Datenschutzerklärung

1. Wer verantwortlich ist und wie du uns erreichst

• Verantwortlicher: Falafy, ein unabhängiges Projekt, betrieben von Erick Torres. [VOM VERANTWORTLICHEN AUSZUFÜLLEN: vollständiger Name oder Firmenname, CPF/CNPJ (brasilianische Steuernummer) und Postanschrift des Verantwortlichen]
• Datenschutzbeauftragter (DPO): [VOM VERANTWORTLICHEN AUSZUFÜLLEN: Name des Beauftragten und eigene E-Mail-Adresse, zum Beispiel privacidade@falafy.com.br]. Solange die E-Mail-Adresse nicht veröffentlicht ist, kannst du Anfragen zu personenbezogenen Daten über den Kontakt „Suporte Falafy“ in der App stellen.
• Behörde: Wenn du mit der Antwort nicht zufrieden bist, kannst du dich bei der Autoridade Nacional de Proteção de Dados (ANPD), der brasilianischen Datenschutzbehörde, beschweren.

2. Welche Daten wir verarbeiten

Daten, die du angibst

• Registrierung: E-Mail, Benutzername, Anzeigename, Passwort und Geburtsdatum. Das Passwort wird nur als argon2-Hash gespeichert, nie im Klartext. Das Geburtsdatum dient dazu, das Mindestalter und die Schutzmaßnahmen für unter 18-Jährige durchzusetzen (Abschnitt 9); es erscheint nicht im Profil und lässt sich nach der Registrierung nicht über die App ändern.
• Zustimmung zu den Bedingungen: die Version der Nutzungsbedingungen und dieser Erklärung, der du zugestimmt hast, und das Datum der Zustimmung.
• Meldungen: Wenn du eine Nachricht oder eine Person meldest, speichern wir den Grund, die von dir geschriebenen Details und eine Kopie des Textes der gemeldeten Nachricht.
• Profil (optional): Foto, Bio, Pronomen, Farben, Rahmen, eigener Status, Profillinks, Zeitzone und Arbeitszeiten, wenn du sie ausfüllen möchtest.
• Inhalte: Textnachrichten, Sprachnachrichten, Anhänge (Bilder, Videos und Dateien), Reaktionen, Umfragen, Events, Notizen, Stories und die Server, Kanäle und Rollen, die du erstellst.
• Beziehungen: Freundesliste, Freundschaftsanfragen, Blockierungen und Teilnahme an Servern und Unterhaltungen.

Durch die Nutzung entstehende Daten

• Sitzungen: Gerätename, Erstellungsdatum, letzte Nutzung und Gültigkeit jeder Sitzung, damit du sehen und beenden kannst, wo du angemeldet bist.
• Kontosicherheit: Geheimnis der Zwei-Faktor-Authentifizierung (verschlüsselt mit AES-256-GCM), Backup-Codes (nur der Hash) und Zähler für Versuche.
• IP-Adresse: wird im Moment der Nutzung im Arbeitsspeicher verwendet, um Anmeldeversuche und übermäßige Anfragen zu begrenzen (Schutz vor Missbrauch). Bei der Registrierung speichern wir außerdem einen gesalzenen Hash der IP, der dazu dient, Betrug im Einladungsprogramm zu verhindern. Zusätzlich speichern wir die vom Marco Civil da Internet (dem brasilianischen Internet-Rahmengesetz) geforderten Zugriffsprotokolle (IP, Port, Datum und Uhrzeit jeder Anmeldung, Sitzungsverlängerung und App-Verbindung) für 6 Monate; siehe Abschnitt 6.
• Präsenz und Aktivität: Der Status (online, abwesend usw.) bleibt im Arbeitsspeicher, solange du verbunden bist. „Spielt X“ wird nur aktiviert, wenn du die Option einschaltest, und nicht in der Datenbank gespeichert.
• Push-Benachrichtigungen: Wenn du Benachrichtigungen im Browser erlaubst, speichern wir die technische Adresse des Abonnements (Endpoint und Schlüssel), die dein Browser bereitstellt.
• Einstellungen: Einstellungen zu Benachrichtigungen, Datenschutz, Erscheinungsbild und Layout.

Was wir nicht erheben

• Wir nutzen keine Analyse-Tools, Werbe-Pixel oder Tracker auf der Website oder in der App.
• Wir verkaufen keine Daten und zeigen keine Werbung.
• Wir zeichnen Sprach- oder Videoanrufe und Bildschirmübertragungen nicht auf dem Server auf. Clips bleiben, wenn du die Funktion einschaltest, nur auf deinem Computer.
• Die Rauschunterdrückung läuft auf deinem Gerät; das Audio geht nicht an einen externen Dienst.
• Wir verlangen weder Telefonnummer noch Kontaktliste noch Ausweis.

3. Wofür wir sie nutzen und auf welcher Rechtsgrundlage

4. Mit wem wir teilen

Wir verkaufen oder vermieten keine Daten. Einige Drittdienste sind am Betrieb beteiligt:

• Hosting: Server bei Oracle Cloud, Region São Paulo (Brasilien), wo Datenbank und hochgeladene Dateien liegen.
• Push-Benachrichtigungen: Der Push-Dienst deines Browsers (zum Beispiel Google, Mozilla, Apple oder Microsoft) erhält die verschlüsselte Benachrichtigung, um sie an dein Gerät zuzustellen. Du kannst den Inhalt der Benachrichtigungen pro Gerät ausblenden.
• GIFs: Suchen und GIF-Bilder laufen über einen Proxy von Falafy selbst; der Anbieter (KLIPY) sieht den Suchbegriff und den Server von Falafy, nicht deine IP oder dein Konto.
• Link-Vorschauen: Enthält eine Nachricht einen Link, ruft der Server von Falafy die Seite ab, um die Vorschau zu erstellen; die besuchte Website sieht den Server von Falafy, nicht dich. Du kannst die Vorschauen ausschalten.
• Zusammen schauen (YouTube): Das Video läuft im YouTube-Player (youtube-nocookie.com), der direkt auf deinem Gerät geladen wird; Google erhält deine IP und die technischen Daten des Players gemäß der eigenen Richtlinie.
• Schriften der Website: Die Seiten von falafy.com.br laden Schriften von Google Fonts, wodurch deine IP Google gegenüber sichtbar wird.
• Andere Nutzer: Was du in Servern und Unterhaltungen veröffentlichst, ist für alle sichtbar, die daran teilnehmen, entsprechend den Berechtigungen.
• Behörden: auf gültigen Gerichtsbeschluss oder rechtmäßige Anforderung.

Einige dieser Dienste (Push, YouTube, Google Fonts) können Daten außerhalb Brasiliens verarbeiten. Diese internationale Übermittlung erfolgt, um den von dir gewünschten Dienst zu erbringen, nach Art. 33 der LGPD.

5. Wie lange wir speichern

• Konto und Profil: solange das Konto besteht.
• Kontolöschung: Bei der Löschung entfernen wir E-Mail, Profil, Foto, Freundschaften, Serverteilnahmen, Sitzungen, 2FA, Push-Abonnements, Notizen, Stories, Abzeichen, Favoriten und Einstellungen. Standardmäßig bleiben die Nachrichten, die du in Servern und Unterhaltungen gesendet hast, dort erhalten, um den Verlauf der anderen Teilnehmenden nicht zu zerstören, erscheinen aber als von einem „Entfernten Benutzer“. Auf dem Löschbildschirm kannst du „Auch alle von mir gesendeten Nachrichten löschen“ anhaken, damit sie mit dem Konto gelöscht werden; die Anhänge dieser Nachrichten werden innerhalb von 24 Stunden vom Server entfernt.
• Zugriffsprotokolle (Marco Civil): 6 Monate, auch nach der Kontolöschung (das Gesetz verlangt es), danach automatisch gelöscht.
• Meldungen: [VOM VERANTWORTLICHEN AUSZUFÜLLEN: Aufbewahrungsdauer der Meldungen, zum Beispiel solange für die Moderation nötig und bis zu 5 Jahre zur Verteidigung in Verfahren]
• Nachrichten und Anhänge: bis du sie löschst, der Server oder Kanal gelöscht wird oder die Moderation sie entfernt.
• Stories: 24 Stunden.
• Sitzungen: bis zu 30 Tage ohne Nutzung oder bis du sie beendest.
• Datenexport-Datei: 24 Stunden lang zum Download verfügbar.
• Technische Server-Logs: nur Fehler und Warnungen, ohne Protokollierung jeder Anfrage, aufbewahrt solange für die Diagnose nötig.

