Datenschutzerklärung

Stand: 7. Oktober 2026. Diese Erklärung gilt für die Numa Waitlist (diese Website) und die zugehörigen E-Mails. Sie richtet sich nach dem Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, nach der EU-Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlich

Numa – ein Miniunternehmen im Company Programme von YES (Young Enterprise Switzerland), vertreten durch Eduardo Willi
Valustrasse 3
8887 Mels
Schweiz
E-Mail: numa.startup@gmail.com

Für Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter numa.startup@gmail.com.

2. Welche Daten wir bearbeiten

Beim Eintragen: Vorname, E-Mail-Adresse, gewählte Sprache, Zeitpunkt der Anmeldung und deine Einwilligung.
Beim Bestätigen: Zeitpunkt der Bestätigung und dein Wartelistenplatz.
Für den Drop: zugeteilter Rabattcode, Gültigkeit, Status (aktiv, gekauft, abgelaufen) und die Zuordnung zu einer Shop-Bestellung.
Zum Schutz vor Missbrauch: eine gekürzte bzw. gehashte Form deiner IP-Adresse und Zeitstempel für die Begrenzung von Anfragen; ausserdem ein technisches Prüf-Token von Firebase App Check (reCAPTCHA Enterprise), mit dem unsere Server prüfen, dass eine Anfrage von dieser Website kommt.
Zugangs-Links: zufällige, geheime Tokens für den Bestätigungs-, Status- und Abmeldelink. Deine E-Mail-Adresse steht nie in einer URL.
Versandprotokoll: zu jeder verschickten Mail Zeitpunkt, Art der Mail, Sprache und Erfolg – ohne Inhalt und ohne deine Adresse.
Server-Protokolle: Beim Aufruf der Website protokolliert Google (Firebase Hosting) technisch bedingt IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung.

Wir setzen keine Tracking- oder Werbe-Cookies. Im Browser speichern wir lokal deine Sprachwahl und – nach der Bestätigung – deinen Status-Link, damit du ihn wiederfindest.

Bot-Schutz durch Google: Auf der Startseite und auf deinen persönlichen Seiten (Bestätigen, Status, Abmelden) lädt dein Browser Programmcode von Google (gstatic.com, google.com) für Firebase App Check und reCAPTCHA Enterprise. Dabei erhält Google deine IP-Adresse und technische Merkmale deines Browsers und Geräts, um Bots von Menschen zu unterscheiden. Google kann dafür Cookies bzw. Einträge im lokalen Speicher deines Browsers setzen. Ohne diesen Schutz können wir die Waitlist nicht zuverlässig vor automatisierten Anmeldungen schützen.

3. Zwecke und Rechtsgrundlage

Wir bearbeiten die Daten, um die Warteliste zu führen, dir die Bestätigungsmail, deinen Rabattcode und Infos zum Shop-Start zu schicken, Bestellungen deinem Code zuzuordnen und Missbrauch zu verhindern. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Nach DSG bearbeiten wir die Daten nur für diese erkennbaren Zwecke. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

4. Double Opt-in

Nach dem Eintragen schicken wir dir eine Mail mit Bestätigungslink. Erst wenn du bestätigst, bist du auf der Waitlist. Nicht bestätigte Anmeldungen löschen wir automatisch nach 7 Tagen.

4a. Kinder und Jugendliche

Für die Waitlist musst du mindestens 13 Jahre alt sein. Bist du unter 16 Jahren, sprich die Anmeldung bitte vorher mit deinen Eltern oder einer erziehungsberechtigten Person ab. Wir fragen bewusst kein Geburtsdatum ab, um nicht mehr Daten von Jugendlichen zu erheben als nötig. Erziehungsberechtigte können uns jederzeit unter numa.startup@gmail.com schreiben; wir geben Auskunft und löschen den Eintrag auf Wunsch sofort. Erfahren wir, dass sich jemand unter 13 Jahren eingetragen hat, löschen wir den Eintrag ohne Nachfrage.

5. Empfänger und Auftragsbearbeiter

Google Firebase (Google Cloud EMEA Ltd., Irland / Google LLC, USA): Hosting, Datenbank und Server-Funktionen. Datenbank und Funktionen laufen in der Region Zürich (europe-west6).
Google reCAPTCHA Enterprise / Firebase App Check (Google Cloud EMEA Ltd., Irland / Google LLC, USA): Schutz vor Bots. Anfragen an unsere Server werden nur mit gültigem Prüf-Token angenommen.
Resend (Resend, Inc., USA): Versand der E-Mails.
Shopify (Shopify International Ltd., Irland): Sobald der Shop angebunden ist, legen wir dich beim Bestätigen als Kundin/Kunden mit dem Merkmal „waitlist“ an; beim Drop erstellen wir deinen Rabattcode und schalten den Kauf frei. Shopify kann diese Daten auch in Kanada und den USA speichern und bearbeiten.

Mit allen Anbietern bestehen Auftragsbearbeitungsverträge. Bei Übermittlungen in die USA stützen wir uns auf das Swiss-U.S. bzw. EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf Standardvertragsklauseln.

6. Speicherdauer

Unbestätigte Anmeldungen: 7 Tage.
Bestätigte Einträge: bis du dich abmeldest oder die Waitlist beendet wird.
Zähler zur Missbrauchsabwehr (gehashte Schlüssel, keine Klartext-IP): höchstens 24 Stunden.
Versandprotokoll: 30 Tage.
Bestellereignisse aus dem Shop (enthalten die Bestell-E-Mail-Adresse): 90 Tage.
Protokoll unserer eigenen Verwaltungsaktionen (z. B. Anlegen eines Drops): 12 Monate.
Server-Protokolle bei Google: nach den Fristen von Google Cloud.
Abmeldung: Dein Eintrag und deine E-Mail-Adresse werden sofort gelöscht. Technische Protokolle ohne deine Adresse laufen nach den oben genannten Fristen aus. Daten zu einer bereits getätigten Bestellung bewahrt der Shop nach den gesetzlichen Aufbewahrungspflichten auf.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe bzw. -übertragung und Widerspruch sowie auf Widerruf deiner Einwilligung. Abmelden kannst du dich jederzeit über den Link in jeder Mail – dabei werden deine Daten gelöscht. Du kannst dich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder bei einer Datenschutzaufsichtsbehörde in der EU beschweren.

8. Sicherheit

Die Verbindung ist verschlüsselt (HTTPS). Die Datenbank ist für Browser vollständig gesperrt; alle Zugriffe laufen über geprüfte Server-Funktionen. Persönliche Links enthalten nicht erratbare Tokens.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Waitlist ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Privacy policy

Last updated: October 7, 2026. This policy covers the Numa waitlist (this website) and its emails. It follows the Swiss Federal Act on Data Protection (FADP) and, where applicable, the EU General Data Protection Regulation (GDPR).

1. Controller

Numa – a mini-company in the YES (Young Enterprise Switzerland) Company Programme, represented by Eduardo Willi
Valustrasse 3
8887 Mels
Switzerland
E-Mail: numa.startup@gmail.com

For privacy questions and to exercise your rights, contact us at numa.startup@gmail.com.

2. What data we process

When you sign up: first name, email address, chosen language, time of sign-up and your consent.
When you confirm: time of confirmation and your waitlist spot.
For the drop: assigned discount code, validity, status (active, purchased, expired) and the link to a shop order.
To prevent abuse: a truncated or hashed form of your IP address and timestamps for rate limiting; plus a technical verification token from Firebase App Check (reCAPTCHA Enterprise), which our servers use to check that a request comes from this website.
Access links: random secret tokens for the confirmation, status and unsubscribe links. Your email address never appears in a URL.
Delivery log: for every email sent, the time, type, language and whether it succeeded – without content and without your address.
Server logs: when you visit the site, Google (Firebase Hosting) technically logs IP address, time, requested address and browser identifier.

We use no tracking or advertising cookies. In your browser we store your language choice and – after confirming – your status link so you can find it again.

Bot protection by Google: On the home page and on your personal pages (confirm, status, unsubscribe) your browser loads code from Google (gstatic.com, google.com) for Firebase App Check and reCAPTCHA Enterprise. Google receives your IP address and technical characteristics of your browser and device in order to tell bots from humans. Google may set cookies or local storage entries in your browser for this. Without this protection we cannot reliably protect the waitlist against automated sign-ups.

3. Purposes and legal basis

We process the data to run the waitlist, send you the confirmation email, your discount code and shop-opening updates, match orders to your code and prevent abuse. The legal basis is your consent (Art. 6(1)(a) GDPR) and our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR). Under the FADP we process the data only for these recognisable purposes. You can withdraw your consent at any time with effect for the future.

4. Double opt-in

After signing up we send you an email with a confirmation link. You are only on the waitlist once you confirm. Unconfirmed sign-ups are deleted automatically after 7 days.

4a. Children and young people

You must be at least 13 years old to join the waitlist. If you are under 16, please check with your parents or legal guardian before signing up. We deliberately do not ask for a date of birth, so as not to collect more data from young people than necessary. Guardians can write to us at any time at numa.startup@gmail.com; we will provide information and delete the entry immediately on request. If we learn that someone under 13 has signed up, we delete the entry without further enquiry.

5. Recipients and processors

Google Firebase (Google Cloud EMEA Ltd., Ireland / Google LLC, USA): hosting, database and server functions. Database and functions run in the Zurich region (europe-west6).
Google reCAPTCHA Enterprise / Firebase App Check (Google Cloud EMEA Ltd., Ireland / Google LLC, USA): bot protection. Our servers only accept requests with a valid verification token.
Resend (Resend, Inc., USA): email delivery.
Shopify (Shopify International Ltd., Ireland): once the shop is connected, we create you as a customer tagged “waitlist” when you confirm; at the drop we create your discount code and unlock checkout. Shopify may also store and process this data in Canada and the USA.

We have data processing agreements with all providers. For transfers to the USA we rely on the Swiss-U.S. / EU-U.S. Data Privacy Framework where the provider is certified, otherwise on standard contractual clauses.

6. Retention

Unconfirmed sign-ups: 7 days.
Confirmed entries: until you unsubscribe or the waitlist ends.
Abuse-prevention counters (hashed keys, no plaintext IP): 24 hours at most.
Delivery log: 30 days.
Order events from the shop (contain the order email address): 90 days.
Log of our own administrative actions (e.g. creating a drop): 12 months.
Server logs at Google: according to Google Cloud's retention periods.
Unsubscribing: your entry and your email address are deleted immediately. Technical logs without your address expire within the periods above. Data about an order already placed is kept by the shop as required by law.

7. Your rights

You have the right to access, rectification, erasure, restriction, data portability and objection, and to withdraw your consent. You can unsubscribe at any time via the link in every email – this deletes your data. You may also lodge a complaint with the Swiss Federal Data Protection and Information Commissioner (FDPIC) or an EU supervisory authority.

8. Security

The connection is encrypted (HTTPS). The database is fully locked for browsers; all access goes through validated server functions. Personal links contain unguessable tokens.

9. Changes

We update this policy when the waitlist changes. The version published here applies.

Datenschutz­erklärung