Datenschutzerklärung

Grundlegendes

Die ilogs smartwear GmbH — im Folgenden „ILOGS" — legt großen Wert darauf, Ihre persönlichen Daten zu schützen. Bei der Verarbeitung halten wir uns an die Bestimmungen der europäischen Datenschutz-Grundverordnung (DSGVO) in der jeweils geltenden Fassung. Nachstehend finden Sie die Erläuterung, in welcher Art und Weise wir Ihre personenbezogenen Daten verarbeiten, wenn Sie diese Website, unsere Smartphone-Applikationen (die Nexum App), unseren Smart Ring oder unsere Services verwenden und wenn Sie unseren Support kontaktieren.

Nexum ist dabei bewusst local-first gebaut: Ihre Messwerte liegen zuerst auf Ihrem Gerät; eine Synchronisierung in die Cloud ist optional.

Änderungen an dieser Datenschutzerklärung

Wir überarbeiten diesen Datenschutzhinweis regelmäßig gemäß den sich ändernden rechtlichen, technischen und geschäftlichen Entwicklungen. Wenn wir ihn aktualisieren, verzeichnen wir das Datum der letzten Überarbeitung am Anfang dieser Erklärung. Wir empfehlen Ihnen, diese Datenschutzerklärung regelmäßig zu lesen.

Verantwortlicher der Datenverarbeitung

Verantwortlich für die Verarbeitung der personenbezogenen Daten ist die ilogs smartwear GmbH, Krone Platz 1, 9020 Klagenfurt am Wörthersee, Österreich. Kontaktieren Sie uns bei Fragen bitte per E-Mail: [email protected], telefonisch unter +43 463 39 30 93 oder schreiben Sie direkt an unseren Datenschutzverantwortlichen:

Über welche Kanäle Daten gesammelt werden

Sie können mit uns über verschiedene Wege in Kontakt treten. Dabei werden Daten von Ihnen gesammelt, um unsere Services erbringen zu können. Dies beinhaltet diese Website, die Smartphone-Applikationen (die Nexum App) und unsere Services, wie auch Ihre Kommunikation im Rahmen einer Supportanfrage.

Daten, welche Sie an uns übergeben

Bei der Verwendung unserer Geräte (wie z.B. dem Nexum Ring) und Services können Sie folgende persönliche Daten an uns übergeben:

• Stammdaten wie Vorname, Nachname, Benutzername, Anrede
• Kontaktdaten wie Rechnungsadresse, Lieferadresse, Heimadresse, E-Mail, Telefon
• Nutzerinformationen wie Geschlecht, Größe und Gewicht, Nutzer-ID und andere Informationen, die Sie uns zur Verfügung stellen
• Von Nutzern bereitgestellte Aktivitäts- und Kontextinformationen wie Aktivitäten, Notizen, Kommentare, Nutzer-Feedback und Tags, die Sie in die App eingeben
• Berechnete Nutzer-, Schlaf- und Aktivitätsdaten wie z.B. Schlafphasen (tief, leicht, REM, wach), Aktivitätsniveau während des Tages und Tagesform
• Logindaten wie Benutzername und Anmeldeinformationen zu unseren Systemen

Daten, welche wir automatisch von Ihnen sammeln

• Technische Daten wie MAC- und IP-Adresse, Browsertyp, Betriebssystem, Art des Gerätes, mit dem Sie auf unsere Webseiten und Applikationen zugreifen
• Verwendungsdaten von Funktionen, welche Sie in unseren Webseiten und Applikationen verwenden
• Inhalte von Gesprächen mit unserer Support-Abteilung können schriftlich zur Nachverfolgung in Tickets niedergeschrieben werden

Diese Website im Besonderen

Diese Website verkauft nichts, setzt keine Tracking- oder Marketing-Cookies und verlangt keine Anmeldung. Drei Verarbeitungen finden dennoch statt, und zwar diese:

Auslieferung

Die Seite wird über das Content-Delivery-Netz von Cloudflare ausgeliefert. Dabei fallen technische Verbindungsdaten an (unter anderem Ihre IP-Adresse, angefragte Adresse, Zeitpunkt, Browserkennung), die Cloudflare als Auftragsverarbeiter für uns verarbeitet — zur Auslieferung selbst und zur Abwehr von Angriffen und automatisiertem Massenzugriff.

