Privacy Policy

1. Data Controller

Data Controller im Sinne des Art. 4 Nr. 7 DSGVO ist:

OceanSphere Service Sp. z o.o.
ul. Nowogrodzka 31, 00-511 Warszawa, Poland
KRS 0001211680 · NIP 7011291111 · REGON 543507885
Email: kontakt@oceansphere-service.com

2. Collected data

Wir verarbeiten folgende personenbezogene Daten: Email-Adresse (für Konto und Waitlist), verschlüsseltes Password (bcrypt/Werkzeug-Hash), Nutzungsstatistiken (Anzahl generierter Designs pro Monat, gewählter Tarif), Stripe-Kundennummer und Abonnement-ID (bei kostenpflichtigen Tarifen), sowie — im Rahmen der Nutzung des Web-Studios — die vom Nutzer eingegebenen Prompts und hochgeladenen/erzeugten Bilddateien, soweit diese zur Bereitstellung des Dienstes verarbeitet werden müssen.

3. Zweck und Rechtsgrundlagen der Verarbeitung

Konto, Lizenzvergabe, Bereitstellung des Dienstes und Billing: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Erfüllung gesetzlicher Pflichten, insbesondere steuer- und handelsrechtlicher Aufbewahrungspflichten für Rechnungsdaten (Art. 6 Abs. 1 lit. c DSGVO). Reichweiten-/Nutzungsmessung sowie Betrugs-/Missbrauchsabwehr bei der Registrierung: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Wo im Bestellprozess ausdrücklich eine Einwilligung eingeholt wird (z. B. Zustimmung zum vorzeitigen Leistungsbeginn), erfolgt die Verarbeitung insoweit auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

4. Speicherdauer

Kontodaten werden für die Dauer der Vertragsbeziehung gespeichert und nach Kündigung/Löschverlangen unverzüglich, spätestens binnen 14 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Rechnungs- und Zahlungsdaten werden entsprechend den steuer- und handelsrechtlichen Fristen (in der Regel bis zu 10 Jahre) aufbewahrt. Statistikdaten der Reichweitenmessung (Ziffer 6) werden in nicht personenbeziehbarer, aggregierter Form gespeichert.

5. Hosting

Der Dienst wird auf eigener Infrastruktur des Anbieters in Deutschland betrieben. Server-Logs erfassen technisch übliche Daten (IP-Adresse, Datum/Uhrzeit der Anfrage, aufgerufene URL, Statuscode, Browser-/ Systeminformationen) zur Sicherstellung eines störungsfreien Betriebs (Art. 6 Abs. 1 lit. f DSGVO).

6. Eigene, cookielose Reichweitenmessung

Zum Verständnis, wie Merchpress genutzt wird (besuchte Seiten, Verweildauer, Scrolltiefe, Klicks auf Handlungsaufforderungen wie „Register" oder „Upgrade now", Formular-Start/-Absendung), setzen wir ein eigenes, internes Statistik-Werkzeug ein. Das Skript wird von einem zu unserer eigenen Unternehmensgruppe gehörenden Server (bf-check.de) geladen; die erhobenen Daten (Seiten-URL, Verweildauer in Sekunden, maximale Scrolltiefe in Prozent, Klickzahl, Bounce-/Lesekennzeichen, Referrer-Domain sowie bei CTA-Interaktionen: Element-Typ und sichtbares Label) laufen ausschließlich auf unseren eigenen Servern zusammen und werden nicht an externe Dritte weitergegeben oder mit dem Konto des Nutzers verknüpft. Das Werkzeug setzt keine Cookies und erstellt keinen Fingerabdruck des Geräts; die IP-Adresse wird nur technisch zur Zustellung der Anfrage verwendet und nicht in den Statistikdaten gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), indem Sie an kontakt@oceansphere-service.com schreiben, oder das Skript in Ihrem Browser blockieren — der Dienst bleibt dabei vollständig funktionsfähig.

7. Eingesetzte Auftragsverarbeiter und Drittdienste

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin, Irland) verarbeitet in unserem Auftrag Zahlungsdaten (Kartendaten, Name, Email, Transaktionsbetrag) zur Abwicklung der kostenpflichtigen Tarife. Wir speichern keine vollständigen Kartendaten. Details: stripe.com/de/privacy.

Google Ireland Limited (Google Gemini) wird für KI-gestützte Assistenzfunktionen eingesetzt (u. a. Bildanalyse/-verstehen und Textvorschläge im Web-Studio). Dabei können Prompt-Texte und Bildausschnitte an Google übermittelt werden; dies kann eine Datenübermittlung in ein Drittland (USA) einschließen. Wir stützen diese Übermittlung auf die von Google bereitgestellten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. ein etwaiges Angemessenheitsbeschlussverhältnis der EU-Kommission, soweit einschlägig. Details: policies.google.com/privacy.

Email-Versand: System- und Transaktions-Emails (Bestätigungen, Rechnungshinweise, Kündigungsbestätigungen) versenden wir über das Firmen-Email-Postfach der OceanSphere Service Sp. z o.o. bzw., falls dieses nicht erreichbar ist, ersatzweise über einen SMTP-Dienstleister als technischen Auftragsverarbeiter.

8. Lokale KI-Verarbeitung im Studio-Tarif

Nutzer der Tarife Creator, Studio und Agency können die Bilderzeugung vollständig auf ihrer eigenen Grafikkarte (GPU) lokal ausführen. In diesem Fall verlassen die dabei verarbeiteten Bild- und Prompt-Daten das Gerät des Nutzers nicht und werden nicht an den Anbieter oder an Dritte übertragen — das ist ein bewusster Vorteil dieses Betriebsmodus gegenüber cloudbasierten KI-Diensten. Lediglich Kontoverwaltung, Lizenzprüfung und optionale Zusatzfunktionen (z. B. Auto-upload zu Platforms, Assistenzfunktionen nach Ziffer 7) erfordern weiterhin eine Verbindung zu unseren Servern.

9. Rights of data subjects

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO) sowie — soweit die Verarbeitung auf einer Einwilligung beruht — auf deren Right of withdrawal. Inquire richten Sie an: kontakt@oceansphere-service.com. Wir antworten innerhalb von 30 Tagen.

10. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Privacy-Aufsichtsbehörde zu beschweren. Zuständig für den Verantwortlichen ist in Poland:

Prezes Urzędu Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa, Poland
uodo.gov.pl

Nutzer mit gewöhnlichem Aufenthalt in Deutschland können sich alternativ auch an die für ihren Wohnsitz zuständige deutsche Landesdatenschutzbehörde wenden.

11. Cookies and session data

Wir verwenden technisch notwendige Session-Cookies zur Anmeldung und Absicherung des Kontos (u. a. CSRF-Schutz). Die Session wird nach dem Log out gelöscht. Ergänzend erfolgt die in Ziffer 6 beschriebene cookielose Reichweitenmessung.

12. Drittlandtransfer

Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR findet im Rahmen der in Ziffer 7 genannten Dienste statt (insbesondere Google Gemini, mit Sitz in den USA). Wir setzen dabei auf die dort beschriebenen Garantien. Über den reinen Betrieb dieser Drittdienste hinaus übermitteln wir keine Daten in unsichere Drittländer.

13. Änderungen dieser Privacy Policy

Wir behalten uns vor, diese Privacy Policy anzupassen. Die jeweils aktuelle Fassung ist stets unter dieser Adresse abrufbar.