1. Data Controller

The data controller for this website and platform is:
Agnosphere GmbH
Leopoldstr. 31
80802 Munich, Germany
Email: hello@agnosphere.com

2. Scope

This privacy policy applies to two distinct areas:

• Website — Our public pages (landing page, imprint, privacy policy, terms of service) available to all visitors without authentication.
• Platform — Our authenticated SaaS application at /app and /admin, accessible only to registered users with an active account and valid session.

3. Data We Collect

3.1 Website — Contact Forms

When you submit a contact form, we collect:

• Name
• Email address
• Company name (optional)
• Message content

This data is used solely to respond to your inquiry and is stored securely.

3.2 Website — Analytics & Cookies

We use Google Analytics to understand how visitors use our website. Google Analytics:

• Uses cookies to track visitor behavior
• Collects anonymized IP addresses
• Tracks page views, session duration, and user interactions
• Helps us improve our website experience

Your consent is required before we activate Google Analytics. You can accept or decline cookies via our cookie banner. You can also opt-out anytime by installing the Google Analytics Opt-out Browser Add-on.

Google's privacy policy: https://policies.google.com/privacy

3.3 Website — Cal.com Booking

When you book a consultation via Cal.com, your data is processed by Cal.com according to their privacy policy.

3.4 Platform — Account Data

When you create an account or are invited to the platform, we collect and store:

• Email address
• Display name
• Password (hashed and stored by Firebase Authentication — we never have access to your plaintext password)
• Google OAuth profile data (if you sign in with Google): name, email, profile picture URL
• Unique user identifier (UID)
• Email verification status
• Organization membership and role (admin or member)
• Account creation and last sign-in timestamps
• Service tier, credit balance, and billing cycle information associated with your account

3.5 Platform — Tool Execution Data

When you use our AI-powered tools, we collect:

• Input parameters you provide (e.g., industry, country, company names, recipient names, website URLs)
• AI-generated outputs (research reports, email drafts)
• Credit usage per execution
• Execution logs with timestamps, status, and duration
• The AI model used for each execution
• AI model usage metrics (token counts) and estimated processing costs for internal analytics
• Follow-up chat messages you send on completed reports

3.6 Platform — Organization & Join Data

For organization management, we store:

• Organization name, slug, and status
• Branding settings (title, subtitle, primary color)
• Allowed email addresses and domains for the join link
• Tool access configurations and credit balances

3.7 Platform — Expert Chat Conversations

When you use Expert Chat, we store your conversation history including messages, the selected expert persona, and conversation metadata (title, timestamps). Conversations are stored per organization and subject to the same retention as execution data.

3.8 Platform — Saved Reference Emails

When you save reference emails for the outreach tool, we store the email label and content (up to 20 per user). These are retained for the duration of your active account.

4. Cookies & Local Storage

We use the following cookies and browser storage:

You can withdraw your consent for analytics cookies at any time by clearing your browser's local storage for this website or by clicking the "Manage Cookies" link in our footer.

5. AI Processing (Art. 22 GDPR)

Our platform uses third-party AI models — including Google Gemini, OpenAI, and Anthropic Claude — to generate research reports, outreach emails, and conversational content. When you execute a tool:

• Your input parameters (industry, country, company names, etc.) are sent to one or more AI provider APIs for processing.
• The AI model generates text output (reports, emails) based on your inputs and publicly available information.
• None of these providers use data submitted through their APIs to train or improve their models (Gemini API Terms, OpenAI Business Terms, Anthropic API Terms).
• AI-generated outputs are stored in your organization's execution history.

No automated decision-making with legal or significant effects: The AI generates informational content only. No decisions with legal or similarly significant effects (Art. 22(1) GDPR) are made based on automated processing. All AI-generated content is intended for review by humans and should not be relied upon for legal, financial, or binding decisions without independent verification.

6. Legal Basis for Processing (Art. 6 GDPR)

7. Sub-Processors (Art. 28 GDPR)

We use the following sub-processors to deliver our services:

8. International Data Transfers (Art. 44–49 GDPR)

Some of our sub-processors process data outside the EU/EEA (primarily in the United States). We ensure adequate protection through:

• EU-US Data Privacy Framework (DPF): Google LLC and Vercel Inc. are certified under the EU-US Data Privacy Framework, providing an adequate level of data protection as recognized by the European Commission.
• Standard Contractual Clauses (SCCs): For sub-processors not covered by the DPF — including OpenAI OpCo, LLC and Anthropic, PBC — we rely on EU Standard Contractual Clauses as approved by the European Commission.
• EU-region storage: Our primary database (Cloud Firestore) is hosted in the EU region (europe-west1).

