Last updated: November 5, 2026
KioskBrowser ("the app") is developed by H2-AI GmbH, Germany. It locks a tablet to one website, for example in a shop, at a reception desk or at a trade fair stand. This privacy policy explains what the app does with data, what stays on the device and what leaves it.
Controller: H2-AI GmbH, Amselrain 43, 75038 Oberderdingen, Germany, Email: info@h2-ai.de
The short version: the tablet loads the website that the person who set it up has chosen, and everything that is shown or entered there goes directly between the tablet and that website. We do not receive, store or analyse any of it. The only thing that this app sends to our license server is what we need for the license: a pseudonymous device ID and, after a purchase, the Google Play purchase receipt. If you only use the free demo, the app sends the pseudonymous device ID to us once, for a check after installation, and nothing after that. There is no account, no analytics and no advertising.
You can enter a creator code before buying. To check it, the app sends only the code to our server, without any device ID (section 3 d), "Creator codes"). Business customers can also obtain licenses directly from us instead of through Google Play (section 3 d), "Licenses bought directly from us").
If you pair a phone with our app H2 Kiosk Control, the tablet exchanges its status and commands with that phone, directly in your local Wi-Fi (section 3 e). With remote access, this exchange can also run through our relay server, which passes it on end-to-end encrypted and cannot read it (section 3 f). Remote access is off by default, is normally switched on after you pair a phone and can be switched off at any time; from version 1.0.1 of this app, the relay server is also used while you pair a phone (section 3 f). With a subscription to H2 Kiosk Control, that app also sends us a hash that identifies this tablet, to count your devices (section 3 e).
We collect only the license data described in section 3 d): a pseudonymous device ID, the purchase receipt after you buy a license, a creator code if you enter one, and the technical server logs of our license server. If you write to us, for example with "Email support", we also receive your email (section 3 d), "Support requests by email"). Business customers who buy licenses directly from us also give us their order details (section 3 d), "Licenses bought directly from us"). The app contains no analytics, no crash reporting and no advertising libraries of any kind. Nothing from the websites shown on the tablet, nothing that visitors enter, and nothing from your settings is ever sent to us. If you use central management with H2 Kiosk Control, our relay server also processes the tablet's IP address and the identifiers needed to connect it, while remote access is on and, from version 1.0.1, while a pairing window is open, only in working memory, essentially only while the connection lasts (section 3 f). With a subscription to H2 Kiosk Control, that app also sends our license server a hash that identifies this tablet, to count the devices in the subscription (section 3 e).
The following is stored locally on the device and is never transmitted to us:
The app is excluded from Android's cloud backup and from device-to-device transfer, so none of this data is copied into a Google backup.
The app loads the start page entered in its settings and, within the limits you set, the pages linked from it. Every page is loaded directly from its own server. That website, and not H2-AI GmbH, decides what it collects, for example cookies, form entries, sign-ins or analytics, and its own privacy policy applies. The operator of the website is responsible for its content and for the data it processes.
If you set up the tablet for visitors, you decide which website they see and which options are on. Please make sure that the website you show is suitable for public use and that your visitors are informed about it where required.
By default, the app only opens pages of the start page's website and the addresses you allowed. Links to other websites, e-mail links and links that would open another app are blocked. Downloads are always blocked.
The in-app purchase is handled by Google Play, and the app may occasionally ask Google Play to show its rating dialog. See sections 8 and 9.
Web pages are displayed with Android System WebView, a component of Android that is provided and updated by Google. Depending on its version and settings, WebView may check addresses with Google Safe Browsing to warn about harmful sites. This is governed by Google's privacy policy.
The full version is sold as a license for one device. To bind the license to the tablet and to check it, the app talks to our license server at lizenz.h2-ai.de, always over HTTPS.
When the app contacts it:
The app does not contact the license server in any other situation. If you never buy a license, the app sends the pseudonymous device ID to us only for the one automatic check after installation. Showing the device ID in the settings ("Show device ID") works on the device only and sends nothing.
To find purchases made outside the app, the app asks Google Play on the device (not our server) for the purchases of the device's Google account when it starts and when it comes back to the foreground, at most once a minute. This query goes to Google Play only. Only a purchase that this device can claim is then registered with our server.
What is sent:
When our server receives a purchase token, it asks Google Play to confirm the purchase and receives from Google the order number, the quantity, the purchase state, whether it was a test purchase, the device ID that the app passed to Google Play when you bought (only for a purchase made in the app; section 8), the time of the purchase and, if you bought at a discount, which discount offer was used. It stores the device ID, the purchase token, the product ID, the order number, the quantity, whether it was a test purchase, whether the purchase has been consumed, and the time of registration. For each license it keeps a license ID, the device it is bound to and when it was bound, withdrawn or moved, and a log of these events. It then marks the purchase as consumed at Google Play. Our server also regularly fetches from Google Play the list of refunded purchases of this app (purchase token, order number, time, quantity, reason) and keeps it, so that a refunded purchase cannot become a license.
The license the server sends back contains the device ID, the license ID and how long it is valid, and is signed by our server. It is stored on the device (section 2).
Why, and on which legal basis:
Server logs: our license server receives the device's IP address with each request. The web server writes it to its access log together with the time, the requested address, the response code and the technical identification that Android sends with each request (Android version, device model and build number). The access log is deleted after at most 15 days and does not contain the device ID. We use it only to operate the server and to fend off attacks; we do not use it to determine your location and do not combine it with the license data. To limit abuse, the server also counts requests per IP address for one minute, in memory only. The license service itself writes no access log and never logs device IDs, purchase tokens or order numbers.
How long:
Deletion runs automatically once a day.
Where: the license server runs on a server rented from Hetzner Online GmbH in Germany, which processes the data on our behalf under a data processing agreement. Encrypted backups are made every night and stored on our own file server, operated by H2-AI GmbH in Germany.
Creator codes: creators (for example video makers who present the app) can hand out a code that unlocks a discount at Google Play. Entering a code is optional. When you tap "Apply", the app sends the code and the name of the app to our server; our server only answers whether the code can be used and which discount offer belongs to it. This check sends no device ID and is not stored in our database. If you then buy, Google Play processes the purchase with that discount offer, and the app sends the code to our server together with the purchase receipt (see "What is sent" above). Our server counts the purchase for the creator only if Google Play confirms that it was made with the creator's discount offer. It stores which purchase was made with which code. You get your license whether or not the purchase is counted.
We use this only to settle the creator's commission. The creator receives from us only the number of purchases made with their code (including how many were refunded); never your device ID, order number or other information about you.
Licenses bought directly from us (business customers): business customers can obtain licenses directly from H2-AI GmbH instead of through Google Play. The customer sends us the device ID of each device (shown in the app's settings) and, if they wish, a name for each device. On our license server we then store, for each device, the device ID, a license bound to it, our invoice or order reference and the device name as a note. The device then receives its license in the usual way (see "When the app contacts it" above); no purchase in the app is needed. We use these data to provide the licenses and to move them to another device on request (performance of the contract, Art. 6(1)(b) GDPR).
The order itself (contact details, invoice and payment data) is not stored on the license server but in our accounting records. We keep these records as long as German commercial and tax law requires (Section 257 HGB, Section 147 AO; currently up to 10 years, for invoices 8 years) (legal obligation, Art. 6(1)(c) GDPR).
Support requests by email: if you tap "Email support" in the app (for example to move a license after a factory reset), the app opens your email app with a prepared message to info@h2-ai.de that contains the app name, the package name, the app version and the device ID of this device. Nothing is sent by the app itself: you decide whether to send the email and can change it before sending. If you write to us, we use your email address, your message and the details it contains (such as device ID and order number) to answer your request and, where requested, to move your license (Art. 6(1)(b) GDPR, otherwise our legitimate interest in answering enquiries, Art. 6(1)(f) GDPR). We delete the email once the request is settled, unless we have to keep it under commercial or tax law.
Central management is optional and off until you pair a phone. With our app H2 Kiosk Control you can manage this tablet, and your other H2 kiosk devices, from your phone. In the same Wi-Fi, the tablet and the phone connect directly, with no server of ours in between. With remote access on and, from version 1.0.1, while a pairing window is open, the connection can also run through our relay server (section 3 f). In both cases the status and the commands are end-to-end encrypted between the tablet and your phone: neither H2-AI GmbH nor anyone else can read them. There is no account.
Pairing: a phone can only be paired while kiosk mode is off, so while the kiosk is running only after your exit PIN has been entered. Tap "Control all your devices from your phone" on the start screen (or Settings > Central management) and then "Pair a phone". The tablet shows a QR code and an 8-digit code, valid for 5 minutes and for one pairing. After 5 wrong codes the code is blocked and only the QR code still works, until you start pairing again. The QR code contains the tablet's address and port in the local network, the random installation ID (see below), the type of app, the fingerprint of its certificate, a one-time secret, the tablet's name, the expiry time and the address of our relay server: in older versions of this app only if remote access is on, from version 1.0.1 on Android 10 or newer also with remote access off, so that pairing also works in networks that keep devices apart, such as many guest networks. If you type the 8-digit code instead, the tablet and the phone both show a 6-digit number to compare, and you confirm it on the tablet with "Number matches". From version 1.0.1 the 8-digit code also works through our relay server when remote access is off. While the pairing window is open and the QR code contains the address of our relay server, anyone who sees the QR code can use it to pair from anywhere, not only from the same Wi-Fi. Treat the QR code like a key and do not let anyone photograph it. With the 8-digit code, the comparison number must also be confirmed on the tablet.
What the tablet stores, in the app's own storage, which is excluded from backup:
What the tablet sends to paired phones: its random installation ID and name, the app version, whether kiosk mode is on and ready to start, whether a license is active or the demo is running, whether the screen is on, the start page, the address currently shown (only while kiosk mode is running) and whether it loaded, the navigation lock and the additional allowed addresses, the screen schedule, the battery level and whether it is charging, whether "Allow remote unlock" and "Remote access" are on and the state of the connection to our relay server, the tablet's time and time zone, and how long the app has been running.
Tablet ID (from version 1.0.1): the tablet also sends paired phones a tablet ID. It is a SHA-256 hash of Android's device ID (ANDROID_ID) combined with a fixed value. It is not the device ID used for the license (section 3 d), the two values are always different, and the Android ID itself never leaves the tablet. The tablet ID is sent only inside the end-to-end encrypted connection to your phone: it is not part of the network announcement or the QR code, and our relay server cannot read it (section 3 f). H2 Kiosk Control uses it only to count your devices, so that several of our kiosk apps on the same tablet count as one device. Without a subscription to H2 Kiosk Control, the tablet ID never leaves the encrypted connection between the tablet and your phone. With a subscription, H2 Kiosk Control sends our license server a further hash of it, never the tablet ID itself or the Android ID, to count the devices in your subscription. With older versions of this app, which send no tablet ID, H2 Kiosk Control uses a hash of the fingerprint of the tablet's certificate (see above) instead. A device that has not reported for 30 days is removed from the count, and all subscription data is deleted 90 days after the subscription ends. Details are in the privacy policy of H2 Kiosk Control.
What paired phones can do: change the tablet's name, start page, navigation lock, allowed addresses and screen schedule, switch kiosk mode on and, if "Allow remote unlock" is on (the default), off, switch the screen off and on, reload the page, switch remote access on or off, and remove themselves from the tablet. They can never change the exit PIN, the accessibility service, permissions or the license, reset the device or control other apps. Remote commands never make the accessibility service act. The tablet keeps the last 200 remote commands (time, name of the phone, command, result, whether it came through our relay server, no page content) only in working memory, where they are lost when the app is closed, and notes them as technical messages in Android's system log on the tablet; neither is sent to us.
Security: the connection is encrypted (TLS), and the tablet and the phone each check the other's certificate. Only phones you have paired can read the status or send commands. Any other device in the same network can at most open an encrypted connection, try to pair (which needs the code shown on the tablet) and learn the tablet's name, its random installation ID and the app and its version. Through our relay server, a connection without a valid access ticket is closed at once, and pairing is only possible while a pairing window is open on the tablet. So that the app can find the tablet, the tablet announces itself in the local network while central management is on, as network printers do. This announcement contains only a neutral service name ("H2 Kiosk" and the first characters of the random installation ID), the random installation ID, the type of app, the protocol version, whether pairing is open and a short part of its certificate fingerprint. It is not encrypted, and other devices in the same network can see it. The tablet's name is not part of it. If the tablet or the phone uses Android 9, the certificates exchanged when a connection is set up in the Wi-Fi are not encrypted either; they contain the random installation ID. The status and the commands are always encrypted. While a phone is paired or a pairing window is open, a background service keeps the tablet reachable (section 6).
Ending it: tap "Remove" next to a phone in Central management; that phone can then no longer control the tablet, and its access ticket is no longer valid. A phone can also remove itself from the tablet in H2 Kiosk Control. When the last phone is removed, the tablet stops the service, closes the connection point, ends its connection to our relay server and no longer announces itself. Uninstalling the app, or clearing its storage in Android's app settings, deletes all of the data above from the tablet. What H2 Kiosk Control keeps on your phone is described in that app's privacy policy.
Apart from what our relay server processes for pairing and remote access (section 3 f) and, with a subscription to H2 Kiosk Control, the further hash described above, these data stay on your own devices and never reach us; you control them on your tablet and your phone.
Remote access lets your paired phones reach this tablet when they are not in the same Wi-Fi, for example on mobile data. It is off by default. After a successful pairing it is switched on: from version 1.0.1 by the tablet itself, without asking, and the tablet shows "Remote access is on"; with older versions of this app, H2 Kiosk Control asks you once after the first pairing whether to turn it on. If you switched remote access off yourself, on the tablet or in H2 Kiosk Control, it stays off, also when you pair further phones; a newly paired phone then reaches the tablet only in the same Wi-Fi. You can switch it off and on again under "Remote access" in Central management, which can only be changed while kiosk mode is off. A paired phone can also switch it on or off from H2 Kiosk Control. Updating the app does not change this setting. Remote access is available on tablets with Android 10 or newer; on Android 9 the tablet does not connect to our relay server.
How it works: while remote access is on and a phone is paired or a pairing window is open, the tablet keeps one connection to our relay server and sends a short signal about every 4 minutes to keep it open. From version 1.0.1, on Android 10 or newer, the tablet also keeps this connection while a pairing window is open when remote access is off, so that pairing also works in networks that keep devices apart, such as many guest networks. A pairing window is open for at most 5 minutes and can only be opened while kiosk mode is off. The tablet cannot tell in advance whether the phone will reach it in your Wi-Fi, so it opens this connection for every pairing. With remote access off, the connection ends a few seconds after the pairing window closes, and paired phones cannot use it. When a paired phone wants to connect, the relay tells the tablet, the tablet opens a second connection, and the relay joins it with the phone's connection. Inside, the tablet and the phone use exactly the same encrypted connection as in the Wi-Fi (section 3 e): both check each other's certificate, and only the tablet and the phone hold the keys. The relay only passes the encrypted data on. It cannot read the status, the commands or the pages shown, and it cannot send commands.
