Datenschutzerklärung

1. Wer wir sind

QA Spider („wir“) bietet automatisierte Software-Testdienste für Webanwendungen an. Diese Erklärung gilt für die QA-Spider-Website und das QA-Spider-Dashboard. Bei Datenschutzfragen oder um ein unten beschriebenes Recht auszuüben, schreiben Sie an [email protected].

2. Was wir erheben

Wir erheben nur, was der Dienst zum Funktionieren braucht. Im Einzelnen:

• Kontodaten — Ihr Name, Ihre E-Mail-Adresse und ein gehashtes Passwort (wir speichern Ihr Passwort nie in lesbarer Form). Wenn Sie sich mit Google oder GitHub anmelden, erhalten wir stattdessen Ihren Namen, Ihre E-Mail-Adresse und Ihr Avatar von diesem Anbieter.
• Daten des Arbeitsbereichs — der Name Ihrer Organisation, Teammitglieder und ihre Rollen sowie von Ihnen verschickte Einladungen.
• Projektkonfiguration — die URLs der Anwendungen, die wir testen sollen, die von Ihnen definierten Umgebungen und alle Testkonto-Zugangsdaten, die Sie speichern, damit sich unsere Tests anmelden können.
• Integrations-Zugangsdaten — die API-Tokens oder Webhook-URLs, die Sie angeben, um einen Bug-Tracker oder ein Chat-Tool zu verbinden.
• Zugriff auf Google Search Console — nur, wenn Sie sie verbinden: ein Zugriffstoken mit Leserechten für Ihr Google-Konto (verschlüsselt gespeichert), die E-Mail-Adresse dieses Kontos und die von Ihnen gewählte Search-Console-Property. Wir lesen dann die Suchleistung dieser Property (Suchanfragen, Seiten, Klicks, Impressionen und durchschnittliche Position), welche ihrer Seiten Google indexiert hat und welche Sitemaps dafür eingereicht wurden, um sie Ihnen in Ihrem Dashboard anzuzeigen. Außerdem lesen wir Titel, Überschriften, Text und Links von bis zu 30 Ihrer eigenen öffentlichen Seiten, um Verbesserungen und interne Links vorzuschlagen. Im Bereich „Warum Seiten nicht indexiert sind“ von Boost SEO prüfen wir außerdem bis zu etwa 100 Adressen aus Ihrer eigenen Sitemap und Ihren internen Links (HTTP-Status, Weiterleitungen, noindex-Tags und Canonical-Tag) und lesen Ihre robots.txt; das sind öffentliche Dateien und Seiten Ihrer eigenen Website. Wenn Sie auf „Mit Google prüfen“ klicken, fragen wir die URL-Prüfung von Google zu bis zu 25 dieser Adressen auf einmal und zeigen Ihnen deren Antworten. Wir speichern davon keine Kopie: Sie wird abgerufen, wenn Sie eine Seite öffnen oder eine Schaltfläche drücken, und nur im Arbeitsspeicher gehalten (einige Minuten, bis zu einer Stunde für die Prüfung Ihrer eigenen Seiten und bis zu 24 Stunden für den von Google gemeldeten Indexstatus), und ein Neustart des Servers löscht sie. Die Ergebnisse werden an keinen anderen Dienst weitergegeben. Die einzige Ausnahme ist Boost SEO: Wenn Sie bei einem Vorschlag auf „Habe ich gemacht“ klicken, speichern wir die Klicks, Impressionen und durchschnittliche Position dieser Seite (und die Suchanfrage, wenn der Vorschlag sich auf eine bezieht) zusammen mit den Daten, die sie abdecken, damit wir Ihnen die Veränderung anschließend zeigen können.
