab 13 Jahren bestimmt. Schreibt das Recht an Ihrem Wohnort ein höheres Mindestalter für die Nutzung eines Onlinedienstes oder die Einwilligung in eine Datenverarbeitung vor, gilt dieses höhere Alter. Personen unter 18 Jahren benötigen die Erlaubnis eines Elternteils oder gesetzlichen Vertreters.

Verarbeitete Daten

Je nach Nutzung des gehosteten Dienstes verarbeiten wir:

Konto- und Authentifizierungsdaten wie E-Mail-Adresse, interne Kennungen, Anmeldeprotokolle und Authentifizierungs-Token;
Lern- und Workspace-Daten wie Karten, Decks, Einstellungen, Mitgliedschaften, Wiederholungsverlauf und Synchronisierungsmetadaten;
hochgeladene oder erstellte Dateien und Medien einschließlich Bilder und temporärer Upload-Daten;
optionale KI-Daten wie Prompts, Chatverlauf, Karten- oder Workspace-Kontext, in eine Anfrage einbezogene Dateien und Bilder, diktierte Audiodaten, Transkripte, Modellantworten und Tool-Aktivitäten;
Support- und Feedbackdaten wie Nachrichten, eine freiwillig angegebene Kontaktadresse, App-Version, Plattform, Sprache und Bearbeitungsstatus;
Betriebs- und Sicherheitsdaten wie Anfragekennungen, Zeitstempel, IP-Adresse, User-Agent, Route, Antwortstatus, App-Version, Geräte- oder Plattformdetails und bereinigte Fehlerdiagnosen; sowie
die in den Abschnitten Analyse und Produktanalyse beschriebenen Nutzungsdaten der Website und der Apps.

Eine E-Mail-Adresse ist erforderlich, um ein gehostetes Konto anzulegen und sich anzumelden. Ohne sie können wir weder die E-Mail-Authentifizierung noch die kontobasierte Synchronisierung anbieten. Begrenzte Gast- oder lokale Funktionen können ohne angemeldetes Konto verfügbar sein.

Zwecke und Rechtsgrundlagen

Wir verarbeiten Konto-, Workspace-, Wiederholungs-, Datei- und angeforderte KI-Daten, soweit dies zur Bereitstellung des gehosteten Dienstes und zur Erfüllung unseres Vertrags erforderlich ist. Supportanfragen verarbeiten wir, um zu antworten und die angeforderte Hilfe zu leisten.

Begrenzte Analyse-, Sicherheits-, Diagnose- und Verbesserungsdaten verarbeiten wir auf Grundlage unserer berechtigten Interessen, die Nutzung zu verstehen, Missbrauch zu verhindern, den Dienst zu schützen und Fehler zu beheben. Dabei wägen wir diese Interessen gegen Ihre Rechte ab und minimieren oder bereinigen Diagnosedaten, soweit dies praktikabel ist. Daten können außerdem zur Erfüllung gesetzlicher Pflichten oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeitet werden. Soweit das anwendbare Recht für eine bestimmte Tätigkeit eine Einwilligung verlangt, stützen wir uns darauf; sie kann jederzeit widerrufen werden.

Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für zielgerichtete Werbung.

Apple-Käufe und Abonnements

Apple wickelt Zahlungen für Käufe im App Store ab; über die Apple-Abrechnung erhalten wir keine Karten- oder Bankdaten von Ihnen. Wir erhalten und speichern Kaufdaten, darunter Transaktions- und Produktkennungen, ein App-Kontotoken zur Zuordnung des Kaufs zu Ihrem Konto, den Abonnement- und Testphasenstatus, Angaben zu Verlängerungen und Erstattungen sowie die zugehörigen Zeitangaben.

Wir nutzen diese Daten, um Käufe zu prüfen, kostenpflichtigen Zugang bereitzustellen und wiederherzustellen, Support zu leisten, Transaktionen abzugleichen, Buchhaltungsunterlagen zu führen und die Produktnutzung zu analysieren. Serverseitige Abrechnungsdaten werden auch dann geführt, wenn Sie die Produktanalyse in der App deaktivieren.

Google-Play-Käufe und Abonnements

Google wickelt Zahlungen für Käufe bei Google Play ab; über die Google-Abrechnung erhalten wir keine Karten- oder Bankdaten von Ihnen. Wir erhalten und speichern Kaufdaten, darunter Transaktions- und Produktkennungen, Kauftokens und eine undurchsichtige Kontokennung zur Zuordnung des Kaufs zu Ihrem Konto, den Abonnement- und Testphasenstatus, Angaben zu Verlängerungen und Erstattungen sowie die zugehörigen Zeitangaben.

