Datenschutzerklärung

1. Wer wir sind

Maguyva ist ein Code-Intelligence-Dienst, betrieben von UT INTERNATIONAL PTE. LTD., einem in Singapur registrierten Unternehmen.

2. Was wir erfassen

Wir erfassen vier Kategorien von Daten:

• Kontodaten: dein Name, deine E-Mail-Adresse und dein GitHub-OAuth-Token (verwendet, um auf von dir autorisierte Repositories zuzugreifen)
• Code-Daten: dein Quellcode (gespeichert, um Dateiinhalte bereitzustellen und die Suche zu ermöglichen), abstrakte Syntaxbäume, Symbolgraphen und semantische Embeddings, die aus deinem Code abgeleitet werden
• Nutzungsdaten: welche Tools du aufrufst, Zeitstempel und aggregierte Abfragemuster
• Website-Performance- und Fehlerdaten: Wir nutzen Grafana Faro, betrieben auf unserer eigenen Infrastruktur, um die Seiten-Performance zu messen und Fehler zu finden. Erfasst werden der Seitenpfad (ohne Query-Parameter), Browser, Betriebssystem und Gerätetyp, Performance-Messwerte, JavaScript-Fehler und die Laufzeiten der Anfragen der Seite, verknüpft über eine zufällige Sitzungskennung, die im Local Storage gespeichert wird; sie läuft nach etwa 16 Minuten Inaktivität ab und wird bei deinem nächsten Besuch ersetzt. Sie enthält weder Namen noch E-Mail-Adresse noch Konto-Kennung und wird nicht mit Konto- oder Werbedaten verknüpft. Wir stützen uns auf unser berechtigtes Interesse, die Website funktionsfähig zu halten (in Singapur: der Zweck der Geschäftsverbesserung). Logs werden 30 Tage und Traces 14 Tage aufbewahrt. Um zu widersprechen, wende dich an privacy@maguyva.ai.

Browser-Speicher. Diese Website speichert eine kleine Menge an Daten im lokalen Speicher deines Browsers, um deine Farbmodus-Einstellung zu merken (Key: "maguyva-color-mode"). Wenn du das optionale CRT-Easter-Egg auslöst, wird das aktive visuelle Theme nur für den aktuellen Tab im Session-Speicher gespeichert. Diese Daten verlassen niemals deinen Browser und werden nicht an unsere Server übertragen. Wenn du über eine unserer Anzeigen kommst, werden auch die Kampagnenparameter und Werbeklick-Kennungen aus diesem Link nur für den aktuellen Tab im Session-Speicher abgelegt (Key: "maguyva_utm") und an unsere Anwendung übergeben, wenn du einem Registrierungs- oder Anmeldelink folgst; siehe "6. Cookies und Werbung" unten. Cloudflare, unser Infrastruktur-Anbieter, kann funktionale Cookies zu Sicherheitszwecken setzen. Für aggregierte Nutzungsanalysen verwenden wir Umami, einen datenschutzfreundlichen, cookielosen Analytics-Dienst, der keine Cookies setzt und keine personenbezogenen Daten erfasst. Für Seiten-Performance und Browser-Fehler-Monitoring verwenden wir Grafana Faro. Faro speichert eine zufällig erzeugte Sitzungskennung im Local Storage deines Browsers (Key: "com.grafana.faro.session"), die nach etwa 16 Minuten Inaktivität abläuft und bei deinem nächsten Besuch ersetzt wird, damit aufeinanderfolgende Messwerte als ein Besuch erkannt werden; sie enthält weder Namen noch E-Mail-Adresse noch Konto-Kennung (siehe "Website-Performance- und Fehlerdaten" oben). Für Besucher im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz sowie dann, wenn wir deine Region nicht bestimmen können, wird Faro nicht geladen und dieser Key nicht geschrieben — dieselbe regionale Regel wie für die Werbe-Cookies in "6. Cookies und Werbung" unten.

3. Wie wir es verwenden

Wir verwenden deine Daten, um deinen Code zu indexieren und Code-Intelligence-Funktionen bereitzustellen, Zahlungen über Stripe zu verarbeiten, transaktionale E-Mails zu versenden (Kontobestätigungen, Rechnungsbelege) und aggregierte Nutzungsstatistiken zu berechnen. Wir verwenden Kundencode nicht, um Machine-Learning-Modelle zu trainieren. Wir verkaufen deine Daten nicht.

