Auftragsverarbeitungsvertrag

Art. 1 — Parteien und Geltungsbereich

Dieser Vertrag wird zwischen dem Kunden als Verantwortlichem und NEURALWORD S.r.l., USt-IdNr. IT03570180244, als Auftragsverarbeiter nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) geschlossen. Er gilt für personenbezogene Daten, die TrustInsider bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet, und ist Bestandteil der Nutzungsbedingungen. Großgeschriebene Begriffe haben die Bedeutung aus den Bedingungen und der DSGVO.

Art. 2 — Gegenstand, Dauer, Art und Zweck

TrustInsider verarbeitet die Daten für die Vertragslaufzeit und die zur Rückgabe oder Löschung erforderliche Zeit ausschließlich zur Bereitstellung der vom Kunden gewählten Funktionen: Auslesen von Integrationen, Monitoring, Berichte, Ask, Verwaltung gehosteter Seiten und Newsletter, Veröffentlichung in autorisierten Zielen. Die Kategorien von Daten und betroffenen Personen sind in Anlage 1 beschrieben.

Art. 3 — Weisungen des Kunden

TrustInsider verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, bestehend aus diesem Vertrag, den Bedingungen und den Einstellungen, die der Kunde im Dienst vornimmt, sofern nicht das Recht der Union oder eines Mitgliedstaats etwas anderes verlangt; in diesem Fall informiert TrustInsider den Kunden, soweit gesetzlich zulässig. Ist TrustInsider der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt sie dies dem Kunden unverzüglich mit. Der Kunde gewährleistet die Rechtmäßigkeit der Daten und seiner Weisungen.

Art. 4 — Vertraulichkeit und Personal

Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet und greifen nur auf das für ihre Aufgabe Erforderliche zu. Der Zugriff von Mitarbeitenden auf Kundendaten ist beschränkt, protokolliert und begründet, etwa für vom Kunden angeforderten Support.

Art. 5 — Sicherheit

TrustInsider wendet die technischen und organisatorischen Maßnahmen aus Anlage 2 an, die dem Risiko nach Art. 32 DSGVO angemessen sind, und darf sie aktualisieren, sofern das Schutzniveau nicht sinkt.

Art. 6 — Unterauftragsverarbeiter

Der Kunde erteilt TrustInsider eine allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen. TrustInsider verpflichtet sie vertraglich auf ein Datenschutzniveau, das dem dieses Vertrags nicht nachsteht, und haftet für deren Leistung. Vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters aktualisiert TrustInsider die Liste auf dieser Seite und informiert Kunden mit kostenpflichtigem Tarif mindestens 30 Tage im Voraus; der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen und, wenn keine Lösung gefunden wird, ohne Vertragsstrafe mit Erstattung des bezahlten, nicht genutzten Teils kündigen.

Art. 7 — Internationale Übermittlungen

Daten dürfen nur an Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums übermittelt werden, die durch einen Angemessenheitsbeschluss, das EU-U.S. Data Privacy Framework oder die Standardvertragsklauseln des Beschlusses (EU) 2021/914 mit den erforderlichen ergänzenden Maßnahmen abgedeckt sind. Für Übermittlungen, die dies erfordern, vereinbaren die Parteien die Geltung der Standardvertragsklauseln, Modul 2 oder Modul 3, die als in diesen Vertrag einbezogen gelten.

Art. 8 — Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung unterstützt TrustInsider den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen, leitet direkt erhaltene Anträge unverzüglich weiter und unterstützt ihn bei seinen Pflichten zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32-36 DSGVO) mit den ihr vorliegenden Informationen.

Art. 9 — Verletzungen des Schutzes personenbezogener Daten

TrustInsider meldet dem Kunden jede Verletzung des Schutzes der in seinem Auftrag verarbeiteten personenbezogenen Daten unverzüglich, spätestens jedoch 48 Stunden nach Kenntniserlangung, an die E-Mail-Adresse des Kontos, mit den zu diesem Zeitpunkt verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO, ergänzt so bald wie möglich, und ergreift sofort Maßnahmen zur Eindämmung. Der Kunde kann Vorfälle an privacy@trustinsider.com melden.

