1. Controller

2. Principles of Processing

We process personal data in accordance with the principles of lawfulness, fairness, transparency, purpose limitation, data minimisation, accuracy, storage limitation, and integrity and confidentiality pursuant to Art. 5 GDPR.

All personal data is processed exclusively within the European Economic Area (EEA). For website statistics we use only a self-hosted, cookie-free analytics tool (Plausible); we do not use any third-party marketing, advertising, or tracking services. No personal data is transferred to countries outside the EEA.

3. Categories of Personal Data

We process the following categories of personal data:

• Account data — email address, hashed password
• Usage data — research questions submitted, reports generated
• Technical data — IP address, browser type, timestamps
• Payment data — transaction records (processed via Mollie; we do not store card details)

4. Legal Bases for Processing

Each processing activity is based on one of the following legal bases:

• Art. 6(1)(b) GDPR — performance of a contract (account creation, research execution)
• Art. 6(1)(f) GDPR — legitimate interests (IT security, error resolution, platform stability)
• Art. 6(1)(c) GDPR — compliance with legal obligations (tax, accounting)

We do not process personal data on the basis of consent for marketing or advertising purposes. We do not use cookies beyond what is technically necessary for session management.

5. How the Service Works — Data Flow

When you submit a research question, the following processing takes place. We describe this in detail so you can understand exactly where your data goes.

6. Recipients and Categories of Recipients

We disclose personal data only where necessary for the purposes described in this Privacy Policy:

• AKI.io GmbH — AI inference provider (processor; data processing agreement pending execution)
• European Search Perspective GmbH (Staan) — search provider (derived queries only)
• Hetzner Online GmbH — infrastructure / hosting provider
• Mollie B.V. — payment processing (Amsterdam, Netherlands 🇳🇱)
• Billie GmbH — Berlin, Germany 🇩🇪. Billie is a B2B "pay by invoice" payment method offered within Mollie's checkout (we have no direct integration with Billie); if you choose it, Billie processes your billing data as an independent controller for its own credit/underwriting decision
• Qonto — invoice generation (Paris, France 🇫🇷); receives your name, email and billing address to issue an invoice for each purchase
• Brevo (Sendinblue) — transactional email delivery (Paris, France 🇫🇷)
• Tax advisers and accountants as required by law

Processors that act on our behalf (e.g. AKI.io, Hetzner) do so only on our documented instructions. The Art. 28 GDPR data processing agreements with these processors are currently being finalised and are not yet executed; until they are, the instruction-only basis described here is contractual intent rather than a concluded agreement. Our payment partners — Mollie, and, for the business "pay by invoice" option, Billie and Qonto — act as independent controllers under their own regulatory obligations; we disclose them here and share only the data necessary for payment and invoicing.

Our service enforces strict per-user access controls: no account — including administrator accounts — can view another user's research questions or reports through the application. At the infrastructure level, a limited number of authorised technical staff may access stored data only where strictly necessary for hosting operation, security, backups, and the resolution of technical faults or legal obligations. Such access is limited to the minimum necessary and subject to confidentiality obligations. In any event, research questions and reports are automatically deleted after 30 days (see Section 14), after which no such data remains available to us. Dominant legal basis: Art. 6(1)(f) GDPR (legitimate interest in operating and securing the service).

7. Account Registration

For registration and authentication, we process your email address and a hashed password. Passwords are hashed with bcrypt and never stored in plaintext.

Dominant legal basis: Art. 6(1)(b) GDPR.

Providing your email address is not a statutory requirement, but it is necessary for the conclusion and performance of the contract: without it we cannot create an account or provide the service. Providing billing details is likewise required to complete a purchase, and — where an invoice is issued — to meet our statutory record-keeping obligations (Art. 13(2)(e) GDPR).

8. Billing and Payments

Payment processing is handled by Mollie B.V., an EU-native payment provider headquartered in Amsterdam, Netherlands. Mollie is regulated by De Nederlandsche Bank (DNB) and processes all payment data within the EU. We do not store credit card numbers or bank details on our servers.

Dominant legal basis: Art. 6(1)(b) GDPR; for statutory retention, Art. 6(1)(c) GDPR.

9. Transactional Emails

We use Brevo (formerly Sendinblue), headquartered in Paris, France, to send transactional emails such as account verification, password resets, and payment confirmations. For this purpose, your email address is shared with Brevo. Brevo processes data exclusively within the EU and is subject to a data processing agreement.

Dominant legal basis: Art. 6(1)(b) GDPR.

10. Technical Logs and Security

Technical logs (IP addresses, timestamps, request metadata) are processed solely to ensure platform security, stability, and error resolution. Logs are automatically deleted after 90 days.

Dominant legal basis: Art. 6(1)(f) GDPR.

11. Privacy-Friendly Analytics — No Advertising, No Tracking Cookies

To understand aggregate traffic, we use Plausible, a privacy-friendly analytics tool that we self-host on our own EU infrastructure (trc.ciata.io). Plausible sets no cookies, collects no personal data, and shares nothing with third parties.

We do not use Google Analytics, Matomo, advertising services, tracking pixels, or third-party cookies. The only data stored in your browser is a session token (JWT) for authentication, held in localStorage.

12. AI Model Training

Your research questions, results, and reports are never used to train AI models — neither by us nor by our AI provider (AKI.io). AKI.io processes prompts exclusively in volatile memory and does not log, store, or analyse customer-provided content.

13. AI Act Transparency Measures

In compliance with EU AI Act Article 50(2), all research reports generated by Deep Research are marked as AI-generated content through three complementary mechanisms:

• Visible labelling — every report and PDF export displays a clear "AI Generated" indicator.
• Invisible digital watermark — each report carries a machine-readable watermark using the VSRMark steganographic algorithm (Unicode Variation Selectors). This watermark is invisible to human readers but can be detected by software.
• Machine-readable provenance block — every report begins with an AI-PROVENANCE comment recording the generator, our organisation, an ai_generated flag, the AI models that processed the request, the generation timestamp, and a truncated hash of the research question.

The embedded watermark contains only technical metadata:

• Producer identifier ("CIATA Deep Research")
• A watermark format version (a fixed protocol identifier, not the software release number)
• An ai_generated: true flag
• The internal job identifier (a random alphanumeric string)
• The UTC timestamp of report generation

No personal data (name, email, IP address, research question) is embedded in the watermark. The watermark cannot be used to identify the user who commissioned the report.

The provenance block additionally contains a question_hash — the first 16 hexadecimal characters of a SHA-256 hash of your research question. It is a one-way value used to tell two reports apart; the question cannot be reconstructed from it, and it does not identify you.

Dominant legal basis: Art. 6(1)(c) GDPR (legal obligation under EU AI Act).

14. Data Retention

Personal data is deleted or anonymised once the processing purpose no longer applies:

• Account data — retained until account deletion
• Research reports — automatically deleted after 30 days, or earlier if you delete them or request erasure
• Technical logs — automatically deleted after 90 days
• Payment records — retained for 10 years per statutory tax obligations (§ 147 AO)

15. Your Rights

You have the following rights under the GDPR:

• Right of access (Art. 15 GDPR)
• Right to rectification (Art. 16 GDPR)
• Right to erasure (Art. 17 GDPR)
• Right to restriction of processing (Art. 18 GDPR)
• Right to data portability (Art. 20 GDPR)
• Right to object to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR)

To exercise any of these rights, contact us at privacy@ciata.io.

16. Supervisory Authority

You have the right under Art. 77 GDPR to lodge a complaint with a data protection supervisory authority — in particular in the Member State of your habitual residence, your place of work, or the place of the alleged infringement. The authority responsible for us is:

17. Automated Decision-Making

No automated decision-making within the meaning of Art. 22 GDPR takes place. AI-generated research reports are informational outputs, not decisions that produce legal or similarly significant effects.

