Datenschutz

1. Controller

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

No data protection officer has been appointed; the controller is the contact above.

2. Overview

BJJ App (app at bjj.app and the marketing website; provider GraplLAB, see Legal notice) is a Brazilian Jiu-Jitsu training and learning platform. We process personal data to provide accounts, operate training and community features, and deliver the service securely.

Feature-specific details (name/type of feature, purpose, personal data processed, processors with company and address) are set out in the Service description (section 6). Feature changes can be updated there without rewriting this privacy policy each time. The sections below cover the overarching principles (legal bases, retention, rights, security).

3. Categories of personal data (overview)

Depending on use, we process in particular:

• Account/authentication: email, password (hashed), user ID, session data; Preview access without full registration
• Profile: e.g. display name, photo, belt, weight, date of birth, bio, social links (if provided). No Gravatar.
• Training and app content: focus, levels, notes, game plans, My Game, journal/sessions, modules, daily check-in, own techniques/sequences
• Community: public/private videos, comments, likes, modules, and other users’ content you view
• Usage/technical: interactions, session data, app language, support messages, provider server logs (e.g. IP)
• Website: theme locally on the device; for reach only aggregated page-view counts (day/path) without personal identifiers
• Newsletter: delivered newsletter/digest emails may load an invisible open pixel (1×1 image) to collect send statistics (opens) — without advertising cookies or ad networks
• Subscriptions (Pro): purchase/subscription status via Apple App Store / Google Play (payment data with the store)

Which feature processes which data for which purpose with which processors is set out in the Service description, section 6.

In the app, Terms, privacy policy, legal notice, contact and service description are available under Settings → Legal or via bjj.app.

4. Purposes and legal bases (GDPR)

Purpose	Legal basis (Art. 6 GDPR)
Providing the app, account and Preview/Free/Pro per the Service description	Contract (Art. 6(1)(b)) or pre-contractual steps
Storing training and community content	Contract
Community, moderation, security (including DSA reports)	Contract; legitimate interests (f)
Product analytics (sessions, interactions, language, country; no ad networks)	Legitimate interests in a stable, usable app
Newsletter sending and indicative open statistics (tracking pixel in the email)	Contract / legitimate interests in measuring delivery (f); unsubscribe available at any time
Support and communication	Contract / legitimate interests
Legal obligations (e.g. retention of records)	Legal obligation (c)
Optional profile fields	Contract; consent (a) where purely voluntary
Website operation	Legitimate interests / contract
Aggregated website page-view counts (day/path, no personal identifiers)	Legitimate interests in reach overview (f)
Captions/translations (where used)	Contract (b) and/or legitimate interests (f)

4.1 Functions of our services

Depending on registration or the selected subscription plan, users have access to the features listed in the Service description. We provide those features so users can use the agreed scope of services. We disclose entered data to authorised third parties only as required for the respective feature (see LB section 6). Processing to perform the user/subscription contracts is typically based on Art. 6(1)(b) GDPR.

We do not use automated decision-making or profiling within the meaning of Art. 22 GDPR.

5. Recipients and processors

The feature-specific mapping of recipients and processors (including company and address) is in the Service description, section 6. Across the service we use in particular:

Provider	Role (short)	Region / note
Nhost AB	Auth, database, functions	EU (eu-central-1)
UD Media GmbH	SMTP for transactional email	Germany
Resend, Inc.	Newsletter/digest email delivery	USA (see service description)
BunnyWay d.o.o. (Bunny.net)	Video/CDN	Slovenia / global CDN
OpenAI OpCo, LLC / OpenAI Ireland Ltd.	Transcription & translation	USA / Ireland
Vercel Inc.	Website/API hosting	USA
Apple / Google	App stores / subscriptions	per platform
Google Ireland Ltd. / Vimeo.com, Inc.	Video embeds	IE / USA

Data processing agreements (Art. 28 GDPR) have been concluded with core processors (including Nhost, Bunny.net, Vercel) [TODO: retain proof/contract copies with the provider]. Further recipients may apply where necessary for operation; they will be reflected in the service description.

6. International transfers

Nhost is operated in the EU. Bunny, Vercel, OpenAI and some store/embed providers may process data outside the EU/EEA (e.g. USA). Where required, we rely on appropriate safeguards (e.g. EU standard contractual clauses and/or the Data Privacy Framework, where applicable). The mapping per feature is in the Service description.

7. Retention

• Account and profile: for the life of the account; after in-app deletion, promptly in live systems unless law requires retention; backups may persist briefly (e.g. 2–3 months).
• Guest access: guest accounts are deleted automatically after about three days from creation; related usage data is removed with them.
• Training, journal, and community content: until you or we delete it.
• Usage data (sessions, interactions): only as long as needed for operation, security, and product improvement.
• Website page-view counts (aggregated): as long as needed for reach overview and product steering.
• Provider server logs: per each provider’s retention policy.
• Tax and billing records: up to 10 years if payments apply in the future.

8. Your rights

You have the right to access, rectification, erasure, restriction, data portability, and to object to processing based on legitimate interests.

• Contact: info@grapllab.de (subject “Privacy”)
• Erasure: also via Settings → Delete account in the app (prompt deletion subject to technical implementation). Step-by-step guide (in-app and without the app), deleted vs retained data, and timelines: Delete account
• Consent: you may withdraw by deleting your account or by email where processing is based on consent
• Complaint to a supervisory authority, e.g. the Baden-Württemberg data protection authority (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

We generally respond within one month.

We do not currently offer an automated data export feature; access requests are handled on request.

9. Cookies and local storage

• App: sign-in and session data via the authentication service; no third-party advertising cookies. Display settings such as theme may be stored locally on the device.
• Website: technically necessary storage (e.g. theme locally on the device); connections to hosting and CDN.

No separate marketing cookie banner is required because we do not use such tracking.

10. Public content and minors

Public videos are visible to logged-in community users. Upload only content you are allowed to share.

The service is not directed at persons under 18 (see Terms). There is no systematic age verification.

11. Security

Data is transmitted encrypted (TLS/HTTPS). Passwords are stored hashed by the auth service. Database access is restricted by role (e.g. Preview, Free, Pro, Manager).

12. Changes

We may update this policy. The current version is at /datenschutz. Feature-specific details are updated primarily in the Service description. Material changes will be communicated appropriately (e.g. in the app or by email).

Stand: September 2026

Einleitung

Wir möchten Nutzern mit unserer Datenschutzerklärung eine einfach verständliche Erklärung über die Art und Weise der Verarbeitung von personenbezogenen Daten durch uns geben. Hierfür gliedern wir unsere Datenschutzerklärung klar strukturiert für Nutzer auf und zeigen Nutzern zu jedem Themenbereich, ob und wie wir die personenbezogenen Daten von Nutzern verarbeiten.

Wir erläutern Nutzern in dieser Datenschutzerklärung, ob und wie wir personenbezogene Daten verarbeiten. Hierbei stellen wir Nutzern sämtliche Verarbeitungsvorgänge dar, die durch uns, durch von uns beauftragte oder eingebundene Dienste Dritter oder die sonstige Dritte in unserem Auftrag im Rahmen der Nutzung unserer App, unserer Social Media Profile und der hierbei jeweils verfügbarer Funktionen sowie im Rahmen der Durchführung unserer Vertragsbeziehung (nachfolgend zusammen auch „Services” genannt) vorgenommen werden.

Inhaltsverzeichnis

Unsere Datenschutzerklärung ist wie folgt aufgebaut:

1. Allgemeines - Kurze Einführung zum Gegenstand der Datenschutzerklärung, zum Verantwortlichen

2. Allgemeine Informationen zur Datenverarbeitung - Informationen dazu, was personenenbezogene Daten sind, auf welcher rechtlichen Grundlage wir diese verarbeiten oder auch mit Dritten teilen

3. Betroffenenrechte - Informationen zu Nutzerrechten auf u.a. Auskunft, Löschung oder Widerspruch zu unserer Datenverarbeitung

4. Datenverarbeitung im Zusammenhang mit der Nutzung unserer Services - Informationen zu unserer Datenverarbeitung in unseren Services selbst

5. Kommunikationsservices - Informationen zu Diensten zur Kommunikation sowie zur entsprechenden Verarbeitung von personenbezogenen Daten

6. Zahlungsabwicklung - Informationen zur Abwicklung von Zahlungen unter Integration von Zahlungsdienstleistern und der hierdurch erfolgten Verarbeitung von personenbezogenen Daten

7. Hosting - Informationen zu Hostingdienstleistern und den von diesen in Anspruch genommenen Diensten

8. Transaktionale Mails - Informationen zur Integration von Mailing-Dienstleistern, mit denen wir transaktionale Mailings umsetzen

9. Newsletterversand - Informationen zur Integration von Newsletterdiensten, mittels derer wir Nutzern regelmäßige Informationen zu unseren Diensten zur Verfügung stellen

10. Profile auf Social Media - Informationen zu unseren Präsenzen auf den Netzwerken der Sozialen Medien und der entsprechend hierdurch erfolgten Verarbeitung von personenbezogenen Daten

11. PlugIns in unseren Services - Informationen zu in unseren Services vorhandenen PlugIns anderer Plattformen und der hierdurch erfolgten Verarbeitung von personenbezogenen Daten

1. Allgemeines

Der Schutz von personenbezogenen Daten und der Privatsphäre ist uns überaus wichtig. Deshalb möchten wir Nutzern umfassende Transparenz bezüglich der Verarbeitung von personenbezogenen Daten (DSGVO) sowie bezüglich der Speicherung von Informationen auf dem Endgerät des Nutzers (TDDDG) bieten. Denn nur, wenn die Verarbeitung von personenbezogenen Daten und Informationen für Nutzer als betroffene Personen nachvollziehbar sind, sind sie ausreichend über den Umfang, die Zwecke und den Nutzen der Verarbeitung informiert.

Diese Datenschutzerklärung gilt für alle von uns durchgeführten Verarbeitungen personenbezogener Daten sowie für die Speicherung von Informationen auf Endgeräten. Sie gilt also sowohl im Rahmen der Erbringung von Leistungen in unseren Services als auch innerhalb externer Onlinepräsenzen, wie z.B. unserer Social-Media-Profile.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie sonstiger datenschutzrechtlicher Vorgaben ist die

GraplLAB GmbH

Karl-Marx-Str. 12

68199 Mannheim

E-Mail: privacy@bjj.app

Telefon: +49 152 29524421

Im Folgenden „Verantwortlicher” oder „wir” genannt.

2. Allgemeine Informationen zur Datenverarbeitung

Zunächst einmal möchten wir Nutzern einleitende Informationen dazu geben, was der Schutz personenbezogener Daten bedeutet, was personenbezogene Daten sind, wie wir sie verarbeiten und welche Sicherheitsmaßnahmen wir hierbei anbringen.

BJJ App ist eine Trainings- und Lernplattform für Brazilian Jiu-Jitsu. Nutzer organisieren und dokumentieren ihr Training, nutzen Lernmodule und können auch selbst öffentliche Inhalte wie Technikvideos und Kommentare beitragen. Zielgruppe: BJJ-Trainierende ab 18 Jahren.

2.1 Verarbeitung personenbezogener Daten

Personenbezogene Daten (nachfolgend auch „Daten”) sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person.

Einzelangaben über persönliche oder sachliche Verhältnisse sind beispielsweise die Folgenden Daten, wobei klargestellt wird, dass nicht alle diese Daten auch durch unsere Services verarbeitet werden müssen:

• Personaldaten - Name

• Kommunikationsdaten - E-Mail Adresse

Das „Verarbeiten” personenbezogener Daten umfasst beispielsweise die folgenden Maßnahmen:

• Erhebung - Die Erhebung von Daten über Kontaktformulare, per E-Mail oder durch von uns genutzte Prozesse und Dienste.

• Übermittlung - Die Übermittlung von Daten an unsere Dienstleister, eingebundene Dienste oder sonstige Dritte.

• Speicherung - Die Speicherung von Daten in unseren Datenbanken oder auf unseren Servern.

• Veränderung - Die Änderung von Daten aufgrund von Änderungen des Namens, des Wohnortes oder von Angaben in unseren Services.

• Löschen - Das Löschen von Daten, wenn wir keine Berechtigung mehr haben, diese zu verarbeiten.

2.2 Rechtliche Grundlagen zur Verarbeitung von personenbezogenen Daten

Wir verarbeiten personenbezogene Daten nur innerhalb der rechtlich zulässigen Grenzen. Dazu verpflichtet uns schon das Gesetz. Insbesondere die DSGVO. Daraus sind wir verpflichtet, Datenverarbeitungsvorgänge immer auf eine rechtliche Grundlage stützen zu können. Diese rechtlichen Grundlagen sind in Art. 6 Abs. 1 DSGVO normiert. Im Folgenden nennen wir sämtliche rechtlichen Grundlagen, auf die wir eine Verarbeitung von personenbezogenen Daten stützen.

• Einwilligung - Art. 6 Abs. 1 lit. a DSGVO: Eine Verarbeitung von Daten erfolgt, wenn Nutzer in diese Verarbeitung, nach vorheriger ausreichender Information über deren Umfang und Zwecke durch uns, aktiv, also bspw. durch ein „Opt-In”, eingewilligt haben. Sollten Nutzer ihre Einwilligung widerrufen oder nicht erteilt haben, so verarbeiten wir Daten unserer Nutzer nicht (mehr) für Zwecke, bei denen wir eine Einwilligung benötigen.

• Zur Vertragserfüllung - Art. 6 Abs. 1 lit. b: Eine Verarbeitung von Daten erfolgt, wenn sie für die Erfüllung eines Vertrags zwischen uns oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Sofern die Verarbeitung zur Vertragserfüllung nicht mehr notwendig ist, verarbeiten wir die personenbezogenen Daten von Nutzern nicht mehr.

• Erfüllung einer rechtlichen Verpflichtung . Art. 6 Abs. 1 lit. c DSGVO: Eine Verarbeitung von Daten erfolgt, wenn diese Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der wir als Verantwortliche unterliegen.

• Berechtigtes Interesse - Art. 6 Abs. 1 lit. f DSGVO: Eine Verarbeitung von Daten erfolgt, wenn dies zur Wahrung eines auf unserer Seite liegenden berechtigten Interesses erforderlich ist und hierbei Interessen oder Grundrechte und Grundfreiheiten der Nutzer, den Schutz von Daten betreffend, nicht überwiegen.

Personenbezogene Daten werden von uns nur für eindeutige Zwecke verarbeitet (Art. 5 Abs. 1 lit. b DSGVO). Sobald der Zweck der Verarbeitung wegfällt, werden die personenbezogenen Daten von Nutzern gelöscht oder durch technische sowie organisatorische Maßnahmen geschützt (z.B. durch Pseudonymisierung).

Gleiches gilt für den Ablauf einer vorgeschriebenen Speicherfrist, vorbehaltlich der Fälle, in denen eine weitere Speicherung für einen Vertragsabschluss oder Vertragserfüllung notwendig ist. Darüber hinaus kann sich eine gesetzliche Pflicht zu einer längeren Speicherung oder einer Weitergabe an Dritte (insb. an Strafverfolgungsbehörden) ergeben. In sonstigen Fällen hängt die Speicherdauer und Art der erhobenen Daten sowie die Art der Datenverarbeitung davon ab, welche Funktionen Nutzer im Einzelfall nutzt. Gerne geben wir Nutzern darüber auch im Einzelfall Auskunft, gemäß Art. 15 DSGVO.

2.3 Diese Datenkategorien verarbeiten wir

Datenkategorien sind insbesondere die folgenden Daten:

• Stammdaten (z.B. Namen)

• Kontaktdaten (z.B. E-Mail-Adressen)

• Inhaltsdaten (z.B. Texteingaben, Fotografien, Videos, Inhalte von Dokumenten/Dateien)

• Nutzungsdaten (z.B. Verlauf in unseren Services, Nutzung bestimmter Inhalte, Zugriffszeiten)

• Verbindungsdaten (z.B. Geräte-Informationen, IP-Adressen, URL-Referrer)

2.4 Diese Sicherheitsmaßnahmen treffen wir

Nach Maßgabe der gesetzlichen Vorgaben und unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeiten und des Ausmaßes der Bedrohung von Rechten und Freiheiten treffen wir geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Zu den Maßnahmen gehören insbesondere die Sicherstellung, dass Daten unserer Nutzer vertraulich, integer und jederzeit verfügbar gespeichert und verarbeitet werden. Weiterhin gehören Kontrollen des Zugangs zu Daten sowie des Zugriffs, der Eingabe, der Weitergabe, der Sicherung der Verfügbarkeit und ihre Trennung von Daten anderer natürlicher Personen zu den Sicherheitsmaßnahmen, die wir implementieren. Des Weiteren haben wir Verfahren eingerichtet, die eine Wahrnehmung von Betroffenenrechten (siehe unter Ziff. 3), die Löschung von Daten und Reaktionen bei einer Gefahr für Daten unserer Nutzer gewährleisten. Ferner berücksichtigen wir den Schutz personenbezogener Daten bereits bei der Entwicklung unserer Software sowie durch Verfahren die dem Prinzip des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen entsprechen.

2.5 So übermitteln oder offenbaren wir personenbezogene Daten gegenüber Dritten

Im Rahmen unserer Verarbeitungsmaßnahmen von personenbezogenen Daten kommt es vor, dass diese Daten an andere Stellen, Unternehmen, rechtlich selbstständige Organisationseinheiten oder Personen übermittelt oder offengelegt werden. Diese Dritten können z.B. mit IT-Aufgaben beauftragte Dienstleister oder Anbieter von Diensten und Inhalten, die wir in unsere Services eingebunden haben, gehören. Sollten wir die personenbezogenen Daten von Nutzern an Dritte übermitteln oder offenbaren, beachten wir die gesetzlichen Vorgaben und schließen insbesondere entsprechende Verträge bzw. Vereinbarungen, die dem Schutz von Daten dienen, mit den Empfängern von Daten ab.

2.6 So erfolgt eine Drittlandübermittlung

Sollte in dieser Datenschutzerklärung dargestellt sein, dass wir die personenbezogenen Daten von Nutzern in ein Drittland, also ein Land außerhalb der EU bzw. außerhalb des EWR, übermitteln, gilt Folgendes. Eine Drittlandübermittlung erfolgt nur in Übereinstimmung mit den gesetzlichen Vorgaben. Wir sichern Nutzern zu, dass wir eine vertragliche oder gesetzliche Ermächtigung zur Übermittlung und Verarbeitung von Daten in dem betreffenden Drittland haben. Darüber hinaus lassen wir Daten unserer Nutzer nur von Dienstleistern in Drittländern verarbeiten, die aus unserer Sicht ein anerkanntes Datenschutzniveau aufweisen. Das bedeutet, dass zwischen der EU und dem Land, in dem wir die personenbezogenen Daten von Nutzern übermitteln, z.B. ein entsprechender Angemessenheitsbeschluss besteht. Ein „Angemessenheitsbeschluss” ist ein Beschluss, der von der Europäischen Kommission gemäß Art. 45 DSGVO angenommen wird und durch den festgelegt wird, dass ein Drittland (d. h. ein Land, das nicht an die DSGVO gebunden ist) oder eine internationale Organisation ein angemessenes Schutzniveau für personenbezogene Daten bietet. Alternativ, also bspw. wenn es keinen Angemessenheitsbeschluss gibt, erfolgt eine Drittlandübermittlung nur, wenn etwa vertragliche Verpflichtungen zwischen uns und dem Dienstleister im Drittland durch sogenannte Standardvertragsklauseln der EU-Kommission vorliegen und weitergehende technische Sicherheitsvorkehrungen getroffen wurden, die ein angemessen gleiches Schutzniveau zu dem in der EU gewährleisten bzw. der Dienstleister im Drittland Datenschutz-Zertifizierungen vorweisen kann und Daten unserer Nutzer nur gemäß interner Datenschutzvorschriften verarbeitet werden (Art. 44 bis 49 DSGVO. Informationsseite der EU-Kommission: https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection_de).

Im Rahmen des sogenannten „Data Privacy Framework” („DPF”) hat die EU-Kommission das Datenschutzniveau für bestimmte Unternehmen aus den USA im Rahmen der Angemessenheitsbeschlusses vom 10.07.2023 als sicher anerkannt. Eine Liste der zertifizierten Unternehmen als auch weitere Informationen zu dem DPF können Nutzer der Webseite des Handelsministeriums der USA unter https://www.dataprivacyframework.gov/ (in Englisch) entnehmen. Wir informieren Nutzer im Rahmen dieser Datenschutzerklärung, welche von uns eingesetzten Services unter dem Data Privacy Framework zertifiziert sind.

Bitte beachten: Die Zertifizierung nach dem EU-US Data Privacy Framework (DPF) erfolgt unternehmensbezogen und kann sich jederzeit ändern. Wir überprüfen regelmäßig, ob die von uns eingesetzten US-Dienstleister zum Zeitpunkt der jeweiligen Datenverarbeitung unter dem DPF zertifiziert sind. Die jeweils aktuelle Liste der zertifizierten Unternehmen ist abrufbar unter: https://www.dataprivacyframework.gov/list.

Sofern ein von uns eingesetzter Dienstleister nicht (mehr) unter dem DPF zertifiziert ist, erfolgt eine Übermittlung personenbezogener Daten ausschließlich auf Grundlage der Standardvertragsklauseln der EU-Kommission sowie ergänzender technischer und organisatorischer Maßnahmen.

2.7 Löschung von Daten

Die von uns verarbeiteten Daten werden nach Maßgabe der gesetzlichen Vorgaben gelöscht, sobald deren zur Verarbeitung erlaubten Einwilligungen widerrufen werden oder sonstige Erlaubnisse entfallen (z.B. wenn der Zweck der Verarbeitung dieser Daten entfallen ist oder sie für den Zweck nicht erforderlich sind). Sofern die Daten nicht gelöscht werden, weil sie für andere und gesetzlich zulässige Zwecke erforderlich sind, wird deren Verarbeitung auf diese Zwecke beschränkt. D.h., die Daten werden gesperrt und nicht für andere Zwecke verarbeitet. Das gilt z.B. für Daten, die aus handels- oder steuerrechtlichen Gründen aufbewahrt werden müssen oder deren Speicherung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person erforderlich ist. Im Rahmen dieser Datenschutzerklärung informieren wir ggf. zu der Löschung sowie zu der Aufbewahrung von Daten, die speziell für die jeweiligen Verarbeitungsprozesses gelten. Die konkrete Speicherdauer von Inhalten der Nutzer richtet sich nach dem jeweils eingesetzten Dienst. Sofern keine spezifische Angabe erfolgt, gilt Folgendes:

• Nutzer können ihr Nutzerkonto jederzeit löschen.

• Nach Beantragung der Löschung wird das Nutzerkonto zunächst deaktiviert (Soft Delete).

• Die endgültige Löschung erfolgt regelmäßig innerhalb von 30 Tagen.

• Gesetzliche Aufbewahrungspflichten bleiben unberührt.

• Sicherungskopien werden spätestens innerhalb von 2 bis 3 Monaten überschrieben.

Schritt-für-Schritt-Anleitung (App und ohne App), gelöschte bzw. aufbewahrte Daten sowie Fristen: Konto löschen.

2.8 Speicherung von und Zugriff auf Daten auf dem Endgerät des Nutzers

Sofern wir von Nutzern keine Einwilligung dazu einholen, erfolgt die Speicherung von oder der Zugriff auf Informationen auf dem Endgerät des Nutzers gemäß § 25 Abs. 2 Nr. 2 des Gesetzes über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Digitalen Diensten (TDDDG), da die Speicherung von und der Zugriff auf diese Informationen unbedingt erforderlich ist, um die gewünschten Funktionen unserer Services zur Verfügung zu stellen. Sofern wir eine Einwilligung dazu einholen, ist die Rechtsgrundlage § 25 Abs. 1 TDDDG. Unsere Services verwenden Cookies, Tokens oder andere Technologien, die ggf. auf Endgeräten gespeichert werden und ohne die die Bereitstellung unserer Services nicht möglich wäre.

Cookies, Tokens oder andere Technologien sind in der Regel Textdateien, die auf dem Endgerät des Nutzers gespeichert und von uns und Dritten bei einem Aufruf unserer Services ausgelesen werden können. Viele der vorgenannten Technologien enthalten eine eigene ID. Eine solche ID ist eine eindeutige Kennung der jeweils verwendeten Technologie. Sie besteht aus einer Zeichenfolge, durch welche Webseiten und Server dem konkreten Internetbrowser oder dem konkret genutzten Dienst oder Endgerät zugeordnet werden können, in dem Cookies, Tokens oder andere Technologien gespeichert wurden. Dies ermöglicht es den Betreibern von Webseiten und Analysediensten, Nutzer als solche zu identifizieren und von anderen zu unterscheiden.

2.9 Zugriffe und Geräteeinstellungen

Zur vollständigen Nutzung unserer Services sollten Nutzer einige Einstellungen in einem Gerät vornehmen, bspw. Zugriffsrechte für unsere Services erteilen. Bei der erstmaligen Nutzung unserer Services bzw. einer konkreten Funktion werden Nutzer um entsprechende Berechtigungen gefragt, die Nutzer uns und unseren Services einräumen können. Die genannten Daten werden von uns zu folgenden Zwecken verarbeitet:

Die in Ziff. 2.9.1 aufgeführten Datenverarbeitungsvorgänge sind notwendig, damit wir Nutzern die volle Funktionsfähigkeit unserer Services überhaupt erst zur Verfügung stellen und mithin unseren Vertrag mit Nutzern erfüllen können. Die Rechtsgrundlage für die Datenverarbeitung zu den vorgenannten Zwecken ist also Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Die in Ziff. 2.9.2 genannten Datenverarbeitungsvorgänge sind notwendig, um Berechtigungen, Funktionsweisen und Sicherheitseinstellungen für die Nutzung unserer Services korrekt prüfen und vornehmen zu können. Die Rechtsgrundlage für die Datenverarbeitung zu den vorgenannten Zwecken ist also Art. 6 Abs. 1 S. 1 lit. f DSGVO, unser berechtigtes Interesse. Wir haben ein berechtigtes Interesse daran, zu prüfen, ob unsere Services korrekt dargestellt und von Nutzern berechtigterweise genutzt werden.

2.9.1 Volle Funktionsfähigkeit unserer Services

Kamera

Um Bilder aufzunehmen, wird der Zugriff auf die systemseitige Kamera benötigt.

Foto-/ Videogalerie

Um eine Nachricht inkl. Foto oder Video direkt aus der Galerie des Endgeräts in unsere Services hochzuladen, wird der Zugriff auf die Foto-/Videogalerie benötigt.

2.9.2 Sicherheitstechnische Anforderungen

Netzwerkzugriff & Netzwerkverbindungen

Der Netzwerk-Zugriff ist erforderlich, da unsere Services nur im Online-Modus nutzbar sind.

Gerätestatus

Für einige Sicherheitsüberprüfungen unsererseits benötigen wir Zugriff auf den Status des Endgeräts.

2.10 Auftragsverarbeitung

Sollten wir uns zur Verarbeitung von Daten externer Dienstleister bedienen, werden diese von uns sorgfältig ausgewählt und beauftragt. Sollte es sich bei den Diensten, die diese Dienstleister erbringen, um Auftragsverarbeitungen im Sinne von Art. 28 DSGVO handeln, so sind die Dienstleister an unsere Weisungen gebunden und werden regelmäßig kontrolliert. Dabei entsprechen unsere Auftragsverarbeitungsverträge den strengen Voraussetzungen des Art. 28 DSGVO sowie den Vorgaben der deutschen Datenschutzbehörden.

3. Betroffenenrechte

Werden personenbezogene Daten unserer Nutzer verarbeitet, sind sie Betroffener i.S.d. DSGVO und es stehen Nutzern als Nutzer folgende Rechte gegenüber dem Verantwortlichen zu:

3.1 Auskunftsrecht

Nutzer können von dem Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten, die Nutzer betreffen, von uns verarbeitet werden.

Liegt eine solche Verarbeitung vor, können Nutzer von dem Verantwortlichen über folgende Informationen Auskunft verlangen:

• Die Zwecke, zu denen die personenbezogenen Daten verarbeitet werden;

• Die Kategorien von personenbezogenen Daten, welche verarbeitet werden;

• Die Empfänger bzw. die Kategorien von Empfängern, gegenüber denen die Nutzer betreffenden personenbezogenen Daten offengelegt wurden oder noch offengelegt werden;

• Die geplante Dauer der Speicherung der Nutzer betreffenden personenbezogenen Daten oder, falls konkrete Angaben hierzu nicht möglich sind, Kriterien für die Festlegung der Speicherdauer;

• Das Bestehen eines Rechts auf Berichtigung oder Löschung der Nutzer betreffenden personenbezogenen Daten, eines Rechts auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

• Das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

• Alle verfügbaren Informationen über die Herkunft der Daten, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden;

• Das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

• Nutzern steht das Recht zu, Auskunft darüber zu verlangen, ob die Nutzer betreffenden personenbezogenen Daten in ein Drittland oder an eine internationale Organisation übermittelt werden. In diesem Zusammenhang können Nutzer verlangen, über die geeigneten Garantien gemäß Art. 46 DSGVO im Zusammenhang mit der Übermittlung unterrichtet zu werden.

3.2 Recht auf Berichtigung

Nutzer haben ein Recht auf Berichtigung und/oder Vervollständigung gegenüber dem Verantwortlichen, sofern die verarbeiteten personenbezogenen Daten, die Nutzer betreffen, unrichtig oder unvollständig sind. Der Verantwortliche hat die Berichtigung unverzüglich vorzunehmen.

3.3 Recht auf Einschränkung der Verarbeitung

Unter den folgenden Voraussetzungen können Nutzer die Einschränkung der Verarbeitung der Nutzer betreffenden personenbezogenen Daten verlangen:

• wenn Nutzer die Richtigkeit der Nutzer betreffenden personenbezogenen Daten für eine Dauer bestreiten, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;

• die Verarbeitung unrechtmäßig ist und Nutzer die Löschung der personenbezogenen Daten ablehnen und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangen;

• der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, Nutzer diese jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, oder

• wenn Nutzer Widerspruch gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO eingelegt haben und noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber Gründen der Nutzer überwiegen.

• Wurde die Verarbeitung der Nutzer betreffenden personenbezogenen Daten eingeschränkt, dürfen diese Daten — von ihrer Speicherung abgesehen
  — nur mit einer Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

Wurde die Einschränkung der Verarbeitung nach den o.g. Voraussetzungen eingeschränkt, werden Nutzer von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.

3.4 Recht auf Löschung

3.4.1. Nutzer können von dem Verantwortlichen verlangen, dass die Nutzer betreffenden personenbezogenen Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet diese Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

• Die Nutzer betreffenden personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

• Nutzer widerrufen eine Einwilligung, auf die sich die Verarbeitung gemäß Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

• Nutzer legen gemäß Art. 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder Nutzer legen gemäß Art. 21 Abs. 2 DSGVO Widerspruch gegen die Verarbeitung ein.

• Die Nutzer betreffenden personenbezogenen Daten wurden unrechtmäßig verarbeitet.

• Die Löschung der Nutzer betreffenden personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

• Die Nutzer betreffenden personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 DSGVO erhoben.

3.4.2. Hat der Verantwortliche die Nutzer betreffenden personenbezogenen Daten öffentlich gemacht und ist er gemäß Art. 17 Abs. 1 DSGVO zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass Nutzer als betroffene Personen von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt haben.

3.4.3. Das Recht auf Löschung besteht nicht, soweit die Verarbeitung erforderlich ist:

• zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

• zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

• aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Art. 9 Abs. 2 lit. h und i sowie Art. 9 Ab. 3 DSGVO;

• für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 DSGVO, soweit das in Abs. 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

• zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

3.5 Recht auf Unterrichtung

Haben Nutzer das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung gegenüber dem Verantwortlichen geltend gemacht, ist dieser verpflichtet, allen Empfängern, denen die Nutzer betreffenden personenbezogenen Daten offengelegt wurden, diese Berichtigung oder Löschung der Daten oder Einschränkung der Verarbeitung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.

Nutzern steht gegenüber dem Verantwortlichen das Recht zu, über diese Empfänger unterrichtet zu werden.

3.6 Recht auf Datenübertragbarkeit

Nutzer haben das Recht, die Nutzer betreffenden personenbezogenen Daten, die Nutzer dem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Außerdem haben Nutzer das Recht diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln, sofern die Verarbeitung auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO oder Art. 9 Abs. 2 lit. a DSGVO oder auf einem Vertrag gemäß Art. 6 Abs. 1 lit. b DSGVO beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt.

In Ausübung dieses Rechts haben Nutzer ferner das Recht zu erwirken, dass die Nutzer betreffenden personenbezogenen Daten direkt von einem Verantwortlichen einem anderen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist. Freiheiten und Rechte anderer Personen dürfen hierdurch nicht beeinträchtigt werden.

Das Recht auf Datenübertragbarkeit gilt nicht für eine Verarbeitung personenbezogener Daten, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

3.7 Widerspruchsrecht

Nutzer haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Nutzer betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.

Der Verantwortliche verarbeitet die Nutzer betreffenden personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten unserer Nutzer überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden die Nutzer betreffenden personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Nutzer das Recht, jederzeit Widerspruch gegen die Verarbeitung der Nutzer betreffenden personenbezogenen Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

Widersprechen Nutzer der Verarbeitung für Zwecke der Direktwerbung, so werden die Nutzer betreffenden personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.

Nutzer haben die Möglichkeit, im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft — ungeachtet der Richtlinie 2002/58/EG — Das Widerspruchsrecht mittels automatisierter Verfahren auszuüben, bei denen technische Spezifikationen verwendet werden.

3.8 Recht auf Widerruf der datenschutzrechtlichen Einwilligungserklärung

Nutzer haben das Recht, eine datenschutzrechtliche Einwilligungserklärung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit, der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die Verarbeitung ist bis zu einem Widerruf rechtmäßig — der Widerruf wirkt somit erst auf die Verarbeitung nach Zugang des Widerrufs. Nutzer können den Widerruf formlos per Post oder E-Mail erklären. Die Verarbeitung von personenbezogenen Daten erfolgt dann nicht mehr, vorbehaltlich der Gestattung durch eine anderweitige gesetzliche Grundlage. Ist dies nicht der Fall, müssen Daten unserer Nutzer nach dem Widerruf gemäß Art. 17 Abs. 2 DSGVO unverzüglich gelöscht werden. Das Recht, eine Einwilligung vorbehaltlich der oben genannten Voraussetzungen zu widerrufen wird gewährleistet.

Der Widerruf ist zu richten an:

GraplLAB GmbH

Karl-Marx-Str. 12

68199 Mannheim

E-Mail: privacy@bjj.app

Telefon: +49 152 29524421

3.9 Recht auf Beschwerde bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Nutzern das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Nutzer der Ansicht sind, dass die Verarbeitung der Nutzer betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 DSGVO.

3.10 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling

Wir setzen innerhalb der Services Systeme künstlicher Intelligenz (KI) ein, um die von Nutzern innerhalb der Services bereitgestellten sowie bei der Nutzung der Services entstehenden Daten auszuwerten und auf dieser Grundlage auf die persönlichen Angaben und Bedürfnisse der Nutzer zugeschnittene Inhalte und Empfehlungen bereitzustellen. Hierzu können insbesondere Profilangaben, von Nutzern eingegebene Informationen sowie Angaben über die Nutzung der Services verarbeitet und miteinander in Beziehung gesetzt werden. Die automatisierte Auswertung kann ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO darstellen. Das Profiling dient ausschließlich dazu, die innerhalb der Services bereitgestellten Inhalte und Empfehlungen an die persönlichen Angaben und Bedürfnisse der Nutzer anzupassen. Auf Grundlage des Profilings werden keine ausschließlich automatisierten Entscheidungen getroffen, die gegenüber Nutzern rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO findet daher nicht statt. Weitere Angaben zur Nutzung künstlicher Intelligenz sind unter Ziffer 4.8 unten zu finden.

