Datenschutzerklärung / Privacy Policy

Wir freuen uns, dass Sie unsere Website und unsere Shopify-App 'Lumon Track' (nachfolgend 'Lumon Track' oder 'App') nutzen. Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) sowie gemäß § 25 Telekommunikation-Digital-Dienste-Datenschutz-Gesetz (TDDDG) darüber, welche personenbezogenen Daten wir bei der Nutzung unserer Website und unserer App verarbeiten, zu welchen Zwecken wir dies tun, auf welcher Rechtsgrundlage dies erfolgt und welche Rechte Ihnen zustehen.

Verantwortlicher im Sinne der DSGVO (also die Stelle, die über die Zwecke und Mittel der Verarbeitung Ihrer personenbezogenen Daten entscheidet) ist:
XpVision (Einzelunternehmen)
Inhaber: Giovanni Berardis
Laerholzstraße 3
44801 Bochum
Deutschland
E-Mail: justice@xpvision.io
Website: https://www.lumontrack.com/

Als Einzelunternehmen mit weniger als zehn Mitarbeitern und ohne besonders sensible Datenverarbeitung sind wir nach Art. 37 DSGVO nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Anfragen zum Datenschutz richten Sie bitte an die obige E-Mail-Adresse mit dem Betreff 'Datenschutz'.

Diese Datenschutzerklärung gilt für die Website https://www.lumontrack.com/ sowie für die Shopify-App 'Lumon Track', die Sie über den Shopify App Store installieren können. Sie erklärt, welche Daten wir erheben und verarbeiten, wenn Sie unsere Website besuchen, unsere App installieren und nutzen, Ihren Meta-Anzeigen-Account verbinden oder anderweitig mit uns in Kontakt treten.

Soweit Sie Lumon Track innerhalb von Shopify installieren oder Ihren Meta-Anzeigen-Account verbinden, findet zusätzlich eine Datenverarbeitung durch Shopify Inc. bzw. Meta Platforms Inc. statt. Für diese Verarbeitungen gelten die jeweiligen Datenschutzbestimmungen von Shopify (https://www.shopify.com/legal/privacy) und Meta (https://www.facebook.com/privacy/policy). Diese Datenschutzerklärung bezieht sich ausschließlich auf die Datenverarbeitung durch XpVision als Betreiber von Lumon Track.

Wenn Sie Lumon Track als Shopify-Händler (Merchant) installieren, verarbeiten Sie als Verantwortlicher selbst personenbezogene Daten Ihrer Endkunden (z. B. Bestelldaten, E-Mail-Adressen). XpVision tritt in Bezug auf diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf. Nähere Informationen hierzu finden Sie in Abschnitt 8.

Diese Website wird bei folgendem Hosting-Anbieter gehostet (Serverstandort: Deutschland):
netcup GmbH
Daimlerstraße 25
76185 Karlsruhe
Deutschland
Website: https://www.netcup.de/

Mit netcup haben wir einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen, der die datenschutzkonforme Verarbeitung Ihrer Daten sicherstellt. Da der Serverstandort in Deutschland liegt, findet keine Drittlandübermittlung statt.

Bei jedem Aufruf unserer Website erhebt unser Hosting-Provider automatisch Informationen, die Ihr Browser an unseren Server übermittelt. Diese sind:
• anonymisierte IP-Adresse (nach DSGVO-Standard: letztes Oktett bei IPv4 / 80-Bit-Maske bei IPv6)
• Datum und Uhrzeit der Anfrage
• Anfrage-URL und angeforderte Ressource
• HTTP-Referrer (zuvor besuchte Seite)
• verwendeter Browser-Typ und ggf. Betriebssystem
• HTTP-Statuscode

Zweck: Diese Daten werden zur technischen Auslieferung der Website, zur Gewährleistung der IT-Sicherheit und zur Erkennung von Angriffen oder Fehlfunktionen verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung und dem Schutz unserer Website). Unser berechtigtes Interesse liegt in der Verfügbarkeit, Stabilität und Sicherheit unserer IT-Infrastruktur.

Speicherdauer: Server-Logfiles werden nach 7 Tagen automatisch gelöscht, soweit sie nicht zur Aufklärung eines Sicherheitsvorfalls länger aufbewahrt werden müssen (maximal 90 Tage).

Empfänger: Zugriff auf die Logfiles hat ausschließlich unser Hosting-Provider netcup sowie autorisierte Mitarbeiter von XpVision.

Wir verwenden auf unserer Website ausschließlich technisch notwendige Cookies. Diese sind erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst (die Website) bereitzustellen. Eine Einwilligung gemäß § 25 Abs. 2 Nr. 2 TDDDG ist für diese Cookies nicht erforderlich.

Folgende Cookies setzen wir ein:
• session_id (oder vergleichbar) – Zweck: Aufrechterhaltung der Session / Login · Speicherdauer: Session (bis Schließen des Browsers) · Typ: technisch notwendig

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 25 Abs. 2 Nr. 2 TDDDG. Unser berechtigtes Interesse besteht in der funktionsfähigen Bereitstellung der Website.

Wir setzen keine Marketing-, Analytics- oder Third-Party-Cookies ein, die einer Einwilligung bedürften. Sollten wir künftig solche Technologien einsetzen, werden wir ein Einwilligungs-Banner implementieren, das erst nach ausdrücklicher, freiwilliger und informierter Einwilligung aktiviert wird. Die Einwilligung können Sie dann jederzeit über das Banner oder durch Löschung der entsprechenden Cookies widerrufen.

Wenn Sie uns per E-Mail (justice@xpvision.io) kontaktieren, werden die von Ihnen mitgeteilten Daten (Ihre E-Mail-Adresse, ggf. Ihr Name und die Inhalte Ihrer Nachricht) von uns gespeichert, um Ihre Anfrage zu bearbeiten.

Zweck: Bearbeitung und Beantwortung Ihrer Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) bei Anfragen zu bestehenden oder potenziellen Vertragsverhältnissen, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Kundenanfragen).

Speicherdauer: Ihre Kontaktdaten werden nach abschließender Bearbeitung Ihrer Anfrage gelöscht, spätestens jedoch nach 6 Monaten. Gesetzliche Aufbewahrungsfristen (z. B. nach Handels- oder Steuerrecht für geschäftsbezogene Korrespondenz) bleiben unberührt.

Sofern wir auf der Website ein Kontaktformular anbieten, werden die dort eingegebenen Daten (Name, E-Mail-Adresse, Nachricht) an uns übermittelt und per E-Mail weitergeleitet. Die Verarbeitung erfolgt zu dem Zweck, Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die Speicherdauer beträgt 6 Monate nach abschließender Bearbeitung.

Sofern wir einen Newsletter anbieten, erfolgt der Versand ausschließlich nach Ihrer ausdrücklichen Einwilligung (Double-Opt-In-Verfahren). Sie können den Newsletter jederzeit über den Abmeldelink am Ende jeder E-Mail abmelden.

Zweck: Versand von Informationen zu Produkt-Updates, Tipps und Angeboten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Speicherdauer: Ihre E-Mail-Adresse wird bis zum Widerruf Ihrer Einwilligung gespeichert.

Lumon Track ist eine Shopify-App, die Shopify-Händlern (Merchants) ermöglicht, ihre Werbeausgaben (insbesondere Meta-Anzeigen) mit ihren Bestelldaten zu verknüpfen, um den Return on Ad Spend (ROAS) zu berechnen und in einem Dashboard darzustellen.

Bei Installation der App beantragen wir folgende Shopify-API-Scopes:
• read_orders – zum Abruf von Bestelldaten, um Anzeigen-Klicks spezifischen Bestellungen zuzuordnen (Attribution).
• read_all_orders – zum Abruf aller Bestelldaten (auch historische), um ROAS-Berechnungen mit korrekter Baseline zu ermöglichen.

Zweck: Berechnung des ROAS, Darstellung von Umsatztrends und Top-Anzeigen im Dashboard des Merchants innerhalb des Shopify-Admin-Bereichs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – die App stellt die vereinbarte Dienstleistung bereit).

Datenkategorien: Bestellnummer, Bestelldatum, Bestellwert, Währung, Status der Bestellung. Wir identifizieren Endkunden ausschließlich über die mit der Bestellung verknüpfte E-Mail-Adresse. Wir speichern keine weiteren personenbezogenen Endkunden-Daten (insbesondere keine Namen, Adressen, Telefonnummern). Eine Berechnung des Customer Lifetime Value (LTV) findet nicht statt.

Speicherdauer: Bestelldaten und Tracking-Events (Klicks, Conversions) werden nach 30 Tagen automatisch gelöscht, es sei denn, der Merchant nutzt die App weiter. Bei Deinstallation siehe Abschnitt 9.

Wenn der Merchant seinen Meta-Anzeigen-Account verbindet, beantragen wir ausschließlich die Berechtigung 'ads_read'. Diese Berechtigung ist strikt lesend (read-only).
• Was wir tun: Wir fragen die Meta Insights API ab, um accountbezogene Werbeausgaben (Ad Spend) zu erfassen.
• Was wir NICHT tun: Wir erstellen, ändern oder löschen keine Anzeigen im Auftrag des Merchants.
• Wichtig: Wir senden derzeit keine Daten serverseitig an Meta zurück (insbesondere keine Conversions über die Meta Conversions API / CAPI). Eine solche Funktion ist für eine zukünftige Version geplant und wird dann entsprechend kommuniziert und genehmigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Empfänger: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland (für Nutzer innerhalb der EU). Meta Platforms Inc., 1 Hacker Way, Menlo Park, CA, USA (als Mutterunternehmen). Die Übermittlung in die USA erfolgt auf Grundlage der Angemessenheitsbeschlüsse der EU-Kommission (Data Privacy Framework, DPF), da Meta unter dem DPF zertifiziert ist. Siehe auch Abschnitt 10.

Lumon Track verwendet serverseitiges Tracking. Das bedeutet: Tracking-Events (Klicks, Conversions) werden nicht direkt im Browser des Endkunden über ein Pixel erfasst, sondern über unsere Server verarbeitet. Dies bietet Vorteile bei der Datengenauigkeit und dem Datenschutz, da wir die Verarbeitung kontrollieren und datenschutzkonform gestalten können.
• IP-Anonymisierung: IP-Adressen werden nach DSGVO-Standard anonymisiert (letztes Oktett bei IPv4 / 80-Bit-Maske bei IPv6) und nicht in Klartext gespeichert.
• Kein Fingerprinting: Wir erstellen keine Browser- oder Geräte-Fingerprints. Es werden keine biometrischen, hardware- oder verhaltensbasierten Identifikatoren verwendet.
• Identifikation: Endkunden werden ausschließlich über die mit der Bestellung verknüpfte E-Mail-Adresse (gehasht) identifiziert. Eine Zuordnung zu natürlichen Personen durch XpVision findet nicht statt.
• Speicherdauer: Tracking-Daten werden nach 30 Tagen automatisch gelöscht.

Wenn Sie Lumon Track als Shopify-Händler installieren, verarbeiten Sie als Verantwortlicher selbst personenbezogene Daten Ihrer Endkunden (insbesondere Bestelldaten und E-Mail-Adressen). XpVision tritt in Bezug auf diese Daten als Auftragsverarbeiter im Sinne von Art. 28 DSGVO auf. Wir verarbeiten diese Daten ausschließlich auf Ihre Weisung und im Rahmen der vertraglichen Vereinbarungen (Shopify App Terms).

Soweit wir im Rahmen der Leistungserbringung weitere Dienstleister einsetzen (z. B. Hosting-Provider, Zahlungsanbieter), schließen wir mit diesen ebenfalls Auftragsverarbeitungsverträge ab, um die datenschutzkonforme Verarbeitung sicherzustellen.

Verantwortlich für die Datenerhebung bei Endkunden, für die datenschutzkonforme Einrichtung Ihres Shopify-Shops, für eventuell erforderliche Einwilligungen Ihrer Endkunden in das Tracking sowie für die Information Ihrer Endkunden gemäß Art. 13 und 14 DSGVO sind Sie als Merchant. Wir empfehlen Ihnen, Ihre eigenen Datenschutzhinweise entsprechend zu ergänzen und ggf. rechtlich prüfen zu lassen.

Wir verarbeiten und speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung unserer vertraglichen und gesetzlichen Pflichten erforderlich ist oder soweit Sie nicht eingewilligt haben. Nach Wegfall des Zwecks werden die Daten gelöscht.

Wenn Sie die Lumon Track Shopify-App deinstallieren, lösen die von Shopify automatisch versendeten Compliance-Webhooks ('shop/redact' bzw. 'customers/redact') die Löschung aller zugehörigen Tracking-, Bestell-, Kunden- und Einstellungsdaten aus. Diese Löschung erfolgt innerhalb von 30 Tagen nach Erhalt des Webhooks unwiderruflich.

Wenn Sie Ihren Meta-Account ohne Deinstallation der App trennen möchten, können Sie dies in den Einstellungen der Lumon Track-App tun (Schaltfläche 'Disconnect Meta Account'). Hiermit wird die ads_read-Berechtigung unwiderruflich entzogen und Ihre Meta-Ad-Account-ID sowie der verschlüsselte Meta-Token umgehend gelöscht.

Sie können jederzeit eine manuelle Löschung Ihrer Daten per E-Mail an justice@xpvision.io (Betreff: 'Data Deletion Request') beantragen. Bitte geben Sie Ihre Shopify-Shop-Domain an. Wir bearbeiten Ihre Anfrage und bestätigen die Löschung innerhalb von 48 Stunden per E-Mail.

Davon unberührt bleiben gesetzliche Aufbewahrungspflichten, insbesondere nach dem Handelsgesetzbuch (HGB) und der Abgabenordnung (AO). Rechnungen und geschäftsbezogene Korrespondenz werden entsprechend § 147 AO für die Dauer von 10 Jahren aufbewahrt.

Eine Übermittlung Ihrer personenbezogenen Daten in Staaten außerhalb des Europäischen Wirtschaftsraums (Drittstaaten) findet in folgenden Fällen statt:

Wenn Sie Ihren Meta-Anzeigen-Account verbinden, werden Ad-Spend-Daten über die Meta-API abgerufen. Meta Platforms Ireland Ltd. mit Sitz in Dublin, Irland, ist für Nutzer innerhalb der EU verantwortlich. Das Mutterunternehmen Meta Platforms Inc. mit Sitz in Menlo Park, Kalifornien, USA, kann jedoch Zugriff auf diese Daten haben.

Rechtsgrundlage: Die Übermittlung in die USA erfolgt auf Basis des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 (Data Privacy Framework, DPF). Meta Platforms Inc. ist unter dem DPF zertifiziert. Die Zertifizierung können Sie einsehen unter: https://www.dataprivacyframework.gov/participant/5478.

Shopify Inc. mit Sitz in Ottawa, Kanada, verarbeitet Ihre Daten als Verantwortlicher im Rahmen Ihrer Nutzung der Shopify-Plattform. Die Datenverarbeitung durch Shopify erfolgt auf Basis der Shopify-Privacy-Policy. Shopify ist ebenfalls unter dem Data Privacy Framework zertifiziert.

Wenn Sie eine Zahlung über Stripe abwickeln, werden Zahlungsdaten direkt zwischen Ihnen und Stripe verarbeitet. Stripe ist unter dem Data Privacy Framework zertifiziert. Details siehe Abschnitt 11.

PayPal als Zahlungsdienstleister wird von PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, erbracht. Eine Drittlandübermittlung findet bei Zahlungen innerhalb der EU nicht statt.

Soweit Daten in die USA übermittelt werden, können Sie sich bei Bedenken an die Datenschutzbehörden wenden oder die unter dem DPF eingeräumten Beschwerdemechanismen nutzen. Die Kontaktdaten der zuständigen Aufsichtsbehörde finden Sie in Abschnitt 14.

Für die Abwicklung von Zahlungen für unsere kostenpflichtigen Pakete (Lumon Flow, Lumon Pulse, Lumon Velocity, Lumon Enterprise) nutzen wir folgende Zahlungsdienstleister:

Stripe Payments Europe, Ltd.
1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland
Website: https://stripe.com/de/privacy

PayPal (Europe) S.à r.l. et Cie, S.C.A.
22-24 Boulevard Royal, L-2449 Luxembourg
Website: https://www.paypal.com/de/webapps/mpp/ua/privacy-full

Shopify Inc. (Shopify Payments)
151 O'Connor Street, Ground Floor, Ottawa, ON K2P 2L8, Kanada
Website: https://www.shopify.com/legal/privacy

Zweck: Abwicklung von Zahlungen für die Nutzung kostenpflichtiger Lumon Track-Pakete.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Datenkategorien: Wir speichern keine Kreditkartendaten. Die Zahlungsabwicklung erfolgt ausschließlich über die genannten Zahlungsdienstleister. Wir erhalten lediglich Token-Referenzen und Statusmeldungen (z. B. 'Zahlung erhalten', 'Zahlung fehlgeschlagen') sowie den Bruttobetrag.

Speicherdauer: Zahlungsbelege werden nach § 147 AO für die Dauer von 10 Jahren aufbewahrt. Token-Referenzen werden nach Beendigung der Geschäftsbeziehung gelöscht.

Ihnen stehen als betroffene Person nach der DSGVO folgende Rechte zu:

Sie können von uns Auskunft darüber verlangen, welche Ihrer personenbezogenen Daten wir verarbeiten, zu welchen Zwecken, an welche Empfänger die Daten übermittelt werden und wie lange sie gespeichert werden.

Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten verlangen.

Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder andere berechtigte Gründe dagegen sprechen.

Sie können die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen, wenn die Voraussetzungen des Art. 18 DSGVO erfüllt sind.

Sie können verlangen, dass wir Ihnen Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format übergeben oder an einen anderen Verantwortlichen übermitteln.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Verarbeiten wir Ihre personenbezogenen Daten für die Direktwerbung, so können Sie jederzeit Widerspruch dagegen einlegen. Nähere Informationen siehe Abschnitt 13.

Sofern Sie uns eine Einwilligung zur Verarbeitung Ihrer personenbezogenen Daten erteilt haben (z. B. für den Newsletter), können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Wir verwenden keine automatisierten Entscheidungsverfahren einschließlich Profiling gemäß Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkungen entfalten oder Sie ähnlich erheblich beeinträchtigen.

WIDERSPRUCHSRECHT
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO (Verarbeitung auf Grundlage einer Interessenabwägung) erfolgt, Widerspruch einzulegen.

Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch richten Sie bitte an: justice@xpvision.io

Sie haben unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht, sich bei einer Datenschutzaufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts eines vermuteten Verstoßes, über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren.

Die für XpVision zuständige Datenschutzaufsichtsbehörde ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Krefelder Straße 700
40221 Düsseldorf
Deutschland
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: https://www.ldi.nrw.de/

Die Bereitstellung Ihrer personenbezogenen Daten ist für die Nutzung der Lumon Track-App sowie für den Abschluss und die Erfüllung des Vertrags über unsere kostenpflichtigen Pakete erforderlich. Ohne diese Daten können wir die vertraglich vereinbarte Dienstleistung (Attribution, ROAS-Berechnung, Dashboard) nicht erbringen. Eine gesetzliche Verpflichtung zur Bereitstellung besteht nicht.

Die Folgen der Nichtbereitstellung sind, dass Sie die Lumon Track-App nicht nutzen können.

Wir verarbeiten personenbezogene Daten, die wir nicht direkt bei der betroffenen Person erhoben haben, in folgenden Fällen:
• Bestelldaten Ihrer Endkunden, die wir über die Shopify-API vom Merchant abrufen. Verantwortlich für die Datenerhebung beim Endkunden ist der Merchant.
• Ad-Spend-Daten Ihres Meta-Anzeigen-Accounts, die wir über die Meta-API abrufen. Verantwortlich für die Datenerhebung ist Meta Platforms Ireland Ltd.

In beiden Fällen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder den Änderungen unserer Dienstleistungen Rechnung trägt. Die jeweils aktuelle Version können Sie jederzeit auf dieser Seite abrufen. Bei wesentlichen Änderungen werden wir Sie zusätzlich informieren (z. B. per E-Mail oder durch Hinweis in der App).

Stand: 24. Oktober 2026 • Version 1.0

We are pleased that you use our website and our Shopify app 'Lumon Track' (hereinafter 'Lumon Track' or 'App'). The protection of your personal data is important to us. With this Privacy Policy, we inform you in accordance with Art. 13 and 14 of the General Data Protection Regulation (GDPR) and in accordance with § 25 of the German Telekommunikation-Digital-Dienste-Datenschutz-Gesetz (TDDDG) about which personal data we process when you use our website and our app, for what purposes, on what legal basis and what rights you have.

The controller within the meaning of the GDPR (i.e. the entity that decides on the purposes and means of processing your personal data) is:
XpVision (Sole Proprietorship)
Owner: Giovanni Berardis
Laerholzstraße 3
44801 Bochum
Germany
Email: justice@xpvision.io
Website: https://www.lumontrack.com/

As a sole proprietorship with fewer than ten employees and without particularly sensitive data processing, we are not required to appoint a Data Protection Officer under Art. 37 GDPR. Please direct any data protection enquiries to the above email address with the subject 'Privacy'.

This Privacy Policy applies to the website https://www.lumontrack.com/ and to the Shopify app 'Lumon Track', which you can install via the Shopify App Store. It explains what data we collect and process when you visit our website, install and use our app, connect your Meta Ad Account, or otherwise contact us.

To the extent you install Lumon Track within Shopify or connect your Meta Ad Account, additional data processing is carried out by Shopify Inc. or Meta Platforms Inc. The respective privacy policies of Shopify (https://www.shopify.com/legal/privacy) and Meta (https://www.facebook.com/privacy/policy) apply to these processing operations. This Privacy Policy applies exclusively to the data processing carried out by XpVision as the operator of Lumon Track.

If you install Lumon Track as a Shopify merchant, you yourself process personal data of your end customers (e.g. order data, email addresses) as controller. XpVision acts as processor (Art. 28 GDPR) with regard to this data. Further information can be found in Section 8.

This website is hosted by the following hosting provider (server location: Germany):
netcup GmbH
Daimlerstraße 25
76185 Karlsruhe
Germany
Website: https://www.netcup.de/

We have concluded a Data Processing Agreement (DPA) with netcup in accordance with Art. 28 GDPR, which ensures GDPR-compliant processing of your data. Since the server is located in Germany, no transfer to a third country takes place.

Each time you access our website, our hosting provider automatically collects information that your browser transmits to our server. This includes:
• anonymised IP address (GDPR-compliant: last octet for IPv4 / 80-bit mask for IPv6)
• date and time of the request
• request URL and requested resource
• HTTP referrer (previously visited page)
• browser type and, if applicable, operating system
• HTTP status code

Purpose: This data is processed for the technical delivery of the website, to ensure IT security and to detect attacks or malfunctions.

Legal basis: Art. 6 (1) (f) GDPR (legitimate interest in the secure provision and protection of our website). Our legitimate interest lies in the availability, stability and security of our IT infrastructure.

Storage period: Server logfiles are automatically deleted after 7 days, unless they need to be kept for longer (max. 90 days) to investigate a security incident.

Recipients: Only our hosting provider netcup and authorised XpVision employees have access to the logfiles.

We only use technically necessary cookies on our website. These are required to provide the service (the website) that you have explicitly requested. Consent under § 25 (2) No. 2 TDDDG is not required for these cookies.

We use the following cookies:
• session_id (or similar) – Purpose: maintaining session / login · Storage period: session (until the browser is closed) · Type: strictly necessary

The legal basis for processing is Art. 6 (1) (f) GDPR in conjunction with § 25 (2) No. 2 TDDDG. Our legitimate interest lies in the functional provision of the website.

We do not use marketing, analytics or third-party cookies that would require consent. Should we use such technologies in the future, we will implement a consent banner that is only activated after express, voluntary and informed consent. You can revoke your consent at any time via the banner or by deleting the corresponding cookies.

If you contact us by email (justice@xpvision.io), the data you provide (your email address, possibly your name and the content of your message) will be stored by us in order to process your enquiry.

Purpose: Processing and answering your enquiry.

Legal basis: Art. 6 (1) (b) GDPR (contractual performance or pre-contractual measures) for enquiries relating to existing or potential contractual relationships, otherwise Art. 6 (1) (f) GDPR (legitimate interest in processing customer enquiries).

Storage period: Your contact data will be deleted after your enquiry has been fully processed, but at the latest after 6 months. Statutory retention periods (e.g. under commercial or tax law for business correspondence) remain unaffected.

If we offer a contact form on the website, the data entered there (name, email address, message) will be transmitted to us and forwarded by email. Processing takes place for the purpose of processing your enquiry. The legal basis is Art. 6 (1) (b) or (f) GDPR. The storage period is 6 months after final processing.

If we offer a newsletter, it will only be sent after your express consent (double opt-in procedure). You can unsubscribe from the newsletter at any time using the unsubscribe link at the end of each email.

Purpose: Sending information on product updates, tips and offers.

Legal basis: Art. 6 (1) (a) GDPR (consent).

Storage period: Your email address will be stored until you revoke your consent.

Lumon Track is a Shopify app that enables Shopify merchants to link their advertising spend (in particular Meta Ads) with their order data in order to calculate the Return on Ad Spend (ROAS) and display it in a dashboard.

Upon installation of the app, we request the following Shopify API scopes:
• read_orders – to retrieve order data in order to attribute ad clicks to specific orders.
• read_all_orders – to retrieve all order data (including historical data) to enable ROAS calculations with a correct baseline.

Purpose: Calculation of ROAS, display of revenue trends and top ads in the merchant's dashboard within the Shopify admin area.

Legal basis: Art. 6 (1) (b) GDPR (contractual performance – the app provides the agreed service).

Data categories: Order number, order date, order value, currency, order status. We identify end customers exclusively via the email address associated with the order. We do not store any other personal end customer data (in particular no names, addresses, telephone numbers). Customer Lifetime Value (LTV) is not calculated.

Storage period: Order data and tracking events (clicks, conversions) are automatically deleted after 30 days, unless the merchant continues to use the app. For uninstallation, see Section 9.

When the merchant connects their Meta Ad Account, we only request the 'ads_read' permission. This permission is strictly read-only.
• What we do: We query the Meta Insights API to record account-level ad spend.
• What we do NOT do: We do not create, modify or delete ads on behalf of the merchant.
• Important: We currently do not send data back to Meta server-side (in particular no conversions via the Meta Conversions API / CAPI). Such a feature is planned for a future version and will be communicated and approved accordingly.

Legal basis: Art. 6 (1) (b) GDPR (contractual performance).

Recipient: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland (for users within the EU). Meta Platforms Inc., 1 Hacker Way, Menlo Park, CA, USA (as parent company). Data transfer to the USA is based on the European Commission's adequacy decisions (Data Privacy Framework, DPF), as Meta is certified under the DPF. See also Section 10.

Lumon Track uses server-side tracking. This means: tracking events (clicks, conversions) are not captured directly in the end customer's browser via a pixel, but processed via our servers. This offers advantages in terms of data accuracy and data protection, as we control the processing and can design it in a GDPR-compliant manner.
• IP anonymisation: IP addresses are anonymised according to GDPR standard (last octet for IPv4 / 80-bit mask for IPv6) and are not stored in plain text.
• No fingerprinting: We do not create browser or device fingerprints. No biometric, hardware or behaviour-based identifiers are used.
• Identification: End customers are identified exclusively via the (hashed) email address associated with the order. XpVision does not attribute them to natural persons.
• Storage period: Tracking data is automatically deleted after 30 days.

If you install Lumon Track as a Shopify merchant, you yourself process personal data of your end customers (in particular order data and email addresses) as controller. XpVision acts as a processor within the meaning of Art. 28 GDPR with regard to this data. We process this data exclusively on your instructions and within the framework of the contractual agreements (Shopify App Terms).

Where we use other service providers in the course of providing the service (e.g. hosting provider, payment provider), we also conclude Data Processing Agreements with them to ensure GDPR-compliant processing.

As the merchant, you are responsible for collecting data from end customers, for setting up your Shopify store in a GDPR-compliant manner, for any required consent from your end customers for tracking, and for informing your end customers in accordance with Art. 13 and 14 GDPR. We recommend that you supplement your own privacy notices accordingly and have them legally reviewed if necessary.

We process and store your personal data only for as long as is necessary to fulfil our contractual and statutory obligations, or unless you have consented. Once the purpose ceases to apply, the data is deleted.

When you uninstall the Lumon Track Shopify app, the compliance webhooks automatically sent by Shopify ('shop/redact' or 'customers/redact') trigger the deletion of all associated tracking, order, customer and settings data. This deletion takes place within 30 days of receipt of the webhook and is irreversible.

If you wish to disconnect your Meta account without uninstalling the app, you can do so in the Lumon Track app settings ('Disconnect Meta Account' button). This irrevocably revokes the ads_read permission and immediately deletes your Meta Ad Account ID and the encrypted Meta token.

You can request manual deletion of your data at any time by emailing justice@xpvision.io (subject: 'Data Deletion Request'). Please provide your Shopify shop domain. We will process your request and confirm deletion by email within 48 hours.

Statutory retention obligations, in particular under the German Commercial Code (HGB) and the Fiscal Code of Germany (AO), remain unaffected. Invoices and business correspondence are retained for 10 years in accordance with § 147 AO.

A transfer of your personal data to countries outside the European Economic Area (third countries) takes place in the following cases:

When you connect your Meta Ad Account, ad spend data is retrieved via the Meta API. Meta Platforms Ireland Ltd., based in Dublin, Ireland, is responsible for users within the EU. However, the parent company Meta Platforms Inc., based in Menlo Park, California, USA, may have access to this data.

Legal basis: The transfer to the USA is based on the European Commission's adequacy decision of 10 July 2023 (Data Privacy Framework, DPF). Meta Platforms Inc. is certified under the DPF. The certification can be viewed at: https://www.dataprivacyframework.gov/participant/5478.

Shopify Inc., based in Ottawa, Canada, processes your data as controller in the context of your use of the Shopify platform. Data processing by Shopify is based on the Shopify Privacy Policy. Shopify is also certified under the Data Privacy Framework.

If you make a payment via Stripe, payment data is processed directly between you and Stripe. Stripe is certified under the Data Privacy Framework. See Section 11 for details.

PayPal as a payment service provider is provided by PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg. No third country transfer takes place for payments within the EU.

Where data is transferred to the USA, you can contact the data protection authorities in case of concerns or use the complaint mechanisms established under the DPF. The contact details of the competent supervisory authority can be found in Section 14.

For processing payments for our paid packages (Lumon Flow, Lumon Pulse, Lumon Velocity, Lumon Enterprise), we use the following payment service providers:

Stripe Payments Europe, Ltd.
1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland
Website: https://stripe.com/de/privacy

PayPal (Europe) S.à r.l. et Cie, S.C.A.
22-24 Boulevard Royal, L-2449 Luxembourg
Website: https://www.paypal.com/de/webapps/mpp/ua/privacy-full

Shopify Inc. (Shopify Payments)
151 O'Connor Street, Ground Floor, Ottawa, ON K2P 2L8, Canada
Website: https://www.shopify.com/legal/privacy

Purpose: Processing payments for the use of paid Lumon Track packages.

Legal basis: Art. 6 (1) (b) GDPR (contractual performance).

Data categories: We do not store credit card data. Payment processing is carried out exclusively via the named payment service providers. We only receive token references and status messages (e.g. 'payment received', 'payment failed') as well as the gross amount.

Storage period: Payment receipts are retained for 10 years in accordance with § 147 AO. Token references are deleted upon termination of the business relationship.

As a data subject, you have the following rights under the GDPR:

You can request information from us about which of your personal data we process, for what purposes, to which recipients the data is transmitted and how long it is stored.

You can request the rectification of inaccurate or completion of incomplete personal data.

You can request the deletion of your personal data, provided there are no statutory retention obligations or other legitimate grounds to the contrary.

You can request the restriction of the processing of your personal data if the requirements of Art. 18 GDPR are met.

You can request that we provide you with your personal data in a structured, common and machine-readable format or transmit it to another controller.

You have the right to object at any time, on grounds relating to your particular situation, to the processing of your personal data which is based on Art. 6 (1) (f) GDPR. If we process your personal data for direct marketing purposes, you can object at any time. Further information can be found in Section 13.

If you have given us consent to process your personal data (e.g. for the newsletter), you can revoke this consent at any time with effect for the future. The lawfulness of the processing carried out up to the time of withdrawal remains unaffected.

We do not use automated decision-making procedures, including profiling within the meaning of Art. 22 GDPR, which have legal effects on you or significantly affect you in a similar way.

RIGHT TO OBJECT
You have the right to object at any time, on grounds relating to your particular situation, to the processing of your personal data which is carried out on the basis of Art. 6 (1) (f) GDPR (processing based on a balance of interests).

If you object, we will no longer process your personal data unless we can demonstrate compelling legitimate grounds for processing that override your interests, rights and freedoms, or the processing serves the establishment, exercise or defence of legal claims.

Please send any objection to: justice@xpvision.io

Without prejudice to any other administrative or judicial remedy, you have the right to lodge a complaint with a data protection supervisory authority, in particular in the Member State of your habitual residence, your place of work or the place of an alleged infringement, concerning the processing of your personal data by us.

The competent data protection supervisory authority for XpVision is:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Krefelder Straße 700
40221 Düsseldorf
Germany
Phone: +49 211 38424-0
Email: poststelle@ldi.nrw.de
Website: https://www.ldi.nrw.de/

The provision of your personal data is necessary for the use of the Lumon Track app and for the conclusion and fulfilment of the contract for our paid packages. Without this data, we cannot provide the contractually agreed service (attribution, ROAS calculation, dashboard). There is no statutory obligation to provide the data.

The consequence of not providing the data is that you will not be able to use the Lumon Track app.

We process personal data that we have not collected directly from the data subject in the following cases:
• Order data of your end customers, which we retrieve from the merchant via the Shopify API. The merchant is responsible for collecting the data from the end customer.
• Ad spend data from your Meta Ad Account, which we retrieve via the Meta API. Meta Platforms Ireland Ltd. is responsible for collecting the data.

In both cases, processing is based on Art. 6 (1) (b) GDPR (contractual performance).

We reserve the right to adapt this Privacy Policy so that it always meets current legal requirements or takes account of changes to our services. The current version can be called up at any time on this page. In the event of material changes, we will inform you additionally (e.g. by email or by notice in the app).

Status: 24 October 2026 • Version 1.0