Dateschutzrichtlinn

1. Responsabele fir d'Dateveraarbechtung

tevaxia.lu
Kontakt : contact@tevaxia.lu

2. Gesammelten Donnéeën

Navigatiounsdonnéeën:
Technesch Cookies, déi fir de Fonctionnement vum Site néideg sinn. Google Analytics (mat virhereger Zoustëmmung) fir d'Besuchermessung: besichten Säiten, Besuchsdauer, Browsertyp, anonymiséiert IP-Adress.

Benotzerkonto:
E-Mail-Adress, Numm (optional), Beruff (optional), gehashte Passwuert. Dir kënnt e Konto per E-Mail/Passwuert oder iwwer en Drëttubidder-Service (Google, LinkedIn) erstellen.

OAuth-Umeldung (Google, LinkedIn):
Nëmmen Är E-Mail-Adress an Ären Numm ginn vun dëse Servicer iwwerdroe. Mir kréien weder Ärt Passwuert nach Är Kontakter nach soss Donnéeë vun Ärem Drëttubidder-Konto. D'Authentifikatioun gëtt vum Supabase Auth iwwer den OAuth 2.0 / OpenID Connect-Protokoll geréiert.

Simulatiounsdonnéeën:
Daten, déi an de Rechner a Simulatoren aginn ginn (Montanten, Flächen, Energieparameter, Vermietungslotss, asw.) ginn am localStorage vun Ärem Browser gespäichert an — wann Dir ageloggt sidd — mat Supabase synchroniséiert, fir datt Dir vun all Apparat drop zougräife kënnt. Plafong 500 Elementer pro gratis Benotzer (10 000 fir e Pro-Plang), 180 Deeg Retentioun vun der leschter Ännerung, automatesch deeglech Bereinigung doriwwer eraus.

Gutachterprofil:
Numm, Firma, berufflech Kontaktdonnéeën — gespäichert am localStorage vun Ärem Browser oder am Supabase wann Dir ageloggt sidd. Dës Donnéeë ginn benotzt fir Bewäertungsberichter ze personaliséieren.

Berufflech B2B-Betriebsdonnéeën:
Berufflech Benotzer (Syndics, Immobilienagencen, Hôteliers) ginn an de Moduler Syndic/CRM/PMS Donnéeën iwwer Drëtter an: Co-Proprietären (Numm, Los, IBAN, Solde), Hotelsclienten (Numm, Séjourdatumen, Adress, tokeniséiert Kartennummer), CRM-Kontakter (Numm, E-Mail, Telefon, Akafskritären), Immobilienmandater. Fir dës Donnéeën handelt tevaxia als Sous-traitant am Sënn vum RGPD Art. 28: De berufflech Benotzer ass Responsabele fir d'Verschaffung a muss eng adequat Rechtsgrondlag hunn (Ausféierung vun engem Syndic-Kontrakt, Hébergementskontrakt, Immobiliemandat).

PSD2-Bankdonnéeën (Enable Banking Verbindung):
Wann Dir e Bankskont iwwer de PSD2-Déngscht Enable Banking (AIS — Account Information Service) fir automatesche Rapprochement verbënnt, ginn déi recuperéiert Transaktiounen (Bezeechnung, Betrag, Datum, Referenz) am Speicher behandelt während dem Rapprochement, an net iwwer d'Sessioun eraus op eise Servere gespäichert. De PSD2-Link huet eng maximal Dauer vun 90 Deeg, virgeschriwwe vum EU-Réglement 2015/2366, erneierbar iwwer Är Bank duerch SCA. De JWT-Privatschlëssel, fir d'Ufroe z'ënnerschreiwen, bleift um tevaxia-Server, ni dem Browser ausgesat.

Rechnungs-OCR & Dokumenter — lokal Verschaffung:
PDFs a Biller, déi am Rechnungs-OCR-Modul eropgeluede ginn, gi ausschliisslech an Ärem Browser verschafft (PDF.js fir Textextraktioun, Tesseract.js fir Scan-OCR). Keng Datei, kee Bild, kee extrahéierten Text gëtt un en Drëtt-Partei IA-Déngscht (OpenAI, Anthropic, Google, Mistral) oder un eis Serveren geschéckt. Nëmmen déi strukturéiert Donnéeën (Fournisseur, Betrag, IBAN, TVA…), déi Dir explizit validéiert, ginn duerno am Supabase gespäichert.

Bezuelungsdonnéeën (Stripe):
Wann Dir e bezuelende Plang abonnéiert, gëtt d'Bezuelung (Kreditkaart, SEPA) komplett vun Stripe Payments Europe Limited (Irland) verwalt. tevaxia kritt a späichert ni Är voll Kartennummer: nëmmen eng Stripe-Client-ID, déi 4 lescht Zifferen vun Ärer Kaart a säi Verfallsdatum ginn an eiser Datebank behalen, fir datt Dir Äert Abonnement verwalte kënnt.

3. Zwecker vun der Veraarbechtung

• Fonctionnement vum Service (Berechnungen, Simulatiounen, Uweisunge vu Resultater)
• Späichere vu Simulatiounen a Bewäertungen op Ärem Konto
• Personaliséierung vun de Bewäertungsberichter (Gutachterprofil)
• Verbesserung vum Service (anonymiséiert Besucherstatistiken)

4. Rechtsgrondlag vun der Veraarbechtung

• Zoustëmmung (Art. 6 Abs. 1 lit. a DSGVO): analytesch Cookies vu Google Analytics.
• Vertragserfëllung (Art. 6 Abs. 1 lit. b DSGVO): Erstelle a Gestioun vun Ärem Konto, Späichere vun Äre Simulatiounen.
• Berechtegte Interêt (Art. 6 Abs. 1 lit. f DSGVO): Verbesserung vum Service, Sécherheet vun der Plattform.

