Datenschutzrichtlinie

Bei der Anmeldung – Name, E-Mail-Adresse, Telefonnummer, Passwort (gespeichert als bcrypt-Hash, niemals Klartext), Kontotyp (TALENT / UNTERNEHMEN / MITGLIED) und für Talente und Unternehmen: Disziplin, Unterkategorie, Standort, angebotene Dienste und grundlegende Profilfelder.

KYC-Dokumente – Reisepass / Personalausweis der Emirate / Gewerbeschein des Unternehmens / Selfies, hochgeladen zur Identitätsüberprüfung. KYC-Dokumente werden im Ruhezustand verschlüsselt, auf die Administratorebene SUPPORT/FULL kann nur zur Gesichtsübereinstimmung zugegriffen werden und sie werden niemals an öffentliche Profilantworten gesendet.

Betriebsdaten – Buchungen, Angebote, Jobs, die Sie veröffentlichen oder auf die Sie sich bewerben, Transaktionen (nur Stripe-IDs – wir speichern keine vollständigen Kartennummern), Nachrichten zwischen Plattformbenutzern, Benachrichtigungen, Bewertungen, Berichte, Wunschliste + gespeicherte Suchanfragen und Warenkorbinhalte (in Ihrem Konto gespeichert, damit sie Ihnen zwischen den Geräten folgen).

Push-Benachrichtigungsdaten – wenn Sie Push-Benachrichtigungen aktivieren, speichern wir den von Ihrem Browser ausgegebenen Endpunkt und seine Verschlüsselungsschlüssel für Ihr Konto, ausschließlich zur Übermittlung der Benachrichtigung. Durch das Deaktivieren von Benachrichtigungen wird es gelöscht.

Audit- und Sicherheitsdaten – Anmelde-IP/Benutzeragent, Anzahl fehlgeschlagener Anmeldungen, Token-Version, Zeitstempel für Kontosperrungen, Ratenbegrenzungszähler und ein Admin-Audit-Trail, der aufzeichnet, welcher Administrator welchen Datensatz wann geöffnet hat.

So betreiben Sie die Plattform: Authentifizieren Sie sich, leiten Sie Buchungen und Zahlungen weiter, senden Sie Benachrichtigungen und E-Mail-Belege (über Resend), übersetzen Sie öffentliche Inhalte (über Google Translate) und verhindern Sie Betrug. KYC-Daten werden nur zur Identitätsüberprüfung und Administratormoderation verwendet; Wir nutzen für das Marketing keine Dokument-OCR.

Unsere Rechtsgrundlagen für die Verarbeitung sind: Vertragserfüllung (Betreiben Ihres Kontos, Buchungen, Auszahlungen), gesetzliche Verpflichtung (KYC/Anti-Geldwäsche, Steuer- und Buchhaltungsführung), berechtigte Interessen (Betrugsprävention, Plattformsicherheit, anonymisierte Analysen) und Einwilligung (nicht unbedingt erforderliche Cookies und optionale Marketingmitteilungen, die Sie jederzeit widerrufen können).

Die Kontaktinformationen des Talents (E-Mail, Telefonnummer, vollständiger Name) bleiben den Unternehmen verborgen, bis ein Arbeitsvertrag unterzeichnet wird. Die Unternehmensidentität ist vor Talenten im öffentlichen Job-Feed geschützt (Beiträge werden als „Hashtags hat eine Stelle gepostet“ angezeigt oder nach Untertyp des Unternehmens anonymisiert). Admin-Notizen, interne Markierungen, Kontaktinformationen der Eltern (für Talente unter 18 Jahren), Auszahlungs-IBAN/Bankdaten und Grundguthaben erscheinen niemals auf öffentlichen Oberflächen.

