Datenschutzerklärung
Zuletzt aktualisiert: 2026-06-02
UnifyBox wird von Bestami Caner Kınalı („wir", „uns" oder „unser") betrieben, einem in der Türkei eingetragenen Einzelunternehmen. Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten wir erheben, wenn Sie UnifyBox nutzen, wie wir sie verwenden, an wen wir sie weitergeben und welche Rechte Ihnen nach dem KVKK (Türkei), der DSGVO (EU/EWR) und vergleichbaren Gesetzen zustehen. Sie gilt für Betreiber (unsere Kunden) und für die Endnutzer (deren Kunden), deren Konversationen über unsere Plattform laufen.
1. Verantwortlicher
Verantwortlicher ist Bestami Caner Kınalı. Steuernummer: 5561006332. Eingetragene Anschrift: Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkei. Datenschutzkontakt: [email protected]. Service-URL: https://app.unifybox.io.
2. Welche Informationen wir erheben
Betreiber-Kontodaten: Name, E-Mail-Adresse, Workspace-Name, Passwort-Hash, Zahlungsdaten (verarbeitet durch LemonSqueezy – vollständige Kartennummern sehen wir niemals). Endnutzer-Konversationsdaten: Wenn ein Kunde ein Unternehmen über einen mit UnifyBox verbundenen Kanal kontaktiert (WhatsApp Business API, Instagram, Messenger), erhalten wir den Inhalt seiner Nachricht, die Kanalkennung (Telefonnummer oder Social-Media-Handle), Zeitstempel sowie alle von ihm gesendeten Medien. Integrations-Zugangsdaten: Wenn Sie einen Drittanbieterdienst verbinden, speichern wir ein OAuth-Zugriffstoken samt zugehörigem Refresh-Token, beschränkt auf die für die jeweilige Funktion erforderlichen Mindestberechtigungen. Zugangsdaten werden im Ruhezustand mit AES-256 verschlüsselt. Nutzungstelemetrie: API-Anfragen, Nutzung von KI-Modellen (Token-Anzahl, Modell-ID), Fehlerereignisse sowie grundlegende Browser-/IP-Metadaten zu Sicherheits- und Kapazitätsplanungszwecken.
3. Google-API-Dienste
Wenn Sie Google Calendar verbinden, greift UnifyBox in Ihrem Namen auf zwei Berechtigungsbereiche zu: https://www.googleapis.com/auth/calendar.readonly (um die Kalender Ihres Kontos aufzulisten, damit Sie auswählen können, welchen der KI-Agent verwendet, und um Frei-/Belegt-Zeiträume zu lesen, bevor einem Kunden ein Terminvorschlag unterbreitet wird) und https://www.googleapis.com/auth/calendar.events (um Termine zu erstellen, zu aktualisieren, zu verschieben oder abzusagen, wenn Sie oder unser KI-Agent auf eine Kundenanfrage reagieren). Die Verwendung und Weitergabe von Informationen, die UnifyBox über Google-APIs erhält, entspricht der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), einschließlich der Limited-Use-Anforderungen. Wir geben Google-Nutzerdaten nicht an Dritte weiter (mit Ausnahme der in Abschnitt 7 aufgeführten Auftragsverarbeiter, die in unserem Auftrag handeln und vertraglich auf denselben Umfang beschränkt sind), wir verwenden Google-Nutzerdaten nicht für Werbung, wir verwenden sie nicht zum Trainieren generischer oder fremder KI-/ML-Modelle, und wir gestatten Menschen den Zugriff darauf nur, soweit dies zwingend erforderlich ist – etwa aus Sicherheitsgründen, zur Behebung eines von Ihnen gemeldeten Problems oder zur Einhaltung geltenden Rechts. Sie können den Zugriff von Google auf UnifyBox jederzeit unter https://myaccount.google.com/permissions widerrufen, wodurch das für Ihr Konto gespeicherte Refresh-Token umgehend ungültig wird; wir löschen das gespeicherte Token innerhalb von 24 Stunden.
4. Meta-Plattformen (WhatsApp, Instagram, Messenger)
Betreiber verbinden WhatsApp Business Accounts, Instagram-Professional-Konten und Facebook-Seiten über den OAuth-Ablauf von Meta. Wir erhalten ausschließlich die Zugriffstokens, die zum Senden und Empfangen von Nachrichten auf den verbundenen Kanälen sowie zum Auslesen von Konfigurations-Metadaten (Telefonnummern-ID, Unternehmensname, Seitenname) erforderlich sind. Telefonnummern und Social-Media-Handles von Endnutzern werden in unserer Datenbank gespeichert, damit Ihr Team oder der KI-Agent antworten kann. Wir halten die WhatsApp Business Platform Terms (24-Stunden-Kundenservicefenster, Regeln für Vorlagennachrichten, Handhabung von Opt-outs) sowie die Plattformbedingungen von Meta ein. Wir verwenden aus Meta abgeleitete Daten nicht für Werbung oder das Training von KI-Modellen. Endnutzer können den weiteren Nachrichtenempfang jederzeit abbestellen, indem sie mit „DUR" oder „STOP" antworten – wir berücksichtigen Opt-outs unverzüglich und geben sie an den verbundenen Betreiber weiter. Endnutzer können außerdem die Löschung ihres Konversationsverlaufs verlangen, indem sie sich an den Betreiber wenden oder uns unter [email protected] schreiben.
5. Verbundene Commerce- und Kalenderintegrationen
Betreiber können Commerce-Plattformen (Shopify, ikas, WooCommerce, Shopier, Trendyol, Hepsiburada) und Kalenderanbieter (Google Calendar, Calendly) verbinden. Für jede Verbindung speichern wir nur die Zugangsdaten, die erforderlich sind, um die jeweilige API im Auftrag des Betreibers aufzurufen – in der Regel ein OAuth-Token samt identifizierender Metadaten (Shop-Domain, Kalender-E-Mail). Jede Integration ruft ausschließlich die für ihre Funktion erforderlichen Endpunkte auf (Produkt-/Bestandsdaten lesen, Frei-/Belegt-Zeiten lesen, Termine erstellen oder aktualisieren). Zahlungsdaten dieser Plattformen speichern oder verarbeiten wir niemals. Die vollständige Liste der verbindbaren Anbieter sowie die jeweils angeforderten Berechtigungen werden zum Zeitpunkt der Verbindung auf dem OAuth-Einwilligungsbildschirm angezeigt. Das Trennen einer Integration über den Assistenten widerruft unseren Zugriff umgehend und löst die Löschung des Tokens innerhalb von 24 Stunden aus.
6. Wie wir Ihre Informationen verwenden
Wir verwenden die oben genannten Daten, um: den von Ihnen abonnierten Messaging-Posteingang und die KI-Antworten bereitzustellen; in Ihrem Namen Drittanbieter-APIs (Shopify, Google Calendar, Meta usw.) aufzurufen, wenn Ihr Team oder unsere KI eine Aktion ausführt, die dies erfordert; Ihren Workspace über LemonSqueezy abzurechnen; Betrug und Missbrauch zu verhindern; gesetzliche Pflichten zu erfüllen (z. B. die steuerliche Aufbewahrung von Unterlagen für bis zu 10 Jahre gemäß türkischem Recht); und die Produktzuverlässigkeit durch aggregierte, nicht identifizierende Telemetrie zu verbessern. Wir verkaufen keine personenbezogenen Daten. Wir verwenden weder Google-Nutzerdaten noch Meta-Nutzerdaten noch Endnutzer-Konversationsinhalte zum Trainieren von KI-/ML-Modellen.
7. Datenweitergabe und Auftragsverarbeiter
Wir geben personenbezogene Daten ausschließlich an Auftragsverarbeiter weiter, die den Dienst in unserem Auftrag betreiben: Hetzner Online GmbH (Deutschland, EU) – primäres Infrastruktur-Hosting; Supabase (selbst gehostet auf unserer Hetzner-Infrastruktur) – primäre Datenbank und Authentifizierung; Cloudflare R2 – verschlüsselte Medienspeicherung (in Konversationen hochgeladene Bilder, Sprachnachrichten, Dokumentanhänge); Google Gemini API – KI-Modell-Inferenz für Agentenantworten (zustandslose Aufrufe; der Anbieter speichert Eingaben in unserem API-Tarif nicht über den Lebenszyklus der Anfrage hinaus); Meta (WhatsApp, Instagram, Messenger) – Empfangen und Senden von Nachrichten im Auftrag der Betreiber; LemonSqueezy – Zahlungsabwicklung; die in Abschnitt 5 aufgeführten verbundenen Commerce- und Kalenderanbieter – ausschließlich bei Aktionen, die Sie oder Ihr KI-Agent auslösen. Alle Auftragsverarbeiter sind vertraglich zu DSGVO-/KVKK-gleichwertigen Schutzmaßnahmen verpflichtet. Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Werbetreibende weiter.