Dir kënnt Är Zoustëmmung zu all Moment fir Veraarbechtunge widerruffen, déi op dëser Grondlag baséieren.

5. Ënnertrieder

6. Dauer vun der Opbewahrung

• Kontodonnéeën: opbehalen bis zum Läschen vum Kont duerch de Benotzer.
• Simulatiounsdonnéeën (gespäichert Bewäertungen, Vermietungslotss): 180 Deeg vun der leschter Ännerung, Plafong 500 Elementer pro gratis Kont (10 000 fir e Pro-Plang). Automatesch deeglech Bereinigung ëm 03:00 UTC doriwwer eraus. Lokal Donnéeën (localStorage) bleiwen disponibel, soulaang de Browser net geläscht gëtt.
• Ëffentlech Deelungs-Linken: 90 Deeg par défaut, Dauer konfiguréierbar (1 bis 365 Deeg) bei der Erstellung, mat optionalem Viewcap.
• Cookien: maximal 13 Méint.
• B2B-Betriebsdonnéeën (Co-Proprietären, Hotelsclienten, CRM-Kontakter): opbehalen fir d'Dauer vum Déngschtkontrakt mam berufflechen Benotzer. Spezifesch LU-Opbewahrungsflichten gëllen (Comptabilitéit a Rechnungen 10 Joer Art. L.16-2 Commerce-Code, AG-Protokoller 10 Joer, AML/KYC-Donnéeën 5 Joer).
• PSD2 Enable Banking-Donnéeën: Banktransaktiounen am Speicher ofgefrot, iwwer d'Sessioun eraus net persistéiert. PSD2-Link: maximal 90 Deeg (erneierbar via SCA).
• Rechnungs-OCR: Eropgelueden PDFs/Biller ginn ni op eise Servere gespäichert — 100% Browser-Verschaffung. Nëmme vum Benotzer validéiert strukturéiert Donnéeë ginn gespäichert.

7. Är Rechter

Am Aklang mat der Dateschutz-Grondverordnung (DSGVO) an dem lëtzebuerger Gesetz vum 1. August 2018 hutt Dir folgend Rechter:

• Recht op Auskunft iwwer Är perséinlech Donnéeën
• Recht op Berichtegung
• Recht op Läschung („Recht op Vergiessenwierdung“)
• Recht op Datenportabilitéit — e Knäppchen « All meng Donnéeën exportéieren (JSON) » ass am Beräich « Donnéeën & Plang » vun Ärem Profil verfügbar
• Widdersprocherecht géint d'Veraarbechtung

Fir dës Rechter auszeüben, kontaktéiert eis ënnert contact@tevaxia.lu.

8. Cookies

• Technesch Cookies (néideg): onverzichtbar fir de Fonctionnement vum Site (Sproochvirléiften, Sessioun). Keng Zoustëmmung erfuerderlech.
• Analytesch Cookies (Zoustëmmung): Google Analytics, ginn nëmmen no ausdrécklecher Zoustëmmung gesat. Erméiglechen anonymiséiert Besuchermessung.
• Authentifikatiounscookies: Supabase-Sessiounsverwaltung (Umeldetoken). Erfuerderlech fir d'Fonctionnement vum Benotzerkonto.

9. Dateniwwerdroung ausserhalb vun der Europäescher Unioun

E puer vun eisen Ënnertrieder sinn an de Vereenegt Staate lokaliséiert. Dës Iwwerdrounge ginn duerch Standardvertragsklauselen, déi vun der Europäescher Kommissioun guttgeheescht sinn, an/oder den Adäquatheitsbeschloss zum EU-US Data Privacy Framework gereegelt.

D'Konto- a Simulatiounsdonnéeë ginn vum Supabase op Serveren an der Europäescher Unioun gehostet (AWS eu-central-1, Frankfurt, Däitschland).

10. Sécherheetsmoossnahmen

Mir setzen folgend technesch an organisatoresch Moossnahmen zum Schutz vun Ären Donnéeën ëm:

• Verschlësselung vun de Kommunikatiounen iwwer HTTPS (TLS)
• Content Security Policy (CSP)
• Row Level Security (RLS) op Supabase: All Benotzer kann nëmmen op seng eegen Donnéeë zougräifen
• Gehashte Passwierder (ginn ni am Kloertext gespäichert)
• Lokal Browser-Verschaffung fir Rechnungs-OCR (PDF.js + Tesseract.js): keen Dokument un externen IA-Déngscht geschéckt
• PSD2-Schlësselen an Server-Ëmweltvariablen gespäichert, JWT RS256-Ënnerschrëft fir all Bankufro

11. Dateschutzbeoptragten / Kontakt

Fir all Froen zum Schutz vun Äre perséinlechen Donnéeë kënnt Dir eis kontaktéieren ënnert contact@tevaxia.lu.

12. Recht op Reklamatioun

Wann Dir der Meenung sidd, datt d'Veraarbechtung vun Äre perséinlechen Donnéeën e Verstouss géint d'DSGVO duerstellt, hutt Dir d'Recht, eng Beschwerd bei der lëtzebuerger Kontrollbehéird eranzereechen:

Commission Nationale pour la Protection des Données (CNPD)
15 Boulevard du Jazz, L-4370 Belvaux, Luxembourg
cnpd.public.lu