Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher ist Stanley Kunz, geschäftlich tätig unter Kunz Global · Kunz Systems, Ruta 1 km 51, Departamento de San José, Uruguay, RUT 220451740014. Kontakt: contact@kunzsystems.com.

2. Was wir nicht sehen können

Alles, was du in deinem Tresor speicherst – Namen, Website-Adressen, Benutzernamen, Passwörter, Notizen, Kartendaten, Identitäten, Zwei-Faktor-Geheimnisse, Tags, Favoriten und Papierkorb – wird auf deinem Gerät mit AES-256-GCM verschlüsselt, bevor es gespeichert oder synchronisiert wird. Der Schlüssel wird auf deinem Gerät aus deinem Master-Passwort abgeleitet; wir erhalten niemals dein Master-Passwort, deinen Tresorschlüssel oder deinen Wiederherstellungsschlüssel. Daher können wir deine Tresorinhalte weder lesen noch analysieren, verkaufen oder weitergeben.

3. Diese Website

Die Website valtira.kunzsystems.com ist eine statische Website, die von Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet wird. Wenn du sie besuchst, verarbeitet Vercel technische Daten, die zur Auslieferung der Seiten und zum Schutz des Dienstes erforderlich sind – deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, Browser und Betriebssystem – in Serverprotokollen, die Vercel für einen begrenzten Zeitraum aufbewahrt. Rechtsgrundlage: unser berechtigtes Interesse am sicheren Betrieb einer Website (Art. 6 Abs. 1 lit. f DSGVO).

Die Website setzt keine Cookies, lädt keine Analyse-, Werbe- oder Tracking-Skripte und bindet keine Inhalte Dritter ein. Schriftarten und Bilder werden über unsere eigene Domain ausgeliefert.

4. Die Valtira-App ohne Konto

Du kannst Valtira ohne Konto nutzen. Dein verschlüsselter Tresor wird dann nur im Browserspeicher auf deinem Gerät gespeichert. Die App speichert einige nicht sensible Einstellungen (Design, Sprache, Listensortierung, Generatoroptionen) im lokalen Speicher deines Browsers. Die App selbst wird wie in Abschnitt 3 beschrieben von Vercel ausgeliefert.

5. Verschlüsselte Synchronisierung (optionales Konto)

Wenn du die Synchronisierung aktivierst, verarbeiten wir die folgenden Daten, um den von dir angeforderten Dienst bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO):

• deine E-Mail-Adresse (deine Konto-Kennung);
• Schlüsseleiterationseinstellungen und einen schlüsselgebundenen Hash eines Anmeldenachweises, der auf deinem Gerät aus deinem Master-Passwort abgeleitet wird (nicht dein Master-Passwort);
• deinen verschlüsselten Tresorschlüssel und verschlüsselte Tresoreinträge mit technischen Metadaten: zufällige Eintragskennungen, Revisionsnummern und Zeitstempel;
• Geräte, mit denen du dich anmeldest: einen änderbaren Namen (z. B. „Chrome unter Windows“), die Plattform, den Zeitpunkt des Hinzufügens und der letzten Nutzung;
• Sitzungen: einen Hash des Sitzungstokens und Ablaufzeiten; ein für die Sitzung unbedingt erforderliches Cookie („__Host-valtira_session“) in der Web-App;
• Sicherheitsereignisse (zum Beispiel Anmeldungen, fehlgeschlagene Anmeldungen, Passwortänderungen und das Entfernen von Geräten), die dir in der App angezeigt und nach 12 Monaten gelöscht werden;
• zum Schutz vor Passwort-Rateangriffen kurzlebige schlüsselgebundene Hashes von IP-Adressen und E-Mail-Adressen, die zur Begrenzung der Anmeldeversuche verwendet und innerhalb von 48 Stunden gelöscht werden (Art. 6 Abs. 1 lit. f DSGVO).

6. Optionale Prüfung auf Datenlecks

Im Sicherheitscenter kannst du deine Passwörter mit bekannten Datenlecks abgleichen. Dafür wird der Dienst „Pwned Passwords“ von Have I Been Pwned (haveibeenpwned.com) genutzt, der über Cloudflare bereitgestellt wird. Dein Gerät sendet nur die ersten fünf Zeichen des SHA-1-Hashes eines Passworts – niemals das Passwort oder den vollständigen Hash. Wie bei jeder Webanfrage erhält der Dienst deine IP-Adresse. Die Prüfung wird nur ausgeführt, wenn du sie startest.

7. Auftragsverarbeiter und internationale Übermittlungen

Wir nutzen Vercel Inc. (USA) für das Hosting und serverlose Funktionen sowie einen verwalteten PostgreSQL-Anbieter für die Synchronisierungsdatenbank. Wenn Daten außerhalb deines Landes übermittelt werden, stützen wir uns auf geeignete Garantien wie die EU-Standardvertragsklauseln oder das EU–US Data Privacy Framework. Da Tresorinhalte Ende-zu-Ende-verschlüsselt sind, können auch diese Anbieter sie nicht lesen.

8. Wie lange wir Daten speichern

Synchronisierungskontodaten werden gespeichert, bis du dein Konto in der App löschst; durch die Löschung werden dein Konto, dein verschlüsselter Tresor, deine Geräte, Sitzungen und Sicherheitsereignisse aus unserer Datenbank entfernt. Sitzungen laufen spätestens nach 30 Tagen ab. Daten zur Begrenzung der Anmeldeversuche werden innerhalb von 48 Stunden gelöscht. Verschlüsselte Daten auf deinen Geräten bleiben unter deiner Kontrolle, bis du sie entfernst. Falls Datenbanksicherungen erstellt werden, werden sie in regelmäßigen Zyklen überschrieben.

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen. Du kannst deinen Tresor exportieren und dein Konto direkt in der App löschen. Um weitere Rechte auszuüben, schreibe an contact@kunzsystems.com. Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, zum Beispiel in deinem Wohnsitzland oder bei der Unidad Reguladora y de Control de Datos Personales (URCDP) in Uruguay.

10. Sicherheit

Einzelheiten zu unserer Sicherheitsarchitektur sind auf der Sicherheitsseite veröffentlicht. Kein System ist vollkommen sicher; wir beschreiben bekannte Grenzen offen und bitten Sicherheitsforscher, Schwachstellen an contact@kunzsystems.com zu melden.

11. Änderungen

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitung ändert. Das Datum oben zeigt die aktuelle Version.