Stripe-Käufe und Abrechnungs-E-Mails

Stripe verarbeitet Zahlungen für Web-Abonnements. Auf seinen gehosteten Zahlungs- und Abrechnungsseiten erfasst Stripe die von Ihnen angegebenen E-Mail-Adressen, Namen, Rechnungsadressen bzw. Abrechnungsstandorte und Zahlungsdaten. Wir tauschen eine undurchsichtige Nibomo-Kontoreferenz sowie Checkout-, Kunden- und Abonnementkennungen mit Stripe aus. Wir erhalten Abrechnungsdaten und Benachrichtigungen, die Kontakt- und Rechnungsdaten, Beträge, Währungen, Steuerinformationen, Test- und Abonnementstatus, Zahlungs-, Erstattungs- und Streitfalldaten sowie relevante Zeitangaben enthalten können. Wir speichern keine vollständigen Kartennummern oder Kartenprüfcodes.

Wir nutzen diese Daten zur Erfüllung unseres Abonnementvertrags, zur Prüfung und Bereitstellung bezahlten Zugangs, zur Abrechnungsverwaltung und für Service-E-Mails. Außerdem bewahren wir Unterlagen für Buchhaltung, Abgleich und rechtliche Pflichten oder Ansprüche auf. Abrechnungsdaten und serverseitig erfasste Abrechnungsereignisse bleiben unabhängig vom Schalter für Produktanalyse bestehen. Stripes eigene Verarbeitung beschreibt seine Datenschutzerklärung.

Wir versenden Nibomo-Erinnerungen an das Testende sowie Zahlungs- und Erstattungsbelege über Resend. Resend erhält die Abrechnungs-E-Mail-Adresse des Stripe-Kunden und den Nachrichteninhalt, einschließlich des jeweiligen Betrags und der Währung, gegebenenfalls des Testenddatums sowie eines Links zur Abrechnungsverwaltung oder zum Beleg. Wir speichern Versandstatus und Kennungen, um Wiederholungsversuche zu verwalten und doppelte Nachrichten zu vermeiden.

Analyse und Cookies

Die Marketing-Website nutzt Vercel Web Analytics, um Seitenaufrufe und ausgewählte Klicks zu messen. Dieser Dienst arbeitet ohne Analyse-Cookies; die Website selbst setzt jedoch ein eigenes, unten beschriebenes Cookie. Bei Seitenaufrufen kann Vercel Zeitpunkt, URL und gefilterte Abfrageparameter, Referrer, ungefähren Standort, Browser, Betriebssystem und Gerätetyp erhalten. Unsere benutzerdefinierten Klickereignisse enthalten nur begrenzte Angaben wie Sprache, Plattform, Linkposition oder Interaktionsart. Namen, E-Mail-Adressen, Karteninhalte oder Kontokennungen werden nicht absichtlich übermittelt. Vercel aggregiert die Daten und ordnet einzelne Datenpunkte weder einer Person noch einer IP-Adresse zu; der tägliche Besucher-Hash wird nach 24 Stunden verworfen. Signalisiert Ihr Browser Global Privacy Control, sendet die Website überhaupt nichts an Vercel Web Analytics.

Unabhängig davon sendet die Website Ereignisse an unsere eigene Produktanalyse: ein Seitenaufrufereignis für jede Seite, die Sie öffnen; ein Klickereignis, wenn Sie einem Link in die Web-App, in einen App Store oder zur Installation eines Katalog-Decks folgen; wonach Sie im öffentlichen Deck-Katalog suchen und was Sie dort filtern, sortieren, durchblättern und öffnen; einen Klick auf einen Link, der von der Website wegführt; das Kopieren des Agent-Endpunkts; das Anzeigen des Sprachvorschlag-Banners und Ihre Antwort darauf; sowie die Cookie-Entscheidung und den Erfassungsschalter, die unten beschrieben sind. Je nach Ereignis enthalten sie den Seitentyp, auf Katalog-Deckseiten und bei Installationslinks die öffentliche Paketversionskennung, die Linkposition, ob ein Klick in die Web-App der Anmeldung, der Registrierung oder dem Öffnen der App galt, ob eine Cookie-Antwort im Banner oder im Analyse-Bedienelement in der Ecke gegeben wurde, die vom Sprachvorschlag-Banner angebotene Sprache, die Sprache der Seitenoberfläche, die Gerätesprache des Browsers, die Herkunftskategorie, die Gerätekategorie und die unten beschriebene Kennung analytics_visitor, sofern Ihr Browser eine trägt. Ein Seitenaufrufereignis enthält außerdem den Host der Website, von der Sie gekommen sind – aus einer Liste bekannter Such- und Social-Media-Seiten, für alles andere als other gemeldet –, sowie die Parameter utm_source, utm_medium und utm_campaign der Adresse, über die Sie angekommen sind. Eine Suche, ein Filter, eine Sortierung oder ein Seitenwechsel im Katalog enthält, wie viele Ergebnisse Sie gesehen haben und was Sie gewählt haben: die Filteraktion – Hinzufügen, Auswählen, Entfernen oder Zurücksetzen – mit ihrer Kategorie und der Anzahl der danach ausgewählten Filter, die Sortierung oder die Seitenzahl zusammen mit der Gesamtzahl der Seiten. Wird ein Deck aus dem Katalog geöffnet, enthält das Ereignis die öffentliche Kennung des Decks und die Stelle auf der Seite, von der aus Sie es geöffnet haben, aber keine Ergebnisanzahl. Eine Katalogsuche enthält zusätzlich die Länge Ihrer Eingabe und den Text selbst nur dann, wenn er normalisiert höchstens 64 Zeichen lang ist und ausschließlich Buchstaben, mit ihnen kombinierende Zeichen, Ziffern, Leerzeichen und Bindestriche enthält; jede andere Suchanfrage wird nur mit ihrer Länge gemeldet und nie gekürzt, damit sie passt. Unser Server leitet aus der Adresse, von der ein Ereignis eintrifft, einen Ländercode aus zwei Buchstaben ab und speichert ihn beim Ereignis; die Adresse selbst speichert er nicht, und für die unten beschriebenen Ereignisse, die überhaupt keine Kennung tragen, leitet er kein Land ab. Signalisiert Ihr Browser Global Privacy Control, fordert die Website keine Besucherkennung an und zeigt keinen Einwilligungsbanner, während die oben genannten Ereignisse weiterhin ohne diese Kennung unseren eigenen Empfänger erreichen und alle von ihnen bis auf die Ereignisse, die überhaupt keine Kennung tragen, die unten beschriebene Tageskennung erhalten. Die Einstellung Do Not Track lesen wir nicht aus.

