Privacy Policy – cinify Integrations

Google user data (cinify application)

cinify is a business intelligence platform for healthcare practices, operated by cinify GmbH, Knappschaftsstraße 2, 45886 Gelsenkirchen, Germany. Business customers can connect their own Google accounts to cinify via Google OAuth. This section describes how the cinify application accesses, uses, stores, shares and deletes data received from Google APIs (“Google user data”).

cinify processes this data on behalf of the customer under a data processing agreement (Art. 28 GDPR). The customer remains the controller of the data in its Google accounts and in its cinify account.

Data we access

Depending on the integration the customer sets up, cinify requests the following permissions:

• Google Analytics (analytics.readonly): aggregated reporting data of the GA4 properties the user selects, e.g. users, sessions, page views, bounce rate, events, traffic source/medium, landing pages, city-level location and Google Ads campaign dimensions.
• Google Search Console (webmasters.readonly): search performance data of the sites the user selects, i.e. clicks, impressions and position by date, page and search query.
• Google Ads (adwords): performance data of the ad accounts the user selects, i.e. campaign and ad group names and IDs, cost, clicks, impressions, click-through rate, CPC/CPM and conversions by date and device. cinify does not create, change or delete campaigns or any other Google Ads settings.
• Google Drive (drive.file): only files that the user creates with cinify (e.g. exported reports) or explicitly selects in cinify. cinify cannot see any other files in the user's Drive.

In addition, cinify stores the OAuth access and refresh tokens issued by Google to keep the connection active. cinify does not request access to the user's Google profile, email address or contacts.

How we use the data

Google user data is used solely to provide the features the customer has set up: importing the data into the customer's own cinify data warehouse, displaying it in the customer's dashboards, reports and analyses, and storing or reading files in Google Drive at the user's request.

When a user asks cinifyAI, our AI assistant, about this data, the relevant data is processed by our AI provider as our processor solely to answer that request. By default this is Edgeless Systems GmbH (Privatemode, confidential computing in a data centre in Paris, France); alternatively T-Systems International GmbH or IONOS SE in Germany. The providers do not store the data permanently and do not use it to train their models.

We do not use Google user data for advertising, we do not sell it, and we do not use it to develop, improve or train generalized AI or machine learning models.

Storage and protection

Google user data is stored on servers of IONOS SE in Germany. For customers on our Swiss instance, it is stored with Exoscale (Akenes SA) in Zurich, Switzerland. Data is encrypted in transit (TLS 1.2 or higher) and at rest; OAuth tokens are additionally encrypted at application level.

Access is limited to the authorized users of the respective customer account. cinify staff can only access a customer's data with the customer's explicit, time-limited approval in cinify (for example for support), for security purposes such as investigating abuse, or where required by law.

Sharing

We do not share Google user data with third parties, except:

• with processors bound by a data processing agreement that we need to operate cinify: IONOS SE (hosting, Germany), Akenes SA / Exoscale (hosting of the Swiss instance, Switzerland) and the AI providers named above;
• when the customer instructs us to, for example by exporting a report;
• where required by law.

Retention and deletion

Google user data is kept for as long as the integration is active. When the customer removes a Google integration in cinify, the stored tokens and the imported data are deleted. If published data sets still use the imported data, cinify asks the customer to withdraw them first. Content the customer has created from the data, such as their own analyses, dashboards, reports, exports or cinifyAI chats, remains in the customer's account under the customer's control and is deleted when the customer deletes it or the contract ends. Remaining copies in our encrypted database backups are overwritten within 7 days (14 days on the Swiss instance). When the contract ends, all data is deleted in accordance with the data processing agreement.

Users can revoke cinify's access at any time at myaccount.google.com/permissions. cinify then no longer retrieves new data; data already imported is deleted as described above once the integration is removed in cinify. Deletion requests can be sent to the contacts below.

Limited Use

cinify's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Contact

You have the rights under the GDPR to access, rectification, erasure, restriction of processing, data portability and objection, and the right to lodge a complaint with a supervisory authority.

Welche Daten wir abrufen

Je nach eingerichteter Integration fragt cinify folgende Berechtigungen an:

• Google Analytics (analytics.readonly): aggregierte Berichtsdaten der ausgewählten GA4-Properties, z. B. Nutzer, Sitzungen, Seitenaufrufe, Absprungrate, Ereignisse, Quelle/Medium, Landingpages, Standort auf Stadtebene und Google-Ads-Kampagnendimensionen.
• Google Search Console (webmasters.readonly): Leistungsdaten der ausgewählten Websites, d. h. Klicks, Impressionen und Position nach Datum, Seite und Suchanfrage.
• Google Ads (adwords): Leistungsdaten der ausgewählten Werbekonten, d. h. Namen und IDs von Kampagnen und Anzeigengruppen, Kosten, Klicks, Impressionen, Klickrate, CPC/CPM und Conversions nach Datum und Gerät. cinify legt in Google Ads keine Kampagnen oder sonstigen Einstellungen an und ändert oder löscht sie nicht.
• Google Drive (drive.file): ausschließlich Dateien, die mit cinify erstellt (z. B. exportierte Berichte) oder in cinify ausdrücklich ausgewählt wurden. Auf andere Dateien hat cinify keinen Zugriff.

