Datenschutzerklärung von Bilipito

Bilipito ist ein Dienst für die Sicherheit der Familie. Er hilft Eltern zu sehen, wo ihr Kind ist, wie sein Tag verlaufen ist und wann es Hilfe braucht. Hier steht, welche Daten wir erheben und wozu, wie lange wir sie speichern, an wen wir sie weitergeben und welche Rechte Sie haben.

Verantwortlicher für die Verarbeitung personenbezogener Daten:

• AIRSTREAM SRL, Republik Moldau
• IDNO (Steuernummer): 1018600007654 · USt-Code (cod TVA): 0508154
• Sitz: MD-2008, mun. Chișinău, str. Vasile Lupu 34/1, ap. 59
• Postanschrift (Büro): MD-2004, mun. Chișinău, str. Sfatul Țării 59, et. 2
• Anfragen zu personenbezogenen Daten und Fragen zum Datenschutz: [email protected]
• Alle anderen Fragen: [email protected]

„Wir“ ist in dieser Erklärung die AIRSTREAM SRL. „Sie“ ist eine erwachsene Person, die Bilipito nutzt: ein Elternteil, ein gesetzlicher Vertreter oder ein Erwachsener, den diese eingeladen haben. Wie der Dienst genutzt wird, regeln die Nutzungsbedingungen, wie bezahlt wird, die Zahlungs- und Abonnementbedingungen.

Bilipito gibt es für Android, iPhone, iPad und im Browser. Kommt eine Version für eine andere Plattform hinzu, aktualisieren wir diese Erklärung vorher und nennen die weiteren Anbieter, die an ihrem Betrieb beteiligt sind.

App-Kennungen: Bilipito: pasitos.airstream.md (Google Play), md.airstream.pasitos (App Store); Bilipito Kids: pasitoskids.airstream.md (Google Play), md.airstream.pasitoskids (App Store).

• Wir erheben Daten, damit die Familie weiß, wo das Kind ist und ob mit ihm alles in Ordnung ist.
• Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung.
• Das Kind schließt keinen Vertrag mit uns und legt kein Konto an. Seine Daten verarbeiten wir mit Einwilligung eines Elternteils oder eines anderen gesetzlichen Vertreters. Ab einem bestimmten Alter ist auch die Einwilligung des Kindes selbst nötig (Abschnitt 7).
• Bilipito Kids arbeitet offen: Dem Kind wird gezeigt, was die Familie sieht, und auf seinem Telefon ist ständig eine Benachrichtigung sichtbar, dass die App läuft.
• Ton und Kamera funktionieren nur live, es wird nichts aufgezeichnet (Abschnitt 11).
• Der detaillierte Bewegungsverlauf wird 30 Tage gespeichert und danach automatisch gelöscht.
• Konto und Daten können Sie jederzeit löschen (Abschnitt 16).

Bankkartendaten erhalten wir nicht: Die Zahlung wickelt vollständig Google Play oder der App Store ab.

Der Familieninhaber kann weitere Erwachsene einladen: den zweiten Elternteil, Großmutter, Großvater, eine Kinderbetreuung.

Ein eingeladener Erwachsener zahlt nicht für das Abonnement: Er belegt einen der Plätze im Abonnement des Inhabers.

Das Kind schließt keinen Vertrag mit uns. Auch der Vertrag mit dem Elternteil ist für sich allein keine Grundlage, die Daten des Kindes zu verarbeiten. Wir stützen uns auf folgende Rechtsgrundlagen:

• für die meisten Daten die Einwilligung des gesetzlichen Vertreters des Kindes und, wenn das Kind in seinem Land das Alter der digitalen Einwilligung erreicht hat, auch seine eigene Einwilligung (Abschnitt 7);
• für das SOS-Signal die Erfüllung des Vertrags mit dem Elternteil und die lebenswichtigen Interessen des Kindes;
• für das Protokoll der Live-Sitzungen mit Ton und Kamera, technische Protokolle und Absturzberichte unser berechtigtes Interesse: Sicherheit des Kindes, Schutz vor Missbrauch, Betrieb des Dienstes;
• für Einwilligungsnachweise die rechtliche Verpflichtung, die Einwilligung nachzuweisen.