8. Datenspeicherung und Sicherheit
Primäre Anwendungsdaten (Konten, Konversationen, Integrations-Tokens) werden auf Hetzner-Servern in Deutschland (EU) in einer selbst gehosteten Supabase-Bereitstellung gespeichert. Mediendateien (in Konversationen gesendete Bilder, Sprachnachrichten, Dokumentanhänge) werden im Ruhezustand verschlüsselt in Cloudflare R2 gespeichert – diese Dateien sind nur über signierte URLs zugänglich, die für kurze Zeiträume gültig sind. Der gesamte Datenverkehr wird während der Übertragung über TLS 1.2 oder höher verschlüsselt. Integrations-Zugangsdaten (Google-OAuth-Refresh-Tokens, Meta-Zugriffstokens, API-Schlüssel von Commerce-Plattformen) werden im Ruhezustand mit AES-256 verschlüsselt. Der Zugriff auf Produktivsysteme ist auf autorisiertes Personal mit protokollierten Zugangsdaten beschränkt. Wir überwachen verdächtige Aktivitäten und beheben sicherheitsrelevante Abhängigkeiten zeitnah. Bis zum oben genannten Datum haben wir keine Datenschutzverletzung erlebt; sollte dies jemals der Fall sein, werden betroffene Nutzer gemäß Artikel 33 DSGVO innerhalb von 72 Stunden benachrichtigt.
9. Aufbewahrung von Daten
Aktive Workspace-Daten werden aufbewahrt, solange das Konto aktiv ist. Geschlossene Workspaces werden 30 Tage lang zur Wiederherstellung aufbewahrt und anschließend dauerhaft gelöscht, sofern wir nicht gesetzlich zu einer längeren Aufbewahrung verpflichtet sind (türkisches Steuerrecht: bis zu 10 Jahre für Rechnungen und Finanzunterlagen). Verbundene Integrations-Tokens (Google Calendar, Meta, Commerce) werden innerhalb von 24 Stunden nach der Trennung gelöscht. KI-Nutzungsprotokolle werden 90 Tage lang aufbewahrt und anschließend aggregiert; rohe Konversationsinhalte bleiben erhalten, solange der Workspace aktiv ist, und werden bei Kontoschließung vorbehaltlich der 30-tägigen Schonfrist gelöscht. Mediendateien in Cloudflare R2 folgen demselben Lebenszyklus wie die Konversation, zu der sie gehören. Endnutzer können die Löschung ihres Konversationsverlaufs jederzeit verlangen, indem sie sich an den Betreiber wenden oder uns unter [email protected] schreiben – wir löschen innerhalb von 30 Tagen nach einer verifizierten Anfrage.
10. Ihre Rechte (KVKK und DSGVO)
Nach dem KVKK (Türkei), der DSGVO (EU/EWR) und vergleichbaren Gesetzen haben Sie das Recht: auf Auskunft über die von uns gespeicherten personenbezogenen Daten; auf Berichtigung unrichtiger Daten; auf Löschung Ihrer Daten (vorbehaltlich gesetzlicher Aufbewahrungspflichten); auf Einschränkung der Verarbeitung oder Widerspruch dagegen; auf Erhalt eines portablen Exports Ihrer Daten; auf Widerruf der Einwilligung, soweit die Verarbeitung auf einer Einwilligung beruht; und auf Beschwerde bei der Aufsichtsbehörde (KVKK Kurumu in der Türkei, Ihre lokale Datenschutzbehörde in der EU). Um eines dieser Rechte auszuüben, schreiben Sie an [email protected] – wir antworten innerhalb von 30 Tagen. Endnutzer (Kunden der Betreiber): Wenden Sie sich zunächst an den Betreiber; bleibt das Anliegen ungelöst, kontaktieren Sie uns direkt.
11. Cookies
Wir verwenden essenzielle Cookies für Authentifizierung, Sicherheit und Sitzungsverwaltung. Optionale Analyse-Cookies können in Ihren Browsereinstellungen oder über unser Cookie-Einwilligungsbanner gesteuert werden. Wir verwenden keine Werbe- oder Tracking-Cookies, die Sie über das Web hinweg verfolgen.
12. Datenschutz von Kindern
UnifyBox ist ein B2B-Produkt, das für Unternehmen bestimmt ist. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Wenn Sie der Ansicht sind, dass ein Kind uns personenbezogene Daten übermittelt hat, schreiben Sie an [email protected], und wir werden diese löschen.
13. Internationale Datenübermittlungen
Unsere primäre Infrastruktur befindet sich in Deutschland (EU). Einige Auftragsverarbeiter sind anderswo tätig (Google Gemini, Meta-Server in den Vereinigten Staaten und anderen Ländern) – in diesen Fällen werden Daten unter den einschlägigen rechtlichen Mechanismen übermittelt (EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse oder Gleichwertiges nach Artikel 9 KVKK).
14. Änderungen und Kontakt
Wir aktualisieren das Datum „Zuletzt aktualisiert", wenn sich diese Richtlinie ändert. Wesentliche Änderungen werden mindestens 30 Tage im Voraus innerhalb der App und an die hinterlegte Konto-E-Mail-Adresse angekündigt. Datenschutzfragen, Beschwerden, KVKK-/DSGVO-Rechtsanträge: [email protected]. Postanschrift: Bestami Caner Kınalı, Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkei.