Datenschutzerklärung

Diese Übersetzung dient nur dem besseren Verständnis. Bei Abweichungen ist ausschließlich die französische Fassung dieses Dokuments rechtsverbindlich. Französische Fassung lesen

Tribulys verarbeitet personenbezogene Daten, von denen einige besonderen Kategorien personenbezogener Daten (Gesundheitsdaten) zuzuordnen sein können. Wir nehmen dieses Thema ernst, und diese Richtlinie erklärt Ihnen transparent und präzise, wie Ihre Daten erhoben, genutzt und geschützt werden.

1. Verantwortlicher

Verantwortlicher	Tribulys
SIREN	104 623 095
Sitz	Lille (59000), Nord, France
Datenschutzkontakt	[email protected]

Bei Fragen zur Verarbeitung Ihrer Daten oder zur Ausübung Ihrer Rechte kontaktieren Sie uns unter [email protected].

2. Erhobene Daten

2.1 Identifikations- und Kontodaten

Bei der Erstellung Ihres Kontos: E-Mail-Adresse, gewählter Anzeigename, Passwort (in gehashter, nicht lesbarer Form gespeichert), Datum und Uhrzeit der Registrierung, interne eindeutige Kennung.

2.2 Im Dienst erfasste Daten

Die Informationen, die Sie in Tribulys erfassen, um die Pflege Ihres Angehörigen zu koordinieren:

Pflegetagebuch: zeitgestempelte Notizen, Beobachtungen, Warnmeldungen, Verfasser des Eintrags, Notiztyp.
Kalender: Ereignisse, Termine, Besuche der Pflegepersonen, Zeitpläne.
Medikamente: Bezeichnung des Medikaments, Dosierung, Einnahmezeiten, Verabreichungsbestätigungen.
Gesundheitsakte und Notfallblatt: Allergien, Erkrankungen, Vitalwerte, im Notfall nützliche Angaben und weitere freiwillig eingegebene Gesundheitsdaten.
Dokumente: von Mitgliedern des Betreuungskreises hochgeladene Dateien, die medizinische Angaben enthalten können.
Nachrichten: zwischen Mitgliedern ausgetauschte Nachrichten sowie, bei Nutzung dieser Funktion, Audioaufnahmen oder Sprachnachrichten.
Pflegekreis: Informationen über eingeladene Mitglieder (E-Mail, Rolle: Familie, Pflegefachkraft, Arzt, Physiotherapeut, Pflegehilfskraft).

Gesundheitsdaten (besondere Kategorie: Art. 9 DSGVO): Die Gesundheitsakte, Medikamentenverwaltung, Dokumente und Einträge im Pflegejournal können Angaben zum Gesundheitszustand der betreuten Person enthalten. Diese Daten genießen einen verstärkten Schutz. Ihre Verarbeitung beruht auf Ihrer ausdrücklichen Einwilligung, die bei der Registrierung eingeholt wird (Art. 9 Abs. 2 lit. a DSGVO), sowie auf dem Schutz lebenswichtiger Interessen der betroffenen Person (Art. 9 Abs. 2 lit. c DSGVO).

2.3 Zahlungsdaten

Bei kostenpflichtigen Abonnements werden Kartendaten im Web direkt von Stripe erhoben und verwaltet; in der iOS-App verarbeitet Apple die Zahlung über den App Store; in der Android-App verarbeitet Google die Zahlung über Google Play Billing. RevenueCat synchronisiert den Abonnementstatus technisch zwischen Tribulys und den App-Stores, ohne vollständige Bankkartendaten zu erhalten. Tribulys speichert niemals Bankkartendaten. Wir speichern nur Transaktionsreferenzen, den Abrechnungsverlauf und die für die Buchhaltung erforderlichen Angaben (Betrag, Datum, Produkt, Status und Transaktions-ID).

2.4 Technische Daten, Benachrichtigungen und Nutzungsmessung

Zur Sicherheit und zum ordnungsgemäßen Betrieb des Dienstes: je nach eingesetztem technischen Dienst IP-Adresse, Browser und Betriebssystem, Gerätetyp, in normalisierter Form aufgerufene Seiten oder Routen, Anmeldezeitpunkte und technische Fehlerprotokolle.

Für Benachrichtigungen können eine technische Geräte- oder Push-Abonnement-ID und die pseudonyme Konto-ID an OneSignal übermittelt werden. Tribulys-Benachrichtigungen enthalten keine medizinischen Informationen; sie fordern zum Öffnen der App auf.

Tribulys nutzt PostHog zur Messung bewusst definierter Produktereignisse, ohne automatische Erfassung, Sitzungsaufzeichnung oder medizinische Inhalte; die verwendete Konto-ID ist pseudonym und Pfade mit Kennungen werden vor der Übermittlung normalisiert. Sentry dient der Fehler- und Leistungsdiagnose; personenbezogene Daten sind standardmäßig deaktiviert und sensible Informationen werden maskiert und bereinigt.

Die öffentliche Website kann Google Analytics entsprechend den geltenden Einwilligungsentscheidungen verwenden. Diese Werkzeuge dienen der Reichweitenmessung und Verbesserung des Dienstes, niemals dem Verkauf von Daten oder der Erstellung von Werbeprofilen aus Gesundheitsdaten.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Bereitstellung des Dienstes	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Kontoerstellung, Verwaltung von Pflegetagebuch, Kalender, Medikamenten, Pflegekreis.
Gesundheitsdaten	Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO): Medikamentenverfolgung und Notizen medizinischer Art. Sie können diese Einwilligung jederzeit widerrufen.
Abrechnung & Buchhaltung	Gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungen für 10 Jahre (französisches Handelsgesetzbuch, Art. L. 123-22).
Sicherheit & Betrugsbekämpfung	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Verbindungsprotokolle, Erkennung anomaler Zugriffe.
Verbesserung des Dienstes	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): begrenzte, pseudonymisierte Nutzungsmessung, die medizinische Inhalte aus Analyseereignissen ausschließt. Gesundheitsdaten werden nicht zu Werbezwecken verwendet.
Servicebezogene Mitteilungen	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): transaktionale E-Mails und für die Koordination erforderliche Benachrichtigungen gemäß den Einstellungen des Nutzers.

4. Aufbewahrungsfristen

Kontodaten	Für die Dauer des aktiven Abonnements + 3 Jahre nach Kündigung (zivilrechtliche Verjährungsfrist: Art. 2224 des französischen Zivilgesetzbuchs).
Koordinations- und Gesundheitsdaten	Für die Dauer des aktiven Betreuungskreises, anschließend gemäß dem auf der Seite zur Kontolöschung beschriebenen Verfahren und den geltenden Aufbewahrungsfristen für Sicherungen.
Abrechnungsdaten	10 Jahre ab Abschluss des Geschäftsjahres (gesetzliche Verpflichtung: Art. L. 123-22 des französischen Handelsgesetzbuchs).
Technische Protokolle	Für einen begrenzten, den Sicherheits-, Diagnose- und Missbrauchspräventionszwecken angemessenen Zeitraum gespeichert, abhängig von der Konfiguration der jeweiligen Anbieter.
Sitzungscookies (Supabase)	Für die zur Authentifizierung und sicheren Sitzungserneuerung erforderliche Dauer, entsprechend der Konfiguration des Dienstes.
cookie-banner.ca	Vom Einwilligungsmanager festgelegte Dauer zur Speicherung Ihrer Auswahl.

5. Empfänger der Daten: Auftragsverarbeiter

Tribulys setzt technische Dienstleister ein, um den Dienst bereitzustellen, zu sichern, zu messen und abzurechnen. Es werden nur die für ihre jeweilige Funktion erforderlichen Daten gemäß den geltenden Verträgen, Datenschutzrichtlinien und Garantien übermittelt.

Supabase Inc. : Datenbank und Authentifizierung

Rolle: Speicherung der Dienstdaten und Kontoauthentifizierung mit anwendungsseitiger Zugriffskontrolle und verschlüsselter Kommunikation.

Stripe : Zahlungen im Web

Rolle: Verarbeitung von Kartenzahlungen im Web. Vollständige Kartendaten werden von Stripe verarbeitet und nicht von Tribulys gespeichert.

Apple : Zahlungen in der iOS-App

Rolle: Verarbeitung von Abonnements, die über Apple In-App Purchase und den App Store abgeschlossen werden.

Google : Android-Zahlungen, Vertriebsdienste und Benachrichtigungen

Rolle: Vertrieb der Android-App, Google Play Billing für Abonnements und Firebase Cloud Messaging als Transportinfrastruktur für Android-Push-Benachrichtigungen.

RevenueCat, Inc. : technische Verwaltung mobiler Abonnements

Rolle: Synchronisierung von Käufen und Abonnementberechtigungen mit dem App Store und Google Play. RevenueCat erhält die zur Kaufprüfung erforderlichen Kennungen und technischen Informationen, jedoch keine vollständigen Kartendaten.

OneSignal, Inc. : Push-Benachrichtigungen

Rolle: Verwaltung von Push-Abonnements und Zustellung von Benachrichtigungen. Tribulys übermittelt die erforderlichen technischen Kennungen; der Inhalt ist so gestaltet, dass keine medizinischen Informationen offengelegt werden.

Sentry : technische Diagnose

Rolle: Fehlererkennung und Leistungsmessung. Tribulys deaktiviert die Übermittlung personenbezogener Daten standardmäßig und bereinigt URLs, Kennungen und andere sensible Informationen vor der Übertragung; etwaige Fehler-Replays maskieren Texte, Felder und Medien.

PostHog : Messung der Produktnutzung

Rolle: Messung von durch Tribulys definierten Funktionsereignissen. Automatische Erfassung, Sitzungsaufzeichnung, Umfragen und Ausnahmeerfassung sind deaktiviert; Gesundheitsinhalte werden nicht absichtlich übermittelt.

Vercel Inc. : Anwendungs-Hosting

Rolle: Bereitstellung und Ausführung der Webanwendung und ihrer Anwendungsfunktionen.

Google Analytics : Reichweitenmessung der öffentlichen Website

Rolle: Reichweitenstatistiken der Marketing-Website, sofern diese Messung entsprechend den geltenden Einwilligungsentscheidungen aktiviert ist.

Tribulys verkauft, vermietet oder überträgt Ihre personenbezogenen Daten niemals an Dritte zu kommerziellen oder werblichen Zwecken.

6. Übermittlungen außerhalb der Europäischen Union

Tribulys bevorzugt europäische Hosting-Regionen, sofern diese Option verfügbar ist. Einige technische Anbieter sind internationale oder US-amerikanische Unternehmen und können bestimmte Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. In diesem Fall müssen Übermittlungen auf einem von der DSGVO anerkannten Mechanismus beruhen, etwa einem Angemessenheitsbeschluss, den Standardvertragsklauseln der Europäischen Kommission oder einer anderen anwendbaren Garantie des Anbieters.

7. Datensicherheit

Tribulys ergreift geeignete technische und organisatorische Maßnahmen, um Ihre Daten vor unbefugtem Zugriff, Veränderung, Offenlegung oder Zerstörung zu schützen:

TLS-(HTTPS-)Verschlüsselung der Kommunikation;
Verschlüsselung ruhender Daten, sofern von der Speicherinfrastruktur bereitgestellt;
Passwörter werden vom Authentifizierungsdienst in einer für Tribulys nicht lesbaren Form verwaltet;
Authentifizierung mit zeitlich begrenzten Tokens und sicherer Erneuerung;
Row Level Security (RLS): Jeder Nutzer kann nur auf Daten der Betreuungskreise zugreifen, denen er angehört;
Android-Sicherung ausdrücklich deaktiviert, um unkontrolliertes Kopieren lokaler Daten der nativen Hülle zu verhindern;
Protokollierung und Überwachung anomaler Zugriffe;
Zugriff auf Produktionsdaten nach dem Prinzip der geringsten Rechte auf autorisierte Personen beschränkt.

Bei einer Datenverletzung, die ein Risiko für Ihre Rechte und Freiheiten darstellt, erfüllt Tribulys die Meldepflichten nach Art. 33 und 34 DSGVO.

8. Ihre Rechte

Gemäß der DSGVO und dem französischen Gesetz „Informatique et Libertés“ stehen Ihnen folgende Rechte an Ihren Daten zu:

Recht auf Auskunft	Bestätigung erhalten, dass Sie betreffende Daten verarbeitet werden, und eine Kopie davon erhalten (Art. 15 DSGVO).
Recht auf Berichtigung	Unrichtige oder unvollständige Daten berichtigen lassen (Art. 16 DSGVO). Direkt über Ihre Einstellungen zugänglich.
Recht auf Löschung	Recht auf Vergessenwerden: die Löschung Ihrer Daten unter den in Art. 17 DSGVO vorgesehenen Voraussetzungen verlangen (außer bei gesetzlichen Aufbewahrungspflichten). So löschen Sie Ihr Konto.
Recht auf Datenübertragbarkeit	Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten (Art. 20 DSGVO). Export über den Dienst verfügbar.
Widerspruchsrecht	Der Verarbeitung widersprechen, die auf dem berechtigten Interesse von Tribulys beruht (Art. 21 DSGVO), sofern keine zwingenden schutzwürdigen Gründe entgegenstehen.
Recht auf Einschränkung der Verarbeitung	In bestimmten Situationen die Einschränkung der Verarbeitung erwirken (Art. 18 DSGVO).
Widerruf der Einwilligung	Ihre Einwilligung in die Verarbeitung von Gesundheitsdaten jederzeit widerrufen, ohne dass dies die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt.
Automatisierte Entscheidungsfindung	Tribulys nimmt keine automatisierten Entscheidungen oder Profilerstellungen vor, die rechtliche Wirkung Ihnen gegenüber entfalten.

Um eines dieser Rechte auszuüben, richten Sie Ihre Anfrage per E-Mail an [email protected] Bei begründeten Zweifeln an der Identität des Antragstellers können wir die zur Identitätsprüfung unbedingt erforderlichen Angaben anfordern. Wir antworten innerhalb der in Art. 12 DSGVO vorgesehenen Fristen.

9. Cookies

Tribulys verwendet einen Cookie-Einwilligungsmanager (cookie-banner.ca) um Ihre Einwilligung einzuholen und zu verwalten, wenn diese erforderlich ist.

Für den Betrieb des Dienstes unbedingt erforderliche Mechanismen, insbesondere Authentifizierung und notwendige technische Einstellungen, können ohne vorherige Einwilligung eingesetzt werden, wenn die gesetzlichen Ausnahmevoraussetzungen erfüllt sind. Sie können Ihre Einwilligungsentscheidungen über die dafür vorgesehenen Oberflächen der öffentlichen Website ändern.

10. Hosting von Gesundheitsdaten (HDS)

Der Dienst Tribulys kann personenbezogene Gesundheitsdaten im Sinne von Artikel L. 1111-8 des französischen Gesetzbuchs für öffentliche Gesundheit hosten. Tribulys bewertet die für seine Rolle, Nutzungen und Anbieter geltenden Pflichten, insbesondere wenn der Dienst von Gesundheitsfachkräften genutzt wird. Diese Richtlinie stellt keine Behauptung einer HDS-Zertifizierung von Tribulys oder seiner gesamten Unterauftragnehmerkette dar. Nutzer aus Gesundheitsberufen sind weiterhin aufgefordert, die Vereinbarkeit ihrer Nutzung mit ihrem eigenen Rechtsrahmen zu prüfen.

11. Beschwerden: Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten nicht der DSGVO entspricht, haben Sie das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen, in Frankreich der Commission Nationale de l'Informatique et des Libertés (CNIL) :

Website	www.cnil.fr
Postanschrift	CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Telefon	+33 (0)1 53 73 22 22

Wir empfehlen Ihnen, sich zunächst an uns zu wenden unter [email protected] um jegliches Problem gütlich zu lösen.

12. Änderungen der Richtlinie

Tribulys behält sich vor, diese Richtlinie anzupassen, um Änderungen des Dienstes, der Rechtslage, der mobilen Plattformen oder seiner Anbieter abzubilden. Bei wesentlichen Änderungen informieren wir die Nutzer auf angemessene Weise, sofern dies gesetzlich vorgeschrieben ist. Maßgeblich ist das oben auf dieser Seite angegebene Aktualisierungsdatum.