• Themenideen, Briefings und Bing-/Yandex-Updates von Boost SEO — nur, wenn Sie sie nutzen. Wir speichern die für Ihre Website zurückgegebenen Keyword-Ideen, wann jede Abfrage gemacht wurde (was auch auf Ihr Monatskontingent angerechnet wird) und die Content-Briefings, die Sie anfordern, bis Sie uns um Löschung bitten oder Ihr Konto schließen. Nichts davon sind Search-Console-Daten: Die Keywords stammen aus den Wörtern Ihrer eigenen öffentlichen Seiten und aus einem Keyword-Datendienst. Der Schlüssel für Bing- und Yandex-Updates wird nicht gespeichert; er wird bei Bedarf jedes Mal aus der Adresse Ihrer Website berechnet.
• Wöchentliches Audit und tägliche Website-Überwachung — nur in Plänen, die sie enthalten, und nur, wenn Sie sie einschalten (die tägliche Überwachung folgt der Website des wöchentlichen Audits oder Ihrem letzten Audit). Wir speichern die Website-Adresse, wann zuletzt geprüft wurde, und das Ergebnis der letzten Prüfung (ob die Startseite geantwortet hat, ob sie für Google gesperrt ist, wann ihr Zertifikat abläuft), damit wir Ihnen eine E-Mail schicken können, wenn sich etwas ändert. Jede tägliche Prüfung besteht aus einer Handvoll Anfragen an Ihre eigene öffentliche Startseite und robots.txt.
• Testergebnisse — Lauf-Ergebnisse, Zeiten, Ergebnisse je Schritt, Fehlerausgaben und Screenshots der getesteten Seiten sowie daraus erzeugte Fehlerberichte.
• Nutzungs- und Abrechnungsdaten — Ihr Plan, Ihr Token-Guthaben und ein Protokoll der Verbrauchsereignisse (welcher Lauf oder welche Erzeugung was verbraucht hat). Wenn Sie Solo oder Pro bezahlen, speichern wir außerdem die Stripe-Kunden- und Abonnement-IDs Ihres Arbeitsbereichs und den Abonnementstatus (aktiv, überfällig oder zu einem Datum endend). Wir sehen oder speichern nie Ihre Kartennummer: Sie geben sie auf der eigenen Checkout-Seite von Stripe ein.
• Kontaktanfragen — der Name, die E-Mail-Adresse und die Nachricht, die Sie über unser Kontaktformular senden.
• Scan-Anfragen — wenn Sie uns bitten, Ihre eigene Website von unserer Startseite aus zu scannen, die von Ihnen angegebene Adresse und die Website, nach der Sie gefragt haben, damit wir Ihnen den Bericht senden und antworten können, wenn Sie antworten. Siehe Abschnitt 6.
• Kostenlose Tools — die Adresse, die Sie in einen der kostenlosen Checks unter /tools eingeben. Wir lesen die öffentlichen Seiten, robots.txt, Sitemap, llms.txt oder DNS-Einträge dieser Website, um zu antworten, und zeigen Ihnen das Ergebnis. Wir speichern nichts: Adresse und Ergebnis werden nicht gespeichert, und Ihre IP-Adresse wird nur im Arbeitsspeicher gehalten, bis zu einer Stunde, um zu begrenzen, wie viele Prüfungen eine Verbindung ausführen kann. Der Check für strukturierte Daten übergibt die Seitenadresse an den öffentlichen Schema.org-Validator (validator.schema.org), der die Seite selbst liest.
• Server-Logs — übliche technische Logs, einschließlich IP-Adresse und User-Agent, die zur Sicherheit und Fehlersuche aufbewahrt werden.
• Website-Analytics — welche Seiten angesehen und welche Links angeklickt werden, damit wir erkennen, was Menschen nützlich finden. Wo Einwilligungsrecht gilt, wird dies ohne Cookies und ohne Kennung gemessen, sodass jeder Besuch für sich gezählt wird; anderswo wird ein Cookie gesetzt, damit ein wiederkehrender Besuch erkannt werden kann. Dort verknüpft PostHog diese Ereignisse, sobald Sie angemeldet sind, auch mit der internen ID Ihres Kontos (nie mit Ihrer E-Mail-Adresse oder Ihrem Namen), damit wir sehen, welche Schritte des Produkts genutzt werden. Siehe Abschnitt 11.

