Was wir schützen und wie.

Wo Ihre Daten liegen

Die Daten der App werden bei Supabase in Frankfurt (Deutschland) gespeichert. Auch die Fehlerüberwachung (Sentry) wird in Frankfurt gehostet.

Einige Auftragsverarbeiter sitzen außerhalb der Europäischen Union: Vercel (Hosting der App, Compute in Frankfurt, US-Unternehmen), Resend (E-Mails) und Anthropic (Assistent). Diese Übermittlungen sind durch das EU-US Data Privacy Framework oder durch die Standardvertragsklauseln der Europäischen Kommission abgedeckt.

Die vollständige Liste mit der Rolle jedes Anbieters finden Sie auf der Seite „Auftragsverarbeiter“.

Worauf Hokku in Ihrem Shop zugreift

Hokku fordert bei Shopify nur die Zugriffe an, die seine Funktionen benötigen: Produkte, Inventar, Rabatte, Warenkorb, Theme, Dateien, Bestellungen, Versand, Märkte.

• Bestellungen dienen dazu, Ihre Ergebnisse zu messen: Wir lesen den Bestellbetrag und die Bestellnummer.
• Hokku speichert keine Kontaktdaten Ihrer Kundschaft: keinen Namen, keine E-Mail-Adresse, keine Anschrift.
• Besuche werden einer zufälligen Kennung zugeordnet, nie einem Namen.

Jeder Austausch wird geprüft

• Jede Verbindung läuft über HTTPS. Browser erhalten die Anweisung, ein Jahr lang nie auf HTTP zurückzufallen.
• Jede Nachricht, die Shopify an Hokku sendet, wird anhand einer Signatur geprüft. Eine Nachricht mit ungültiger Signatur wird abgelehnt.
• Anfragen aus Ihrem Shop werden auf dieselbe Weise geprüft.
• In Ihrem Shopify-Admin öffnet sich die App mit einem von Shopify ausgestellten Sitzungstoken, das nur begrenzte Zeit gültig ist.

Technisch: HSTS max-age 31536000 · Signaturen mit HMAC SHA-256, in konstanter Zeit verglichen · Header nosniff, Referrer-Policy und Permissions-Policy, strikte CSP auf dem App Proxy.

Wie lange wir Ihre Daten aufbewahren

• Wenn Sie Hokku deinstallieren, werden Ihre Sitzungen sofort gelöscht.
• Etwa 48 Stunden später fordert Shopify die Löschung der Daten Ihres Shops an: Zugriffstoken, Support-Anfragen und Unterhaltungen werden gelöscht, Bestellnummern werden anonymisiert.
• Ihre Konfiguration bleibt 60 Tage erhalten, falls Sie zurückkommen, und wird danach gelöscht.
• Unterhaltungen mit dem Assistenten: 30 Tage.
• Support-Anfragen: 12 Monate. Die Antwortadresse: 90 Tage.
• Gelöschte Daten können bis zu 7 Tage in Sicherungskopien verbleiben.
• Kopien der E-Mails, die wir versenden, bleiben 30 Tage bei unserem E-Mail-Dienstleister, zuzüglich 7 Tagen in Sicherungskopien.
• Eine Auskunftsanfrage Ihrer Kundschaft beantworten wir innerhalb von 30 Tagen.

Die Einzelheiten stehen in unserer Datenschutzerklärung und in unserem Auftragsverarbeitungsvertrag.

Sicherungskopien und Logs

• Die Datenbank wird täglich gesichert. Jede Sicherungskopie wird 7 Tage aufbewahrt.
• Supabase erklärt: „All customer data is encrypted at rest with AES-256 and in transit via TLS.“ (supabase.com/security)
• Die Fehlerüberwachung erfasst keine personenbezogenen Daten, keine IP-Adresse und keine Inhalte von Anfragen.
• Server-Logs werden 1 Tag aufbewahrt, Datenbank-Logs 7 Tage.

Unser Code wird überwacht

• Jede Änderung wird daraufhin geprüft, ob ein Passwort oder Schlüssel im Code zurückgeblieben ist.
• Die von uns genutzten Bibliotheken werden laufend mit Datenbanken bekannter Schwachstellen abgeglichen.
• Sicherheitsupdates für diese Bibliotheken werden automatisch vorgeschlagen.
• Der Zugang zu Administratorkonten ist eingeschränkt und durch eine verstärkte Authentifizierung geschützt.

Technisch: automatische Prüfungen bei jeder Codeänderung, über die gesamte Historie, und laufende Überwachung bekannter Sicherheitslücken.

Eine Schwachstelle melden

Schreiben Sie an support@gethokku.com. Bei einer schwerwiegenden Schwachstelle setzen Sie „[URGENT]“ in den Betreff: Diese Nachrichten werden täglich gelesen.

• Eingangsbestätigung innerhalb von 5 Werktagen.
• Erste Einschätzung innerhalb von 14 Tagen.
• Mindestens einmal im Monat ein Zwischenstand.
• Wir streben eine Korrektur innerhalb von 90 Tagen an und stimmen danach den Veröffentlichungstermin mit Ihnen ab.
• Untersuchungen, die in gutem Glauben und im Rahmen dieser Richtlinie durchgeführt werden, führen zu keinen rechtlichen Schritten unsererseits.