3.11 Mitteilungspflichten des Verantwortlichen

Sollten anderen Empfängern (Dritte) die personenbezogenen Daten von Nutzern mit Rechtsgrund offengelegt worden sein, teilen wir jenen jede Berichtigung, Löschung oder Einschränkung der Verarbeitung von personenbezogenen Daten mit (Art. 16, Art 17 Abs. 1 und Art. 18 DSGVO). Die Mitteilungspflicht entfällt, wenn sie mit einem unverhältnismäßigen Aufwand verbunden ist oder unmöglich ist. Wir unterrichten Nutzer ferner auf Verlangen über die Empfänger.

4. Datenverarbeitung im Zusammenhang mit der Nutzung unserer Services

Die Nutzung unserer Services mit all ihren Funktionen geht mit der Verarbeitung von personenbezogenen Daten einher. Wie genau das geschieht, erläutern wir Nutzern hier.

4.1 App über App-Stores

Unsere Services sind über von Dritten betriebene Vertriebsplattformen erhältlich, sogenannte App-Stores (Google Play Store und Apple Store). Der Download setzt gegebenenfalls eine vorherige Registrierung beim jeweiligen App-Store und die Installation der App-Store-Software voraus. Wir haben keinen Einfluss auf die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten im Zusammenhang mit einer Registrierung und der Bereitstellung von Downloads in dem jeweiligen App-Store und der App-Store-Software. Verantwortliche Stelle ist insoweit allein der Betreiber des jeweiligen App-Stores. Nutzer können sich bei Bedarf direkt bei dem jeweiligen App-Store-Anbieter informieren.

4.2 Informatorische Nutzung unserer Services

Das rein informatorische Aufrufen unserer Services oder die Nutzung als Gast erfordert eine Verarbeitung von folgenden personenbezogenen Daten und Informationen: Gerätetyp und Geräteversion, verwendetes Betriebssystem, IP-Adresse des Endgeräts, mit dem Nutzer auf unsere Services zugreifen sowie die Uhrzeit des Aufrufs unserer Services. All diese Informationen werden automatisch von einem Gerät übermittelt, sollten Nutzer dieses nicht derart konfiguriert haben, dass eine Übermittlung der Informationen unterdrückt wird.

Diese personenbezogenen Daten werden zum Zwecke der Funktionsfähigkeit und Optimierung unserer Services, sowie zur Gewährleistung der Sicherheit unserer informationstechnischen Systeme verarbeitet. Diese Zwecke sind zugleich berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO, die Verarbeitung erfolgt somit mit Rechtsgrund.

4.3 Nutzung durch bzw. nach Registrierung

4.3.1 Registrierung

Über die rein informatorische Nutzung unserer Services hinaus haben Nutzer die Möglichkeit, sich für unsere Services zu registrieren und unser gesamtes Angebot zu nutzen. Hierbei verarbeiten wir insbesondere Stammdaten und Kontaktdaten wie bspw. E-Mail, Passwort, Display Name & Sprache. Darüber hinaus verarbeiten wir hierbei automatisch Verbindungsdaten wie bspw. Datum, Geräte-Informationen und IP-Adresse. Gespeichert werden außerdem die IP-Adresse und der Zeitpunkt einer Registrierung.

Einige Verarbeitungsschritte können auch bei Drittanbietern erfolgen. Die Datenverarbeitung der Drittanbieter erfolgt zu den Konditionen der jeweils einschlägigen Datenschutzerklärungen. Im Falle einer Datenverarbeitung mit Drittanbietern kann es sich um eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO handeln. Diese unterliegt strengen gesetzlichen Vorgaben, welche wir im Zuge unserer Vertragsvereinbarungen mit unseren Auftragsverarbeitern einhalten.

Die Nutzung bei bzw. nach erfolgter Registrierung und Login und die damit verbundenen Datenverarbeitungsvorgänge können von der rein informatorischen Nutzung abweichen. Das Erheben dieser, mit einem Profil in Verbindung stehenden Daten, erfolgt zum Zwecke der Verifzierung des Status und der damit zusammenhängenden Erfüllung unserer vertraglichen Verpflichtungen Nutzern gegenüber. Dies sind legitime Zwecke nach Art. 6 Abs. 1 lit. b DSGVO. Sollte für den Verarbeitungsvorgang eine Einwilligung notwendig sein, werden wir diese an entsprechender Stelle einholen (bspw. über die Opt-In Möglichkeit im Rahmen eines Consent Banners bei erstmaliger Nutzung unseres Services). Bei weiteren Fragen stehen wir Nutzern gerne im Rahmen des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO zur Verfügung.

4.3.2 Einrichtung und Verwendung eines Nutzerkontos

Nutzer können ein Nutzerkonto in unseren Services anlegen, um unsere Services und deren Funktionen in Anspruch zu nehmen. Wenn Nutzer dies tun, werden die von ihnen dort angegebenen personenbezogenen Daten durch das Endgerät an uns übermittelt und in unseren informationstechnischen Systemen gespeichert. Hierbei verarbeiten wir insbesondere Stammdaten und Kontaktdaten wie bspw. Name, Bild, Gürtel, Gewicht, Geburtsdatum, Bio und Social-Links. Wenn Nutzer sich in ihr Nutzerkonto einloggen, legt unser Service auf dem Endgerät Tokens ab, um zu ermöglichen, dass sie eingeloggt bleiben — auch wenn sie unsere Services zwischenzeitlich neu laden müssen. Durch das Anlegen des Nutzerkontos können Nutzer die Funktionen unserer Services nutzen.

Die mit dem Anlegen eines Nutzerkontos zusammenhängenden Verarbeitungsvorgänge dienen dem Zweck, künftige Nutzungsvorgänge zuordnen zu können und das gesamte Angebot unserer Services abrufen zu können. Sie dient damit der Vertragsdurchführung, ist somit zweckgebunden und erforderlich gemäß Art. 6 Abs. 1 lit. b DSGVO.

Die Speicherung von IP-Adresse und Zeitpunkt der Registrierung ist erforderlich zur Gewährleistung der Sicherheit unserer informationstechnischen Systeme. Hierin liegt zugleich unser berechtigtes Interesse, weshalb die Verarbeitung auch nach Art. 6 Abs. 1 lit. f DSGVO rechtmäßig ist

Die Speicherung der von Nutzern eingegebenen personenbezogenen Daten erfolgt bis zum Zeitpunkt der Löschung dieser Daten innerhalb des Nutzerkontos bzw. spätestens bis zur vollständigen Löschung des Nutzerkontos bei uns. Dem widersprechend verarbeiten wir gewisse personenbezogene Daten von Nutzern nur, sofern wir hierzu eine gesetzliche oder vertragliche Ermächtigung haben. Das ist bspw. der Fall, wenn wir Vertrags- oder Zahlungsdaten auch nach Löschung des Nutzerkontos aus Abrechnungs- oder sonstigen Gründen, die zur ordnungsgemäßen Abwicklung unseres Vertragsverhältnisses notwendig sind, aufbewahren dürfen.

4.4 Funktionen unserer Services

Abhängig von einer Registrierung oder auch der Bestellung konkreter Abonnementmodelle, stehen Nutzern u.a. die unter https://bjj.app/leistungsbeschreibung aufgeführten Funktionen bereit. Sämtliche der dort aufgeführten Funktionen stellen wir Nutzern bereit, damit sie den vollen Umfang unserer Services, je nach gebuchtem Modell, ausschöpfen können und wir für sie das beste Ergebnis in der Zusammenarbeit erreichen können. Wir leiten die von Nutzern eingegebenen Daten nur an berechtigte Dritte weiter. Wir verarbeiten diese zur Erfüllung der mit Nutzern eingegangenen Vetragsverhältnisse, insbesondere zur Erfüllung des entsprechenden Vertrages, den Nutzer über die Inanspruchnahme unserer Services geschlossen haben. Daher resultiert die Rechtsgrundlage zur Verarbeitung von Daten aus Art. 6 Abs. 1 lit. b DSGVO.

4.5 Community-Funktion

Wir geben Nutzern mit unseren Services die Möglichkeit, eigene Inhalte zu veröffentlichen sowie die Veröffentlichung anderer Nutzer einzusehen, zu kommentieren und hierüber öffentlich mit anderen in Kontakt zu treten. Nutzer sollten beachten, dass Inhalte, die sie als öffentlich sichtbar veröffentlichen, insbesondere Profilinformationen, Technikvideos, Kommentare, Likes und sonstige Community-Inhalte, durch andere Nutzer eingesehen werden können. Nutzer sind selbst dafür verantwortlich, nur solche personenbezogenen Informationen öffentlich zugänglich zu machen, deren Veröffentlichung sie wünschen. Öffentlich bereitgestellte Inhalte können durch andere Nutzer wahrgenommen, kommentiert oder gespeichert werden. Die Sichtbarkeit der jeweiligen Inhalte richtet sich nach den gewählten Einstellungen der jeweiligen Funktion

Im Rahmen der Community-Funktionen verarbeiten wir insbesondere Profilinformationen (z.B. Display Name, Profilbild, Gürtelgrad), von Nutzern hochgeladene Videos, Kommentare, Likes und sonstige freiwillig veröffentlichte Inhalte.

Die von Nutzern angegebenen personenbezogenen Daten werden durch das Endgerät an uns übermittelt und in unseren informationstechnischen Systemen gespeichert. Gespeichert werden außerdem die IP-Adresse und Zeitpunkt der Registrierung.

Die mit der Community-Funktion zusammenhängenden Verarbeitungsvorgänge dienen dem Zweck, sich mit Anderen über unsere Services und deren Einsatzmöglichkeiten austauschen zu können und ermöglicht es Nutzern, das gesamte Angebot unserer Services abrufen zu können. Die Nutzung der Community-Funktion ist ein wesentlicher Bestandteil unserer Leistungen, daher dient die Verarbeitung von Daten der Vertragsdurchführung, ist somit zweckgebunden und erforderlich gemäß Art. 6 Abs. 1 lit. b DSGVO.

Die Speicherung von IP-Adresse und Zeitpunkt der Nutzung unserer Community-Funktion ist erforderlich zur Gewährleistung der Sicherheit unserer informationstechnischen Systeme. Hierin liegt zugleich unser berechtigtes Interesse, weshalb die Verarbeitung auch nach Art. 6 Abs. 1 lit. f DSGVO rechtmäßig ist.

Die Speicherung der von Nutzern eingegebenen personenbezogenen Daten erfolgt bis zum Zeitpunkt der Löschung des Profils bei uns, darüber hinaus nur solange wie die Verarbeitung zu etwaiger Vertragserfüllung erforderlich ist und soweit es technisch möglich ist. Eine Datenweitergabe an sonstige Dritte ist nicht beabsichtigt.

4.6 Audio-, Video-, Transkriptions- und Übersetzungsfunktionen

Im Rahmen unserer Services können Nutzer Audio- und Videoinhalte erstellen, hochladen, speichern, veröffentlichen oder mit anderen Nutzern teilen. Hierbei verarbeiten wir insbesondere Inhaltsdaten wie Videoaufnahmen, Audiospuren, Metadaten der Dateien, Benutzerkennungen, Upload-Zeitpunkte sowie sonstige von Nutzern bereitgestellte Inhalte.

Soweit bestimmte Funktionen unserer Services dies vorsehen, können wir die in Audio- oder Videoinhalten enthaltenen Sprachaufzeichnungen automatisiert verarbeiten, um technische Abschriften (Transkripte), Untertitel, Übersetzungen sowie vergleichbare funktionale Darstellungen der Inhalte zu erstellen. Die Verarbeitung erfolgt ausschließlich zu dem Zweck, die von Nutzern gewünschten Funktionen bereitzustellen, die Auffindbarkeit von Inhalten zu verbessern, Inhalte in mehreren Sprachen verfügbar zu machen oder die technische Nutzung der Services zu ermöglichen.

Im Rahmen dieser Verarbeitung können insbesondere folgende Daten verarbeitet werden:

• Audioaufzeichnungen

• Videoinhalte

• Sprachdaten

• Texte der Nutzer

• automatisch erzeugte Transkripte

• automatisiert erzeugte Übersetzungen

• Metadaten der jeweiligen Inhalte

• Nutzerkennung des hochladenden Nutzers

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Erfüllung des Nutzungsvertrags und zur Bereitstellung der gewählten Funktionen erforderlich ist. Soweit einzelne Funktionen eine gesonderte Einwilligung voraussetzen sollten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Die verarbeiteten Inhalte werden grundsätzlich bis zur Löschung des jeweiligen Inhalts oder Löschung des Nutzerkontos gespeichert. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

4.7 Nutzungsanalyse

Wir verarbeiten bestimmte Nutzungsinformationen, um die Stabilität, Sicherheit, Benutzerfreundlichkeit sowie die technische Weiterentwicklung unserer Services sicherzustellen.

Hierbei können insbesondere folgende Daten verarbeitet werden:

• Verwendete App-Version

• Verwendetes Betriebssystem

• Geräteinformationen

• Land bzw. Region

• Nutzungszeitpunkte

• Sitzungsinformationen

• Informationen über die Nutzung einzelner Funktionen

• Technische Ereignisse und Interaktionen innerhalb der App (z.B. Klickereignisse oder Sitzungsinformationen)

Wir verwenden diese Informationen insbesondere:

• zur Fehleranalyse,

• zur technischen Optimierung,

• zur Weiterentwicklung bestehender Funktionen,

• zur Bewertung der Nutzung einzelner Features,

• zur Gewährleistung von IT-Sicherheit,

• zur Verhinderung von Missbrauch.

Wir nutzen diese Informationen nicht zur Erstellung von Nutzerprofilen für Werbezwecke und geben diese Informationen nicht an externe Werbenetzwerke oder Marketingplattformen weiter. Rechtsgrundlage für diese Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und bedarfsgerechten Bereitstellung sowie Weiterentwicklung unserer Services. Soweit möglich, verarbeiten wir diese Informationen in aggregierter oder pseudonymisierter Form.

4.8 Künstliche Intelligenz

In unseren Services verwenden wir Dienste künstlicher Intelligenz („KI-Dienste”). Die KI-Dienste bieten uns hierbei die Möglichkeit, unsere Services mit einer state of the art Qualität und einer individuellen Zielgenauigkeit zu erbringen, die für unsere Beziehung zueinander besonders wertvoll ist. Mit den KI-Diensten können wir Nutzern im Rahmen der Datenverarbeitung zur Erbringung unserer Services ein intelligentes System bereitstellen, das sämtliche Interaktionen in unseren Services, in die die KI-Dienste eingebunden sind, auf die effizienteste und für Nutzer nützlichste Art und Weise verarbeitet. Wir nutzen KI-Dienste insbesondere für die Übersetzung & Transkription von Nutzer Inhalten sowie für die Generierung von personalisierten Empfehlungen. Verarbeitete Datenkategorien sind hierbei Stammdaten, Kontaktdaten, Inhaltsdaten, ggf. Nutzungsdaten, Verbindungsdaten und ggf. Vertragsdaten. Empfänger der Daten sind hierbei die von uns eingebundenen und unten genannten Anbieter von KI-Dienste. Sollten diese KI-Dienste Daten in ein Drittland transferieren (bspw. die USA), so geschieht dies auf Basis eines mit ihnen geschlossenen Auftragsverarbeitungsvertrages und gemäß mit ihnen vereinbarter Standard Vertragsklauseln und sonstiger von der DSGVO zugelassenen Sicherheitsmaßnahmen, die die Sicherheit der Verarbeitung der personenbezogenen Daten unserer Nutzermit einem Schutzniveau, der identisch zu dem in der EU ist, gewährleisten, und sofern ein Datentransfer in die USA erfolgt, insbesondere auf Basis des EU-US Data Privacy Framework (DPF). Die von uns eingesetzten KI-Dienste verarbeiten personenbezogene Daten ausschließlich zur Erbringung der von Nutzern angefragten Funktionen. Unsere Rechtsgrundlage zur Nutzung von KI-Diensten resultiert aus Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse). Die Interessen der Nutzer an einer Kontrolle und Zurückhaltung ihrer Daten werden hierbei nicht in einem solchen Maße beeinträchtigt, dass diese Interessen das berechtigte Interesse auf unserer Seite zur Nutzung der KI-Dienste überwiegt. Die von uns ausgewählten KI-Dienste haben ihren Sitz in der EU oder in einem Drittland, für das ein Angemessenheitsbeschluss der EU gilt. Die von uns ausgewählten KI-Dienste dürfen Input-Daten nicht auch zu KI-Trainingszwecken verarbeiten. Eine solche Verarbeitung ist technisch unterbunden bzw. ist ihr durch eine entsprechende Einstellung widersprochen worden. Mit den von uns ausgewählten KI-Diensten wurde ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zum Schutz personenbezogener Daten abgeschlossen.

Anbieter der von uns eingesetzten KI-Dienste

OpenAI

OpenAI Ireland Limited

1st Floor

The Liffey Trust Centre

117-126 Sheriff Street Upper

Dublin 1

D01 YC43

Ireland

https://openai.com/de-DE/policies/eu-privacy-policy/

5. Kommunikations Services

5.1 In-App-Chat / Kontaktaufnahme per E-Mail

Wir verarbeiten die personenbezogenen Daten von Nutzern, die Nutzer uns im Rahmen der Kontaktaufnahme zur Verfügung stellen zum Zweck der Beantwortung einer Anfrage, einer E-Mail oder einer Rückrufbitte. Verarbeitete Datenkategorien sind hierbei Stammdaten, Kontaktdaten, Inhaltsdaten, ggf. Nutzungsdaten, Verbindungsdaten und ggf. Vertragsdaten. Wir leiten diese Daten im Einzelfall weiter an mit uns verbundene Unternehmen, oder Dritte, die diese Daten zur Abwicklung von Bestellungen und Buchungen vereinbarungsgemäß verarbeiten dürfen. Die Rechtsgrundlage der Verarbeitung richtet sich nach dem Zweck der Kontaktaufnahme. Mit einer Anfrage im In-App-Chat bzw. durch die Kontaktaufnahme per E-Mail erklären Nutzer, dass sie Antworten oder Informationen zu bestimmten Themen wünschen. Zu diesem Zweck hinterlassen Nutzer auch ihre Daten. Wir beantworten eine Anfrage wunschgemäß und verarbeiten hierzu Daten unserer Nutzer. Daher basiert die Berechtigung zur Verarbeitung von Daten auf Art. 6 Abs. 1 lit. b DSGVO, da wir sie zur Beantwortung einer Anfrage und damit zur Erfüllung des Vertrages hierüber verarbeiten.

