Datenschutzerklärung

Letzte Aktualisierung: 10. September 2026 (Version 2026-09-10). Es gilt das mexikanische Bundesgesetz zum Schutz personenbezogener Daten im Besitz von Privatpersonen (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), veröffentlicht am 20. März 2025.

Dies ist eine Übersetzung. Maßgeblich ist der spanische Text dieser Erklärung.

Wer für welche Daten verantwortlich ist

RepseShield ist eine Plattform, die von ByShovel LLC betrieben wird, mit Anschrift 3916 N Potsdam Ave, PMB 2219, Sioux Falls, South Dakota 57104, Vereinigte Staaten von Amerika. ByShovel LLC ist Verantwortliche (responsable) für die Verarbeitung der Daten der Personen, die die Plattform nutzen: wer ein Konto anlegt, wer eine Einladung erhält und wer uns schreibt.

Für die Daten von Beschäftigten, die Unternehmen in die Plattform hochladen, ist das hochladende Unternehmen verantwortlich, und ByShovel LLC handelt als Auftragsverarbeiterin (encargada, Artikel 2, Abschnitt XII des Gesetzes): Wir verarbeiten diese Daten im Auftrag dieses Unternehmens und gemäß dieser Erklärung, nicht für eigene Zwecke. Das hängt nicht von einem Vertrag über die Datenverarbeitung ab, den das Kundenunternehmen und sein Dienstleister untereinander schließen: Dieses Dokument regelt die Beziehung zwischen diesen beiden Unternehmen, nicht unsere.

Personenbezogene Daten, die wir verarbeiten

Von Personen, die die Plattform nutzen: vollständiger Name, E-Mail-Adresse, Telefonnummer, wenn ein Administrator ihres Unternehmens sie erfasst, das Unternehmen, dem sie angehören, und ihre Rolle darin, Spracheinstellung sowie technische Sitzungsdaten (IP-Adresse, Zugriffsprotokolle und das Protokoll der Aktionen, die sie in der Plattform ausführen).

Von den Beschäftigten der nutzenden Unternehmen, von diesen hochgeladen: vollständiger Name, CURP (mexikanische Personenkennziffer), NSS (mexikanische Sozialversicherungsnummer), RFC (mexikanische Steuernummer), täglicher Beitragsbemessungslohn (salario base de cotización), Spezialisierung oder Position, Zuordnungen zu Projekten und Baustellen, An- und Abmeldungen (altas y bajas), Schulungsnachweise sowie die elektronischen Lohnabrechnungen (CFDI de nómina) mit Bezügen, Abzügen, Zeiträumen und Zahlungsdaten. Im Modul für die Zugangskontrolle auf Baustellen werden außerdem Ein- und Ausgänge erfasst und, wenn das Gerät ihn liefert, ein ungefährer Standort des Scans.

Außerdem können die Dokumente, die Unternehmen hochladen (Bescheinigungen über die Pflichterfüllung, Eingangsbestätigungen für ICSOE und SISUB, Verträge, Vereinbarungen, Bestätigungen von IMSS und INFONAVIT, Rechnungen und Belege), weitere personenbezogene Daten enthalten, die wir nicht steuern, weil der Aussteller des Dokuments sie festlegt.

Wir erheben keine sensiblen personenbezogenen Daten im Sinne von Artikel 2, Abschnitt VI des Gesetzes, und die Plattform verwendet weder Gesichtserkennung noch Fingerabdrücke. Die Vermögensdaten der Beschäftigten (Lohn, Bezüge) verarbeitet ihr Arbeitgeber, der mit ihnen das Arbeitsverhältnis hat, das diese Daten erforderlich macht.

Wofür wir sie verwenden

Um Ihr Konto anzulegen und zu verwalten und Sie über per E-Mail gesendete Anmeldelinks zu authentifizieren; um die REPSE-Compliance-Unterlagen zwischen Ihrem Unternehmen und seinen Vertragspartnern zu führen; um hochgeladene Dokumente zu klassifizieren und zu prüfen; um Fristen, Ampelstatus und Erinnerungen zu berechnen; um die Berichte und Verteidigungspakete zu erstellen, die das nutzende Unternehmen anfordert; um Sie zu unterstützen; und um die Sicherheit und das Protokoll der Plattform zu gewährleisten. Wir verwenden Ihre Daten nicht für Werbung und verkaufen sie nicht.