Reichweitenmessung

Für die Reichweitenmessung setzen wir Plausible Analytics ein: cookielos, ohne geräteübergreifendes Profil und ohne Speicherung personenbezogener Daten. Erfasst werden aggregierte Kennzahlen wie aufgerufene Seite, Verweisquelle, Gerätekategorie und Land. Eine Wiedererkennung einzelner Personen findet nicht statt.

Kontaktformulare

Wenn Sie eines der beiden Formulare auf der Startseite absenden, übermitteln wir die von Ihnen eingegebenen Angaben — beim Interessenten-Formular Vorname, E-Mail-Adresse und die angekreuzten Interessen, beim Team-Formular zusätzlich Organisation, Rolle, Team-Art, Teamgröße, Schwerpunkt und Ihre Nachricht — an unser Support-Postfach. Der Versand läuft über Cloudflare Email Sending. Wir verarbeiten diese Angaben ausschließlich zur Beantwortung Ihrer Anfrage auf Grundlage Ihrer Einwilligung, die Sie im Formular ausdrücklich erteilen und jederzeit widerrufen können.

Wie schützen wir Ihre Daten

Ort der Datenverarbeitung

Die Verarbeitung Ihrer Daten erfolgt innerhalb der EU und des europäischen Wirtschaftsraums. Unsere Backend-Dienste laufen in einem Rechenzentrum in der EU (Hetzner Online GmbH, Deutschland). Die Datenübertragung von der App und vom Browser in das Rechenzentrum erfolgt verschlüsselt.

Technische und organisatorische Maßnahmen (TOMs)

Die TOMs werden von ILOGS entsprechend der DSGVO umgesetzt. Sie werden laufend auf Machbarkeit und Stand der Technik evaluiert und, sofern nötig, verbessert und auf ein höheres Sicherheits- und Schutzniveau gebracht.

Zu welchen Zwecken werden Ihre Daten verarbeitet

• Bereitstellung des Produktes und der Dienstleistungen
• Verrechnung unserer Services
• Kommunikation mit Ihnen hinsichtlich Ihrer Anfragen
• Verbesserung unseres Produktes und der Dienstleistungen
• Marketing: wir informieren Sie über Produktneuheiten per E-Mail — nur mit Ihrer Einwilligung

Hinweis: Wenn Informationen gebündelt oder anonymisiert werden, sind es keine personenbezogenen Daten mehr.

Weitergabe an Dritte

ILOGS verkauft oder vermietet Ihre personenbezogenen Daten nicht und gibt sie nur an bestimmte vertrauenswürdige Dienstleister und Partner weiter, um unsere Dienste bereitstellen und verbessern zu können und um unser Geschäft zu betreiben. Wann immer wir Daten an Drittanbieter weitergeben, verlangen wir, dass Ihre Daten nur für die von uns genehmigten Zwecke verwendet werden und mindestens nach den gleichen Standards geschützt werden, die wir selbst anwenden.

Nachfolgend die Liste der eingesetzten Drittanbieter und Systeme:

• Cloudflare — Auslieferung und Absicherung dieser Website sowie Weiterleitung der Formularanfragen an unser Support-Postfach
• Hetzner Online GmbH (Deutschland) — Betrieb unserer Backend-Dienste
• Plausible Analytics — cookielose Reichweitenmessung dieser Website
• Mailjet — Versand von Transaktions-E-Mails (z.B. Anmeldelinks, Bestätigungen)
• Sentry — Erfassung technischer Fehlerberichte aus App und Website (Speicherdauer 90 Tage)
• Stripe — Abwicklung der Bezahlung, sofern Sie in unserem Online-Shop bestellen (Stripe verarbeitet Ihre Zahlungsdaten als eigenständiger Verantwortlicher)
• Apple bzw. Google — sofern Sie die Daten des Rings an Apple Health oder Health Connect weitergeben; diese Übergabe erfolgt lokal auf Ihrem Gerät und nur nach Ihrer ausdrücklichen Freigabe

Ihre Support-Anfragen werden in unserem eigenen, in der EU betriebenen Ticketsystem verarbeitet. Für den Empfang von Support-E-Mails setzen wir zusätzlich einen E-Mail-Dienstleister ein; er wird hier namentlich genannt, sobald das Postfach eingerichtet ist.

Cloud-Sync: Gesundheitsdaten aus dem Ring

Die Nexum-App verarbeitet die Messwerte Ihres Rings standardmäßig nur auf Ihrem Telefon. Schalten Sie „Cloud-Sync" ein, werden sie zusätzlich auf unseren Servern gespeichert. Umfasst sind Puls, Sauerstoffsättigung, Herzratenvariabilität, Stressindex, Haut- und Schlaftemperatur, Schritte, Schlafphasen, Trainingseinheiten, Tagesaktivität und Nachtzusammenfassungen sowie Seriennummer und Firmware-Stand des Rings.

Es handelt sich um Gesundheitsdaten (Art. 9 Abs. 1 DSGVO); Rechtsgrundlage ist ausschließlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Zweck ist die Anzeige im Portal und die von Ihnen gesteuerte Freigabe. Die Speicherung erfolgt ausschließlich in der EU. Sie können die Einwilligung jederzeit in der App widerrufen; der Widerruf löscht die Serverkopie und beendet alle Freigaben. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Freigaben an Personen, Teams und Vereine

Sie können Ihre gespeicherten Gesundheitsdaten gezielt freigeben — an eine einzelne Person, an ein Team oder an einen Verein. Jede Freigabe ist auf die von Ihnen ausgewählten Metriken und ein von Ihnen gewähltes Zeitfenster begrenzt. Eine Freigabe an ein Team ist auch für die Leitung des Vereins und für die vom Verein angebundene Software sichtbar.

Der empfangende Verein ist für die weitere Verarbeitung eigener Verantwortlicher; er ist verpflichtet, die Daten nur zum vereinbarten Zweck zu verwenden und nicht weiterzugeben. Sie können jede Freigabe jederzeit beenden; ab diesem Zeitpunkt ist kein Abruf mehr möglich.

Zugriffsprotokoll

Jeder Lesezugriff einer anderen Person oder eines angebundenen Systems auf Ihre Gesundheitsdaten wird protokolliert: Zeitpunkt, wer zugegriffen hat, welche Metriken und welcher Zeitraum ausgeliefert wurden und über welchen Weg. Ihre eigenen Zugriffe werden nicht protokolliert.

Sie können dieses Protokoll jederzeit im Portal einsehen; es ist außerdem Teil Ihrer Datenauskunft. Wir bewahren es 24 Monate auf, auch über den Widerruf einer Freigabe hinaus — damit nachvollziehbar bleibt, wer bis dahin gelesen hat.

Data API für Partner

Vereine und Nutzer:innen können API-Schlüssel erzeugen, mit denen Software Dritter Daten lesend abrufen kann. Ein Schlüssel sieht ausnahmslos das, was die jeweiligen Freigaben erlauben — nicht mehr. Setzt ein Verein einen Schlüssel in einer Fremdsoftware ein, ist deren Anbieter Auftragsverarbeiter des Vereins; der Verein schließt den Vertrag dafür selbst. Abrufe über die Data API erscheinen in Ihrem Zugriffsprotokoll mit dem Namen des Schlüssels.

Wie lange werden Ihre Daten verarbeitet

Die Speicherfrist für Ihre personenbezogenen Daten hängt im Allgemeinen von der Dauer des Lebenszyklus Ihres Nexum-Kontos ab. Ihre personenbezogenen Daten werden gelöscht, sobald sie für den Zweck, für den sie ursprünglich erhoben wurden, nicht mehr benötigt werden, es sei denn, wir sind gesetzlich verpflichtet, die Daten länger zu speichern (z.B. zu steuerlichen Zwecken).

