1. Controller

The controller under Art. 4(7) GDPR is:

KaryaQ (EXIST-Gründungsvorhaben, Gründungsteam)
c/o Hochschule Neubrandenburg
Brodaer Straße 2
17033 Neubrandenburg
Deutschland
Contact and support: hello@karyaq.com

KaryaQ is not yet an incorporated company.

2. Data protection officer

No data protection officer is designated, because the conditions of Art. 37 GDPR and § 38 BDSG are not met. Please send privacy questions to our contact and support address hello@karyaq.com.

3. Controller or processor

We are the controller for the processing described here. If an organisation uses KaryaQ Mail for its members, that organisation is the controller for its members' accounts and mail, and we process that data on its behalf as processor under Art. 28 GDPR.

4. What we process, why, and on what legal basis

4.1 Access to the service

Each request passes through Cloudflare (section 6) and reaches our servers. We process the IP address, time, requested address, HTTP status, data volume and the browser details your browser sends. To limit abuse we count requests per IP address in short windows (for example 120 requests per minute). The counters are kept in memory under a hash of the IP address and expire after one hour at the latest. Server logs are rotated by size and overwritten.

Legal basis: Art. 6(1)(f) GDPR. Legitimate interest: a secure and stable service and defence against attacks.

4.2 User account

Email address, display name, role, assigned mailboxes and account status.

Legal basis: Art. 6(1)(b) GDPR (contract for test access).

4.3 Sign-in and security

Password (stored only as a salted scrypt hash), authenticator secret (TOTP, encrypted with AES-256-GCM), passkey public keys (WebAuthn), recovery codes (stored only as hashes), short-lived sign-in challenges, sessions, failed-attempt counters, and a security log of events such as sign-in, the factor used, changes to security settings and administrative actions. The security log contains no mail content.

Legal basis: Art. 6(1)(b) GDPR for sign-in; Art. 6(1)(f) GDPR for the security log. Legitimate interest: protecting accounts against unauthorised access and investigating security incidents (see also Art. 32 GDPR).

4.4 Mail, attachments and calendar

Content and metadata of messages (sender, recipients, subject, time), attachments, folders and calendar entries. The mail server (Stalwart) runs on our servers in Germany. Uploaded attachments are scanned for malware by ClamAV on the same servers; for blocked files we record file name, type, size, checksum and result. In the test phase, delivery of mail to external recipients is not active.

Legal basis: Art. 6(1)(b) GDPR; for malware scanning Art. 6(1)(f) GDPR, with the legitimate interest of protecting users and systems.

4.5 Invitations

Accounts are created only by invitation. We process the email address (stored encrypted), display name, intended role, a one-time token (stored only as a hash) and its expiry.

Legal basis: Art. 6(1)(b) GDPR (steps before a contract).

4.6 Sign-in help

If you use "Get help" on the sign-in screen, we store the topic, your contact email and the details you enter, so that an administrator can help you. Up to 5 requests per hour are accepted from one IP address.

Legal basis: Art. 6(1)(b) GDPR; otherwise Art. 6(1)(f) GDPR, with the legitimate interest of restoring access.

4.7 Privacy requests

When you exercise your rights, we document the request and how we handled it.

Legal basis: Art. 6(1)(c) GDPR with Art. 12 to 22 and Art. 5(2) GDPR.

4.8 Legal holds

Messages under a legal hold are excluded from automatic deletion until the hold is lifted.

Legal basis: Art. 6(1)(c) GDPR where a legal duty applies; otherwise Art. 6(1)(f) GDPR, with the legitimate interest of establishing, exercising or defending legal claims.

5. Cookies and local storage

We only use cookies and local storage that are strictly necessary for the service you request. No consent is needed for this under § 25(2) no. 2 TDDDG (German Telecommunications Digital Services Data Protection Act, formerly TTDSG). We use no cookies for analytics, advertising or tracking.