Die gehostete Web-App verwendet technisch notwendige Cookies wie otp_session, session, refresh und logged_in, um die Authentifizierung abzuschließen, die Sitzung aufrechtzuerhalten und zu erneuern und den Anmeldestatus anzuzeigen. Ohne diese Cookies funktioniert die Anmeldung im Browser nicht.

Die Marketing-Website und die gehostete Web-App teilen sich ein eigenes Analyse-Cookie namens analytics_visitor. Es enthält eine zufällige Besucherkennung, ist für unsere Skripte im Browser lesbar und läuft nach 13 Monaten ab. Damit erkennen wir denselben Browser über mehrere Besuche hinweg, sodass Ereignisse einen wiederkehrenden Besucher zeigen und nicht jedes Mal einen neuen. Dieses Cookie ist nicht technisch notwendig. Diese Entscheidung betrifft nur, ob Ihr Browser diese Kennung trägt; ob die Website überhaupt etwas erfasst, regelt ein gesonderter Schalter, der weiter unten beschrieben wird. Wo eine Einwilligung erforderlich ist, darunter in der EU/im EWR und im Vereinigten Königreich, setzen wir es erst nach Ihrer Zustimmung: Die Website fragt mit einem Banner; bis zu Ihrer Antwort fordert sie keine Kennung an und fügt keine hinzu, während die oben beschriebenen Ereignisse weiterhin ohne diese Kennung gesendet werden und alle von ihnen bis auf die Ereignisse, die überhaupt keine Kennung tragen, die im nächsten Absatz beschriebene Tageskennung erhalten. Wo keine Einwilligung erforderlich ist, setzen wir es ohne Nachfrage. In beiden Fällen können Sie es jederzeit abschalten, über das Analyse-Bedienelement in der Ecke jeder Seite der Website oder in den Einstellungen der Web-App; wir löschen das Cookie dann aus Ihrem Browser und verwenden es nicht weiter. Ihre Antwort wird in Ihrem Browser gespeichert, damit Sie nicht erneut gefragt werden. Signalisiert Ihr Browser Global Privacy Control, löschen wir dieses Cookie und mit ihm eine Antwort, die es erlaubt hatte, sodass dieser Browser wie ein neuer behandelt wird, wenn das Signal später abgeschaltet wird: Wo eine Einwilligung erforderlich ist, fragen wir erneut; wo keine erforderlich ist, setzen wir es ohne Nachfrage. Eine Antwort, die das Cookie abgelehnt hat, behalten wir bei, und sie gilt weiterhin. Auch diese Cookie-Entscheidung erfassen wir als Ereignisse: dass das Banner angezeigt wurde und wie Sie geantwortet haben, gleich wo Sie geantwortet haben – im Banner oder im Analyse-Bedienelement in der Ecke, das dieselbe Wahl enthält. Die erfasste Antwort trägt, an welchem der beiden Orte sie gegeben wurde. Das Ereignis für das angezeigte Banner und das Ereignis für eine Ablehnung tragen überhaupt keine Kennung; das Ereignis für eine Zustimmung trägt die Kennung, die Sie soeben erlaubt haben. Die Ereignisse selbst bewahren wir so lange auf, wie wir sie für die hier beschriebenen Zwecke benötigen.