Sie können Ihr Nexum-Konto jederzeit selbst löschen — die Löschung läuft vollständig im Browser, siehe Konto löschen. Zudem können Sie uns auch schriftlich mitteilen, dass wir alle Ihre Daten löschen sollen.

Gesundheitsdaten aus dem Cloud-Sync werden bis zum Widerruf der Einwilligung gespeichert und danach gelöscht. Einträge im Zugriffsprotokoll werden 24 Monate aufbewahrt. Nach einer Kontolöschung werden alle Daten nach einer Frist von 14 Tagen endgültig entfernt; in dieser Frist ist keine Anmeldung mehr möglich.

Cookies und lokale Speicherung

Diese Website verwendet keine Tracking- oder Marketing-Cookies. Technisch gespeichert werden lediglich Ihre Einstellungen — die gewählte Sprache und das gewählte Erscheinungsbild — lokal in Ihrem Browser; diese Informationen verlassen Ihren Browser nicht und werden nicht an uns übertragen.

Rechtsgrundlage für die Verarbeitung

• Vertrag — wenn wir personenbezogene Daten zum Zweck der Bereitstellung von Diensten verarbeiten, geschieht dies auf der Grundlage eines Nutzungsvertrags.
• Einwilligung — Ihre sensiblen personenbezogenen Daten verarbeiten wir nur mit Ihrer Einwilligung.
• Berechtigtes Interesse — z.B. zur Bereitstellung unseres Kundendienstes und zur Verbesserung unserer Dienste, stets sorgfältig gegen Ihr Recht auf Datenschutz abgewogen.
• Rechtliche Verpflichtung — z.B. aus Verbraucherschutz- oder Steuergesetzen.

Weitergabe personenbezogener Daten

Wir behalten uns das Recht vor, personenbezogene Daten unter bestimmten Umständen offenzulegen:

• wenn wir Ihre ausdrückliche Zustimmung dazu haben
• wenn es für unsere berechtigten Interessen im Rahmen der Durchführung unserer Geschäfte vernünftigerweise erforderlich ist, z.B. im Falle einer Fusion, Übernahme oder eines Verkaufs
• um die gesetzlichen Rechte und das Eigentum von Nexum zu schützen
• um gesetzliche Anforderungen zu erfüllen. ILOGS wird sich jedoch jeder Aufforderung widersetzen, Justizbehörden zu Überwachungs- oder Strafverfolgungszwecken Zugang zu Nutzerdaten zu gewähren, und wird die Nutzer:innen benachrichtigen, wenn wir eine derartige Aufforderung erhalten, sofern dies gesetzlich zulässig ist

Ansonsten werden Ihre personenbezogenen Daten niemals an Einzelpersonen oder andere Organisationen weitergegeben.

Ihre Datenschutzrechte

Diese Rechte haben Sie als Endnutzer:in auch dann, wenn Sie ein Vertragsverhältnis mit einem Vertriebspartner von ILOGS haben:

• Informationspflicht — Betroffene müssen über die Details der Datenverarbeitung und ihre Rechte informiert werden.
• Auskunftsrecht — welche Daten gespeichert bzw. verarbeitet werden, muss beauskunftet werden können.
• Recht auf Berichtigung — um falsche Auswertungen zu vermeiden.
• Recht auf Löschung („Recht auf Vergessenwerden") — personenbezogene Daten müssen nach Ablauf wieder gelöscht werden.
• Recht auf Einschränkung der Verarbeitung — für die Dauer von Prüfungen oder der Wahrung von Rechtsansprüchen.
• Recht auf Datenübertragung — Daten müssen auf Verlangen automatisiert bzw. in strukturierter Form übergeben werden können.
• Widerspruchsrecht — im Fall höherer Interessen kann ein:e Betroffene:r die Verarbeitung untersagen.
• Beschwerderecht — bei der Aufsichtsbehörde; in Österreich die Datenschutzbehörde, www.dsb.gv.at.