• kq_mail_session: keeps you signed in. HttpOnly, SameSite=Strict, Secure. 8 hours or until sign-out.
• kq_mail_csrf: protects against cross-site request forgery. SameSite=Strict, Secure. 8 hours or until sign-out.
• kq_mail_challenge, kq_mail_webauthn_pending: a sign-in step in progress. HttpOnly, SameSite=Strict, Secure. 5 minutes.
• kq_mail_sso_state, kq_mail_sso_verifier: only for single sign-on. 5 minutes.
• Local storage kq-theme (light or dark), kq-lang (language), kq-last-email (last email used to sign in) and kq-presence (availability status). They stay in your browser until you delete them.

Cloudflare's protection functions can set a security cookie of their own in order to tell visitors from automated attacks. We do not use Cloudflare for analytics.

6. Recipients

• Hochschule Neubrandenburg, Brodaer Str. 2, 17033 Neubrandenburg, Germany: provides the server infrastructure (hosting) for the project in Germany. Processor under Art. 28 GDPR.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: all traffic passes through Cloudflare, which terminates the TLS connection and protects against overload attacks (DDoS). Cloudflare processes IP addresses and request metadata; content passes through its network in transit. Processor under Art. 28 GDPR. Legal basis: Art. 6(1)(f) GDPR, with the legitimate interest of a secure and available service.
• Administrators of your organisation, as far as their role allows.
• Public authorities, only where we are legally obliged (Art. 6(1)(c) GDPR).

Mail server, malware scanning, database and cache run on our servers in Germany and are not operated by third parties. We do not sell data.

7. Transfers to third countries

Through Cloudflare, data may be processed in the USA. The transfer is based on the EU-US Data Privacy Framework adequacy decision (Commission Implementing Decision (EU) 2023/1795 of 10 July 2023, Art. 45 GDPR). As a fallback, the Standard Contractual Clauses apply (Commission Implementing Decision (EU) 2021/914, Art. 46(2)(c) GDPR). You can request a copy at hello@karyaq.com. There are no other third-country transfers.

8. Retention

We keep data only as long as needed for its purpose (Art. 5(1)(e) GDPR) and then delete it (Art. 17 GDPR), unless a legal duty or a legal hold requires otherwise.

• Request counters: one hour at most.
• Sessions: 8 hours or until sign-out.
• Sign-in challenges: deleted one day after expiry or use.
• Deleted mail: recoverable for 30 days (default setting), then deleted automatically unless under a legal hold.
• Account, security and mailbox data: while the account exists; after that, deleted once no longer needed.
• Invitations, sign-in help requests, security log and privacy requests: deleted once no longer needed for their purpose or to demonstrate compliance (Art. 5(2) GDPR).
• Server logs: rotated by size and overwritten.

Test data may be reset during the test phase. Where possible, we announce this in advance.

9. Security

Measures under Art. 32 GDPR include: TLS for all connections and HTTP Strict Transport Security; mandatory two-factor sign-in (TOTP or passkey); scrypt password hashing; AES-256-GCM encryption of stored secrets; session tokens and recovery codes stored only as hashes; HttpOnly, Secure and SameSite=Strict cookies; role-based access; rate limits; malware scanning; a security log.

10. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and objection (Art. 21, section 11). If processing is based on consent, you can withdraw it at any time with effect for the future (Art. 7(3) GDPR). Write to our contact and support address hello@karyaq.com. We answer within one month (Art. 12(3) GDPR); in complex cases this can be extended by two months, and we will tell you why.

11. Right to object

12. Right to lodge a complaint

You may complain to a supervisory authority (Art. 77 GDPR), in particular in the Member State where you live or work or where the alleged infringement took place. The authority competent for us is the Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (State Commissioner for Data Protection and Freedom of Information of Mecklenburg-Western Pomerania), Werderstraße 74a, 19055 Schwerin, https://www.datenschutz-mv.de.

13. Obligation to provide data

There is no legal obligation to provide data (Art. 13(2)(e) GDPR). Without the account, sign-in and connection data, however, we cannot give you test access.

