Datenschutzerklärung
Verantwortlicher
Dr.-Ing. Stefan Hoppe, Merzstr. 7a, 92224 Amberg, Deutschland. E-Mail: support@taptopayonphone.app.
Diese Erklärung gilt für die App, ihren unterstützenden Dienst und diese Website. Sie erläutert, welche Informationen wir bei der Bereitstellung der App verarbeiten. Auch Stripe und Apple verarbeiten Informationen zur Erbringung ihrer jeweiligen Dienste; ihre eigenen Datenschutzerklärungen erläutern diese Verarbeitung im Einzelnen.
Verbinden eines Stripe-Kontos
Stripe übernimmt Kontoanmeldung und Autorisierung über Stripe Connect mit Lese- und Schreibzugriff. Unser Dienst tauscht den Autorisierungscode mit Stripe aus und stellt ein App-Sitzungstoken aus. Cloudflare D1 speichert die ID des verbundenen Stripe-Kontos, den Hash des App-Tokens und Material zur Token-Erzeugung, den Erstellungszeitpunkt und die App-Gebührenbedingungen. Wir speichern weder dein Stripe-Passwort noch dein Stripe-OAuth-Zugriffstoken in D1. Unser Dienst ruft das verbundene Konto bei Stripe ab, um den Zugriff zu prüfen und seine ID, sein Land und die gespeicherten App-Gebührenbedingungen an die App zurückzugeben; er kopiert weder das vollständige Profil noch Identitätsdokumente nach D1. Der Connect-Zugriff ermöglicht unserer Plattform dennoch den Zugriff auf die von Stripe bereitgestellten Informationen. Die App speichert die geladenen Gebührenbedingungen lokal getrennt nach Konto und Zahlungsmodus und entfernt diesen Zwischenspeicher beim Abmelden.
Eine zufällige App-Installationskennung wird für Anmeldung, Teamzugriff und die Zuordnung von Zahlungsbenachrichtigungen verwendet. Sie ist keine Werbekennung. Der Anmeldestatus ist dreißig Minuten gültig, der an die Installation gebundene Austauschcode fünf Minuten. D1 speichert den Status und die Installations-ID sowie den Hash des Austauschcodes mit Konto- und Installations-ID. Verwendete Statuswerte werden beim Rückruf entfernt; abgelaufene Datensätze werden beim Beginn neuer Anmeldungen und durch eine geplante tägliche Bereinigung entfernt. Der Ablauf verhindert die Nutzung, bedeutet aber keine sofortige physische Löschung.
Teamzugriff
Der Kontoinhaber legt einen Zugangsnamen für das Teammitglied an. Das Teammitglied kann den Einladungs-QR-Code auf dem Gerät des Inhabers scannen, oder der Inhaber sendet die Einladung per E-Mail. Frühere App-Versionen können den Link über die Teilen-Funktion des Geräts weitergeben. Einladungslinks enthalten den Zugangsnamen und das Einladungstoken. Für den E-Mail-Versand übermittelt unser Dienst die Empfängeradresse und die Einladungsnachricht an Cloudflare Email Service. D1 speichert den Zugangsnamen, die Stripe-Konto-ID, den Status, den Einladungs-Hash und Erzeugungsdaten, Aktivierungs- und Erstellungszeitpunkte sowie die aktive Installations-ID, Sitzungs-ID und den Hash des Sitzungstokens. Zugangsnamen können personenbezogene Angaben enthalten.
Jeder Mitarbeitereintrag hat eine aktive Sitzung. Ein aktivierter Link kann auf derselben Installation erneut verwendet werden. Für den Wechsel auf eine andere Installation löscht der Inhaber den Eintrag und erstellt einen neuen Eintrag mit einem neuen Link. In der aktuellen Implementierung laufen Links nicht zeitbasiert ab. Der Inhaber kann Zugangsnamen, Status und die aktive Installationskennung einsehen und einen Eintrag löschen, um den Zugriff zu widerrufen. Teammitglieder können Kunden im verbundenen Stripe-Konto erstellen, anzeigen, bearbeiten und löschen, Zahlungen annehmen, Zahlungslinks erstellen und anzeigen, bestehende Terminal-Standorte auswählen und Belege ihrer eigenen Verbindung abrufen. Kontoweite Zahlungen und Auszahlungen, die Deaktivierung von Links und Änderungen an Terminal-Standorten sind dem Inhaber vorbehalten. Stripe stellt die verfügbaren kontoweiten Zahlungs-, Auszahlungs- und Berichtsansichten bereit.