Erreicht ein Ereignis unseren Empfänger ohne die analytics_visitor-Kennung, etwa weil Sie das Cookie abgelehnt, noch nicht geantwortet oder es abgeschaltet haben, bildet unser Server eine vorübergehende Kennung aus der IP-Adresse und dem User-Agent des Browsers der Anfrage, kombiniert mit einem Zufallswert, der sich an jedem UTC-Tag ändert und nach Ablauf dieses Tages gelöscht wird. Die IP-Adresse selbst speichern wir nicht in unserer Analyse. Diese Kennung verknüpft nur die Ereignisse desselben Tages aus demselben Browser mit derselben IP-Adresse. Sie wird nie in Ihrem Browser gespeichert, nie mit der analytics_visitor-Kennung oder einem Konto verknüpft, nie einer Aufzeichnung Ihrer Einwilligungsantwort beigefügt und lässt sich nicht mehr neu berechnen, sobald der Zufallswert dieses Tages gelöscht ist. Wir nutzen sie, um zu verstehen, wie Besucher die Website nutzen, auf Grundlage unseres berechtigten Interesses, wie im Abschnitt Zwecke und Rechtsgrundlagen beschrieben. Ein Browser, der Global Privacy Control signalisiert, trägt nie die analytics_visitor-Kennung, daher erhalten seine Ereignisse diese Tageskennung wie bei jedem anderen Browser ohne dieses Cookie. Die Ereignisse, die überhaupt keine Kennung tragen, erhalten weder diese Tageskennung noch ein Land: das angezeigte Einwilligungsbanner, eine Ablehnung sowie das Aus- und Wiedereinschalten der Erfassung dieser Website. Sie tragen keine analytics_visitor-Kennung, keine Tageskennung und kein Land – nur, was geschehen ist, und bei einer Cookie-Antwort, wo Sie sie gegeben haben.

Das Analyse-Bedienelement in der Ecke jeder Seite der Website enthält den Schalter, der die Erfassung dieser Website abschaltet, und daneben die oben beschriebene Einwilligung in das Analyse-Cookie; sobald Sie das Banner beantwortet haben, enthält das Bedienelement auch diese Cookie-Entscheidung, solange die Erfassung an ist, und bietet sie erneut an, wenn Sie die Erfassung wieder einschalten. Signalisiert Ihr Browser Global Privacy Control, enthält das Bedienelement nur diesen Schalter: Diesem Browser geben wir gar kein Analyse-Cookie, also gibt es auch keine Cookie-Entscheidung anzubieten. Wenn Sie sie ausschalten, wird ein letztes Ereignis gesendet, das nur festhält, dass sie ausgeschaltet wurde; schalten Sie sie wieder ein, wird das entsprechende Gegenstück gesendet. Beide tragen keine Kennung, keine Tageskennung und kein Land. Solange die Erfassung aus ist, sendet die Website kein weiteres Ereignis über Ihren Besuch, weder an unseren Empfänger noch an Vercel Web Analytics, und fordert keine Besucherkennung an; da sonst nichts unseren Empfänger erreicht, wird auch keine Tageskennung gebildet. Sie ist an, sofern Sie sie nicht ausschalten, auf Grundlage des berechtigten Interesses, das im Abschnitt Zwecke und Rechtsgrundlagen beschrieben ist. Diese Website hat keine Konten, daher wird Ihre Antwort in diesem Browser gespeichert und wirkt nur dort; die gehostete Web-App hat ihre eigene Einstellung, und die iOS- und die Android-App haben sie ab der App-Version, die sie einführt, beide beschrieben im Abschnitt Produktanalyse.

Produktanalyse

Die gehosteten Web-, iOS- und Android-Apps senden uns Ereignisse zur Produktnutzung. Diese Ereignisse gelangen in unsere eigene Infrastruktur und werden in unserer eigenen Datenbank gespeichert; ein externer Analyseanbieter wird dafür nicht eingesetzt.

Ereignisse beschreiben Bildschirme, Dauer und Zählwerte von Wiederholungssitzungen sowie Erfolg oder Fehlschlag von Aktionen. Sie können Installations- und Sitzungskennungen sowie gegebenenfalls Workspace- und Kontokennungen enthalten. In diesen App-Ereignissen sind Freitext, Karten- oder Deckinhalte und Ihre E-Mail-Adresse nicht enthalten.

Soweit die Client-Version dies unterstützt, wird die Sprache der Oberfläche beim Auftreten jedes Ereignisses vor der Offline-Zwischenspeicherung erfasst. Die Gerätesprache ist davon getrennt und kann abweichen. Installationsprofile enthalten den aktuellen technischen Kontext, darunter Plattform, App- und Betriebssystemversion, Gerätesprache und Zeitzone, soweit der Client diese Angaben liefert. Aus Kompatibilitätsgründen bleiben einige technische Angaben auch in einzelnen Ereignissen erhalten. Ältere Clients oder Ereignisse können keine Oberflächensprache enthalten; fehlende Werte leiten wir nicht aus Gerätesprache oder Zeitzone ab.

