Datenschutzerklärung / Privacy Policy / Integritetspolicy

Deutsch - Datenschutzerklärung

Datenschutzerklärung für Website und App

(Letzte Aktualisierung: 02.11.2026)

1. Verantwortlicher

JLL Chasing Reality UG (haftungsbeschränkt)
Friedrich-Junge-Straße 8, 10245 Berlin, GER
E-Mail: hej@thechase.site
Datenschutzbeauftragter: Leonhard Straub

2. Allgemeines

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Diese Datenschutzerklärung informiert Sie darüber, welche Daten wir erheben, wie wir sie nutzen und welche Rechte Sie haben.

Diese Erklärung gilt sowohl für unsere Website als auch für unsere Mobile App "Chasing Reality".

3. Datenerfassung auf unserer Website

Hosting & CDN

Unsere Marketing-Website wird bei Hostinger gehostet. Die Account-Website nutzt die unten beschriebenen Google-/Firebase-Dienste. Zur schnelleren Auslieferung der Inhalte wird ein Content Delivery Network (CDN) von Cloudflare genutzt, das Daten global verteilt. Es kann dabei zu Übermittlungen in Länder außerhalb der EU kommen. Diese Übermittlungen erfolgen auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO).

Eingesetzte Dienste und Tools auf der Website

• Google Analytics (Tracking & Nutzungsanalyse)
• IP-Geolokalisierung für Währungsvorschlag auf der Preisseite (ipapi.co, nur nach Analytics-Einwilligung)
• Facebook Pixel (Marketing & Conversion-Messung)
• Unsplash Usage Statistics (Bilder-Statistik)
• Astro Framework Usage Statistics (technische Nutzungsanalyse)
• OpenResty Usage Statistics (Serverstatistiken)

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Tracking- und Marketingtools
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für technische Statistik

Cookielose Reichweiten- und Kampagnenmessung (Collector)

Für unsere Website (thechase.site) und den Ticket-Shop (payment.thechase.site) nutzen wir einen eigenen Collector zur datensparsamen Reichweiten- und Kampagnenmessung. Wir erfassen Seitenaufrufe, die Herkunft von Besuchen (Referrer-Host sowie Kampagnen- und Linkparameter) und Interaktionen, etwa Klicks auf App-Store-Links. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung und der Bewertung unseres Marketings.

Der Collector verwendet keine Cookies und keinen lokalen oder sitzungsbezogenen Browser-Speicher (localStorage/sessionStorage). Er greift auf keine weiteren Informationen auf Ihrem Gerät zu als diejenigen, die der Browser mit der jeweiligen Anfrage übermittelt. IP-Adresse und User-Agent werden nur flüchtig verarbeitet, um mit einem schlüsselgebundenen Hash (HMAC-SHA256) und einem zufälligen Tagesschlüssel eine pseudonyme Tageskennung zu bilden. IP-Adresse und User-Agent werden nicht gespeichert. Die Kennung gilt innerhalb desselben Tages für Website und Shop gemeinsam und wechselt um Mitternacht nach der Zeitzone Europe/Berlin. Anhand dieser Kennung können Besucher nicht über mehrere Tage wiedererkannt werden.

Gespeichert werden Zeitpunkt, Seite (aus einer festgelegten Positivliste), ausschließlich der Host der verweisenden Website (Referrer-Host), Kampagnen- und Linkparameter, Geräteklasse (Mobiltelefon, Tablet oder Desktop), Ereignisname und die pseudonyme Tageskennung. Bei Käufen im Ticket-Shop kommen Transaktions-ID, Produkt, Währung und Betrag hinzu; der Collector speichert dabei weder Namen noch E-Mail-Adressen oder Zahlungsdaten. Die Rohereignisse werden nach 13 Monaten (400 Tagen) automatisch gelöscht. Der zufällige Tagesschlüssel wird spätestens nach 48 Stunden, normalerweise nach etwa 24 Stunden, gelöscht.

Als Auftragsverarbeiter nutzen wir Google Cloud (Google Cloud EMEA Limited / Google) mit Servern in Frankfurt (Region europe-west3) auf Grundlage eines Auftragsverarbeitungsvertrags. Bei möglichen Drittlandübermittlungen an Google LLC (USA) stützen sich vom EU-US Data Privacy Framework erfasste Übermittlungen auf den entsprechenden Angemessenheitsbeschluss; soweit dieser Mechanismus nicht greift, gelten die Standardvertragsklauseln des Auftragsverarbeitungsvertrags.