What the relay processes:
If a phone with Android 9 connects, the encryption standard available there means that the relay could technically see the certificates of the phone and the tablet that are exchanged inside the connection; it does not evaluate or store them. Nothing is sent unencrypted on the way between the devices and the relay.
How long: the relay keeps these data only in working memory and only while the tablet's connection lasts. When it ends, the relay forgets the tablet, apart from the tablet's certificate fingerprint and the time, which it keeps for up to one minute to limit repeated reconnects. To protect the service from abuse, it counts connections per IP address in working memory; this count is deleted no more than about 3 minutes after the last connection. Attempts to pair with the 8-digit code through the relay are also counted, in working memory only; this count is deleted after about one hour. The relay stores nothing on disk and keeps no logs of IP addresses, installation IDs or tickets. Its technical log contains only totals (for example the number of open connections) and start errors; only if the service crashes can the crash report contain fragments of such data. The log is kept in working memory only, is limited in size, so that older entries are removed, and is deleted completely when the server restarts.
Where: the relay runs at relay.h2-ai.de, on a server operated by H2-AI GmbH and hosted for us by Hetzner Online GmbH in a data centre in Germany, which processes the data on our behalf under a data processing agreement. The relay is not connected to our license server, and the data is not combined with license data.
Why, and on which legal basis: to carry out the pairing you start and to provide your paired phones with remote access for the central management you chose (Art. 6(1)(b) GDPR), and to protect the relay against abuse and attacks through the per-address limits (legitimate interest in a secure service, Art. 6(1)(f) GDPR).
Turning it off: switch off "Remote access" on the tablet or from a paired phone; switching off always works. The tablet then closes its connection to the relay at once, and the relay forgets the tablet; only while a pairing window is open does the connection stay for that pairing (from version 1.0.1), and paired phones cannot use it. Removing a phone makes its access ticket invalid immediately; when the last phone is removed and no pairing window is open, the connection ends. If no paired phone uses the tablet for 30 days, the tablet ends the connection by itself ("sleeping") until a paired phone connects in the Wi-Fi, a pairing window is opened or remote access is switched on again.
The tablet is often used by many people one after another. With "Reset session when idle" switched on (the default), the app deletes cookies, sign-ins, page storage, form entries, cache, saved HTTP logins, certificate and security choices, location permissions given to websites, the clipboard and the browsing history after the idle time you set, and loads the start page again. The same happens when the restart button is used with "Also reset the session". If you switch the reset off ("keep the session"), for example so that staff stay signed in, the next visitor can see what the previous one left in the website.
File uploads are switched off by default. If you switch them on, a website can ask for a file; the visitor picks it in Android's system file or photo picker, and the file goes directly to that website. The system picker may also show storage that is connected to the device, such as a cloud drive of the device's Google account. Check what the picker shows before you allow uploads on a public tablet.
The app has no camera, microphone or location permission. Downloads are always blocked, so no file from a website is saved on the tablet.
These permissions are used solely to run the kiosk. None of them is used to collect data.
While kiosk mode is running, one background service checks which app is in the foreground and brings the kiosk back. Scheduled alarms run the nightly reload and the screen schedule, and the license check runs as described in section 3 d). Apart from the license requests, nothing is sent to us.
If you pair a phone with H2 Kiosk Control, a second background service keeps the tablet reachable for paired phones, also while kiosk mode is off and after a restart: in the local Wi-Fi and, with remote access on and, from version 1.0.1, while a pairing window is open, through its connection to our relay server (section 3 f). It runs only while a phone is paired or a pairing window is open, and stops when the last phone is removed (section 3 e). Android may show the notification "Central management on" while it runs.
The connection to our license server is always encrypted (HTTPS); the app refuses any other connection to it. Whether the connection to the website you show is encrypted depends on that website: the app also accepts http:// and local network addresses, for example for an intranet page. We recommend https:// wherever possible.
Central management (sections 3 e and 3 f): the status and the commands are always end-to-end encrypted between the tablet and your phone. The connection to our relay server is encrypted as well, and the app only accepts the relay if its key matches one built into the app. All connections to servers are encrypted. Only within your local network, and not to any server, two things are sent unencrypted: the tablet's announcement and, if the tablet or the phone uses Android 9, the certificates exchanged when a connection is set up in the Wi-Fi (section 3 e).
The full version is unlocked through an in-app purchase processed by Google Play. Each purchase is a license for the one device it is bought on. We never see your payment details, your name or your Google account. When you buy, the app passes the pseudonymous device ID from section 3 d) to Google Play as part of the purchase, so the purchase can be linked to this device; Google Play may also use this value to detect irregular purchase activity. Sale prices and promo codes are handled by Google Play; a purchase made that way outside the app carries no device ID, and the app then registers it for this device as described in section 3 d). See Google's privacy policy at https://policies.google.com/privacy for how Google handles purchase and payment data.
The app uses two Google Play components: Google Play Billing for the in-app purchase, and the Google Play In-App Review API, which lets Google Play show its own rating dialog now and then. Both are run by Google under Google's privacy policy. Web pages are displayed with Android System WebView (section 3 c). Our license server uses the Google Play Developer API to confirm purchases and refunds (section 3 d). No other third-party service is integrated. There is no advertising SDK, no analytics SDK and no crash reporting SDK in the app.
To request deletion or a copy of the license data we hold, email info@h2-ai.de. Please give the Google Play order number (it starts with "GPA." and is in the receipt email from Google Play), the device ID, or both; for a license bought directly from us, our invoice or order reference. The app shows the device ID in its settings under "Device ID (for license support)": tap "Show device ID", then "Copy". We answer within one month.
Copies in encrypted backups disappear within 30 days. Google Play keeps its own records of the purchase. Our relay server keeps no data beyond the connection, apart from short-lived abuse counters in working memory (section 3 f), so there is nothing to delete there.
To remove everything the app has stored on the device, uninstall it, or clear its storage in Android's app settings. Data that a website stored on its own servers can only be deleted by that website's operator.
Recipients of the license data: Hetzner Online GmbH, Germany (hosting, as our processor), and Google (Google Play), which processes your purchase as the payment service and confirms purchases and refunds to our server. When you buy, we share the pseudonymous device ID with Google, which may also use it for its own purpose of detecting irregular purchase activity (section 8). Creators receive only the number of purchases made with their code, no personal data (section 3 d), "Creator codes"). For business customers who buy directly from us, a tax advisor (if we engage one) and our accounting software provider receive the order and invoice data as far as needed for accounting, and the payment service you choose processes your payment under its own privacy policy (section 3 d), "Licenses bought directly from us"). Nobody else. We do not sell data and do not share it for advertising. For pairing and remote access through our relay server (section 3 f), Hetzner Online GmbH, Germany, also hosts our relay server as our processor under a data processing agreement; nobody else receives these data.
You have the right to access, rectification, erasure, restriction of processing, data portability and to object to processing based on legitimate interest (Art. 15-18, 20, 21 GDPR). You also have the right to lodge a complaint with a data protection supervisory authority, for example the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg.
KioskBrowser is a tool for businesses and adults who set up a tablet. It is not directed at children. The app itself collects no data from the people who use a kiosk tablet; what a website collects is the responsibility of its operator (section 3 a).
We may update this policy. Changes are published on this page with a new revision date.
H2-AI GmbH
Amselrain 43
75038 Oberderdingen
Germany
Email: info@h2-ai.de
Stand: 05.11.2026
KioskBrowser ("die App") wird von der H2-AI GmbH entwickelt. Die App sperrt ein Tablet auf eine Website, zum Beispiel im Laden, am Empfang oder am Messestand. Diese Erklärung beschreibt, was die App mit Daten tut, was auf dem Gerät bleibt und was es verlässt.
Verantwortlicher: H2-AI GmbH, Amselrain 43, 75038 Oberderdingen, Deutschland, E-Mail: info@h2-ai.de
Kurz gefasst: Das Tablet lädt die Website, die der Einrichtende gewählt hat, und alles, was dort angezeigt oder eingegeben wird, läuft direkt zwischen Tablet und dieser Website. Wir erhalten, speichern und analysieren davon nichts. An unseren Lizenzserver sendet diese App nur, was wir für die Lizenz brauchen: eine pseudonyme Gerätekennung und nach einem Kauf der Kaufbeleg von Google Play. Nutzen Sie nur die kostenlose Demo, sendet die App die pseudonyme Gerätekennung einmal für eine Prüfung nach der Installation an uns und danach nichts mehr. Es gibt kein Konto, keine Analyse und keine Werbung.
Sie können vor dem Kauf einen Creator-Code eingeben. Zur Prüfung sendet die App nur den Code an unseren Server, ohne Gerätekennung (Abschnitt 3 d), "Creator-Codes"). Firmenkunden können Lizenzen außerdem direkt bei uns statt über Google Play beziehen (Abschnitt 3 d), "Direkt bei uns gekaufte Lizenzen").
Koppeln Sie ein Handy mit unserer App H2 Kiosk Control, tauscht das Tablet Status und Befehle mit diesem Handy direkt in Ihrem lokalen WLAN aus (Abschnitt 3 e). Mit dem Fernzugriff kann dieser Austausch auch über unseren Vermittlungsserver laufen, der ihn Ende-zu-Ende-verschlüsselt weiterreicht und nicht lesen kann (Abschnitt 3 f). Der Fernzugriff ist ab Werk aus, wird nach dem Koppeln eines Handys in der Regel eingeschaltet und lässt sich jederzeit ausschalten; ab Version 1.0.1 dieser App wird der Vermittlungsserver auch während des Koppelns genutzt (Abschnitt 3 f). Mit einem Abo von H2 Kiosk Control sendet diese App uns außerdem einen Hash, der dieses Tablet kennzeichnet, um Ihre Geräte zu zählen (Abschnitt 3 e).
Wir erheben nur die in Abschnitt 3 d) beschriebenen Lizenzdaten: eine pseudonyme Gerätekennung, nach einem Kauf den Kaufbeleg, einen Creator-Code, wenn Sie einen eingeben, und die technischen Server-Protokolle unseres Lizenzservers. Schreiben Sie uns, etwa über "Email support", erhalten wir außerdem Ihre E-Mail (Abschnitt 3 d), "Support-Anfragen per E-Mail"). Firmenkunden, die Lizenzen direkt bei uns kaufen, geben uns außerdem ihre Bestelldaten (Abschnitt 3 d), "Direkt bei uns gekaufte Lizenzen"). Die App enthält keinerlei Analyse-, Absturzbericht- oder Werbebibliotheken. Nichts von den angezeigten Websites, nichts von Besuchereingaben und nichts aus Ihren Einstellungen wird je an uns gesendet. Nutzen Sie die zentrale Verwaltung mit H2 Kiosk Control, verarbeitet unser Vermittlungsserver außerdem die IP-Adresse des Tablets und die Kennungen, die für die Verbindung nötig sind, solange der Fernzugriff an ist und, ab Version 1.0.1, solange ein Kopplungsfenster offen ist, nur im Arbeitsspeicher und im Wesentlichen nur, solange die Verbindung besteht (Abschnitt 3 f). Mit einem Abo von H2 Kiosk Control sendet diese App unserem Lizenzserver außerdem einen Hash, der dieses Tablet kennzeichnet, um die Geräte im Abo zu zählen (Abschnitt 3 e).
Folgendes wird lokal auf dem Gerät gespeichert und nie an uns übertragen:
Die App ist von der Android-Cloud-Sicherung und der Übertragung auf ein neues Gerät ausgenommen; nichts davon landet in einer Google-Sicherung.
Die App lädt die in den Einstellungen eingetragene Startseite und, im Rahmen Ihrer Einstellungen, die davon verlinkten Seiten. Jede Seite wird direkt von ihrem eigenen Server geladen. Diese Website, nicht die H2-AI GmbH, entscheidet, was sie erhebt, etwa Cookies, Formulareingaben, Anmeldungen oder Analysen; es gilt ihre eigene Datenschutzerklärung. Für Inhalte und Datenverarbeitung der Website ist ihr Betreiber verantwortlich.
Wenn Sie das Tablet für Besucher einrichten, entscheiden Sie, welche Website sie sehen und welche Optionen an sind. Bitte stellen Sie sicher, dass die gezeigte Website für die öffentliche Nutzung geeignet ist und Ihre Besucher, wo nötig, darüber informiert werden.
Ab Werk öffnet die App nur Seiten der Website der Startseite und die von Ihnen erlaubten Adressen. Links auf andere Websites, E-Mail-Links und Links, die eine andere App öffnen würden, werden gesperrt. Downloads sind immer gesperrt.
Der In-App-Kauf läuft über Google Play, und die App kann Google Play gelegentlich bitten, den Bewertungsdialog zu zeigen. Siehe Abschnitte 8 und 9.
Webseiten werden mit Android System WebView angezeigt, einem Bestandteil von Android, den Google bereitstellt und aktualisiert. Je nach Version und Einstellung kann WebView Adressen mit Google Safe Browsing prüfen, um vor schädlichen Seiten zu warnen. Dafür gilt die Datenschutzerklärung von Google.
Die Vollversion wird als Lizenz für ein Gerät verkauft. Um die Lizenz an das Tablet zu binden und zu prüfen, spricht die App mit unserem Lizenzserver unter lizenz.h2-ai.de, immer über HTTPS.
Wann die App ihn kontaktiert:
In keinem anderen Fall kontaktiert die App den Lizenzserver. Kaufen Sie nie eine Lizenz, sendet die App die pseudonyme Gerätekennung nur für die eine automatische Prüfung nach der Installation an uns. Das Anzeigen der Gerätekennung in den Einstellungen ("Show device ID") geschieht nur auf dem Gerät und sendet nichts.
Um außerhalb der App gemachte Käufe zu finden, fragt die App Google Play auf dem Gerät (nicht unseren Server) nach den Käufen des Google-Kontos des Geräts, wenn sie startet und wenn sie wieder in den Vordergrund kommt, höchstens einmal pro Minute. Diese Abfrage geht nur an Google Play. Nur ein Kauf, den dieses Gerät beanspruchen kann, wird dann bei unserem Server registriert.
Was gesendet wird:
Erhält unser Server ein Kauf-Token, lässt er sich den Kauf von Google Play bestätigen und erhält von Google Bestellnummer, Menge, Kaufstatus, ob es ein Testkauf war, die Gerätekennung, die die App beim Kauf an Google Play übergeben hat (nur bei einem Kauf in der App; Abschnitt 8), den Zeitpunkt des Kaufs und, wenn Sie mit Rabatt gekauft haben, welches Rabattangebot genutzt wurde. Er speichert Gerätekennung, Kauf-Token, Produkt-ID, Bestellnummer, Menge, Testkauf-Kennzeichen, ob der Kauf verbraucht ist, und den Zeitpunkt der Registrierung. Zu jeder Lizenz speichert er eine Lizenz-ID, das gebundene Gerät und wann sie gebunden, entzogen oder verschoben wurde, sowie ein Protokoll dieser Vorgänge. Danach markiert er den Kauf bei Google Play als verbraucht. Außerdem ruft unser Server regelmäßig die Liste der erstatteten Käufe dieser App von Google Play ab (Kauf-Token, Bestellnummer, Zeitpunkt, Menge, Grund) und speichert sie, damit aus einem erstatteten Kauf keine Lizenz wird.
Die Lizenz, die der Server zurücksendet, enthält Gerätekennung, Lizenz-ID und Gültigkeitsdauer und ist von unserem Server signiert. Sie wird auf dem Gerät gespeichert (Abschnitt 2).
Zweck und Rechtsgrundlage:
Server-Protokolle: Unser Lizenzserver erhält bei jeder Anfrage die IP-Adresse des Geräts. Der Webserver schreibt sie mit Zeitpunkt, angefragter Adresse, Antwortcode und der technischen Kennung, die Android mitsendet (Android-Version, Gerätemodell, Build-Nummer), in sein Zugriffsprotokoll. Das Zugriffsprotokoll wird nach höchstens 15 Tagen gelöscht und enthält keine Gerätekennung. Wir nutzen es nur für den Serverbetrieb und zur Abwehr von Angriffen, nicht zur Standortbestimmung, und führen es nicht mit den Lizenzdaten zusammen. Zur Missbrauchsbegrenzung zählt der Server außerdem Anfragen je IP-Adresse für eine Minute, nur im Arbeitsspeicher. Der Lizenzdienst selbst schreibt kein Zugriffsprotokoll und protokolliert nie Gerätekennungen, Kauf-Tokens oder Bestellnummern.
Wie lange:
Die Löschung läuft automatisch einmal täglich.
Wo: Der Lizenzserver läuft auf einem bei der Hetzner Online GmbH in Deutschland gemieteten Server, die die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags verarbeitet. Verschlüsselte Sicherungen entstehen jede Nacht und liegen auf unserem eigenen Dateiserver, betrieben von der H2-AI GmbH in Deutschland.
Creator-Codes: Creators (zum Beispiel Videomacher, die die App vorstellen) können einen Code ausgeben, der bei Google Play einen Rabatt freischaltet. Die Eingabe eines Codes ist freiwillig. Tippen Sie auf "Apply", sendet die App den Code und den Namen der App an unseren Server; unser Server antwortet nur, ob der Code verwendet werden kann und welches Rabattangebot dazu gehört. Diese Prüfung sendet keine Gerätekennung und wird nicht in unserer Datenbank gespeichert. Kaufen Sie danach, wickelt Google Play den Kauf mit diesem Rabattangebot ab, und die App sendet den Code zusammen mit dem Kaufbeleg an unseren Server (siehe "Was gesendet wird" oben). Unser Server rechnet den Kauf dem Creator nur zu, wenn Google Play bestätigt, dass er mit dem Rabattangebot des Creators getätigt wurde. Er speichert, welcher Kauf mit welchem Code getätigt wurde. Ihre Lizenz erhalten Sie unabhängig davon, ob der Kauf zugerechnet wird.
Wir nutzen das nur, um die Provision des Creators abzurechnen. Der Creator erhält von uns nur die Anzahl der Käufe mit seinem Code (einschließlich der Zahl der Erstattungen), nie Ihre Gerätekennung, Bestellnummer oder andere Angaben über Sie.
Direkt bei uns gekaufte Lizenzen (Firmenkunden): Firmenkunden können Lizenzen direkt bei der H2-AI GmbH statt über Google Play beziehen. Der Kunde schickt uns die Gerätekennung jedes Geräts (in den Einstellungen der App angezeigt) und, wenn er möchte, einen Namen für jedes Gerät. Auf unserem Lizenzserver speichern wir dann je Gerät die Gerätekennung, eine daran gebundene Lizenz, unseren Rechnungs- oder Bestellbezug und den Gerätenamen als Notiz. Das Gerät erhält seine Lizenz danach auf dem üblichen Weg (siehe "Wann die App ihn kontaktiert" oben); ein Kauf in der App ist nicht nötig. Wir nutzen diese Daten, um die Lizenzen bereitzustellen und sie auf Wunsch auf ein anderes Gerät umzuziehen (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO).
Die Bestellung selbst (Kontaktdaten, Rechnungs- und Zahlungsdaten) speichern wir nicht auf dem Lizenzserver, sondern in unserer Buchhaltung. Diese Unterlagen bewahren wir so lange auf, wie es das deutsche Handels- und Steuerrecht verlangt (§ 257 HGB, § 147 AO; derzeit bis zu 10 Jahre, für Rechnungen 8 Jahre) (rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO).
Support-Anfragen per E-Mail: Tippen Sie in der App auf "Email support" (etwa, um eine Lizenz nach einem Werksreset umzuziehen), öffnet die App Ihre E-Mail-App mit einer vorbereiteten Nachricht an info@h2-ai.de, die den App-Namen, den Paketnamen, die App-Version und die Gerätekennung dieses Geräts enthält. Die App selbst sendet nichts: Sie entscheiden, ob Sie die E-Mail senden, und können sie vorher ändern. Schreiben Sie uns, nutzen wir Ihre E-Mail-Adresse, Ihre Nachricht und die darin enthaltenen Angaben (etwa Gerätekennung und Bestellnummer), um Ihre Anfrage zu beantworten und, wenn gewünscht, Ihre Lizenz umzuziehen (Art. 6 Abs. 1 lit. b DSGVO, sonst unser berechtigtes Interesse an der Beantwortung von Anfragen, Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die E-Mail, sobald die Anfrage erledigt ist, sofern wir sie nicht nach Handels- oder Steuerrecht aufbewahren müssen.
Die zentrale Verwaltung ist freiwillig und aus, bis Sie ein Handy koppeln. Mit unserer App H2 Kiosk Control können Sie dieses Tablet und Ihre anderen H2-Kiosk-Geräte vom Handy aus verwalten. Im selben WLAN verbinden sich Tablet und Handy direkt, ohne einen Server von uns dazwischen. Bei eingeschaltetem Fernzugriff und, ab Version 1.0.1, während ein Kopplungsfenster offen ist, kann die Verbindung auch über unseren Vermittlungsserver laufen (Abschnitt 3 f). In beiden Fällen sind Status und Befehle zwischen Tablet und Handy Ende-zu-Ende-verschlüsselt: Weder die H2-AI GmbH noch sonst jemand kann sie lesen. Es gibt kein Konto.
Kopplung: Ein Handy lässt sich nur koppeln, solange der Kiosk-Modus aus ist, bei laufendem Kiosk also erst nach Eingabe Ihrer Ausstiegs-PIN. Tippen Sie auf der Startseite auf "Control all your devices from your phone" (oder Settings > Central management) und dann auf "Pair a phone". Das Tablet zeigt einen QR-Code und einen 8-stelligen Code, 5 Minuten gültig und für eine Kopplung. Nach 5 falschen Codes ist der Code gesperrt, und bis Sie die Kopplung neu starten, funktioniert nur noch der QR-Code. Der QR-Code enthält Adresse und Port des Tablets im lokalen Netz, die zufällige Installationskennung (siehe unten), die Art der App, den Fingerabdruck seines Zertifikats, ein Einmalgeheimnis, den Namen des Tablets, den Ablaufzeitpunkt und die Adresse unseres Vermittlungsservers: in älteren Versionen dieser App nur, wenn der Fernzugriff an ist, ab Version 1.0.1 auf Android 10 oder neuer auch bei ausgeschaltetem Fernzugriff, damit das Koppeln auch in Netzen funktioniert, die Geräte voneinander trennen, etwa in vielen Gäste-WLANs. Tippen Sie stattdessen den 8-stelligen Code ein, zeigen Tablet und Handy beide eine 6-stellige Zahl zum Vergleich, die Sie am Tablet mit "Number matches" bestätigen. Ab Version 1.0.1 funktioniert auch der 8-stellige Code bei ausgeschaltetem Fernzugriff über unseren Vermittlungsserver. Solange das Kopplungsfenster offen ist und der QR-Code die Adresse unseres Vermittlungsservers enthält, kann jeder, der den QR-Code sieht, damit von überall koppeln, nicht nur aus demselben WLAN. Behandeln Sie den QR-Code deshalb wie einen Schlüssel und lassen Sie ihn nicht fotografieren. Beim 8-stelligen Code muss zusätzlich die Vergleichszahl am Tablet bestätigt werden.