14. Automated decisions

There is no automated decision-making or profiling under Art. 22 GDPR. Rate limits and malware scanning are technical protections without legal or similarly significant effect on you.

15. Children

The service is not directed at persons under 16 (Art. 8 GDPR).

16. Changes

We update this policy when the service or the law changes. The date above shows the current version.

1. Verantwortlicher

Verantwortlicher nach Art. 4 Nr. 7 DSGVO ist:

KaryaQ (EXIST-Gründungsvorhaben, Gründungsteam)
c/o Hochschule Neubrandenburg
Brodaer Straße 2
17033 Neubrandenburg
Deutschland
Kontakt und Support: hello@karyaq.com

KaryaQ ist noch keine eingetragene Gesellschaft.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt, da die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Datenschutzfragen richten Sie bitte an unsere Adresse für Kontakt und Support hello@karyaq.com.

3. Verantwortlicher oder Auftragsverarbeiter

Für die hier beschriebenen Verarbeitungen sind wir Verantwortlicher. Nutzt eine Organisation KaryaQ Mail für ihre Mitglieder, ist diese Organisation Verantwortlicher für die Konten und E-Mails ihrer Mitglieder; wir verarbeiten diese Daten dann in ihrem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO.

4. Was wir verarbeiten, wozu und auf welcher Rechtsgrundlage

4.1 Zugriff auf den Dienst

Jede Anfrage läuft über Cloudflare (Abschnitt 6) und erreicht unsere Server. Wir verarbeiten IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Status, Datenmenge und die von Ihrem Browser übermittelten Browserangaben. Zur Begrenzung von Missbrauch zählen wir Anfragen je IP-Adresse in kurzen Zeitfenstern (zum Beispiel 120 Anfragen pro Minute). Die Zähler liegen unter einem Hashwert der IP-Adresse im Arbeitsspeicher und verfallen spätestens nach einer Stunde. Serverprotokolle werden nach Größe rotiert und überschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: ein sicherer und stabiler Dienst und die Abwehr von Angriffen.

4.2 Benutzerkonto

E-Mail-Adresse, Anzeigename, Rolle, zugeordnete Postfächer und Kontostatus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über den Testzugang).

4.3 Anmeldung und Sicherheit

Passwort (nur als gesalzener scrypt-Hashwert gespeichert), Authenticator-Geheimnis (TOTP, verschlüsselt mit AES-256-GCM), öffentliche Schlüssel von Passkeys (WebAuthn), Wiederherstellungscodes (nur als Hashwerte gespeichert), kurzlebige Anmelde-Challenges, Sitzungen, Zähler fehlgeschlagener Versuche sowie ein Sicherheitsprotokoll mit Ereignissen wie Anmeldung, verwendetem Faktor, Änderungen der Sicherheitseinstellungen und administrativen Handlungen. Das Sicherheitsprotokoll enthält keine E-Mail-Inhalte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Anmeldung; Art. 6 Abs. 1 lit. f DSGVO für das Sicherheitsprotokoll. Berechtigtes Interesse: Schutz der Konten vor unbefugtem Zugriff und Aufklärung von Sicherheitsvorfällen (siehe auch Art. 32 DSGVO).

4.4 E-Mails, Anhänge und Kalender

Inhalt und Metadaten von Nachrichten (Absender, Empfänger, Betreff, Zeit), Anhänge, Ordner und Kalendereinträge. Der Mailserver (Stalwart) läuft auf unseren Servern in Deutschland. Hochgeladene Anhänge prüft ClamAV auf denselben Servern auf Schadsoftware; für blockierte Dateien speichern wir Dateiname, Typ, Größe, Prüfsumme und Ergebnis. In der Testphase ist die Zustellung von E-Mails an externe Empfänger nicht aktiv.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Schadsoftware-Prüfung Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse am Schutz von Nutzenden und Systemen.