Sie können der Verarbeitung nach Art. 21 DSGVO über die in Abschnitt 1 genannten Kontaktdaten widersprechen. Browsersignale für Global Privacy Control (GPC) und Do Not Track (DNT) werden respektiert: Solche Anfragen werden nur ohne Kennung gezählt. Die bestehenden Einwilligungsregeln für Google Analytics und andere einwilligungsabhängige Dienste bleiben bestehen.

3a. Account-Website, Web-Käufe und Widerrufe

Auf der Account-Website verwenden Sie dasselbe Nutzerkonto wie in der App. Wir verarbeiten Ihre Firebase-Nutzerkennung, E-Mail-Adresse, den Anzeigenamen, den Verifikationsstatus und gespeicherte Angaben zur Annahme der Bedingungen sowie eine gegebenenfalls freiwillige Newsletter-Einwilligung. Google/Firebase stellt Authentifizierung, Kontodatenbank und Backend-Verarbeitung bereit. Pflichtangaben dienen der Kontoführung, Vertragsabwicklung und Zuordnung Ihrer Tickets (Art. 6 Abs. 1 lit. b DSGVO); eine Newsletter-Einwilligung ist freiwillig (Art. 6 Abs. 1 lit. a DSGVO).

Für Web-Käufe nutzen wir RevenueCat (RevenueCat, Inc.) mit Stripe als Zahlungsdienst. RevenueCat erhält die Nutzerkennung als Kaufzuordnung und Ihre E-Mail-Adresse für den Checkout und kaufbezogene E-Mails. Verarbeitet werden außerdem das gewählte Produkt, Kapazität, Preis, Währung, gegebenenfalls Aktionscode, Kaufzeitpunkt, Transaktionsreferenzen und Zahlungs-/Erstattungsstatus. Stripe verarbeitet die im Checkout eingegebenen Zahlungs- und gegebenenfalls Rechnungsdaten sowie technische Daten zur Zahlungsabwicklung und Betrugsprävention. Unser Ticketsystem erhält die zur Verifizierung und Zuordnung erforderlichen Kaufdaten, keine vollständigen Kartendaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Kauf und Bereitstellung sowie lit. c für gesetzliche Beleg- und Aufbewahrungspflichten. Die Dienste erhalten die für ihre jeweilige Aufgabe erforderlichen Daten.

Für Anmeldung und die Wiederherstellung unterbrochener Käufe verwendet die Account-Website notwendigen Browser-Speicher. Offene Kaufreferenzen werden getrennt nach Konto gespeichert und nach bestätigter Ticketausstellung entfernt; unaufgelöste Referenzen können bis zur Klärung oder bis zur Löschung des Browser-Speichers erhalten bleiben. Darin speichern wir keine vollständigen Kartendaten. App Check und technische Missbrauchsprüfungen verarbeiten Geräte-/Browser- und Netzwerkinformationen zum Schutz der Schnittstellen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO); notwendiger Endgerätespeicher dient dem ausdrücklich gewünschten Dienst. Die Account-Website fragt für den Ticketkauf keinen GPS-Standort ab.

Bei einer Widerrufserklärung verarbeiten wir Name, Vertrags-/Bestellbezug, Bestätigungs-E-Mail-Adresse, Erklärung, Anfragereferenz und serverseitige Eingangszeit. Hinzu kommen Versandstatus und bei manueller Bearbeitung die geprüfte Konto-/Ticketzuordnung, Bearbeitungsnotizen, Statusänderungen und eine etwaige Erstattungsreferenz. Wir speichern die Erklärung vor dem Versand der Eingangsbestätigung, bearbeiten sie im Backend und versenden Bestätigungs- und Support-E-Mails über Hostinger. Die Bestätigung enthält die Erklärung sowie Datum und Uhrzeit des Eingangs. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO für die gesetzlichen Widerrufs- und Nachweispflichten und lit. b für die Rückabwicklung.

Zur Begrenzung missbräuchlicher Einsendungen speichern wir zusätzlich gehashte E-Mail-/Netzwerkbezüge und Zeitfenster-Zähler. Diese weiterhin personenbezogenen Prüfdaten dienen ausschließlich dem Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Der Online-Widerruf erfordert kein Login, keinen Grund und keine Newsletter-Einwilligung. Die Daten werden nicht zur Werbung verwendet. Ohne Kontaktadresse kann keine E-Mail-Bestätigung versandt werden; eine Erklärung per Post bleibt möglich.

Weitere Anbieterinformationen: Google/Firebase, RevenueCat, Stripe und Hostinger. Bei Stripe können je nach Verarbeitung eigene gesetzliche Pflichten und eine eigene datenschutzrechtliche Verantwortung bestehen.

4. Datenerfassung in unserer App

Erfasste Daten

• GPS-Standortdaten: zur Durchführung des Spiels; Standortdaten der jeweiligen Spielrunde werden im Nutzerkonto gespeichert, um eine Wiedergabefunktion (Replay) zu ermöglichen, sofern ein Konto vorhanden ist
• Video-Uploads: hochgeladene Inhalte werden 48 Stunden gespeichert
• Sentry (Fehlertracking): anonyme Sitzungsdaten zur Fehleranalyse
• Google Maps: zur Kartenanzeige
• Firebase: App-Hosting und Analyse

Serverstandorte

• Funktionale App-Server: Frankfurt, Deutschland
• Speicherung von Videos & Standortdaten: Belgien
• Keine Weitergabe an Dritte außer den genannten Anbietern

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei optionalen Funktionen)

5. Newsletter

Wenn Sie sich zu unserem Newsletter anmelden, speichern wir Ihre E-Mail-Adresse und ggf. Ihren Namen.

Abmeldung ist jederzeit möglich.

6. Kontaktformular

Über unser Kontaktformular erhobene Daten (Name, E-Mail, Nachricht) werden ausschließlich zur Bearbeitung Ihrer Anfrage verwendet.

7. Speicherdauer

• GPS-Daten & Videos: 48 Stunden
• Kontaktdaten: bis zur Erledigung der Anfrage
• Newsletter-Daten: bis zum Widerruf
• Analysedaten: gemäß Tool-spezifischer Speicherfristen

Account- und Ticketdaten speichern wir für die Kontoführung und Vertragserfüllung. Kauf-, Widerrufs-, Erstattungs- und Bearbeitungsnachweise werden so lange aufbewahrt, wie die Abwicklung, gesetzliche handels-/steuerrechtliche Aufbewahrungspflichten oder die Geltendmachung bzw. Abwehr von Ansprüchen dies erfordern; anschließend werden sie gelöscht oder anonymisiert. Missbrauchszähler und gehashte Bezüge sind auf die erforderlichen Prüf- und Missbrauchszeiträume zu begrenzen. Die Löschung eines Kontos beseitigt keine gesetzlichen Aufbewahrungspflichten für Belege.

8. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

9. Datenübermittlung in Drittländer

Bei Google/Firebase, RevenueCat und Stripe kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, stattfinden. Für Google LLC stützen sich vom EU-US Data Privacy Framework erfasste Übermittlungen auf den entsprechenden Angemessenheitsbeschluss; soweit dieser Mechanismus nicht greift, gelten die EU-Standardvertragsklauseln nach Abschnitt 10 der Firebase-Datenverarbeitungsbedingungen. Für RevenueCat-Übermittlungen in Länder ohne Angemessenheitsbeschluss gelten die EU-Standardvertragsklauseln gemäß Abschnitt 11 des RevenueCat-Datenverarbeitungszusatzes. Stripe LLC empfängt erfasste US-Übermittlungen auf Grundlage des EU-US Data Privacy Framework; ersatzweise gelten die EU-Standardvertragsklauseln nach dem Stripe Data Transfers Addendum. Informationen und Kopien der für die jeweilige Übermittlung geltenden Garantien erhalten Sie über die oben genannte Kontaktadresse.

10. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen.

11. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder technische Änderungen anzupassen.

12. Löschung der Nutzerdaten

Um Ihre Nutzerdaten zu löschen, schreiben Sie eine E-Mail von der E-Mail-Adresse, die mit Ihrem Konto verknüpft ist. Teilen Sie uns darin mit, dass Sie Ihre Nutzerdaten löschen möchten. Wir bearbeiten die Anfrage und löschen die zugehörigen personenbezogenen Daten und Kaufhistorie innerhalb von 30 Tagen. Ausgenommen sind erforderliche Kauf-, Widerrufs-, Erstattungs- und Bearbeitungsnachweise, soweit gesetzliche Aufbewahrungspflichten gelten oder die Daten zur Geltendmachung bzw. Abwehr von Ansprüchen erforderlich sind; diese werden nach Wegfall des jeweiligen Grundes gelöscht oder anonymisiert (siehe Abschnitt 7).