Automatisierte Prüfung von Dokumenten

Die Plattform unterzieht hochgeladene Dokumente im PDF- oder Bildformat einer automatisierten Prüfung mit Sprachmodellen: um zu klassifizieren, um welches Dokument es sich handelt und welches Datum es angibt, um zu prüfen, ob ein Vertrag die Klauseln enthält, die Artikel 14 des mexikanischen Bundesarbeitsgesetzes (Ley Federal del Trabajo) verlangt, um die monatlichen Nachweise und die Schulungsnachweise zu prüfen, und für die Analyse der Nachweise über die tatsächliche Leistungserbringung (materialidad). Dafür wird der vollständige Inhalt der Datei, einschließlich der darin enthaltenen personenbezogenen Daten, über OpenRouter, Inc. gesendet, das ihn an den Anbieter des gewählten Modells weitergibt: Anthropic PBC (Claude-Modelle) oder Google LLC (Gemini-Modelle). Hinterlegt das nutzende Unternehmen in der Plattform einen eigenen Schlüssel von Anthropic oder OpenRouter, werden seine Dokumente mit diesem Schlüssel gesendet, im Rahmen des Vertrags, den das Unternehmen mit diesem Anbieter hat. Auch die Transkription der Sprachnachrichten, die das Gründungsteam an den internen Assistenten sendet, nutzt OpenRouter, mit einem Modell von Google.

Tabellen- und CSV-Dateien werden zur Durchsicht durch Menschen gespeichert und an kein Modell gesendet. Keine Entscheidung mit Rechtswirkung wird ausschließlich automatisiert getroffen: Die Ergebnisse des Modells sind Hinweise, die eine Person des nutzenden Unternehmens prüft und annimmt oder ablehnt, und sie werden mit dem Modell, der Version des Prompts und dem Datum gespeichert. Nach Artikel 26, Abschnitt II des Gesetzes können Sie der automatisierten Verarbeitung Ihrer Daten widersprechen, wenn sie für Sie unerwünschte Rechtswirkungen hat oder Ihre Interessen erheblich beeinträchtigt.

Wer in der Plattform was sieht

Ein Dokument wird einmal hochgeladen und ist für das Unternehmen sichtbar, das es hochgeladen hat, sowie für den Vertragspartner jeder Geschäftsbeziehung, in der dieses Unternehmen es teilt. Ein Dienstleister, der mehrere Auftraggeber betreut, legt die Dokumente eines Auftraggebers keinem anderen offen: Jeder Auftraggeber sieht das Dokument nur über seine eigene Geschäftsbeziehung. Ein Unternehmen, das nicht unmittelbarer Vertragspartner ist, sieht die Unterlagen nie. Endet eine Geschäftsbeziehung, ist der Zugriff des Vertragspartners auf das erfasste Beendigungsdatum begrenzt.

Das nutzende Unternehmen kann für eine Kontrolle ein Verteidigungspaket und CSV-Exporte erstellen und Schlüssel für eine Abfrageschnittstelle für sein eigenes System ausgeben. Diese Dateien können Namen, CURP und Lohnbelege von Beschäftigten enthalten und unterliegen ab dem Herunterladen der Kontrolle des Unternehmens, das sie erstellt.

Auftragsverarbeiter und Übermittlungen

Für den Betrieb der Plattform nutzen wir Anbieter, die Daten in unserem Auftrag verarbeiten: Supabase (Datenbank und Speicherung der Dokumente), Fly.io (Ausführung der Anwendung), Cloudflare (Netzwerk und Schutz der Website), Mailgun (Versand und Empfang von E-Mails), OpenRouter, Inc. (Weiterleitung der automatisierten Dokumentenprüfung und Transkription interner Sprachnachrichten), Anthropic PBC und Google LLC (Modelle, die diese Prüfung durchführen) und Telegram (interner Assistent des Gründungsteams). Über diese Auftragsverarbeiter hinaus übermitteln wir Ihre personenbezogenen Daten nicht an Dritte, außer aufgrund einer gesetzlichen Pflicht oder einer Anordnung einer zuständigen Behörde.

Die Anwendung und die Datenbank werden in den Vereinigten Staaten gehostet. Die übrigen Auftragsverarbeiter betreiben globale Netzwerke und können die Daten von anderen Standorten aus verarbeiten; wir garantieren nicht, dass die Verarbeitung ausschließlich in einem Land stattfindet.

Aufbewahrung

Die Plattform löscht Dokumente nicht von sich aus. Archiviert ein Unternehmen ein Dokument, zählt es nicht mehr zu seinen aktuellen Unterlagen, der Eintrag bleibt aber erhalten, weil er belegt, was zu jedem Datum hochgeladen war. Das Prüfprotokoll wird weder bearbeitet noch gelöscht.