Was wir nicht erheben: Kontakte, SMS, Anrufliste, Browserverlauf, Nachrichten in anderen Apps, Fotos aus der Galerie (außer einem Foto, das der Nutzer selbst als Avatar gewählt oder in den Familienchat geschickt hat), eingegebenen Text und Bildschirminhalte. Den Bedienungshilfen-Dienst von Android braucht Bilipito Kids nur für zwei Dinge: zu erkennen, welche App gerade geöffnet ist, und die Regeln der Eltern anzuwenden sowie das Bild-im-Bild-Fenster einer App zu schließen, die die Eltern gesperrt haben. Dazu prüft der Dienst, welche App auf dem Bildschirm ist, und den Titel eines solchen Fensters, um zu erkennen, zu welcher App es gehört. Der Titel wird nur auf dem Telefon geprüft und nirgendwohin gesendet. Eingegebenen Text und Bildschirminhalte liest der Dienst nicht; in den Bericht für die Eltern gelangt nur der Name der gesperrten App.

Wenn Bilipito Kids auf einem iPhone läuft. Zwecke und Speicherdauer sind dieselben wie in der Tabelle oben, iOS erhebt einige Daten aber anders:

• Berechtigungen: Standort „Immer“, „Bewegung & Fitness“ (Schritte), Benachrichtigungen, Mikrofon und Kamera (nur für Live-Sitzungen) sowie Bildschirmzeit. Die Zwecke sind dieselben wie unter Android.
• Bildschirmzeit und Limits funktionieren über Apples Screen Time API (Family Controls, ManagedSettings, DeviceActivity). Der Elternteil wählt Apps und Websites in der Systemauswahl von Apple. Wir erhalten und speichern nur die nicht lesbaren Token von Apple für die gewählten Apps sowie die Regeln der Eltern; aus diesen Token erfahren wir die Namen der Apps nicht. Detaillierte Berichte zur App-Nutzung auf dem iPhone erstellt Apple selbst auf dem Gerät (DeviceActivityReport), sie gelangen nicht auf unseren Server. Unser Server erhält nur die Information, dass eine Regel gegriffen hat oder ein Limit erreicht wurde, und um welche Regel es sich handelt. Die Liste der installierten Apps und „Was gerade geöffnet ist“ gibt es auf dem iPhone nicht.
• Den Bedienungshilfen-Dienst nutzt Bilipito Kids auf dem iPhone nicht.
• Absturzberichte erhebt dasselbe Firebase Crashlytics, mit denselben Daten und derselben Speicherdauer.

Anonymisierte Fußwege. Wurde eine Linie an verschiedenen Tagen begangen und hat ein Mitarbeiter von uns bestätigt, dass es ein echter Pfad ist, nehmen wir ihn in unsere Karte auf. Auf der Karte bleibt nur die Linie: ohne Kind, Familie, Gerät, Datum und Uhrzeit. Über eine solche Linie lässt sich keine Person ermitteln, daher ist sie kein personenbezogenes Datum. Solche Linien werden als Teil der Karte unbefristet gespeichert.

6.1. Bilipito Kids und die Regeln für Kinder-Apps

Bilipito Kids richtet sich an Kinder und Jugendliche und wird von einem Erwachsenen installiert. Die App enthält keine Werbung, keine Werbe-IDs (AAID/IDFA), keine Verhaltensanalyse und keine Käufe. Vom Telefon des Kindes erheben wir keine Seriennummern, keine IMEI, IMSI oder MAC-Adressen und keine Namen oder Adressen von WLAN-Netzen. Zum Schutz der kostenlosen Testphase wird bei der Verknüpfung des Telefons ein nicht umkehrbarer Hash der Gerätekennung (nicht der Werbe-ID) gesendet; daraus lassen sich weder das Kind noch das Telefon ermitteln (Abschnitt 6).

Unter Android enthält Bilipito Kids folgende Komponenten von Drittanbietern, alle von Google:

• Firebase Cloud Messaging: stellt Benachrichtigungen zu; erhält den Push-Token, die Firebase-Installations-ID und den Text der Benachrichtigung;
• Firebase Crashlytics: Absturzberichte, ab dem ersten Start der App; erhält den technischen Fehlerverlauf, das Telefonmodell, die System- und App-Version, den freien Arbeitsspeicher, die Installations-ID und Angaben zu App-Sitzungen; Speicherdauer 90 Tage;
• ML Kit Barcode-Scanner: erkennt den QR-Code zur Verknüpfung direkt auf dem Telefon. Diese Google-Komponente sendet an Google anonyme Kennzahlen dazu, wie die Funktion genutzt wird und wie sie arbeitet, zusammen mit einer Installationskennung; das Kamerabild und der Inhalt des Codes werden nicht gesendet;
• Google-Play-Dienste: bestimmen den Standort auf dem Telefon und prüfen über die Google-Play-App, ob es eine neuere Version von Bilipito Kids gibt. Aus der Update-Prüfung erhalten wir keine Daten.