4.5 Einladungen

Konten werden nur auf Einladung angelegt. Wir verarbeiten E-Mail-Adresse (verschlüsselt gespeichert), Anzeigename, vorgesehene Rolle, ein Einmal-Token (nur als Hashwert gespeichert) und dessen Ablaufzeit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

4.6 Anmeldehilfe

Nutzen Sie auf dem Anmeldebildschirm „Hilfe holen“, speichern wir Thema, Ihre Kontakt-E-Mail-Adresse und Ihre Angaben, damit ein Administrator Ihnen helfen kann. Je IP-Adresse werden bis zu 5 Anfragen pro Stunde angenommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an der Wiederherstellung des Zugangs.

4.7 Datenschutzanfragen

Wenn Sie Ihre Rechte ausüben, dokumentieren wir die Anfrage und ihre Bearbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 und Art. 5 Abs. 2 DSGVO.

4.8 Aufbewahrungssperren (Legal Hold)

Nachrichten unter einer Aufbewahrungssperre sind bis zu deren Aufhebung von der automatischen Löschung ausgenommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO, soweit eine rechtliche Pflicht besteht; im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

5. Cookies und lokaler Speicher

Wir nutzen nur Cookies und lokalen Speicher, die für den von Ihnen gewünschten Dienst unbedingt erforderlich sind. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals TTDSG) nicht erforderlich. Cookies für Analyse, Werbung oder Tracking setzen wir nicht ein.

• kq_mail_session: hält Sie angemeldet. HttpOnly, SameSite=Strict, Secure. 8 Stunden oder bis zur Abmeldung.
• kq_mail_csrf: Schutz vor seitenübergreifender Anfragefälschung. SameSite=Strict, Secure. 8 Stunden oder bis zur Abmeldung.
• kq_mail_challenge, kq_mail_webauthn_pending: laufender Anmeldeschritt. HttpOnly, SameSite=Strict, Secure. 5 Minuten.
• kq_mail_sso_state, kq_mail_sso_verifier: nur bei Single Sign-on. 5 Minuten.
• Lokaler Speicher kq-theme (hell oder dunkel), kq-lang (Sprache), kq-last-email (zuletzt zur Anmeldung verwendete E-Mail-Adresse) und kq-presence (Verfügbarkeitsstatus). Sie bleiben in Ihrem Browser, bis Sie sie löschen.

Die Schutzfunktionen von Cloudflare können ein eigenes Sicherheits-Cookie setzen, um Besucher von automatisierten Angriffen zu unterscheiden. Für Analysezwecke nutzen wir Cloudflare nicht.

6. Empfänger

• Hochschule Neubrandenburg, Brodaer Str. 2, 17033 Neubrandenburg, Deutschland: stellt die Serverinfrastruktur (Hosting) für das Vorhaben in Deutschland bereit. Auftragsverarbeiter nach Art. 28 DSGVO.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: der gesamte Datenverkehr läuft über Cloudflare, das die TLS-Verbindung terminiert und vor Überlastungsangriffen (DDoS) schützt. Cloudflare verarbeitet IP-Adressen und Metadaten der Anfragen; Inhalte durchlaufen während der Übertragung sein Netzwerk. Auftragsverarbeiter nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an einem sicheren und verfügbaren Dienst.
• Administratoren Ihrer Organisation, soweit ihre Rolle dies erlaubt.
• Behörden, nur soweit wir rechtlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

Mailserver, Schadsoftware-Prüfung, Datenbank und Zwischenspeicher laufen auf unseren Servern in Deutschland und werden nicht von Dritten betrieben. Wir verkaufen keine Daten.

7. Übermittlung in Drittländer

Über Cloudflare können Daten in den USA verarbeitet werden. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023, Art. 45 DSGVO). Hilfsweise gelten die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission, Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie über hello@karyaq.com. Weitere Drittlandübermittlungen finden nicht statt.