Was das Tablet speichert, im eigenen Speicher der App, der von Sicherungen ausgenommen ist:
Was das Tablet an gekoppelte Handys sendet: seine zufällige Installationskennung und seinen Namen, die App-Version, ob der Kiosk-Modus an und startbereit ist, ob eine Lizenz aktiv ist oder die Demo läuft, ob der Bildschirm an ist, die Startseite, die gerade angezeigte Adresse (nur während der Kiosk-Modus läuft) und ob sie geladen wurde, die Navigationssperre und die zusätzlich erlaubten Adressen, den Bildschirm-Zeitplan, den Akkustand und ob geladen wird, ob "Allow remote unlock" und "Remote access" an sind und den Zustand der Verbindung zu unserem Vermittlungsserver, Uhrzeit und Zeitzone des Tablets und wie lange die App schon läuft.
Tablet-Kennung (ab Version 1.0.1): Das Tablet sendet gekoppelten Handys zusätzlich eine Tablet-Kennung. Sie ist ein SHA-256-Hash der Android-Gerätekennung (ANDROID_ID) zusammen mit einem festen Wert. Sie ist nicht die Gerätekennung für die Lizenz (Abschnitt 3 d), beide Werte sind immer verschieden, und die Android-ID selbst verlässt das Tablet nie. Die Tablet-Kennung geht nur innerhalb der Ende-zu-Ende-verschlüsselten Verbindung zu Ihrem Handy: Sie steht nicht in der Netzwerk-Ankündigung und nicht im QR-Code, und unser Vermittlungsserver kann sie nicht lesen (Abschnitt 3 f). H2 Kiosk Control nutzt sie nur, um Ihre Geräte zu zählen, damit mehrere unserer Kiosk-Apps auf demselben Tablet als ein Gerät zählen. Ohne Abo von H2 Kiosk Control verlässt die Tablet-Kennung die verschlüsselte Verbindung zwischen Tablet und Handy nie. Mit Abo sendet H2 Kiosk Control unserem Lizenzserver einen weiteren Hash davon, nie die Tablet-Kennung selbst oder die Android-ID, um die Geräte Ihres Abos zu zählen. Bei älteren Versionen dieser App, die keine Tablet-Kennung senden, nutzt H2 Kiosk Control stattdessen einen Hash des Fingerabdrucks des Tablet-Zertifikats (siehe oben). Ein Gerät, das sich 30 Tage nicht gemeldet hat, wird aus der Zählung entfernt, und alle Abo-Daten werden 90 Tage nach Abo-Ende gelöscht. Einzelheiten stehen in der Datenschutzerklärung von H2 Kiosk Control.
Was gekoppelte Handys tun können: Name, Startseite, Navigationssperre, erlaubte Adressen und Bildschirm-Zeitplan des Tablets ändern, den Kiosk-Modus einschalten und, wenn "Allow remote unlock" an ist (Standard), ausschalten, den Bildschirm aus- und einschalten, die Seite neu laden, den Fernzugriff ein- oder ausschalten und sich selbst vom Tablet entfernen. Sie können nie die Ausstiegs-PIN, die Bedienungshilfe, Berechtigungen oder die Lizenz ändern, das Gerät zurücksetzen oder andere Apps steuern. Fernbefehle lösen nie eine Aktion der Bedienungshilfe aus. Die letzten 200 Fernbefehle (Zeit, Name des Handys, Befehl, Ergebnis, ob er über unseren Vermittlungsserver kam, keine Seiteninhalte) hält das Tablet nur im Arbeitsspeicher, wo sie beim Beenden der App verloren gehen, und vermerkt sie als technische Meldungen im Android-Systemprotokoll auf dem Tablet; beides wird nicht an uns gesendet.
Sicherheit: Die Verbindung ist verschlüsselt (TLS), und Tablet und Handy prüfen jeweils das Zertifikat des anderen. Nur von Ihnen gekoppelte Handys können den Status abrufen oder Befehle senden. Jedes andere Gerät im selben Netz kann höchstens eine verschlüsselte Verbindung öffnen, eine Kopplung versuchen (dafür braucht es den am Tablet angezeigten Code) und dabei den Namen des Tablets, seine zufällige Installationskennung sowie App und App-Version erfahren. Über unseren Vermittlungsserver wird eine Verbindung ohne gültigen Zugangsschein sofort geschlossen, und koppeln lässt sich dort nur, solange am Tablet ein Kopplungsfenster offen ist. Damit die App das Tablet findet, kündigt sich das Tablet im lokalen Netz an, solange die zentrale Verwaltung an ist, wie es Netzwerkdrucker tun. Diese Ankündigung enthält nur einen neutralen Dienstnamen ("H2 Kiosk" und die ersten Zeichen der zufälligen Installationskennung), die zufällige Installationskennung, die Art der App, die Protokollversion, ob die Kopplung offen ist, und einen kurzen Teil seines Zertifikats-Fingerabdrucks. Sie ist nicht verschlüsselt, und andere Geräte im selben Netz können sie sehen. Der Name des Tablets gehört nicht dazu. Nutzt das Tablet oder das Handy Android 9, sind auch die Zertifikate, die beim Verbindungsaufbau im WLAN ausgetauscht werden, nicht verschlüsselt; sie enthalten die zufällige Installationskennung. Status und Befehle sind immer verschlüsselt. Solange ein Handy gekoppelt oder ein Kopplungsfenster offen ist, hält ein Hintergrunddienst das Tablet erreichbar (Abschnitt 6).
Beenden: Tippen Sie in Central management bei einem Handy auf "Remove"; dieses Handy kann das Tablet dann nicht mehr steuern, und sein Zugangsschein ist ungültig. Ein Handy kann sich in H2 Kiosk Control auch selbst vom Tablet entfernen. Wird das letzte Handy entfernt, beendet das Tablet den Dienst, schließt den Verbindungspunkt, beendet seine Verbindung zu unserem Vermittlungsserver und kündigt sich nicht mehr an. Deinstallieren der App oder Löschen ihres Speichers in den Android-App-Einstellungen löscht alle oben genannten Daten vom Tablet. Was H2 Kiosk Control auf Ihrem Handy speichert, beschreibt die Datenschutzerklärung dieser App.
Abgesehen von dem, was unser Vermittlungsserver für Kopplung und Fernzugriff verarbeitet (Abschnitt 3 f), und, mit einem Abo von H2 Kiosk Control, dem oben beschriebenen weiteren Hash bleiben diese Daten auf Ihren eigenen Geräten und erreichen uns nie; Sie haben sie auf Ihrem Tablet und Ihrem Handy unter Kontrolle.
