Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Gegenstand, Art und Dauer

• Gegenstand und Zweck: die von der App gelesenen QR-Codes empfangen, jede Datei zusammensetzen und entschlüsseln, sie prüfen und dem Konto bereitstellen, ausschließlich zur Erbringung des Dienstes.
• Art: Empfang, Entschlüsselung, Integritätsprüfung, vorübergehende Speicherung, Bereitstellung, Löschung.
• Dauer: die des Abonnements; jede Datei wird höchstens 7 Tage aufbewahrt oder, mit der dafür vorgesehenen Option, gelöscht, sobald sie heruntergeladen ist.
• Daten: der Inhalt der Dateien, die Sie zur Übertragung auswählen, ihre Namen sowie Kontodaten (Benutzername, E-Mail-Adresse, Anmeldeprotokolle).
• Betroffene Personen: die Nutzer Ihrer Konten sowie alle Personen, deren Daten in den übertragenen Dateien vorkommen.

Weisungen und Vertraulichkeit

• Wir verarbeiten die Daten nur auf Ihre dokumentierten Weisungen: die Nutzung des Dienstes und die Einstellungen Ihres Kontos oder Ihrer Instanz. Verstößt eine Weisung nach unserer Auffassung gegen die DSGVO, teilen wir Ihnen dies mit.
• Wir öffnen eine Datei nie zu einem anderen Zweck, verkaufen sie nie und verwenden sie nie, um ein Modell zu trainieren.
• Die Personen, die zum Zugriff auf den Server befugt sind, sind zur Vertraulichkeit verpflichtet.

Sicherheitsmaßnahmen (Art. 32)

Sie sind mit ihren Grenzen auf der Sicherheitsseite beschrieben; kurz zusammengefasst:

• Übertragungen, verschlüsselt mit einem eigenen Schlüssel je Konto (XSalsa20-Poly1305), Transport nur über HTTPS;
• benannte Konten, Passwort-Hashes mit scrypt, begrenzte Anmeldeversuche, zweiter Faktor per TOTP;
• manipulationserkennbarer Audit-Trail jeder Übertragung, 365 Tage aufbewahrt, exportierbar;
• kurze Aufbewahrung, optionale Löschung nach dem Download, Kontingente;
• Optionen für Organisationen: Vier-Augen-Freigabe, zugelassene Dateitypen, hinterlegte Genehmigung, Richtungen einzeln freigegeben.

Der Server entschlüsselt die Dateien, um sie zusammenzusetzen; die Anwendung nimmt keine Verschlüsselung ruhender Daten für sich in Anspruch. Wenn Ihre Analyse es erfordert, ist eine eigene Instanz oder eine Installation auf Ihren eigenen Servern möglich.

Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung, die nachstehend aufgeführten Unterauftragsverarbeiter einzusetzen, jeden für seinen Teil:

• Hetzner Online GmbH: Server, Datenbank und übertragene Dateien, Rechenzentrum in Helsinki (Finnland, EU). Übertragene Dateien werden ausschließlich dort verarbeitet.
• Stripe Payments Europe, Ltd. (Irland): Zahlung; keine übertragenen Dateien.
• Cloudflare, Inc. (Vereinigte Staaten): Domainnamen und Empfang der E-Mails an contact@getbouraq.com; der Datenverkehr der Anwendung läuft nicht über die Server dieses Anbieters.
• Google Ireland Limited: unser Postfach, für die E-Mails, die Sie uns senden.

Wir informieren Sie per E-Mail über jede Hinzufügung oder Ersetzung mindestens 30 Tage im Voraus; Sie können Einspruch erheben und, falls keine Einigung zustande kommt, kostenfrei kündigen. Jeder Unterauftragsverarbeiter ist vertraglich an Pflichten gebunden, die denen dieser Vereinbarung gleichwertig sind. Übermittlungen außerhalb der Europäischen Union, die einige von ihnen mit sich bringen, beruhen auf dem EU-U.S. Data Privacy Framework oder auf den Standardvertragsklauseln der Europäischen Kommission.

Unterstützung und Verletzungen des Schutzes personenbezogener Daten

• Wir unterstützen Sie bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte sowie bei Ihren Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit wir die Verarbeitung kennen.
• Betrifft eine Verletzung des Schutzes personenbezogener Daten Ihre Daten, informieren wir Sie unverzüglich und spätestens 48 Stunden, nachdem wir davon Kenntnis erlangt haben, unter Angabe ihrer Art, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, ihrer wahrscheinlichen Folgen und der ergriffenen Maßnahmen.

Ende der Verarbeitung

Am Ende des Vertrags oder auf Ihre Anfrage löschen wir die Dateien und die Kontodaten; zuvor können Sie sie als eine ZIP-Datei aus Ihrem Bereich abrufen. Nur die Einträge im Audit-Trail (Konto, Dateiname, Größe, Fingerabdruck und Uhrzeit, nie der Inhalt) bleiben für die Aufbewahrungsdauer des Audit-Trails (365 Tage) zu Nachweis- und Sicherheitszwecken erhalten und werden dann gelöscht.

Informationen und Audits

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind: die Sicherheitsseite, die Freigabeunterlagen, Exporte des Audit-Trails und signierte Quittungen. Sie können ein Audit selbst durchführen oder von einem unabhängigen, zur Verschwiegenheit verpflichteten Auditor durchführen lassen: einmal im Jahr, auf Ihre Kosten und mit einer Vorankündigung von 30 Tagen, oder jederzeit nach einer Datenschutzverletzung, die Sie betrifft.