Datenschutz — LGPD, DSGVO und Gesetze der Vereinigten Staaten

1. Wer Ihre Daten verarbeitet

Der Dienst Lounge Secreto wird von ALAS TECHNOLOGY LLC (EIN 93-3927200) betrieben, einer in den Vereinigten Staaten von Amerika gegründeten Gesellschaft, die als Verantwortliche für die auf dieser Plattform verarbeiteten personenbezogenen Daten handelt — das heißt, sie entscheidet über die Zwecke und Mittel der Verarbeitung. Für Datenschutzangelegenheiten, einschließlich der Ausübung jedes auf dieser Seite beschriebenen Rechts, ist der offizielle Kanal unser Support, der die Anfrage an den Datenschutzbeauftragten weiterleitet.

2. Welche Gesetze auf Sie anwendbar sind

Diese Seite gilt für alle unsere Nutzer, doch Ihre konkreten Rechte hängen davon ab, wo Sie sich befinden. Wenn Sie sich in Brasilien befinden, gilt das Allgemeine Datenschutzgesetz (LGPD, Lei nº 13.709/2018). Wenn Sie sich im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz befinden, gelten die Datenschutz-Grundverordnung (DSGVO) und die entsprechenden lokalen Vorschriften, da wir den Dienst betroffenen Personen in diesen Regionen anbieten. Wenn Sie in den Vereinigten Staaten wohnen, gelten die bundesstaatlichen Verbraucherdatenschutzgesetze, darunter das kalifornische (CCPA, geändert durch den CPRA). Bei einem Konflikt wenden wir stets die für die betroffene Person günstigere Regel an.

3. Welche Daten wir verarbeiten und wofür

Wir verarbeiten Registrierungsdaten — Name, E-Mail, Telefon, Geburtsdatum, Ausweisdokument und Land; Daten, die für die Ausstellung und Aktivierung des Passes erforderlich sind — Adresse, Daten des Karteninhabers beim Programmbetreiber und das Ergebnis der Identitätsprüfung; Zahlungsdaten — Betrag, Währung und Transaktionskennungen, ohne dass die vollständige Kartennummer des Kunden von uns gespeichert wird; Servicedaten — über Support, Formular oder Assistenten gesendete Nachrichten; und technische Daten — IP-Adresse, Browserkennung, besuchte Seiten und Herkunft des Zugriffs. Jede Kategorie wird nur für den Zweck verwendet, der sie rechtfertigt: Erfüllung des Vertrags, Identitätsprüfung, Zahlungsabwicklung, Betrugsprävention, Support-Leistung und, wenn Sie einwilligen, Messung und Verbesserung von Kampagnen.

4. Sensible Daten: wir erheben sie nicht

Wir erheben keine sensiblen personenbezogenen Daten — rassische oder ethnische Herkunft, religiöse Überzeugung, politische Meinung, Gewerkschaftszugehörigkeit, Daten über Gesundheit oder Sexualleben, genetische oder biometrische Daten. Die für die Ausstellung der mit dem Pass verbundenen Karte erforderliche Identitätsprüfung wird von einem spezialisierten Partner durchgeführt, der als Auftragsverarbeiter handelt; von ihm erhalten wir das Ergebnis der Prüfung und die notwendigen Registrierungsdaten, nicht das biometrische Material. Wir fordern und speichern auch keine Zugangsdaten bereits bestehender Priority Pass™-Konten.

5. Auf welcher Rechtsgrundlage wir verarbeiten

Die Erfüllung des Vertrags rechtfertigt die Verarbeitung der Registrierungsdaten, der Daten zur Ausstellung des Passes und der Zahlungsdaten — ohne sie kann der Dienst nicht erbracht werden. Die Erfüllung einer rechtlichen und regulatorischen Verpflichtung rechtfertigt die Aufbewahrung von Finanz- und Steuerunterlagen. Das berechtigte Interesse rechtfertigt die Betrugsprävention, die Sicherheit der Plattform und die Verbesserung des Dienstes, stets abgewogen mit Ihren Rechten und Freiheiten. Die Einwilligung, frei und jederzeit widerrufbar, rechtfertigt die nicht notwendigen Cookies, die Messung von Werbekampagnen und die Marketingkommunikation. Nach der LGPD entsprechen diese Fälle Art. 7; nach der DSGVO Art. 6.

6. Assistent mit künstlicher Intelligenz

Wir bieten einen Assistenten an, der Fragen zum Dienst beantwortet. Was Sie darin schreiben, wird aufgezeichnet, um die Betreuung fortzusetzen, und wird zusammen mit dem jüngsten Gesprächsverlauf an einen Anbieter von Infrastruktur für künstliche Intelligenz übermittelt, der die Antwort erzeugt — stets von unseren Servern aus, niemals von Ihrem Browser. Der Inhalt der Gespräche wird nach 90 Tagen anonymisiert. Der Assistent trifft keine automatisierten Entscheidungen, die rechtliche Wirkungen entfalten oder Sie erheblich beeinträchtigen: Wenn das Thema sensibel ist — Preis, Erstattung, Vertragsbedingungen — oder wenn keine ausreichende dokumentarische Grundlage besteht, improvisiert er nicht und leitet die Betreuung an eine Person weiter. Die Wissensbasis, die den Assistenten speist, wird von den Nutzern gemeinsam genutzt und lehnt daher die Aufnahme von Daten einzelner Fälle automatisch ab. Dennoch bitten wir Sie, in den Assistenten keine Daten zu schreiben, die nicht erforderlich sind, wie Kartennummer, Passwort oder Ausweis.

7. Cookies, Pixel und Tracking

Wir verwenden unbedingt erforderliche Cookies, um Sie zu authentifizieren, die Sprache zu merken und die Website vor Missbrauch zu schützen — diese hängen nicht von einer Einwilligung ab, weil der Dienst ohne sie nicht funktioniert. Analyse- und Marketing-Cookies und -Pixel werden nur aktiviert, wenn Sie im Banner einwilligen, und die Einwilligung kann jederzeit mit demselben Aufwand zurückgezogen werden, mit dem sie erteilt wurde. Wir zeichnen das Datum, die Version des Hinweises und die getroffene Wahl als prüfbaren Nachweis auf. Die Einzelheiten zu jedem Cookie finden sich in der Cookie-Richtlinie.

Cookie-Richtlinie

8. Mit wem wir teilen

Wir verkaufen keine personenbezogenen Daten. Wir teilen das notwendige Minimum mit Auftragsverarbeitern, die einen Teil des Dienstes in unserem Namen und vertraglich gebunden ausführen: Zahlungsabwickler, Partner für die Identitätsprüfung, Aussteller der mit dem Pass verbundenen Karte, der Betreiber des VIP-Lounge-Programms, Anbieter von Hosting und Infrastruktur, Anbieter für den Versand von Transaktions-E-Mails, Anbieter für die Fehlerüberwachung und, wenn Sie einwilligen, Werbeplattformen. Einige Partner werden nach Kategorie und nicht namentlich genannt, da sie geschäftlich sensible Informationen betreffen; die konkrete Identifizierung wird der betroffenen Person zur Verfügung gestellt, die das Auskunftsrecht ausübt.

9. Internationale Übermittlungen

Die Verantwortliche hat ihren Sitz in den Vereinigten Staaten, und ein Teil unserer Infrastruktur und unserer Auftragsverarbeiter befindet sich außerhalb Brasiliens und des Europäischen Wirtschaftsraums, sodass Ihre Daten in andere Länder übermittelt und dort verarbeitet werden können. Wir führen diese Übermittlungen auf der Grundlage vertraglicher Garantien durch, die dem Empfänger Vertraulichkeits- und Sicherheitspflichten auferlegen, die mit der anwendbaren Gesetzgebung vereinbar sind, und beschränken die Übermittlung auf das für den Zweck unbedingt Erforderliche. Nach der LGPD entspricht dies Art. 33; nach der DSGVO Kapitel V.