Mit dem Fernzugriff erreichen Ihre gekoppelten Handys dieses Tablet auch dann, wenn sie nicht im selben WLAN sind, zum Beispiel über mobile Daten. Ab Werk ist er aus. Nach einer erfolgreichen Kopplung wird er eingeschaltet: ab Version 1.0.1 vom Tablet selbst, ohne Rückfrage, und das Tablet zeigt "Remote access is on"; bei älteren Versionen dieser App fragt H2 Kiosk Control Sie nach der ersten Kopplung einmal, ob Sie ihn einschalten möchten. Haben Sie den Fernzugriff selbst ausgeschaltet, am Tablet oder in H2 Kiosk Control, bleibt er aus, auch wenn Sie weitere Handys koppeln; ein neu gekoppeltes Handy erreicht das Tablet dann nur im selben WLAN. Sie schalten ihn in Central management unter "Remote access" aus und wieder ein; das lässt sich nur bei ausgeschaltetem Kiosk-Modus ändern. Auch ein gekoppeltes Handy kann ihn aus H2 Kiosk Control ein- oder ausschalten. Ein Update der App ändert diese Einstellung nicht. Der Fernzugriff steht auf Tablets ab Android 10 zur Verfügung; unter Android 9 verbindet sich das Tablet nicht mit unserem Vermittlungsserver.
So funktioniert es: Solange der Fernzugriff an ist und ein Handy gekoppelt oder ein Kopplungsfenster offen ist, hält das Tablet eine Verbindung zu unserem Vermittlungsserver und sendet etwa alle 4 Minuten ein kurzes Signal, damit sie offen bleibt. Ab Version 1.0.1 hält das Tablet auf Android 10 oder neuer diese Verbindung auch bei ausgeschaltetem Fernzugriff, solange ein Kopplungsfenster offen ist, damit das Koppeln auch in Netzen funktioniert, die Geräte voneinander trennen, etwa in vielen Gäste-WLANs. Ein Kopplungsfenster ist höchstens 5 Minuten offen und lässt sich nur bei ausgeschaltetem Kiosk-Modus öffnen. Ob das Handy das Tablet in Ihrem WLAN erreicht, kann das Tablet vorher nicht erkennen; es öffnet diese Verbindung deshalb bei jeder Kopplung. Bei ausgeschaltetem Fernzugriff endet die Verbindung wenige Sekunden nach dem Schließen des Kopplungsfensters, und gekoppelte Handys können sie nicht nutzen. Will sich ein gekoppeltes Handy verbinden, meldet der Vermittler das dem Tablet, das Tablet öffnet eine zweite Verbindung, und der Vermittler verbindet sie mit der Verbindung des Handys. Darin nutzen Tablet und Handy genau dieselbe verschlüsselte Verbindung wie im WLAN (Abschnitt 3 e): Beide prüfen das Zertifikat des anderen, und nur Tablet und Handy haben die Schlüssel. Der Vermittler reicht die verschlüsselten Daten nur weiter. Er kann Status, Befehle und angezeigte Seiten nicht lesen und keine Befehle senden.
Was der Vermittler verarbeitet:
Verbindet sich ein Handy mit Android 9, könnte der Vermittler wegen des dort verfügbaren Verschlüsselungsstandards technisch die Zertifikate von Handy und Tablet sehen, die innerhalb der Verbindung ausgetauscht werden; er wertet sie nicht aus und speichert sie nicht. Auf dem Weg zwischen den Geräten und dem Vermittler wird nichts unverschlüsselt übertragen.
Wie lange: Der Vermittler hält diese Daten nur im Arbeitsspeicher und nur, solange die Verbindung des Tablets besteht. Endet sie, vergisst er das Tablet, bis auf den Fingerabdruck des Tablet-Zertifikats und die Uhrzeit, die er bis zu einer Minute behält, um wiederholte Neuanmeldungen zu begrenzen. Zum Schutz vor Missbrauch zählt er Verbindungen je IP-Adresse im Arbeitsspeicher; dieser Zähler wird spätestens etwa 3 Minuten nach der letzten Verbindung gelöscht. Auch Kopplungsversuche mit dem 8-stelligen Code über den Vermittler zählt er, nur im Arbeitsspeicher; dieser Zähler wird nach etwa einer Stunde gelöscht. Der Vermittler speichert nichts auf einem Datenträger und führt keine Protokolle mit IP-Adressen, Installationskennungen oder Zugangsscheinen. Sein technisches Protokoll enthält nur Summen (zum Beispiel die Zahl offener Verbindungen) und Startfehler; nur wenn der Dienst abstürzt, kann der Absturzbericht Bruchstücke solcher Daten enthalten. Das Protokoll liegt nur im Arbeitsspeicher, ist in der Größe begrenzt, sodass ältere Einträge entfallen, und wird bei einem Neustart des Servers vollständig gelöscht.
Wo: Der Vermittler läuft unter relay.h2-ai.de auf einem Server, den die H2-AI GmbH betreibt und den die Hetzner Online GmbH für uns in einem Rechenzentrum in Deutschland hostet; Hetzner verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags. Der Vermittler ist nicht mit unserem Lizenzserver verbunden, und die Daten werden nicht mit Lizenzdaten zusammengeführt.
Zweck und Rechtsgrundlage: um die von Ihnen gestartete Kopplung durchzuführen und Ihren gekoppelten Handys den Fernzugriff für die von Ihnen gewählte zentrale Verwaltung bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO), und um den Vermittler durch die Grenzen je Adresse vor Missbrauch und Angriffen zu schützen (berechtigtes Interesse an einem sicheren Dienst, Art. 6 Abs. 1 lit. f DSGVO).
Ausschalten: Schalten Sie "Remote access" am Tablet oder von einem gekoppelten Handy aus aus; Ausschalten geht immer. Das Tablet beendet dann sofort seine Verbindung zum Vermittler, und der Vermittler vergisst das Tablet; nur solange ein Kopplungsfenster offen ist, bleibt die Verbindung ab Version 1.0.1 für diese Kopplung bestehen, und gekoppelte Handys können sie nicht nutzen. Wird ein Handy entfernt, ist sein Zugangsschein sofort ungültig; wird das letzte Handy entfernt und ist kein Kopplungsfenster offen, endet die Verbindung. Nutzt 30 Tage lang kein gekoppeltes Handy das Tablet, beendet das Tablet die Verbindung von selbst ("sleeping"), bis sich ein gekoppeltes Handy im WLAN verbindet, ein Kopplungsfenster geöffnet oder der Fernzugriff neu eingeschaltet wird.
Ein Kiosk-Tablet wird oft von vielen Personen nacheinander genutzt. Mit eingeschaltetem "Reset session when idle" (Standard) löscht die App nach der eingestellten Ruhezeit Cookies, Anmeldungen, Seitenspeicher, Formulareingaben, Cache, gespeicherte HTTP-Anmeldungen, Zertifikats- und Sicherheitsentscheidungen, an Websites erteilte Standortfreigaben, die Zwischenablage und den Verlauf und lädt die Startseite neu. Dasselbe geschieht beim Neustart-Knopf mit "Also reset the session". Schalten Sie den Reset aus ("Sitzung behalten"), etwa damit Personal angemeldet bleibt, kann die nächste Person sehen, was die vorige in der Website hinterlassen hat.