Auf einem iPhone stellt der Apple Push Notification service die Benachrichtigungen zu, den QR-Code liest das Kamerasystem des iPhone selbst, und den Standort bestimmen die Ortungsdienste von iOS.

Die Daten des Kindes werden nicht an Dritte verkauft und nicht für deren eigene Zwecke weitergegeben, mit Ausnahme der technischen Kennzahlen von ML Kit, die Google für den Betrieb und die Verbesserung dieser Funktion nutzt.

Der gesetzliche Vertreter kann jederzeit die Daten des Kindes in der Bilipito-App einsehen, eine Kopie davon erhalten, sie berichtigen oder löschen und die weitere Erhebung ablehnen (das Telefon des Kindes trennen oder das Profil löschen): siehe Abschnitt 16, oder schreiben Sie an [email protected]. Die Einwilligung in die Erhebung der Daten des Kindes für den Betrieb von Bilipito ist keine Einwilligung in ihre Weitergabe an Dritte für deren eigene Zwecke; eine solche Weitergabe findet nicht statt.

Wir speichern die Daten des Kindes nur so lange, wie die Funktionen von Bilipito sie benötigen, gemäß den Fristen in Abschnitt 15, und speichern personenbezogene Daten eines Kindes niemals unbefristet.

7.1. Überprüfbare Einwilligung des gesetzlichen Vertreters

Das Kind registriert sich nicht selbst bei Bilipito. Sein Telefon verknüpft ein Erwachsener mit einem Bilipito-Konto.

1. Bei der ersten Anmeldung setzt der Erwachsene zwei getrennte Häkchen. Ohne beide kann er den Dienst nicht nutzen:
   • er nimmt die Nutzungsbedingungen an und bestätigt, dass er diese Erklärung gelesen hat;
   • er bestätigt, dass er Elternteil oder ein anderer gesetzlicher Vertreter des Kindes ist, und willigt in die Verarbeitung der Daten des Kindes ein. Ein eingeladener Erwachsener bestätigt stattdessen, dass ein Elternteil des Kindes ihn eingeladen hat.
2. Beim Hinzufügen eines Kindes gibt der Erwachsene dessen Altersgruppe im Verhältnis zur Altersgrenze der digitalen Einwilligung in seinem Land an (Abschnitt 7.2). Nach dem Geburtsdatum fragen wir nicht.
3. Prüfung. Wir prüfen den Erwachsenen mit angemessenen Mitteln, die dem Risiko entsprechen: Anmeldung mit bestätigter E-Mail-Adresse, Google-Play- oder App-Store-Abonnement auf den Namen des Inhabers, physischer Zugriff auf das Telefon des Kindes bei der Verknüpfung (Code oder QR-Code), offene Benachrichtigung auf dem Telefon des Kindes.
4. Nachweis. Jede Einwilligung wird als eigener Eintrag gespeichert, der sich nicht ändern lässt. Er enthält die Art der Einwilligung, Version und Fingerabdruck (Hash) des angezeigten Textes, die Serverzeit, die Plattform, die App-Version, die Sprache und die Anmeldeart. Die IP-Adresse wird nicht gespeichert.
5. Widerruf. Die Einwilligung kann jederzeit widerrufen werden: das Telefon des Kindes trennen, sein Profil oder das Konto löschen oder an [email protected] schreiben. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig. Nach dem Widerruf erheben wir keine Daten mehr vom Telefon des Kindes.
6. Wenn eine Bestätigung falsch war. Es kommt vor, dass jemand ein Telefon ohne Berechtigung verknüpft, etwa jemand, der kein Elternteil ist und ein fremdes Kind oder einen Erwachsenen überwacht. Erfahren wir davon oder haben wir begründete Zweifel, können wir die Datenerhebung von diesem Telefon stoppen und um einen Nachweis der Berechtigung bitten. Kommt kein Nachweis, löschen wir die ohne ordnungsgemäße Erlaubnis erhobenen Daten und sperren das Konto (siehe Nutzungsbedingungen). Einen solchen Fall können Sie an [email protected] melden.

7.2. Alter des Kindes und seine eigene Einwilligung

Die Altersgrenze der digitalen Einwilligung ist in jedem Land anders. In der Republik Moldau liegt sie bei 14 Jahren (Gesetz Nr. 195/2024). In den Ländern der EU und des EWR gelten nationale Grenzen von 13 bis 16 Jahren, im Vereinigten Königreich und in den USA 13 Jahre. Ist das Land unbekannt, wenden wir 16 Jahre an.

• Kind unter der Altersgrenze. Es entscheidet der gesetzliche Vertreter. Bei der Verknüpfung zeigt das Telefon dem Kind in einfachen Worten, was die Familie sieht, und das Kind tippt auf „Weiter“. Das ist eine Information, keine Einwilligung. Dass sie angezeigt wurde, speichern wir.
• Kind von der Altersgrenze bis 17 Jahre (oder Alter nicht angegeben). Zusätzlich zur Einwilligung des gesetzlichen Vertreters ist die Einwilligung des Kindes selbst nötig. Auf seinem Telefon erscheint derselbe Text, und das Kind tippt auf „Ich verstehe es und bin einverstanden, fortzufahren“. Ohne das wird das Telefon nicht verknüpft.

7.3. Wenn das Kind älter wird

• Das Kind erreicht die Altersgrenze der digitalen Einwilligung. Wurde das Kind als „unter der Altersgrenze“ hinzugefügt, muss der gesetzliche Vertreter uns bei Erreichen der Grenze an [email protected] schreiben (wir ändern die Altersgruppe) und das Telefon des Kindes neu verknüpfen. Dabei sieht das Kind erneut, was die Familie sieht, und kann selbst einwilligen. Willigt es nicht ein, wird das Telefon nicht verknüpft und die Datenerhebung von ihm endet.
• Volljährigkeit (18 Jahre). Bilipito ist nicht dafür gedacht, Erwachsene zu überwachen. Wird das Kind 18, muss die Überwachung enden: Der gesetzliche Vertreter trennt das Telefon und löscht das Profil des Kindes. Bittet das volljährig gewordene Kind darum, kann es vor der Löschung eine Kopie seiner Daten erhalten. Schreiben Sie dafür an [email protected].

7.4. Was das Kind sieht

Bevor Bilipito Kids Berechtigungen anfragt und den Code scannt, zeigt die App dem Kind den Bildschirm „Was die Familie sieht“ mit einem Link zu dieser Erklärung. Solange die App läuft, ist auf dem Telefon des Kindes ständig eine Benachrichtigung sichtbar. Während einer Live-Sitzung mit Ton oder Kamera erscheinen eine eigene Benachrichtigung und die Systemanzeige für Mikrofon oder Kamera.

• Der Familieninhaber ist der Erwachsene, der die Familie angelegt hat und das Abonnement bezahlt. Er lädt andere Erwachsene ein und entfernt sie, legt ihre Rechte fest, fügt Kinder hinzu und entfernt sie. Der Inhaber ist dafür verantwortlich, dass eingeladene Personen eine rechtmäßige Grundlage haben, die Daten des Kindes zu sehen.
• Ein eingeladener Erwachsener (zweiter Elternteil, Oma, Kinderbetreuung…) kommt per Einladung in die Familie. Für jedes Kind entscheidet der Inhaber, ob die eingeladene Person den Verlauf sehen, Zonen verwalten und Ton und Kamera einschalten darf.
• Eine Familie kann bis zu 4 Erwachsene (einschließlich des Inhabers) und bis zu 8 Kinder haben.
• Entzug des Zugriffs. Der Inhaber kann jederzeit eine Einladung widerrufen oder einen Erwachsenen aus der Familie entfernen. Der Zugriff endet sofort. Eine eingeladene Person kann die Familie auch selbst verlassen. Die Daten der Familie bleiben beim Inhaber.
• Das Kind sieht, welche Erwachsenen zur Familie gehören und wer sie sind („Mama“, „Papa“, „Oma“).

Ein Erwachsener aus der Familie kann einen befristeten Link erstellen und einer nahestehenden Person zeigen, wo das Kind gerade ist.