Zusätzlich speichert cinify die von Google ausgestellten Zugriffs- und Aktualisierungstoken, um die Verbindung aufrechtzuerhalten. cinify fragt keinen Zugriff auf Google-Profil, E-Mail-Adresse oder Kontakte an.

Wofür wir die Daten nutzen

Google-Nutzerdaten werden ausschließlich für die vom Kunden eingerichteten Funktionen verwendet: Import in das kundeneigene cinify-Data-Warehouse, Anzeige in Dashboards, Berichten und Auswertungen des Kunden sowie Ablage und Abruf von Dateien in Google Drive auf Veranlassung der Nutzenden.

Stellt jemand cinifyAI, unserem KI-Assistenten, eine Frage zu diesen Daten, verarbeitet unser KI-Anbieter die dafür nötigen Daten als unser Auftragsverarbeiter ausschließlich, um diese Anfrage zu beantworten. Standardmäßig ist das die Edgeless Systems GmbH (Privatemode, Confidential Computing in einem Rechenzentrum in Paris, Frankreich), alternativ die T-Systems International GmbH oder die IONOS SE in Deutschland. Die Anbieter speichern die Daten nicht dauerhaft und verwenden sie nicht zum Training ihrer Modelle.

Wir nutzen Google-Nutzerdaten nicht für Werbung, verkaufen sie nicht und verwenden sie nicht, um allgemeine KI- oder Machine-Learning-Modelle zu entwickeln, zu verbessern oder zu trainieren.

Speicherung und Schutz

Google-Nutzerdaten werden auf Servern der IONOS SE in Deutschland gespeichert, für Kunden auf unserer Schweizer Instanz bei Exoscale (Akenes SA) in Zürich. Die Daten sind bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand verschlüsselt, die Token zusätzlich auf Anwendungsebene.

Zugriff haben nur die berechtigten Nutzenden des jeweiligen Kundenkontos. Mitarbeitende von cinify können nur mit ausdrücklicher, befristeter Freigabe des Kunden in cinify (z. B. für den Support), zu Sicherheitszwecken wie der Aufklärung von Missbrauch oder bei einer gesetzlichen Pflicht auf die Daten zugreifen.

Weitergabe

Wir geben Google-Nutzerdaten nicht an Dritte weiter, ausgenommen:

• an Auftragsverarbeiter, die wir für den Betrieb von cinify benötigen und die an einen Auftragsverarbeitungsvertrag gebunden sind: IONOS SE (Hosting, Deutschland), Akenes SA / Exoscale (Hosting der Schweizer Instanz, Schweiz) und die oben genannten KI-Anbieter;
• auf Weisung des Kunden, etwa beim Export eines Berichts;
• wenn eine gesetzliche Pflicht besteht.

Aufbewahrung und Löschung

Google-Nutzerdaten werden gespeichert, solange die Integration aktiv ist. Entfernt der Kunde eine Google-Integration in cinify, werden die gespeicherten Token und die importierten Daten gelöscht. Nutzen veröffentlichte Data-Sets die importierten Daten noch, fordert cinify den Kunden auf, diese zuerst zurückzuziehen. Inhalte, die der Kunde aus den Daten erstellt hat, etwa eigene Auswertungen, Dashboards, Berichte, Exporte oder cinifyAI-Chats, bleiben unter seiner Verantwortung in seinem Konto und werden gelöscht, wenn er sie löscht oder der Vertrag endet. Verbleibende Kopien in den verschlüsselten Datenbanksicherungen werden innerhalb von 7 Tagen überschrieben (Schweizer Instanz: 14 Tage). Bei Vertragsende werden alle Daten gemäß Auftragsverarbeitungsvertrag gelöscht.

Den Zugriff von cinify können Nutzende jederzeit unter myaccount.google.com/permissions widerrufen. cinify ruft dann keine neuen Daten mehr ab; bereits importierte Daten werden wie oben beschrieben gelöscht, sobald die Integration in cinify entfernt wird. Löschanfragen richten Sie an die unten genannten Kontakte.

Limited Use

Die Nutzung und Weitergabe von Informationen, die cinify über Google-APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Kontakt

Ihnen stehen die Rechte nach der DSGVO auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren.