Datenschutzerklärung

Wer wir sind#

Lockpick wird von datascience2go Inc. mit Sitz in Ontario, Canada betrieben. Wir sind verantwortlich für die personenbezogenen Daten, die diese Richtlinie beschreibt. Wo das Datenschutzrecht den Begriff verwendet, sind wir der Verantwortliche.

Diese Richtlinie gilt für die Lockpick-Website, die Web-App und jeden API-, Agenten- oder Kommandozeilenzugang, den wir anbieten. Sie gilt nicht für die Websites, die Sie von uns prüfen lassen; für diese gelten eigene Richtlinien.

Was wir erheben#

Wir erheben die folgenden Daten, meist von Ihnen und von dem Anmeldeanbieter, den Sie wählen.

• Kontodaten. Ihr Name, Ihre E-Mail-Adresse und Ihr Passwort oder das Basisprofil, das Google oder GitHub bei der Anmeldung über diese Dienste übermittelt.
• Workspace- und Teamdaten. Workspace-Namen, Mitglieder, Rollen und Einladungen.
• Websites und Eigentumsnachweise. Die Websites, die Sie hinzufügen, und die DNS-Einträge oder Dateien, die Sie veröffentlichen, um die Kontrolle darüber nachzuweisen.
• Berichte und eingereichte Inhalte. Ergebnisse, bereinigte Belege und die Dateien, die Sie hochladen. Archive werden wie unten beschrieben vorübergehend zur Verarbeitung gespeichert.
• Antworten aus dem Onboarding und Einwilligungsnachweise. Was Sie uns bei der Einrichtung von Lockpick mitteilen und wann Sie unsere Bedingungen akzeptiert oder sich für produktbezogene E-Mails entschieden haben.
• Nutzungs- und Abrechnungsdaten. Die Funktionen, die Sie nutzen, die Prüfungen, die Sie starten, die Wartelisten, denen Sie beitreten, die Mitgliedschaft Early AI-dopters, die Sie mit Ihrem Konto verknüpfen (Konto-ID, E-Mail-Adresse und Tarif), sowie Ihren Tarif und Ihre Käufe. Kartendaten gehen an Polar, unseren Merchant of Record, nicht an uns.
• Sicherheits- und Protokolldaten. Anmeldeereignisse, IP-Adressen, Browserdetails und Protokolle wichtiger Aktionen, die wir nutzen, um Konten und Lockpick abzusichern.
• Support-E-Mails. Nachrichten, die Sie uns senden, und unsere Antworten.
• Fragen an Ask Lockpick. Ihre Frage und die letzten Nachrichten des Gesprächs gehen an Google (Gemini), das anhand unserer Hilfeseiten antwortet. Ist der Antwortabgleich aktiviert, gehen sie auch an TypeSafe (Jev), das nach einer geprüften Antwort sucht. Wenn Sie angemeldet sind und nach Ihrem eigenen Konto fragen, kann TypeSafe auch Namen und Adressen Ihrer Websites sehen, um zu erkennen, welche Sie meinen. Solange der Antwortabgleich aktiviert ist, speichern wir zu jeder Antwort einen Eintrag, etwa wie sie zustande kam und Ihre positive oder negative Bewertung, 30 Tage lang, ohne den Text der Frage. Geben Sie in eine Frage keine Passwörter, Schlüssel oder personenbezogenen Daten ein.

Was die einzelnen Prüfungen erfassen#

Website-Scans lesen öffentliche Informationen der gewählten Website: Seiten, Antwort-Header, Skripte, DNS-Einträge, Zertifikatsprotokolle und Domain-Registrierungsdaten. Diese können personenbezogene Daten enthalten. Belege in Berichten werden bereinigt.

Pulse und gehostete Deep-Website-Scans melden sich nicht an, senden keine Formulare und erfassen keine Besucherstatistiken. Sie benötigen keinen Zugriff auf Ihr privates Quellcode-Repository.

Zur Prüfung einer Domain fragen wir öffentliche Datenquellen ab, etwa crt.sh, öffentliche DNS-Resolver wie Google Public DNS und RDAP-Registrierungsdienste. Sie erhalten nur die jeweils geprüfte Domain, niemals Ihre Kontodaten.

Ein Schnellcheck ohne Konto funktioniert genauso. Wir speichern die Website-Adresse und das Ergebnis, damit wir sie Ihnen anzeigen können.