18. Amendments

This Privacy Policy may be updated from time to time. We will notify registered users of material changes by email. Changes are effective when posted on this page.

1. Verantwortlicher

2. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten im Einklang mit den Grundsätzen der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit gemäß Art. 5 DSGVO.

Alle personenbezogenen Daten werden ausschließlich innerhalb des Europäischen Wirtschaftsraums (EWR) verarbeitet. Für Website-Statistiken setzen wir ausschließlich ein selbst gehostetes, cookiefreies Analysetool (Plausible) ein; darüber hinaus verwenden wir keine Marketing-, Werbe- oder Tracking-Dienste Dritter. Es erfolgt keine Übermittlung personenbezogener Daten in Länder außerhalb des EWR.

3. Kategorien personenbezogener Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

• Kontodaten — E-Mail-Adresse, gehashtes Passwort
• Nutzungsdaten — eingereichte Recherchefragen, erstellte Berichte
• Technische Daten — IP-Adresse, Browsertyp, Zeitstempel
• Zahlungsdaten — Transaktionsdaten (verarbeitet über Mollie; Kreditkartendaten werden bei uns nicht gespeichert)

4. Rechtsgrundlagen der Verarbeitung

Jede Verarbeitungstätigkeit stützt sich auf eine der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Kontoerstellung, Durchführung der Recherche)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (IT-Sicherheit, Fehlerbehebung, Plattformstabilität)
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen (Steuer- und Buchführungspflichten)

Wir verarbeiten personenbezogene Daten nicht auf Grundlage einer Einwilligung zu Marketing- oder Werbezwecken. Wir verwenden keine Cookies über das technisch für die Sitzungsverwaltung Notwendige hinaus.

5. Funktionsweise des Dienstes — Datenfluss

Wenn Sie eine Recherchefrage einreichen, finden die folgenden Verarbeitungsschritte statt. Wir beschreiben diese im Detail, damit Sie genau nachvollziehen können, wohin Ihre Daten gehen.

6. Empfänger und Kategorien von Empfängern

Wir geben personenbezogene Daten nur weiter, soweit dies für die in dieser Datenschutzerklärung beschriebenen Zwecke erforderlich ist:

• AKI.io GmbH — KI-Inferenz-Anbieter (Auftragsverarbeiter; Auftragsverarbeitungsvertrag noch nicht abgeschlossen)
• European Search Perspective GmbH (Staan) — Suchanbieter (nur abgeleitete Anfragen)
• Hetzner Online GmbH — Infrastruktur- / Hosting-Anbieter
• Mollie B.V. — Zahlungsabwicklung (Amsterdam, Niederlande 🇳🇱)
• Billie GmbH — Berlin, Deutschland 🇩🇪. Billie ist eine B2B-Zahlungsart „Kauf auf Rechnung", die innerhalb der Mollie-Kasse angeboten wird (wir binden Billie nicht direkt an); bei Auswahl verarbeitet Billie Ihre Rechnungsdaten als eigenständig Verantwortlicher für die eigene Bonitäts-/Underwriting-Entscheidung
• Qonto — Rechnungserstellung (Paris, Frankreich 🇫🇷); erhält Ihren Namen, Ihre E-Mail-Adresse und Ihre Rechnungsadresse zur Erstellung einer Rechnung für jeden Kauf
• Brevo (Sendinblue) — Transaktionaler E-Mail-Versand (Paris, Frankreich 🇫🇷)
• Steuerberater und Buchhalter im gesetzlich vorgeschriebenen Umfang

Auftragsverarbeiter, die in unserem Auftrag handeln (z. B. AKI.io, Hetzner), tun dies ausschließlich auf unsere dokumentierten Weisungen. Die Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO mit diesen Auftragsverarbeitern werden derzeit finalisiert und sind noch nicht abgeschlossen; bis dahin beschreibt die hier dargestellte Weisungsbindung eine vertragliche Absicht und keinen geschlossenen Vertrag. Unsere Zahlungspartner — Mollie sowie, für die B2B-Option „Kauf auf Rechnung", Billie und Qonto — handeln als eigenständig Verantwortliche im Rahmen ihrer eigenen regulatorischen Pflichten; wir nennen sie hier und übermitteln nur die für Zahlung und Rechnungsstellung erforderlichen Daten.