4. Dein Code

Wenn du ein Repository verbindest, wird dein Quellcode in unserer Service-Infrastruktur gespeichert, um Code-Intelligence-Funktionen wie Dateiabruf und Suche zu ermöglichen. Wir parsen Code mit tree-sitter, generieren semantische Embeddings über Voyage AI und bauen einen Symbolgraphen aus Definitionen und Referenzen auf. Die Embedding-Anfrage sendet AST-bewusste semantische Chunks, keine vollständigen Dateien oder Repositories, und schließt kundenidentifizierende Metadaten wie Repository-Namen, Benutzernamen, Organisations-IDs und Dateipfade aus. Diese Chunks werden verwendet, um Embeddings gemäß API-Bedingungen und Kontoeinstellungen zu generieren, die kein Training auf Kundendaten erlauben. Quell- und abgeleitete Indexdaten werden in PostgreSQL in den Formen gespeichert, die für Dateiabruf, Suche und Graphanalyse benötigt werden. Der Produktzugriff wird durch organisations- und namespace-bezogene Zugriffskontrollen geregelt; Maguyva-Betreiber dürfen nur dann auf Repository-Daten zugreifen, wenn es zum Betrieb, zur Absicherung oder zum Support des Dienstes erforderlich ist. Wenn du ein Repository trennst oder dein Konto kündigst, werden aktiver indexierter Quellcode und abgeleitete Daten aus den Systemen des Dienstes entfernt, wobei verbleibende Backup-Kopien innerhalb des Backup-Aufbewahrungsfensters ablaufen.

5. Drittanbieter

Wir nutzen folgende Dienste, um Maguyva zu betreiben:

• Supabase (Datenbank-Hosting, AWS-US-Regionen)
• Cloudflare (CDN, Edge-Rechenleistung, DNS)
• Voyage AI, jetzt Teil von MongoDB (Embedding-Generierung - erhält AST-bewusste Code-Chunks ohne Kundenidentifikatoren, keine vollständigen Dateien oder Repositories)
• Stripe (Zahlungsabwicklung)
• GitHub (OAuth-Authentifizierung und Repository-Zugriff)
• Umami (cookielose Website-Nutzungsanalyse - nur aggregierte Metriken, keine personenbezogenen Daten)
• Railway (Hosting in Singapur für das Monitoring-System, das wir selbst mit Open-Source-Software von Grafana betreiben - speichert die in "2. Was wir erfassen" beschriebenen Website-Performance- und Fehlerdaten, die es nur über unseren eigenen Collector unter faro.synacy.xyz erreichen; Grafana Labs erhält diese Daten nicht. Das Monitoring-Skript wird für Besucher im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz sowie bei nicht bestimmbarer Region gar nicht geladen)
• Google Ads (Conversion-Messung - erhält Kampagnenparameter und Werbeklick-Kennungen, wenn du ein Konto erstellst, keine Konto- oder Code-Daten)

6. Cookies und Werbung

Wir bewerben Maguyva über Google Ads und messen, welche Anzeigen zu Registrierungen führen. Das Tag von Google (gtag.js) wird sowohl auf maguyva.ai als auch auf app.maguyva.ai geladen. Wo Werbespeicherung zulässig ist, setzt es Cookies der Familie "_gcl_" (zum Beispiel "_gcl_aw", aufbewahrt für bis zu 90 Tage), die den Werbeklick vor deinem Besuch festhalten, und die Anwendung meldet an Google Ads eine Conversion, wenn du ein Konto erstellst. Auf beiden Domains setzen wir zusätzlich ein eigenes Cookie, "maguyva_first_touch", das den ersten Werbelink festhält, über den du gekommen bist, damit wir erkennen können, welche Werbung zu einem Konto geführt hat. Abgesehen von den unten beschriebenen Einwilligungs- und Region-Cookies setzen wir auf unseren eigenen Domains keine weiteren Werbe-Cookies.