9. Data Retention

• Account data: Retained for the duration of your active account plus 30 days after account deletion.
• Execution logs and outputs: Retained for the duration of the organization's active subscription plus 90 days.
• Expert Chat conversations: Retained for the duration of the organization's active subscription plus 90 days.
• Saved reference emails: Retained for the duration of your active account plus 30 days after account deletion.
• Organization data: Retained for the duration of the active subscription. Archived data (name, billing references) retained for up to 7 years to comply with German commercial and tax law (§ 147 AO, § 257 HGB).
• Contact form submissions: Until your inquiry is resolved plus 30 days.
• Analytics data: 90 days (aggregated, non-personal).
• Rate limiting data: Stored in-memory only; not persisted. Resets on server restart.

10. Your Rights (Art. 15–21 GDPR)

Under GDPR, you have the right to:

• Access (Art. 15): Request a copy of all personal data we hold about you.
• Rectification (Art. 16): Correct inaccurate or incomplete data.
• Erasure (Art. 17): Request deletion of your personal data ("right to be forgotten").
• Restriction (Art. 18): Limit how we process your data.
• Data Portability (Art. 20): Receive your data in a structured, machine-readable format.
• Objection (Art. 21): Object to processing based on legitimate interests.
• Withdraw Consent: Where processing is based on consent, you may withdraw it at any time without affecting the lawfulness of prior processing.

To exercise these rights, contact us at: hello@agnosphere.com

Obligation to Provide Data (Art. 13(2)(e) GDPR): Providing your personal data (name, email address) is a contractual requirement for using the Platform. If you do not provide this data, we cannot create your account or provide our services. There is no statutory obligation to provide personal data.

Supervisory Authority: You have the right to lodge a complaint with a data protection supervisory authority. The competent authority for Agnosphere GmbH is:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach, Germany
www.lda.bayern.de

11. Data Security (Art. 32 GDPR)

We implement appropriate technical and organizational measures to protect your data, including:

• TLS/SSL encryption for all data in transit
• Password hashing via Firebase Authentication (scrypt algorithm)
• HttpOnly and Secure flags on all session cookies
• Role-based access control (RBAC) with organization-level isolation
• Rate limiting on authentication and execution endpoints
• Input validation and sanitization to prevent injection attacks
• View-as privilege restrictions preventing privilege escalation

12. Changes to This Policy

We may update this privacy policy from time to time to reflect changes in our practices or legal requirements. Material changes will be communicated to registered users via email or in-platform notice. The revised policy will be posted on this page with an updated revision date.

13. Contact

For any questions about this privacy policy or our data practices, contact us at:
Agnosphere GmbH
Leopoldstr. 31, 80802 Munich, Germany
Email: hello@agnosphere.com

Datenschutzerklärung

1. Verantwortlicher

Der Verantwortliche für die Datenverarbeitung auf dieser Website und Plattform ist:
Agnosphere GmbH
Leopoldstr. 31
80802 München, Deutschland
E-Mail: hello@agnosphere.com

2. Geltungsbereich

Diese Datenschutzerklärung gilt für zwei Bereiche:

• Website — Unsere öffentlichen Seiten (Startseite, Impressum, Datenschutzerklärung, Nutzungsbedingungen), die allen Besuchern ohne Authentifizierung zugänglich sind.
• Plattform — Unsere authentifizierte SaaS-Anwendung unter /app und /admin, die nur registrierten Nutzern mit aktivem Konto und gültiger Sitzung zugänglich ist.

3. Erhobene Daten

3.1 Website — Kontaktformulare

Bei der Nutzung des Kontaktformulars erheben wir:

• Name
• E-Mail-Adresse
• Firmenname (optional)
• Nachrichteninhalt

Diese Daten werden ausschließlich zur Bearbeitung Ihrer Anfrage verwendet und sicher gespeichert.

3.2 Website — Analyse & Cookies

Wir verwenden Google Analytics, um das Nutzungsverhalten auf unserer Website zu verstehen. Google Analytics:

• Verwendet Cookies zur Erfassung des Besucherverhaltens
• Erfasst anonymisierte IP-Adressen
• Erfasst Seitenaufrufe, Sitzungsdauer und Nutzerinteraktionen
• Hilft uns, die Website-Erfahrung zu verbessern

Google Analytics wird nur mit Ihrer Einwilligung aktiviert. Sie können Cookies über unseren Cookie-Banner akzeptieren oder ablehnen. Sie können außerdem jederzeit das Google Analytics Opt-out Browser-Add-on installieren.

3.3 Website — Cal.com-Buchung

Wenn Sie über Cal.com einen Termin buchen, werden Ihre Daten gemäß der Datenschutzerklärung von Cal.com verarbeitet.

3.4 Plattform — Kontodaten

Wenn Sie ein Konto erstellen oder zur Plattform eingeladen werden, erheben und speichern wir:

• E-Mail-Adresse
• Anzeigename
• Passwort (gehasht und von Firebase Authentication gespeichert — wir haben keinen Zugriff auf Ihr Klartext-Passwort)
• Google-OAuth-Profildaten (bei Anmeldung mit Google): Name, E-Mail, Profilbild-URL
• Eindeutige Benutzerkennung (UID)
• E-Mail-Verifizierungsstatus
• Organisationsmitgliedschaft und Rolle (Admin oder Mitglied)
• Kontoerstellungs- und letzte Anmeldezeitstempel
• Service-Stufe, Credit-Guthaben und Abrechnungszyklus-Informationen zu Ihrem Konto

3.5 Plattform — Tool-Ausführungsdaten

Bei der Nutzung unserer KI-gestützten Tools erheben wir:

• Von Ihnen eingegebene Parameter (z.B. Branche, Land, Firmennamen, Empfängernamen, Website-URLs)
• KI-generierte Ergebnisse (Forschungsberichte, E-Mail-Entwürfe)
• Credit-Verbrauch pro Ausführung
• Ausführungsprotokolle mit Zeitstempeln, Status und Dauer
• Das für jede Ausführung verwendete KI-Modell
• KI-Modell-Nutzungsmetriken (Token-Anzahl) und geschätzte Verarbeitungskosten für interne Analysen
• Folge-Chatnachrichten, die Sie zu abgeschlossenen Berichten senden

3.6 Plattform — Organisations- und Beitrittsdaten

Für die Organisationsverwaltung speichern wir:

• Organisationsname, Slug und Status
• Branding-Einstellungen (Titel, Untertitel, Primärfarbe)
• Zugelassene E-Mail-Adressen und Domains für den Beitrittslink
• Tool-Zugriffskonfigurationen und Credit-Salden

3.7 Plattform — Expert-Chat-Konversationen

Wenn Sie den Expert Chat nutzen, speichern wir Ihren Gesprächsverlauf einschließlich Nachrichten, der gewählten Experten-Persona und Konversationsmetadaten (Titel, Zeitstempel). Konversationen werden pro Organisation gespeichert und unterliegen derselben Aufbewahrungsfrist wie Ausführungsdaten.

3.8 Plattform — Gespeicherte Referenz-E-Mails

Wenn Sie Referenz-E-Mails für das Outreach-Tool speichern, speichern wir die E-Mail-Bezeichnung und den Inhalt (bis zu 20 pro Nutzer). Diese werden für die Dauer Ihres aktiven Kontos aufbewahrt.

4. Cookies & Lokaler Speicher

Wir verwenden folgende Cookies und Browser-Speicher:

5. KI-Verarbeitung (Art. 22 DSGVO)

Unsere Plattform verwendet KI-Modelle von Drittanbietern — darunter Google Gemini, OpenAI und Anthropic Claude — zur Erstellung von Forschungsberichten, Outreach-E-Mails und Gesprächsinhalten. Bei der Ausführung eines Tools:

• Werden Ihre Eingabeparameter (Branche, Land, Firmennamen usw.) an eine oder mehrere KI-Anbieter-APIs zur Verarbeitung gesendet.
• Das KI-Modell generiert Textausgaben (Berichte, E-Mails) basierend auf Ihren Eingaben und öffentlich verfügbaren Informationen.
• Keiner dieser Anbieter verwendet über ihre APIs übermittelte Daten zum Training oder zur Verbesserung ihrer Modelle (Gemini API Nutzungsbedingungen, OpenAI Business Terms, Anthropic API Terms).
• KI-generierte Ergebnisse werden in der Ausführungshistorie Ihrer Organisation gespeichert.

Keine automatisierte Entscheidungsfindung mit rechtlichen oder erheblichen Auswirkungen: Die KI generiert ausschließlich informative Inhalte. Es werden keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 Abs. 1 DSGVO) auf Grundlage automatisierter Verarbeitung getroffen. Alle KI-generierten Inhalte sind zur Überprüfung durch Menschen bestimmt und sollten nicht ohne unabhängige Überprüfung für rechtliche, finanzielle oder verbindliche Entscheidungen herangezogen werden.

6. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

7. Auftragsverarbeiter (Art. 28 DSGVO)

Wir setzen folgende Auftragsverarbeiter zur Erbringung unserer Dienste ein:

8. Internationale Datenübermittlungen (Art. 44–49 DSGVO)

Einige unserer Auftragsverarbeiter verarbeiten Daten außerhalb der EU/des EWR (vorwiegend in den USA). Wir stellen einen angemessenen Schutz sicher durch:

• EU-US-Datenschutzrahmen (DPF): Google LLC und Vercel Inc. sind unter dem EU-US Data Privacy Framework zertifiziert, das von der Europäischen Kommission als angemessenes Datenschutzniveau anerkannt ist.
• Standardvertragsklauseln (SCCs): Für Auftragsverarbeiter, die nicht unter den DPF fallen — darunter OpenAI OpCo, LLC und Anthropic, PBC — stützen wir uns auf die von der Europäischen Kommission genehmigten EU-Standardvertragsklauseln.
• EU-Speicherung: Unsere primäre Datenbank (Cloud Firestore) wird in der EU-Region (europe-west1) gehostet.

9. Datenspeicherung

• Kontodaten: Für die Dauer Ihres aktiven Kontos plus 30 Tage nach Kontolöschung.
• Ausführungsprotokolle und -ergebnisse: Für die Dauer des aktiven Abonnements der Organisation plus 90 Tage.
• Expert-Chat-Konversationen: Für die Dauer des aktiven Abonnements der Organisation plus 90 Tage.
• Gespeicherte Referenz-E-Mails: Für die Dauer Ihres aktiven Kontos plus 30 Tage nach Kontolöschung.
• Organisationsdaten: Für die Dauer des aktiven Abonnements. Archivierte Daten (Name, Abrechnungsreferenzen) werden bis zu 7 Jahre aufbewahrt, um den deutschen handels- und steuerrechtlichen Anforderungen zu entsprechen (§ 147 AO, § 257 HGB).
• Kontaktformular-Einreichungen: Bis zur Erledigung Ihrer Anfrage plus 30 Tage.
• Analysedaten: 90 Tage (aggregiert, nicht personenbezogen).
• Rate-Limiting-Daten: Nur im Arbeitsspeicher gespeichert; nicht persistent. Werden bei Serverneustart zurückgesetzt.

10. Ihre Rechte (Art. 15–21 DSGVO)

Nach der DSGVO haben Sie das Recht auf:

• Auskunft (Art. 15): Anforderung einer Kopie aller über Sie gespeicherten personenbezogenen Daten.
• Berichtigung (Art. 16): Korrektur unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17): Löschung Ihrer personenbezogenen Daten ("Recht auf Vergessenwerden").
• Einschränkung (Art. 18): Einschränkung der Verarbeitung Ihrer Daten.
• Datenübertragbarkeit (Art. 20): Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruch (Art. 21): Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen.
• Widerruf der Einwilligung: Soweit die Verarbeitung auf Einwilligung basiert, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung dieser Rechte kontaktieren Sie uns unter: hello@agnosphere.com

Pflicht zur Bereitstellung von Daten (Art. 13 Abs. 2 lit. e DSGVO): Die Angabe Ihrer personenbezogenen Daten (Name, E-Mail-Adresse) ist eine vertragliche Voraussetzung für die Nutzung der Plattform. Ohne diese Angaben können wir Ihr Konto nicht erstellen und unsere Dienste nicht erbringen. Eine gesetzliche Pflicht zur Bereitstellung personenbezogener Daten besteht nicht.

Aufsichtsbehörde: Sie haben das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzureichen. Die zuständige Behörde für die Agnosphere GmbH ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach, Deutschland
www.lda.bayern.de

11. Datensicherheit (Art. 32 DSGVO)

Wir setzen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten um, darunter:

• TLS/SSL-Verschlüsselung für alle Datenübertragungen
• Passwort-Hashing über Firebase Authentication (Scrypt-Algorithmus)
• HttpOnly- und Secure-Flags bei allen Sitzungscookies
• Rollenbasierte Zugriffskontrolle (RBAC) mit Isolierung auf Organisationsebene
• Rate-Limiting bei Authentifizierungs- und Ausführungsendpunkten
• Eingabevalidierung und -bereinigung zur Verhinderung von Injection-Angriffen
• View-as-Privilegienbeschränkungen zur Verhinderung von Rechteeskalation

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken oder rechtlicher Anforderungen widerzuspiegeln. Wesentliche Änderungen werden registrierten Nutzern per E-Mail oder durch eine Benachrichtigung auf der Plattform mitgeteilt. Die aktualisierte Erklärung wird auf dieser Seite mit einem aktualisierten Überarbeitungsdatum veröffentlicht.

13. Kontakt

Bei Fragen zu dieser Datenschutzerklärung oder unseren Datenpraktiken kontaktieren Sie uns unter:
Agnosphere GmbH
Leopoldstr. 31, 80802 München, Deutschland
E-Mail: hello@agnosphere.com