Wer wofür verantwortlich ist

Die Daten Ihrer Kunden gehören Ihnen. Ceptio verarbeitet sie ausschließlich in Ihrem Auftrag. In der Sprache der DSGVO: Ihre Werkstatt ist der Verantwortliche und Ceptio ist der Auftragsverarbeiter. Das ist keine Formalität – es bestimmt, wer was darf. Wir entscheiden nicht selbst, was mit den Daten Ihrer Kunden geschieht; wir tun das, was Nova für ihre Arbeit braucht, und nichts darüber hinaus.

Konkret heißt das: Wir verwenden die Gespräche Ihrer Kunden nicht für unser eigenes Marketing, wir verkaufen sie nicht weiter und wir nutzen sie nicht, um KI-Modelle zu trainieren. Wenn Sie die Zusammenarbeit mit Ceptio beenden, erhalten Sie Ihre Daten ausgehändigt und wir löschen sie bei uns. Zu Beginn der Zusammenarbeit schließen wir einen Auftragsverarbeitungsvertrag, in dem das festgehalten ist. Den lesen Sie vorher, nicht hinterher.

Welche Daten Nova verarbeitet

Nur das, was für einen Termin nötig ist. Nicht mehr.

• Die Telefonnummer des Kunden – denn von dort kommt das WhatsApp-Gespräch.
• Den Namen, wenn der Kunde ihn nennt oder er bereits im Werkstattsystem steht.
• Kennzeichen und Fahrzeugdaten – Marke, Typ und das, was im Kennzeichenregister öffentlich über das Auto bekannt ist.
• Den Inhalt des Gesprächs – die Nachrichten des Kunden und die Antworten von Nova.
• Termindaten – Datum, Uhrzeit und die Beschreibung der Beanstandung für den Mechaniker.

Nova fragt nicht nach einem Geburtsdatum, einer Steuer-Identifikationsnummer, Zahlungsdaten oder anderem, was für einen Werkstatttermin nicht nötig ist. Schickt ein Kunde so etwas von sich aus, verwendet Nova es nicht.

Die Rechtsgrundlage

Die Verarbeitung erfolgt zur Erfüllung eines Vertrags: Der Kunde möchte einen Termin, und dafür werden diese Daten benötigt. Der Kunde beginnt das Gespräch immer selbst – Nova schreibt niemanden ungefragt an.

Wo die Daten liegen

Ceptio baut nicht alles selbst. Wir setzen eine kleine Zahl von Anbietern ein, und die stehen hier vollständig, samt Verwendungszweck. Das sind unsere Unterauftragsverarbeiter.

Setzen wir einen neuen Anbieter ein, der Kundendaten berührt, teilen wir das mindestens 30 Tage vorher mit. Sind Sie damit nicht einverstanden, können Sie die Zusammenarbeit innerhalb dieser Frist kostenfrei beenden.

Die Antwort von Nova stammt aus einem Sprachmodell. Der Gesprächstext geht daher an Anthropic, damit die Antwort formuliert werden kann. Anthropic verwendet Daten, die über die API eingehen, nicht zum Trainieren von Modellen. Das ist für uns der Grund, sie einzusetzen, und zugleich der Grund, warum Nova nie mehr Daten mitsendet, als für diese eine Antwort nötig ist.

Zwei Anbieter sitzen außerhalb der EU. Die Verarbeitung bei Anthropic findet in den Vereinigten Staaten statt, ebenso bei Netlify, das nur das Formular dieser Website berührt und keine Kundengespräche. Für diese Übermittlung gelten die Standardvertragsklauseln der Europäischen Kommission. Die Gespräche und Termine selbst werden innerhalb der EU gespeichert.

Wie lange wir es aufbewahren

• Gespräche: 12 Monate, danach werden sie gelöscht.
• Termindaten: Die stehen in Ihrem Werkstattsystem und unterliegen Ihren eigenen Aufbewahrungsfristen.
• Bei Beendigung: Innerhalb von 30 Tagen nach dem Ende der Zusammenarbeit löschen wir alles, was bei uns liegt, oder händigen es Ihnen aus, wenn Ihnen das lieber ist.

Bittet ein Kunde um Löschung, führen wir sie auf Ihren Wunsch aus, auch vor Ablauf der zwölf Monate.

Wie wir es absichern

• Der gesamte Verkehr zwischen dem Kunden, Nova und den Systemen dahinter läuft über verschlüsselte Verbindungen.
• Die Datenbank ist nicht öffentlich erreichbar. Der Zugriff läuft ausschließlich über den Server, nie direkt aus einem Browser.
• Schlüssel und Passwörter liegen in geschützten Umgebungsvariablen, nicht im Code der Website, den ein Besucher lesen kann.
• Das Dashboard ist durch einen Zugangsschlüssel geschützt; ohne diesen Schlüssel gibt der Server keinerlei Daten heraus.
• Nur die beiden Gründer von Ceptio haben Zugang zur Produktionsumgebung.
• Eingehende Nachrichten werden auf Echtheit geprüft, damit sich niemand als WhatsApp ausgeben kann.
• Sie können jedes Gespräch jederzeit übernehmen. Nova schweigt dann, bis Sie das Gespräch wieder an sie zurückgeben – die Werkstatt behält die Kontrolle.

Wenn doch etwas schiefgeht

Entdecken wir eine Datenschutzverletzung, melden wir sie Ihnen als Werkstatt ohne unnötige Verzögerung, mit dem, was wir wissen: was passiert ist, welche Daten betroffen sind und was wir dagegen tun. Die Meldung an die Aufsichtsbehörde nehmen Sie vor; wir liefern Ihnen alles, was Sie dafür brauchen.

Eine Schwachstelle gefunden?

Sehen Sie eine Schwachstelle in Nova, im Dashboard oder auf dieser Website, melden Sie sie bitte an security@ceptio.nl. Wir antworten innerhalb von 48 Stunden. Wenn Sie in gutem Glauben melden und nicht weiter gehen, als zum Nachweis nötig ist, unternehmen wir keine rechtlichen Schritte gegen Sie und veröffentlichen ohne Ihre Zustimmung nichts über Sie. Geben Sie uns bitte angemessene Zeit zur Behebung, bevor Sie es öffentlich machen.

Rechte der betroffenen Personen

Jede Person, deren Daten wir verarbeiten, hat das Recht, sie einzusehen, sie berichtigen oder löschen zu lassen oder sie in einer lesbaren Datei zu erhalten. Ebenso kann sie der Verarbeitung widersprechen. Da die Werkstatt der Verantwortliche ist, geht ein solcher Antrag grundsätzlich an die Werkstatt. Erreicht er uns, leiten wir ihn weiter und helfen der Werkstatt bei der Bearbeitung. Kommt jemand nicht weiter, kann er sich an die zuständige Datenschutz-Aufsichtsbehörde wenden. Für Ceptio als niederländisches Unternehmen ist das die Autoriteit Persoonsgegevens.