Für die Zielgruppenanalyse schätzen wir bei geeigneten direkten App-Anfragen das Verbindungsland anhand der IP-Adresse, die unser API-Gateway empfängt, höchstens einmal je Installation und UTC-Tag mit einer Verbindung. Der Abgleich erfolgt mit einer MaxMind-GeoLite-Country-Datenbank in unserer eigenen AWS-Infrastruktur. Die Adresse wird im Arbeitsspeicher der Anfrage verarbeitet, nicht in der Produktanalyse gespeichert und nicht an MaxMind gesendet. Unsere konfigurierten API-Gateway-Zugriffsprotokolle enthalten keine rohe IP-Adresse; die Netzwerkinfrastruktur verarbeitet IP-Adressen weiterhin zur Bearbeitung von Anfragen. Das Land ist eine Schätzung, kann unbekannt oder durch ein VPN beeinflusst sein und bezeichnet weder Wohnsitz noch Staatsangehörigkeit oder genauen Standort. Server-Weiterleitungen, KI-Clients und Ereignisanfragen der Website liefern kein Installationsland. Davon unabhängig trägt ein Ereignis, das ohne Kontoanmeldedaten bei unserem Empfänger eintrifft – die oben beschriebenen Website-Ereignisse, Ereignisse der gehosteten Web-App im abgemeldeten Zustand und Ereignisse unseres Anmeldedienstes –, einen Ländercode aus zwei Buchstaben, den unser Server beim Eingang aus der Adresse ableitet, von der die Anfrage eintrifft und die auch die Adresse einer Weiterleitung statt Ihrer eigenen sein kann; wir speichern diesen Code beim Ereignis, speichern keine Adresse und leiten für die Ereignisse, die überhaupt keine Kennung tragen, kein Land ab. Das Land beim Upload wird früheren Offline-Ereignissen nicht nachträglich zugeordnet.

Der Länderverlauf besteht aus einzelnen Beobachtungen: Bei unverändertem Land wird ein Zeitraum verlängert, bei einer Änderung beginnt ein neuer. Die Grenzen dieser Zeiträume belegen weder tägliche Aktivität noch durchgehende Anwesenheit zwischen Beobachtungen. Feedback speichert separat das Verbindungsland bei der ersten Annahme der Einreichung, nicht beim Erstellen eines Offline-Entwurfs.

Dieses Produkt enthält GeoLite-Daten von MaxMind, verfügbar bei MaxMind.

Das Analyse-Cookie und die Produktanalyse sind zwei getrennte Entscheidungen, und keine wird aus der anderen abgeleitet. Lehnen Sie das oben beschriebene Analyse-Cookie ab oder widerrufen Sie es später, endet nur die gemeinsame Besucherkennung; die Ereignisse selbst werden weiterhin erfasst und bleiben, solange Sie angemeldet sind, mit Ihrem Konto verknüpft.

Für die Produktanalyse gibt es eine eigene Einstellung, die diese Erfassung abschaltet. Solange sie aus ist, zeichnet die App keine Produktnutzungsereignisse auf und sendet auch keine, und unsere API verwirft jede Sendung, die dennoch für ein Konto oder eine Gastsitzung eintrifft, das oder die sie abgeschaltet hat. Sie ist an, sofern Sie sie nicht ausschalten, denn wir verarbeiten diese Ereignisse auf Grundlage des im Abschnitt Zwecke und Rechtsgrundlagen beschriebenen berechtigten Interesses und nicht auf Grundlage einer Einwilligung; wir fragen daher nie danach, und wer das Analyse-Cookie abgelehnt hat, hat sie weiterhin an. Sie betrifft nur die von den Apps gemeldeten Produktnutzungsereignisse; die Fehler- und Absturzberichte sowie unsere serverseitigen Aufzeichnungen darüber, dass der Dienst seine Arbeit verrichtet, fallen nicht darunter.

In der gehosteten Web-App finden Sie die Einstellung in den Einstellungen der Web-App: Ihre Antwort wird in diesem Browser gespeichert und zusätzlich in Ihrem Konto, solange Sie angemeldet sind, und ein Browser, in dem sie ausgeschaltet wurde, wird von einem Konto, in dem sie an ist, nie wieder eingeschaltet. Die iOS- und die Android-App erfassen die Antwort auf dem Gerät und speichern sie zusätzlich dort, sobald es ein Konto oder eine Gastsitzung gibt, in dem bzw. der sie abgelegt werden kann, wobei sie es bis zum Speichern erneut versuchen; die Antwort des Geräts selbst entscheidet darüber, was dieses Gerät sendet, eine anderswo erfasste Antwort kann die Erfassung dort also nicht erneut starten. In diesen Apps erscheint die Einstellung in den App-Einstellungen ab der App-Version, die sie einführt; eine ohne sie veröffentlichte App-Version sendet weiterhin Ereignisse, und unsere API verwirft jede Sendung, die dennoch für ein Konto oder eine Gastsitzung eintrifft, in dem bzw. der die Einstellung ausgeschaltet wurde. Dieses Verwerfen setzt ein Konto oder eine Gastsitzung voraus, in dem bzw. der Ihre Antwort liegt; auf einer Installation, die beides nicht hat, verhindert die Aufzeichnung auf dem Gerät selbst das Senden. Die Marketing-Website hat ihren eigenen Schalter, der im Abschnitt Analyse und Cookies beschrieben ist und nur für diesen Browser gilt.

Das Ausschalten der Einstellung beendet die künftige Erfassung. Bereits aufgezeichnete Ereignisse werden dadurch nicht gelöscht: Produktanalyse-Ereignisse werden nur angehängt. Die Kontolöschung löscht die zugehörigen Installationsprofile und anonymisiert die aufbewahrten Ereignisse, statt sie zu löschen, wie im Abschnitt Aufbewahrung und Löschung beschrieben.