10. Wie lange wir speichern

Wir speichern jedes Datum nur so lange, wie es erforderlich ist. Finanz- und Steuerunterlagen — Käufe, Zahlungen, Rückerstattungen und Bewegungen — werden aus gesetzlicher Verpflichtung mindestens 5 Jahre aufbewahrt und können nicht auf Anfrage gelöscht werden. Der Inhalt der Gespräche mit dem Assistenten wird nach 90 Tagen anonymisiert. Technische Daten und Telemetriedaten werden nach etwa 18 Monaten gelöscht. Einwilligungsnachweise werden aufbewahrt, solange sie als Nachweis erforderlich sind. Registrierungsdaten werden für die Dauer der Beziehung und danach für den zur Rechtsverteidigung erforderlichen Zeitraum aufbewahrt.

11. Löschung des Kontos: was wir löschen und was bestehen bleibt

Sie können die Löschung Ihres Kontos jederzeit beantragen. Der Antrag erfasst ausschließlich die Daten in unserer Verantwortung bei Lounge Secreto — er berührt nicht das Konto, das Sie beim Betreiber des VIP-Lounge-Programms unterhalten, das dessen Bedingungen unterliegt und direkt bei ihm geschlossen werden muss. Bei der Bearbeitung des Antrags entfernen oder anonymisieren wir Ihre Registrierungs- und Servicedaten und löschen Sitzungen, Login-Verknüpfungen und Navigationsprotokolle. Aus gesetzlicher Verpflichtung oder aus erklärtem berechtigtem Interesse bleiben bestehen: die Finanzunterlagen für den Mindestzeitraum von 5 Jahren; der Einwilligungsnachweis als Beweis; das Prüfprotokoll der administrativen Handlungen; und, in nachgewiesenen Fällen von Betrug, Missbrauch oder Zahlungsverzug, die unbedingt erforderlichen Kennungen, um die Neuanlage des Kontos zu verhindern. Nach Abschluss der Löschung kann das Konto nicht wiederhergestellt werden.

12. Ihre Rechte

Unabhängig davon, wo Sie sich befinden, können Sie erfahren, ob wir Daten über Sie verarbeiten, und auf diese zugreifen; eine Kopie in einem maschinenlesbaren Format erhalten; unvollständige oder veraltete Daten berichtigen; die Löschung innerhalb der Grenzen des vorstehenden Abschnitts verlangen; die Einwilligung widerrufen; Verarbeitungen widersprechen, die auf einem berechtigten Interesse beruhen; und darüber informiert werden, mit wem wir teilen. Sie werden niemals diskriminierend behandelt, weil Sie eines dieser Rechte ausüben.

13. Wenn Sie sich in Brasilien befinden (LGPD)

Die LGPD gewährleistet in Art. 18 die Rechte auf Bestätigung des Bestehens einer Verarbeitung; Zugang; Berichtigung unvollständiger, ungenauer oder veralteter Daten; Anonymisierung, Sperrung oder Löschung unnötiger, übermäßiger oder nicht rechtskonform verarbeiteter Daten; Übertragbarkeit an einen anderen Anbieter; Löschung der auf Grundlage der Einwilligung verarbeiteten Daten; Information über die Stellen, mit denen wir teilen; Information über die Möglichkeit, nicht einzuwilligen, und deren Folgen; sowie Widerruf der Einwilligung. Sie können außerdem direkt bei der Nationalen Datenschutzbehörde (ANPD) eine Eingabe machen.

14. Wenn Sie sich in der Europäischen Union, im Vereinigten Königreich oder in der Schweiz befinden (DSGVO)

Die DSGVO gewährleistet die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Übertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, keiner ausschließlich automatisierten Entscheidung mit erheblichen Auswirkungen unterworfen zu werden (Art. 22) — die wir, wie oben erläutert, nicht durchführen. Sie können die Einwilligung jederzeit widerrufen, unbeschadet der Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung, und haben das Recht, bei der Aufsichtsbehörde Ihres Landes Beschwerde einzureichen.