5.2 Supportanfrage

Wir verarbeiten die personenbezogenen Daten von Nutzern, die Nutzer uns im Rahmen der Vergabe von Supportanfragen zur Umsetzung der Supportanfrage wie bspw. zur Behebung von Störungen oder Fehlern, zur Verfügung stellen. Verarbeitete Datenkategorien sind hierbei Stammdaten, Kontaktdaten, Inhaltsdaten, ggf. Nutzungsdaten, Verbindungsdaten und ggf. Vertragsdaten. Wir leiten diese Daten im Einzelfall weiter an mit uns verbundene Unternehmen, oder Dritte, die wir zur Behebung von Störungen oder Fehlern in unseren Services einsetzen. Die Rechtsgrundlage der Verarbeitung richtet sich nach dem Zweck der Supportanfrage. Mit der Supportanfrage erklären Nutzer, dass sie bspw. eine Behebung von Störungen oder Fehlern wünschen. Diese Informationen nehmen wir auf und verarbeiten hierzu Daten unserer Nutzer. Daher basiert die Berechtigung zur Verarbeitung von Daten auf Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des Vertrages.

5.3 Meldung rechtswidriger Inhalte gem. Digital Services Act

Wir verarbeiten Daten unserer Nutzer, die uns durch Nutzer im Rahmen der Meldung von rechtswidrigen Inhalten zur Verfügung gestellt werden. Die verarbeiteten Daten können hierbei in alle in Ziff. 2.3 genannten Datenkategorien fallen. Wir verarbeiten diese Daten zur Prüfung der gemeldeten Inhalte auf ihre Rechtswidrigkeit und leiten die daraus hervorgehenden rechtlichen Pflichten, wie bspw. Sperrung, Löschung, strafrechtliche Verfolgung ab. Die Rechtsgrundlage zur Verarbeitung von Daten, die uns im Rahmen von Meldungen rechtswidriger Inhalte übermittelt wurden, folgt aus Art. 6 Abs. 1 lit. c DSGVO. Wir sind aufgrund der Bestimmungen des Digital Servcies Act der EU rechtlich dazu verpflichtet, rechtswidrige Inhalte zu überprüfen und entsprechende Maßnahmen hiervon abzuleiten.

7. Zahlungsabwicklung

Kostenpflichtige Versionen unserer Services können ausschließlich über die von uns bereitgestellten Buchungsmöglichkeiten über sogenannte „Merchant of Records”, also die In-App-Kaufsysteme des Apple App Store und von Google Play gebucht werden, siehe hierzu auch unten bei den Zahlungsdienstleistern. Hierbei wickeln die Zahlungsdienstleister den Kauf, die Zahlung sowie die gesamte Abonnementverwaltung eigenständig ab. Wir erhalten keine Zahlungs-, Konto- oder Kartendaten unserer Nutzer. Von den Zahlungsdienstleistern erhalten wir in der Regel lediglich Nutzer-Kennung, Kaufbelege und Transaktionsnummern, Produkte, Preise, Währungen, Plattform und Abo-Status, aber weder Namen noch E-Mail-Adressen.

Zahlungsdienstleister

Die von uns eingebundenen Zahlungsdienstleister sind:

Apple Distribution International Ltd.

Funktion: App-Vertrieb (App Store) und Vertragspartner für In-App Purchase (EU/EWR, UK, Schweiz, Norwegen, Island)

Hollyhill Industrial Estate, Hollyhill

Cork, T23 YK84

Irland

Google Ireland Limited

Funktion: App-Vertrieb (Play Store) und Vertragspartner für Google Play Billing (EU-Nutzer)

Gordon House, Barrow Street

Dublin 4

Irland

8. Hosting

8.1 Bereitstellung unserer Services

Um Nutzern unsere Services bereitstellen zu können, nehmen wir die Leistungen der unten genannten Hosting Anbieter in Anspruch. Unsere Services werden von den Servern dieser Hosting Anbieter abgerufen. Zu diesen Zwecken nehmen wir die Infrastruktur- und Plattformdienstleistungen, Rechenkapazität, Speicherplatz und Datenbankdienste sowie Sicherheitsleistungen und technische Wartungsleistungen der Hosting Anbieter in Anspruch.

Zu den verarbeiteten Daten gehören alle solche Daten, die Nutzer im Rahmen der Nutzung und Kommunikation in Verbindung mit ihrem Besuch in unseren Services eingeben bzw. die von Nutzern hierbei erhoben werden (bspw. IP-Adresse). Unsere Rechtsgrundlage zur Nutzung der Hosting Anbieter zur Bereitstellung unserer Services resultiert aus Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

8.2 Weitere Services der Hosting Anbieter

Die von uns in Anspruch genommenen Leistungen der Hosting Anbieter kann ebenfalls folgende Prozesse umfassen:

• Content-Delivery-/Netzwerkdienste (CDN)

• Caching und Performance-Optimierung

• automatisierte Backups

• SSL-/TLS-Zertifikate

• Sicherheits- und Malware-Monitoring

• Server- und Website-Monitoring

Hierfür werden Daten wie insbesondere Nutzungs- und Verbindungsdaten verarbeitet. Der Zweck dieser Verarbeitung liegt darin, dass wir die Sicherheit, Integrität und Funktionsfähigkeit unserer Services sicherstellen wollen. Unsere Rechtsgrundlage zur Verwendung der Leistungen der Hosting Anbieter zur Inanspruchnahme der vorgenannten Prozesse resultiert aus Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

8.3 Erhebung von Zugriffsdaten und Logfiles

Wir selbst (bzw. die Hosting Anbieter) erheben Daten zu jedem Zugriff auf den Server (Serverlogfiles). Zu den Serverlogfiles können Adresse und Name der abgerufenen Services und Dateien, Datum und Uhrzeit des Abrufs, übertragene Datenmengen, Meldung über erfolgreichen Abruf, Gerätetyp nebst Version, Betriebssystem, Referrer URL (die zuvor besuchte Seite) und im Regelfall IP-Adressen sowie der anfragende Provider gehören.

Die Serverlogfiles können zum einen zu Zwecken der Sicherheit eingesetzt werden, z.B., um eine Überlastung der Server zu vermeiden (insbesondere im Fall von missbräuchlichen Angriffen, sogenannten DDoS-Attacken) und zum anderen, um die Auslastung der Server und ihre Stabilität sicherzustellen. Unsere Rechtsgrundlage zur Nutzung eines Hosting Anbieters zur Erhebung von Zugriffsdaten und Logfiles resultiert aus Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Die von uns eingesetzten Hosting Anbieter sind die Folgenden:

Hosting / Deployment

Vercel

Vercel Inc.

340 S Lemon Ave #4133

Walnut, CA 91789

Für Datenschutzanfragen nennt Vercel zusätzlich einen EU-Vertreter: Vercel Inc., c/o EDPO, Avenue Huart Hamoir 71, 1030 Brussels, Belgium (E-Mail: privacy@vercel.com)

8.4 Nhost

Zur Bereitstellung zentraler Funktionen unserer Services nutzen wir die Leistungen von:

Nhost AB Torsgatan 26 113 21 Stockholm

Schweden

Datenschutzhinweise: https://nhost.io/legal/privacy-policy

Nhost unterstützt uns insbesondere bei:

• Benutzerverwaltung (Authentifizierung)

• Registrierung und Login

• Verwaltung von Nutzerkonten

• Datenbankbetrieb

• Speicherung von Nutzerdaten

• GraphQL-Schnittstellen

• Serverless Functions

• technischen Backend-Prozessen

• Passwort-Reset-Prozessen

• E-Mail-Verifizierungen

• technischen Sicherheitsmaßnahmen

Im Rahmen der Nutzung von Nhost können insbesondere folgende Datenkategorien verarbeitet werden:

• Stammdaten

• Kontaktdaten

• Vertragsdaten

• Inhaltsdaten

• Nutzungsdaten

• Verbindungsdaten

Die Verarbeitung erfolgt zur Durchführung des Nutzungsvertrags sowie zur sicheren Bereitstellung unserer Services. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Vertragserfüllung erforderlich ist. Soweit bestimmte technische Verarbeitungen zur Gewährleistung der Sicherheit und Stabilität unserer Services erfolgen, basiert die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Die Verarbeitung erfolgt grundsätzlich innerhalb von Rechenzentren im europäischen Wirtschaftsraum. Mit Nhost wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen.

8.5 Bunnynet

Für die Speicherung und Auslieferung von Medieninhalten nutzen wir die Leistungen von:

BunnyWay d.o.o. Cesta komandanta Staneta 4A 1215 Medvode Slowenien

Datenschutzhinweise: https://bunny.net/privacy

Bunny.net wird insbesondere eingesetzt für:

• Speicherung von Nutzer-Videos

• Video-Streaming

• Auslieferung von Medieninhalten

• Content Delivery Network (CDN)

• Performance-Optimierung

• Lastverteilung

• Schutz vor technischen Ausfällen

Im Rahmen dieser Verarbeitung können insbesondere folgende Daten verarbeitet werden:

• hochgeladene Videos

• Video-Metadaten

• Nutzerkennungen

• IP-Adressen

• technische Verbindungsinformationen

• Abrufzeitpunkte

• Geräteinformationen

• Transkription von Audioinhalten

• Übersetzungen

Die Verarbeitung erfolgt zum Zweck der Bereitstellung von Video-Inhalten und der technischen Funktionsfähigkeit unserer Services. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der von Nutzern gewählten Funktionen erforderlich ist. Soweit die Verarbeitung dem sicheren und performanten Betrieb unserer Services dient, erfolgt sie zusätzlich auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO. Aufgrund der weltweiten Auslieferung von Inhalten über das Content Delivery Network von Bunny.net kann es in Einzelfällen zu Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums kommen. Solche Übermittlungen erfolgen ausschließlich im Rahmen der gesetzlichen Anforderungen der Art. 44 ff. DSGVO. Mit Bunny.net wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

9. Transaktionale Mailings

Aus administrativen Vorgängen, zur Bestätigung von Aktionen sowie im Rahmen unserer nicht werblichen Kundenkommenikation versenden wir transaktionale Benachrichtigungen (nachfolgend „Transaktionale Mailings”) an Nutzer. Unsere Transaktionalen Mailings enthalten hierbei wichtige administrative Informationen zu unseren Services sowie für Passwort-Reset, E-Mail-Änderung, ggf. E-Mail-Verifizierung. Für die Verwaltung unserer Transaktionalen Mailings sowie für die Erstellung und Versendung von Transaktionalen Mailings nutzen wir die unten stehenden Transaktionalen-Mail-Dienste. Im Rahmen des Abrufs der Transaktionalen Mailings durch Nutzer können technische Informationen, wie Informationen zum Browser und zum System, als auch die IP-Adresse und der Zeitpunkt des Abrufs, erhoben werden. Diese Informationen werden zum technischen Nachvollziehen der Interaktion mit unseren Transaktionalen Mailings anhand der technischen Daten oder der Zielgruppen und ihres Leseverhaltens genutzt. Die Rechtsgrundlage zur Nutzung von Transaktionalen Mailings liegt in Art. 6 Abs. 1 lit. b DSGVO, da wir mit den Informationen in den Transaktionalen Mailings unsere vertraglichen Pflichten Nutzern gegenüber erfüllen. Sollten wir hierbei hierfür auf die Dienste von dritten Anbietern zugreifen, liegt der Rechtsgrund hierfür in Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse daran, die Versendung von Transaktionalen Mailings zu vereinheitlichen und gesammelt zu steuern. Hierbei wird das Interesse der Nutzer an einer möglichst sparsamen Verarbeitung ihrer Daten nicht über Gebühr beeinträchtigt. Sollten Anbieter Daten in ein Drittland transferieren (bspw. die USA), so geschieht dies nur im Einzelfall, auf Basis eines mit ihnen geschlossenen Auftragsverarbeitungsvertrags und gemäß mit ihnen vereinbarter Standard Vertragsklauseln und sonstiger von der DSGVO zugelassenen Sicherheitsmaßnahmen, die die Sicherheit der Verarbeitung von personenbezogenen Daten mit einem Schutzniveau, der identisch zu dem in der EU ist, gewährleisten, insbesondere auf Basis des EU-US Data Privacy Framework (DPF).

Anbieter der von uns eingesetzten Transaktionalen-Mail-Dienste

UD Media GmbH

Kölner Straße 28

41812 Erkelenz

https://udmedia.de/service/datenschutz

10. Newsletterversand

Mit einer Einwilligung (regelmäßig durch das Abonnieren) versenden wir Newsletter, E-Mails und weitere elektronische Benachrichtigungen (nachfolgend „Newsletter”) an Nutzer. Unsere Newsletter enthalten in der Regel technische, kaufmännische und werbliche Informationen zu unseren Services. Für die Verwaltung unserer Newsletter Abonnenten sowie für die Erstellung und Versendung von Newslettern nutzen wir die unten stehenden Newsletter-Dienste. Für die Anmeldung zu unserem Newsletter, reicht es grundsätzlich aus, wenn Nutzer eine E-Mail-Adresse angeben. Die Anmeldung zu unserem Newsletter erfolgt immer in einem sogenannten Double-Opt-In-Verfahren. Nach der Anmeldung zu unserem Newsletter erhalten Nutzer also eine E-Mail, in der sie über die Betätigung eines Bestätigungslinks um die Bestätigung der Anmeldung gebeten werden. Diese Bestätigung ist notwendig, um zu verhindern, dass jemand anderes sich mit einer E-Mail Adresse für einen Newsletter anmeldet. Wir protokollieren die Anmeldungen zum Newsletter zum Zweck, den Anmeldeprozess gemäß den rechtlichen Anforderungen nachweisen zu können. Hierzu speichern wir den Anmelde- und den Bestätigungszeitpunkt sowie die IP-Adresse. Ebenso werden die Änderungen der bei dem Versanddienstleister gespeicherten Daten protokolliert. Nutzer können sich jederzeit von unserem Newsletter abmelden. Hierfür klicken Nutzer einfach auf den Button „Abmelden”, der im Footer jedes Newsletters enthalten ist. Sollten Nutzer sich von unserem Newsletter abmelden, kann eine E-Mail-Adresse bis zu drei Jahren auf Grundlage unserer berechtigten Interessen gespeichert werden, bevor wir sie löschen, damit wir eine ehemals gegebene Einwilligung nachweisen können. Soweit wir einen Dienstleister mit dem Versand von E-Mails beauftragen, erfolgt dies auf Grundlage unserer berechtigten Interessen an einem effizienten und sicheren Versandsystem. Unsere Newsletter können einen sogenannten “web-beacon” enthalten. Ein web-beacon ist eine pixelgroße Datei, die beim Öffnen des Newsletters von unserem Server (bzw. beim Einsatz eines Versanddienstleisters von dessen Server) abgerufen wird. Im Rahmen dieses Abrufs werden zunächst technische Informationen, wie Informationen zum Browser und einem System, als auch die IP-Adresse und der Zeitpunkt des Abrufs, erhoben.

Diese Informationen werden zur technischen Verbesserung unseres Newsletters anhand der technischen Daten oder der Zielgruppen und ihres Leseverhaltens auf Basis ihrer Abruforte (die mit Hilfe der IP-Adresse bestimmbar sind) oder der Zugriffszeiten genutzt. Diese Analyse beinhaltet ebenfalls die Feststellung, ob die Newsletter geöffnet werden, wann sie geöffnet werden und welche Links geklickt werden. Diese Informationen können aus technischen Gründen zwar den einzelnen Newsletterempfängern zugeordnet werden. Es ist jedoch weder unser Bestreben noch, sofern eingesetzt, das des Versanddienstleisters, einzelne Nutzer zu beobachten. Die Auswertungen dienen uns vielmehr dazu, die Lesegewohnheiten unserer Nutzer zu erkennen und unsere Inhalte an sie anzupassen oder unterschiedliche Inhalte entsprechend den Interessen unserer Nutzer zu versenden.

Die Auswertung des Newsletters und die Erfolgsmessung erfolgen, vorbehaltlich einer ausdrücklichen Einwilligung der Nutzer, auf Grundlage unserer berechtigten Interessen zu Zwecken des Einsatzes eines nutzerfreundlichen sowie sicheren Newslettersystems, welches sowohl unseren geschäftlichen Interessen dient, als auch den Erwartungen der Nutzer entspricht.

Die Rechtsgrundlage zum Versand von Newslettern und damit auch zum Einsatz von web-beacons ist eine Einwilligung, sofern Nutzer uns diese durch das Abonnieren des Newsletters erteilt haben und resultiert daher aus Art. 6 Abs. 1 lit. a DSGVO. Sollten Nutzer uns eine Einwilligung zum Versand von Newslettern nicht erteilt haben, so senden wir keine Newsletter (mehr) an Nutzer. Damit fällt auch automatisch der Einsatz von web-beacons weg.

Sollten wir hierbei hierfür auf die Dienste von dritten Anbietern zugreifen, liegt der Rechtsgrund hierfür in Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse daran, die Versendung von Newslettern zu vereinheitlichen und gesammelt zu steuern. Hierbei wird das Interesse der Nutzer an einer möglichst sparsamen Verarbeitung ihrer Daten nicht über Gebühr beeinträchtigt. Sollten Anbieter Daten in ein Drittland transferieren (bspw. die USA), so geschieht dies nur im Einzelfall, auf Basis eines mit ihnen geschlossenen Auftragsverarbeitungsvertrags und gemäß mit ihnen vereinbarter Standard Vertragsklauseln und sonstiger von der DSGVO zugelassenen Sicherheitsmaßnahmen, die die Sicherheit der Verarbeitung von personenbezogenen Daten mit einem Schutzniveau, der identisch zu dem in der EU ist, gewährleisten, insbesondere auf Basis des EU-US Data Privacy Framework (DPF).

Anbieter der von uns eingesetzten Newsletter-Dienste

Resend

Plus Five Five, Inc.

2261 Market Street, #5039

San Francisco, CA 94114

USA

https://resend.com/legal/privacy-policy

11. Profile auf Social Media Plattformen

Wir unterhalten Profile auf den Plattformen der sozialen Netzwerke des Internets und verarbeiten in diesem Rahmen personenbezogenen Daten, um mit den dort aktiven Nutzern zu kommunizieren oder um Informationen über uns anzubieten. Wir weisen Nutzer darauf hin, dass Daten unserer Nutzer beim Besuch unserer Profile außerhalb des Raumes der Europäischen Union verarbeitet werden können. Verantwortlich hierfür sind die Betreiber der jeweiligen sozialen Netzwerke. Eine detaillierte Darstellung der jeweiligen Verarbeitungsformen und der Widerspruchsmöglichkeiten (bspw. Opt-Out) können Nutzer in den Datenschutzerklärungen der Betreiber der jeweiligen sozialen Netzwerke finden.

Bei dem Besuch unserer Social Media Profile kann das Nutzungsverhalten ausgewertet und uns hieraus gewonnene Informationen mitgeteilt werden („Insights”). Diese Auswertung erfolgt zu Zwecken der wirtschaftlichen Optimierung und bedarfsgerechten Gestaltung unserer Services. Verarbeitete Datenkategorien sind hierbei ggf. Stammdaten, ggf. Kontaktdaten, Inhaltsdaten, Nutzungsdaten, Verbindungsdaten. Empfänger der Daten ist der Anbieter der jeweiligen Social Media Plattform als gemeinsam Verantwortlicher gemäß Art. 26 DSGVO. Die Rechtsgrundlage zur Verarbeitung der Daten nach der hier genannten Maßgabe resultiert aus unserem berechtigten Interesse und damit aus Art. 6 Abs. 1 lit. f DSGVO. Für die Umsetzung von Betroffenenrechten ist die jeweilige Social Media Plattform verantwortlich. Über Betroffenenrechte informieren wir unten bei der Nennung der jeweiligen Social Media Plattform, auf der wir ein Profil unterhlaten. Nutzer können ihre Rechte auch uns gegenüber geltend machen, wir werden ihre Anfrage dann umgehend an den Betreiber der Social Media Plattform weiterleiten.

Instagram

Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Betroffenenrechte: https://privacycenter.instagram.com/policy.

TikTok

tiktok technology limited 10 earlsfort terrace, dublin d02 t380 Irland. Betroffenenrechte: https://www.tiktok.com/legal/privacy-policy?lang=de-DE.

LinkedIn

LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Betroffenenrechte: https://de.linkedin.com/legal/privacy-policy.

YouTube

Google Ireland Ltd., Gordon House, Barrow Street Dublin 4 Irland. Betroffenenrechte: https://www.youtube.com/howyoutubeworks/our-commitments/protecting-user-data/#privacy-guidelines.

12. PlugIns in unseren Services

In unseren Services binden wir über Plugins Inhalte wie Videos, Buttons, Social Media Icons etc. von Sozialen Netzwerken und sonstigen Websites ein. Die Einbindung funktioniert immer so, dass die Sozialen Netzwerke über diese PlugIns eine IP-Adresse erfahren und verarbeiten. Die IP Adresse ist für die Darstellung der Inhalte der PlugIns erforderlich, da sie benötigt wird, damit die Sozialen Netzwerke, deren PlugIns wir eingebunden haben, Informationen an den Browser senden können. Manche Sozialen Netzwerke verwenden Pixel-Tags (unsichtbare Grafiken, auch als “Web Beacons” bezeichnet) für statistische oder Marketingzwecke. Durch die “Pixel-Tags” können Informationen wie der Besucherverkehr in unseren Services ausgewertet werden. Weitere Informationen können ferner in Cookies auf einem Gerät gespeichert werden und unter anderem technische Informationen zu einem Browser und zu einem Betriebssystem, zum Besuchszeitpunkt unserer Services sowie weitere Angaben zur Nutzung unserer Services enthalten und mit Informationen aus anderen Quellen verbunden werden.

Einbindung von YouTube Videos

Wir nutzen YouTube zum Zweck der Einbindung von Videos über das Video-Plugin von YouTube zur persönlichen Gestaltung unserer Services. Durch die Einbindung von Videos über das Video-Plugin von YouTube kann Google das Nutzungsverhalten in unseren Services analysieren. Verarbeitete Datenkategorien sind hierbei Nutzungsdaten, Verbindungsdaten. Empfänger der Daten ist Google Ireland Ltd., Gordon House, Barrow Street Dublin 4 Irland. Sollte Google diese Daten in ein Drittland transferieren (bspw. die USA), so geschieht dies nur im Einzelfall, auf Basis eines mit Google geschlossenen Auftragsverarbeitungsvertrags und gemäß mit Google vereinbarter Standard Vertragsklauseln und sonstiger von der DSGVO zugelassenen Sicherheitsmaßnahmen, die die Sicherheit der Verarbeitung von personenbezogenen Daten mit einem Schutzniveau, der identisch zu dem in der EU ist, gewährleisten, insbesondere auf Basis des EU-US Data Privacy Framework (DPF). Die Rechtsgrundlage zur Nutzung von YouTube ist eine Einwilligung (bspw. über ein Opt-In im Consent Banner), sofern Nutzer uns diese im Rahmen des Besuches in unseren Services erteilt haben und resultiert daher aus Art. 6 Abs. 1 lit. a DSGVO. Auf Basis einer Einwilligung werden Cookies oder ähnliche (Text-)Dateien auf dem Endgerät des Nutzers gespeichert und hierdurch personenbezogene Daten ausgelesen werden. Sollten Nutzer uns die Einwilligung zur Nutzung von YouTube nicht erteilt haben (kein Opt-In im Consent Banner bzw. Widerruf einer Einwilligung), so nutzen wir YouTube im Rahmen von Besuchen in unseren Services nicht (mehr). Weitere Informationen zur Datenverarbeitung unter https://policies.google.com/privacy?hl=de.

Mit freundlicher Unterstützung von derstartupanwalt.de

1. Controlador

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

Não foi nomeado um encarregado de proteção de dados; o controlador é o contato acima.

2. Visão geral

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

O GraplLAB (app em bjj.app e o site de marketing) é uma plataforma de treino e aprendizado de Brazilian Jiu-Jitsu. Processamos dados pessoais para fornecer contas, operar recursos de treino e de comunidade e prestar o serviço de forma segura.

3. Dados que processamos

3.1 Conta e autenticação

• Endereço de e-mail e senha (cadastro e login)
• ID de usuário e dados de login/sessão por meio do nosso serviço de autenticação
• Verificação de e-mail no cadastro (planejada), redefinição de senha e alteração de e-mail
• Sem Gravatar: não usamos Gravatar; as imagens de perfil vêm do seu upload ou de um avatar no app, e não de um serviço de terceiros baseado no seu e-mail

3.2 Perfil

Se você os fornecer: p. ex. nome e sobrenome, foto de perfil, faixa, peso, data de nascimento, biografia, links sociais (Instagram, TikTok etc.).

3.3 Treino e conteúdo do app

Técnicas em foco, níveis, anotações, game plans, “My Game”, entradas de diário/treino (data, satisfação, intensidade, rounds), progresso em módulos, check-in diário, técnicas e sequências personalizadas.

3.4 Comunidade

Uploads de vídeos públicos e privados, comentários, curtidas, módulos da comunidade e conteúdo de outros usuários que você visualiza ou adota.

3.5 Dados de uso e técnicos

Processamos os seguintes dados de uso e técnicos em todas as formas de uso com login (conta registrada e acesso como convidado), na medida em que o respectivo recurso seja utilizado:

• Interações no app: p. ex. quais áreas são tocadas, eventualmente vinculadas a técnicas ou vídeos
• Sessões do app: versão do app, plataforma, tipo de dispositivo, país, início e fim
• Idioma escolhido do app: no servidor e, adicionalmente, localmente no dispositivo
• Mensagens de suporte: conteúdo e metadados do recurso de feedback “Chat with us”
• Logs de servidor do provedor: p. ex. endereço IP, carimbos de data/hora e dados técnicos de conexão nos provedores de hospedagem e backend

3.6 Site e páginas legais no app

Configurações de exibição, como o tema, são armazenadas localmente no dispositivo. O idioma escolhido do app é descrito nos dados de uso. Não utilizamos serviços de análise publicitária de terceiros.

No site de marketing, para medição de alcance armazenamos apenas contagens agregadas de visualizações de página (dia do calendário e caminho, p. ex. quantas vezes / foi carregado em um determinado dia). Não criamos contas de usuário para isso, não definimos cookies e não armazenamos endereços IP nem identificadores de dispositivo para esse contador. Os números apoiam a visão geral de produto e de alcance (incluindo estatísticas internas de gestores).

No app, Termos, política de privacidade, aviso legal e contato estão disponíveis em Settings → Legal (links para bjj.app).

3.7 Recursos pagos

Assinaturas Premium são gerenciadas pela Apple App Store e pelo Google Play; essas plataformas processam dados de pagamento e contratuais sob suas próprias políticas de privacidade.

4. Finalidades e bases legais (GDPR)

Finalidade	Base legal (Art. 6 GDPR)
Prestação do app, conta de usuário e acesso como convidado	Contrato (Art. 6(1)(b)) ou medidas pré-contratuais
Armazenamento de conteúdo de treino e da comunidade	Contrato
Comunidade, moderação, segurança	Contrato; interesses legítimos (f)
Analytics de produto (sessões, interações, idioma, país; agregados)	Interesses legítimos em um app estável e utilizável
Suporte e comunicação	Contrato / interesses legítimos
Obrigações legais (p. ex. retenção de registros)	Obrigação legal (c)
Campos opcionais de perfil	Contrato; consentimento (a) quando puramente voluntários
Operação do site	Interesses legítimos / contrato
Contagens agregadas de visualizações do site (dia/caminho, sem identificadores pessoais)	Interesses legítimos na visão geral de alcance (f)

Não utilizamos tomada de decisão automatizada nem profiling na acepção do Art. 22 GDPR.

5. Destinatários e operadores

Provedor	Função	Dados típicos
Nhost	Backend: autenticação, banco de dados, functions	Conta, perfil, treino, comunidade, dados de uso; EU (eu-central-1)
Bunny	Streaming/armazenamento de vídeo, CDN (p. ex. grapllab-open.b-cdn.net)	Vídeos, metadados de stream, logs de acesso
Vercel	Hospedagem do site de marketing	IP, logs de acesso
Apple / Google	Distribuição do app e assinaturas nas lojas	conforme a plataforma

Foram celebrados contratos de processamento de dados (Art. 28 GDPR) com Nhost, Bunny.net e Vercel [TODO: retain proof/contract copies with the provider].

Outros destinatários podem aplicar-se quando necessário para a operação.

6. Transferências internacionais

O Nhost é operado na UE. Bunny e Vercel podem processar dados fora da UE/EEE (p. ex. EUA). Quando exigido, nos baseamos em salvaguardas adequadas (p. ex. cláusulas contratuais-padrão da UE).

7. Retenção

• Conta e perfil: durante a vigência da conta; após a exclusão no app, prontamente nos sistemas em produção, salvo retenção exigida por lei; backups podem persistir por pouco tempo (p. ex. 2–3 meses).
• Acesso como convidado: contas de convidado são excluídas automaticamente cerca de três dias após a criação; os dados de uso relacionados são removidos junto com elas.
• Conteúdo de treino, diário e comunidade: até que você ou nós o excluamos.
• Dados de uso (sessões, interações): apenas pelo tempo necessário para operação, segurança e melhoria do produto.
• Contagens de visualizações do site (agregadas): pelo tempo necessário para a visão geral de alcance e a gestão do produto.
• Logs de servidor do provedor: conforme a política de retenção de cada provedor.
• Registros fiscais e de faturamento: até 10 anos se pagamentos se aplicarem no futuro.

8. Seus direitos

Você tem o direito de acesso, retificação, apagamento, limitação, portabilidade dos dados e de se opor ao processamento baseado em interesses legítimos.

• Contato: info@grapllab.de (assunto “Privacy”)
• Apagamento: também via Settings → Delete account no app (exclusão pronta, sujeita à implementação técnica)
• Consentimento: você pode retirá-lo excluindo sua conta ou por e-mail quando o processamento se basear em consentimento
• Reclamação a uma autoridade supervisora, p. ex. a autoridade de proteção de dados de Baden-Württemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

Em geral respondemos no prazo de um mês.

Atualmente não oferecemos um recurso automatizado de exportação de dados; solicitações de acesso são tratadas mediante pedido.

9. Cookies e armazenamento local

• App: dados de login e sessão via o serviço de autenticação; sem cookies publicitários de terceiros. Configurações de exibição, como o tema, podem ser armazenadas localmente no dispositivo.
• Site: armazenamento tecnicamente necessário (p. ex. tema localmente no dispositivo); conexões com hospedagem e CDN.

Não é necessário um banner separado de cookies de marketing porque não utilizamos esse tipo de rastreamento.

10. Conteúdo público e menores

Vídeos públicos são visíveis para usuários da comunidade logados. Faça upload apenas de conteúdo que você tem autorização para compartilhar.

O serviço não se destina a pessoas com menos de 18 anos (ver Termos). Não há verificação sistemática de idade.

11. Segurança

Os dados são transmitidos de forma criptografada (TLS/HTTPS). As senhas são armazenadas com hash pelo serviço de autenticação. O acesso ao banco de dados é restrito por função (p. ex. user, guest, premium).

12. Alterações

Podemos atualizar esta política. A versão atual está em /datenschutz. Alterações materiais serão comunicadas de forma adequada (p. ex. no app ou por e-mail).

1. Responsable del tratamiento

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

No se ha nombrado un delegado de protección de datos; el responsable del tratamiento es el contacto indicado arriba.

2. Resumen

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB (la app en bjj.app y el sitio web de marketing) es una plataforma de entrenamiento y aprendizaje de Brazilian Jiu-Jitsu. Tratamos datos personales para proporcionar cuentas, operar las funciones de entrenamiento y de comunidad y prestar el servicio de forma segura.

3. Datos que tratamos

3.1 Cuenta y autenticación

• Dirección de correo electrónico y contraseña (registro e inicio de sesión)
• ID de usuario y datos de inicio de sesión/sesión a través de nuestro servicio de autenticación
• Verificación del correo electrónico en el registro (prevista), restablecimiento de contraseña y cambio de correo electrónico
• Sin Gravatar: no utilizamos Gravatar; las imágenes de perfil provienen de tu subida o de un avatar de la app, no de un servicio de terceros basado en tu dirección de correo electrónico

3.2 Perfil

Si los facilitas: p. ej. nombre y apellidos, foto de perfil, cinturón, peso, fecha de nacimiento, biografía, enlaces a redes sociales (Instagram, TikTok, etc.).

3.3 Entrenamiento y contenidos de la app

Técnicas en foco, niveles, notas, game plans, “My Game”, entradas de diario/entrenamiento (fecha, satisfacción, intensidad, rounds), progreso en los módulos, check-in diario, técnicas y secuencias personalizadas.

3.4 Comunidad

Subidas de vídeos públicos y privados, comentarios, «me gusta», módulos de la comunidad y contenidos de otros usuarios que visualizas o adoptas.

3.5 Datos de uso y datos técnicos

Tratamos los siguientes datos de uso y técnicos en todas las formas de uso con sesión iniciada (cuenta registrada y acceso como invitado), en la medida en que se utilice la función correspondiente:

• Interacciones en la app: p. ej. en qué áreas se pulsa, en su caso vinculadas a técnicas o vídeos
• Sesiones de la app: versión de la app, plataforma, tipo de dispositivo, país, inicio y fin
• Idioma elegido de la app: en el servidor y, además, localmente en el dispositivo
• Mensajes de soporte: contenido y metadatos de la función de feedback “Chat with us”
• Registros de servidor de los proveedores: p. ej. dirección IP, marcas de tiempo y datos técnicos de conexión en los proveedores de alojamiento y de backend

3.6 Sitio web y páginas legales en la app

Los ajustes de visualización, como el tema, se almacenan localmente en el dispositivo. El idioma elegido de la app se describe en los datos de uso. No utilizamos servicios de analítica publicitaria de terceros.

En el sitio web de marketing, para la medición del alcance almacenamos únicamente recuentos agregados de visitas a las páginas (día natural y ruta, p. ej. cuántas veces se cargó / en un día determinado). Para ello no creamos cuentas de usuario, no utilizamos cookies y no almacenamos direcciones IP ni identificadores de dispositivo para este contador. Las cifras sirven para tener una visión general del producto y del alcance (incluidas las estadísticas internas de los managers).

En la app, las Condiciones de uso, la política de privacidad, el aviso legal y el contacto están disponibles en Settings → Legal (enlaces a bjj.app).

3.7 Funciones de pago

Las suscripciones Premium se gestionan a través de la Apple App Store y de Google Play; esas plataformas tratan los datos de pago y contractuales conforme a sus propias políticas de privacidad.

4. Fines y bases jurídicas (RGPD)

Fin	Base jurídica (art. 6 RGPD)
Prestación de la app, cuenta de usuario y acceso como invitado	Contrato (art. 6.1.b) o medidas precontractuales
Almacenamiento de contenidos de entrenamiento y de la comunidad	Contrato
Comunidad, moderación, seguridad	Contrato; intereses legítimos (f)
Analítica de producto (sesiones, interacciones, idioma, país; agregada)	Interés legítimo en una app estable y utilizable
Soporte y comunicación	Contrato / intereses legítimos
Obligaciones legales (p. ej. conservación de registros)	Obligación legal (c)
Campos de perfil opcionales	Contrato; consentimiento (a) cuando son puramente voluntarios
Funcionamiento del sitio web	Intereses legítimos / contrato
Recuentos agregados de visitas del sitio web (día/ruta, sin identificadores personales)	Interés legítimo en la visión general del alcance (f)

No utilizamos decisiones automatizadas ni elaboración de perfiles en el sentido del art. 22 RGPD.

5. Destinatarios y encargados del tratamiento

Proveedor	Función	Datos habituales
Nhost	Backend: autenticación, base de datos, functions	Cuenta, perfil, entrenamiento, comunidad, datos de uso; UE (eu-central-1)
Bunny	Streaming/almacenamiento de vídeo, CDN (p. ej. grapllab-open.b-cdn.net)	Vídeos, metadatos de stream, registros de acceso
Vercel	Alojamiento del sitio web de marketing	IP, registros de acceso
Apple / Google	Distribución de la app y suscripciones en las tiendas	según la plataforma

Se han celebrado contratos de encargo del tratamiento (art. 28 RGPD) con Nhost, Bunny.net y Vercel [TODO: retain proof/contract copies with the provider].

Pueden intervenir otros destinatarios cuando sea necesario para el funcionamiento.

6. Transferencias internacionales

Nhost se opera en la UE. Bunny y Vercel pueden tratar datos fuera de la UE/EEE (p. ej. EE. UU.). Cuando es necesario, nos basamos en garantías adecuadas (p. ej. cláusulas contractuales tipo de la UE).

7. Plazos de conservación

• Cuenta y perfil: durante la vigencia de la cuenta; tras la eliminación en la app, sin demora en los sistemas productivos, salvo que la ley exija su conservación; las copias de seguridad pueden mantenerse brevemente (p. ej. 2–3 meses).
• Acceso como invitado: las cuentas de invitado se eliminan automáticamente unos tres días después de su creación; los datos de uso relacionados se eliminan junto con ellas.
• Contenidos de entrenamiento, diario y comunidad: hasta que tú o nosotros los eliminemos.
• Datos de uso (sesiones, interacciones): solo el tiempo necesario para el funcionamiento, la seguridad y la mejora del producto.
• Recuentos de visitas del sitio web (agregados): el tiempo necesario para la visión general del alcance y la gestión del producto.
• Registros de servidor de los proveedores: según la política de conservación de cada proveedor.
• Documentación fiscal y de facturación: hasta 10 años si en el futuro se producen pagos.

8. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación, portabilidad de los datos y a oponerte al tratamiento basado en intereses legítimos.

• Contacto: info@grapllab.de (asunto “Privacy”)
• Supresión: también en Settings → Delete account en la app (eliminación sin demora, sujeta a la implementación técnica)
• Consentimiento: puedes retirarlo eliminando tu cuenta o por correo electrónico cuando el tratamiento se base en el consentimiento
• Reclamación ante una autoridad de control, p. ej. la autoridad de protección de datos de Baden-Württemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

Por regla general respondemos en el plazo de un mes.

Actualmente no ofrecemos una función automatizada de exportación de datos; las solicitudes de acceso se atienden a petición.

9. Cookies y almacenamiento local

• App: datos de inicio de sesión y de sesión a través del servicio de autenticación; sin cookies publicitarias de terceros. Los ajustes de visualización, como el tema, pueden almacenarse localmente en el dispositivo.
• Sitio web: almacenamiento técnicamente necesario (p. ej. el tema localmente en el dispositivo); conexiones con el alojamiento y la CDN.

No se requiere un banner de cookies de marketing independiente, ya que no utilizamos ese tipo de seguimiento.

10. Contenidos públicos y menores

Los vídeos públicos son visibles para los usuarios de la comunidad que hayan iniciado sesión. Sube únicamente contenidos que estés autorizado a compartir.

El servicio no está dirigido a personas menores de 18 años (véanse las Condiciones de uso). No existe una verificación sistemática de la edad.

11. Seguridad

Los datos se transmiten cifrados (TLS/HTTPS). Las contraseñas se almacenan con hash mediante el servicio de autenticación. El acceso a la base de datos está restringido por rol (p. ej. user, guest, premium).

12. Cambios

Podemos actualizar esta política. La versión actual está disponible en /datenschutz. Los cambios sustanciales se comunicarán de forma adecuada (p. ej. en la app o por correo electrónico).

1. Responsable du traitement

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

Aucun délégué à la protection des données n’a été désigné ; le responsable du traitement est le contact indiqué ci-dessus.

2. Aperçu

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB (l’app sur bjj.app et le site web de présentation) est une plateforme d’entraînement et d’apprentissage du Brazilian Jiu-Jitsu. Nous traitons des données à caractère personnel afin de fournir des comptes, d’exploiter les fonctionnalités d’entraînement et de communauté et d’assurer le service de manière sécurisée.

3. Données que nous traitons

3.1 Compte et authentification

• Adresse e-mail et mot de passe (inscription et connexion)
• Identifiant utilisateur et données de connexion/de session via notre service d’authentification
• Vérification de l’e-mail lors de l’inscription (prévue), réinitialisation du mot de passe et changement d’adresse e-mail
• Pas de Gravatar : nous n’utilisons pas Gravatar ; les images de profil proviennent de votre téléversement ou d’un avatar de l’app, et non d’un service tiers fondé sur votre adresse e-mail

3.2 Profil

Si vous les renseignez : p. ex. prénom et nom, photo de profil, ceinture, poids, date de naissance, biographie, liens vers les réseaux sociaux (Instagram, TikTok, etc.).

3.3 Entraînement et contenus de l’app

Techniques en focus, niveaux, notes, game plans, « My Game », entrées de journal/d’entraînement (date, satisfaction, intensité, rounds), progression dans les modules, check-in quotidien, techniques et séquences personnalisées.

3.4 Communauté

Téléversements de vidéos publiques et privées, commentaires, likes, modules communautaires et contenus d’autres utilisateurs que vous consultez ou reprenez.

3.5 Données d’utilisation et données techniques

Nous traitons les données d’utilisation et données techniques suivantes pour toutes les formes d’utilisation avec connexion (compte enregistré et accès invité), dans la mesure où la fonctionnalité concernée est utilisée :

• Interactions dans l’app : p. ex. les zones sur lesquelles vous appuyez, le cas échéant associées à des techniques ou des vidéos
• Sessions de l’app : version de l’app, plateforme, type d’appareil, pays, début et fin
• Langue de l’app choisie : sur le serveur et, en complément, localement sur l’appareil
• Messages d’assistance : contenu et métadonnées de la fonctionnalité de feedback « Chat with us »
• Journaux de serveur des prestataires : p. ex. adresse IP, horodatages et données techniques de connexion chez les prestataires d’hébergement et de backend

3.6 Site web et pages légales dans l’app

Les paramètres d’affichage, comme le thème, sont stockés localement sur l’appareil. La langue de l’app choisie est décrite dans les données d’utilisation. Nous n’utilisons pas de services tiers d’analyse publicitaire.

Sur le site web de présentation, nous ne stockons, pour la mesure d’audience, que des compteurs agrégés de pages vues (jour calendaire et chemin, p. ex. le nombre de chargements de / un jour donné). Nous ne créons aucun compte utilisateur à cette fin, ne déposons aucun cookie et ne stockons aucune adresse IP ni identifiant d’appareil pour ce compteur. Ces chiffres servent à disposer d’une vue d’ensemble du produit et de l’audience (y compris les statistiques internes des managers).

Dans l’app, les conditions générales d’utilisation, la politique de confidentialité, les mentions légales et le contact sont accessibles sous Settings → Legal (liens vers bjj.app).

3.7 Fonctionnalités payantes

Les abonnements Premium sont gérés via l’Apple App Store et Google Play ; ces plateformes traitent les données de paiement et contractuelles selon leurs propres politiques de confidentialité.

4. Finalités et bases légales (RGPD)

Finalité	Base légale (art. 6 RGPD)
Fourniture de l’app, du compte utilisateur et de l’accès invité	Contrat (art. 6, § 1, b) ou mesures précontractuelles
Stockage des contenus d’entraînement et de communauté	Contrat
Communauté, modération, sécurité	Contrat ; intérêts légitimes (f)
Analyse produit (sessions, interactions, langue, pays ; agrégée)	Intérêt légitime à une app stable et utilisable
Assistance et communication	Contrat / intérêts légitimes
Obligations légales (p. ex. conservation de documents)	Obligation légale (c)
Champs de profil facultatifs	Contrat ; consentement (a) lorsqu’ils sont purement volontaires
Exploitation du site web	Intérêts légitimes / contrat
Compteurs agrégés de pages vues du site web (jour/chemin, sans identifiants personnels)	Intérêt légitime à une vue d’ensemble de l’audience (f)

Nous n’utilisons pas de décision automatisée ni de profilage au sens de l’art. 22 RGPD.

5. Destinataires et sous-traitants

Prestataire	Rôle	Données habituelles
Nhost	Backend : authentification, base de données, functions	Compte, profil, entraînement, communauté, données d’utilisation ; UE (eu-central-1)
Bunny	Streaming/stockage vidéo, CDN (p. ex. grapllab-open.b-cdn.net)	Vidéos, métadonnées de flux, journaux d’accès
Vercel	Hébergement du site web de présentation	IP, journaux d’accès
Apple / Google	Distribution de l’app et abonnements sur les stores	selon la plateforme

Des accords de sous-traitance (art. 28 RGPD) ont été conclus avec Nhost, Bunny.net et Vercel [TODO: retain proof/contract copies with the provider].

D’autres destinataires peuvent intervenir lorsque cela est nécessaire à l’exploitation.

6. Transferts internationaux

Nhost est exploité dans l’UE. Bunny et Vercel peuvent traiter des données en dehors de l’UE/EEE (p. ex. aux États-Unis). Lorsque cela est requis, nous nous appuyons sur des garanties appropriées (p. ex. les clauses contractuelles types de l’UE).

7. Durées de conservation

• Compte et profil : pendant toute la durée de vie du compte ; après la suppression dans l’app, sans délai dans les systèmes de production, sauf obligation légale de conservation ; les sauvegardes peuvent subsister brièvement (p. ex. 2 à 3 mois).
• Accès invité : les comptes invités sont supprimés automatiquement environ trois jours après leur création ; les données d’utilisation associées sont supprimées avec eux.
• Contenus d’entraînement, de journal et de communauté : jusqu’à leur suppression par vous ou par nous.
• Données d’utilisation (sessions, interactions) : uniquement le temps nécessaire à l’exploitation, à la sécurité et à l’amélioration du produit.
• Compteurs de pages vues du site web (agrégés) : le temps nécessaire à la vue d’ensemble de l’audience et au pilotage du produit.
• Journaux de serveur des prestataires : selon la politique de conservation de chaque prestataire.
• Documents fiscaux et de facturation : jusqu’à 10 ans si des paiements interviennent à l’avenir.

8. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité des données et du droit de vous opposer aux traitements fondés sur des intérêts légitimes.

• Contact : info@grapllab.de (objet « Privacy »)
• Effacement : également via Settings → Delete account dans l’app (suppression sans délai, sous réserve de la mise en œuvre technique)
• Consentement : vous pouvez le retirer en supprimant votre compte ou par e-mail lorsque le traitement est fondé sur le consentement
• Réclamation auprès d’une autorité de contrôle, p. ex. l’autorité de protection des données du Bade-Wurtemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

En règle générale, nous répondons dans un délai d’un mois.

Nous ne proposons pas actuellement de fonctionnalité automatisée d’export de données ; les demandes d’accès sont traitées sur demande.

9. Cookies et stockage local

• App : données de connexion et de session via le service d’authentification ; aucun cookie publicitaire tiers. Les paramètres d’affichage, comme le thème, peuvent être stockés localement sur l’appareil.
• Site web : stockage techniquement nécessaire (p. ex. le thème localement sur l’appareil) ; connexions à l’hébergement et au CDN.

Aucune bannière de cookies marketing distincte n’est nécessaire, car nous n’utilisons pas ce type de suivi.

10. Contenus publics et mineurs

Les vidéos publiques sont visibles par les utilisateurs de la communauté connectés. Ne téléversez que des contenus que vous êtes autorisé à partager.

Le service n’est pas destiné aux personnes de moins de 18 ans (voir les conditions générales d’utilisation). Il n’existe pas de vérification systématique de l’âge.

11. Sécurité

Les données sont transmises de manière chiffrée (TLS/HTTPS). Les mots de passe sont stockés sous forme hachée par le service d’authentification. L’accès à la base de données est restreint par rôle (p. ex. user, guest, premium).

12. Modifications

Nous pouvons mettre à jour la présente politique. La version en vigueur est disponible sur /datenschutz. Les modifications substantielles seront communiquées de manière appropriée (p. ex. dans l’app ou par e-mail).

1. Titolare del trattamento

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

Non è stato nominato un responsabile della protezione dei dati; il titolare del trattamento è il contatto indicato sopra.

2. Panoramica

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB (l’app su bjj.app e il sito web di marketing) è una piattaforma di allenamento e apprendimento del Brazilian Jiu-Jitsu. Trattiamo dati personali per fornire gli account, gestire le funzioni di allenamento e di community ed erogare il servizio in modo sicuro.

3. Dati che trattiamo

3.1 Account e autenticazione

• Indirizzo e-mail e password (registrazione e accesso)
• ID utente e dati di accesso/sessione tramite il nostro servizio di autenticazione
• Verifica dell’e-mail in fase di registrazione (prevista), reimpostazione della password e modifica dell’e-mail
• Nessun Gravatar: non utilizziamo Gravatar; le immagini del profilo provengono dal tuo caricamento o da un avatar dell’app, non da un servizio di terzi basato sul tuo indirizzo e-mail

3.2 Profilo

Se li fornisci: ad es. nome e cognome, immagine del profilo, cintura, peso, data di nascita, biografia, link ai social (Instagram, TikTok, ecc.).

3.3 Allenamento e contenuti dell’app

Tecniche in focus, livelli, note, game plans, “My Game”, voci di diario/allenamento (data, soddisfazione, intensità, round), progressi nei moduli, check-in giornaliero, tecniche e sequenze personalizzate.

3.4 Community

Caricamenti di video pubblici e privati, commenti, like, moduli della community e contenuti di altri utenti che visualizzi o fai tuoi.

3.5 Dati di utilizzo e dati tecnici

Trattiamo i seguenti dati di utilizzo e dati tecnici per tutte le forme di utilizzo con accesso effettuato (account registrato e accesso come ospite), nella misura in cui la relativa funzione venga utilizzata:

• Interazioni nell’app: ad es. su quali aree si tocca, eventualmente collegate a tecniche o video
• Sessioni dell’app: versione dell’app, piattaforma, tipo di dispositivo, Paese, inizio e fine
• Lingua dell’app scelta: sul server e, in aggiunta, localmente sul dispositivo
• Messaggi di assistenza: contenuto e metadati della funzione di feedback “Chat with us”
• Log dei server dei fornitori: ad es. indirizzo IP, marche temporali e dati tecnici di connessione presso i fornitori di hosting e di backend

3.6 Sito web e pagine legali nell’app

Le impostazioni di visualizzazione, come il tema, sono memorizzate localmente sul dispositivo. La lingua dell’app scelta è descritta nei dati di utilizzo. Non utilizziamo servizi di analisi pubblicitaria di terzi.

Sul sito web di marketing, per la misurazione della copertura memorizziamo soltanto conteggi aggregati delle visualizzazioni di pagina (giorno di calendario e percorso, ad es. quante volte / è stato caricato in un determinato giorno). A tal fine non creiamo account utente, non impostiamo cookie e non memorizziamo indirizzi IP né identificativi del dispositivo per questo contatore. I dati servono ad avere una visione d’insieme del prodotto e della copertura (incluse le statistiche interne dei manager).

Nell’app, le condizioni d’uso, l’informativa sulla privacy, le note legali e i contatti sono disponibili in Settings → Legal (link a bjj.app).

3.7 Funzioni a pagamento

Gli abbonamenti Premium sono gestiti tramite l’Apple App Store e Google Play; tali piattaforme trattano i dati di pagamento e contrattuali in base alle proprie informative sulla privacy.

4. Finalità e basi giuridiche (GDPR)

Finalità	Base giuridica (art. 6 GDPR)
Erogazione dell’app, dell’account utente e dell’accesso come ospite	Contratto (art. 6, par. 1, lett. b) o misure precontrattuali
Conservazione dei contenuti di allenamento e della community	Contratto
Community, moderazione, sicurezza	Contratto; legittimi interessi (f)
Analisi di prodotto (sessioni, interazioni, lingua, Paese; aggregate)	Legittimo interesse a un’app stabile e utilizzabile
Assistenza e comunicazione	Contratto / legittimi interessi
Obblighi di legge (ad es. conservazione della documentazione)	Obbligo legale (c)
Campi di profilo facoltativi	Contratto; consenso (a) laddove puramente volontari
Gestione del sito web	Legittimi interessi / contratto
Conteggi aggregati delle visualizzazioni del sito web (giorno/percorso, senza identificativi personali)	Legittimo interesse alla visione d’insieme della copertura (f)

Non utilizziamo processi decisionali automatizzati né profilazione ai sensi dell’art. 22 GDPR.

5. Destinatari e responsabili del trattamento

Fornitore	Ruolo	Dati tipici
Nhost	Backend: autenticazione, database, functions	Account, profilo, allenamento, community, dati di utilizzo; UE (eu-central-1)
Bunny	Streaming/archiviazione video, CDN (ad es. grapllab-open.b-cdn.net)	Video, metadati di stream, log di accesso
Vercel	Hosting del sito web di marketing	IP, log di accesso
Apple / Google	Distribuzione dell’app e abbonamenti negli store	secondo la piattaforma

Sono stati stipulati accordi sul trattamento dei dati (art. 28 GDPR) con Nhost, Bunny.net e Vercel [TODO: retain proof/contract copies with the provider].

Ulteriori destinatari possono essere coinvolti ove necessario per l’esercizio del servizio.

6. Trasferimenti internazionali

Nhost è gestito nell’UE. Bunny e Vercel possono trattare dati al di fuori dell’UE/SEE (ad es. negli USA). Ove richiesto, ci basiamo su garanzie adeguate (ad es. clausole contrattuali standard dell’UE).

7. Conservazione

• Account e profilo: per la durata dell’account; dopo la cancellazione nell’app, senza indugio nei sistemi di produzione, salvo obblighi di conservazione previsti dalla legge; i backup possono persistere per breve tempo (ad es. 2–3 mesi).
• Accesso come ospite: gli account ospite vengono cancellati automaticamente circa tre giorni dopo la creazione; i relativi dati di utilizzo vengono rimossi con essi.
• Contenuti di allenamento, diario e community: fino alla cancellazione da parte tua o nostra.
• Dati di utilizzo (sessioni, interazioni): solo per il tempo necessario all’esercizio, alla sicurezza e al miglioramento del prodotto.
• Conteggi delle visualizzazioni del sito web (aggregati): per il tempo necessario alla visione d’insieme della copertura e alla gestione del prodotto.
• Log dei server dei fornitori: secondo la politica di conservazione di ciascun fornitore.
• Documentazione fiscale e di fatturazione: fino a 10 anni, qualora in futuro vi siano pagamenti.

8. I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione, portabilità dei dati e di opposizione ai trattamenti basati su legittimi interessi.

• Contatto: info@grapllab.de (oggetto “Privacy”)
• Cancellazione: anche tramite Settings → Delete account nell’app (cancellazione senza indugio, subordinata all’implementazione tecnica)
• Consenso: puoi revocarlo cancellando il tuo account o via e-mail, laddove il trattamento si basi sul consenso
• Reclamo a un’autorità di controllo, ad es. l’autorità per la protezione dei dati del Baden-Württemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

Di norma rispondiamo entro un mese.

Attualmente non offriamo una funzione automatizzata di esportazione dei dati; le richieste di accesso vengono gestite su richiesta.

9. Cookie e archiviazione locale

• App: dati di accesso e di sessione tramite il servizio di autenticazione; nessun cookie pubblicitario di terzi. Le impostazioni di visualizzazione, come il tema, possono essere memorizzate localmente sul dispositivo.
• Sito web: archiviazione tecnicamente necessaria (ad es. il tema localmente sul dispositivo); connessioni verso hosting e CDN.

Non è necessario un banner separato per i cookie di marketing, poiché non utilizziamo questo tipo di tracciamento.

10. Contenuti pubblici e minori

I video pubblici sono visibili agli utenti della community che hanno effettuato l’accesso. Carica solo contenuti che sei autorizzato a condividere.

Il servizio non è rivolto a persone di età inferiore a 18 anni (vedi le condizioni d’uso). Non è prevista una verifica sistematica dell’età.

11. Sicurezza

I dati vengono trasmessi in forma cifrata (TLS/HTTPS). Le password sono memorizzate sotto forma di hash dal servizio di autenticazione. L’accesso al database è limitato per ruolo (ad es. user, guest, premium).

12. Modifiche

Possiamo aggiornare la presente informativa. La versione in vigore è disponibile su /datenschutz. Le modifiche sostanziali saranno comunicate in modo adeguato (ad es. nell’app o via e-mail).

1. 管理者

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

データ保護責任者は選任していません。管理者は上記の連絡先です。

2. 概要

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB（bjj.app のアプリおよびマーケティングサイト）は、ブラジリアン柔術のトレーニング・学習プラットフォームです。当社は、アカウントの提供、トレーニングおよびコミュニティ機能の運用、ならびにサービスの安全な提供のために個人データを処理します。

3. 処理するデータ

3.1 アカウントおよび認証

• メールアドレスおよびパスワード（登録およびログイン）
• 認証サービスを介したユーザーIDおよびログイン／セッションデータ
• 登録時のメール認証（予定）、パスワードの再設定、メールアドレスの変更
• Gravatar は使用しません： 当社は Gravatar を使用しません。プロフィール画像は、お客様がアップロードした画像またはアプリ内のアバターに基づくものであり、メールアドレスに基づく第三者サービスによるものではありません

3.2 プロフィール

お客様が入力した場合：氏名、プロフィール画像、帯、体重、生年月日、自己紹介、ソーシャルリンク（Instagram、TikTok など）。

3.3 トレーニングおよびアプリのコンテンツ

フォーカス中のテクニック、レベル、ノート、game plans、「My Game」、ジャーナル／トレーニング記録（日付、満足度、強度、ラウンド数）、モジュールの進捗、デイリーチェックイン、カスタムテクニックおよびシーケンス。

3.4 コミュニティ

公開および非公開の動画アップロード、コメント、いいね、コミュニティモジュール、ならびにお客様が閲覧または取り込んだ他のユーザーのコンテンツ。

3.5 利用データおよび技術データ

当社は、ログインを伴うすべての利用形態（登録アカウントおよびゲストアクセス）について、該当機能が利用される範囲で、以下の利用データおよび技術データを処理します。

• アプリ内の操作： タップされた領域など（場合によりテクニックや動画と紐づけられます）
• アプリのセッション： アプリのバージョン、プラットフォーム、デバイスの種類、国、開始および終了
• 選択されたアプリの言語： サーバー上、および追加的にデバイス上のローカル
• サポートメッセージ：「Chat with us」フィードバック機能の内容およびメタデータ
• プロバイダーのサーバーログ： ホスティングおよびバックエンドのプロバイダーにおけるIPアドレス、タイムスタンプ、技術的な接続データなど

3.6 ウェブサイトおよびアプリ内の法的ページ

テーマなどの表示設定は、デバイス上にローカルで保存されます。選択されたアプリの言語については利用データの項目に記載しています。当社は第三者の広告分析サービスを使用しません。

マーケティングサイトでは、リーチ測定のために集計されたページビュー数（暦日とパス。例：ある日に / が何回読み込まれたか）のみを保存します。この目的でユーザーアカウントを作成することはなく、Cookie を設定することもなく、このカウンターのためにIPアドレスやデバイス識別子を保存することもありません。これらの数値は、プロダクトおよびリーチの全体像の把握（社内のマネージャー向け統計を含む）に用いられます。

アプリでは、利用規約、プライバシーポリシー、特定商取引法に基づく表記およびお問い合わせを Settings → Legal から確認できます（bjj.app へのリンク）。

3.7 有料機能

Premium サブスクリプションは Apple App Store および Google Play を通じて取り扱われます。これらのプラットフォームは、各社のプライバシーに関する通知に基づき、支払いおよび契約に関するデータを処理します。

4. 目的および法的根拠（GDPR）

目的	法的根拠（GDPR第6条）
アプリ、ユーザーアカウントおよびゲストアクセスの提供	契約（第6条1項(b)）または契約締結前の措置
トレーニングおよびコミュニティのコンテンツの保存	契約
コミュニティ、モデレーション、セキュリティ	契約、正当な利益 (f)
プロダクト分析（セッション、操作、言語、国。集計されたもの）	安定して利用可能なアプリに対する正当な利益
サポートおよび連絡	契約／正当な利益
法的義務（記録の保存など）	法的義務 (c)
任意のプロフィール項目	契約、純粋に任意の場合は同意 (a)
ウェブサイトの運営	正当な利益／契約
ウェブサイトの集計ページビュー数（日／パス、個人識別子なし）	リーチの全体像の把握に対する正当な利益 (f)

当社は、GDPR第22条にいう自動化された意思決定またはプロファイリングを行いません。

5. 提供先および処理者

プロバイダー	役割	主なデータ
Nhost	バックエンド：認証、データベース、functions	アカウント、プロフィール、トレーニング、コミュニティ、利用データ。EU（eu-central-1）
Bunny	動画のストリーミング／保存、CDN（例：grapllab-open.b-cdn.net）	動画、ストリームのメタデータ、アクセスログ
Vercel	マーケティングサイトのホスティング	IP、アクセスログ
Apple / Google	アプリの配信およびストアでのサブスクリプション	各プラットフォームに準じます

Nhost、Bunny.net および Vercel とは、データ処理契約（GDPR第28条）を締結しています [TODO: retain proof/contract copies with the provider]。

運用上必要な場合には、その他の提供先が生じることがあります。

6. 国外移転

Nhost はEU内で運用されています。Bunny および Vercel は、EU／EEA域外（米国など）でデータを処理する場合があります。必要な場合には、適切な保護措置（EU標準契約条項など）に依拠します。

7. 保存期間

• アカウントおよびプロフィール： アカウントが存続する期間。アプリ内での削除後は、法律により保存が義務付けられている場合を除き、本番システムから速やかに削除されます。バックアップには短期間（2〜3か月程度）残ることがあります。
• ゲストアクセス： ゲストアカウントは作成から約3日後に自動的に削除され、関連する利用データも併せて削除されます。
• トレーニング、ジャーナルおよびコミュニティのコンテンツ： お客様または当社が削除するまで。
• 利用データ（セッション、操作）： 運用、セキュリティおよびプロダクト改善に必要な期間のみ。
• ウェブサイトのページビュー数（集計）： リーチの全体像の把握およびプロダクト運営に必要な期間。
• プロバイダーのサーバーログ： 各プロバイダーの保存方針に従います。
• 税務および請求に関する記録： 将来的に支払いが発生する場合、最長10年。

8. お客様の権利

お客様は、アクセス、訂正、削除、制限、データポータビリティの権利、および正当な利益に基づく処理に対する異議申立ての権利を有します。

• 連絡先：info@grapllab.de（件名「Privacy」）
• 削除： アプリ内の Settings → Delete account からも可能です（技術的な実装の状況に応じて速やかに削除されます）
• 同意： 処理が同意に基づく場合、アカウントの削除またはメールによって同意を撤回できます
• 苦情申立て： 監督機関（例：バーデン=ヴュルテンベルク州データ保護監督機関（LfDI）、Lautenschlagerstraße 20, 70173 Stuttgart, Germany）へ

原則として1か月以内に回答します。

現在、自動化されたデータエクスポート機能は提供していません。アクセス請求はご依頼に応じて個別に対応します。

9. Cookie およびローカルストレージ

• アプリ： 認証サービスを介したログインおよびセッションデータ。第三者の広告Cookieは使用しません。テーマなどの表示設定は、デバイス上にローカルで保存されることがあります。
• ウェブサイト： 技術的に必要な保存（テーマをデバイス上にローカル保存するなど）、ホスティングおよびCDNへの接続。

当社はこの種のトラッキングを行わないため、マーケティングCookieに関する個別のバナーは必要ありません。

10. 公開コンテンツおよび未成年者

公開動画は、ログインしているコミュニティのユーザーに表示されます。共有する権利を有するコンテンツのみをアップロードしてください。

本サービスは18歳未満の方を対象としていません（利用規約をご参照ください）。年齢の体系的な確認は行っていません。

11. セキュリティ

データは暗号化（TLS/HTTPS）により送信されます。パスワードは認証サービスによりハッシュ化して保存されます。データベースへのアクセスはロール（user、guest、premium など）により制限されています。

12. 変更

当社は本ポリシーを更新することがあります。最新版は /datenschutz に掲載しています。重要な変更については、適切な方法（アプリ内またはメールなど）でお知らせします。

1. 관리자(Controller)

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

개인정보 보호책임자(DPO)는 별도로 선임하지 않았으며, 관리자는 위 연락처입니다.

2. 개요

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB(bjj.app의 앱 및 마케팅 웹사이트)은 브라질리언 주짓수 트레이닝·학습 플랫폼입니다. 당사는 계정 제공, 트레이닝 및 커뮤니티 기능 운영, 안전한 서비스 제공을 위해 개인정보를 처리합니다.

3. 당사가 처리하는 데이터

3.1 계정 및 인증

• 이메일 주소와 비밀번호(회원가입 및 로그인)
• 인증 서비스를 통한 사용자 ID 및 로그인/세션 데이터
• 회원가입 시 이메일 인증(예정), 비밀번호 재설정, 이메일 변경
• Gravatar 미사용: 당사는 Gravatar를 사용하지 않습니다. 프로필 이미지는 사용자가 업로드한 이미지 또는 앱 내 아바타에서 가져오며, 이메일 주소에 기반한 제3자 서비스에서 가져오지 않습니다

3.2 프로필

사용자가 입력한 경우: 예를 들어 이름과 성, 프로필 사진, 벨트, 체중, 생일, 자기소개, 소셜 링크(Instagram, TikTok 등).

3.3 트레이닝 및 앱 콘텐츠

포커스 테크닉, 레벨, 노트, game plans, “My Game”, 저널/트레이닝 기록(날짜, 만족도, 강도, 라운드), 모듈 진행 상황, 데일리 체크인, 사용자 지정 테크닉 및 시퀀스.

3.4 커뮤니티

공개 및 비공개 동영상 업로드, 댓글, 좋아요, 커뮤니티 모듈, 그리고 사용자가 열람하거나 가져온 다른 사용자의 콘텐츠.

3.5 이용 데이터 및 기술 데이터

당사는 로그인 상태의 모든 이용 형태(등록 계정 및 게스트 접속)에 대해, 해당 기능이 이용되는 범위에서 다음의 이용 데이터 및 기술 데이터를 처리합니다.

• 앱 내 상호작용: 예를 들어 어떤 영역을 탭했는지, 경우에 따라 테크닉이나 동영상과 연계됨
• 앱 세션: 앱 버전, 플랫폼, 기기 유형, 국가, 시작 및 종료
• 선택한 앱 언어: 서버에 저장되며, 추가로 기기에 로컬 저장
• 지원 메시지: “Chat with us” 피드백 기능의 내용 및 메타데이터
• 제공업체 서버 로그: 예를 들어 호스팅 및 백엔드 제공업체의 IP 주소, 타임스탬프, 기술적 연결 데이터

3.6 웹사이트 및 앱 내 법적 페이지

테마와 같은 표시 설정은 기기에 로컬로 저장됩니다. 선택한 앱 언어는 이용 데이터 항목에 설명되어 있습니다. 당사는 제3자 광고 분석 서비스를 사용하지 않습니다.

마케팅 웹사이트에서는 도달 범위 측정을 위해 집계된 페이지뷰 수(날짜와 경로, 예: 특정 날짜에 /가 몇 번 로드되었는지)만 저장합니다. 이를 위해 사용자 계정을 만들지 않고, 쿠키를 설정하지 않으며, 이 카운터를 위해 IP 주소나 기기 식별자를 저장하지 않습니다. 이 수치는 제품 및 도달 범위에 대한 개요 파악(내부 매니저 통계 포함)에 사용됩니다.

앱에서는 이용약관, 개인정보 처리방침, 법적 고지, 문의를 Settings → Legal에서 확인할 수 있습니다(bjj.app 링크).

3.7 유료 기능

Premium 구독은 Apple App Store 및 Google Play를 통해 처리되며, 해당 플랫폼은 각자의 개인정보 고지에 따라 결제 및 계약 데이터를 처리합니다.

4. 처리 목적 및 법적 근거(GDPR)

목적	법적 근거(GDPR 제6조)
앱, 사용자 계정 및 게스트 접속 제공	계약(제6조 제1항 (b)) 또는 계약 체결 전 조치
트레이닝 및 커뮤니티 콘텐츠 저장	계약
커뮤니티, 모더레이션, 보안	계약; 정당한 이익 (f)
제품 분석(세션, 상호작용, 언어, 국가; 집계)	안정적이고 사용 가능한 앱에 대한 정당한 이익
지원 및 커뮤니케이션	계약 / 정당한 이익
법적 의무(예: 기록 보관)	법적 의무 (c)
선택적 프로필 항목	계약; 순수하게 자발적인 경우 동의 (a)
웹사이트 운영	정당한 이익 / 계약
웹사이트의 집계된 페이지뷰 수(날짜/경로, 개인 식별자 없음)	도달 범위 개요에 대한 정당한 이익 (f)

당사는 GDPR 제22조상의 자동화된 의사결정이나 프로파일링을 수행하지 않습니다.

5. 수신자 및 처리자

제공업체	역할	일반적인 데이터
Nhost	백엔드: 인증, 데이터베이스, functions	계정, 프로필, 트레이닝, 커뮤니티, 이용 데이터; EU(eu-central-1)
Bunny	동영상 스트리밍/저장, CDN(예: grapllab-open.b-cdn.net)	동영상, 스트림 메타데이터, 접속 로그
Vercel	마케팅 웹사이트 호스팅	IP, 접속 로그
Apple / Google	앱 배포 및 스토어 구독	플랫폼에 따름

Nhost, Bunny.net, Vercel과는 개인정보 처리계약(GDPR 제28조)을 체결했습니다 [TODO: retain proof/contract copies with the provider].

운영에 필요한 경우 추가 수신자가 있을 수 있습니다.

6. 국외 이전

Nhost는 EU 내에서 운영됩니다. Bunny와 Vercel은 EU/EEA 외부(예: 미국)에서 데이터를 처리할 수 있습니다. 필요한 경우 당사는 적절한 보호 조치(예: EU 표준계약조항)에 근거합니다.

7. 보유 기간

• 계정 및 프로필: 계정이 유지되는 기간. 앱에서 삭제한 후에는 법률상 보관 의무가 없는 한 운영 시스템에서 즉시 삭제되며, 백업에는 짧은 기간(예: 2~3개월) 남아 있을 수 있습니다.
• 게스트 접속: 게스트 계정은 생성 후 약 3일이 지나면 자동으로 삭제되며, 관련 이용 데이터도 함께 삭제됩니다.
• 트레이닝, 저널 및 커뮤니티 콘텐츠: 사용자 또는 당사가 삭제할 때까지.
• 이용 데이터(세션, 상호작용): 운영, 보안 및 제품 개선에 필요한 기간 동안만.
• 웹사이트 페이지뷰 수(집계): 도달 범위 개요 및 제품 운영에 필요한 기간 동안.
• 제공업체 서버 로그: 각 제공업체의 보유 정책에 따름.
• 세무 및 청구 기록: 향후 결제가 발생하는 경우 최대 10년.

8. 사용자의 권리

사용자는 열람, 정정, 삭제, 처리 제한, 데이터 이동에 관한 권리 및 정당한 이익에 근거한 처리에 반대할 권리를 가집니다.

• 연락처: info@grapllab.de (제목 “Privacy”)
• 삭제: 앱의 Settings → Delete account를 통해서도 가능합니다(기술적 구현 상황에 따라 즉시 삭제)
• 동의: 처리가 동의에 근거하는 경우, 계정을 삭제하거나 이메일로 동의를 철회할 수 있습니다
• 감독기관에 대한 이의 제기: 예를 들어 바덴뷔르템베르크주 데이터보호 감독기관(LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

당사는 일반적으로 1개월 이내에 답변합니다.

현재 자동화된 데이터 내보내기 기능은 제공하지 않으며, 열람 요청은 요청에 따라 개별적으로 처리합니다.

9. 쿠키 및 로컬 저장소

• 앱: 인증 서비스를 통한 로그인 및 세션 데이터. 제3자 광고 쿠키는 사용하지 않습니다. 테마와 같은 표시 설정은 기기에 로컬로 저장될 수 있습니다.
• 웹사이트: 기술적으로 필요한 저장(예: 테마를 기기에 로컬 저장), 호스팅 및 CDN 연결.