Zur Ausübung dieser Rechte genügt eine Nachricht an [email protected].

This is a translation of our German privacy policy, provided for convenience. In case of doubt the German version is the legally binding one.

The basics

ilogs smartwear GmbH — hereafter "ILOGS" — takes the protection of your personal data seriously. We process it in line with the European General Data Protection Regulation (GDPR) as amended. Below we explain how we process your personal data when you use this website, our smartphone applications (the Nexum app), our smart ring or our services, and when you contact our support.

Nexum is deliberately built local-first: your measurements live on your device first; syncing to the cloud is optional.

Changes to this privacy policy

We revise this notice regularly in line with legal, technical and business developments. When we update it, we record the date of the latest revision at the top of this page. We recommend reading it from time to time.

Controller

The controller for the processing of personal data is ilogs smartwear GmbH, Krone Platz 1, 9020 Klagenfurt am Wörthersee, Austria. For questions, contact us by e-mail at [email protected], by phone at +43 463 39 30 93, or write directly to our data protection officer:

Through which channels data is collected

You can get in touch with us in several ways. Data is collected so that we can deliver our services. This includes this website, the smartphone applications (the Nexum app) and our services, as well as your communication in the course of a support request.

Data you provide to us

When using our devices (such as the Nexum ring) and services, you may provide us with the following personal data:

• Master data such as first name, last name, user name, form of address
• Contact data such as billing address, delivery address, home address, e-mail, phone
• User information such as sex, height and weight, user ID and other information you make available to us
• User-provided activity and context information such as activities, notes, comments, feedback and tags you enter in the app
• Computed user, sleep and activity data such as sleep stages (deep, light, REM, awake), daytime activity level and daily form
• Login data such as user name and credentials for our systems

Data we collect automatically

• Technical data such as MAC and IP address, browser type, operating system and the kind of device you use to access our websites and applications
• Usage data about the features you use in our websites and applications
• Conversations with our support team may be written down in tickets for follow-up

This website in particular

This website sells nothing, sets no tracking or marketing cookies and requires no sign-in. Three kinds of processing do take place:

Delivery

The site is delivered through Cloudflare's content delivery network. This produces technical connection data (including your IP address, the requested path, the time and your browser identification), which Cloudflare processes on our behalf as a processor — for delivery itself and to defend against attacks and automated mass access.

Audience measurement

For audience measurement we use Plausible Analytics: cookieless, with no cross-device profile and without storing personal data. What is recorded are aggregate figures such as the page viewed, the referrer, the device category and the country. Individuals are not recognised.

Contact forms

If you submit one of the two forms on the home page, we transmit the details you entered — for the interest form your first name, e-mail address and the interests you ticked; for the team form additionally your organisation, role, team type, team size, focus and your message — to our support mailbox. Delivery runs through Cloudflare Email Sending. We process these details solely to answer your enquiry, on the basis of the consent you give explicitly in the form and can withdraw at any time.

How we protect your data

Place of processing

Your data is processed within the EU and the European Economic Area. Our backend services run in an EU data center (Hetzner Online GmbH, Germany). Transmission from the app and from the browser to the data center is encrypted.

Technical and organisational measures (TOMs)

ILOGS implements the TOMs in accordance with the GDPR. They are continuously evaluated against feasibility and the state of the art and, where necessary, improved and raised to a higher level of security and protection.

Purposes of processing

• Providing the product and the services
• Billing our services
• Communicating with you about your enquiries
• Improving our product and services
• Marketing: we inform you about product news by e-mail — only with your consent

Note: once information is aggregated or anonymised, it is no longer personal data.

Sharing with third parties

ILOGS does not sell or rent your personal data. We share it only with selected, trusted service providers and partners in order to provide and improve our services and to run our business. Whenever we pass data to a third party, we require that it be used only for the purposes we approved and protected to at least the same standards we apply ourselves.

