1. Verantwortlicher und Geltungsbereich
Samin Sabahudin Grahich (Apiboo), Traunaustraße 29/13, 4600 Wels, Österreich, ist Verantwortlicher. Diese Erklärung gilt nur für die Browser-Erweiterung Apiboo Vault. Ihr Apiboo-Konto, die Desktop-App und diese Website unterliegen der allgemeinen Datenschutzerklärung unter apiboo.com/privacy, die auch Ihre Rechte und unsere Auftragsverarbeiter nennt. Kontakt: hello@apiboo.com.
2. Was die Erweiterung tut
Sie ist ein Passwort-Manager für Ihren eigenen Apiboo-Vault: Sie bietet die Logins an, die zur gerade geöffneten Website gehören, trägt sie auf Ihre Auswahl in das Anmeldeformular ein, speichert auf Wunsch ein neues Login, meldet Sie mit Passkeys aus Ihrem Vault an und legt dort neue an, wenn eine Website das anbietet. Sie arbeitet eigenständig mit einer einzigen Datenbasis: der Ende-zu-Ende-verschlüsselten Kopie Ihres Vaults in Ihrem Apiboo-Konto, die sie herunterlädt und in Ihrem Browser mit Ihrer Master-Passphrase entschlüsselt. Die Apiboo-Desktop-App ist nicht erforderlich; nutzen Sie sie, ist sie nur ein weiteres Gerät, das denselben Vault synchronisiert.
3. Was auf Ihrem Gerät bleibt
Ihre Master-Passphrase, der daraus abgeleitete Schlüssel und jedes entschlüsselte Passwort, jeder Code und jeder Passkey existieren nur im Speicher der Erweiterung, solange der Vault entsperrt ist. Die Erweiterung liest das Anmeldeformular der geöffneten Seite, um die Felder zum Ausfüllen zu finden und ein gerade eingegebenes Login zu erkennen; nichts, was von einer Seite gelesen wird, wird irgendwohin gesendet. Ihre Master-Passphrase und Ihre entschlüsselten Daten verlassen den Browser nie; an Apiboo geht ausschließlich Chiffrat.
4. Was an Apiboo gesendet wird und warum
Die Erweiterung spricht mit genau zwei Hosts, auth.apiboo.com und api.apiboo.com; sie verweigert das Senden eines Tokens an jede andere Adresse.
Anmeldung. Sie melden sich auf auth.apiboo.com an (OAuth 2.0 mit PKCE). Die Erweiterung erhält auf den Vault beschränkte Tokens und daraus die E-Mail-Adresse Ihres Kontos, die sie im Popup anzeigt (Vertragserfüllung). Ihr verschlüsselter Vault. Die Erweiterung lädt Ihre Vault-Einträge als Chiffrat herunter und hoch, zusammen mit den Verwaltungsdaten, die der Server braucht, um Geräte synchron zu halten (Eintrags-ID, Version, Zeitpunkt). Apiboo kann sie nicht lesen: Auf unserer Seite gibt es keinen Schlüssel (Vertragserfüllung). Geräteeintrag. Dieser Browser wird unter „Geräte“ in Ihrem Apiboo-Konto mit Typ, dem von Ihnen vergebenen Namen und dem Zeitpunkt der letzten Nutzung geführt, damit Sie ihn dort entfernen können (Vertragserfüllung). Website-Symbole. Ist „Website-Symbole anzeigen“ aktiv (Standard), lädt das Popup für jeden angezeigten Eintrag ein Symbol von unserem Symbol-Server und nennt dabei nur die registrierbare Domain des Eintrags (zum Beispiel example.com) — ohne Token, Referrer oder Kontobezug; ein fehlendes Symbol wird einmal pro Domain gemeldet. Schalten Sie die Option ab, erfolgt keine solche Anfrage (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO, an einer lesbaren Liste).
Anfragen an unsere API werden nach IP-Adresse begrenzt; die Adresse wird nur für das Zeitfenster der Begrenzung im Speicher gehalten und nicht gespeichert. Unsere Betriebsprotokolle beschreibt die allgemeine Erklärung.
5. Was wir nicht tun
Keine Analyse, keine Werbung, kein Tracking, kein Browserverlauf. Die Erweiterung zeichnet nicht auf, welche Seiten Sie besuchen, liest Seiten nicht über ihre Anmeldeformulare hinaus, verkauft oder teilt keine personenbezogenen Daten und verwendet sie für nichts anderes als den oben genannten einzigen Zweck.
6. Was in Ihrem Browser gespeichert wird
Ein Anmelde-Token, das nur Chiffrat freigibt, der verschlüsselte Vault-Zwischenspeicher mit seinen Verwaltungsdaten und Ihre Einstellungen (Sperrzeit, Zwischenablage, Website-Symbole, Passkeys an oder aus). Der Vault-Schlüssel liegt im Sitzungsspeicher, den der Browser beim Schließen löscht. Sperren, Abmelden oder Entfernen der Erweiterung löscht die jeweiligen Daten aus diesem Browser.
7. Sperren, Zwischenablage, Passkeys
Der Vault sperrt sich nach der von Ihnen gewählten Leerlaufzeit (Standard 15 Minuten) und bei jedem Neustart des Browsers. Ein kopiertes Passwort oder ein Code wird nach der gewählten Zeit aus der Zwischenablage gelöscht (Standard 30 Sekunden). Passkeys sind standardmäßig eingeschaltet; der Schalter ist eine Einstellung Ihres Vaults (in der Apiboo-Desktop-App unter Einstellungen → Erweiterungen → Vault) und wird mit der Erweiterung synchronisiert. Jede Anmeldung mit Passkey und jedes Anlegen eines Passkeys fragt zuerst um Ihre Zustimmung; ein entsperrter Vault allein genügt nie. Private Passkey-Schlüssel werden ausschließlich innerhalb der Erweiterung zum Signieren verwendet und nie im Klartext angezeigt oder exportiert.
8. Speicherdauer und Löschung
Abmelden entfernt den Vault sofort aus diesem Browser. „Meine Cloud-Kopie löschen“ in der Apiboo-App entfernt den verschlüsselten Vault von unseren Servern; Sicherungen davon werden 30 Tage aufbewahrt und dann gelöscht. Das Löschen Ihres Apiboo-Kontos löscht alles innerhalb von 30 Tagen, wie in der allgemeinen Erklärung beschrieben.
9. Ihre Rechte, Auftragsverarbeiter und Übermittlungen
Diese sind dieselben wie für Ihr Apiboo-Konto und stehen, samt der Aufsichtsbehörde, an die Sie sich wenden können, unter apiboo.com/privacy.
10. Änderungen
Wesentliche Änderungen kündigen wir per E-Mail oder in der App vor Inkrafttreten an. Die jeweils aktuelle Version finden Sie stets unter apiboo.com/privacy/extension.