Plattformadministratoren können Datensätze öffnen, die nicht öffentlich sind, und dies sollte klar dargelegt werden, anstatt es auf Schlussfolgerungen zu beschränken:

• Private Nachrichten – ein Administrator auf der erforderlichen Ebene kann den Nachrichtenthread zwischen zwei Benutzern lesen, wenn er einen Streitfall, einen Bericht oder ein Sicherheitsbedenken untersucht. Jede dieser Ansichten wird mit der Identität des Administrators und der Uhrzeit in den Admin-Audit-Trail geschrieben.
• Gelöschte („zurückgezogene“) Nachrichten – eine von Ihnen gelöschte Nachricht verschwindet für den anderen Teilnehmer, bleibt aber behalten und bleibt für Administratoren sichtbar, sodass ein Streit- oder Belästigungsfall nicht von der Partei, die ihn verursacht hat, gelöscht werden kann. Betrachten Sie das Löschen einer Nachricht nicht als Löschung.
• KYC-Dokumente – nur SUPPORT/FULL-Stufe, für Face-Match-Überprüfung.
• Transaktions- und Auszahlungsdetails – für Rückerstattungen, Streitigkeiten und Buchhaltung.

Administratoren sind an interne Richtlinien gebunden und ihr Zugriff wird protokolliert. Wenn Sie glauben, dass ein Administrator den Zugriff missbraucht hat, schreiben Sie an Privacy@hashtagsstudios.com.

Ein bestätigter Erziehungsberechtigter eines unter 18-Jährigen kann auf das Konto dieses Kindes zugreifen, um es zu verwalten. Während des Wechsels sieht der Erziehungsberechtigte die Daten des Kindes und kann darauf reagieren – Profil, Buchungen, Angebote und Nachrichten. Der Wechsel wird protokolliert und ein verwaltetes Kinderkonto verfügt über keinen eigenen Login. Die während des elterlichen Genehmigungsprozesses gesammelten Kontaktdaten der Eltern werden niemals auf öffentlichen Oberflächen angezeigt.

• Stripe – Zahlungen (Checkout, Connect-Überweisungen), Identitätsprüfung, Rückerstattungen. Die Datenschutzrichtlinie von Stripe gilt für Daten, die sie in unserem Auftrag verarbeiten.
• Erneut senden – transaktionale E-Mail-Zustellung.
• Google Translate (google-translate-api-x) – automatische Übersetzung öffentlicher Inhalte in unseren unterstützten Regionen.
• Hostinger – Hosting + MySQL-Datenbank.
• Cloudflare / Image CDN – öffentliche Bildbereitstellung.

Wir verkaufen Benutzerdaten nicht zu Werbe- oder anderen Zwecken an Dritte.

Siehe die entsprechende Cookie-Richtlinie. Wir verwenden Sitzungscookies zur Authentifizierung, ein Gebietsschema-Cookie für die Sprachpräferenz, ein Länder-Cookie für den Ort, an dem Sie einkaufen, und – nur mit Ihrer Zustimmung – einen funktionalen „Zuletzt angesehen“-Shop und Erstanbieter-Analysen. Die Analysen erfolgen anonym, werden in unsere eigene Datenbank geschrieben und niemals an Dritte weitergegeben. Die Plattform lädt keine Tracking- oder Werbecookies von Drittanbietern.

Passwörter werden als bcrypt-Hashes gespeichert und bei der Registrierung und Änderung mit der Liste der Verstöße gegen „Have I Been Pwned“ abgeglichen. Für jeden Kontotyp ist eine optionale Zwei-Faktor-Authentifizierung (TOTP) verfügbar. KYC-Dokumente werden im Ruhezustand verschlüsselt. Serveraktionen sind CSRF-geschützt und jede Antwort unterliegt einer strengen Inhaltssicherheitsrichtlinie. Anmeldung, KYC-Übermittlung, Nachrichtenversand und Berichtsübermittlung sind ratenbegrenzt und zehn fehlgeschlagene Anmeldungen sperren ein Konto für dreißig Minuten.

Wenn es zu einem Verstoß gegen den Schutz personenbezogener Daten kommt, der voraussichtlich Ihre Rechte gefährdet, benachrichtigen wir das UAE Data Office und gegebenenfalls die betroffenen Benutzer unverzüglich.

Aktive Konten: Daten bleiben erhalten, solange das Konto aktiv ist. Nach der Kontoschließung: PII werden innerhalb von 90 Tagen anonymisiert, es sei denn, sie werden aus rechtlichen, steuerlichen oder Betrugspräventionsgründen aufbewahrt (Finanzunterlagen werden gemäß den Rechnungslegungsstandards der VAE sieben Jahre lang aufbewahrt). Administrator-Überwachungsprotokolle werden gemäß den Plattformeinstellungen aufbewahrt (standardmäßig 12 Monate).

