Privacy policy
This policy explains which personal data is processed when you use the BESSflow web application (app.bessflow.app), for which purposes, on which legal basis, and which rights you have under the EU General Data Protection Regulation (GDPR).
1. Controller
CapsTech Engineering Services UG (haftungsbeschränkt)
[to be completed: street and number]
[to be completed: postcode and city]
Germany
Managing director: Kapil Jadhav
Email: support@bessflowapp.com
We have not appointed a data protection officer, as we are not legally required to. For all data protection questions please write to support@bessflowapp.com.
2. Our role: controller and processor
BESSflow is used by organizations (our customers) that invite their staff and partners. We are the controller for the data needed to run user accounts, sign-in, security and the service itself (sections 3 to 7). The project content an organization enters (sites, technical and financial data, documents, comments) is processed by us on behalf of that organization under a data processing agreement (Art. 28 GDPR); for this content the organization is the controller, and requests about it should be sent to the organization first.
3. Accessing the application (server logs)
When you open the application, our hosting provider Vercel processes technical data that your browser sends: IP address, date and time, the page or file requested, browser and operating system, and the referring page. This is necessary to deliver the pages and to detect and defend against attacks. Reports of blocked content (Content-Security-Policy reports) are written to the server log with the page address without its query part. Legal basis: Art. 6(1)(f) GDPR (our legitimate interest in a secure and working service). The logs are kept only for the short period of Vercel's log retention (at most 30 days).
4. User account and sign-in
There is no public registration. An administrator of your organization (or, for the first administrator, the BESSflow team) invites you with your email address. We process:
- Account data: email address, password (stored by our provider Supabase only as a hash, never readable by us), time of invitation and sign-ins, and who invited you
- Profile data: full name, company, country, job title, profile photo and initials (as far as you or your administrator enter them)
- Access data: your organization, your organization role and your project roles
Purpose: sign-in, access control and working together in projects. Legal basis: Art. 6(1)(b) GDPR where you are our contractual partner; otherwise Art. 6(1)(f) GDPR, our and your organization's legitimate interest in providing the service the organization has contracted for.
Invitation and password reset emails are sent through Supabase Auth using our email delivery provider [to be completed: email delivery provider].
Profile photos are shown through a link that does not require signing in: anyone who knows the exact link can view the photo. Uploading a photo is optional.
5. Project activity and notifications
To make collaboration traceable, the application records who changed what in a project and when, comments, workflow status changes, uploaded files with their uploader, and notifications to project members. Legal basis: Art. 6(1)(f) GDPR (traceable collaboration within the organization) and, for the organization's content, the data processing agreement.
6. Maps (Mapbox)
Maps and satellite images are loaded by your browser directly from Mapbox, Inc., USA. Mapbox therefore receives your IP address, the map area requested and technical browser data, and the map library sends technical usage events (for example map loads) to Mapbox. The map library may also keep a technical identifier for these usage events in your browser's local storage. Text typed into the map's place search (an address, town or postcode) is sent to Mapbox to find the place; it is not stored by BESSflow. Maps are an essential part of site selection and layout. Legal basis: Art. 6(1)(f) GDPR. Transfers to the USA are based on the EU-US Data Privacy Framework, where the recipient is certified, and on the EU Standard Contractual Clauses. Mapbox privacy policy: mapbox.com/legal/privacy.
7. Fonts (Google Fonts)
The application loads the Inter font from Google's servers (Google Ireland Limited, Ireland; Google LLC, USA). Your browser therefore sends your IP address and technical browser data to Google. Legal basis: Art. 6(1)(f) GDPR (a consistent and readable display). Transfers to the USA are based on the EU-US Data Privacy Framework. Google privacy policy: policies.google.com/privacy.
8. Location services without personal data
For solar yield, our server sends the coordinates of a site and the module orientation to PVGIS of the European Commission's Joint Research Centre. These requests contain no personal data and are not made from your browser.
9. Cookies and storage in your browser
We do not use tracking or advertising cookies and no analytics tools.
- Sign-in session (cookie set by the Supabase client): keeps you signed in until you sign out. Strictly necessary for the service you request (§ 25(2) no. 2 TDDDG).
- Preferences (local storage): light or dark theme, last chosen report chapters, expanded sections.
- Drafts (session storage, deleted when the tab is closed): the draft of a new project and the selected site while the project wizard is open.
- Mapbox (local storage): see section 6.
10. Recipients and processors
We use the following service providers, bound by data processing agreements. Personal data is not sold or passed on for advertising.
| Provider | Purpose | Location of data |
|---|---|---|
| Supabase, Inc. (USA) | Database, sign-in, file storage, sending invitation and password emails | EU (Frankfurt) |
| Vercel Inc. (USA) | Hosting of the application and its server functions | EU (Frankfurt) for server functions; pages are delivered through Vercel's worldwide network |
| Mapbox, Inc. (USA) | Maps and satellite images (section 6) | USA |
| Google Ireland Limited / Google LLC | Fonts (section 7) | EU / USA |
| [to be completed: email delivery provider] | Delivery of invitation and password emails | [to be completed: location] |
Where a provider is based in the USA or may access data from there, the transfer is based on the EU-US Data Privacy Framework (where the provider is certified) and on the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR).
11. Storage period
Account and profile data is kept while your account exists. When your organization removes you, your sign-in is disabled immediately; your name stays visible in the project history of that organization until the organization's data is deleted or you ask us to delete or anonymize it. Organization and project data is deleted when the organization deletes it, or [to be completed: period, e.g. 30 days] after the end of the customer contract. Statutory retention duties (for example for invoices) remain unaffected.
12. Your rights
You have the right to:
- access your personal data (Art. 15 GDPR)
- have incorrect data corrected (Art. 16 GDPR)
- have your data deleted (Art. 17 GDPR) or its processing restricted (Art. 18 GDPR)
- receive your data in a common machine-readable format (Art. 20 GDPR)
- object at any time, on grounds relating to your particular situation, to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR)
- lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), in particular in the EU member state of your residence or workplace. The authority responsible for us is [to be completed: supervisory authority of our federal state].
To exercise your rights, write to support@bessflowapp.com.
Providing your data is not required by law. Without an email address and name, however, an account cannot be created. We do not use automated decision-making or profiling.
13. Security
All connections are encrypted (HTTPS). Access to data is checked by the database for every request, so that each organization only sees its own data and each user only the projects they have been given access to.
14. Business contacts and sales
If you are a contact person at a company that is interested in BESSflow or that we approach, we store your name, job title, business contact details (email, phone, professional network profile), our notes on conversations, calls and meetings with you, and whether and when you agreed to receive information about BESSflow by email and were informed about this processing. Purpose: starting and managing the business relationship with your employer. Legal basis: Art. 6(1)(b) GDPR where you asked for an offer or a pilot, otherwise Art. 6(1)(f) GDPR (our legitimate interest in business contact with companies). Source: you, your employer or publicly available business sources (for example company websites, professional networks, trade fairs).
We send promotional email only with your consent (§ 7(2) No. 2 UWG), which you can withdraw at any time with effect for the future. Only BESSflow staff can access this data; it is stored with our database provider (section 10). We delete it when it is no longer needed for the business relationship, at the latest 24 months after the last contact, unless your employer becomes a customer or statutory retention duties apply (for example six years for business letters such as quotes). You can object to this processing at any time (Art. 21 GDPR).
15. Changes
We update this policy when the application or the law changes. The current version is always available on this page.
Version of 2026-10-23
Datenschutzerklärung
Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung der Webanwendung BESSflow (app.bessflow.app) verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Sie nach der Datenschutz-Grundverordnung (DSGVO) haben.
1. Verantwortlicher
CapsTech Engineering Services UG (haftungsbeschränkt)
[to be completed: street and number]
[to be completed: postcode and city]
Germany
Geschäftsführer: Kapil Jadhav
E-Mail: support@bessflowapp.com
Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu gesetzlich nicht verpflichtet sind. Für alle Fragen zum Datenschutz schreiben Sie bitte an support@bessflowapp.com.
2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter
BESSflow wird von Organisationen (unseren Kunden) genutzt, die ihre Mitarbeitenden und Partner einladen. Für die Daten, die für Benutzerkonten, Anmeldung, Sicherheit und den Betrieb des Dienstes nötig sind (Abschnitte 3 bis 7), sind wir Verantwortlicher. Die Projektinhalte, die eine Organisation eingibt (Standorte, technische und finanzielle Daten, Dokumente, Kommentare), verarbeiten wir im Auftrag dieser Organisation auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO); für diese Inhalte ist die Organisation verantwortlich, und Anfragen dazu richten Sie bitte zuerst an sie.
3. Aufruf der Anwendung (Server-Logs)
Beim Aufruf der Anwendung verarbeitet unser Hosting-Anbieter Vercel technische Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, die angeforderte Seite oder Datei, Browser und Betriebssystem sowie die zuvor besuchte Seite. Das ist nötig, um die Seiten auszuliefern und Angriffe zu erkennen und abzuwehren. Meldungen über blockierte Inhalte (Content-Security-Policy-Berichte) werden mit der Seitenadresse ohne ihren Abfrageteil ins Server-Log geschrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und funktionierenden Dienst). Die Logs werden nur für die kurze Aufbewahrungsdauer von Vercel gespeichert (höchstens 30 Tage).
