Auftragsbearbeitungsvertrag

Rollen

Sie als Kundin oder Kunde sind Verantwortliche oder Verantwortlicher: Sie entscheiden, wozu und wie die Daten bearbeitet werden. Mundus Code CH di Gianpiero Cirillo ist Auftragsbearbeiterin: Sie bearbeitet die Daten nur, um Ihnen die Leistungen des Angebots zu erbringen.

Welche Daten, und von wem

Das hängt von Ihren Automatisierungen ab: in der Regel Namen, Kontaktdaten (E-Mail, Telefon), Nachrichten und Gespräche, Termine, Dokumente und Rechnungsdaten Ihrer Kundschaft, Ihrer Kontakte und Ihrer Mitarbeitenden. Besonders schützenswerte Personendaten (zum Beispiel über die Gesundheit) bearbeiten wir nur, wenn das Angebot es vorsieht, mit zusätzlichen Massnahmen.

Ihre Weisungen

Wir bearbeiten die Daten nur nach Ihren Weisungen: dem Angebot, der von Ihnen freigegebenen Einrichtung der Automatisierungen und Ihren schriftlichen Anweisungen. Scheint uns eine Weisung rechtswidrig, sagen wir es Ihnen, bevor wir sie ausführen. Wir nutzen Ihre Daten nicht für eigene Zwecke, verkaufen sie nicht und verwenden sie nicht zum Training von Modellen.

Vertraulichkeit der Mitarbeitenden

Wer an den Daten arbeitet, ist zur Vertraulichkeit verpflichtet und sieht nur, was die Aufgabe verlangt.

Unterauftragsbearbeiter

Wir setzen diese Unterauftragsbearbeiter ein, jeden für den genannten Zweck und mit Datenschutzpflichten, die nicht tiefer sind als diese; jene, die an einen Kanal oder eine Verbindung gebunden sind, kommen nur zum Zug, wenn Sie diesen Dienst nutzen. Sie akzeptieren sie mit dem Angebot. Bevor wir einen hinzufügen oder wechseln, informieren wir Sie: Sie können innert 30 Tagen aus berechtigten Gründen widersprechen und, wenn wir keine Lösung finden, den betroffenen Dienst kündigen.

• IONOS (Fasthosts Internet Ltd), Vereinigtes Königreich: der Server für Website, Plattform, Datenbank, Dateien und Sicherungskopien. Grundlage: Land mit angemessenem Schutz (Anhang 1 DSV).
• Zoho Mail, Europäische Union: das Postfach des Geschäfts (hello@theailab.ch): Ihre E-Mails an uns kommen dort an. Grundlage: Land mit angemessenem Schutz (Anhang 1 DSV).
• Anthropic, Vereinigte Staaten: das Sprachmodell hinter dem KI-Berater, den Analysen und den automatischen Antworten. Es verwendet die Daten nicht zum Training seiner Modelle. Grundlage: Standardvertragsklauseln oder Swiss-U.S. Data Privacy Framework.
• Google (Browser Chrome), Vereinigte Staaten: die Spracherkennung des Browsers, wenn Sie mit dem Berater sprechen: Ihre Stimme geht an Google und kommt als Text zurück. Grundlage: Standardvertragsklauseln oder Swiss-U.S. Data Privacy Framework.
• Mailgun, Vereinigte Staaten und Europäische Union: der Versand der E-Mails (Bestätigungen, Angebote, Rechnungen, Erinnerungen). Grundlage: Standardvertragsklauseln oder Swiss-U.S. Data Privacy Framework.

Wo die Daten liegen

Auf unserem Server bei IONOS im Vereinigten Königreich, einem Land mit aus Schweizer Sicht angemessenem Schutz. In die Vereinigten Staaten gehen Daten nur mit dem bei jedem Unterauftragsbearbeiter genannten Schutz.

Technische und organisatorische Massnahmen

• Anmeldung am Verwaltungssystem mit zwei Faktoren für das Personal und Sperre bei wiederholten Versuchen;
• Geheimnisse (Schlüssel und Tokens der Kanäle und Verbindungen) verschlüsselt auf dem Server, nie im Klartext in den Protokollen;
• verschlüsselte Verbindungen (HTTPS) und nach Geschäft und Kundschaft getrennte Daten;
• automatische, geprüfte Sicherungskopien, derzeit auf demselben Server;
• ein Protokoll der Vorgänge, ohne Personendaten in den technischen Protokollen;
• Zugriff nur für Personen, die ihn brauchen, mit getrennten Rollen.

Unterstützung

Wir helfen Ihnen im Rahmen des Möglichen, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Herausgabe), Risiken zu beurteilen und mit den Behörden zu verkehren. Ausserordentlichen Aufwand vereinbaren wir vorher.

Verletzungen der Datensicherheit

Stellen wir eine Verletzung der Datensicherheit fest, die Ihre Daten betrifft, melden wir es Ihnen unverzüglich, mit dem, was wir wissen, und den getroffenen Massnahmen, damit Sie entscheiden können, ob Sie sie dem EDÖB (Art. 24 DSG) oder den betroffenen Personen melden.

Vertragsende

Am Ende der Leistung geben wir Ihnen die Daten in einem gängigen Format (zum Beispiel CSV oder JSON) zurück, wenn Sie es innert 30 Tagen verlangen; danach löschen wir sie, ausser jene, die wir von Gesetzes wegen aufbewahren müssen. Sicherungskopien werden in ihrem normalen Zyklus gelöscht.

Kontrollen

Sie können die Informationen verlangen, die zeigen, dass dieser Vertrag eingehalten wird. Eine Kontrolle vor Ort, durch Sie oder eine zur Verschwiegenheit verpflichtete Prüfstelle, wird schriftlich mit angemessener Vorankündigung vereinbart, geht auf Ihre Kosten und berührt keine Daten anderer Kundschaft.

Dauer und Vorrang

Der Vertrag gilt, solange wir Daten in Ihrem Auftrag bearbeiten. In diesen Fragen geht er den AGB vor. Schweizer Recht, Gerichtsstand Lugano.