Das Archiv wird auf unsere Server hochgeladen. Ist die KI-Prüfung eingerichtet, gehen ausgewählte Dateitexte und Pfade nach Bereinigung an Anthropic. Rohdaten werden nach Abschluss entfernt; pausierte vollständige Prüfungen behalten sie zum Fortsetzen. Abgeschlossene oder fehlgeschlagene Prüfungen verfallen nach 30 Tagen. Automatische Bereinigung erkennt möglicherweise nicht alle sensiblen Daten. Laden Sie keine Zugangsdaten oder sachfremden personenbezogenen Daten hoch. Abhängigkeitsprüfungen können Paketnamen und Versionen an OSV senden.

Quelldateien und Berichte bleiben auf Ihrem Rechner. Lockpick erhält Projekt, angeforderte Prüfungen und Scanner-Versionen zur Freigabe und protokolliert diese. Wenn Sie Ergebnisse mit einem KI-Assistenten teilen, erhält dessen Anbieter die geteilten Daten.

Monitor speichert übermittelte Paketnamen und Versionen. Ein verbundenes Repository liefert außerdem Repository- und Commit-Daten sowie das ausgewählte Manifest und die Sperrdatei. Öffentliche Repository- und Skill-Prüfungen lesen den ausgewählten Code; KI-Prüfungen können bereinigte Auszüge an Anthropic senden.

Verbundene Apps und Agenten#

Wenn Sie eine App oder einen Agenten mit Lockpick verbinden, etwa Claude oder die Lockpick-Kommandozeile, erheben wir außerdem Folgendes.

• Verbindungsdaten. Das Konto und den Workspace, zu denen eine Verbindung gehört, die Identität und Rückkehradresse der App, die Berechtigungen, die Sie erteilt haben, sowie wann die Verbindung erstellt, genutzt und widerrufen wurde. Zugangsdaten speichern wir nur in gehashter Form.
• Anfragen und Ergebnisse. Was jede Anfrage an uns sendet, etwa Website-Adressen, Website-IDs und Prüf-IDs, und was wir zurückgeben. Wir speichern sie wie jede andere Nutzung von Lockpick, mit den oben beschriebenen Nutzungs-, Sicherheits- und Protokolldaten.
• Aktionen. Über eine Verbindung hinzugefügte Websites, gestartete Prüfungen und erteilte Freigaben werden wie Aktionen in der Web-App Ihrem Konto zugeordnet.

Den Gesprächsverlauf fordern wir über eine Verbindung nicht an. Die App sendet uns nur, was eine Anfrage braucht. Geben Sie deshalb keine Passwörter, Schlüssel oder unrelevanten personenbezogenen Daten hinein.

Wir geben Ergebnisse, geschwärzte Nachweise, Abdeckung, Status und Reparaturhinweise an die App zurück. Deren Anbieter, etwa Anthropic für Claude, behandelt, was über die App läuft, nach den eigenen Bedingungen und der eigenen Datenschutzerklärung.

Eine Verbindung zu widerrufen beendet sie sofort. Frühere Bewertungen oder die oben genannten Daten werden dadurch nicht gelöscht; wir bewahren sie so auf, wie der Abschnitt zur Aufbewahrung beschreibt.

Wie wir personenbezogene Daten verwenden#

• Um Lockpick bereitzustellen, einschließlich der Durchführung der von Ihnen gewünschten Bewertungen, der Anzeige von Berichten und der Verwaltung von Workspaces.
• Um zu prüfen, ob Sie eine Website testen dürfen, um Grenzen durchzusetzen und Missbrauch zu verhindern, einschließlich der Prüfung von Meldungen über Bewertungen, die ein Website-Inhaber nicht genehmigt hat.
• Um Konten und Lockpick abzusichern.
• Um Service-E-Mails zu senden, etwa für Anmeldung, Verifizierung, Einladungen und Berichte, sowie produktbezogene E-Mails, wenn Sie sich dafür entschieden haben.
• Um Support-Anfragen zu beantworten.
• Um zu verstehen, wie Lockpick genutzt wird, und um es zu verbessern.
• Um Tarife und Abrechnung abzuwickeln.
• Um unsere gesetzlichen Pflichten zu erfüllen und unsere Rechte zu schützen.

Wir verkaufen keine personenbezogenen Daten, und wir verwenden Ihre Berichte nicht, um KI-Modelle zu trainieren.

Rechtsgrundlagen für Nutzer in der EU und im Vereinigten Königreich#

Wenn für Sie die DSGVO oder die UK-DSGVO gilt, stützen wir uns auf diese Rechtsgrundlagen.

• Vertrag, um Lockpick gemäß unseren Nutzungsbedingungen bereitzustellen.
• Berechtigte Interessen, um Lockpick abzusichern, Missbrauch zu verhindern, die Erlaubnis für Tests zu bestätigen und das Produkt zu verbessern. Wir wägen diese Interessen gegen Ihre Rechte ab.
• Einwilligung für Produkt-E-Mails und für optionale Analysen, wo eine Einwilligung erforderlich ist. Sie können Ihre Einwilligung jederzeit widerrufen.
• Rechtliche Verpflichtung, wenn das Gesetz verlangt, dass wir Daten aufbewahren oder offenlegen.

Cookies und Analysen#

Wir verwenden ein Cookie, damit Sie angemeldet bleiben. Ohne dieses Cookie kann Lockpick nicht funktionieren. Wenn Sie eine Einstellung wie die Sprache wählen, können wir diese ebenfalls in einem Cookie speichern. Wir speichern außerdem Ihre Cookie-Wahl. Wenn Sie optionale Cookies akzeptieren und einem Einladungslink folgen, speichern wir diese Einladung für 30 Tage, damit die Person, die Sie eingeladen hat, angerechnet wird. Wir verwenden keine Werbe-Cookies.

Produktanalysen sind optional und deaktiviert, sofern wir sie nicht konfigurieren. Wir verwenden PostHog, um zu zählen, wie Seiten und Funktionen genutzt werden, und, wenn aktiviert, um Seiteninteraktionen wie Klicks und Scrollen wiederzugeben. Die Wiedergabe verwendet anonyme, nur im Arbeitsspeicher gehaltene Sitzungskennungen, maskiert Seitentexte, Eingabefelder und Kundenattribute und schließt Bilder, Konsolenprotokolle und Netzwerk-Nutzdaten aus. Seitenadressen werden auf Routenmuster reduziert. Maskierte Sitzungsaufzeichnungen und Fehlerberichte können wir mit KI-Modellen von Google (Gemini) und Anthropic (Claude) prüfen, um Probleme bei der Bedienbarkeit zu finden. Aufzeichnungen erhalten sie maskiert, wie oben beschrieben. Fehlerberichte verwenden feste Diagnosemeldungen, Codestellen und technische Anfragedaten, die interne Konto- und Arbeitsbereichs-IDs enthalten können. Rohe Ausnahme-Meldungen, Passwörter, Schlüssel und Tokens werden entfernt. Analysen und Aufzeichnungen laufen erst, nachdem Sie ihnen in unserem Cookie-Banner zugestimmt haben, und enden, sobald Sie Ihre Wahl unter Cookie-Einstellungen ändern. Wir setzen keine Analyse-Cookies und keinen dauerhaften Browserspeicher, und wir werten Do Not Track und Global Privacy Control als Ablehnung.

Mit wem wir Daten teilen#

Wir geben personenbezogene Daten nur so weiter, wie diese Richtlinie es beschreibt.

• Dienstleister, die für uns Teile von Lockpick betreiben, auf Grundlage von Verträgen, die ihre Nutzung der Daten begrenzen. Dazu gehören Hosting (Railway), E-Mail-Versand (Resend), Anmeldung (Google und GitHub, wenn Sie diese nutzen), Produktanalysen (PostHog, falls aktiviert) und Zahlungsabwicklung (Polar, unser Merchant of Record, wenn Sie einen kostenpflichtigen Tarif kaufen). Dazu gehören auch KI-Anbieter, Google (Gemini) und Anthropic (Claude), deren Modelle maskierte Sitzungsaufzeichnungen und Fehlerberichte prüfen, damit wir Probleme in Lockpick finden und beheben können. Fragen an Ask Lockpick gehen an Google (Gemini) und, wenn der Antwortabgleich aktiviert ist, an TypeSafe (Jev), wie oben beschrieben. Anthropic verarbeitet auch ausgewählte bereinigte Codeauszüge für konfigurierte KI-Prüfungen von ZIPs, Repositories und Skills. OSV erhält Paketnamen und Versionen für Abhängigkeitsprüfungen.
• Öffentliche Datenquellen, die nur die geprüfte Domain erhalten, wie oben beschrieben.
• Personen in Ihrem Arbeitsbereich, die je nach Rolle dessen Websites und Berichte sehen können.
• Alle, mit denen Sie einen Berichtslink teilen.
• Website-Betreiber, Behörden oder andere, wenn wir glauben, dass dies erforderlich ist, um Missbrauch oder Schaden zu verhindern, etwa wenn ein Website-Betreiber eine Prüfung meldet, die er nicht autorisiert hat.
• Behörden oder andere Stellen, wenn das Gesetz dies verlangt.
• Einen Käufer oder Rechtsnachfolger, falls wir Teil einer Fusion, Übernahme oder eines Verkaufs von Vermögenswerten sind, vorbehaltlich dieser Richtlinie.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für gezielte Werbung weiter.