Datei-Uploads sind ab Werk aus. Schalten Sie sie ein, kann eine Website nach einer Datei fragen; die Person wählt sie in der Android-Dateiauswahl oder Fotoauswahl, und die Datei geht direkt an diese Website. Die Systemauswahl kann auch mit dem Gerät verbundene Speicher zeigen, etwa ein Cloud-Laufwerk des Google-Kontos auf dem Gerät. Prüfen Sie, was die Auswahl zeigt, bevor Sie Uploads auf einem öffentlichen Tablet erlauben.
Die App hat keine Kamera-, Mikrofon- oder Standortberechtigung. Downloads sind immer gesperrt; keine Datei einer Website wird auf dem Tablet gespeichert.
Diese Berechtigungen dienen ausschließlich dem Kiosk-Betrieb. Keine wird zur Datenerhebung genutzt.
Während der Kiosk-Modus läuft, prüft ein Hintergrunddienst, welche App vorn ist, und holt den Kiosk zurück. Geplante Wecker lösen das nächtliche Neuladen und den Bildschirm-Zeitplan aus, die Lizenzprüfung läuft wie in Abschnitt 3 d) beschrieben. Außer den Lizenzanfragen wird nichts an uns gesendet.
Koppeln Sie ein Handy mit H2 Kiosk Control, hält ein zweiter Hintergrunddienst das Tablet für gekoppelte Handys erreichbar, auch bei ausgeschaltetem Kiosk-Modus und nach einem Neustart: im lokalen WLAN und bei eingeschaltetem Fernzugriff sowie, ab Version 1.0.1, bei offenem Kopplungsfenster über seine Verbindung zu unserem Vermittlungsserver (Abschnitt 3 f). Er läuft nur, solange ein Handy gekoppelt oder ein Kopplungsfenster offen ist, und endet, wenn das letzte Handy entfernt wird (Abschnitt 3 e). Android kann währenddessen die Benachrichtigung "Central management on" anzeigen.
Die Verbindung zu unserem Lizenzserver ist immer verschlüsselt (HTTPS); jede andere Verbindung zu ihm lehnt die App ab. Ob die Verbindung zur angezeigten Website verschlüsselt ist, hängt von der Website ab: Die App akzeptiert auch http:// und Adressen im lokalen Netz, etwa für eine Intranetseite. Wir empfehlen nach Möglichkeit https://.
Zentrale Verwaltung (Abschnitte 3 e und 3 f): Status und Befehle sind zwischen Tablet und Handy immer Ende-zu-Ende-verschlüsselt. Auch die Verbindung zu unserem Vermittlungsserver ist verschlüsselt, und die App akzeptiert den Vermittler nur, wenn sein Schlüssel zu einem in der App hinterlegten passt. Alle Verbindungen zu Servern sind verschlüsselt. Nur innerhalb Ihres lokalen Netzes und an keinen Server gehen zwei Dinge unverschlüsselt: die Ankündigung des Tablets und, wenn Tablet oder Handy Android 9 nutzen, die Zertifikate, die beim Verbindungsaufbau im WLAN ausgetauscht werden (Abschnitt 3 e).
Die Vollversion wird über einen In-App-Kauf bei Google Play freigeschaltet. Jeder Kauf ist eine Lizenz für das eine Gerät, auf dem gekauft wird. Zahlungsdaten, Name oder Google-Konto sehen wir nie. Beim Kauf übergibt die App die pseudonyme Gerätekennung aus Abschnitt 3 d) an Google Play, damit der Kauf diesem Gerät zugeordnet werden kann; Google Play kann diesen Wert auch nutzen, um auffällige Kaufaktivitäten zu erkennen. Aktionspreise und Aktionscodes wickelt Google Play ab; ein so außerhalb der App gemachter Kauf trägt keine Gerätekennung, und die App registriert ihn dann wie in Abschnitt 3 d) beschrieben für dieses Gerät. Wie Google Kauf- und Zahlungsdaten verarbeitet: https://policies.google.com/privacy
Die App nutzt zwei Google-Play-Komponenten: Google Play Billing für den In-App-Kauf und die Google Play In-App Review API, mit der Google Play gelegentlich seinen eigenen Bewertungsdialog zeigt. Beide betreibt Google nach seiner Datenschutzerklärung. Webseiten werden mit Android System WebView angezeigt (Abschnitt 3 c). Unser Lizenzserver nutzt die Google Play Developer API, um Käufe und Erstattungen zu bestätigen (Abschnitt 3 d). Kein weiterer Drittdienst ist eingebunden. Die App enthält kein Werbe-, Analyse- oder Absturzbericht-SDK.
Löschung oder Auskunft zu den bei uns gespeicherten Lizenzdaten per E-Mail an info@h2-ai.de. Bitte nennen Sie die Google-Play-Bestellnummer (beginnt mit "GPA.", steht in der Kaufbestätigung von Google Play), die Gerätekennung oder beides; bei einer direkt bei uns gekauften Lizenz unseren Rechnungs- oder Bestellbezug. Die App zeigt die Gerätekennung in den Einstellungen unter "Device ID (for license support)": Tippen Sie auf "Show device ID", dann auf "Copy". Wir antworten innerhalb eines Monats.
Kopien in verschlüsselten Sicherungen verschwinden innerhalb von 30 Tagen. Google Play führt eigene Aufzeichnungen über den Kauf. Unser Vermittlungsserver behält keine Daten über die Verbindung hinaus, außer kurzlebigen Missbrauchszählern im Arbeitsspeicher (Abschnitt 3 f); dort gibt es also nichts zu löschen.
Um alles zu entfernen, was die App auf dem Gerät gespeichert hat, deinstallieren Sie sie oder löschen ihren Speicher in den Android-App-Einstellungen. Was eine Website auf ihren eigenen Servern gespeichert hat, kann nur deren Betreiber löschen.
Empfänger der Lizenzdaten: Hetzner Online GmbH, Deutschland (Hosting, als unser Auftragsverarbeiter), und Google (Google Play), das Ihren Kauf als Zahlungsdienst abwickelt und Käufe und Erstattungen an unseren Server bestätigt. Beim Kauf geben wir die pseudonyme Gerätekennung an Google weiter, das sie auch für den eigenen Zweck der Erkennung auffälliger Kaufaktivitäten nutzen kann (Abschnitt 8). Creators erhalten nur die Anzahl der Käufe mit ihrem Code, keine personenbezogenen Daten (Abschnitt 3 d), "Creator-Codes"). Bei Firmenkunden, die direkt bei uns kaufen, erhalten ein Steuerberater (falls wir einen beauftragen) und der Anbieter unserer Buchhaltungssoftware die Bestell- und Rechnungsdaten, soweit für die Buchhaltung nötig, und der von Ihnen gewählte Zahlungsdienst wickelt Ihre Zahlung nach seiner eigenen Datenschutzerklärung ab (Abschnitt 3 d), "Direkt bei uns gekaufte Lizenzen"). Sonst niemand. Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Für Kopplung und Fernzugriff über unseren Vermittlungsserver (Abschnitt 3 f) hostet die Hetzner Online GmbH, Deutschland, als unser Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags auch unseren Vermittlungsserver; sonst erhält niemand diese Daten.
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15-18, 20, 21 DSGVO). Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
KioskBrowser ist ein Werkzeug für Unternehmen und Erwachsene, die ein Tablet einrichten, und richtet sich nicht an Kinder. Die App selbst erhebt keine Daten der Personen, die ein Kiosk-Tablet benutzen; was eine Website erhebt, verantwortet deren Betreiber (Abschnitt 3 a).
Wir können diese Erklärung aktualisieren. Änderungen werden auf dieser Seite mit neuem Stand veröffentlicht.
H2-AI GmbH
Amselrain 43
75038 Oberderdingen
Deutschland
E-Mail: info@h2-ai.de