4. Benutzerkonto und Anmeldung
Eine öffentliche Registrierung gibt es nicht. Ein Administrator Ihrer Organisation (beim ersten Administrator das BESSflow-Team) lädt Sie mit Ihrer E-Mail-Adresse ein. Wir verarbeiten:
- Kontodaten: E-Mail-Adresse, Passwort (bei unserem Anbieter Supabase nur als Hash gespeichert, für uns nie lesbar), Zeitpunkt der Einladung und der Anmeldungen sowie wer Sie eingeladen hat
- Profildaten: vollständiger Name, Unternehmen, Land, Funktion, Profilbild und Initialen (soweit Sie oder Ihr Administrator sie eingeben)
- Zugriffsdaten: Ihre Organisation, Ihre Rolle in der Organisation und Ihre Rollen in Projekten
Zweck: Anmeldung, Zugriffssteuerung und Zusammenarbeit in Projekten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie unser Vertragspartner sind; im Übrigen Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse und das Ihrer Organisation an der Erbringung des von der Organisation beauftragten Dienstes.
Einladungs- und Passwort-E-Mails werden über Supabase Auth mit unserem E-Mail-Versanddienst [to be completed: email delivery provider] versendet.
Profilbilder werden über einen Link angezeigt, der keine Anmeldung erfordert: Wer den genauen Link kennt, kann das Bild sehen. Das Hochladen eines Profilbilds ist freiwillig.
5. Projektaktivität und Benachrichtigungen
Damit die Zusammenarbeit nachvollziehbar ist, speichert die Anwendung, wer was in einem Projekt wann geändert hat, Kommentare, Statusänderungen im Workflow, hochgeladene Dateien mit der hochladenden Person sowie Benachrichtigungen an Projektmitglieder. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (nachvollziehbare Zusammenarbeit innerhalb der Organisation) und, für die Inhalte der Organisation, der Auftragsverarbeitungsvertrag.
6. Karten (Mapbox)
Karten und Satellitenbilder lädt Ihr Browser direkt von Mapbox, Inc., USA. Mapbox erhält dabei Ihre IP-Adresse, den angefragten Kartenausschnitt und technische Browserdaten; die Kartenbibliothek sendet außerdem technische Nutzungsereignisse (zum Beispiel das Laden einer Karte) an Mapbox. Dafür kann sie eine technische Kennung im lokalen Speicher Ihres Browsers ablegen. Text, den Sie in die Ortssuche der Karte eingeben (Adresse, Ort oder Postleitzahl), wird zur Suche an Mapbox gesendet; BESSflow speichert ihn nicht. Karten sind ein wesentlicher Bestandteil der Standortauswahl und der Layoutplanung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und der EU-Standardvertragsklauseln. Datenschutzerklärung von Mapbox: mapbox.com/legal/privacy.
7. Schriftarten (Google Fonts)
Die Anwendung lädt die Schriftart Inter von Servern von Google (Google Ireland Limited, Irland; Google LLC, USA). Ihr Browser übermittelt dabei Ihre IP-Adresse und technische Browserdaten an Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche und gut lesbare Darstellung). Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework. Datenschutzerklärung von Google: policies.google.com/privacy.
8. Standortdienste ohne personenbezogene Daten
Für den Solarertrag sendet unser Server die Koordinaten eines Standorts und die Modulausrichtung an PVGIS der Gemeinsamen Forschungsstelle der Europäischen Kommission. Diese Anfragen enthalten keine personenbezogenen Daten und werden nicht aus Ihrem Browser gestellt.
9. Cookies und Speicher in Ihrem Browser
Wir verwenden keine Tracking- oder Werbe-Cookies und keine Analysewerkzeuge.
- Anmeldesitzung (Cookie des Supabase-Clients): hält Sie angemeldet, bis Sie sich abmelden. Unbedingt erforderlich für den von Ihnen gewünschten Dienst (§ 25 Abs. 2 Nr. 2 TDDDG).
- Einstellungen (lokaler Speicher): helles oder dunkles Design, zuletzt gewählte Berichtskapitel, aufgeklappte Bereiche.
- Entwürfe (Sitzungsspeicher, wird beim Schließen des Tabs gelöscht): der Entwurf eines neuen Projekts und der gewählte Standort, solange der Projektassistent geöffnet ist.