3. Was wir nicht tun

• Wir verkaufen Ihre personenbezogenen Daten nicht und haben das nie getan.
• Wir erstellen keine Werbeprofile von Ihnen und nutzen keine personalisierte Werbung oder Remarketing. Wo das Einwilligungsrecht nichts anderes verlangt, messen wir, ob ein Klick auf eine Anzeige zu einer Registrierung geführt hat, damit wir erkennen, welche Werbung sich lohnt.
• Wir binden keine Analytics- oder Tracking-Skripte in die Audit-Berichte ein, die wir an Unternehmen senden.
• Wir verwenden Ihre Anwendungsdaten oder Testergebnisse nicht, um Modelle des maschinellen Lernens zu trainieren.
• Wir verkaufen, teilen oder nutzen die von Ihnen verbundenen Google-Search-Console-Daten nicht für Werbung, und wir senden sie nicht an KI-Modelle, Keyword-Datendienste, Suchmaschinen oder sonstige Dritte und nutzen sie nicht, um eines zu trainieren. Sie werden nur Ihnen und Ihrem Team in Ihrem eigenen Dashboard angezeigt. Die in Abschnitt 7 beschriebenen Keyword-Abfragen, Content-Briefings und Bing-/Yandex-Updates verwenden nur den öffentlichen Text Ihrer eigenen Website, ein von Ihnen gewähltes Keyword und Seitenadressen aus Ihrer eigenen Sitemap oder von Ihnen eingegebene; nichts davon stammt aus der Search Console. Die Nutzung und Weitergabe von Informationen, die QA Spider aus Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich ihrer Limited-Use-Anforderungen.
• Wir lesen Ihren Quellcode nicht, es sei denn, Sie verbinden selbst ein Repository. Wenn Sie das tun, ist der Zugriff nur lesend, auf die von Ihnen gewählten Repositorys beschränkt, von Ihnen jederzeit auf GitHub widerrufbar, und wir speichern Ihren Code nie — Dateien werden für den Moment einer Frage gelesen und danach verworfen.

4. Warum wir sie verarbeiten

Um den Dienst bereitzustellen, für den Sie sich angemeldet haben (Tests ausführen, Ergebnisse melden, Fehler in Ihrem Tracker anlegen, Warnungen senden) — das ist die Erfüllung eines Vertrags. Um Konten zu sichern, Missbrauch zu verhindern und Fehler zu beheben — unser berechtigtes Interesse. Um Ihnen die transaktionalen E-Mails zu senden, auf die der Dienst angewiesen ist, etwa Anmeldecodes und Lauf-Benachrichtigungen — Erfüllung eines Vertrags. Wo wir uns jemals auf eine Einwilligung stützen, etwa bei optionalen Marketing-E-Mails, können Sie sie jederzeit widerrufen.

5. Zugangsdaten von Testkonten — bitte lesen

Wenn Sie Zugangsdaten speichern, damit sich unsere Tests bei Ihrer Anwendung anmelden können, verwenden Sie ein eigenes Testkonto mit den minimal nötigen Berechtigungen, wo möglich in einer Nicht-Produktionsumgebung. Speichern Sie nie das Konto eines echten Kunden oder Administrators.

Integrations-Tokens und Zugangsdaten von Testkonten werden beide im Ruhezustand mit AES-256-GCM verschlüsselt. Kann unser Server sie nicht verschlüsseln, weigert er sich, sie zu speichern, statt sie in lesbarer Form aufzubewahren. Behandeln Sie dennoch jede Zugangsdaten, die Sie uns geben, als solche, die Sie ohne Bedenken rotieren würden, und rotieren Sie sie, wenn Sie QA Spider nicht mehr nutzen.

6. Audit-Berichte — die, die Sie anfordern, und die, die wir ungefragt senden

Es gibt zwei Wege, auf denen einer unserer Berichte entsteht, und sie sind nicht dasselbe.

Wenn Sie ihn angefordert haben: Sie haben uns auf unserer Startseite eine URL und eine E-Mail-Adresse gegeben, wir haben diese Website gelesen und Ihnen den Bericht gesendet. Wir halten Ihre Adresse, um ihn zu senden, damit Sie uns dazu Fragen stellen können und um sie auf Wunsch zu löschen. Wir nehmen Sie in keinen Verteiler auf und senden nichts weiter, es sei denn, Sie schreiben uns zuerst. Auf diese Weise angeforderte Berichte werden standardmäßig mit geringer Tiefe gelesen; ein tieferer Durchlauf läuft nur, wenn Sie im Bericht auf die Schaltfläche drücken, die einen anfordert.

Wenn Sie ihn nicht angefordert haben: Manchmal lesen wir die öffentlich erreichbaren Seiten eines Unternehmens, mit dem wir gern arbeiten würden, und senden diesem Unternehmen einen Bericht über das, was wir gefunden haben. Wir tun das, bevor eine Geschäftsbeziehung besteht, daher ist es sinnvoll, klar zu sagen, was das beinhaltet.

Was wir lesen, ist das, was jeder mit einem Browser lesen kann: von Ihrer Sitemap verlinkte Seiten, jede einmal abgerufen, unter Beachtung der robots.txt, ohne Last auf Ihren Systemen. Wir melden uns nicht an, es sei denn, Sie geben uns ein Testkonto, und wenn Sie das tun, liest der Durchlauf Seiten und sendet kein anderes Formular als den Login ab. Der Bericht wird über einen nicht gelisteten Link bereitgestellt, ist von Suchmaschinen ausgeschlossen und kann auf Wunsch zurückgezogen werden.

Jeder Berichtslink erfasst, wann er geöffnet wird, zusammen mit der IP-Adresse, der daraus abgeleiteten Stadt und dem Land sowie dem Browser. Bei einem Bericht, den wir ungefragt gesendet haben, nutzen wir dies, um zu beurteilen, ob er gelesen und ob er weitergeleitet wurde, was der einzige Weg ist zu wissen, ob eine Nachfrage willkommen ist; diese Verarbeitung beruht auf unserem berechtigten Interesse an Business-to-Business-Ansprache. Bei einem Bericht, den Sie angefordert haben, existiert dieselbe Erfassung, bringt uns aber keinen solchen Vorteil — sie ist da, weil der Link für jeden öffentlich ist, der ihn hält, und wir wissen wollen, ob einer herumgereicht wird. Adressen und Browserdetails werden nach 90 Tagen gelöscht, danach bleibt nur eine Anzahl der Öffnungen.

Wenn Sie nicht möchten, dass wir davon etwas halten, schreiben Sie an [email protected], und wir löschen den Bericht, den Link und seine Öffnungsaufzeichnungen. Wir hören dann auch auf, Sie zu kontaktieren, und brauchen dafür keinen Grund.

7. Wo Ihre Daten liegen und wer sonst darauf zugreift

Die Anwendung und ihre Datenbank werden bei Render in der Region EU (Frankfurt) auf einer verschlüsselten, persistenten Festplatte gehostet. Wir nutzen eine kleine Gruppe von Unterauftragsverarbeitern, jeden für einen klar begrenzten Zweck:

