Persönliche Daten, klar dargelegt.
TwentyThird verarbeitet sensible Informationen über Ihr Innenleben. Diese Richtlinie legt dar, was verarbeitet wird, von wem, wo, wie lange und wie dies zu unterbinden ist. Nichts wird verkauft. Nichts wird für Werbung verwendet.
Wer ist verantwortlich
WelloWork AB (Org. Nr. 559472‑9997), Uppsala, Schweden, ist der Verantwortliche für alle personenbezogenen Daten, die über TwentyThird verarbeitet werden: auf dieser Website, in Ihrem Konto und per E-Mail.
Einige Mitglieder erhalten TwentyThird als Leistung von ihrem Arbeitgeber. Der Arbeitgeber zahlt für den Zugang und nichts weiter. Arbeitgeber erhalten niemals Ihre Daten, Ihre Antworten, Ihre Nutzung oder Analysen über Sie oder ihre Mitarbeiter als Gruppe.
Datenschutz-Kontakt: privacy@day-23.com. Wir antworten innerhalb von 30 Tagen.
Was wir verarbeiten und warum
Konto. E-Mail-Adresse, Name, Geburtsjahr, Geschlecht, Sprache und Anmeldeart. Wird zur Verwaltung Ihres Kontos verwendet. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Gesundheitsinformationen. Ihre Antworten auf die Aufnahmefragen zu Stimmung, Familie, Beziehungen, Arbeit, Schlaf, Träumen und Wohlbefinden; Ihre wöchentlichen Catchups; Ihre Konsultationsgespräche; und die daraus erstellten Readings und Berichte. Dies sind Daten besonderer Kategorien (Art. 9). Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a), die separat bei der Anmeldung erteilt und jederzeit in den Einstellungen → Einwilligung widerrufen werden kann.
KI-Verarbeitung. Um Readings, Catchup-Zusammenfassungen, Sitzungsantworten und Berichte zu erstellen, wird der für jede Aufgabe benötigte Teil dieser Informationen an ein KI-Modell gesendet. Rechtsgrundlage: Ihre separate Einwilligung zur KI-Verarbeitung und zur Übermittlung außerhalb des EWR.
Ihr Kreis. Wenn Sie jemanden einladen, geben Sie uns dessen Vornamen und E-Mail-Adresse, damit wir die Einladung senden können. Wenn diese Person antwortet, fließen ihre Antworten in Ihre Readings ein. Siehe „Personen, die Sie einladen“ unten.
Zahlung. Abonnementstatus und -verlauf. Kartendaten werden von Stripe verarbeitet und erreichen uns niemals. Rechtsgrundlage: Vertrag.
Technische Daten. IP-Adresse, Browser, Gerät und Zeitstempel, um den Dienst sicher zu halten und Missbrauch zu begrenzen. Wo wir eine IP-Adresse speichern, speichern wir einen gesalzenen Hash, nicht die Adresse. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Analysen. Google Analytics läuft nur auf den öffentlichen Marketingseiten und nur, nachdem Sie es akzeptiert haben. Niemals innerhalb Ihres Kontos. Rechtsgrundlage: Einwilligung.
Wir fragen nicht nach Rasse, ethnischer Zugehörigkeit, politischer Meinung oder Religion. Wenn etwas, das Sie schreiben, dies offenbart, wird es nur als Teil Ihres eigenen Readings verarbeitet.
Automatisierte Entscheidungen und Sicherheit
Jeder von Ihnen verfasste Freitext wird von einem KI-Modell auf Anzeichen einer möglichen Selbstgefährdung überprüft. Wenn das Risiko als hoch eingestuft wird, antwortet der Analytiker nicht; stattdessen sehen Sie Krisenressourcen für Ihr Land, und eine Sicherheitsmarkierung wird in Ihrem Konto vermerkt, wo Sie sie einsehen können.
Lesungen, Zusammenfassungen und Berichte sind KI-generierte Interpretationen. Sie sind keine Diagnosen, und es werden keine Entscheidungen mit rechtlicher oder ähnlich signifikanter Wirkung auf ihrer Grundlage getroffen.
Sie können eine Person bei WelloWork bitten, jede Sicherheitsklassifizierung oder Lesung zu überprüfen privacy@day-23.com. Wir teilen Ihnen das Ergebnis mit.
Wer es verarbeitet und wo
Diese Unternehmen verarbeiten Daten in unserem Auftrag gemäß Datenverarbeitungsvereinbarungen. Verlässt die Datenübertragung den EWR, ist die Übertragungsbasis angegeben.
| Verarbeiter | Zweck | Wo | Übertragungsbasis |
|---|---|---|---|
| Supabase | Datenbank, Anmeldung, Dateispeicherung | Irland (EU) | EU-Hosting; Standardvertragsklauseln für den Support-Zugriff |
| Vercel | Hosting und Server | Stockholm (EU); weltweites Netzwerk für statische Dateien | Standardvertragsklauseln |
| OpenRouter | Gateway, das jede KI-Anfrage an das Modell weiterleitet | Vereinigte Staaten | Standardvertragsklauseln |
| Google Cloud (Vertex AI), über OpenRouter | KI-Modelle (Gemini). Prompts werden nicht gespeichert oder zum Training verwendet | Google-Rechenzentren, nicht auf die EU beschränkt | EU-US-Datenschutzrahmen; Standardvertragsklauseln |
| Stripe | Zahlungen und Abonnements | Irland (EU) und Vereinigte Staaten | EU-US-Datenschutzrahmen; Standardvertragsklauseln |
| Resend | E-Mails, die wir Ihnen senden, und Einladungen | Vereinigte Staaten | EU-US-Datenschutzrahmen; Standardvertragsklauseln |
| Google Analytics | Besuche öffentlicher Seiten, nur mit Ihrer Zustimmung | Google-Rechenzentren, einschließlich der Vereinigten Staaten | EU-US-Datenschutzrahmen; Standardvertragsklauseln |
KI-Anbieter werden nur genutzt, wenn sie Prompts weder speichern noch darauf trainieren. Wir verkaufen oder lizenzieren Ihre Daten nicht und verwenden sie nicht für Werbung.
Personen die Sie einladen
Wenn ein Mitglied Sie einlädt, übermittelt es uns Ihren Vornamen und Ihre E-Mail-Adresse. Wir verwenden diese ausschließlich, um die Einladung zu versenden und dem Mitglied anzuzeigen, ob Sie geantwortet haben.
Wenn Sie die Beziehungsfragen beantworten, fließen Ihre Antworten und ein darauf basierender, von der KI verfasster Absatz in die Lesungen, Sitzungen und Berichte des Mitglieds ein. Das Mitglied sieht Ihre Antworten oder den Absatz niemals. Sie stimmen dem zu, bevor die Fragen beginnen.
Ihre Antworten werden 30 Tage nach Beendigung der Verbindung gelöscht oder sofort, wenn Sie den Löschlink in Ihrer Einladungs-E-Mail verwenden. Abgelehnte oder abgelaufene Einladungen werden 30 Tage nach ihrem Ablauf gelöscht. Sie haben die gleichen Rechte wie Mitglieder; schreiben Sie an die untenstehende Adresse.
Wer sieht es
Innerhalb von WelloWork AB: Eine kleine Anzahl von Mitarbeitern, die den Dienst warten, mit rollenbasierter Zugriffsbeschränkung. Wir prüfen Ihre Inhalte nur, um eine Anfrage von Ihnen zu beantworten, eine von Ihnen gemeldete Sicherheitswarnung zu überprüfen oder einen Fehler zu beheben.
Nicht Ihr Arbeitgeber. Kein Arbeitgeber, keine Klinik oder andere Organisation hat Zugriff auf Mitgliederdaten oder Analysen über Mitglieder.
Ihr Psychologe, falls Sie einen haben: Über Ihre Supervisionsanfrage hinaus entscheiden Sie Punkt für Punkt, was Ihr Psychologe sieht, und Sie können jede dieser Entscheidungen jederzeit ändern.
Gesetzliche Verpflichtung: Wir geben Daten an zuständige Behörden nur weiter, wenn dies gesetzlich vorgeschrieben ist, und nur im erforderlichen Umfang.
Aufbewahrung
Wie lange jede Art von Daten aufbewahrt wird. Ein automatischer täglicher Vorgang setzt diese Fristen durch.
| Daten | Aufbewahrungsdauer |
|---|---|
| Konto, Intake-Antworten (jede Version), Readings, Catchups, Sitzungsgespräche, Berichte, Einverständniserklärungen | Solange Ihr Konto existiert |
| Alles oben Genannte, nachdem Sie Ihr Konto gelöscht haben | 30 Tage nach der Anfrage gelöscht, ausgenommen die unten aufgeführten Buchhaltungsunterlagen. Eine Anmeldung vor Ablauf dieser Frist annulliert die Löschung. |
| Sicherheitskennzeichnungen | Schweregrad und Kategorie mit Ihrem Konto; der zitierte Text wird nach 90 Tagen entfernt |
| KI-Verarbeitungsprotokoll (Aufgabe, Modell, Zeitpunkt — niemals Inhalt) | 90 Tage |
| Aufzeichnungen der an Sie gesendeten E-Mails | 30 Tage nach dem Versand |
| Antworten von Personen, die Sie eingeladen haben | Solange die Verbindung aktiv ist; 30 Tage nach Beendigung oder sofort, wenn sie darum bitten |
| Abgelehnte oder abgelaufene Einladungen | 30 Tage nach Ablauf |
| Nachrichten, die über das Kontaktformular gesendet wurden | 24 Monate |
| Zähler zur Missbrauchsverhinderung (gehasht) | 1–2 Tage |
| Supervision mit einem Psychologen: Ihre Anfrage, die Supervision, deren Betreuungspläne und Ihre Zustimmung zur Weitergabe | Solange Ihr Konto und das Konto Ihres Psychologen bestehen. Ihr Psychologe sieht sie nur, solange die Supervision läuft und Ihre Zustimmung vorliegt. |
| Supervisionsanfragen, die abgelehnt, zurückgezogen oder abgelaufen sind | 12 Monate nach der Entscheidung |
| Übergaben an Ihren Psychologen | 24 Monate nach Abschluss oder Beendigung der Supervision; sofort, wenn die Supervision gelöscht wird |
| In-App-Benachrichtigungen | 12 Monate |
| Bezahlte Besuche und Auszahlungen an Psychologen (Betrag, Datum, Zahlungsreferenz) | 7 Jahre nach Ende des Zahlungsjahres, wie es das schwedische Buchführungsgesetz vorschreibt. Ihr Name, Notizen und Links werden entfernt, wenn Ihr Konto gelöscht wird. |
| Datenbank-Backups | Rollierende Backups in einem kurzen Zyklus; gelöschte Daten verlassen sie, wenn sie ablaufen |
| Zahlungsaufzeichnungen bei Stripe | Wie es das Finanzrecht vorschreibt |
Prozessoren führen Betriebslogs gemäß ihren eigenen, oben aufgeführten Bedingungen.
Ihre Rechte
Sie können auf Ihre Daten zugreifen und diese exportieren (Einstellungen → Daten), sie korrigieren (Einstellungen und Ihre Aufnahme), Ihr Konto löschen (Einstellungen → Gefahrenzone), die Einwilligung widerrufen (Einstellungen → Einwilligung), die Verarbeitung einschränken oder ihr widersprechen und Ihre Daten in einem portablen Format erhalten. Der Widerruf der Einwilligung stoppt die zukünftige Verarbeitung; er macht nicht rückgängig, was zuvor geschehen ist.
Für alles Weitere oder wenn Sie sich nicht anmelden können: privacy@day-23.com. Wir antworten innerhalb von 30 Tagen. Sie können sich auch bei der Integritetsskyddsmyndigheten (IMY), Schwedens Datenschutzbehörde, beschweren.
Sicherheit
Daten werden während der Übertragung und im Ruhezustand verschlüsselt. Jede Tabelle ist durch Sicherheit auf Zeilenebene geschützt, sodass ein Konto nur seine eigenen Datensätze lesen kann und das, was der Dienst schreibt, nicht über einen Browser geändert werden kann. Kartendaten berühren niemals unsere Server.
Alter
TwentyThird ist für Erwachsene. Sie müssen 18 Jahre oder älter sein, um ein Konto zu erstellen. Wenn wir erfahren, dass eine Person unter 18 Jahren ein Konto besitzt, wird dieses gelöscht.
Änderungen
Bei wesentlichen Änderungen dieser Richtlinie informieren wir Sie im Produkt, bevor die Änderung wirksam wird, und bitten Sie erneut um Ihre Zustimmung, wo dies erforderlich ist. Das Versionsdatum finden Sie unten.
Gültig ab: 18 October 2026 · Geltendes Recht: Schwedisches Recht und die DSGVO