6. Zugriffsprotokolle (Marco Civil da Internet)

Art. 15 des Marco Civil da Internet (Lei 12.965/2014) verpflichtet Anwendungsanbieter, die als juristische Person mit wirtschaftlicher Zielsetzung organisiert sind, Zugriffsprotokolle (Datum, Uhrzeit und IP) 6 Monate lang vertraulich und in einer sicheren Umgebung zu speichern. Falafy speichert diese Protokolle bereits. [VOM VERANTWORTLICHEN AUSZUFÜLLEN: mit rechtlicher Beratung bestätigen, ob das Projekt unter Art. 15 fällt]

• Was wir speichern: die IP-Adresse und den Ursprungsport, Datum und Uhrzeit (mit Zeitzone, in UTC) sowie das Konto und die Sitzung jeder Anmeldung, Sitzungsverlängerung und Verbindung der App zum Server. Wir protokollieren nicht jede Nachricht oder geöffnete Seite.
• Wie lange: 6 Monate. Eine tägliche Routine löscht die ältesten Protokolle automatisch. Behörden können per Gerichtsbeschluss verlangen, dass ein bestimmtes Protokoll länger aufbewahrt wird (Art. 15, § 2).
• Sicherheit und Vertraulichkeit: Die IP ist in der Datenbank verschlüsselt (AES-256-GCM), erscheint auf keinem Bildschirm der App und nicht in der API und kann auf dem Server nur vom Verantwortlichen gelesen werden, wobei jede Abfrage protokolliert wird (Dekret 8.771/2016, Art. 13).
• Wann wir sie herausgeben: nur auf Gerichtsbeschluss oder Anforderung einer Behörde, die gesetzlich befugt ist, diese Daten zu verlangen (Art. 10 und 22 des Marco Civil).

7. Deine Rechte

Nach Art. 18 der LGPD (Lei 13.709/2018, dem brasilianischen allgemeinen Datenschutzgesetz) kannst du verlangen: Bestätigung, dass wir deine Daten verarbeiten; Zugang; Berichtigung; Anonymisierung, Sperrung oder Löschung unnötiger oder rechtswidrig verarbeiteter Daten; Übertragbarkeit; Löschung der auf Grundlage einer Einwilligung verarbeiteten Daten; Auskunft darüber, mit wem wir sie teilen; Auskunft über die Möglichkeit, die Einwilligung zu verweigern; und Widerruf der Einwilligung. Du kannst außerdem Verarbeitungen widersprechen, die auf berechtigtem Interesse beruhen.

• Direkt in der App: In den Einstellungen bearbeitest du das Profil; unter Einstellungen > Datenschutz und Sicherheit exportierst du eine Kopie deiner Daten (ZIP-Archiv mit Profil, von dir gesendeten Nachrichten, Freundschaften, Servern, Sitzungen, Zustimmung zu den Bedingungen und abgegebenen Meldungen, bis zu 3 Anfragen pro Tag), beendest Sitzungen, schaltest Benachrichtigungen, Link-Vorschauen und „Spielt X“ aus und löschst das Konto (mit der Option, auch die Nachrichten zu löschen).
• Weitere Anfragen: über den oben genannten Kontakt des Beauftragten oder über „Suporte Falafy“ in der App. Wir antworten innerhalb von 15 Tagen.