Wir bewahren die Informationen für die Dauer der Beziehung zum nutzenden Unternehmen auf und danach, solange die gesetzlichen Aufbewahrungsfristen laufen: fünf Jahre für Lohnunterlagen (Artikel 15, Abschnitt II des Sozialversicherungsgesetzes, Ley del Seguro Social, und Artikel 8 der Verordnung über die Pflichtsozialversicherung der Bauarbeiter, Reglamento del Seguro Social Obligatorio para los Trabajadores de la Construcción) und fünf Jahre für Steuerunterlagen (Artikel 30 des Bundessteuergesetzbuchs, Código Fiscal de la Federación). Nach Ablauf dieser Frist erfolgt die Löschung nach Artikel 10 des Gesetzes, mit der vorherigen Sperrung, die Artikel 24 vorschreibt. Jedes nutzende Unternehmen kann dies im Bereich „Datos personales“ (Personenbezogene Daten) seines Unternehmens einsehen und dazu Anweisungen geben.

Eine Ausnahme wird automatisch ausgeführt: Der ungefähre Standort, der beim Scannen eines Ausweises auf der Baustelle erfasst wird, wird nach zwölf Monaten gelöscht, ohne den Eintrag über Ein- oder Ausgang zu berühren.

Sicherheit

Wir unterhalten administrative, technische und physische Maßnahmen, um personenbezogene Daten gegen Beschädigung, Verlust, Veränderung, Zerstörung oder unbefugten Zugriff zu schützen, gemäß Artikel 18 des Gesetzes: Verschlüsselung bei der Übertragung, Zugriff über authentifizierte Sitzungen und nach Rolle, Trennung der Informationen jedes Unternehmens bei jeder Abfrage und ein Protokoll der ausgeführten Aktionen. Alle, die an der Verarbeitung beteiligt sind, sind zur Vertraulichkeit verpflichtet, auch nach dem Ende ihrer Beziehung zu uns (Artikel 20).

Tritt eine Sicherheitsverletzung ein, die Ihre Vermögens- oder Persönlichkeitsrechte erheblich beeinträchtigt, informieren wir Sie sofort, damit Sie Maßnahmen ergreifen können, gemäß Artikel 19 des Gesetzes. Betrifft die Verletzung Daten von Beschäftigten, die ein nutzendes Unternehmen hochgeladen hat, informieren wir dieses Unternehmen, das diesen Personen gegenüber verantwortlich ist.

ARCO-Rechte und Widerruf der Einwilligung

Sie können Ihre Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch ausüben (ARCO, nach den spanischen Anfangsbuchstaben: acceso, rectificación, cancelación, oposición), Ihre Einwilligung widerrufen oder die Nutzung oder Offenlegung Ihrer Daten einschränken, indem Sie schreiben an hello@repseshield.com. Geben Sie Ihren Namen und ein Mittel für den Empfang von Mitteilungen an, fügen Sie ein Dokument bei, das Ihre Identität oder Ihre Vertretungsbefugnis nachweist, und beschreiben Sie die Daten und das Recht, das Sie ausüben möchten (Artikel 28 des Gesetzes). Wir teilen Ihnen unsere Entscheidung innerhalb von höchstens zwanzig Arbeitstagen (nach dem mexikanischen Kalender) ab Eingang der Anfrage mit und setzen sie, falls sie begründet ist, innerhalb der folgenden fünfzehn Arbeitstage um; beide Fristen können einmal um denselben Zeitraum verlängert werden, wenn der Fall es rechtfertigt, und wir teilen Ihnen mit, wenn das geschieht. Die Ausübung ist kostenlos, abgesehen von den Vervielfältigungs- oder Versandkosten, die Artikel 34 vorsieht.

Wurden die Daten, zu denen Sie Rechte ausüben möchten, von einem Unternehmen als Teil seiner Unterlagen hochgeladen, leiten wir Ihre Anfrage an dieses Unternehmen weiter, das für diese Daten verantwortlich ist, und teilen Ihnen mit, an wen wir sie weitergeleitet haben. In diesem Fall entscheiden wir nicht an seiner Stelle.

Wenn Sie der Auffassung sind, dass Ihr Recht nicht gewahrt wurde, können Sie sich an die Secretaría Anticorrupción y Buen Gobierno (mexikanisches Ministerium für Korruptionsbekämpfung und gute Regierungsführung) wenden, die Behörde, die das Gesetz von 2025 für den Schutz personenbezogener Daten im Besitz von Privatpersonen bestimmt.

Cookies

Die Plattform verwendet ausschließlich notwendige Cookies: das Sitzungscookie, das Sie angemeldet hält, und das Cookie, das Ihre Spracheinstellung speichert. Wir verwenden keine Werbe- oder Tracking-Cookies.

Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Jede Fassung wird mit ihrem Datum auf dieser Seite veröffentlicht, und wesentliche Änderungen werden Kontoinhabern in der Plattform angekündigt, gemäß Artikel 15, Abschnitt VI des Gesetzes.