8. Speicherdauer

Wir speichern Daten nur so lange, wie es für ihren Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO), und löschen sie danach (Art. 17 DSGVO), soweit keine gesetzliche Pflicht oder Aufbewahrungssperre entgegensteht.

• Anfragezähler: höchstens eine Stunde.
• Sitzungen: 8 Stunden oder bis zur Abmeldung.
• Anmelde-Challenges: Löschung einen Tag nach Ablauf oder Verwendung.
• Gelöschte E-Mails: 30 Tage wiederherstellbar (Standardeinstellung), danach automatische Löschung, sofern keine Aufbewahrungssperre besteht.
• Konto-, Sicherheits- und Postfachdaten: solange das Konto besteht; danach Löschung, sobald sie nicht mehr benötigt werden.
• Einladungen, Anmeldehilfe-Anfragen, Sicherheitsprotokoll und Datenschutzanfragen: Löschung, sobald sie für ihren Zweck oder zum Nachweis der Einhaltung (Art. 5 Abs. 2 DSGVO) nicht mehr benötigt werden.
• Serverprotokolle: werden nach Größe rotiert und überschrieben.

Testdaten können während der Testphase zurückgesetzt werden. Wo möglich, kündigen wir das vorher an.

9. Sicherheit

Maßnahmen nach Art. 32 DSGVO sind unter anderem: TLS für alle Verbindungen und HTTP Strict Transport Security; verpflichtende Zwei-Faktor-Anmeldung (TOTP oder Passkey); Passwort-Hashing mit scrypt; Verschlüsselung gespeicherter Geheimnisse mit AES-256-GCM; Sitzungstoken und Wiederherstellungscodes nur als Hashwerte; Cookies mit HttpOnly, Secure und SameSite=Strict; rollenbasierte Zugriffe; Anfragebegrenzung; Schadsoftware-Prüfung; ein Sicherheitsprotokoll.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, Abschnitt 11). Beruht eine Verarbeitung auf Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Schreiben Sie an unsere Adresse für Kontakt und Support hello@karyaq.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); in komplexen Fällen kann sich die Frist um zwei Monate verlängern, worüber wir Sie mit Begründung informieren.

11. Widerspruchsrecht

12. Beschwerderecht

Sie können sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Werderstraße 74a, 19055 Schwerin, https://www.datenschutz-mv.de.

13. Pflicht zur Bereitstellung

Eine gesetzliche Pflicht zur Bereitstellung von Daten besteht nicht (Art. 13 Abs. 2 lit. e DSGVO). Ohne Konto-, Anmelde- und Verbindungsdaten können wir Ihnen jedoch keinen Testzugang geben.

14. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung oder ein Profiling nach Art. 22 DSGVO findet nicht statt. Anfragebegrenzung und Schadsoftware-Prüfung sind technische Schutzmaßnahmen ohne rechtliche oder ähnlich erhebliche Wirkung für Sie.

15. Kinder

Der Dienst richtet sich nicht an Personen unter 16 Jahren (Art. 8 DSGVO).

16. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Das Datum oben zeigt die aktuelle Fassung.

1. Administrator danych

Administratorem danych w rozumieniu art. 4 pkt 7 RODO jest:

KaryaQ (EXIST-Gründungsvorhaben, Gründungsteam)
c/o Hochschule Neubrandenburg
Brodaer Straße 2
17033 Neubrandenburg
Deutschland
Kontakt i wsparcie: hello@karyaq.com

KaryaQ nie jest jeszcze zarejestrowaną spółką.

2. Inspektor ochrony danych

Inspektor ochrony danych nie został wyznaczony, ponieważ nie są spełnione przesłanki art. 37 RODO ani § 38 BDSG (niemieckiej federalnej ustawy o ochronie danych). Pytania dotyczące ochrony danych prosimy kierować na nasz adres kontaktu i wsparcia hello@karyaq.com.