Art. 10 — Rückgabe und Löschung

Während der Vertragslaufzeit kann der Kunde seine Daten im geschützten Bereich exportieren. Nach Vertragsende löscht oder anonymisiert TrustInsider die im Auftrag des Kunden verarbeiteten Daten innerhalb von 30 Tagen, sofern nicht das Recht der Union oder eines Mitgliedstaats eine Aufbewahrung verlangt; verschlüsselte Sicherungskopien werden in ihrem regulären Zyklus überschrieben.

Art. 11 — Informationen und Audits

TrustInsider stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Der Kunde kann einmal jährlich mit einer Ankündigungsfrist von mindestens 30 Tagen selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer ein Audit durchführen, ohne den Dienst zu stören oder auf Daten anderer Kunden zuzugreifen; die Kosten trägt der Kunde, sofern kein wesentlicher Verstoß festgestellt wird. Von einer Aufsichtsbehörde verlangte Prüfungen sind jederzeit möglich.

Art. 12 — Haftung und Vorrang

Die Haftung der Parteien richtet sich nach den Bedingungen, in den Grenzen von Art. 82 DSGVO. In Datenschutzfragen hat dieser Vertrag Vorrang vor den Bedingungen; die Standardvertragsklauseln haben, soweit anwendbar, Vorrang vor beiden. Enterprise-Kunden erhalten auf Anfrage an privacy@trustinsider.com eine unterzeichnete Ausfertigung des Vertrags.

Anlage 1 — Beschreibung der Verarbeitung

• Betroffene Personen: berechtigte Nutzer des Kunden; Besucher der Website des Kunden in aggregierter Form über Analyse-Integrationen; Newsletter-Abonnenten und Personen, die Formulare auf für den Kunden gehosteten Seiten ausfüllen; in vom Kunden hochgeladenen oder veröffentlichten Inhalten genannte Personen.
• Datenkategorien: Kontakt- und Kontodaten, in der Regel aggregierte Traffic- und Suchstatistiken, Inhalte und Dokumente, Kennungen verbundener Konten, Vorgangsprotokolle. Besondere Kategorien von Daten sind nicht erforderlich: Der Kunde verpflichtet sich, keine einzugeben.
• Vorgänge: Erhebung über autorisierte Integrationen, Speicherung, Analyse, Verarbeitung mit KI-Modellen, Erstellung von Berichten und Entwürfen, Veröffentlichung in autorisierten Zielen, Löschung.

Anlage 2 — Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (HTTPS mit HSTS) und im Ruhezustand für Datenbank und Sicherungskopien; anwendungsseitige Verschlüsselung der Zugangsdaten von Integrationen mit Schlüsseln, die nur in der Produktionsumgebung liegen.
• Zugriffskontrolle: Anmeldung per Einmal-Link, Zwei-Faktor-Bestätigung, Rollen je Arbeitsbereich, SSO und SCIM-Provisionierung im Enterprise-Tarif; beschränkte und protokollierte Administratorzugriffe.
• Datentrennung nach Arbeitsbereich, Minimierung der an Modellanbieter gesendeten Daten und Maskierung vertraulicher Daten in den Protokollen der Assistenten.
• Perimeterschutz: Sicherheits-Header, Anfragebegrenzungen, Bot-Schutz, geprüfte Webhook-Signaturen, Geheimnisse nur in Umgebungsvariablen.
• Kontinuität: verschlüsselte Sicherungskopien, zeitpunktgenaue Wiederherstellung der Datenbank, Überwachung von Fehlern und Dienststatus.
• Begrenzte Speicherung mit automatischer Löschung nach Fristablauf, dokumentiertes Verfahren für Datenschutzverletzungen und regelmäßige Überprüfung der Maßnahmen.

Anlage 3 — Unterauftragsverarbeiter

Die Liste wird bei jeder Änderung aktualisiert. Als eigenständige Verantwortliche angegebene Anbieter verarbeiten die Daten auf eigene Rechnung nach ihren eigenen Bedingungen, wenn der Kunde ihre Dienste verbindet oder nutzt.