- Mapbox (lokaler Speicher): siehe Abschnitt 6.
10. Empfänger und Auftragsverarbeiter
Wir setzen die folgenden Dienstleister ein, die durch Auftragsverarbeitungsverträge gebunden sind. Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben.
| Anbieter | Zweck | Speicherort der Daten |
|---|---|---|
| Supabase, Inc. (USA) | Datenbank, Anmeldung, Dateispeicher, Versand von Einladungs- und Passwort-E-Mails | EU (Frankfurt) |
| Vercel Inc. (USA) | Hosting der Anwendung und ihrer Serverfunktionen | EU (Frankfurt) für Serverfunktionen; Seiten werden über das weltweite Netz von Vercel ausgeliefert |
| Mapbox, Inc. (USA) | Karten und Satellitenbilder (Abschnitt 6) | USA |
| Google Ireland Limited / Google LLC | Schriftarten (Abschnitt 7) | EU / USA |
| [to be completed: email delivery provider] | Zustellung von Einladungs- und Passwort-E-Mails | [to be completed: location] |
Soweit ein Anbieter in den USA sitzt oder von dort auf Daten zugreifen kann, erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist) und der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
11. Speicherdauer
Konto- und Profildaten werden gespeichert, solange Ihr Konto besteht. Entfernt Ihre Organisation Sie, wird Ihre Anmeldung sofort gesperrt; Ihr Name bleibt im Projektverlauf dieser Organisation sichtbar, bis die Daten der Organisation gelöscht werden oder Sie uns um Löschung oder Anonymisierung bitten. Daten von Organisationen und Projekten werden gelöscht, wenn die Organisation sie löscht, oder [to be completed: Frist, z. B. 30 Tage] nach Ende des Kundenvertrags. Gesetzliche Aufbewahrungspflichten (zum Beispiel für Rechnungen) bleiben unberührt.
12. Ihre Rechte
Sie haben das Recht auf:
- Auskunft über Ihre personenbezogenen Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO) oder Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Herausgabe Ihrer Daten in einem gängigen maschinenlesbaren Format (Art. 20 DSGVO)
- Widerspruch jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere im Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes. Für uns zuständig ist [to be completed: supervisory authority of our federal state].
Zur Ausübung Ihrer Rechte schreiben Sie an support@bessflowapp.com.
Die Bereitstellung Ihrer Daten ist gesetzlich nicht vorgeschrieben. Ohne E-Mail-Adresse und Namen kann jedoch kein Konto angelegt werden. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.
13. Sicherheit
Alle Verbindungen sind verschlüsselt (HTTPS). Der Zugriff auf Daten wird bei jeder Anfrage von der Datenbank geprüft, sodass jede Organisation nur ihre eigenen Daten und jeder Nutzer nur die Projekte sieht, für die er freigeschaltet ist.
14. Geschäftskontakte und Vertrieb
Wenn Sie Ansprechpartner eines Unternehmens sind, das sich für BESSflow interessiert oder das wir ansprechen, speichern wir Ihren Namen, Ihre Funktion, Ihre geschäftlichen Kontaktdaten (E-Mail, Telefon, Profil in einem beruflichen Netzwerk), unsere Notizen zu Gesprächen, Telefonaten und Terminen mit Ihnen sowie ob und wann Sie eingewilligt haben, Informationen zu BESSflow per E-Mail zu erhalten, und wann Sie über diese Verarbeitung informiert wurden. Zweck: Anbahnung und Pflege der Geschäftsbeziehung zu Ihrem Arbeitgeber. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie ein Angebot oder einen Pilot angefragt haben, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse am geschäftlichen Kontakt mit Unternehmen). Herkunft: Sie selbst, Ihr Arbeitgeber oder öffentlich zugängliche geschäftliche Quellen (zum Beispiel Unternehmenswebsites, berufliche Netzwerke, Messen).
Werbe-E-Mails senden wir nur mit Ihrer Einwilligung (§ 7 Abs. 2 Nr. 2 UWG), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Zugriff haben nur Mitarbeitende von BESSflow; gespeichert werden die Daten bei unserem Datenbankanbieter (Abschnitt 10). Wir löschen sie, sobald sie für die Geschäftsbeziehung nicht mehr erforderlich sind, spätestens 24 Monate nach dem letzten Kontakt, es sei denn, Ihr Arbeitgeber wird Kunde oder gesetzliche Aufbewahrungspflichten bestehen (zum Beispiel sechs Jahre für Geschäftsbriefe wie Angebote). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).
15. Änderungen
Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Die aktuelle Fassung finden Sie immer auf dieser Seite.
Stand: 2026-10-23