Kunden und Terminal-Standorte
Die App ermöglicht dem Inhaber und Teammitgliedern die Verwaltung von Kundennamen, E-Mail-Adressen, Telefonnummern und Postanschriften. Stripe kann auch Kundenbeschreibungen zurückgeben; beim Erstellen eines Kunden akzeptiert der Dienst eine Beschreibung. Diese Angaben werden über unseren Cloudflare Worker an Stripe und von Stripe zurück übertragen; Stripe speichert den Kundendatensatz im verbundenen Konto. Wir führen keine Kundendatenbank in D1. Eine ausgewählte Kunden-ID kann einer Zahlung zugeordnet werden. Das Löschen eines Kunden sendet eine Löschanfrage an Stripe; bestehende Zahlungsaufzeichnungen oder sämtliche Informationen, die Stripe aufbewahren muss, werden dadurch nicht gelöscht.
Namen und Postanschriften von Terminal-Standorten werden ebenfalls über den Worker übertragen und bei Stripe gespeichert. Inhaber können Standorte erstellen, bearbeiten und löschen. Teammitglieder können bestehende Standorte auswählen; der Dienst gibt deren Kennung, Namen und Land ohne vollständige Anschrift zurück. Die Auswahl von Standardstandorten wird auf dem Gerät gespeichert.
Zahlungen und Zahlungslinks
Die App sendet den Gesamtbetrag einschließlich Trinkgeld, Währung, Grundbetrag, Trinkgeldbetrag, optionale Notiz und Kunden-ID sowie Anfrage-, Verbindungs- und Installationskennungen an unseren Dienst. Der Worker erstellt Zahlungen auf dem verbundenen Stripe-Konto. Stripe speichert Zahlung, App-Gebühr, Notiz als Beschreibung sowie Metadaten zur Zuordnung und zu Grundbetrag und Trinkgeld. Eine Verbindungs-ID kann eine Zahlung einem Teammitglied zuordnen; die Installations-ID kennzeichnet die auslösende App-Installation. Stripe-SDKs verarbeiten Karteneingabe, Lesegerätetransaktionen und Tap to Pay. Unser Server erhält keine vollständigen Kartennummern oder Sicherheitscodes.
Für Zahlungslinks sendet der Dienst Betrag, Währung, optionale Beschreibung und Zuordnungsmetadaten an Stripe. Mit der App erstellte Links haben keine Begrenzung der Anzahl abgeschlossener Checkouts und sind wiederverwendbar, solange sie aktiv sind. Die Beschreibung kann als Zahlungsbeschreibung und Produktname im von Stripe gehosteten Checkout erscheinen. Kunden geben ihre Angaben auf der Stripe-Seite ein; die Erfassung von Name und E-Mail-Adresse ist aktiviert. Bei der Kundenauswahl in der App kann die E-Mail-Adresse für den Linkversand vorausgefüllt werden. Stripe speichert Link, Checkout und daraus entstehende Zahlungsaufzeichnungen. Link-URLs und lokal erzeugte QR-Codes können mit dem von dir ausgewählten Empfänger und Dienst geteilt werden.
Der Worker verarbeitet Anfragen und Stripe-Antworten vorübergehend; D1 enthält keinen separaten Kunden- oder Finanztransaktionsverlauf. D1 enthält jedoch die unten beschriebenen betrieblichen Datensätze für Zahlungsbenachrichtigungen. Bei Stripe gespeicherte Informationen bleiben unserer Plattform über ihre Connect-Berechtigungen zugänglich. Die eigene Speicherung und Verarbeitung durch Stripe wird in der Datenschutzerklärung von Stripe beschrieben.
Zahlungsverlauf und Belege
Der Kontoinhaber kann die eingebetteten Stripe-Ansichten Zahlungen und Auszahlungen in der App öffnen. Unser Dienst authentifiziert die App-Sitzung und fordert bei Stripe eine kurzlebige AccountSession an, die auf das verbundene Konto und die gewählte Komponente beschränkt ist. Die App erhält deren Client Secret und den veröffentlichbaren Stripe-Schlüssel zum Laden der Komponente. Unser Dienst speichert diese AccountSession-Geheimnisse nicht in D1; JSON-Antworten sind als nicht zwischenzuspeichern gekennzeichnet. Stripe verarbeitet die eingebetteten kontoweiten Informationen, die Authentifizierung und Verwaltungsaktionen: Zahlungsdetails, Rückerstattungen, Erfassung und Streitfälle beziehungsweise Guthaben, Auszahlungsverlauf, Auszahlungspläne, externe Bankkonten und berechtigte Standardauszahlungen. Die Ansichten können auch außerhalb der App entstandene Vorgänge enthalten. Verfügbare Aktionen unterliegen weiterhin den Stripe-Regeln und der Kontoberechtigung. Stripe verarbeitet eingegebene Angaben und dort bereitgestellte Aufzeichnungen oder Exporte nach seiner eigenen Datenschutzerklärung. Teammitglieder können diese kontoweiten Komponenten nicht öffnen.
Unser Dienst ruft außerdem Zahlungslink-Details und Belege für App-Funktionen bei Stripe ab, einschließlich Belegen von Teammitgliedern für ihre eigene Verbindung. Statusprüfungen im Checkout und Belegantworten können Beträge, Währung, Trinkgelder, Beschreibungen, Zahlungsstatus und Fehlerdetails, Kundendaten, Kartenmarke und letzte vier Ziffern, Zahlungskennungen und Beleg-URLs enthalten. Die App hält geladene Daten zur Anzeige vor. D1 speichert keinen separaten Finanztransaktionsverlauf.
Stripe stellt die Belege für erfolgreiche Zahlungen bereit. Bei bestätigten Ablehnungen erzeugt unser Dienst die Belegseite beim Aufruf des verschlüsselten Links. Die Seite kann Händler, versuchten Betrag, Währung und Datum anzeigen. Wer den Link hat, kann ihn öffnen, solange der Beleg verfügbar ist. Ältere App-Versionen können auf dem Gerät einen vorübergehenden Ablehnungsbeleg als PDF erstellen und teilen.
Wenn du einen Zahlungslink oder Beleg per E-Mail versendest, übermittelt unser Dienst die Empfängeradresse und die Nachricht mit dem Link an Cloudflare Email Service. Ist ein Kunde ausgewählt, kann seine hinterlegte E-Mail-Adresse zur Prüfung und Bearbeitung vorausgefüllt sein. Um doppelte Sendungen zu verhindern, speichert D1 das Händlerkonto, Hashwerte für die Anfrage und ihre Inhalte sowie Zeitstempel. Die Tabelle enthält keine Empfängeradressen im Klartext und keine E-Mail-Texte. Eine geplante Bereinigung löscht Versanddatensätze, die älter als sieben Tage sind.
Zahlungsbenachrichtigungen
Für übersetzte Zahlungsmitteilungen senden neuere App-Versionen außerdem die App-Sprache und die Formatierungsregion des Geräts. D1 speichert diese Spracheinstellung bei der Geräteregistrierung; ältere Registrierungen verwenden Englisch.