Gehostete KI und externe KI-Clients

OpenAI ist der konfigurierte Anbieter für gehosteten Chat, Transkription und Bilderzeugung. Wenn Sie diese Funktionen nutzen, senden wir die dafür notwendigen Daten an OpenAI. Dazu können Prompt, relevanter Chat- und Workspace-Kontext, Anhänge oder Bilder, diktierte Audiodaten und eine pseudonyme Sicherheitskennung gehören. Gehostete Textanfragen verwenden store: false; damit werden Antwortobjekte nicht zur späteren Abfrage gespeichert. Da diese Anfragen außerdem Prompt-Caching verwenden, kann OpenAI verschlüsselten Anwendungszustand des Caches bis zu 24 Stunden aufbewahren. Nach den aktuellen API-Einstellungen können einschlägige Protokolle zur Missbrauchsüberwachung bis zu 30 Tage aufbewahrt werden; für den Transkriptions-Endpunkt gibt OpenAI an, weder Inhalte zur Missbrauchsüberwachung noch Anwendungszustand zu speichern. API-Daten werden nicht zum Training von OpenAI-Modellen genutzt, sofern der Kontoinhaber dem nicht ausdrücklich zustimmt.

Gehostete KI-Anfragen werden außerdem über Langfuse Cloud zur Fehlersuche und Qualitätsanalyse beobachtet. Langfuse-Traces können Prompts, Modellantworten, Tool-Aktivitäten, Nutzer-, Workspace- und Sitzungskennungen sowie Betriebsmetadaten enthalten. Die Implementierung maskiert E-Mail-Adressen und geheimnisähnliche Felder; benutzerdefinierte Transkriptions-Traces schließen rohe Audiodaten und Anhangsdaten aus.

Unsere Administratoren können gehostete KI-Chatinhalte lesen, die in unserer eigenen Datenbank gespeichert sind, einschließlich Ihrer Prompts, Modellantworten und vorgeschlagener Prompts im Chat-Eingabefeld, um zu analysieren, wie die KI-Funktionen genutzt werden, und sie zu verbessern. Der Zugriff auf diese Inhalte ist auf die Administratoren des Betreibers beschränkt.

Wenn Sie Nibomo über den Remote-MCP-Dienst oder die Agent API mit einem externen KI-Client verbinden, verarbeiten auch dieser Client und sein KI- oder Modellanbieter die von Ihnen abgerufenen Daten. Diese separate Verarbeitung wird vom Betreiber des Clients kontrolliert und unterliegt dessen Bedingungen und Datenschutzerklärung.

Auftragsverarbeiter und Empfänger

Für den gehosteten Dienst nutzen wir folgende Anbieterkategorien:

Amazon Web Services (AWS) für Hosting, Cognito-Authentifizierung, Postgres, Dateispeicherung, Backups und Betriebsprotokolle;
Apple für App-Store-Zahlungen, Kaufprüfungen und Abonnementbenachrichtigungen;
Google für Google-Play-Zahlungen, Kaufprüfungen und Abonnementbenachrichtigungen;
Stripe für Zahlungen von Web-Abonnements, Abrechnungsverwaltung, Steuerberechnung und Zahlungsbenachrichtigungen;
Resend für transaktionale Authentifizierungs- und Abrechnungs-E-Mails;
OpenAI für optionale gehostete KI-Anfragen;
Langfuse Cloud für KI-Observability;
Sentry für bereinigte Fehler- und Diagnoseberichte, soweit dies im jeweiligen gehosteten Dienst oder App-Build aktiviert ist;
Vercel für die Marketing-Website und deren cookie-freie Web Analytics; sowie
Cloudflare für DNS und Domainverwaltung. Die aktuellen Nibomo-DNS-Einträge sind „DNS-only“, sodass Cloudflare den HTTP-Verkehr von Website und Apps nicht als Proxy verarbeitet.

Daten können außerdem entsprechend den Zusammenarbeitsfunktionen anderen Mitgliedern eines geteilten Workspace, einem von Ihnen autorisierten externen Client, zur Vertraulichkeit verpflichteten Beratern oder bei gesetzlicher Verpflichtung Behörden offengelegt werden.

Internationale Übermittlungen

Die primäre gehostete Anwendung läuft in EU-Infrastruktur von AWS. Auch die konfigurierte Resend-Region, die Sentry-Datenregion und der Langfuse-Endpunkt befinden sich in Europa. Einige Anbieter, darunter OpenAI und Vercel, können Daten außerhalb Ihres Landes oder des Europäischen Wirtschaftsraums verarbeiten. Soweit erforderlich, verwenden wir Angemessenheitsbeschlüsse, Auftragsverarbeitungsverträge und Standardvertragsklauseln oder gleichwertige Garantien.

Aufbewahrung und Löschung

Konto- und gehostete Workspace-Daten werden aufbewahrt, solange das Konto oder der betreffende geteilte Workspace aktiv ist. Bei der Kontolöschung werden aktuelle Kontodaten, Zugangsdaten, Mitgliedschaften und Workspaces mit nur einem Mitglied aus der Live-Datenbank gelöscht. Inhalte eines Workspace mit weiteren Mitgliedern bleiben für diese verfügbar.
Der Apple-Abrechnungsverlauf bleibt nach der Kontolöschung für Buchhaltung, Transaktionsabgleich und Rechtsansprüche erhalten. Wir ersetzen interne Nutzerkennungen durch pseudonyme Werte und löschen den Inhalt gespeicherter Apple-Benachrichtigungen, die dem gelöschten Konto zugeordnet werden können. Notwendige Kaufkennungen und Kennungen zur Kontozuordnung bei Apple bleiben erhalten; Apple kann sie weiterhin mit Ihnen verknüpfen. Dies ist daher keine vollständige Anonymisierung. Das Löschen Ihres Nibomo-Kontos kündigt Ihr Apple-Abonnement nicht; verwalten oder kündigen Sie es über Apple.
Der Google-Abrechnungsverlauf bleibt nach der Kontolöschung für Buchhaltung, Transaktionsabgleich und Rechtsansprüche erhalten. Wir ersetzen interne Nutzerkennungen durch pseudonyme Werte und löschen den Inhalt gespeicherter Google-Benachrichtigungen, die dem gelöschten Konto zugeordnet werden können. Notwendige Kaufkennungen und Kennungen zur Kontozuordnung bleiben erhalten; Google kann sie weiterhin mit Ihnen verknüpfen. Dies ist daher keine vollständige Anonymisierung. Das Löschen Ihres Nibomo-Kontos kündigt Ihr Google-Play-Abonnement nicht; verwalten oder kündigen Sie es über Google Play.
Stripe-Abrechnungshistorien bleiben nach der Kontolöschung für Buchhaltung, Abgleich und rechtliche Ansprüche erhalten. Wir speichern unverarbeitete und dekodierte Stripe-Benachrichtigungen für den Abgleich; bei der Löschung werden dem Konto zuordenbare gespeicherte Benachrichtigungsinhalte gelöscht und interne Nutzerkennungen durch pseudonyme Werte ersetzt. Notwendige Kunden-, Abonnement-, Transaktions-, Testphasen- und E-Mail-Deduplizierungsdatensätze bleiben erhalten. Stripe kann seine Kennungen weiterhin Ihnen zuordnen; dies ist daher keine vollständige Anonymisierung. Vor der Löschung bestätigen wir die Beendigung künftiger Nibomo-Stripe-Verlängerungen; schlägt dies fehl, wird das Konto nicht gelöscht.
Bei ausstehenden Abrechnungs-E-Mails können Empfänger und Nachrichteninhalt in unserer Datenbank verbleiben, bis Resend die Nachricht annimmt, der Versand gestoppt oder das Konto gelöscht wird. Annahme oder Versandstopp löschen diese privaten Inhalte; bei der Kontolöschung wird auch die gespeicherte Resend-Nachrichtenkennung gelöscht. Verbleibende Versanddatensätze verhindern doppelte Sendungen. Bereits bei Stripe oder Resend vorhandene Kopien werden dadurch nicht gelöscht; deren Aufbewahrungsregeln gelten ebenfalls.
Produktanalyse-Ereignisse bleiben nach der Kontolöschung erhalten. Bei Ereignissen, die mit Ihrem Konto und verknüpften Gastidentitäten verbunden sind, ersetzen wir Kontokennungen durch einen zufälligen Wert, entfernen Identitätsverknüpfungen und leeren die Felder für Installation, Sitzung, Workspace, Anfrage, Gerätemodell, Betriebssystem, Geräte- und Oberflächensprache, Zeitzone und Land. Zugehörige Installationsprofile samt Länderverlauf werden gelöscht. Dies beschreibt die Entfernung von Kennungen und garantiert nicht, dass aufbewahrte Ereignisse in jedem Kontext anonym sind.
Die Kontolöschung lässt außerdem das Cookie analytics_visitor in dem Browser ablaufen, aus dem die Löschung vorgenommen wird, und setzt die Analyse-Sitzungskennung dieses Browsers zurück. Dieser Browser läuft danach als neuer anonymer Besucher weiter, unter einer neuen Besucherkennung ohne Verbindung zur vorherigen, soweit Ihre Analyse-Entscheidung dies zulässt. Das betrifft nur diesen Browser; eine Kopie in einem anderen Browser oder auf einem anderen Gerät wird nicht erreicht, und ein Browser, der das Schreiben blockiert oder vorher geschlossen wird, behält die alte Besucherkennung, bis sie von selbst abläuft. Bereits erfasste Ereignisse ändert es ebenfalls nicht: Ereignisse, die im abgemeldeten Zustand aufgezeichnet und nie mit Ihrem Konto verknüpft wurden, behalten die Besucherkennung, mit der sie aufgezeichnet wurden, und erst die oben beschriebene Entfernung der Identitätsverknüpfungen verhindert, dass sich diese Kennung zu Ihnen zurückführen lässt.
Detaillierte Länderzeiträume werden von Zielgruppenabfragen ausgeschlossen, sobald ihre letzte Beobachtung mehr als 90 Tage zurückliegt. Eine tägliche Bereinigung löscht sie; die physische Löschung kann sich bis zu einem erfolgreichen Lauf verzögern. Ein unveränderter Zeitraum kann früher als vor 90 Tagen beginnen, ist aber kein tägliches Standortprotokoll. Das erste bekannte Land bleibt separat für die Lebensdauer des Installationsprofils gespeichert, bis dieses gelöscht wird.
Das Land eines Feedbacks bleibt bei dessen Datensatz und wird mit diesem im Rahmen der Kontolöschung gelöscht; die 90-Tage-Regel für den Länderverlauf gilt nicht für Feedback.
Medien bleiben gespeichert, solange aktive Workspace-Inhalte sie benötigen, und werden nach Wegfall aller Verweise durch den Speicherbereinigungsprozess gelöscht. Unvollständige temporäre Uploads verfallen nach 7 Tagen.
Für die Datenbank bestehen automatisierte RDS-Backups für 7 Tage sowie ein gesonderter täglicher AWS-Backup-Plan mit 35 Tagen Aufbewahrung. Aus dem Live-Dienst gelöschte Datensätze können bis zum Ablauf in verschlüsselten Wiederherstellungs-Backups verbleiben. Backups dienen der Notfallwiederherstellung, nicht dem normalen Zugriff.
API-Gateway-Zugriffsprotokolle verfallen nach 7 Tagen. Andere CloudWatch-Anwendungsprotokolle haben derzeit keine automatische Ablauffrist und bleiben bis zur manuellen Löschung erhalten. Wir beschränken ihre Nutzung auf Betrieb, Sicherheit und Fehlersuche und löschen relevante Einträge, wenn dies zur Erfüllung eines anwendbaren Datenschutzrechts erforderlich ist.
Der aktuelle Sentry-Developer-Tarif bietet einen 30-tägigen Ereignisrückblick. Resend bewahrt Daten zu gesendeten E-Mails nach seinen aktuellen Standardeinstellungen 30 Tage auf.
Die OpenAI-Aufbewahrung ist im KI-Abschnitt beschrieben. Langfuse Cloud löscht KI-Traces nach 30 Tagen: Die anbieterseitige Zugriffsgrenze für unser Projekt entfernt ältere Traces in einem nächtlichen Lauf, und diese Löschung lässt sich nicht rückgängig machen. Identifizierbare Traces löschen wir, soweit dies zur Erfüllung eines berechtigten Löschantrags erforderlich ist.
Supportkorrespondenz sowie für rechtliche oder Sicherheitszwecke erforderliche Unterlagen werden nur so lange aufbewahrt, wie es der jeweilige Zweck erfordert. Der Vercel-Besucher-Hash verfällt nach 24 Stunden; aggregierte Website-Statistiken werden gemäß den Vercel-Projekteinstellungen aufbewahrt.