• Wer ihn öffnen kann: jeder, der den Link hat, ohne Konto. Der Link enthält einen zufälligen Schlüssel, der praktisch nicht zu erraten ist.
• Was zu sehen ist: der Anzeigename des Kindes, wo es gerade auf der Karte ist, Genauigkeit und Zeit der Messung, die Gültigkeitsdauer des Links. Verlauf, Akkustand, Adresse und andere Daten sind über den Link nicht zu sehen.
• Gültigkeit: 15 Minuten bis 72 Stunden, nach Wahl des Erwachsenen. Der Link lässt sich sofort widerrufen.
• Protokolle: Wir protokollieren das Erstellen und Widerrufen des Links (Sicherheitsprotokoll, 90 Tage). Wer den Link wann geöffnet hat, protokollieren wir nicht. Die IP-Adresse der öffnenden Person brauchen wir nur für einige Minuten, zum Schutz vor Missbrauch. Der Eintrag zum Link selbst wird 30 Tage nach Ablauf oder Widerruf gespeichert.
• Die Seite des Links ist für Suchmaschinen gesperrt.
• Wird ein Konto gelöscht, werden alle damit erstellten Links widerrufen.
• Wem der Link geschickt wird, verantwortet die Person, die ihn erstellt hat.

Daten der Empfänger des Links: IP-Adresse (für einige Minuten) und Abrufe von Kartenbildern bei OpenFreeMap (Abschnitt 14).

Cloudflare Web Analytics kommt ohne Cookies aus und verfolgt Sie nicht auf anderen Websites. Die Website hat keine Formulare und keine Werbe- oder Tracking-Cookies. Schriften (Google Fonts), Bibliotheken der Website (jsDelivr) und Kartenbilder (OpenFreeMap) werden von den Servern dieser Anbieter geladen, deshalb sehen sie Ihre IP-Adresse.

Unser Besuchszähler läuft auf unserem eigenen Server, ohne Cookies, ohne Browserspeicher und ohne Drittanbieter. Er erhält nur bekannte Seitenadressen, niemals Kennungen oder Tokens; der Gerätetyp wird aus den Angaben des Browsers (User-Agent) abgeleitet. Um einen Besucher nur einmal pro Tag zu zählen, berechnet der Server einen Hash mit einem geheimen „Salt“ aus dem Netzwerkteil der IP-Adresse (/24 oder /64), den Angaben des Browsers und dem Datum. Dieser Hash wird nur im Arbeitsspeicher des Servers (Redis) höchstens 48 Stunden lang aufbewahrt und dann gelöscht; die IP-Adresse selbst wird nicht gespeichert. Gespeichert werden nur Tagessummen (Aufrufe und Besucher) nach Seite, Sprache, Quelle, Land und Gerätetyp. Sie sind nicht mit Konten, Kindern oder Standortdaten verknüpft.

Woher die Daten überhaupt kommen: von Ihnen; vom Telefon des Kindes (Bilipito Kids); von Google Play oder aus dem App Store (Kauf); von Google (Anmeldung mit Google: Name und bestätigte E-Mail-Adresse); von Apple (Anmeldung mit Apple: Name und E-Mail-Adresse oder die private Weiterleitungsadresse von Apple).

Ein Erwachsener mit dem entsprechenden Recht kann hören, was um das Kind herum geschieht, oder durch die Kamera seines Telefons schauen. Zum Beispiel, wenn das Kind nicht antwortet.

• Eine Sitzung startet nur ein Erwachsener. Sie dauert höchstens 10 Minuten; bei Bedarf kann der Erwachsene eine neue starten.
• Während der Sitzung sind auf dem Telefon des Kindes eine Benachrichtigung und die Systemanzeige für Mikrofon oder Kamera zu sehen.
• Ton und Bild werden live und verschlüsselt zwischen den Telefonen übertragen (WebRTC). Klappt keine direkte Verbindung, leitet unser Relay-Server den Datenstrom weiter. Entschlüsseln kann er ihn nicht.
• Es wird nichts aufgezeichnet: weder auf unseren Servern noch auf dem Telefon des Kindes noch auf dem der Eltern. Eine Aufnahmefunktion gibt es in Bilipito nicht.
• Wir speichern nur die Tatsache der Sitzung (wer, für welches Kind, wann) – 90 Tage.

Diese Funktionen dürfen nur gemäß den Nutzungsbedingungen genutzt werden. Zum Beispiel ist es verboten, andere Erwachsene und Fremde abzuhören oder zu filmen, die Sitzung mit fremden Mitteln aufzuzeichnen oder die Funktionen dort einzuschalten, wo Menschen besondere Privatsphäre erwarten.

Den Familienchat gibt es für Familien mit aktivem Abonnement.