Mit erteilter Benachrichtigungsberechtigung registriert sich die App beim Apple Push Notification Service (APNs) und sendet Gerätetoken und Zustellumgebung an unseren Dienst. D1 verknüpft diese mit Installations-, Stripe-Konto- und Verbindungs-ID sowie einem Registrierungszeitpunkt. Stripe-Webhooks lösen separate Erfolgs- und Fehlerbenachrichtigungen aus, die an die Installation gesendet werden, die die Zahlung veranlasst oder den Zahlungslink erstellt hat. Der Worker verwendet den Gesamtbetrag einschließlich Trinkgeld und die Währung der Zahlung von Stripe.
Apple erhält das APNs-Token und den Benachrichtigungsinhalt: Ergebnistext einschließlich Betrag und Währung, Zahlungs- und Ereigniskennungen, Erstellungszeitpunkte von Ereignis und Zahlung, Installations-ID und Test-/Live-Modus. Der Inhalt umfasst außerdem den Betrag in kleinsten Stripe-Währungseinheiten und den Währungscode. Er enthält weder Kundenname, E-Mail-Adresse, vollständige Kartendaten noch Zahlungsnotiz. Je nach iOS-Einstellungen können Benachrichtigungen den Betrag auf dem Sperrbildschirm anzeigen. Banner und Ton werden unterdrückt, solange die App im Vordergrund ist.
D1-Benachrichtigungsdatensätze enthalten Zahlungs-, Konto-, Verbindungs-, Installations- und Ereigniskennungen, Ereignistyp, Zeitstempel sowie Warteschlangen-, Zustell- und Reservierungsstatus. Sie enthalten weder Betrag oder Währung noch Kundenkontaktdaten, Kartendaten oder Notiz. Cloudflare Queues hält Zahlungs- und Ereignis-IDs, Benachrichtigungstyp und Test-/Live-Modus für Zustellung und Wiederholungsversuche vor. Ausstehende Benachrichtigungen können innerhalb von vierundzwanzig Stunden nach dem Ereignis zugestellt werden; dieses Zustellfenster ist keine Zusage zur Speicherdauer.
Du kannst Benachrichtigungen in den iOS-Einstellungen deaktivieren. Wenn die App die Registrierung das nächste Mal mit einer gültigen angemeldeten Sitzung und Netzwerkzugang synchronisiert, versucht sie, die Registrierung bei unserem Dienst zu entfernen. Lokales Abmelden entfernt die Serverregistrierung nicht; ausstehende oder spätere Ergebnisse früherer Zahlungen oder Zahlungslinks können daher weiterhin eintreffen, solange diese Verbindung aktiv bleibt.
Gerätespeicherung und Funktionen
Die App speichert die Sitzungszugangsdaten im Schlüsselbund des Geräts mit Schutz ausschließlich für dieses Gerät und Zugriff nach dem ersten Entsperren. Aktualisierte App-Versionen speichern Installationskennung und Review-Modus-Einstellung zusammen mit Konto-ID und Land, Händler-/Teamrolle, Teamzugangsname, Leser- und Standortauswahl, Trinkgeldpräferenzen und Einrichtungsstatus in lokalen Einstellungen. Bei einem Update bleibt die bisherige Installationskennung erhalten; ältere Schlüsselbund-Einträge für Einstellungen werden nach der Übernahme entfernt. Die Kennung bleibt beim Abmelden erhalten. Eine frische Installation übernimmt keine im Schlüsselbund verbliebene Installationskennung oder Review-Einstellung. Ältere App-Versionen können diese Einstellungen bis zum Update weiterhin im Schlüsselbund speichern. Das aktuelle APNs-Token wird im Arbeitsspeicher der App gehalten und bei unserem Dienst registriert; es wird nicht separat in den App-Einstellungen gespeichert.
Die App bewahrt nicht abgeschlossene Formular- und Checkout-Anfragen nicht zur automatischen erneuten Übermittlung auf. Beim Start versucht sie, Wiederherstellungsdaten früherer Versionen zu entfernen. Historische Wiederherstellungsdaten des Dienstes können bis zur Löschung des Händlerdatensatzes verbleiben. Sie enthalten Anfrage-Prüfwerte, Kennungen, Bearbeitungsstatus und Zeitangaben, keine vollständigen Kundenformulare oder Kartendaten.