• Was an Google gesendet wird: ausschließlich Kampagnenparameter und Werbeklick-Kennungen. Der übrige Teil der Seitenadresse, einschließlich einer über einen Einladungslink übermittelten E-Mail-Adresse, wird entfernt, bevor die Meldung Google erreicht.
• Signale zur Anzeigenpersonalisierung sind deaktiviert, sodass hier Conversions gemessen und keine Werbezielgruppen aufgebaut werden.
• Was "maguyva_first_touch" enthält: die Kampagnenparameter des Links, über den du gekommen bist (utm_source, utm_medium, utm_campaign, utm_content, utm_term), die darin enthaltene Werbeklick-Kennung (gclid, gbraid, wbraid, dclid, twclid oder rdt_cid), die Adresse der verweisenden Seite, den Pfad, auf dem du gelandet bist, einschließlich seiner Parameter, sowie den Zeitpunkt dieses Aufrufs. Es wird von unseren Servern gesetzt, ist für auf der Seite laufende Skripte nicht lesbar und wird für bis zu 90 Tage aufbewahrt.
• Es erfasst ausschließlich deine erste Ankunft über eine Anzeige - ein späterer Anzeigenklick ersetzt sie nicht. Wenn du ein Konto erstellst, werden diese Werte auf dieses Konto übertragen, damit wir es der Werbung zuordnen können, die es hervorgebracht hat, und das Cookie wird anschließend gelöscht. Erstellst du nie ein Konto, läuft es von selbst ab.
• Unsere Marketing-Website unter maguyva.ai bewahrt zusätzlich die Werbeklick-Kennungen deines Aufrufs im Session-Speicher des aktuellen Tabs auf, damit sie an die Anwendung übergeben werden können, wenn du einem Registrierungs- oder Anmeldelink folgst, wie unter "2. Was wir erfassen" beschrieben. Diese Kopie wird verworfen, wenn du den Tab schließt.
• Wo wir vorher fragen: Für Besucher im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz sowie überall dort, wo wir deine Region nicht bestimmen können, wird das Tag mit abgeschalteter Werbespeicherung geladen, Werbeklick-Kennungen werden aus dem entfernt, was es sendet, und wir fragen, bevor irgendein Werbe-Cookie gesetzt wird. Bis du antwortest, erhält Google nur ein cookiefreies Signal, dass eine Seite aufgerufen wurde. Wenn du zustimmst, werden die "_gcl_"-Cookies und "maguyva_first_touch" wie oben beschrieben gesetzt. Wenn du ablehnst, wird keines von beiden gesetzt und es wird kein First-Touch-Eintrag erfasst.
• Deine Antwort wird 12 Monate lang in einem Cookie namens "maguyva_ad_consent" gespeichert, das zwischen maguyva.ai und app.maguyva.ai geteilt wird und ausschließlich die Antwort sowie die Version dieses Hinweises enthält, unter der sie gegeben wurde. Es wird gesetzt, egal ob du zustimmst oder ablehnst, damit wir nicht erneut fragen. Du kannst deine Antwort jederzeit über den Link "Cookie-Einstellungen" in der Fußzeile von maguyva.ai oder über Settings > Security in der Anwendung ändern; ein Wechsel zur Ablehnung stoppt die weitere Werbespeicherung, und bereits von Google gesetzte Cookies laufen nach ihrem eigenen Zeitplan ab.
• Auf maguyva.ai hält ein einstündiges Cookie namens "maguyva_ad_region" ausschließlich fest, ob deine Region eine ist, in der wir fragen. Es enthält keine personenbezogenen Daten.
• Google kann beim Melden der Conversion Cookies auf eigenen Domains setzen; für diese gilt die Datenschutzerklärung von Google.

7. Datensicherheit

Daten werden über HTTPS/TLS übertragen. Indexierte Repository-Daten werden auf verwalteter Infrastruktur mit Verschlüsselung auf Speicherebene im Ruhezustand gespeichert. Quell- und abgeleitete Indexdaten bleiben für den Dienst lesbar, soweit dies für Suche, Dateiabruf, Support und Sicherheitsvorgänge erforderlich ist. Der Repository-Zugriff wird durch organisations- und namespace-bezogene Zugriffskontrollen geregelt. API-Keys werden gegen gespeicherte Metadaten und Repository-Zugriffsbeschränkungen validiert.

8. Deine Rechte

Gemäß dem singapurischen PDPA und der EU-DSGVO (soweit anwendbar) hast du das Recht:

• auf die von uns über dich gespeicherten personenbezogenen Daten zuzugreifen
• unrichtige Daten zu korrigieren
• die Löschung deiner Daten und indexierten Repositories zu verlangen
• deine Kontodaten zu exportieren
• der Verarbeitung zu widersprechen oder deine Einwilligung zu widerrufen

9. Datenspeicherung

Aktive Konten: Daten werden aufbewahrt, solange dein Konto aktiv ist. Entfernte Repositories und gelöschte Konten: Aktiver indexierter Quellcode und abgeleitete Daten werden innerhalb von 30 Tagen entfernt, wobei verbleibende Backup-Kopien innerhalb von 90 Tagen ablaufen. Abrechnungsunterlagen werden gesetzlich vorgeschrieben 7 Jahre lang aufbewahrt. In "2. Was wir erfassen" beschriebene Website-Performance- und Fehlerdaten: Logs werden 30 Tage und Traces 14 Tage aufbewahrt und danach automatisch gelöscht; um der Erfassung zu widersprechen, wende dich an privacy@maguyva.ai.

10. Änderungen und Kontakt

Wir informieren dich per E-Mail über wesentliche Änderungen dieser Richtlinie. Bei Fragen oder Datenanfragen kontaktiere privacy@maguyva.ai.