Unser Dienst setzt strikte nutzerbezogene Zugriffskontrollen um: Kein Konto – auch keine Administratorkonten – kann über die Anwendung auf Recherchefragen oder Berichte anderer Nutzer zugreifen. Auf Infrastrukturebene kann eine begrenzte Zahl autorisierter technischer Mitarbeiter auf gespeicherte Daten nur zugreifen, soweit dies für den Betrieb, die Sicherheit, die Datensicherung sowie die Behebung technischer Störungen oder zur Erfüllung rechtlicher Pflichten zwingend erforderlich ist. Der Zugriff ist auf das notwendige Minimum beschränkt und unterliegt Vertraulichkeitsverpflichtungen. Recherchefragen und Berichte werden ohnehin nach 30 Tagen automatisch gelöscht (siehe Abschnitt 14); danach stehen uns diese Daten nicht mehr zur Verfügung. Vorrangige Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb und an der Sicherheit des Dienstes).

7. Kontoregistrierung

Für die Registrierung und Authentifizierung verarbeiten wir Ihre E-Mail-Adresse und ein gehashtes Passwort. Passwörter werden mit bcrypt gehasht und niemals im Klartext gespeichert.

Vorrangige Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Die Angabe Ihrer E-Mail-Adresse ist nicht gesetzlich vorgeschrieben, für den Abschluss und die Durchführung des Vertrages jedoch erforderlich: ohne sie können wir kein Konto anlegen und den Dienst nicht erbringen. Die Angabe der Rechnungsdaten ist ebenfalls erforderlich, um einen Kauf abzuschließen und — soweit eine Rechnung ausgestellt wird — unseren gesetzlichen Aufbewahrungspflichten nachzukommen (Art. 13 Abs. 2 lit. e DSGVO).

8. Abrechnung und Zahlungen

Die Zahlungsabwicklung erfolgt über Mollie B.V., einen EU-nativen Zahlungsdienstleister mit Hauptsitz in Amsterdam, Niederlande. Mollie wird von De Nederlandsche Bank (DNB) reguliert und verarbeitet alle Zahlungsdaten innerhalb der EU. Kreditkartennummern oder Bankverbindungsdaten werden auf unseren Servern nicht gespeichert.

Vorrangige Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die gesetzliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

9. Transaktions-E-Mails

Wir nutzen Brevo (ehemals Sendinblue) mit Hauptsitz in Paris, Frankreich, für den Versand transaktionaler E-Mails wie Kontobestätigungen, Passwortzurücksetzungen und Zahlungsbestätigungen. Zu diesem Zweck wird Ihre E-Mail-Adresse an Brevo übermittelt. Brevo verarbeitet Daten ausschließlich innerhalb der EU und unterliegt einem Auftragsverarbeitungsvertrag.

Vorrangige Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Technische Protokolle und Sicherheit

Technische Protokolle (IP-Adressen, Zeitstempel, Anfrage-Metadaten) werden ausschließlich zur Gewährleistung der Plattformsicherheit, Stabilität und Fehlerbehebung verarbeitet. Protokolle werden nach 90 Tagen automatisch gelöscht.

Vorrangige Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

11. Datenschutzfreundliche Analyse — keine Werbung, keine Tracking-Cookies

Zur Messung des aggregierten Website-Traffics setzen wir Plausible ein — ein datenschutzfreundliches Analysetool, das wir auf unserer eigenen EU-Infrastruktur selbst hosten (trc.ciata.io). Plausible setzt keine Cookies, erhebt keine personenbezogenen Daten und gibt nichts an Dritte weiter.

Wir verwenden kein Google Analytics, kein Matomo, keine Werbedienste, keine Tracking-Pixel und keine Drittanbieter-Cookies. Die einzige in Ihrem Browser gespeicherte Information ist ein Sitzungstoken (JWT) zur Authentifizierung, der in localStorage gehalten wird.

12. KI-Modelltraining

Ihre Recherchefragen, Ergebnisse und Berichte werden niemals zum Training von KI-Modellen verwendet — weder durch uns noch durch unseren KI-Anbieter (AKI.io). AKI.io verarbeitet Prompts ausschließlich im flüchtigen Speicher und protokolliert, speichert oder analysiert keine vom Kunden bereitgestellten Inhalte.

13. Transparenzmaßnahmen nach dem KI-Gesetz der EU

In Übereinstimmung mit Art. 50 Abs. 2 der KI-Verordnung der EU werden alle von Deep Research erstellten Rechercheberichte durch drei sich ergänzende Mechanismen als KI-generierte Inhalte gekennzeichnet:

• Sichtbare Kennzeichnung — jeder Bericht und jeder PDF-Export zeigt einen deutlichen „KI-generiert"-Hinweis.
• Unsichtbares digitales Wasserzeichen — jeder Bericht enthält ein maschinenlesbares Wasserzeichen auf Basis des VSRMark-Algorithmus (steganographisch mittels Unicode Variation Selectors). Dieses Wasserzeichen ist für das menschliche Auge unsichtbar, kann aber durch Software erkannt werden.
• Maschinenlesbarer Provenienz-Block — jeder Bericht beginnt mit einem AI-PROVENANCE-Kommentar, der den Generator, unser Unternehmen, ein ai_generated-Flag, die KI-Modelle, die die Anfrage verarbeitet haben, den Erstellungszeitstempel sowie einen gekürzten Hash der Recherchefrage festhält.

Das eingebettete Wasserzeichen enthält ausschließlich technische Metadaten:

• Herstellerkennung („CIATA Deep Research")
• Eine Wasserzeichen-Formatversion (feste Protokollkennung, nicht die Softwareversion)
• Ein ai_generated: true-Flag
• Die interne Auftragskennung (eine zufällige alphanumerische Zeichenkette)
• Der UTC-Zeitstempel der Berichterstellung

Keine personenbezogenen Daten (Name, E-Mail-Adresse, IP-Adresse, Recherchefrage) sind in das Wasserzeichen eingebettet. Das Wasserzeichen kann nicht dazu verwendet werden, die Person zu identifizieren, die den Bericht in Auftrag gegeben hat.

Der Provenienz-Block enthält zusätzlich einen question_hash — die ersten 16 Hexadezimalzeichen eines SHA-256-Hashes Ihrer Recherchefrage. Es handelt sich um einen Einwegwert, mit dem sich zwei Berichte unterscheiden lassen; die Frage kann daraus nicht rekonstruiert werden, und er identifiziert Sie nicht.

Vorrangige Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung nach der KI-Verordnung der EU).

14. Speicherdauer

Personenbezogene Daten werden gelöscht oder anonymisiert, sobald der Verarbeitungszweck entfällt:

• Kontodaten — Aufbewahrung bis zur Kontolöschung
• Rechercheberichte — automatische Löschung nach 30 Tagen, oder früher, wenn Sie diese löschen oder die Löschung verlangen
• Technische Protokolle — automatische Löschung nach 90 Tagen
• Zahlungsunterlagen — Aufbewahrung für 10 Jahre gemäß steuerrechtlicher Aufbewahrungspflichten (§ 147 AO)

15. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an privacy@ciata.io.

16. Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzureichen — insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

17. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. KI-generierte Rechercheberichte sind informatorische Ausgaben und keine Entscheidungen, die rechtliche oder in ähnlicher Weise erhebliche Wirkung entfalten.

18. Änderungen

Diese Datenschutzerklärung kann von Zeit zu Zeit aktualisiert werden. Über wesentliche Änderungen werden registrierte Nutzer per E-Mail informiert. Änderungen werden mit der Veröffentlichung auf dieser Seite wirksam.