English - Privacy Policy

Privacy Policy for Website and App

(Last updated: 02.11.2026)

1. Controller

JLL Chasing Reality UG (haftungsbeschränkt)
Friedrich-Junge-Straße 8, 10245 Berlin, GER
Email: hej@thechase.site
Data Protection Officer: Leonhard Straub

2. General Information

We take the protection of your personal data very seriously. This privacy policy informs you about what data we collect, how we use it, and your rights.

This policy applies to both our Website and our Mobile App "Chasing Reality".

3. Data Collection on Our Website

Hosting & CDN

Our marketing website is hosted by Hostinger. The Account website uses the Google/Firebase services described below. For faster content delivery, we use a Content Delivery Network (CDN) provided by Cloudflare, which distributes data globally. This may involve transfers to countries outside the EU, which are based on Standard Contractual Clauses (Art. 46 GDPR).

Services and Tools Used on the Website

• Google Analytics (tracking & usage analysis)
• IP geolocation for currency suggestion on the pricing page (ipapi.co, only after analytics consent)
• Facebook Pixel (marketing & conversion tracking)
• Unsplash Usage Statistics (image statistics)
• Astro Framework Usage Statistics (technical usage analysis)
• OpenResty Usage Statistics (server statistics)

Legal basis:

• Art. 6(1)(a) GDPR (consent) for tracking and marketing tools
• Art. 6(1)(f) GDPR (legitimate interest) for technical statistics

Cookieless Reach and Campaign Measurement (Collector)

We use our own collector for data-minimising reach and campaign measurement on our website (thechase.site) and Ticket shop (payment.thechase.site). We record page views, the origin of visits (referrer host and campaign/link parameters) and interactions such as clicks on App Store links. The legal basis is Art. 6(1)(f) GDPR: our legitimate interest in privacy-friendly reach measurement and evaluating our marketing.

The collector uses no cookies or local/session browser storage (localStorage/sessionStorage). It does not access information on your device beyond what the browser sends with each request. The IP address and user agent are processed only transiently to form a pseudonymous daily identifier using a keyed hash (HMAC-SHA256) and a random daily key. The IP address and user agent are not stored. The identifier is shared between the website and shop within the same day and changes at midnight in the Europe/Berlin time zone. Visitors cannot be recognised across days using this identifier.

We store the time, page (from a predefined allowlist), only the host of the referring website (referrer host), campaign/link parameters, device class (mobile, tablet or desktop), event name and pseudonymous daily identifier. For purchases in the Ticket shop, we additionally store the transaction ID, product, currency and amount; the collector stores no names, email addresses or payment details. Raw events are automatically deleted after 13 months (400 days). The random daily key is deleted after at most 48 hours, normally after about 24 hours.

We use Google Cloud (Google Cloud EMEA Limited / Google) as a processor, with servers in Frankfurt (region europe-west3), under a data processing agreement. For possible third-country transfers to Google LLC (USA), transfers covered by the EU-US Data Privacy Framework rely on the corresponding adequacy decision; where that mechanism does not apply, the Standard Contractual Clauses in the data processing agreement apply.

You may object to this processing under Art. 21 GDPR using the contact details in section 1. Browser signals for Global Privacy Control (GPC) and Do Not Track (DNT) are respected: such requests are counted only without an identifier. The existing consent requirements for Google Analytics and other consent-dependent services continue to apply.

3a. Account Website, Web Purchases and Withdrawals

The Account website uses the same user Account as the App. We process your Firebase user identifier, email address, display name, verification status, recorded acceptance of the terms and any optional newsletter consent. Google/Firebase provides authentication, the Account database and backend processing. Required information is used to manage your Account, fulfil the contract and assign your Tickets (Art. 6(1)(b) GDPR); newsletter consent is optional (Art. 6(1)(a) GDPR).

Web purchases use RevenueCat (RevenueCat, Inc.) with Stripe as payment gateway. RevenueCat receives the user identifier to assign purchases and your email address for checkout and purchase-related emails. Other data includes the selected product, capacity, price, currency, any promotion code, purchase time, transaction references and payment/refund status. Stripe processes payment details and any billing details entered at checkout, plus technical data for payment processing and fraud prevention. Our Ticket system receives the purchase data needed for verification and assignment, not full card details. Legal bases are Art. 6(1)(b) GDPR for purchase and delivery and Art. 6(1)(c) for statutory record and retention obligations. Each service receives the data needed for its task.

The Account website uses necessary browser storage for login and recovery of interrupted purchases. Pending purchase references are stored separately by Account and removed after confirmed Ticket issuance; unresolved references can remain until resolved or until browser storage is cleared. We do not store full card details there. App Check and technical abuse checks process device/browser and network information to protect our interfaces. The legal basis is our legitimate interest in a secure service (Art. 6(1)(f) GDPR); necessary device storage supports the service you expressly request. The Account website does not request GPS location for a Ticket purchase.

For a withdrawal declaration, we process your name, contract/order reference, confirmation email address, declaration, request reference and server receipt time. We also record delivery status and, during manual processing, the verified Account/Ticket assignment, operator notes, status changes and any refund reference. We save the declaration before sending acknowledgement, process it in our backend and send confirmation and support emails through Hostinger. The acknowledgement contains the declaration and the date and time received. Legal bases are Art. 6(1)(c) GDPR for statutory withdrawal and evidence obligations and Art. 6(1)(b) for reversing the contract.

To limit abusive submissions, we also store hashed email/network references and time-window counters. These checks remain personal data and are used solely to prevent abuse (Art. 6(1)(f) GDPR). Online withdrawal requires no login, reason or newsletter consent. The data is not used for advertising. We cannot send email confirmation without a contact address; a declaration by post remains possible.

Further provider information: Google/Firebase, RevenueCat, Stripe and Hostinger. Depending on the processing, Stripe may have its own statutory obligations and act as a separate controller.

4. Data Collection in Our App

Data Collected

• GPS location data: to run the game; location data from each game session is stored in the user's account to enable a game replay feature, if an account exists
• Video uploads: uploaded content stored for 48 hours
• Sentry (error tracking): anonymous session data for bug analysis
• Google Maps: for map display
• Firebase: app hosting and analytics

Server Locations

• Functional app servers: Frankfurt, Germany
• Storage of videos & location data: Belgium
• No sharing with third parties except the listed providers

Legal basis:

• Art. 6(1)(b) GDPR (performance of contract)
• Art. 6(1)(a) GDPR (consent for optional features)

5. Newsletter

When you subscribe to our newsletter, we store your email address and, if provided, your name.

You can unsubscribe at any time.

6. Contact Form

Data collected through our contact form (name, email, message) will only be used to process your request.

Open Games

Open Game reservations and cancellations take place on Meetup. Meetup processes the booking information you submit there under its own privacy information. This website displays only manually maintained attendance totals.

Questions submitted through Open Games are stored with your email address so we can reply. We may publish selected, edited questions and answers, but not your email address. We also store a hashed network address and submission time to limit spam. Signing up or asking a question does not subscribe you to the newsletter.

7. Storage Periods

• GPS data & videos: 48 hours
• Contact data: until the request is resolved
• Newsletter data: until withdrawal
• Analytics data: according to tool-specific retention periods

Account and Ticket data is kept for Account management and performance of the contract. Purchase, withdrawal, refund and operator records are retained as long as needed for processing, statutory commercial/tax retention obligations or establishing or defending claims, then deleted or anonymised. Abuse counters and hashed references must be limited to the necessary verification and abuse-prevention periods. Deleting an Account does not remove statutory obligations to retain records.

8. Your Rights

You have the right to:

• Access (Art. 15 GDPR)
• Rectification (Art. 16 GDPR)
• Erasure (Art. 17 GDPR)
• Restriction of processing (Art. 18 GDPR)
• Data portability (Art. 20 GDPR)
• Objection (Art. 21 GDPR)
• Lodge a complaint with a supervisory authority (Art. 77 GDPR)

9. Data Transfers to Third Countries

Google/Firebase, RevenueCat and Stripe may process data outside the European Economic Area, including in the United States. Transfers to Google LLC covered by the EU-US Data Privacy Framework rely on the corresponding adequacy decision; where that mechanism does not apply, the EU Standard Contractual Clauses apply under section 10 of the Firebase Data Processing Terms. RevenueCat transfers to countries without an adequacy decision use the EU Standard Contractual Clauses under section 11 of its Data Processing Addendum. Stripe LLC receives covered US transfers under the EU-US Data Privacy Framework, with EU Standard Contractual Clauses as the alternative under its Data Transfers Addendum. Contact us at the address above for information and copies of the safeguards applicable to the relevant transfer.

10. Security

We use technical and organisational measures to protect your data against loss, misuse, and unauthorised access.

11. Changes to This Policy

We reserve the right to update this policy to reflect legal or technical changes.

12. Account Deletion

To delete your user data, send an email from the email address associated with your account. In your message, simply state that you wish to have your user data deleted. We process the request and delete the associated personal data and purchase history within 30 days. Necessary purchase, withdrawal, refund and operator records are excepted where statutory retention obligations apply or the records are needed to establish or defend legal claims; they are deleted or anonymised when the relevant ground ends (see section 7).

Svenska - Integritetspolicy

Integritetspolicy för webbplats och app

(Senast uppdaterad: 02.11.2026)

1. Personuppgiftsansvarig

JLL Chasing Reality UG (haftungsbeschränkt)
Friedrich-Junge-Straße 8, 10245 Berlin, GER
E-post: hej@thechase.site
Dataskyddsombud: Leonhard Straub

2. Allmänt

Vi tar skyddet av dina personuppgifter på stort allvar. Denna integritetspolicy informerar dig om vilka uppgifter vi samlar in, hur vi använder dem och vilka rättigheter du har.

Policyn gäller både vår webbplats och vår mobilapp "Chasing Reality".

3. Datainsamling på vår webbplats

Hosting & CDN

Vår marknadsföringswebbplats hostas av Hostinger. Kontowebbplatsen använder Google-/Firebase-tjänsterna som beskrivs nedan. För snabbare leverans av innehåll använder vi ett Content Delivery Network (CDN) från Cloudflare, som distribuerar data globalt. Detta kan innebära överföringar till länder utanför EU, vilka sker baserat på standardavtalsklausuler (Art. 46 GDPR).

Tjänster och verktyg på webbplatsen

• Google Analytics (spårning & användningsanalys)
• IP-geolokalisering för valutaförslag på prissidan (ipapi.co, endast efter samtycke till analyscookies)
• Facebook Pixel (marknadsföring & konverteringsspårning)
• Unsplash Usage Statistics (bildstatistik)
• Astro Framework Usage Statistics (teknisk användningsanalys)
• OpenResty Usage Statistics (serverstatistik)

Rättslig grund:

• Artikel 6.1(a) GDPR (samtycke) för spårning och marknadsföringsverktyg
• Artikel 6.1(f) GDPR (berättigat intresse) för teknisk statistik

Räckvidds- och kampanjmätning utan cookies (Collector)

Vi använder en egen collector för uppgiftsminimerad räckvidds- och kampanjmätning på vår webbplats (thechase.site) och i biljettbutiken (payment.thechase.site). Vi registrerar sidvisningar, besökens ursprung (hänvisande värdnamn samt kampanj- och länkparametrar) och interaktioner, till exempel klick på länkar till appbutiker. Rättslig grund är artikel 6.1(f) GDPR: vårt berättigade intresse av integritetsvänlig räckviddsmätning och att utvärdera vår marknadsföring.

Collectorn använder inga cookies och ingen lokal lagring eller sessionslagring i webbläsaren (localStorage/sessionStorage). Den får inte tillgång till annan information på din enhet än den som webbläsaren skickar med varje begäran. IP-adress och user-agent behandlas endast tillfälligt för att skapa en pseudonym dagsidentifierare med en nyckelbaserad hash (HMAC-SHA256) och en slumpmässig dagsnyckel. IP-adress och user-agent lagras inte. Identifieraren är gemensam för webbplatsen och butiken under samma dag och byts vid midnatt i tidszonen Europe/Berlin. Besökare kan inte kännas igen över flera dagar med denna identifierare.

Vi lagrar tidpunkt, sida (från en fastställd tillåtelselista), endast den hänvisande webbplatsens värdnamn, kampanj- och länkparametrar, enhetsklass (mobil, surfplatta eller dator), händelsenamn och den pseudonyma dagsidentifieraren. Vid köp i biljettbutiken lagrar vi dessutom transaktions-ID, produkt, valuta och belopp; collectorn lagrar inga namn, e-postadresser eller betalningsuppgifter. Råhändelser raderas automatiskt efter 13 månader (400 dagar). Den slumpmässiga dagsnyckeln raderas senast efter 48 timmar, normalt efter cirka 24 timmar.

Vi använder Google Cloud (Google Cloud EMEA Limited / Google) som personuppgiftsbiträde, med servrar i Frankfurt (region europe-west3), på grundval av ett personuppgiftsbiträdesavtal. Vid eventuella överföringar till Google LLC (USA) grundas överföringar som omfattas av EU-US Data Privacy Framework på motsvarande beslut om adekvat skyddsnivå; annars gäller standardavtalsklausulerna i personuppgiftsbiträdesavtalet.

Du kan invända mot behandlingen enligt artikel 21 GDPR via kontaktuppgifterna i avsnitt 1. Webbläsarsignaler för Global Privacy Control (GPC) och Do Not Track (DNT) respekteras: sådana förfrågningar räknas endast utan identifierare. Befintliga samtyckeskrav för Google Analytics och andra tjänster som kräver samtycke gäller även fortsättningsvis.

3a. Kontowebbplats, webbköp och ångerrätt

Kontowebbplatsen använder samma användarkonto som appen. Vi behandlar ditt Firebase-användar-ID, din e-postadress, ditt visningsnamn, verifieringsstatus, registrerat godkännande av villkoren och eventuellt frivilligt samtycke till nyhetsbrev. Google/Firebase tillhandahåller autentisering, kontodatabas och backendbehandling. Obligatoriska uppgifter används för kontot, avtalet och tilldelning av biljetter (artikel 6.1 b GDPR); samtycke till nyhetsbrev är frivilligt (artikel 6.1 a GDPR).

För webbköp använder vi RevenueCat (RevenueCat, Inc.) med Stripe som betaltjänst. RevenueCat får användar-ID för att koppla köp till kontot och din e-postadress för kassan och köprelaterade mejl. Vi behandlar även vald produkt, spelarkapacitet, pris, valuta, eventuell kampanjkod, köptid, transaktionsreferenser och betalnings-/återbetalningsstatus. Stripe behandlar betalningsuppgifter och eventuella faktureringsuppgifter som anges i kassan samt tekniska uppgifter för betalning och bedrägeribekämpning. Vårt biljettsystem får köpuppgifter som behövs för verifiering och tilldelning, inte fullständiga kortuppgifter. Rättsliga grunder är artikel 6.1 b GDPR för köp och leverans och artikel 6.1 c för lagstadgade dokumentations- och lagringskrav. Varje tjänst får de uppgifter som behövs för dess uppgift.

Kontowebbplatsen använder nödvändig webbläsarlagring för inloggning och återställning av avbrutna köp. Pågående köpreferenser lagras separat per konto och tas bort när biljetten har utfärdats och bekräftats; olösta referenser kan finnas kvar tills ärendet är löst eller webbläsarlagringen rensas. Fullständiga kortuppgifter lagras inte där. App Check och tekniska missbrukskontroller behandlar enhets-/webbläsar- och nätverksuppgifter för att skydda våra gränssnitt. Rättslig grund är vårt berättigade intresse av en säker tjänst (artikel 6.1 f GDPR); nödvändig enhetslagring stöder den tjänst du uttryckligen begär. Kontowebbplatsen begär inte GPS-position för biljettköp.

Vid ett meddelande om ångerrätt behandlar vi namn, avtals-/beställningsreferens, e-postadress för bekräftelse, meddelandet, ärendereferens och serverns mottagningstid. Vi registrerar även leveransstatus och, vid manuell handläggning, verifierad konto-/biljettkoppling, handläggningsanteckningar, statusändringar och eventuell återbetalningsreferens. Vi sparar meddelandet innan mottagningsbekräftelsen skickas, behandlar det i vår backend och skickar bekräftelse- och supportmejl via Hostinger. Bekräftelsen innehåller meddelandet samt datum och tid för mottagandet. Rättsliga grunder är artikel 6.1 c GDPR för lagstadgade skyldigheter om ångerrätt och dokumentation och artikel 6.1 b för återgång av avtalet.

För att begränsa missbruk lagrar vi även hashade e-post-/nätverksreferenser och räknare för tidsfönster. Dessa kontrolluppgifter är fortfarande personuppgifter och används endast för att förebygga missbruk (artikel 6.1 f GDPR). Ångerrätt online kräver ingen inloggning, motivering eller prenumeration på nyhetsbrev. Uppgifterna används inte för reklam. Utan kontaktadress kan vi inte skicka e-postbekräftelse; ett meddelande per post är fortfarande möjligt.

Mer leverantörsinformation: Google/Firebase, RevenueCat, Stripe och Hostinger. Beroende på behandlingen kan Stripe ha egna lagstadgade skyldigheter och vara självständigt personuppgiftsansvarig.

4. Datainsamling i vår app

Insamlade uppgifter

• GPS-position: för att genomföra spelet och skapa en spelåtergivning
• Videouppladdningar: lagras i 48 timmar
• Sentry (felsökning): anonym sessionsdata för felanalys
• Google Maps: för kartvisning
• Firebase: apphosting och analys

Serverplatser

• Funktionella appservrar: Frankfurt, Tyskland
• Lagring av videor & positionsdata: Belgien
• Ingen delning med tredje part förutom angivna leverantörer

Rättslig grund:

• Artikel 6.1(b) GDPR (avtalets fullgörande)
• Artikel 6.1(a) GDPR (samtycke för valfria funktioner)

5. Nyhetsbrev

Om du prenumererar på vårt nyhetsbrev lagrar vi din e-postadress och, om angivet, ditt namn.

Du kan avsluta prenumerationen när som helst.

6. Kontaktformulär

Uppgifter som samlas in via kontaktformuläret (namn, e-post, meddelande) används endast för att hantera din förfrågan.

7. Lagringstid

• GPS-data & videor: 48 timmar
• Kontaktuppgifter: tills förfrågan är hanterad
• Nyhetsbrevsuppgifter: tills återkallelse
• Analysdata: enligt verktygsspecifika lagringsperioder

Konto- och biljettuppgifter sparas för kontohantering och avtalets fullgörande. Köp-, ånger-, återbetalnings- och handläggningsunderlag sparas så länge de behövs för handläggning, lagstadgade handels-/skatterättsliga lagringskrav eller för att fastställa eller försvara rättsliga anspråk, och raderas eller anonymiseras därefter. Missbruksräknare och hashade referenser ska begränsas till nödvändiga kontroll- och missbruksperioder. Radering av kontot tar inte bort lagstadgade krav på att spara underlag.

8. Dina rättigheter

Du har rätt att:

• Få tillgång till dina uppgifter (Art. 15 GDPR)
• Rätta felaktiga uppgifter (Art. 16 GDPR)
• Få uppgifter raderade (Art. 17 GDPR)
• Begränsa behandlingen (Art. 18 GDPR)
• Begära dataportabilitet (Art. 20 GDPR)
• Invända mot behandling (Art. 21 GDPR)
• Lämna in klagomål till en tillsynsmyndighet (Art. 77 GDPR)

9. Överföring av data till tredjeländer

Google/Firebase, RevenueCat och Stripe kan behandla uppgifter utanför Europeiska ekonomiska samarbetsområdet, bland annat i USA. Överföringar till Google LLC som omfattas av EU-US Data Privacy Framework grundas på motsvarande beslut om adekvat skyddsnivå; annars gäller EU:s standardavtalsklausuler enligt avsnitt 10 i Firebases databehandlingsvillkor. För RevenueCats överföringar till länder utan adekvansbeslut gäller EU:s standardavtalsklausuler enligt avsnitt 11 i företagets databehandlingstillägg. Stripe LLC tar emot överföringar som omfattas av EU-US Data Privacy Framework på denna grund; alternativt gäller EU:s standardavtalsklausuler enligt Stripes Data Transfers Addendum. Kontakta oss på adressen ovan för information och kopior av de skyddsåtgärder som gäller den aktuella överföringen.

10. Säkerhet

Vi använder tekniska och organisatoriska åtgärder för att skydda dina uppgifter mot förlust, missbruk och obehörig åtkomst.

11. Ändringar av denna policy

Vi förbehåller oss rätten att uppdatera denna policy för att återspegla juridiska eller tekniska förändringar.

12. Radering av användardata

För att radera dina användardata, skicka ett e-postmeddelande från den e-postadress som är kopplad till ditt konto. Meddela oss i ditt meddelande att du vill att dina användardata raderas. Vi behandlar begäran och raderar tillhörande personuppgifter och köphistorik inom 30 dagar. Nödvändiga köp-, ånger-, återbetalnings- och handläggningsunderlag undantas om lagstadgade lagringskrav gäller eller underlagen behövs för att fastställa eller försvara rättsliga anspråk; de raderas eller anonymiseras när den aktuella grunden upphör (se avsnitt 7).