• Zugriff – Fordern Sie über /contacts eine Kopie Ihrer Daten an.
• Korrektur – Bearbeiten Sie Ihr Profil in Ihrem Dashboard oder fordern Sie eine Korrektur für Felder an, die Sie nicht selbst bearbeiten können.
• Löschung – Fordern Sie die Löschung des Kontos über /contacts an. Wir kommen Ihren Anfragen innerhalb von 30 Tagen nach, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Portabilität – Exporte von Talentprofilen und Buchungshistorien sind auf Anfrage verfügbar.
• Widerruf der Einwilligung – Deaktivieren Sie optionale Benachrichtigungen in Ihren Einstellungen oder deaktivieren Sie Analyse-/Funktions-/Marketing-Cookies im Banner oder im Bereich „Cookies verwalten“ auf der Seite „Cookies“.
• Einspruch + Einschränkung – widersprechen Sie der Verarbeitung aufgrund berechtigter Interessen oder fordern Sie uns auf, diese einzuschränken.
• Beschwerde – Sie können eine Beschwerde beim UAE Data Office (oder, wenn Sie sich in der EU/im EWR/im Vereinigten Königreich befinden, bei Ihrer örtlichen Aufsichtsbehörde) einreichen, wenn Sie glauben, dass Ihre Daten falsch behandelt wurden.

Wir treffen ohne menschliche Überprüfung keine ausschließlich automatisierten Entscheidungen, die rechtliche oder ähnlich bedeutsame Auswirkungen auf Sie haben.

Talente unter 18 Jahren benötigen die Zustimmung der Eltern. Mitglieder müssen mindestens 13 Jahre alt sein. Wir erfassen wissentlich keine Daten von Personen unter 13 Jahren.

Die Hashtags Studio-App für iOS und Android zeigt dieselbe Plattform in einer nativen Shell. Alles in dieser Richtlinie gilt auch in der App. Darüber hinaus: (a) Push-Benachrichtigungen – wenn Sie dies zulassen, speichern wir ein Geräte-Token für Ihr Konto, damit wir Ihnen Buchungs-, Nachrichten-, Wettbewerbs- und Veranstaltungsbenachrichtigungen senden können. Die Zustellung erfolgt über Firebase Cloud Messaging (Google) und den Apple Push Notification Service. Sie können Benachrichtigungen auf der Registerkarte „Ich“ der App oder in Ihren Telefoneinstellungen deaktivieren. Das Token wird dann gelöscht, wenn Sie sich abmelden. (b) Kamera- und Fotobibliothek – wird nur verwendet, wenn Sie ein Foto zu Ihrem Portfolio, Ihrer Sedcard oder Ihrer Identitätsprüfung hinzufügen möchten; Bilder werden auf die gleiche Weise wie auf der Website hochgeladen und ansonsten wird nichts aus Ihrer Bibliothek gelesen. (c) Face ID, Touch ID und Fingerabdruck – die App-Sperre wird von Ihrem Telefon überprüft; Wir erhalten niemals Ihre biometrischen Daten. Ihre App-PIN wird nur auf Ihrem Gerät gespeichert. (d) Absturzberichte – anonyme Absturzdiagnosen werden an Firebase Crashlytics gesendet, damit wir Probleme beheben können; Sie enthalten keinen Nachrichteninhalt oder Zahlungsdetails. (e) Analytics – die App führt kein Marketing- oder Analytics-Tracking durch und die Cookie-Auswahl, die Sie auf der Website sehen, ist in der App auf „Nur unbedingt erforderlich“ eingestellt.

Daten können von unseren Drittanbietern (Stripe, Resend, Google Translate) in der EU, den USA und anderen Regionen, in denen sie tätig sind, verarbeitet werden. Bei diesen Übermittlungen stützen wir uns auf die vertraglichen Garantien (DPAs, Standardvertragsklauseln) der Auftragsverarbeiter.

Wesentliche Änderungen werden mindestens 14 Tage vor Inkrafttreten in der App + per E-Mail angekündigt. Fragen: Privacy@hashtagsstudios.com (oder über /contacts).

Dieser Inhalt kann von einem Administrator unter /admin/settings (Schlüssel: legal.privacy) live aktualisiert werden.