Die App verwendet Geräte- und Stripe-Funktionen für Lesegeräteverbindungen, Tap to Pay und Karteneingabe, darunter Bluetooth, das lokale Netzwerk, Standortzugriff und unterstütztes kamerabasiertes Kartenscannen. Unser Dienst erhält keine biometrischen Face-ID-Daten oder Kamerabilder. Eine von iOS oder einem Zahlungsanbieter angebotene Authentifizierung wird vom jeweiligen Anbieter durchgeführt. Stripe-Zahlungskomponenten verarbeiten Zahlungsinformationen und Daten zur Produktinteraktion für Zahlungsfunktionen und Analysen. Das Terminal-SDK deklariert außerdem ungefähre Standortdaten für Zahlungsfunktionen. Stripe verwendet Geräte- und Zahlungsinformationen zur Bereitstellung und Absicherung seiner Dienste einschließlich Betrugsprävention. Unser Worker erhält keine rohen Gerätestandortkoordinaten. Siehe die Datenschutzhinweise zu den mobilen Stripe-SDKs und die Datenschutzerklärung von Apple.
Website, Diagnose und Support
Website und API laufen auf Cloudflare Workers, mit betrieblichen Datensätzen in D1 und Push-Aufträgen in Queues. Cloudflare verarbeitet Verbindungs- und Anfrageinformationen wie IP-Adresse, Zeitpunkt, URL, Browser- oder Geräteinformationen und Sicherheitsmetadaten. Der Dienst verwendet gehashte Sitzungstoken zur Begrenzung authentifizierter Anfragen und einen aus der IP-Adresse abgeleiteten Hash zur Begrenzung anonymer Teameinladungsanfragen. Diese Angaben sind nicht anonym, wenn sie mit anderen Datensätzen verknüpft werden können.
In der Dienstkonfiguration sind Worker-Beobachtungsprotokolle und stichprobenartige Traces aktiviert. Explizite Fehlerprotokolle enthalten Stripe-Anfrage-IDs, Fehlertypen oder -codes, Fehlermeldungen und bei unerwarteten Fehlern Anfragemethode und -pfad. Anfrage-URLs können OAuth-Codes, Einladungstoken, Zugangsnamen oder Ressourcenkennungen enthalten. Die App schreibt außerdem Gerätediagnoseprotokolle zu Authentifizierung, Lesegeräten und Zahlungsfehlern, teilweise einschließlich Standort-IDs und Fehlerdetails. Die App hat keinen separaten Upload-Endpunkt für diese Geräteprotokolle; Betriebssystem- und SDK-Diagnosen unterliegen den jeweiligen Diensten.
Wir verwenden betriebliche Informationen, um den Dienst bereitzustellen und abzusichern sowie Fehler zu diagnostizieren. Die Speicherdauer von Cloudflare-Protokollen, Traces, Warteschlangen und Sicherungen richtet sich nach dem jeweiligen Diensttarif und der Konfiguration, unabhängig von den unten beschriebenen Datenbankbereinigungsfristen. Eine Datenbankbereinigung garantiert keine sofortige Entfernung aus Protokollen oder Sicherungen. Informationen zur Verarbeitung und zu Schutzmaßnahmen bei Übermittlungen findest du in der Datenschutzerklärung von Cloudflare und der Vereinbarung zur Auftragsverarbeitung. Diese Anbieter können Informationen außerhalb deines Landes, einschließlich außerhalb des Europäischen Wirtschaftsraums, verarbeiten.
Wir setzen keine eigenen Website-Cookies und laden keine Werbe- oder Website-Analyseskripte. Aktivierte Cloudflare-Sicherheitsfunktionen können notwendige Cookies verwenden. Wir nutzen App- oder Website-Daten weder für Werbung noch für appübergreifendes Tracking. Wenn du den Support kontaktierst, verarbeiten wir deine Nachricht und Kontaktdaten zur Beantwortung; der Code legt keine feste Aufbewahrungsdauer für Supportkorrespondenz fest.
