Diese Richtlinie beschreibt, was Paragon über dich aufzeichnet, wie lange jeder Eintrag aufbewahrt wird und wer sonst jemals etwas davon sieht. Sie ist bewusst kurz gehalten, denn die ehrliche Version dieses Dokuments für einen Hoster, der eine E-Mail-Adresse und eine Kryptozahlung annimmt, kann nicht lang sein.
Nichts hier ist nur Absichtserklärung. Jede Zeile in der folgenden Tabelle entspricht genau dem, was das Datenbankschema tatsächlich speichert, und das Schema ist das, womit der Aufbewahrungsjob arbeitet.
1. Worauf sich das bezieht
Das Kontosystem, das Panel, die Abrechnungspipeline, diese Website und Support-Tickets. Es bezieht sich nicht darauf, was in deiner Instanz passiert, denn wir haben dort keine Einblicke und möchten auch keine gewinnen.
Das auf deiner Rechnung genannte Unternehmen ist der Verantwortliche für alles hier Beschriebene. Kontakt für alles in diesem Dokument: [email protected].
2. Alles, was wir speichern
| Daten | Aufbewahrungsdauer | Warum es existiert |
|---|---|---|
| E-Mail-Adresse | Lebensdauer des Kontos | Passwort-Reset und Rechnungszustellung. Sonst nichts. |
| Passwort-Hash | Lebensdauer des Kontos | scrypt, N=2^16. Nie umkehrbar, nie exportiert. |
| Panel-Zugriffslog | 7 Tage | Erkennung von Kontodiebstahl, danach verworfen. |
| Rechnungsunterlagen | 24 Monate | Damit du nachweisen kannst, was du gekauft hast. Enthält keine Identität. |
| Krypto-Zahlungsreferenz | Bis zur Abwicklung | Zuordnung einer Zahlung zu einer Rechnung. Nach Abwicklung gelöscht. |
| Instanz-Traffic | Nie aufgezeichnet | Wir leiten Pakete weiter. Wir lesen sie nicht. |
| IP-Adresse bei der Anmeldung | Nie aufgezeichnet | Sie wird erst gar nicht auf die Festplatte geschrieben. |
Das ist die vollständige Liste. Es gibt keine achte Zeile, die für Anwälte zurückgehalten wird.
Support-Tickets sind das Eine, das Kunden vergessen. Ein Ticket lebt so lange wie das Konto und enthält alles, was du hineingetippt hast. Wenn du also eine Zugangsdaten oder den Namen eines Kunden in ein Ticket einfügst, wird das gespeichert. Frag einfach, und wir löschen den Thread.
3. Was wir nicht erfassen
Kein Name, keine Postanschrift, keine Telefonnummer, keine Firmendaten, keine Steueridentifikationsnummer, kein Dokument jeglicher Art bei jeder Bestellsumme. Es gibt keine Schwelle, die eine Anfrage auslösen würde, und das Hinzufügen einer solchen Schwelle würde die Warrant Canary (/canary) ändern, bevor sie diese Seite ändert.
Anmelde-IPs werden nicht erfasst, was eine stärkere Aussage ist als „nicht aufbewahrt“: Das Feld existiert nicht in der geschriebenen Zeile. Die Panel-Zugriffsprotokollierung speichert ein gekürztes Netzwerkpräfix statt einer vollständigen Adresse, und der Eintrag verfällt nach sieben Tagen zusammen mit allem anderen darin.
Wir nehmen keine Browser-Fingerprints vor, wir führen kein Session Replay durch und wir versuchen nicht, Konten miteinander zu korrelieren.
4. Cookies
Zwei, beide First-Party, niemandem mitgeteilt.
- Session-Cookie. Ein undurchsichtiger Bezeichner, der sagt, dass du angemeldet bist. Es enthält nichts anderes, ist für Skripte nicht lesbar und läuft bei Abmeldung oder nach dreißig Tagen Inaktivität ab.
- Theme-Präferenz. Hell oder dunkel. Ein Jahr, und das Einzige, was es enthält, ist dieses Wort.
Es wird nichts anderes gesetzt. Es erscheint kein Consent-Banner auf dieser Website, weil es nichts gibt, dem man zustimmen könnte – und genau so sollte die Regel gemeint sein, bevor sie zu einem dekorativen Zwischenspiel wurde.
5. Analytik und Dritte
Es gibt keine Analytik. Kein Pixel, kein Tag-Manager, kein Heatmap, kein Drittanbieter-Skript und keine Schriftarten, die von einer anderen Domain geladen werden. Seitenaufrufe werden aggregiert anhand der Zähler des Webservers selbst gezählt, die einen Pfad und eine Summe aufzeichnen und nichts darüber, wer gefragt hat.
Drei Parteien sehen einen Teil deiner Daten, und nur diese drei:
- OxaPay, das die Krypto-Abwicklung übernimmt, sieht die Rechnungsreferenz und die Zahlung. Es erhält deine E-Mail-Adresse nicht.
- Die Website, auf der deine Instanz läuft. Facility-Betreiber kümmern sich um Strom und Platz; sie haben keinen Zugriff auf den Inhalt irgendeiner Maschine und keine Beziehung zu deinem Konto.
- Niemand sonst. Mail verlässt unsere eigenen Server, das Panel läuft auf unserer eigenen Hardware, und diese Seite wurde von derselben Art Knoten ausgeliefert, die der Katalog (/hardware) beschreibt.
6. Deine Rechte
Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch, ausgeübt durch eine Nachricht an [email protected] von der Adresse, die zum Konto gehört. Die meisten Anfragen werden in derselben Woche beantwortet, und die äußerste Frist beträgt dreißig Tage.
Zwei praktische Hinweise. Löschung entfernt die Adresse und den Passwort-Hash auf Anfrage und schließt das Konto, aber Rechnungsunterlagen laufen bis zur 24-Monats-Marke, weil eine Buchhaltung stimmen muss; diese Unterlagen enthalten eine Rechnungsnummer und einen Betrag, keine Identität. Datenübertragbarkeit ist ein JSON-Export deines Kontos, deiner Rechnungen und Tickets, der innerhalb eines Tages nach Anfrage per Mail eintrifft.
Für uns gibt es keine Beschwerde, die wichtiger wäre als dein Recht, dich bei der Aufsichtsbehörde an deinem Wohnort zu beschweren. Tue beides, in beliebiger Reihenfolge.
7. Behördliche Anfragen
Wir beantworten, was das Gesetz des betreffenden Standorts tatsächlich verlangt, und nichts darüber hinaus. Anfragen, die als E-Mail von einer privaten Adresse eingehen, sind keine Anfragen; sie sind Korrespondenz und werden abgelehnt.
Was vorgelegt werden kann, ist kurz, weil die Tabelle in Abschnitt 2 kurz ist. Wo eine Benachrichtigung zulässig ist, wirst du informiert, bevor etwas übergeben wird. Andernfalls erscheint die Tatsache der Anfrage im Transparenzbericht (/transparency) bei der nächsten Veröffentlichung, und die Warrant Canary (/canary) wird monatlich signiert.
8. Sicherheit dessen, was wenig ist
Passwörter werden mit scrypt gehasht, mit Parametern, die wir bei jeder Hardwaregeneration neu einstellen. Die Panel-Datenbank ist im Ruhezustand verschlüsselt und wird zwischen zwei europäischen Standorten, AMS-01 und FRA-01, über einen privaten Pfad repliziert, der niemals das öffentliche Internet berührt. Backups dieser Datenbank werden clientseitig verschlüsselt, bevor sie den Host verlassen.
Mitarbeiterzugriff erfordert Hardware-Token, und jede administrative Aktion gegen ein Konto wird in einem Log aufgezeichnet, das Kunden anfordern können. Sollte ein Sicherheitsvorfall dich betreffen, erfolgt die Benachrichtigung innerhalb von 72 Stunden nach Bestätigung, mit dem, was passiert ist und was offengelegt wurde, auch wenn die Antwort peinlich ist.
9. Internationale Übermittlung
Deine Instanz lebt in der von dir gewählten Stadt und ihre Daten bewegen sich nicht. Panel- und Abrechnungsdaten liegen in Europa. Support-Techniker lesen Tickets von überall, wo sie gerade Dienst haben, was nicht immer derselbe Kontinent ist – ein Ticket kann also außerhalb der Region gelesen werden, aus der es stammt.
Wo eine solche Übermittlung stattfindet, beruht sie auf Standardvertragsklauseln der üblichen Art zwischen den beteiligten Unternehmen. Wir listen hier keine Länder auf, aus demselben Grund, aus dem die Bedingungen keine Gerichtsbarkeit in einer Vorlage nennen: Die Liste wäre innerhalb eines Jahres falsch, und eine falsche Liste ist schlimmer als eine allgemeine.
10. Änderungen
Änderungen an dieser Richtlinie werden oben auf der Seite datiert und im Journal (/journal) zusammengefasst. Alles, was eine Aufbewahrungsfrist verlängert oder eine Zeile zur Tabelle in Abschnitt 2 hinzufügt, wird jedem Konto dreißig Tage im Voraus per E-Mail mitgeteilt, und du kannst das Konto in diesem Zeitraum schließen, wobei die ungenutzte Laufzeit anteilig erstattet wird.
Eine Verkürzung der Aufbewahrungsfrist wird nicht im Voraus angekündigt. Wir tun es einfach.