8. Sicherheit

Wir nutzen Transportverschlüsselung (HTTPS/TLS) auf der Website, in der App, in der API und in Anrufen; Passwörter mit argon2; optionale Zwei-Faktor-Authentifizierung; und Sitzungskontrolle. Die Ende-zu-Ende-Verschlüsselung der Nachrichten ist noch in Entwicklung: Heute liegen die Nachrichten auf dem Server von Falafy ohne diese Art der Verschlüsselung. Kein System ist unfehlbar; bei einem Sicherheitsvorfall mit relevantem Risiko informieren wir die Betroffenen und die ANPD, wie es die LGPD verlangt. Mehr Details unter Sicherheit und Datenschutz.

9. Kinder und Jugendliche

Falafy richtet sich nicht an Kinder. Zum Erstellen eines Kontos musst du mindestens 13 Jahre alt sein. [VOM VERANTWORTLICHEN AUSZUFÜLLEN: Mindestalter mit rechtlicher Beratung bestätigen; falls es sich ändert, auch MIN_SIGNUP_AGE auf dem Server anpassen]

• Wie wir heute prüfen: Die Registrierung fragt das Geburtsdatum ab, ohne vorher zu sagen, wie hoch das Mindestalter ist; eine Angabe darunter beendet die Registrierung und sperrt weitere Versuche auf diesem Gerät und in diesem Netz für 24 Stunden; das Datum lässt sich danach nicht über die App ändern; und jede Person kann ein Konto melden, das einer Person unter dem Mindestalter zu gehören scheint, was vom Team geprüft wird. [VOM VERANTWORTLICHEN AUSZUFÜLLEN: der ECA Digital (Gesetz 15.211/2025) verlangt verlässliche Mechanismen zur Altersprüfung, und die bloße Selbstauskunft genügt nicht; hier den zusätzlichen Mechanismus beschreiben, der nach rechtlicher und technischer Bewertung eingeführt wird]
• Schutzmaßnahmen für unter 18-Jährige: Das Konto startet mit Direktnachrichten nur von Freunden, Freundschaftsanfragen nur von Freunden von Freunden, Bio, Statistiken, Aktivität und Ortszeit nur für Freunde sichtbar, Bildern und Videos von Nicht-Freunden stets unscharf (auch in Servern) und dem Profil aus der Suche nach Benutzernamen durch Fremde ausgeschlossen. Es ist nicht möglich, Direktnachrichten oder Freundschaftsanfragen für alle zu öffnen. Falafy zeigt keine Werbung und erstellt von niemandem Profile für Werbezwecke.
• Erziehungsberechtigte: [VOM VERANTWORTLICHEN AUSZUFÜLLEN: Mechanismus für elterliche Aufsicht und für die Verknüpfung des Kontos von unter 16-Jährigen mit dem Konto einer erziehungsberechtigten Person, gemäß ECA Digital] Erziehungsberechtigte, die ein Konto eines Kindes entdecken oder die Löschung des Kontos eines Jugendlichen in ihrer Obhut beantragen möchten, können sich an den Beauftragten oder an Suporte Falafy wenden.

10. Cookies und lokaler Speicher

Die Website und die App nutzen keine Tracking- oder Werbe-Cookies. Wir verwenden nur das, was für das Funktionieren des Dienstes unbedingt erforderlich ist, daher holen wir dafür keine Einwilligung ein, sondern informieren nur:

• Web-Version (falafy.com.br/app): ein Sitzungs-Cookie namens falafy_rt (HttpOnly, Secure, SameSite=Strict, bis zu 30 Tage gültig), das dich angemeldet hält, und der lokale Speicher des Browsers für Einstellungen, Entwürfe und den bereits gesehenen Speicherhinweis.
• App für Windows: Das Sitzungstoken wird vom Betriebssystem geschützt gespeichert, Einstellungen und Entwürfe im lokalen Speicher der App.

Das Löschen der Daten der App oder des Browsers oder das Abmelden vom Konto entfernt diese Informationen.

11. Änderungen dieser Erklärung

Wenn sich diese Erklärung wesentlich ändert, informieren wir dich in der App, bevor die Änderung gilt: Die App zeigt die neue Version an und bittet um eine erneute Zustimmung, um fortzufahren. Das Datum der letzten Aktualisierung steht oben auf der Seite, und die Version, der du zugestimmt hast, erscheint unter Einstellungen > Über.