The third-party providers and systems we use:

• Cloudflare — delivering and securing this website, and forwarding form enquiries to our support mailbox
• Hetzner Online GmbH (Germany) — operating our backend services
• Plausible Analytics — cookieless audience measurement for this website
• Mailjet — sending transactional e-mail (e.g. sign-in links, confirmations)
• Sentry — collecting technical error reports from the app and the website (kept 90 days)
• Stripe — payment processing if you order in our online shop (Stripe processes your payment data as an independent controller)
• Apple / Google — if you share your ring's data with Apple Health or Health Connect; that handover happens locally on your device and only after you explicitly allow it

Your support requests are processed in our own EU-operated ticket system. For receiving support e-mail we additionally use an e-mail provider; it will be named here once the mailbox is set up.

Ring data, sharing and the Data API

• Cloud sync is off by default. Your ring's measurements stay on your phone unless you switch cloud sync on. If you do, they are also stored on our servers in the EU — heart rate, blood oxygen, heart-rate variability, stress, skin and sleep temperature, steps, sleep stages, workouts, daily activity and nightly summaries, with your ring's serial number and firmware version. This is health data under Article 9 GDPR and rests solely on your explicit consent. You can withdraw at any time in the app; withdrawing deletes the server copy and ends every share.
• Sharing is yours to control. You can share with a person, a team or a club, limited to the metrics and the period you choose. A share with a team is also visible to the club's owners and admins and to software the club has connected. The receiving club is its own controller for what it does after reading.
• Every foreign access is logged — who, when, which metrics, which period, through which channel. Your own access is not logged. You can read the log in the portal and it is part of your data export. We keep it for 24 months, including after a share is withdrawn.
• API keys read only what shares allow. A key never sees more than the underlying share. If a club uses a key inside third-party software, that provider is the club's processor and the club contracts with them directly.

How long we process your data

The retention period for your personal data generally depends on the lifecycle of your Nexum account. Your personal data is deleted as soon as it is no longer needed for the purpose it was originally collected for, unless we are legally obliged to keep it longer (for example for tax purposes).

You can delete your Nexum account yourself at any time — the deletion runs entirely in the browser, see delete your account. You can also tell us in writing to erase all of your data.

Cookies and local storage

This website uses no tracking or marketing cookies. The only things stored are your preferences — the chosen language and appearance — locally in your browser; that information never leaves your browser and is not transmitted to us.

Legal basis for processing

• Contract — where we process personal data in order to provide services, we do so on the basis of a usage agreement.
• Consent — we process your sensitive personal data only with your consent.
• Legitimate interest — e.g. to provide customer service and improve our services, always carefully balanced against your right to data protection.
• Legal obligation — e.g. under consumer protection or tax law.

Disclosure of personal data

We reserve the right to disclose personal data in certain circumstances:

• where we have your explicit consent
• where it is reasonably necessary for our legitimate interests in running our business, e.g. in a merger, acquisition or sale
• to protect the legal rights and property of Nexum
• to meet legal requirements. ILOGS will, however, resist any request to grant judicial authorities access to user data for surveillance or law-enforcement purposes, and will notify users if we receive such a request, where legally permitted

Otherwise your personal data is never passed on to individuals or other organisations.

Your data protection rights

You have these rights as an end user even if your contractual relationship is with an ILOGS distribution partner:

• Right to be informed — data subjects must be told the details of the processing and their rights.
• Right of access — which data is stored and processed must be disclosable.
• Right to rectification — to avoid incorrect evaluations.
• Right to erasure ("right to be forgotten") — personal data must be erased once its purpose has lapsed.
• Right to restriction of processing — for the duration of a review or the assertion of legal claims.
• Right to data portability — on request, data must be transferable in an automated, structured form.
• Right to object — where overriding interests apply, a data subject may prohibit processing.
• Right to complain — to the supervisory authority; in Austria the Datenschutzbehörde, www.dsb.gv.at.

A message to [email protected] is enough to exercise these rights.