• Der Server arbeitet wie ein „Briefträger“. Eine Nachricht wird vom Server gelöscht, sobald alle Empfänger sie erhalten haben, und spätestens 48 Stunden nach dem Senden. Für Fotos gilt dasselbe; ein nicht gesendetes Foto wird nach 1 Stunde gelöscht.
• Der Chatverlauf liegt nur auf den Telefonen der Familienmitglieder, verschlüsselt. Außerdem im Browser, wenn Sie den Chat im Web-Dashboard geöffnet haben; beim Abmelden vom Dashboard wird er gelöscht.
• Bei der Übertragung sind Nachrichten verschlüsselt (HTTPS), aber eine Ende-zu-Ende-Verschlüsselung der Nachrichten gibt es nicht. Solange eine Nachricht auf dem Server auf die Zustellung wartet (höchstens 48 Stunden), könnte der Server sie technisch lesen. Wir tun das nicht, außer wenn das Gesetz es verlangt.
• Der Anfang einer Nachricht (bis zu 140 Zeichen) ist in der Push-Benachrichtigung zu sehen. Benachrichtigungen stellt Google Firebase Cloud Messaging zu, auf iPhone und iPad der Apple Push Notification service.
• Aus Fotos werden die Metadaten entfernt, auch die GPS-Koordinaten des Aufnahmeorts.
• Übertragung des Chatverlaufs in den Browser: die letzten 7 Tage, Ende-zu-Ende-verschlüsselt; eine Übertragungsanfrage gilt 30 Minuten.
• Die Nachricht „Ich bin hier“ enthält einen einzelnen Standortpunkt des Absenders.

Bilipito erkennt selbst die Bewegungsart (zu Fuß, Verkehrsmittel, an einem Ort), erstellt Routen und Aufenthalte, erfasst Ankunft in Zonen und Verlassen von Zonen, schlägt vor, einen oft besuchten Ort zur Zone zu machen, vergibt Erfolge und wendet die von den Eltern festgelegten App-Beschränkungen an.

Diese Entscheidungen dienen dem Komfort der Familie und haben keine rechtlichen oder ähnlich erheblichen Folgen für das Kind oder den Erwachsenen. Wir erstellen keine Werbeprofile und verkaufen keine Rückschlüsse auf Verhalten.

Wir geben Daten nur an diejenigen weiter, die uns beim Betrieb des Dienstes helfen, und nur das, was sie brauchen.

Adressen und Routen berechnen unsere eigenen Server (Nominatim, OSRM auf Basis von OpenStreetMap-Daten), Koordinaten gehen dafür also nicht an Dritte. Den Standort auf dem Android-Telefon des Kindes bestimmen die Google-Play-Dienste. Ist auf dem Telefon die Systemeinstellung „Google-Standortgenauigkeit“ eingeschaltet, erhält Google nach eigenen Regeln Angaben zu WLAN-Netzen und Mobilfunkmasten; diese Einstellung hängt nicht von Bilipito ab und lässt sich in den Einstellungen des Telefons ausschalten. Auf einem iPhone bestimmen die Ortungsdienste von iOS den Standort. SMS versenden wir nicht.

Andere Erwachsene sehen die Daten des Kindes nur, wenn der Familieninhaber sie eingeladen hat.

Wir können Daten offenlegen, wenn das Gesetz es verlangt (zum Beispiel auf Anfrage eines Gerichts oder einer zuständigen Behörde) oder um Leben und Gesundheit eines Menschen zu schützen.

Internationale Übermittlungen. Manche Empfänger verarbeiten Daten außerhalb der Republik Moldau. Für solche Übermittlungen stützen wir uns auf Angemessenheitsbeschlüsse sowie auf Standardvertragsklauseln und die Standardbedingungen dieser Anbieter zur Datenverarbeitung. Eine Kopie der angewendeten Garantien können Sie unter [email protected] anfordern.

Daten mit einer Speicherfrist werden einmal täglich automatisch gelöscht.

Sie können Ihr Konto in der Bilipito-App für Android, iPhone oder iPad löschen (Einstellungen → Konto → „Konto löschen“) oder im Web-Dashboard: Melden Sie sich bei my.bilipito.com an, öffnen Sie „Kontoeinstellungen“ → „Konto löschen“ und bestätigen Sie. Zu Ihrem Schutz bitten wir Sie, sich erneut anzumelden. Schritt-für-Schritt-Anleitung: bilipito.com/delete-account. Sie können auch einfach an [email protected] schreiben.

Das Konto wird sofort gelöscht. Mit ihm werden gelöscht: die Familien, deren Inhaber Sie sind, Profile und Fotos der Kinder, Bewegungsverlauf, Zonen, Bildschirmzeit, Erfolge, Belohnungen, Benachrichtigungen, SOS, Chatnachrichten auf dem Server, Einwilligungsnachweise. Die Telefone der Kinder erhalten den Befehl, anzuhalten und zu löschen, was noch nicht gesendet wurde. Ihr Anmeldekonto bei Google Firebase wird gelöscht. Von Ihnen erstellte Links werden widerrufen. Das Abo-Portal erhält die Mitteilung, dass das Abonnement beendet ist. Ihr Name und Ihre Sprache werden dort gelöscht, die E-Mail-Adresse bleibt nur bei den Zahlungsdatensätzen und wird mit ihnen gelöscht.

Wenn Sie Mitglied einer fremden Familie sind, verlassen Sie diese einfach. Die Daten dieser Familie bleiben bei ihrem Inhaber.

Eine Zeit lang bleiben noch gespeichert: das Sicherheitsprotokoll (90 Tage), Zahlungsdatensätze ohne Bezug zur Familie (Abschnitt 15) und Angaben, die wir gesetzlich aufbewahren müssen.

Hatte die Familie bereits ein Abonnement abgeschlossen (einschließlich einer kostenlosen Testphase), bleibt ein nicht umkehrbarer Fingerabdruck der E-Mail-Adresse und der Anmeldeart erhalten (3 Jahre): Die Adresse lässt sich daraus nicht wiederherstellen, er zeigt aber, dass die kostenlose Testphase bereits genutzt wurde.

Das Löschen des Kontos kündigt das Google-Play-Abonnement nicht. Wir bitten Google, die Verlängerung zu beenden, sicherer ist es aber, das Abonnement selbst zu kündigen: Google Play → Profilsymbol → „Zahlungen und Abos“ → „Abos“ → Bilipito → „Abo kündigen“ (play.google.com/store/account/subscriptions). Ein App-Store-Abonnement können wir nicht beenden; Sie kündigen es selbst: Öffnen Sie auf Ihrem iPhone oder iPad Einstellungen → Ihr Name → „Abonnements“ → Bilipito → „Abo kündigen“ (apps.apple.com/account/subscriptions).

Sie können auch nur ein Kind löschen – seine Daten werden auf dieselbe Weise gelöscht. Oder Sie trennen nur das Telefon des Kindes: Die Erhebung endet, und der Verlauf bleibt erhalten, bis er gelöscht wird oder seine Frist abläuft.

Sie haben das Recht:

• zu erfahren, welche Ihrer Daten wir verarbeiten, und eine Kopie davon zu erhalten;
• unrichtige Daten berichtigen zu lassen (die meisten direkt in der App);
• Daten löschen zu lassen (Abschnitt 16);
• die Verarbeitung einschränken zu lassen;
• einer Verarbeitung, die auf unserem berechtigten Interesse beruht, zu widersprechen;
• Ihre Daten in einem maschinenlesbaren Format zu erhalten (Datenübertragbarkeit);
• eine Einwilligung jederzeit zu widerrufen (Abschnitt 7.1);
• keinen Entscheidungen unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruhen, wenn sie erhebliche Folgen haben (Abschnitt 13);
• Beschwerde bei einer Aufsichtsbehörde oder bei Gericht einzulegen.

Die Rechte eines Kindes unter der Altersgrenze der digitalen Einwilligung übt der gesetzliche Vertreter aus. Ein Kind, das die Altersgrenze erreicht hat, kann sich auch selbst an uns wenden.

So wenden Sie sich an uns. Eine Anfrage können Sie aus den Kontoeinstellungen oder an [email protected] senden. Um Ihre Daten zu schützen, bestätigen wir Ihre Identität vor allem über die Anmeldung im Konto oder mit einem Code an Ihre bestätigte E-Mail-Adresse. Weitere Angaben verlangen wir nur bei begründeten Zweifeln an der Identität der anfragenden Person, und nur so viel, wie zur Prüfung nötig ist. Eine Kopie eines Ausweises ist in der Regel nicht nötig.

