Datenschutzrichtlinie

1. Einführung

Die TERRASIGNAL K.K. (im Folgenden „das Unternehmen“) legt die folgende Datenschutzrichtlinie (im Folgenden „diese Richtlinie“) für den Umgang mit personenbezogenen Daten und Betriebsdaten der Nutzer in den vom Unternehmen bereitgestellten mobilen Anwendungen und Webdiensten (zusammen „der Dienst“) fest. Der Dienst umfasst TerraSignal Run für das Batterie-Energiemanagement und die Optimierung des Strommarktbetriebs sowie TerraSignal Plan für die Standortbeschaffung, -entwicklung und das Projektmanagement und steht ausschließlich juristischen Personen und Einzelunternehmern zur Verfügung, die einen Nutzungsvertrag auf Mandantenebene (Tenant) geschlossen haben.

2. Erhobene Informationen

Der Dienst erhebt die folgenden Informationen:

• E-Mail-Adresse (zur Anmeldung, Authentifizierung und Identitätsprüfung)
• Benutzer-ID (automatisch generiert; zur Kontoverwaltung)
• Rollen- und Berechtigungsinformationen (systemseitig zugewiesen; zur Zugriffskontrolle)
• Zeitpunkt der Kontoerstellung (automatisch erfasst; für die Audit-Protokollierung)
• Informationen zu Teammitgliedern (von Tenant-Administratoren festgelegt; für die organisationsinterne Zugriffsverwaltung)
• Vertrauenstoken für Geräte (für die Verwaltung des Gerätevertrauens bei der Multi-Faktor-Authentifizierung; erzeugt bei der Geräteauthentifizierung)
• Betriebsdaten (Batterie-Telemetriedaten wie SoC und Leistungsabgabe, Optimierungsergebnisse, Marktteilnahmeprotokolle, Gebots-/Zuschlags-/Imbalance-Aufzeichnungen; TerraSignal Run)
• IP-Adresse und User-Agent (erfasst bei Abgabe einer wesentlichen Einwilligung oder Bestätigung, etwa der Annahme der Nutzungsbedingungen)
• Projekt- und Standortdaten (Projektname, Standort, geografische Koordinaten, geodatenbasierte Zeichnungen zu Grundstücksgrenzen und Erschließungsplänen, Layout-Planungsinformationen usw.; für die Standortbewertung und Entwicklungsplanung in TerraSignal Plan)

3. Gerätefunktionen und Berechtigungen

Der Dienst (mobile App) verwendet die Anmeldung per E-Mail/Passwort sowie eine Zwei-Faktor-Authentifizierung (TOTP) über eine Authenticator-App. Mit Ihrer Erlaubnis senden wir Push-Benachrichtigungen zu Störungen, Alarmen und anderen wichtigen Mitteilungen und erfassen hierfür ein Push-Benachrichtigungstoken zur Identifizierung des Zustellungsziels (die Zustellung erfolgt über den Push-Benachrichtigungsdienst von Expo, einem US-Unternehmen). Berechtigungen für Kamera, Standort (GPS), biometrische Authentifizierung, Kontakte, Mikrofon oder Ähnliches fordern wir nicht an.

4. Speicherung der Informationen

Erhobene Informationen werden mit angemessenen Zugriffskontrollen und Verschlüsselung gespeichert. In der Cloud gespeicherte Daten werden in Rechenzentren innerhalb Japans gehostet.

• Auf dem Gerät (betriebssystemeigener verschlüsselter Speicher): Vertrauenstoken für Geräte
• Auf dem Gerät (verschlüsselter, anwendungseigener Speicherbereich): Authentifizierungs-Sitzungsinformationen (JWT)
• Cloud (innerhalb Japans; Daten und Übertragung verschlüsselt): Kontoinformationen, Betriebsdaten, Optimierungsergebnisse, Marktteilnahmeprotokolle

5. Verwendungszweck

Erhobene Informationen werden ausschließlich für die folgenden Zwecke verwendet:

• Anmeldung und Authentifizierung für den Dienst
• Zugriffskontrolle auf Mandantenebene
• Multi-Faktor-Authentifizierung (MFA)
• Anzeige, Verwaltung, Optimierung und Gebotsplanerstellung für Betriebsdaten
• Sicherheitsaudits sowie die Aufzeichnung wesentlicher Einwilligungen und Bestätigungen

6. Weitergabe an Dritte

Das Unternehmen gibt erhobene personenbezogene Daten oder Betriebsdaten nicht an Dritte weiter, außer: (i) mit Einwilligung des Nutzers, (ii) sofern gesetzlich vorgeschrieben (gerichtliche oder behördliche Anordnungen usw.) oder (iii) sofern dies zum Schutz von Leben, Gesundheit oder Eigentum erforderlich ist. Die öffentlichen Webseiten des Dienstes (Marketing-Website usw.) verwenden Google Analytics 4 zur Nutzungsanalyse; in diesem Umfang werden erhobene Informationen an Google weitergegeben. Details siehe nächster Artikel. Der Dienst verwendet keine Absturzberichtsdienste oder Werbe-SDKs.

7. Externe Dienste

Der Dienst nutzt die folgenden externen Dienste:

• Supabase (Supabase, Inc., USA): Authentifizierung und Datenbank. Das Unternehmen hat mit Supabase eine Vereinbarung zur Auftragsverarbeitung (Data Processing Agreement, DPA) geschlossen und angemessene Schutzmaßnahmen umgesetzt. Datenschutzrichtlinie: https://supabase.com/privacy
• Amazon Web Services, Inc. (AWS): Anwendungsserver (ECS/Fargate), Infrastruktur für maschinelles Lernen (SageMaker, Lambda) und Datenspeicherung (S3). Die Daten werden innerhalb Japans (Region Tokio) gespeichert. Datenschutzrichtlinie: https://aws.amazon.com/privacy/
• Google Analytics 4 (Google LLC, USA): Zugriffsanalyse für die öffentlichen Webseiten des Dienstes (Marketing-Website usw.). Erhobene Informationen umfassen Verhaltensdaten wie Seitenaufrufe und Klicks, aus der IP-Adresse abgeleitete Regionsinformationen sowie Browser-/Geräteinformationen; personenbezogene Daten wie Name oder E-Mail-Adresse sind nicht enthalten. Die erhobenen Informationen werden an Google-Server (auch in den USA) übermittelt und ausschließlich zur Analyse und Verbesserung der Nutzung des Dienstes verwendet. Die Erfassung kann über die Cookie-Einstellungen Ihres Browsers oder die Opt-out-Tools von Google deaktiviert werden. Datenschutzrichtlinie: https://policies.google.com/privacy

8. Aufbewahrungsfristen

Die Aufbewahrungsfristen für die jeweiligen Datenkategorien sind wie folgt:

• Kontoinformationen: 1 Jahr nach Vertragsbeendigung
• Authentifizierungs-Sitzungsinformationen (JWT): bis zum Ablauf der Sitzung oder bis zur manuellen Abmeldung
• Vertrauenstoken für Geräte: 30 Tage ab Registrierung oder bis zur Entfernung vom Gerät
• Betriebsdaten (Telemetriedaten, Optimierungsergebnisse, Marktteilnahmeprotokolle): gemäß der vertraglichen Festlegung (in der Regel 7 Jahre, unter Berücksichtigung der Aufbewahrungspflichten nach den einschlägigen Gesetzen für die Elektrizitätswirtschaft)

9. Offenlegung, Berichtigung und Löschung

Nutzer können die Offenlegung, Berichtigung, Löschung oder die Einstellung der Nutzung ihrer beim Unternehmen gespeicherten personenbezogenen Daten verlangen. Anfragen sind per E-Mail an die untenstehende Kontaktadresse zu richten. Wir werden nach Identitätsprüfung im Einklang mit dem geltenden Recht reagieren.

10. Sicherheit

Das Unternehmen setzt die folgenden Schutzmaßnahmen ein, um das Durchsickern, den Verlust oder die Beschädigung erhobener personenbezogener Daten und Betriebsdaten zu verhindern:

• TLS/HTTPS-Verschlüsselung der Kommunikation
• Zugriffskontrolle auf Datenbankebene (Row-Level Security)
• Multi-Faktor-Authentifizierung (MFA/TOTP)
• Geräteverwaltung mittels Vertrauenstoken
• Aufzeichnung und Überwachung von Zugriffsprotokollen

11. Änderungen dieser Richtlinie

Das Unternehmen kann diese Richtlinie aufgrund von Gesetzesänderungen oder anderen Umständen ändern. Bei wesentlichen Änderungen werden wir die Nutzer innerhalb des Dienstes benachrichtigen oder das vertragschließende Unternehmen direkt informieren.

12. Kontakt

Für Anfragen zu dieser Richtlinie wenden Sie sich bitte an: