Unterauftragsverarbeiter

Unterauftragsverarbeiter

Ein Unterauftragsverarbeiter ist ein Dritter, der personenbezogene Daten in unserem Auftrag verarbeitet, um den Dienst bereitzustellen. Wir nennen hier Rolle, Datenkategorien, Verarbeitungsort und den Mechanismus für Übermittlungen aus EWR/UK. Bei Abweichungen ist die englische Fassung maßgeblich, soweit zwingendes Recht nichts anderes verlangt.

Derzeit eingesetzte Unterauftragsverarbeiter

Heroku (Salesforce, Inc.)

  • Rolle: Platform-as-a-Service-Host für Anwendungsserver, Job Worker und Heroku-Postgres-Datenbank.
  • Datenkategorien: alle Produktionsdaten der Anwendung (Konto, Spiel, Logs, Backups).
  • Ort: die Deploy-Region ist in app.json konfiguriert. Aktuelle Region: Vereinigte Staaten. Eine Verlagerung in eine EU-Region ist in Phase 4.4 der Compliance-Roadmap vorgesehen.
  • Übermittlungsmechanismus für EU/UK-Daten: Salesforce EU-US Data Privacy Framework-Zertifizierung, ergänzt durch Standardvertragsklauseln im Salesforce/Heroku-DPA.
  • Öffentliches DPA: [Salesforce / Heroku DPA](https://trust.salesforce.com/en/agreements/).

OpenAI, L.L.C.

  • Rolle: Vision- und Textmodelle zum Scannen handschriftlicher Zugblätter und Extrahieren strukturierter Spieleranweisungen; optional für NPC-/Narrativfunktionen.
  • Datenkategorien: Bilder eingereichter Zugblätter, extrahierter Text und minimaler Spielkontext. Kontokennungen werden nur gesendet, soweit die Anfrage sie benötigt.
  • Ort: Vereinigte Staaten.
  • Übermittlungsmechanismus: OpenAI EU-US Data Privacy Framework-Zertifizierung plus Standardvertragsklauseln im OpenAI API Data Processing Addendum. Dieses Addendum verhindert vertraglich, dass OpenAI unsere API-Inhalte zum Trainieren seiner Modelle verwendet.
  • Öffentliches DPA: [OpenAI API Data Processing Addendum](https://openai.com/policies/data-processing-addendum).

Anthropic, PBC (optional / je Deployment)

  • Rolle: Textmodell als optionale Alternative oder Absicherung für KI-gestützte Funktionen; nur eingesetzt, wenn ein Deployment dies ausdrücklich konfiguriert.
  • Datenkategorien: derselbe Umfang wie bei OpenAI, nur wenn Anthropic aktiviert ist.
  • Ort: Vereinigte Staaten.
  • Übermittlungsmechanismus: Standardvertragsklauseln im Anthropic-DPA; EU-US DPF, soweit anwendbar.
  • Öffentliches DPA: [Anthropic Commercial Terms](https://www.anthropic.com/legal/commercial-terms).

ForwardEmail

  • Rolle: Versand transaktionaler und Marketing-E-Mails. ForwardEmail ist der einzige derzeit beauftragte E-Mail-Anbieter; die Umgebungsvariable EMAILER_PROVIDER wählt in allen veröffentlichten Deployments ForwardEmail aus.
  • Datenkategorien: Empfänger-E-Mail-Adresse, Betreff/Inhalt der Nachricht, Zustellmetadaten.
  • Ort: wie von ForwardEmail angegeben.
  • Übermittlungsmechanismus: SCC, integriert in die Datenschutzbestimmungen von ForwardEmail; EU-US DPF, soweit anwendbar.
  • Öffentliches DPA: [ForwardEmail Privacy](https://forwardemail.net/en/privacy).

GitHub, Inc. (Microsoft)

  • Rolle: Spiegel des Quellcode-Repositorys, einschließlich Markdown-Quelle dieser Rechtsdokumente. Pull Requests, Reviews und Issues können dort stattfinden. Die bereitgestellte Seite wird vom Dienst ausgeliefert, nicht von GitHub.
  • Datenkategorien: Quellcode, Commit-Metadaten, Autorenschaft. Keine personenbezogenen Endnutzerdaten.
  • Ort: Vereinigte Staaten.
  • Übermittlungsmechanismus: EU-US DPF plus Standardvertragsklauseln gemäß GitHub-DPA.
  • Öffentliches DPA: [GitHub Data Protection Agreement](https://docs.github.com/en/site-policy/privacy-policies/github-data-protection-agreement).

GitLab Inc.

  • Rolle: primärer Quellcode-Host und CI/CD-Pipeline. CI führt Tests, Lints und Deploy-Jobs aus. Produktionsnutzerdaten werden nicht an CI gesendet.
  • Datenkategorien: Quellcode, CI-Job-Logs, Autor-Metadaten. Keine personenbezogenen Endnutzerdaten.
  • Ort: Vereinigte Staaten.
  • Übermittlungsmechanismus: EU-US DPF plus Standardvertragsklauseln gemäß GitLab-DPA.
  • Öffentliches DPA: [GitLab DPA](https://about.gitlab.com/handbook/legal/dpa/).

Derzeit nicht eingesetzt

Zahlungsdienstleister

Zum Veröffentlichungszeitpunkt dieses Dokuments werden keine kostenpflichtigen Abonnements angeboten. Wenn sie eingeführt werden, wird der Zahlungsdienstleister hier mit Rolle, Datenkategorien, Ort und Übermittlungsmechanismus ergänzt. Kartendaten speichern wir zu keinem Zeitpunkt.

Anbieter von Webfonts

Wir haben früher Webfonts von Google Fonts geladen. Die vom Dienst verwendeten Schriften hosten wir jetzt selbst; daher werden keine schriftbezogenen Browseranfragen an Google gestellt. Webfonts sind daher kein Unterauftragsverarbeiter.

Änderungen

  • Das Hinzufügen eines Unterauftragsverarbeiters mit Zugriff auf personenbezogene Endnutzerdaten ist eine material_change und löst gegebenenfalls erneute Einwilligung aus.
  • Ein gleichartiger Austausch wird in dieser Liste und in den Release Notes angekündigt; bestehende Einwilligungen bleiben erhalten.
  • Das Entfernen eines Unterauftragsverarbeiters ist eine Wartungsänderung und erfordert keine erneute Einwilligung.

Widerspruch

Wenn Sie der Nutzung eines bestimmten Unterauftragsverarbeiters widersprechen, schreiben Sie an privacy@playbymail.games. Je nach betroffenem Dienst kann ein Widerspruch bedeuten, dass wir Ihnen den Dienst nicht weiter bereitstellen können; wir erläutern die Folgen, bevor wir handeln.