Wir antworten ohne unangemessene Verzögerung, in der Regel innerhalb eines Monats. Ist eine Anfrage komplex oder gibt es viele Anfragen, kann sich die Frist um zwei weitere Monate verlängern. Dann informieren wir Sie und nennen den Grund. Lehnen wir ab, erklären wir, warum, und weisen Sie darauf hin, dass Sie sich an eine Aufsichtsbehörde oder ein Gericht wenden können.

Aufsichtsbehörde: das Nationale Zentrum für den Schutz personenbezogener Daten der Republik Moldau (Centrul Național pentru Protecția Datelor cu Caracter Personal), MD-2004, mun. Chișinău, str. Serghei Lazo 48, datepersonale.md. Wer in der EU oder im EWR lebt, kann sich auch an die Aufsichtsbehörde seines Landes wenden.

Einstellungen in der App: Sie können Gruppen von Benachrichtigungen ausschalten (auch „Neuigkeiten von Bilipito“) und Berechtigungen in den Telefoneinstellungen entziehen. Einige Funktionen arbeiten dann nicht mehr.

• Website bilipito.com: keine Cookies. Im Browserspeicher wird nur die gewählte Sprache gespeichert. Unser Besuchszähler (Abschnitt 10) speichert nichts im Browser.
• Web-Dashboard my.bilipito.com: nutzt unbedingt notwendigen Browserspeicher – für die Anmeldung (Sitzungs-Token, Ihre E-Mail-Adresse, Push-Token) und für den Verlauf des Familienchats (IndexedDB). Beim Abmelden vom Dashboard werden diese Daten gelöscht. Ohne diesen Speicher funktioniert das Dashboard nicht, deshalb fragen wir dafür nicht gesondert nach Einwilligung. Cloudflare Web Analytics und unser Besuchszähler kommen ohne Cookies und ohne Browserspeicher aus.
• Android- und iOS-Apps: Anmelde-Token liegen im geschützten Speicher des Telefons (auf iPhone und iPad im Schlüsselbund), Chatverlauf und E-Mail-Adresse verschlüsselt auf dem Telefon. Technische Angaben zu Anfragen (auch Koordinaten) werden nicht in das Systemprotokoll des Telefons geschrieben. App-Daten werden nicht in einen Cloud-Speicher kopiert.
• Keine Werbe- oder Tracking-Cookies, keine Werbe-IDs und keine Verhaltensanalyse. Firebase Analytics nutzen wir nicht. Auf iPhone und iPad tracken wir Sie nicht im Sinne von App Tracking Transparency, fragen nicht nach einer Erlaubnis zum Tracking und verwenden nicht die Werbe-ID von Apple (IDFA).

Führen wir neue Analysesysteme oder Cookies ein, aktualisieren wir diese Erklärung vorher und bitten, wo nötig, um Ihre Einwilligung.

Der gesamte Datenverkehr ist verschlüsselt (HTTPS/TLS), Live-Sitzungen mit Ton und Kamera sind zwischen den Telefonen verschlüsselt. Bei jeder Anfrage prüft der Server, ob die Daten eines Kindes von einem Mitglied seiner Familie mit den nötigen Rechten angefragt werden. Profilfotos sind nicht öffentlich. Der Zugriff von Mitarbeitern auf Daten ist beschränkt. Absolut sichere Systeme gibt es nicht, aber wir treffen angemessene technische und organisatorische Maßnahmen. Führt eine Datenpanne zu einem hohen Risiko für Sie, informieren wir Sie und die Aufsichtsbehörde innerhalb der gesetzlichen Fristen.

Wir können diese Erklärung aktualisieren, zum Beispiel wenn neue Funktionen hinzukommen. Die geltende Fassung mit Nummer und Datum ist immer unter bilipito.com/privacy abrufbar. Über wesentliche Änderungen informieren wir vorab in der App oder per E-Mail. Braucht eine Änderung eine neue Einwilligung, bitten wir gesondert darum.

• Anfragen zu personenbezogenen Daten und Fragen zum Datenschutz: [email protected]
• Alle anderen Fragen: [email protected]
• Verantwortlicher: AIRSTREAM SRL, IDNO 1018600007654, Sitz: MD-2008, mun. Chișinău, str. Vasile Lupu 34/1, ap. 59, Republik Moldau; Postanschrift: MD-2004, mun. Chișinău, str. Sfatul Țării 59, et. 2
• Aufsichtsbehörde: Nationales Zentrum für den Schutz personenbezogener Daten der Republik Moldau, datepersonale.md