15. Wenn Sie sich in den Vereinigten Staaten befinden (CCPA/CPRA und bundesstaatliche Gesetze)

Sie haben das Recht zu erfahren, welche Kategorien personenbezogener Informationen wir erheben, woher sie stammen, wofür sie dienen und mit wem sie geteilt werden; eine Kopie zu erhalten; die Berichtigung zu verlangen; und die Löschung zu verlangen, vorbehaltlich der gesetzlichen Ausnahmen. Wir verkaufen keine personenbezogenen Informationen gegen Geld. Das Teilen mit Werbeplattformen für zielgerichtete Werbung kann nach dem CPRA als Teilen (sharing) eingestuft werden und erfolgt daher nur, wenn Sie die Marketing-Kategorie im Banner akzeptiert haben — diese Einwilligung abzulehnen oder zurückzuziehen kommt der Ausübung des Widerspruchs gleich. Wir verwenden keine sensiblen personenbezogenen Informationen, um Eigenschaften abzuleiten, und diskriminieren nicht, wer seine Rechte ausübt.

16. Wie Sie Ihre Rechte ausüben

Sie können über den eingeloggten Bereich eine Kopie Ihrer Daten erhalten und die Löschung des Kontos beantragen und Marketingkommunikation über den Abmeldelink in allen unseren E-Mails oder über die Abmeldeseite abbestellen. Für jede andere Anfrage — einschließlich Berichtigung, Widerspruch oder Information über das Teilen — wenden Sie sich an unseren Support, der sie an den Datenschutzbeauftragten weiterleitet. Wir können zusätzliche Informationen anfordern, um Ihre Identität zu bestätigen, bevor wir die Anfrage bearbeiten, gerade um keine Daten an jemanden herauszugeben, der nicht die betroffene Person ist. Wir antworten innerhalb von 15 Tagen bei Anfragen nach der LGPD; innerhalb von 1 Monat bei Anfragen nach der DSGVO, in komplexen Fällen um weitere 2 Monate verlängerbar, mit vorheriger Ankündigung; und innerhalb von 45 Tagen bei Anfragen nach der Gesetzgebung der Vereinigten Staaten, um weitere 45 Tage verlängerbar.

AbmeldeseiteSupport

17. Kinder und Jugendliche

Der Dienst richtet sich an Personen über 18 Jahre und ist nicht für Kinder oder Jugendliche bestimmt. Wir erheben nicht absichtlich Daten von Minderjährigen. Wenn wir feststellen, dass eine Registrierung von einem Minderjährigen vorgenommen wurde, oder wenn ein Erziehungsberechtigter uns dies mitteilt, löschen wir die Daten und schließen das Konto.

18. Informationssicherheit

Wir treffen technische und organisatorische Maßnahmen, die dem Risiko angemessen sind: Verschlüsselung sensibler Daten im Ruhezustand, Passwörter, die nur als kryptografische Ableitung gespeichert werden, durch TLS geschützter Datenverkehr, rollenbasierte Zugriffskontrolle mit Prüfprotokoll der administrativen Handlungen, Begrenzung von Versuchen, Anti-Automatisierungsschutz und Fehlerüberwachung. Unsere Kontrollen folgen den internationalen Standards ISO/IEC 27001 für das Management der Informationssicherheit und ISO/IEC 27701 für das Management des Informationsdatenschutzes. Kein System ist unfehlbar, und deshalb unterhalten wir auch einen Plan zur Reaktion auf Vorfälle.

19. Sicherheitsvorfälle

Tritt ein Sicherheitsvorfall ein, der ein Risiko oder einen erheblichen Schaden für die betroffenen Personen mit sich bringen kann, benachrichtigen wir die zuständige Behörde und die betroffenen Personen und beschreiben die Art des Vorfalls, die betroffenen Daten, die getroffenen Maßnahmen und die angemessenen Empfehlungen. Nach der DSGVO erfolgt die Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung und, soweit möglich, binnen 72 Stunden.

20. Änderungen dieser Seite

Wir können diese Seite aktualisieren, um Änderungen des Dienstes, der Technologie oder der Gesetzgebung widerzuspiegeln. Wenn die Änderung erheblich ist, informieren wir über unsere Kanäle und fordern, sofern erforderlich, eine neue Einwilligung an. Das Datum der letzten Aktualisierung ist oben auf dieser Seite angegeben.