Datenschutzerklärung

Zuletzt aktualisiert: 2026-05-23

Diese Richtlinie beschreibt, wie Arc OS (arc-os.co) während der geschlossenen Beta Informationen über dich erhebt, verwendet und schützt. Sie wird vor der allgemeinen Verfügbarkeit überarbeitet.

Was wir erheben

Was wir NICHT erheben

• Kein cross-tenant Datenleck. Jeder API-Aufruf wird durch canAccessProject(...) abgesichert. Projekte anderer Benutzer sind nicht erreichbar.
• Kein Modell-Training mit deinem Inhalt. Wir speisen deinen Code, deine Prompts oder Antworten nicht in eine Trainings-Pipeline ein — weder unsere eigene noch eine Drittanbieter-Pipeline.
• Keine Werbe-Tracker, keine Analytics-SDKs. Kein Google Analytics, kein Mixpanel, kein Sentry. Nur Server-seitige Logs.
• Keine Social-Tracker von Drittanbietern. OAuth-Provider sehen nur den Login-Flow; sie erhalten keine eingebetteten Skripte in der App.

Wie wir es speichern

• In Transit: TLS 1.3 über Cloudflare → Origin-Nginx → Backend. Authenticated Origin Pulls (mTLS) vorbereitet (Phase 53.17.5).
• Im Ruhezustand: SQLite-Datenbank. Sensible Felder sind AES-256-GCM verschlüsselt mit Schlüsseln, die von deinem Passwort abgeleitet werden (Phase 45 E2EE).
• Vault: API-Keys und Bot-Token leben in config/vault.json — AES-256-GCM verschlüsselt, niemals in .env geschrieben oder in Git committed.
• PII-Bereinigung: E-Mail-Adressen, API-Keys, JWTs, Kartennummern werden beim Schreiben aus Server-Logs bereinigt (shared/pii-sanitizer.ts).

Wer deine Daten sehen kann

Drittanbieter-Dienstleister

Wir nutzen den minimal notwendigen Satz an Drittanbietern für den Betrieb des Services:

• Cloudflare — DNS, CDN, DDoS-Schutz, WAF.
• Anthropic — Claude KI-Inferenz (wenn du einen Worker aufrufst).
• OAuth-Anbieter (Google, GitHub) — nur für die Anmeldung; wir erhalten nur das Basisprofil (id, E-Mail, Name, Avatar-URL).
• E-Mail-Anbieter — ausgehende Transaktions-E-Mails (Verifizierung + Passwort-Reset + Magic-Link). Kein Newsletter, kein Marketing.

Wir nutzen nicht:

• Werbe-Netzwerke
• Analytics-SDKs (kein GA, kein Mixpanel)
• CRM-Tools zur Nachverfolgung
• Tracking-Pixel in Transaktions-E-Mails

Deine Rechte

Du kannst jederzeit:

• Deine Daten herunterladen (DSGVO Art. 20 — Recht auf Datenübertragbarkeit): Gehe im CRM-Dashboard zu Settings → Security → Download my data. Dies erzeugt einen JSON-Export aller deiner Account-Daten (Projekte, Chat-Historie, Issues, Wiki, Skills, Aktivitäts-Logs). Ebenfalls verfügbar über GET /api/auth/export (auf 3 Anfragen pro 24 Stunden begrenzt).

• Deinen Account löschen (DSGVO Art. 17 — Recht auf Löschung): Gehe im CRM-Dashboard zu Settings → Security → Delete account. Dies löst eine sofortige, endgültige Kaskadenlöschung über alle deine Daten aus (15+ Tabellen). Ebenfalls verfügbar über DELETE /api/auth/account. Anonymisierte Audit-Log-Einträge können zur Betrugsprävention bis zu 12 Monate aufbewahrt werden.

• Projektkontext exportieren über Projekt-Einstellungen → AI Interop → Projektkontext exportieren (Phase 56). Der Export durchläuft vor dem Download einen 3-stufigen Secret-Scanner.

• Der Verarbeitung widersprechen durch Schließen deines Accounts.

EU-Bürger haben die zusätzlichen Rechte, die durch die DSGVO (Artikel 15–22) gewährt werden. Ukrainische Bürger haben Rechte gemäß dem Gesetz über den Schutz personenbezogener Daten (ZUOPD). Um diese auszuüben, nutze die Self-Service-Optionen oben oder schreibe an [email protected].

Cookies + lokaler Speicher

Arc OS verwendet localStorage für:

• crm-token — dein JWT-Sitzungstoken (24h TTL)
• crm-last-project — zuletzt geöffnetes Projekt (UX-Komfort)
• crm-locale — deine gewählte Sprache
• cookie-consent — speichert deine Cookie-Einwilligungsentscheidung

Wir verwenden sessionStorage (nur Browser, beim Schließen des Tabs gelöscht) für:

• Deinen E2EE-Master-Key — clientseitig von deinem Passwort abgeleitet, niemals an den Server gesendet.

Überhaupt keine Cookies. Arc OS setzt keinerlei HTTP-Cookies. Der gesamte Sitzungsstatus wird ausschließlich in localStorage / sessionStorage gespeichert. Es gibt keine Drittanbieter-Tracking-Cookies, keine Werbe-Cookies und keine in die Seite eingebetteten Analytics-SDKs. Der Browser-Header Permissions-Policy ist so gesetzt, dass Kamera-, Mikrofon-, Standort-, Zahlungs- und USB-Zugriff deaktiviert sind.

Datenspeicherung

Ein automatisierter Aufbewahrungs-Cron läuft täglich und löscht Daten, die diese Fristen überschreiten:

Kinder

Der Service ist nicht für Nutzer unter 16 Jahren bestimmt. Falls du feststellst, dass ein Kind sich angemeldet hat, kontaktiere bitte [email protected], damit wir den Account entfernen können.

Sicherheitsvorfälle

Falls wir von einem Verstoß erfahren, der deine Daten betrifft, werden wir dich per E-Mail innerhalb von 72 Stunden nach der bestätigten Kompromittierung benachrichtigen, gemäß DSGVO-Artikel 33.

Um ein Sicherheitsproblem zu melden: [email protected].

Änderungen dieser Richtlinie

Wir können diese Richtlinie überarbeiten. Wesentliche Änderungen werden angekündigt über:

• Den Telegram-Kanal @arcos_beta_feedback und
• Ein Banner in der Anwendung für mindestens 7 Tage.

Kontakt

• Betreiber: Sergii Marchenko (Ukraine)
• Datenschutzkontakt: [email protected]
• Sicherheitskontakt: [email protected]