Datenverarbeitungsvereinbarung (DPA)
Fassung vom 28. August 2026 – Anhang zu den Allgemeinen Geschäftsbedingungen
1. Teile, Umfang und Dauer
Der Kunde ist „Verantwortlicher“ für die in seinen Katalogen enthaltenen Daten, die erfassten Kontaktdaten, die nominativen Links und die Lesemaße. Damien FLANDRIN EI ist ein „Subunternehmer“ für Arbeiten, die auf Anweisung von Foliade durchgeführt werden. Diese AVV tritt mit Vertragsschluss in Kraft und bleibt gültig, solange der Unterauftragnehmer diese Daten verarbeitet.
Hierzu zählen die Konto- und Rechnungsdaten, die Foliade zu eigenen Zwecken verarbeitet Datenschutzrichtlinie und nicht diese Datenschutzbehörde.
2. Beschreibung der Behandlung
| Zweck | Konvertierung, Hosting, Vertrieb und Verwaltung interaktiver Kataloge |
|---|---|
| Dauer | Laufzeit des Kontos sowie im Vertrag vorgesehene Rückgabe-, Archivierungs- und Löschfristen |
| Natur | Erhebung, Konvertierung, Strukturierung, Speicherung, Abfrage, Messung, Übermittlung, Export, Zugriff über API oder MCP, Archivierung und Löschung |
| Zwecke | Bereitstellung von Katalogen und Funktionen, die der Kunde ausdrücklich ausgewählt hat |
| Menschen | Kundenbenutzer, Leser, Interessenten, Kontakte und Empfänger benannter Links |
| Daten | PDF und Metadaten, Identitäts- und Kontaktdaten, mögliche Organisation, Pseudonymkennung, konsultierte Seiten, Dauer, Herkunft, Gerät, geschützte Netzwerkadresse und Sicherheitsprotokolle |
| Sensible Daten | Es wird keine bestimmte Kategorie erwartet. Der Kunde muss sie nur dann einreichen, wenn dies erforderlich, rechtmäßig und ausdrücklich geregelt ist. |
3. Kundenanweisungen
Dokumentierte Weisungen ergeben sich aus dem Vertrag, Leistungseinstellungen und schriftlichen Anfragen des Kunden. Der Subunternehmer nutzt die Daten nicht für eigene Zwecke und informiert den Auftraggeber unverzüglich, wenn eine Weisung offenbar gegen die DSGVO oder geltendes Recht verstößt. Es kann die betreffende Weisung bis zur rechtmäßigen Klärung aussetzen.
Authentifizierte API- oder MCP-Aufrufe stellen Clientanweisungen dar. Das lokale Plugin Foliade übermittelt dem Subunternehmer weder den Gesprächsverlauf noch das Gedächtnis des Assistenten; Es werden nur das explizit ausgewählte PDF und die für das aufgerufene Tool notwendigen Parameter an die API gesendet.
Wenn das Recht der Union oder der Mitgliedstaaten eine unaufgeforderte Verarbeitung vorschreibt, informiert der Auftragsverarbeiter den Kunden vor der Durchführung, sofern dies nicht gesetzlich verboten ist.
4. Datenschutz und Sicherheit
Die zur Verarbeitung der Daten berechtigten Personen unterliegen der Verschwiegenheitspflicht und haben nur im Rahmen ihrer Aufgaben Zugriff darauf. Der Subunternehmer unterhält dem Risiko angemessene Maßnahmen, insbesondere:
- Verschlüsselung der Kommunikation und Hashing von Passwörtern und Geheimnissen;
- logische Trennung von Räumen, Kontrolle von Rollen und signierten temporären Links;
- Begrenzung von Versuchen, Validierung von Dateien und Schutz sensibler Schnittstellen;
- Protokollierung von Bedienhandlungen und sichtbare Berichterstattung über Supportzugriffe;
- Backup-, Wiederherstellungs-, Incident-Management-, Wiederherstellungs- und Löschverfahren, angepasst an die Produktionsumgebung.
5. Unterauftragsverarbeiter
Der Kunde erteilt die allgemeine Genehmigung, die nachstehenden Dienstleister für die aufgeführten Tätigkeiten zu nutzen:
| Anbieter | Aktivität | Standort angegeben |
|---|---|---|
| OVH SAS | Infrastruktur, Speicher und Backups | 2 rue Kellermann, 59100 Roubaix, France |
| Hostinger International Limited | Transaktions-E-Mails | Chypre |
Jede Ergänzung oder Ersetzung wird mindestens fünfzehn Tage vor ihrem Inkrafttreten bekannt gegeben, außer im Falle eines Sicherheitsnotfalls. Innerhalb dieser Frist kann der Kunde einen begründeten datenschutzrechtlichen Widerspruch einlegen. Die Parteien suchen eine angemessene Lösung; Andernfalls kann der Client die zugewiesene Funktion beenden. Der Subunternehmer erlegt dem Dienstleister gleichwertige Pflichten auf und bleibt für deren Ausführung gegenüber dem Auftraggeber verantwortlich.
Stripe ist an der Rechnungsstellung beteiligt, die speziell auf die Beziehung zwischen Foliade und dem Kunden zugeschnitten ist. Es werden keine Kataloginhalte an ihn übermittelt; Diese Verarbeitung fällt daher nicht unter die in dieser Anlage beschriebene Unterauftragsvergabe.
6. Internationale Überweisungen
Eine Übermittlung außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses, Standardvertragsklauseln mit den erforderlichen zusätzlichen Maßnahmen oder eines anderen anerkannten Mechanismus. Auf Anfrage übermittelt der Subunternehmer nützliche Informationen über den anwendbaren Mechanismus.
7. Informationen und Rechte des Einzelnen
Der Kunde schreibt die den Lesern gegebenen Informationen und bestimmt die Antwort auf ihre Anfragen. Unter Berücksichtigung der Art der Verarbeitung stellt der Auftragsverarbeiter die Funktionen und Informationen bereit, die angemessenerweise erforderlich sind, um auf Anträge auf Zugang, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit zu reagieren. Eine direkt eingegangene Anfrage wird ohne inhaltliche Antwort an den Kunden weitergeleitet, sofern keine entsprechende Anweisung oder eine gesetzliche Verpflichtung besteht.
8. Unterstützung und Verstöße
Der Auftragsverarbeiter unterstützt den Kunden angemessen bei der Sicherheit, bei Auswirkungsanalysen, bei Behördenkonsultationen und beim Nachweis der Compliance. Sie informiert den Kunden unverzüglich nach Bekanntwerden eines Verstoßes gegen seine Daten und übermittelt ihm nach Bekanntwerden die Art des Vorfalls, die betroffenen Daten- und Personenkategorien, die voraussichtlichen Folgen sowie die ergriffenen Maßnahmen. Der Kunde bleibt für die ihm obliegenden Mitteilungen verantwortlich.
9. Rückerstattung und Löschung
Während der Vertragslaufzeit kann der Kunde seine Daten mit den zur Verfügung stehenden Funktionen exportieren. Nach Beendigung des Dienstes oder auf gesetzliche Weisung werden die Daten zurückgegeben oder gelöscht, auch in Kopie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Löschungen aus Backups folgen ihrem normalen technischen Zyklus und die betreffenden Daten bleiben während dieses Zeitraums von jeder aktuellen Nutzung isoliert.
10. Dokumentation und Prüfung
Der Subunternehmer stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser DPA erforderlich sind. Der Kunde kann mit angemessener Vorankündigung höchstens einmal im Jahr ein Audit beantragen, es sei denn, es liegt ein Vorfall oder eine Anfrage einer Behörde vor. Die Prüfung muss verhältnismäßig und vertraulich bleiben, während der Geschäftszeiten durchgeführt werden und darf die Sicherheit oder die Daten anderer Kunden nicht gefährden. Die Kosten trägt der Kunde, es sei denn, es handelt sich um eine erhebliche Nichteinhaltung, die auf das Verschulden des Unterauftragnehmers zurückzuführen ist.
11. Priorität und Kontakt
Im Falle eines Widerspruchs bezüglich des Schutzes der für den Kunden verarbeiteten Daten hat diese DPA Vorrang vor CGV und CGU. Die französische Fassung stellt die vertragliche Referenzversion dar; Übersetzungen werden bereitgestellt, um das Lesen zu erleichtern. Anfragen und Mitteilungen sind an [email protected].