Datenschutzerklärung P7CO EcoResupply

1. Wer wir sind

P7CO EcoResupply ist eine Marke, die von pH7x Systems JOAO P.S.V.T. LIVIO betrieben wird.
Steuernummer 198690851
Sitz Rua Pulido Valente, 24 RC DTO, 2910-642 Setúbal, Portugal
Datenschutzkontakt privacy@ph7x.com
Datenschutzbeauftragter (falls zutreffend) abuse@p7co.org

Diese Erklärung gilt für die Websites, Anwendungen und Support-Kanäle von P7CO EcoResupply, die sich an die Europäische Union und den Europäischen Wirtschaftsraum richten. Rechtsgrundlage ist die Verordnung (EU) 2016/679 — DSGVO, ergänzt in Portugal durch das Gesetz Nr. 58/2019, das Gesetz Nr. 41/2004 (elektronische Kommunikation und Cookies) und das Gesetz Nr. 93/2021 (Hinweisgeber-Schutz). Für Vermittlungsdienste und Sorgfaltspflichten gilt die Verordnung (EU) 2022/2065 — DSA, soweit sie auf das Dienstleistungsmodell anwendbar ist.

Zuständige Hauptaufsichtsbehörde ist die CNPD — Comissão Nacional de Proteção de Dados in Portugal (Mechanismus One-Stop-Shop nach DSGVO). Betroffene können Beschwerden bei der CNPD oder der Aufsichtsbehörde ihres Wohnsitzlandes im EWR einreichen.

2. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten für festgelegte und legitime Zwecke.

Kategorie	Beispiele	Zweck	Rechtsgrundlage
Konto	Name, E-Mail, Passwort-Hash, Sprache	Kontoerstellung und -verwaltung, Authentifizierung, Missbrauchsprävention	Vertragserfüllung (DSGVO Art. 6/1-b) und berechtigtes Interesse (6/1-f)
Transaktionen	Nachrichten, Angebote, Dateien, Transaktionsprotokolle	Ermöglichung von Überschüssen und Wiederverwendung, Vertragserfüllung	Vertragserfüllung (6/1-b)
Support	Anfragen, Anhänge, evtl. aufgezeichnete Kontakte	Betreuung, Nachweis, Prozessverbesserung	berechtigtes Interesse (6/1-f)
Analytik	technische Ereignisse, Nutzungsmetriken	Verbesserung von Leistung und Erfahrung	Einwilligung (6/1-a), wenn durch ePrivacy gefordert
Cookies	nicht unbedingt erforderliche Identifikatoren	Präferenzen, Statistik, Werbung	Einwilligung (6/1-a), siehe Abschnitt 9
Compliance	Sicherheitslogs, Prüfungen, Rechnungen	rechtliche Pflichten und Sicherheit	rechtliche Verpflichtung (6/1-c)
Hinweisgeber	Meldungen, Anhänge, Metadaten	Bearbeitung von Umweltmeldungen	rechtliche Verpflichtung (6/1-c) und öffentliches Interesse (6/1-e), gem. Richtlinie (EU) 2019/1937 und nationalem Recht

3. Minderjährige und digitale Einwilligungsalter

Das Mindestalter richtet sich nach dem nationalen Recht des Wohnsitzlandes.

Land	Mindestalter
Portugal	13
Spanien	14
Frankreich	15
Deutschland	16
Italien	14
Niederlande	16
Irland	16
Norwegen	13
Island	13
Liechtenstein	16

Unterhalb dieser Altersgrenze ist die überprüfbare Zustimmung der Erziehungsberechtigten erforderlich (DSGVO Art. 8).