• Render — Anwendungs-Hosting und Datenbankspeicher (EU).
• Anthropic — das KI-Modell, das Testfälle, QA-Dokumente und Fehlerberichte entwirft. Es erhält den Prompt und den Produktkontext, der für dieses Dokument nötig ist. Wenn Sie in Boost SEO auf „Briefing schreiben“ klicken, erhält es das von Ihnen gewählte Keyword, dessen Suchzahlen und die Titel, Überschriften und Beschreibungen von bis zu zwölf Ihrer öffentlichen Seiten, und nichts aus der Search Console.
• OpenAI — ein alternativer Anbieter von KI-Modellen, der anstelle von Anthropic verwendet wird, wenn unser Server für eine Funktion damit konfiguriert ist. Er erhält dieselbe Art von Prompt, die Anthropic für diese Funktion erhielte (bei einem Boost-SEO-Briefing nur das oben Beschriebene) und nie Search-Console-Daten.
• DataForSEO — ein Keyword-Datendienst, der nur verwendet wird, wenn Sie in Boost SEO auf „Themen finden“ klicken. Er erhält bis zu zehn kurze Wendungen aus den Titeln, Überschriften und Beschreibungen Ihrer eigenen öffentlichen Seiten, einen Länder- und Sprachcode sowie unsere Kontozugangsdaten. Er erhält keine personenbezogenen Daten und nichts aus der Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep und andere teilnehmende Suchmaschinen) — nur, wenn Sie im Bereich „Bing & Yandex“ von Boost SEO auf eine Sende-Schaltfläche klicken. Wir senden den Hostnamen Ihrer Website, Ihren IndexNow-Schlüssel, die Adresse Ihrer Schlüsseldatei und bis zu 100 Seitenadressen aus Ihrer eigenen öffentlichen Sitemap oder von Ihnen eingegebene. Die teilnehmenden Suchmaschinen teilen das Empfangene untereinander. Google nimmt nicht teil. Es werden keine personenbezogenen Daten und nichts aus der Search Console gesendet.
• Stripe — Zahlungsabwicklung für die Pläne Solo und Pro. Es erhebt Ihre Kartendaten auf seiner eigenen Checkout-Seite und bewahrt sie auf; wir erhalten oder speichern nie Kartennummern. Wir senden ihm Ihre E-Mail-Adresse (zum Vorausfüllen des Checkouts und für Belege), die ID Ihres Arbeitsbereichs und den gewählten Plan, und wir speichern nur die Stripe-Kunden- und Abonnement-IDs und den Abonnementstatus, den es zurückmeldet.
• Resend — Zustellung transaktionaler E-Mails (Anmeldecodes, Benachrichtigungen, Antworten auf Kontaktanfragen).
• GitHub Actions — führt Ihre Testläufe aus und meldet das Ergebnis an uns zurück.
• Firecrawl — ruft die öffentlichen Seiten einer Website ab und erfasst sie, die wir auf Ihre Bitte analysieren.
• Browserbase — stellt den gehosteten Browser für die optionale Live-Testaufzeichnung bereit. Wird nur verwendet, wenn diese Funktion für Ihren Arbeitsbereich aktiviert ist.
• Umami — zählt Besuche auf unserer Website. Setzt kein Cookie und speichert nichts auf Ihrem Gerät; die Eindeutigkeit stammt aus einem Hash, der auf seinen Servern aus einem täglich wechselnden Salt berechnet wird.
• Google Analytics — misst Besuche auf unserer Website und im Dashboard. IP-Adressen werden gekürzt. Der Speicher ist dort deaktiviert, wo Einwilligungsrecht gilt, und anderswo aktiviert.
• PostHog — Produkt-Analytics und, nur mit Ihrer Zustimmung, Session Replay unserer eigenen Website. Läuft ohne Speicher, bis Sie zustimmen.
• GitHub — wenn Sie ein Repository verbinden, lesen wir die Dateien, die nötig sind, um eine Frage zu einem fehlschlagenden Test zu beantworten. Nur lesend, und wir speichern nichts.
• Google und GitHub — Identitätsanbieter, nur wenn Sie sich mit ihnen anmelden.
• Google Search Console — nur, wenn Sie sie verbinden: Wir rufen die Search-Console-API mit Ihrer Leseberechtigung auf, um die Suchleistung, den Indexstatus und die eingereichten Sitemaps der von Ihnen gewählten Property zu lesen. Nichts, was aus der Search Console gelesen wird, wird an einen anderen Unterauftragsverarbeiter dieser Liste weitergegeben. Sie können den Zugriff jederzeit widerrufen (siehe Abschnitt 8).

8. Wie lange wir sie speichern

Konto- und Arbeitsbereichsdaten werden gespeichert, solange Ihr Konto besteht. Testergebnisse, Screenshots und erzeugte Fehlerberichte werden gespeichert, damit Ihr Verlauf und Ihre Kennzahlen aussagekräftig bleiben; Sie können einzelne Läufe, Fehler und Projekte jederzeit löschen, und die Löschung erfolgt sofort. Nachrichten aus dem Kontaktformular werden gespeichert, solange wir sie brauchen, um Ihnen zu antworten. Server-Logs werden für einen kurzen betrieblichen Zeitraum aufbewahrt. Wenn Sie Ihr Konto schließen, löschen wir die Daten Ihres Arbeitsbereichs und behalten nur, was wir aus rechtlichen oder buchhalterischen Gründen behalten müssen. Wenn Sie Google Search Console verbunden haben, speichern wir das verschlüsselte Zugriffstoken, die E-Mail-Adresse Ihres Google-Kontos, die gewählte Property und alle von Ihnen gespeicherten Vorher/Nachher-Aufzeichnungen von Boost SEO, bis Sie im Google-Tab von Boost SEO auf Trennen klicken (was alle sofort löscht) oder Ihr Konto schließen. In Boost SEO erstellte Keyword-Ideen, Abfrageaufzeichnungen und Content-Briefings werden gespeichert, bis Sie uns um Löschung bitten oder Ihr Konto schließen. Sie können den Zugriff auch jederzeit in Ihrem Google-Konto unter Sicherheit, dann Zugriff durch Dritte widerrufen, und jedes Token, das wir noch halten, funktioniert nicht mehr.

9. Ihre Rechte

Sie können auf Ihre Daten zugreifen, sie berichtigen, exportieren oder löschen. Vieles davon erledigen Sie selbst im Dashboard: Sie können erzeugte Dokumente exportieren, Fehler, Läufe und Projekte löschen und Teammitglieder verwalten. Für alles andere — einen vollständigen Export, die Löschung des Kontos, einen Widerspruch gegen die Verarbeitung oder eine Beschwerde — schreiben Sie an [email protected], und wir antworten innerhalb von 30 Tagen. Wenn Sie sich im EWR oder im Vereinigten Königreich befinden, haben Sie außerdem das Recht, bei Ihrer örtlichen Datenschutzbehörde Beschwerde einzulegen.

10. Sicherheit

Der Zugriff auf die Produktionsumgebung ist auf die Personen beschränkt, die sie betreiben. Der Datenverkehr wird über HTTPS ausgeliefert. Integrations-Tokens werden im Ruhezustand verschlüsselt. Nach außen wirkende Aktionen — ein Ticket in Ihrem Tracker anlegen, in Ihren Chat posten, gegen eine produktionsnahe Umgebung laufen — erfordern eine ausdrückliche Freigabe im Produkt, statt stillschweigend zu geschehen. Kein System ist vollkommen sicher; wenn uns eine Verletzung bekannt wird, die Ihre Daten betrifft, benachrichtigen wir Sie unverzüglich.

11. Cookies

Das einzige Cookie, das wir setzen, ist unbedingt erforderlich und existiert, weil die Website ohne es nicht funktionieren kann: ein Sitzungs-Cookie, das Sie angemeldet hält. Ihre Einstellung für helles oder dunkles Design wird im lokalen Speicher Ihres Browsers statt in einem Cookie gespeichert und gelangt daher nie zu uns.

Was unsere Analytics speichern, hängt davon ab, wo Sie sind. Wo Einwilligungsrecht gilt — die EU, der EWR, das Vereinigte Königreich und die Schweiz — laufen Google Analytics und PostHog mit deaktiviertem Speicher: Wir zählen, dass ein Besuch stattgefunden hat und welche Seiten gelesen wurden, nichts wird auf Ihr Gerät geschrieben, und nichts verbindet diesen Besuch mit Ihrem nächsten. Anderswo setzen sie ein Cookie, das uns erlaubt, einen wiederkehrenden Besuch zu erkennen und festzustellen, ob ein Klick auf eine Anzeige zu einer Registrierung geführt hat.

Umami, unser wichtigster Zähler, setzt nirgends ein Cookie und braucht keine Erlaubnis. Deshalb setzen wir Ihnen kein Cookie-Banner vor die Nase.

Session Replay unserer eigenen Website — eine Aufzeichnung, wie sich die Seite für Sie verhalten hat — wird nur eingeschaltet, wenn Sie auf Nachfrage zustimmen, und eine Ablehnung kostet Sie nichts: Sie werden trotzdem gezählt.

Wir nutzen keine personalisierte Werbung oder Remarketing und erstellen keine Profile von Besuchern.

12. Kinder

QA Spider ist ein Business-Tool und richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Daten von ihnen.

13. Änderungen

Wenn wir diese Erklärung wesentlich ändern, aktualisieren wir das Datum oben und benachrichtigen bei Änderungen, die den Umgang mit Ihren Daten betreffen, die Konto-Inhaber per E-Mail, bevor die Änderung wirksam wird.