3. Administrator danych czy podmiot przetwarzający

W zakresie opisanego tu przetwarzania jesteśmy administratorem danych. Jeżeli organizacja korzysta z KaryaQ Mail dla swoich członków, to ona jest administratorem danych kont i wiadomości swoich członków, a my przetwarzamy te dane w jej imieniu jako podmiot przetwarzający zgodnie z art. 28 RODO.

4. Co przetwarzamy, w jakim celu i na jakiej podstawie prawnej

4.1 Dostęp do usługi

Każde żądanie przechodzi przez Cloudflare (punkt 6) i trafia na nasze serwery. Przetwarzamy adres IP, czas, żądany adres, status HTTP, ilość danych oraz informacje o przeglądarce przesyłane przez Twoją przeglądarkę. Aby ograniczyć nadużycia, liczymy żądania z danego adresu IP w krótkich przedziałach czasu (na przykład 120 żądań na minutę). Liczniki są przechowywane w pamięci operacyjnej pod skrótem (hash) adresu IP i wygasają najpóźniej po jednej godzinie. Logi serwera są rotowane według rozmiaru i nadpisywane.

Podstawa prawna: art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes: bezpieczna i stabilna usługa oraz obrona przed atakami.

4.2 Konto użytkownika

Adres e-mail, nazwa wyświetlana, rola, przypisane skrzynki pocztowe i status konta.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa o dostęp testowy).

4.3 Logowanie i bezpieczeństwo

Hasło (przechowywane wyłącznie jako solony skrót scrypt), sekret aplikacji uwierzytelniającej (TOTP, szyfrowany AES-256-GCM), klucze publiczne kluczy dostępu (WebAuthn), kody odzyskiwania (przechowywane wyłącznie jako skróty), krótkotrwałe wyzwania logowania, sesje, liczniki nieudanych prób oraz dziennik bezpieczeństwa zdarzeń takich jak logowanie, użyty składnik, zmiany ustawień bezpieczeństwa i czynności administracyjne. Dziennik bezpieczeństwa nie zawiera treści wiadomości.

Podstawa prawna: art. 6 ust. 1 lit. b RODO w zakresie logowania; art. 6 ust. 1 lit. f RODO w zakresie dziennika bezpieczeństwa. Prawnie uzasadniony interes: ochrona kont przed nieuprawnionym dostępem i wyjaśnianie incydentów bezpieczeństwa (zob. także art. 32 RODO).

4.4 Wiadomości, załączniki i kalendarz

Treść i metadane wiadomości (nadawca, odbiorcy, temat, czas), załączniki, foldery i wpisy w kalendarzu. Serwer pocztowy (Stalwart) działa na naszych serwerach w Niemczech. Przesłane załączniki są sprawdzane pod kątem złośliwego oprogramowania przez ClamAV na tych samych serwerach; w przypadku zablokowanych plików zapisujemy nazwę, typ, rozmiar, sumę kontrolną i wynik. W fazie testowej doręczanie wiadomości do odbiorców zewnętrznych nie jest aktywne.

Podstawa prawna: art. 6 ust. 1 lit. b RODO; w zakresie skanowania art. 6 ust. 1 lit. f RODO, z prawnie uzasadnionym interesem w ochronie użytkowników i systemów.

4.5 Zaproszenia

Konta są tworzone wyłącznie na podstawie zaproszenia. Przetwarzamy adres e-mail (przechowywany w postaci zaszyfrowanej), nazwę wyświetlaną, przewidzianą rolę, jednorazowy token (przechowywany wyłącznie jako skrót) i czas jego wygaśnięcia.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy).

4.6 Pomoc przy logowaniu

Jeżeli skorzystasz z opcji „Pomoc” na ekranie logowania, zapisujemy temat, Twój kontaktowy adres e-mail i podane informacje, aby administrator mógł Ci pomóc. Z jednego adresu IP przyjmujemy do 5 próśb na godzinę.

Podstawa prawna: art. 6 ust. 1 lit. b RODO; w pozostałym zakresie art. 6 ust. 1 lit. f RODO, z prawnie uzasadnionym interesem w przywróceniu dostępu.