당사는 이러한 유형의 추적을 사용하지 않으므로 별도의 마케팅 쿠키 배너는 필요하지 않습니다.

10. 공개 콘텐츠 및 미성년자

공개 동영상은 로그인한 커뮤니티 사용자에게 표시됩니다. 공유할 권리가 있는 콘텐츠만 업로드하십시오.

본 서비스는 18세 미만을 대상으로 하지 않습니다(이용약관 참조). 체계적인 연령 확인은 이루어지지 않습니다.

11. 보안

데이터는 암호화(TLS/HTTPS)되어 전송됩니다. 비밀번호는 인증 서비스에 의해 해시 처리되어 저장됩니다. 데이터베이스 접근은 역할(예: user, guest, premium)에 따라 제한됩니다.

12. 변경

당사는 본 방침을 업데이트할 수 있습니다. 최신 버전은 /datenschutz에서 확인할 수 있습니다. 중요한 변경 사항은 적절한 방법(예: 앱 내 또는 이메일)으로 알려드립니다.

1. Administrator

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

Nie powołano inspektora ochrony danych; administratorem jest podmiot wskazany w danych kontaktowych powyżej.

2. Przegląd

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB (aplikacja pod adresem bjj.app oraz strona marketingowa) to platforma treningowa i edukacyjna dla Brazilian Jiu-Jitsu. Przetwarzamy dane osobowe, aby udostępniać konta, prowadzić funkcje treningowe i społecznościowe oraz bezpiecznie świadczyć usługę.

3. Dane, które przetwarzamy

3.1 Konto i uwierzytelnianie

• Adres e-mail i hasło (rejestracja i logowanie)
• Identyfikator użytkownika oraz dane logowania/sesji za pośrednictwem naszej usługi uwierzytelniania
• Weryfikacja adresu e-mail przy rejestracji (planowana), resetowanie hasła i zmiana adresu e-mail
• Bez Gravatara: nie korzystamy z Gravatara; zdjęcia profilowe pochodzą z Twojego przesłanego pliku lub z awatara w aplikacji, a nie z usługi osoby trzeciej opartej na Twoim adresie e-mail

3.2 Profil

Jeśli je podasz: np. imię i nazwisko, zdjęcie profilowe, pas, waga, data urodzenia, opis, linki do mediów społecznościowych (Instagram, TikTok itp.).

3.3 Trening i treści w aplikacji

Techniki w fokusie, poziomy, notatki, game plans, „My Game”, wpisy dziennika/treningu (data, satysfakcja, intensywność, rundy), postęp w modułach, codzienny check-in, własne techniki i sekwencje.

3.4 Społeczność

Przesyłane filmy publiczne i prywatne, komentarze, polubienia, moduły społecznościowe oraz treści innych użytkowników, które wyświetlasz lub przejmujesz.

3.5 Dane o korzystaniu i dane techniczne

Następujące dane o korzystaniu i dane techniczne przetwarzamy dla wszystkich form korzystania po zalogowaniu (konto zarejestrowane i dostęp gościa), w zakresie, w jakim dana funkcja jest używana:

• Interakcje w aplikacji: np. które obszary są dotykane, ewentualnie powiązane z technikami lub filmami
• Sesje aplikacji: wersja aplikacji, platforma, typ urządzenia, kraj, początek i koniec
• Wybrany język aplikacji: na serwerze oraz dodatkowo lokalnie na urządzeniu
• Wiadomości do wsparcia: treść i metadane funkcji feedbacku „Chat with us”
• Logi serwerów dostawców: np. adres IP, znaczniki czasu i techniczne dane połączenia u dostawców hostingu i backendu

3.6 Strona internetowa i strony prawne w aplikacji

Ustawienia wyświetlania, takie jak motyw, są zapisywane lokalnie na urządzeniu. Wybrany język aplikacji opisano w danych o korzystaniu. Nie korzystamy z zewnętrznych usług analityki reklamowej.

Na stronie marketingowej do pomiaru zasięgu przechowujemy wyłącznie zagregowane liczby odsłon (dzień kalendarzowy i ścieżka, np. ile razy w danym dniu wczytano /). Nie tworzymy do tego celu kont użytkowników, nie stosujemy plików cookie i nie przechowujemy dla tego licznika adresów IP ani identyfikatorów urządzeń. Dane te służą do ogólnego obrazu produktu i zasięgu (w tym wewnętrznych statystyk dla managerów).

W aplikacji regulamin, polityka prywatności, nota prawna i kontakt są dostępne w Settings → Legal (linki do bjj.app).

3.7 Funkcje płatne

Subskrypcje Premium są obsługiwane przez Apple App Store i Google Play; platformy te przetwarzają dane płatnicze i umowne na podstawie własnych informacji o ochronie prywatności.

4. Cele i podstawy prawne (RODO)

Cel	Podstawa prawna (art. 6 RODO)
Udostępnianie aplikacji, konta użytkownika i dostępu gościa	Umowa (art. 6 ust. 1 lit. b) lub działania przed zawarciem umowy
Przechowywanie treści treningowych i społecznościowych	Umowa
Społeczność, moderacja, bezpieczeństwo	Umowa; prawnie uzasadnione interesy (f)
Analityka produktowa (sesje, interakcje, język, kraj; zagregowana)	Prawnie uzasadniony interes w stabilnej i użytecznej aplikacji
Wsparcie i komunikacja	Umowa / prawnie uzasadnione interesy
Obowiązki prawne (np. przechowywanie dokumentacji)	Obowiązek prawny (c)
Opcjonalne pola profilu	Umowa; zgoda (a), gdy są całkowicie dobrowolne
Prowadzenie strony internetowej	Prawnie uzasadnione interesy / umowa
Zagregowane liczby odsłon strony (dzień/ścieżka, bez identyfikatorów osobowych)	Prawnie uzasadniony interes w ogólnym obrazie zasięgu (f)

Nie stosujemy zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO.

5. Odbiorcy i podmioty przetwarzające

Dostawca	Rola	Typowe dane
Nhost	Backend: uwierzytelnianie, baza danych, functions	Konto, profil, trening, społeczność, dane o korzystaniu; UE (eu-central-1)
Bunny	Streaming/przechowywanie wideo, CDN (np. grapllab-open.b-cdn.net)	Filmy, metadane streamu, logi dostępu
Vercel	Hosting strony marketingowej	IP, logi dostępu
Apple / Google	Dystrybucja aplikacji i subskrypcje w sklepach	zależnie od platformy

Z Nhost, Bunny.net i Vercel zawarto umowy powierzenia przetwarzania danych (art. 28 RODO) [TODO: retain proof/contract copies with the provider].

W zakresie niezbędnym do działania usługi mogą wystąpić dalsi odbiorcy.

6. Przekazywanie danych do państw trzecich

Nhost działa w UE. Bunny i Vercel mogą przetwarzać dane poza UE/EOG (np. w USA). W razie potrzeby opieramy się na odpowiednich zabezpieczeniach (np. standardowych klauzulach umownych UE).

7. Okresy przechowywania

• Konto i profil: przez okres istnienia konta; po usunięciu w aplikacji niezwłocznie w systemach produkcyjnych, chyba że przepisy wymagają przechowywania; w kopiach zapasowych dane mogą pozostać krótko (np. 2–3 miesiące).
• Dostęp gościa: konta gości są usuwane automatycznie po około trzech dniach od utworzenia; powiązane dane o korzystaniu są usuwane razem z nimi.
• Treści treningowe, dziennik i treści społecznościowe: do momentu usunięcia przez Ciebie lub przez nas.
• Dane o korzystaniu (sesje, interakcje): tylko tak długo, jak jest to potrzebne do działania, bezpieczeństwa i rozwoju produktu.
• Liczby odsłon strony (zagregowane): tak długo, jak jest to potrzebne do ogólnego obrazu zasięgu i zarządzania produktem.
• Logi serwerów dostawców: zgodnie z polityką przechowywania danego dostawcy.
• Dokumentacja podatkowa i rozliczeniowa: do 10 lat, jeżeli w przyszłości wystąpią płatności.

8. Twoje prawa

Masz prawo do dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionych interesach.

• Kontakt: info@grapllab.de (temat „Privacy”)
• Usunięcie: także przez Settings → Delete account w aplikacji (niezwłoczne usunięcie, z zastrzeżeniem realizacji technicznej)
• Zgoda: możesz ją wycofać, usuwając konto lub pisząc e-mail, jeżeli przetwarzanie opiera się na zgodzie
• Skarga do organu nadzorczego, np. organu ochrony danych Badenii-Wirtembergii (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

Z reguły odpowiadamy w ciągu miesiąca.

Obecnie nie udostępniamy zautomatyzowanej funkcji eksportu danych; wnioski o dostęp realizujemy na żądanie.

9. Pliki cookie i pamięć lokalna

• Aplikacja: dane logowania i sesji za pośrednictwem usługi uwierzytelniania; brak reklamowych plików cookie osób trzecich. Ustawienia wyświetlania, takie jak motyw, mogą być zapisywane lokalnie na urządzeniu.
• Strona internetowa: przechowywanie technicznie niezbędne (np. motyw lokalnie na urządzeniu); połączenia z hostingiem i CDN.

Odrębny banner dotyczący marketingowych plików cookie nie jest konieczny, ponieważ nie stosujemy takiego śledzenia.

10. Treści publiczne i osoby nieletnie

Filmy publiczne są widoczne dla zalogowanych użytkowników społeczności. Przesyłaj wyłącznie treści, które masz prawo udostępniać.

Usługa nie jest skierowana do osób poniżej 18 lat (zob. regulamin). Nie prowadzimy systematycznej weryfikacji wieku.

11. Bezpieczeństwo

Dane są przesyłane w formie zaszyfrowanej (TLS/HTTPS). Hasła są przechowywane w formie skrótu (hash) przez usługę uwierzytelniania. Dostęp do bazy danych jest ograniczony według roli (np. user, guest, premium).

12. Zmiany

Możemy aktualizować niniejszą politykę. Aktualna wersja znajduje się pod adresem /datenschutz. O istotnych zmianach poinformujemy w odpowiedni sposób (np. w aplikacji lub e-mailem).

1. Контролёр данных

GraplLAB GbR
Karl-Marx-Str. 12, 68199 Mannheim, Germany
Email: info@grapllab.de · Phone: +49 157 55826216

Специалист по защите данных не назначен; контролёром данных является указанное выше контактное лицо.

2. Обзор

Feature-specific processing details (name, purpose, data, processors with address): Service description (EN/DE). This privacy text remains the general policy; LB is the function list.

GraplLAB (приложение на bjj.app и маркетинговый сайт) — это платформа для тренировок и обучения бразильскому джиу-джитсу. Мы обрабатываем персональные данные, чтобы предоставлять учётные записи, обеспечивать работу тренировочных и сообществных функций и безопасно оказывать услугу.

3. Какие данные мы обрабатываем

3.1 Учётная запись и аутентификация

• Адрес электронной почты и пароль (регистрация и вход)
• Идентификатор пользователя и данные входа/сессии через наш сервис аутентификации
• Подтверждение адреса электронной почты при регистрации (планируется), сброс пароля и изменение адреса электронной почты
• Без Gravatar: мы не используем Gravatar; изображения профиля берутся из загруженного вами файла или из аватара в приложении, а не из сторонней службы, работающей на основе вашего адреса электронной почты

3.2 Профиль

Если вы их укажете: например, имя и фамилия, изображение профиля, пояс, вес, дата рождения, описание, ссылки на соцсети (Instagram, TikTok и др.).

3.3 Тренировки и содержание приложения

Техники в фокусе, уровни, заметки, game plans, «My Game», записи дневника/тренировок (дата, удовлетворённость, интенсивность, раунды), прогресс по модулям, ежедневный чек-ин, пользовательские техники и последовательности.

3.4 Сообщество

Загрузка публичных и приватных видео, комментарии, отметки «нравится», модули сообщества, а также содержание других пользователей, которое вы просматриваете или перенимаете.

3.5 Данные об использовании и технические данные

Указанные ниже данные об использовании и технические данные мы обрабатываем при всех формах использования с выполненным входом (зарегистрированная учётная запись и гостевой доступ) в той мере, в какой используется соответствующая функция:

• Взаимодействия в приложении: например, по каким областям выполняются нажатия, при необходимости в связке с техниками или видео
• Сессии приложения: версия приложения, платформа, тип устройства, страна, начало и окончание
• Выбранный язык приложения: на сервере и дополнительно локально на устройстве
• Сообщения в поддержку: содержание и метаданные функции обратной связи «Chat with us»
• Серверные журналы поставщиков: например, IP-адрес, отметки времени и технические данные подключения у поставщиков хостинга и бэкенда

3.6 Сайт и правовые страницы в приложении

Настройки отображения, такие как тема, сохраняются локально на устройстве. Выбранный язык приложения описан в разделе о данных об использовании. Мы не используем сторонние сервисы рекламной аналитики.

На маркетинговом сайте для измерения охвата мы храним только агрегированные счётчики просмотров страниц (календарный день и путь, например сколько раз в определённый день был загружен /). Для этого мы не создаём учётные записи пользователей, не используем файлы cookie и не сохраняем для этого счётчика IP-адреса или идентификаторы устройств. Эти показатели служат для общего представления о продукте и охвате (включая внутреннюю статистику для менеджеров).

В приложении условия использования, политика конфиденциальности, правовая информация и контакты доступны в разделе Settings → Legal (ссылки на bjj.app).

3.7 Платные функции

Подписки Premium оформляются через Apple App Store и Google Play; эти платформы обрабатывают платёжные и договорные данные в соответствии со своими собственными уведомлениями о конфиденциальности.

4. Цели и правовые основания (GDPR)

Цель	Правовое основание (ст. 6 GDPR)
Предоставление приложения, учётной записи и гостевого доступа	Договор (ст. 6(1)(b)) или преддоговорные действия
Хранение тренировочного и сообществного содержания	Договор
Сообщество, модерация, безопасность	Договор; законные интересы (f)
Продуктовая аналитика (сессии, взаимодействия, язык, страна; агрегированная)	Законный интерес в стабильном и удобном приложении
Поддержка и коммуникация	Договор / законные интересы
Правовые обязанности (например, хранение документации)	Правовая обязанность (c)
Необязательные поля профиля	Договор; согласие (a), если они полностью добровольны
Работа сайта	Законные интересы / договор
Агрегированные счётчики просмотров страниц сайта (день/путь, без персональных идентификаторов)	Законный интерес в общем представлении об охвате (f)

Мы не применяем автоматизированное принятие решений и профилирование в смысле ст. 22 GDPR.

5. Получатели и обработчики

Поставщик	Роль	Типичные данные
Nhost	Бэкенд: аутентификация, база данных, functions	Учётная запись, профиль, тренировки, сообщество, данные об использовании; ЕС (eu-central-1)
Bunny	Стриминг/хранение видео, CDN (например, grapllab-open.b-cdn.net)	Видео, метаданные потоков, журналы доступа
Vercel	Хостинг маркетингового сайта	IP, журналы доступа
Apple / Google	Распространение приложения и подписки в магазинах	в зависимости от платформы

С Nhost, Bunny.net и Vercel заключены договоры об обработке данных (ст. 28 GDPR) [TODO: retain proof/contract copies with the provider].

При необходимости для обеспечения работы услуги могут появляться и другие получатели.

6. Передача данных за пределы ЕС

Nhost работает в ЕС. Bunny и Vercel могут обрабатывать данные за пределами ЕС/ЕЭЗ (например, в США). При необходимости мы опираемся на надлежащие гарантии (например, стандартные договорные условия ЕС).

7. Сроки хранения

• Учётная запись и профиль: в течение всего срока существования учётной записи; после удаления в приложении — незамедлительно в продуктивных системах, если законом не предусмотрено хранение; в резервных копиях данные могут сохраняться недолго (например, 2–3 месяца).
• Гостевой доступ: гостевые учётные записи удаляются автоматически примерно через три дня после создания; связанные данные об использовании удаляются вместе с ними.
• Тренировочное содержание, дневник и содержание сообщества: до момента удаления вами или нами.
• Данные об использовании (сессии, взаимодействия): только столько, сколько необходимо для работы, безопасности и улучшения продукта.
• Счётчики просмотров страниц сайта (агрегированные): столько, сколько необходимо для общего представления об охвате и управления продуктом.
• Серверные журналы поставщиков: согласно политике хранения каждого поставщика.
• Налоговая и расчётная документация: до 10 лет, если в будущем будут производиться платежи.

8. Ваши права

Вы имеете право на доступ, исправление, удаление, ограничение обработки, переносимость данных, а также право возражать против обработки, основанной на законных интересах.

• Контакт: info@grapllab.de (тема «Privacy»)
• Удаление: также через Settings → Delete account в приложении (незамедлительное удаление с учётом технической реализации)
• Согласие: если обработка основана на согласии, вы можете отозвать его, удалив учётную запись или написав нам по электронной почте
• Жалоба в надзорный орган, например в орган по защите данных Баден-Вюртемберга (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart, Germany

Как правило, мы отвечаем в течение одного месяца.

В настоящее время мы не предлагаем автоматизированную функцию экспорта данных; запросы на доступ обрабатываются по обращению.

9. Файлы cookie и локальное хранилище

• Приложение: данные входа и сессии через сервис аутентификации; сторонние рекламные файлы cookie не используются. Настройки отображения, такие как тема, могут сохраняться локально на устройстве.
• Сайт: технически необходимое сохранение данных (например, тема локально на устройстве); подключения к хостингу и CDN.

Отдельный баннер о маркетинговых файлах cookie не требуется, поскольку мы не используем такое отслеживание.

10. Публичное содержание и несовершеннолетние

Публичные видео видны авторизованным пользователям сообщества. Загружайте только то содержание, которое вы вправе публиковать.

Услуга не предназначена для лиц младше 18 лет (см. условия использования). Систематическая проверка возраста не проводится.

11. Безопасность

Данные передаются в зашифрованном виде (TLS/HTTPS). Пароли хранятся сервисом аутентификации в виде хеша. Доступ к базе данных ограничен по ролям (например, user, guest, premium).

12. Изменения

Мы можем обновлять настоящую политику. Актуальная версия доступна по адресу /datenschutz. О существенных изменениях мы сообщим надлежащим образом (например, в приложении или по электронной почте).