Speicherdauer, Abmelden und Löschung
Die geplante Bereinigung erfasst D1-Zahlungsbenachrichtigungsdatensätze, deren Erstellung mehr als sieben Tage zurückliegt, und Geräteregistrierungen, deren letzte Aktualisierung mehr als neunzig Tage zurückliegt. Ungültige APNs-Token werden auch entfernt, wenn Apple sie als ungültig meldet. Die Bereinigung hängt von der erfolgreichen Ausführung des geplanten Dienstes ab; dies sind Löschschwellen und keine Garantien hinsichtlich Sicherungen oder genauer Löschzeitpunkte.
Händler- und Teamdatensätze werden im Code nicht automatisch altersabhängig gelöscht. Das Löschen eines Teameintrags entfernt diesen Eintrag und die Benachrichtigungs- und Gerätedatensätze seiner aktuellen Verbindung. Bei einem verifizierten Stripe-Deautorisierungs-Webhook prüft der Dienst, ob kein Stripe-Zugriff mehr besteht, bevor er den Händler und damit verbunden die zugehörigen Mitarbeiter-, Austauschcode-, Geräte- und Benachrichtigungsdatensätze löscht. Dies hängt von der erfolgreichen Zustellung und Verarbeitung des Webhooks ab; Stripe-Zahlungs- oder Kundendaten, Apple-Datensätze oder bereits in Warteschlangen befindliche Auftragskennungen werden dadurch nicht gelöscht.
Abmelden entfernt die Sitzungszugangsdaten vom Gerät, setzt Konto- und Zahlungseinstellungen zurück, löscht angezeigte und ausstehende Benachrichtigungen sowie den gemeinsamen URL-Cache und startet die Trennung des Lesegeräts. Dies erfolgt lokal, ohne Stripe zum Widerruf des Zugriffs zu kontaktieren. Die Installationskennung und einige lokale Lebenszyklus-Markierungen bleiben erhalten. Händler- oder Mitarbeitereintrag, Zugangslink, serverseitige Push-Registrierung und Stripe-Verlauf werden nicht gelöscht. Auch das Deinstallieren der App fordert keine serverseitige Löschung an. Kontaktiere uns, um Auskunft, Berichtigung oder Löschung von Informationen unter unserer Kontrolle zu beantragen; bei Kunden- und Zahlungsinformationen, die der Händler verwaltet oder die Stripe oder Apple eigenständig halten, bearbeitet auch der jeweilige Händler oder Anbieter solche Anfragen.
Rechtsgrundlagen und deine Rechte
Soweit die DSGVO anwendbar ist, verarbeiten wir Informationen zur Händlerverbindung, zu Zahlungsanfragen, Kundenverwaltung und Teamzugriff, um den vom Händler angeforderten Dienst bereitzustellen (Art. 6 Abs. 1 Buchst. b DSGVO). Betriebliche Sicherheitsdaten und Supportkorrespondenz verarbeiten wir aufgrund unserer berechtigten Interessen am Betrieb und Schutz des Dienstes sowie an der Beantwortung von Anfragen (Art. 6 Abs. 1 Buchst. f DSGVO). Händler bestimmen, welche Kundendaten sie eingeben und wie sie diese für ihr Unternehmen verwenden, und sind für die Rechtsgrundlage und Datenschutzinformationen gegenüber ihren Kunden verantwortlich. Gesetzliche Pflichten können eine zusätzliche Aufbewahrung oder Offenlegung erfordern (Art. 6 Abs. 1 Buchst. c DSGVO).
Unter den jeweils geltenden Voraussetzungen kannst du Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit verlangen oder der Verarbeitung widersprechen. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, einschließlich des Bayerischen Landesamts für Datenschutzaufsicht. Kontaktiere uns unter support@taptopayonphone.app. Für Daten, die Stripe oder Apple eigenständig verantworten, nutze deren Datenschutzkontaktmöglichkeiten.