4.7 Żądania dotyczące ochrony danych

Gdy wykonujesz swoje prawa, dokumentujemy żądanie i sposób jego załatwienia.

Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 12 do 22 oraz art. 5 ust. 2 RODO.

4.8 Blokady prawne (legal hold)

Wiadomości objęte blokadą prawną są wyłączone z automatycznego usuwania do czasu jej zniesienia.

Podstawa prawna: art. 6 ust. 1 lit. c RODO, jeżeli ciąży na nas obowiązek prawny; w pozostałym zakresie art. 6 ust. 1 lit. f RODO, z prawnie uzasadnionym interesem w ustaleniu, dochodzeniu lub obronie roszczeń.

5. Pliki cookie i pamięć lokalna

Używamy wyłącznie plików cookie i pamięci lokalnej bezwzględnie niezbędnych do świadczenia usługi, o którą prosisz. Zgoda nie jest do tego wymagana na podstawie § 25 ust. 2 pkt 2 TDDDG (niemieckiej ustawy o ochronie danych w telekomunikacji i usługach cyfrowych, dawniej TTDSG). Nie używamy plików cookie do celów analitycznych, reklamowych ani śledzenia.

• kq_mail_session: utrzymuje zalogowanie. HttpOnly, SameSite=Strict, Secure. 8 godzin lub do wylogowania.
• kq_mail_csrf: ochrona przed fałszowaniem żądań między witrynami. SameSite=Strict, Secure. 8 godzin lub do wylogowania.
• kq_mail_challenge, kq_mail_webauthn_pending: trwający etap logowania. HttpOnly, SameSite=Strict, Secure. 5 minut.
• kq_mail_sso_state, kq_mail_sso_verifier: tylko przy logowaniu jednokrotnym (single sign-on). 5 minut.
• Pamięć lokalna kq-theme (jasny lub ciemny wygląd), kq-lang (język), kq-last-email (ostatnio użyty adres e-mail do logowania) i kq-presence (status dostępności). Pozostają w przeglądarce, dopóki ich nie usuniesz.

Funkcje ochronne Cloudflare mogą ustawić własny plik cookie bezpieczeństwa, aby odróżnić odwiedzających od zautomatyzowanych ataków. Nie korzystamy z Cloudflare do celów analitycznych.

6. Odbiorcy

• Hochschule Neubrandenburg, Brodaer Str. 2, 17033 Neubrandenburg, Niemcy: zapewnia infrastrukturę serwerową (hosting) dla projektu w Niemczech. Podmiot przetwarzający zgodnie z art. 28 RODO.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: cały ruch przechodzi przez Cloudflare, który kończy połączenie TLS i chroni przed atakami przeciążeniowymi (DDoS). Cloudflare przetwarza adresy IP i metadane żądań; treści podczas przesyłania przechodzą przez jego sieć. Podmiot przetwarzający zgodnie z art. 28 RODO. Podstawa prawna: art. 6 ust. 1 lit. f RODO, z prawnie uzasadnionym interesem w bezpiecznej i dostępnej usłudze.
• Administratorzy Twojej organizacji, w zakresie, na jaki pozwala ich rola.
• Organy publiczne, wyłącznie gdy jesteśmy do tego prawnie zobowiązani (art. 6 ust. 1 lit. c RODO).

Serwer pocztowy, skanowanie pod kątem złośliwego oprogramowania, baza danych i pamięć podręczna działają na naszych serwerach w Niemczech i nie są obsługiwane przez podmioty trzecie. Nie sprzedajemy danych.

7. Przekazywanie do państw trzecich

Za pośrednictwem Cloudflare dane mogą być przetwarzane w USA. Podstawą jest decyzja stwierdzająca odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r., art. 45 RODO). Pomocniczo stosuje się standardowe klauzule umowne (decyzja wykonawcza Komisji (UE) 2021/914, art. 46 ust. 2 lit. c RODO). Kopię można otrzymać pod adresem hello@karyaq.com. Inne przekazania do państw trzecich nie mają miejsca.

8. Okres przechowywania

Przechowujemy dane tylko tak długo, jak jest to niezbędne do ich celu (art. 5 ust. 1 lit. e RODO), a następnie je usuwamy (art. 17 RODO), chyba że sprzeciwia się temu obowiązek prawny lub blokada prawna.

• Liczniki żądań: najwyżej jedna godzina.
• Sesje: 8 godzin lub do wylogowania.
• Wyzwania logowania: usuwane jeden dzień po wygaśnięciu lub użyciu.
• Usunięte wiadomości: możliwe do przywrócenia przez 30 dni (ustawienie domyślne), następnie usuwane automatycznie, o ile nie są objęte blokadą prawną.
• Dane konta, bezpieczeństwa i skrzynki: przez czas istnienia konta; następnie usuwane, gdy nie są już potrzebne.
• Zaproszenia, prośby o pomoc przy logowaniu, dziennik bezpieczeństwa i żądania dotyczące ochrony danych: usuwane, gdy nie są już potrzebne do ich celu lub do wykazania zgodności (art. 5 ust. 2 RODO).
• Logi serwera: rotowane według rozmiaru i nadpisywane.

W fazie testowej dane testowe mogą zostać zresetowane. W miarę możliwości uprzedzimy o tym z wyprzedzeniem.

9. Bezpieczeństwo

Środki zgodne z art. 32 RODO obejmują m.in.: TLS dla wszystkich połączeń i HTTP Strict Transport Security; obowiązkowe logowanie dwuskładnikowe (TOTP lub klucz dostępu); haszowanie haseł algorytmem scrypt; szyfrowanie przechowywanych sekretów AES-256-GCM; tokeny sesji i kody odzyskiwania przechowywane wyłącznie jako skróty; pliki cookie HttpOnly, Secure i SameSite=Strict; dostęp oparty na rolach; ograniczanie liczby żądań; skanowanie pod kątem złośliwego oprogramowania; dziennik bezpieczeństwa.

10. Twoje prawa

Przysługuje Ci prawo dostępu (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20) i sprzeciwu (art. 21, punkt 11). Jeżeli przetwarzanie opiera się na zgodzie, możesz ją w każdej chwili wycofać ze skutkiem na przyszłość (art. 7 ust. 3 RODO). Napisz na nasz adres kontaktu i wsparcia hello@karyaq.com. Odpowiadamy w terminie jednego miesiąca (art. 12 ust. 3 RODO); w skomplikowanych sprawach termin może zostać przedłużony o dwa miesiące, o czym poinformujemy Cię wraz z uzasadnieniem.

11. Prawo sprzeciwu

12. Prawo wniesienia skargi

Możesz wnieść skargę do organu nadzorczego (art. 77 RODO), w szczególności w państwie członkowskim swojego miejsca zamieszkania, pracy lub domniemanego naruszenia; w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych. Organem właściwym dla nas jest: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (Pełnomocnik ds. Ochrony Danych i Wolności Informacji Meklemburgii-Pomorza Przedniego), Werderstraße 74a, 19055 Schwerin, https://www.datenschutz-mv.de.

13. Obowiązek podania danych

Nie istnieje ustawowy obowiązek podania danych (art. 13 ust. 2 lit. e RODO). Bez danych konta, logowania i połączenia nie możemy jednak udostępnić dostępu testowego.

14. Zautomatyzowane decyzje

Nie stosujemy zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO. Ograniczanie liczby żądań i skanowanie pod kątem złośliwego oprogramowania to techniczne środki ochrony bez skutków prawnych ani podobnie istotnego wpływu na Ciebie.

15. Dzieci

Usługa nie jest skierowana do osób poniżej 16 roku życia (art. 8 RODO).

16. Zmiany

Aktualizujemy niniejszą politykę, gdy zmienia się usługa lub prawo. Data powyżej wskazuje aktualną wersję.