4. Datenaufbewahrung

• Konto- und Transaktionsdaten: solange aktiv + bis zu 5 Jahre
• Sicherheitslogs: 12 Monate (länger bei Vorfällen)
• Steuerunterlagen in Portugal: 10 Jahre (DL 28/2019)
• Hinweisgeberakten: bis 2 Jahre nach Abschluss, außer längere Pflicht
• Bewerbungen: bis 12 Monate mit Einwilligung

5. Empfänger und Auftragsverarbeiter

Beispiele:
Microsoft Azure (Rechenzentren in der EU/EWR)
Cloudflare (CDN/Sicherheit, regional eingeschränkt)
E-Mail-Dienste in der EU/EWR
GitHub (Code-Repos ohne produktive personenbezogene Daten)

6. Internationale Übermittlungen

• Angemessenheitsbeschlüsse der EU-Kommission
• Standardvertragsklauseln 2021/914 mit Zusatzmaßnahmen
• Pseudonymisierung und Minimierung vor Übertragung

7. Rechte der Betroffenen

Nach DSGVO Art. 12–22: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch, kein ausschließlich automatisiertes Entscheiden (Art. 22).
Kontakt: privacy@ph7x.com. Antwortfrist: 1 Monat.

8. Automatisierte Entscheidungen und Profile

Keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung. Falls künftig eingesetzt, gewährleisten wir Transparenz, menschliches Eingreifen und Widerspruchsmöglichkeit.

9. Cookies

Wir erfüllen die ePrivacy-Richtlinie 2002/58/EG.

• Erforderliche Cookies: keine Einwilligung nötig
• Präferenzen, Statistik, Werbung: Einwilligung erforderlich
• Einfache Annahme oder Ablehnung im Banner
• Jährliche Erneuerung

Referenzen: CNIL Cookie-Leitfaden, AEPD Leitfaden

10. Sicherheit

TLS ≥ 1.2, Verschlüsselung im Ruhezustand, Least-Privilege, MFA für Admins, Monitoring, Audits.

11. Datenschutzverletzungen

Meldung an Aufsichtsbehörde binnen 72h (Art. 33) und an Betroffene, falls erforderlich (Art. 34). Interner Plan und Register.

12. Hinweisgeber-Kanäle

Gemäß Richtlinie (EU) 2019/1937:
Portugal — Gesetz Nr. 93/2021
Spanien — Ley 2/2023
Frankreich — Loi 2022-401
Deutschland — HinSchG 2023

13. Aufsichtsbehörden

Portugal — CNPD
Spanien — AEPD
Frankreich — CNIL
Deutschland — BfDI
Italien — Garante
Niederlande — AP
Irland — DPC
Norwegen — Datatilsynet
Island — Persónuvernd
Liechtenstein — Datenschutzstelle

14. Datenschutzbeauftragter

Falls benannt: abuse@p7co.org.
Falls nicht: privacy@ph7x.com.

15. Änderungen

Änderungen werden auf der Website/App veröffentlicht und ggf. per E-Mail mitgeteilt. Frühere Versionen auf Anfrage.

16. Anhang A — häufige Rechtsgrundlagen

Vertragserfüllung (Konto, Transaktionen)
Einwilligung (Cookies, Marketing)
Berechtigtes Interesse (Sicherheit, Betrugsprävention, Verbesserung)
Rechtliche Pflicht (Steuern, Behördenantwort, Hinweisgeber-Kanäle)
Öffentliches Interesse/Rechtsausübung (Hinweisgeber, Prozesse)

17. Anhang B — Verarbeitungsverzeichnis

Geführt nach Art. 30 DSGVO: Zwecke, Kategorien, Empfänger, internationale Übermittlungen, Speicherfristen, Sicherheitsmaßnahmen.

18. Anhang C — Übermittlungen außerhalb des EWR (Beispiel)

Empfänger	Land	Mechanismus	Zusatzmaßnahmen
Transaktionaler E-Mail-Dienst	USA	Angemessenheit oder SCCs 2021/914	TLS, Verschlüsselung, Schlüsselmanagement, Minimierung
Azure	EU	Verarbeitung innerhalb der EU	Verschlüsselung, Schlüsselmanagement, Logs, Trennung

19. Ausübung von Betroffenenrechten

Anfragen an privacy@ph7x.com.
Bitte angeben: Recht, Identifikationsdaten, Kontext (z. B. Konto-ID).
Bestätigung der Identität kann verlangt werden. Antwort innerhalb der gesetzlichen Frist.