Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Chativ-Kunden („Verantwortlicher“) und FOP Herasymiuk Nataliia Borysivna, 78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine, RNOKPP 2871021324 („Auftragsverarbeiter“) gemäß Artikel 28 DSGVO geschlossen. Er ist Bestandteil der Nutzungsbedingungen und gilt mit der Erstellung des Kontos als angenommen; eine gesonderte Unterschrift ist nicht erforderlich.

Der AVV gilt für personenbezogene Daten der Kunden des Verantwortlichen, die der Auftragsverarbeiter bei der Erbringung des Dienstes verarbeitet.

2. Gegenstand, Art und Dauer

Gegenstand: Empfangen und Senden von Nachrichten über verbundene Kanäle, Generierung von KI-Antworten, Speicherung des Gesprächsverlaufs und von Leads. Dauer: für die Laufzeit der Nutzungsbedingungen und bis zur Löschung der Daten gemäß Abschnitt 9.

3. Datenkategorien und betroffene Personen

Betroffene Personen: Kunden des Verantwortlichen und Website-Besucher, die dem Verantwortlichen über verbundene Kanäle schreiben; Mitarbeiter des Verantwortlichen, die den Arbeitsbereich nutzen.

Kontaktdaten: Name, Benutzername, Telefonnummer, E-Mail-Adresse — sofern von der betroffenen Person oder dem Kanal bereitgestellt
Inhalte von Nachrichten und Anhängen
Kanalkennungen (zum Beispiel Instagram- oder Facebook-Benutzer-ID) und technische Daten des Widgets
Lead-Daten, die der Verantwortliche über den KI-Agenten erhebt

4. Pflichten des Auftragsverarbeiters

Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten; diese Weisungen sind die Bedingungen, dieser AVV und die im Arbeitsbereich vorgenommenen Einstellungen
Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind
Die in Abschnitt 6 beschriebenen Sicherheitsmaßnahmen anzuwenden
Den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen und bei der Erfüllung seiner Pflichten nach Artikel 32–36 DSGVO zu unterstützen
Den Verantwortlichen zu informieren, wenn eine Weisung seiner Auffassung nach gegen Datenschutzvorschriften verstößt

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der auf der Seite „Unterauftragsverarbeiter“ aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter kündigt neue Unterauftragsverarbeiter mindestens 30 Tage im Voraus auf dieser Seite und per E-Mail an; der Verantwortliche kann aus berechtigten Gründen Einspruch erheben und, falls keine Lösung gefunden wird, den Dienst kündigen. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die diesem AVV gleichwertig sind, und haftet für sie.

6. Sicherheitsmaßnahmen

Verschlüsselung aller Verbindungen (TLS)
Hashing von Passwörtern; zusätzliche Verschlüsselung von API-Schlüsseln und Zugriffstoken der Kanäle in der Datenbank
Strikte Trennung der Daten zwischen Arbeitsbereichen; Zugriff nur für autorisierte Benutzer mit Rollen
Hosting in der EU (Niederlande)
Zugriff von Mitarbeitern des Auftragsverarbeiters auf Produktivdaten nur, soweit für Support oder Wartung erforderlich

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung, und stellt die verfügbaren Informationen für die Meldung des Verantwortlichen an die Aufsichtsbehörde bereit.

8. Internationale Übermittlungen

Die Daten werden in der EU gespeichert. Soweit Unterauftragsverarbeiter Daten außerhalb des EWR verarbeiten (zum Beispiel KI-Anbieter in den USA), stützt sich die Übermittlung auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der Europäischen Kommission.

9. Löschung und Rückgabe von Daten

Während der Vertragslaufzeit kann der Verantwortliche Leads im Arbeitsbereich löschen und den Export oder die Löschung aller sonstigen Daten unter [email protected] anfordern; der Auftragsverarbeiter erfüllt solche Anfragen innerhalb von 30 Tagen. Nach Beendigung des Dienstes löscht der Auftragsverarbeiter die Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht, und stellt auf Anfrage vor der Löschung einen Export bereit.

10. Audits

Auf Anfrage stellt der Auftragsverarbeiter die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind. Vor-Ort-Audits sind mit einer Ankündigungsfrist von 30 Tagen, höchstens einmal jährlich und auf Kosten des Verantwortlichen möglich, sofern keine Verletzung vorliegt.

11. Kontakt

Fragen zum Datenschutz: [email protected].