Durch die Kontolöschung werden Kopien in bereits erstellten planmäßigen Backups oder Anbieterprotokollen nicht sofort entfernt. Sie verfallen oder werden nach den oben genannten Fristen gelöscht, sofern keine längere gesetzliche Aufbewahrungspflicht besteht.

Ihre Rechte

Je nach anwendbarem Recht können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder eine übertragbare Kopie Ihrer personenbezogenen Daten verlangen. Sie können einer auf berechtigten Interessen beruhenden Verarbeitung widersprechen und eine Einwilligung widerrufen. Diese Rechte können im gesetzlich zulässigen Umfang eingeschränkt sein, etwa wegen einer Aufbewahrungspflicht oder der Rechte anderer Personen.

Sie können Ihr gehostetes Konto in der Web-, iOS- oder Android-App löschen. Für andere Anliegen kontaktieren Sie uns unter der unten genannten Adresse. Vor der Bearbeitung müssen wir gegebenenfalls Ihre Identität prüfen.

Sie können sich bei der Datenschutzbehörde Ihres Wohn- oder Arbeitsorts oder des Orts des mutmaßlichen Verstoßes beschweren. In Bulgarien ist die Commission for Personal Data Protection zuständig.

Sicherheit und Open Source

Wir verwenden Zugriffskontrollen, Transportverschlüsselung, verschlüsselte AWS-Speicherung und Datenminimierung oder -bereinigung in Diagnosesystemen. Absolute Sicherheit kann kein Dienst gewährleisten.

Anhand des öffentlichen Quellcodes können dokumentierte Datenpfade und die in den Repositories hinterlegte Konfiguration geprüft werden. Der öffentliche Quellcode allein beweist jedoch nicht die aktuelle Konfiguration oder das Verhalten des gehosteten Dienstes.

Kontakt

Bei Datenschutzfragen oder zur Ausübung Ihrer Rechte kontaktieren Sie kirill+flashcards@kirill-markin.com oder nutzen Sie die Support-Seite.

Sprache

Diese Datenschutzerklärung wird in mehreren Sprachen veröffentlicht. Weicht eine Übersetzung von der englischen Fassung ab, ist die englische Fassung maßgeblich.