Wo Daten gespeichert werden#

Unsere Server stehen in den Vereinigten Staaten. Wenn Sie anderswo leben, werden Ihre Daten in die Vereinigten Staaten übertragen, und unsere Dienstleister können sie in anderen Ländern verarbeiten. Wo das Gesetz es verlangt, verwenden wir für diese Übertragungen geeignete Garantien, etwa Standardvertragsklauseln.

Wie lange wir Daten aufbewahren#

• Kontodaten, solange Ihr Konto aktiv ist und für einen angemessenen Zeitraum nach dessen Schließung, um Fragen, Streitfälle und gesetzliche Pflichten zu bearbeiten.
• Website-Berichte bleiben bis zur Löschung auf Anfrage oder Kontoschließung, vorbehaltlich geltender Aufbewahrungspflichten. Schnellprüfungen verfallen standardmäßig nach 7 Tagen. ZIP-Rohdaten werden nach Abschluss der Verarbeitung gelöscht; pausierte vollständige Prüfungen behalten sie bis zur Fortsetzung oder Entfernung. Abgeschlossene oder fehlgeschlagene ZIP-Prüfungen werden nach 30 Tagen gelöscht.
• Sicherheits- und Prüfprotokolle für einen begrenzten Zeitraum.
• Abrechnungsunterlagen, solange Steuer- und Buchhaltungsrecht es verlangt.
• Verbindungsprotokolle, solange die Verbindung besteht, und danach als Teil der Sicherheits- und Prüfprotokolle.

Gelöschte Daten können noch kurze Zeit in Backups enthalten sein, bis diese Backups ersetzt werden.

Sicherheit#

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten zu schützen, etwa verschlüsselte Verbindungen, Zugriffskontrollen und Beschränkungen, wer Kundendaten sehen kann. Kein System ist vollkommen sicher. Wenn eine Datenpanne Ihre personenbezogenen Daten betrifft, informieren wir Sie und die Behörden, wo das Gesetz es verlangt.

Ihre Wahlmöglichkeiten und Rechte#

Sie können uns bitten, Ihre personenbezogenen Daten einzusehen, zu berichtigen, zu löschen oder zu exportieren, und Sie können jede erteilte Einwilligung widerrufen. Schreiben Sie uns an support@lockpick.app. Wir müssen eventuell zuerst Ihre Identität bestätigen, und wir antworten innerhalb der vom Gesetz vorgegebenen Frist.

• Kanada. Nach PIPEDA und den Datenschutzgesetzen der Provinzen können Sie Ihre personenbezogenen Daten einsehen und berichtigen lassen und sich beim Office of the Privacy Commissioner of Canada beschweren.
• EU und Vereinigtes Königreich. Nach der DSGVO und der UK-DSGVO können Sie außerdem einer bestimmten Verarbeitung widersprechen oder sie einschränken lassen, und Sie können sich bei Ihrer lokalen Datenschutzbehörde beschweren oder, im Vereinigten Königreich, beim Information Commissioner's Office.
• Vereinigte Staaten. Je nach Bundesstaat haben Sie möglicherweise das Recht zu erfahren, welche personenbezogenen Daten wir über Sie speichern, diese korrigieren oder löschen zu lassen, eine Kopie zu erhalten und dem Verkauf oder der Nutzung für gezielte Werbung zu widersprechen. Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für gezielte Werbung. Sie können einen bevollmächtigten Vertreter einsetzen. Wir behandeln Sie nicht anders, weil Sie Ihre Rechte ausüben.

Kinder#

Lockpick richtet sich an Unternehmen und Fachleute. Der Dienst ist nicht für Personen unter 18 Jahren bestimmt, und wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns. Wir löschen diese dann.

Änderungen dieser Richtlinie#

Wir können diese Richtlinie aktualisieren. Das Datum des Inkrafttretens und die Version oben auf dieser Seite zeigen, welche Fassung gilt. Wenn eine Änderung Sie wesentlich betrifft, informieren wir Sie vor deren Inkrafttreten per E-Mail oder in Lockpick.

Kontakt#

Bei Fragen oder Anliegen zum Datenschutz schreiben Sie uns an support@lockpick.app.

Lockpick wird betrieben von datascience2go Inc., Ontario, Canada.