TwinOry Auftragsverarbeitungsvertrag
1. Parteien, Weisungen und Anwendbarkeit
Dieser AVV gilt nur, soweit der in einem abgeschlossenen ENT-02 bezeichnete Kunde als Verantwortlicher SMARTEDTECH SL als Auftragsverarbeiter für TwinOry anweist. Für eigene Zwecke des Betreibers zu Konto, Abrechnung, Sicherheit oder gesetzlichen Pflichten kann er stattdessen Verantwortlicher sein. Unabhängige Anbieter und Einrichtungen bleiben für ihre eigene Verarbeitung verantwortlich. Anhang A muss vor Beginn der Verarbeitung Gegenstand, Dauer, Art, Zweck, Datenkategorien, Kategorien betroffener Personen, Weisungen des Verantwortlichen und zulässige Standorte bezeichnen. Ein unausgefüllter Anhang erlaubt keine unbeschränkte Verarbeitung.
2. Dokumentierter Zweck und Vertraulichkeit
Der Auftragsverarbeiter handelt nur auf dokumentierte Weisungen, einschließlich Übermittlungen, es sei denn, zwingendes Recht verlangt etwas anderes; er informiert den Verantwortlichen über diese Pflicht, soweit rechtlich zulässig. Er weist unverzüglich auf eine Weisung hin, die er vernünftigerweise für rechtswidrig hält. Nur Personal, das Zugang benötigt, wird ermächtigt, geschult und zur Vertraulichkeit verpflichtet. Aus diesem AVV folgen keine Werbung, kein Weiterverkauf, kein zweckfremdes Modelltraining, keine plattformübergreifende Anreicherung und keine Veröffentlichung privater Daten.
3. Sicherheit und autorisierter Zugang
Es sind risikogerechte Maßnahmen nach Artikel 32 einzusetzen, dokumentiert in Anhang B: Mandantenisolation/RLS, geringste Berechtigung und MFA für privilegierten Zugang, Verschlüsselung und Schlüsselverwaltung, soweit tatsächlich umgesetzt, Maskierung von Geheimnissen, Behandlung von Patches und Schwachstellen, geprüfte Wiederherstellung, zweckgebundene Integrationen, Upload-Kontrollen, Eskalation von Vorfällen und Integrität der Nachweise. Dies sind vertragliche Anforderungen, die zu belegen sind, keine Bescheinigung, dass jede Maßnahme bereits bestanden hat. Wesentliche Abweichungen sind vor der Verarbeitung in der Produktion zu erläutern und zu beheben. Private Inhalte werden nicht in unveränderliche Einwilligungsprotokolle geschrieben; es sind minimierte Referenzen und eine rechtmäßige Aufbewahrung zu verwenden.
4. Unterauftragsverarbeiter und Übermittlungen
Anhang C bezeichnet jeden tatsächlichen Unterauftragsverarbeiter, den Zweck, den Standort, den Datenzugang und die Grundlage der Genehmigung. Bei allgemeiner schriftlicher Genehmigung sind beabsichtigte Ergänzungen oder Ersetzungen mitzuteilen und ein angemessener vereinbarter Widerspruchsprozess einzuräumen; die betroffene Verarbeitung ist zu bereinigen oder zu beenden, wenn rechtmäßige Garantien nicht vereinbart werden können. Gleichwertige Verarbeitungspflichten sind aufzuerlegen, und die Verantwortlichkeit bleibt bestehen, wie Artikel 28 es verlangt. Beschränkte Übermittlungen erfordern das tatsächlich gültige Instrument und die Bewertung in DAT-02. Ein Anbieterlogo oder eine API-Einstellung ist kein abgeschlossener AVV und keine Garantie für die Übermittlung.
5. Rechte und Vorfälle
Der Verantwortliche ist bei Anträgen betroffener Personen mit verhältnismäßiger Authentifizierung und zweckgebundener Suche, Export, Berichtigung und Löschung zu unterstützen. Die Antwort ist nicht eigenständig zu entscheiden, es sei denn, dies ist erlaubt oder gesetzlich vorgeschrieben. Der Verantwortliche ist über eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis zu unterrichten, mit den verfügbaren Tatsachen, Kategorien und ungefähren Zahlen, wahrscheinlichen Folgen, Abmilderung und Kontakt. Es sind schrittweise Aktualisierungen zu liefern und relevante Beweise zu sichern; nicht auf einen vollständigen Bericht zu warten. Die Pflicht des Verantwortlichen zur Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden ist von der Meldung des Auftragsverarbeiters zu unterscheiden und knüpft nicht automatisch an jeden Sicherheitsalarm an. Die Parteien stimmen Benachrichtigungen betroffener Personen ab, ohne gesetzliche Fristen zu blockieren.
6. Bewertungen, Audit und Behörden
Es sind die Informationen bereitzustellen, die vernünftigerweise für die Einhaltung von Artikel 28 erforderlich sind, relevante Sicherheitsnachweise, Unterstützung bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation sowie verhältnismäßige Audits und Inspektionen, vorbehaltlich Vertraulichkeit, Sicherheit und der Rechte anderer. Der Zugang ist auf relevante Daten zu beschränken; niemals ungeschützte Geheimnisse oder Datensätze fremder Mandanten verlangen. Der gesetzliche Zugang der Aufsichtsbehörde bleibt gewahrt. Wesentliche Auditzusammenarbeit ist nicht allein deshalb abzulehnen, weil ein Zertifikat nicht vorliegt.
7. Ende des Dienstes und Aufbewahrung
Nach Wahl des Verantwortlichen sind personenbezogene Daten und vorhandene Kopien bei Ende des angewiesenen Dienstes zurückzugeben oder zu löschen, es sei denn, zwingendes Recht verlangt eine bestimmte Aufbewahrung. Tatsächliches Exportformat, Zeitplan, Ablauf der Sicherungen und Löschnachweis sind in Anhang D zu vereinbaren. Rechtmäßig aufbewahrte Datensätze sind auf den konkreten Zweck und die Dauer zu beschränken. Die Anforderung nur ergänzbarer Nachweise erlaubt nicht, identifizierbare Inhalte auf Dauer aufzubewahren; Nutzlasten sind zu minimieren oder kryptografisch zu trennen, im Einklang mit dem gebilligten Recht und dem technischen Entwurf.
8. Abschluss und Anhänge
Anhang A verwendet die Felder zu Dienst, Gegenstand und Zweck in ENT-02; Anhang B ist die beleggestützte TOMs-Liste; Anhang C ist das tatsächliche Register der Empfänger, Standorte und Änderungsmitteilungen; Anhang D nennt Aufbewahrung, Export, Löschung und Vorfallkontakte. Sie bleiben fehlende Angaben, bis sie aus der Mandanten- oder Dienstkonfiguration vervollständigt sind. Unterzeichnung durch den tatsächlichen Verantwortlichen und den Auftragsverarbeiter. Gesetzliche Verarbeitungspflichten und zwingende Rechte gehen widersprechenden kommerziellen Bedingungen vor.
Plattformspezifische Bedingungen
Datenrollen
1. Plattformdaten. Der Betreiber ist Verantwortlicher für die personenbezogenen Daten, die zum Betrieb der Plattform verarbeitet werden: Konto, Identitätsprüfung, Annahmedatensätze, Zahlungen, Sicherheit, Support, Kommunikation und Analysen.
2. Anbieterdaten der Leistung. Erbringt ein Anbieter über die Plattform Leistungen an eine Kundin oder einen Kunden, ist der Anbieter unabhängiger Verantwortlicher für die Daten, die er für diese Leistung benötigt (Buchungs-, Bestell-, klinische, bildungsbezogene oder berufliche Aufzeichnungen), und der Betreiber ist Verantwortlicher für den plattformbezogenen Datensatz des Vorgangs. Jede Partei erfüllt ihre eigenen Pflichten; keine handelt für die andere.
3. Auftragsverarbeitungsdienste. Verarbeitet der Betreiber personenbezogene Daten im Auftrag einer Geschäftskundin oder eines Geschäftskunden nach deren Weisungen (zum Beispiel Beschäftigtendaten eines Unternehmensmandanten), gilt der Auftragsverarbeitungsvertrag (DAT-01) und ist maßgeblich; er wird als Teil der Bestellung unterzeichnet.
4. Weitergabe zwischen SET-Plattformen. Personenbezogene Daten werden an keine andere vom Betreiber oder seiner Gruppe betriebene Plattform weitergegeben, es sei denn, Sie aktivieren das konkrete Ziel in Ihren Einstellungen. Die Aktivierung eines Ziels aktiviert keine anderen, und Sie können sie jederzeit deaktivieren.
5. Internationale Übermittlungen. Personenbezogene Daten werden im Europäischen Wirtschaftsraum gespeichert (oder, für wellbridge.uk, im Vereinigten Königreich). Wird ein Auftragsverarbeiter außerhalb dieser Gebiete eingesetzt, ist die Übermittlung durch Standardvertragsklauseln oder das britische Addendum/IDTA abgedeckt, aufgeführt im Anhang der Unterauftragsverarbeiter.
---