Auftragsverarbeitungsvertrag

Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) legt fest, wie OPALITH SAS mit Sitz in 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156) personenbezogene Daten im Auftrag ihrer Kunden verarbeitet, wenn diese rdv.dev nutzen, wie es Art. 28 der Datenschutz-Grundverordnung („DSGVO“) verlangt.

Er ist Bestandteil der Nutzungsbedingungen und gilt automatisch für jeden Kunden, der sie akzeptiert, ohne gesonderte Unterschrift. In den Nutzungsbedingungen definierte Begriffe (Dienst, Workspace, Inhaber, Gastgeber, Gast, Agent) haben hier dieselbe Bedeutung. Widersprechen sich dieser AVV und die Nutzungsbedingungen in Bezug auf personenbezogene Daten, die in Ihrem Auftrag verarbeitet werden, hat dieser AVV Vorrang.

Rollen

• Sie als Kunde sind der Verantwortliche für die personenbezogenen Daten, die in Ihrem Workspace für Sie verarbeitet werden: die Daten Ihrer Gäste und die Daten Ihrer Mitglieder, soweit diese den Dienst für Ihr Unternehmen nutzen (ihre Terminarten, ihre Verfügbarkeit, ihre Buchungen und ihre Kalenderverbindungen, wie in Ihrem Workspace eingerichtet).
• OPALITH SAS ist Ihr Auftragsverarbeiter für diese Daten und verarbeitet sie nur, um Ihnen den Dienst bereitzustellen.
• OPALITH SAS ist Verantwortlicher für die Daten, die sie für eigene Zwecke verarbeitet: Konten und Anmeldung, Sicherheit, Abrechnung und ihre Geschäftsbeziehung mit Ihnen. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben und fällt nicht unter diesen AVV.

Einzelheiten der Verarbeitung

Gegenstand

Bereitstellung des Dienstes: Buchungsseiten, Verfügbarkeit, Buchungen, Kalenderereignisse, Bestätigungen und Erinnerungen, Branding sowie die öffentliche API, der MCP-Server und die Webhooks.

Dauer

Für die Dauer des Vertrags, danach die in den Nutzungsbedingungen beschriebene 30-tägige Frist zum Abruf der Daten, danach Löschung (siehe Löschung oder Rückgabe).

Art

Erhebung über Buchungsseiten und die API, Speicherung, Organisation, Abfrage, Live-Auslesen der Kalenderverfügbarkeit, Schreiben von Kalenderereignissen, Übermittlung per E-Mail, SMS, API und Webhooks sowie Löschung.

Zweck

Ihren Gästen ermöglichen, Termine mit Ihren Gastgebern zu buchen, zu verschieben und abzusagen; Gäste und Gastgeber informieren; die Kalender Ihrer Gastgeber aktuell halten; und Ihren Integrationen und Agenten Zugriff auf Ihre Termindaten geben.

Betroffene Personen

Ihre Gäste (zum Beispiel Interessenten, Kunden, Bewerber und Partner); Ihre Mitglieder und Gastgeber; die Personen, die Sie in Ihren Workspace einladen.

Personenbezogene Daten

Gäste: Name, E-Mail-Adresse, Zeitzone, Sprache, bei der Buchung angegebene Notizen und Antworten, Termindetails und, nur wenn der Gast SMS-Erinnerungen anfordert, Mobilnummer und Einwilligung. Mitglieder: Name, E-Mail-Adresse, Rolle, Terminarten, Wochenzeiten, belegte Zeiten (live gelesen, nicht gespeichert), Kennungen der für sie geschriebenen Kalenderereignisse. Besucher von Buchungsseiten: IP-Adresse, verarbeitet für Sicherheit und Anfragelimits.

Besondere Kategorien

Keine vorgesehen. Fragen Sie Gäste in Buchungsfragen nicht nach sensiblen Daten wie Gesundheitsinformationen.

Ihre Weisungen

• Wir verarbeiten die personenbezogenen Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind die Nutzungsbedingungen, dieser AVV, die Art, wie Sie den Dienst einrichten und nutzen, sowie weitere schriftliche Weisungen, die Sie an hello@rdv.dev senden und die der Dienst vernünftigerweise umsetzen kann.
• Wir informieren Sie, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder ein anderes Datenschutzgesetz verstößt.
• Verpflichtet uns das Recht der Europäischen Union oder Frankreichs, die Daten auf andere Weise zu verarbeiten, teilen wir Ihnen dies vorher mit, sofern das betreffende Recht dies nicht verbietet.

Vertraulichkeit

Nur Personen, die die Daten für den Betrieb des Dienstes benötigen, haben Zugriff darauf. Jede von ihnen ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet.

Sicherheitsmaßnahmen

Wir schützen die personenbezogenen Daten durch dem Risiko angemessene technische und organisatorische Maßnahmen, darunter:

• Standort. Die Datenbank und die Funktionen der Anwendung befinden sich in Frankfurt (Deutschland).
• Verschlüsselung. Verschlüsselung bei der Übertragung (TLS) für jede Verbindung und Verschlüsselung im Ruhezustand durch unsere Anbieter für Datenbank und Dateispeicher.
• Zugriffskontrolle. Jede Aktion im Dienst prüft auf dem Server, wer anfragt und was seine Rolle im Workspace erlaubt. Der Zugang zu Produktionssystemen ist auf die Personen beschränkt, die den Dienst betreiben.
• Geheimnisse. Passwörter, die Verwaltungslinks der Gäste, Einladungsgeheimnisse und API-Schlüssel werden nur als Hash gespeichert. OAuth-Tokens für Kalender werden von Nango verwahrt und gelangen nie in unsere Datenbank oder unseren Code.
• Datenminimierung. Frei/Belegt-Informationen aus Kalendern werden live gelesen und nicht gespeichert; aus Microsoft-Kalendern fragen wir nur Beginn, Ende, Frei/Belegt-Status und Absage von Ereignissen ab. Telefonnummern von Gästen werden nur für SMS-Erinnerungen und mit Einwilligung erhoben.
• Schutz vor Missbrauch. Anfragelimits pro Konto und pro gehashter IP-Adresse; Websites werden über einen abgesicherten Transport abgerufen, der private Netzwerkadressen ablehnt.
• Belastbarkeit. Verwaltete Datenbank-Backups mit Wiederherstellung zu einem beliebigen Zeitpunkt; tägliches Entfernen abgelaufener Daten.
• Überprüfung. Wir überprüfen diese Maßnahmen, wenn sich der Dienst ändert, und mindestens einmal im Jahr.

Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen unterstützen wir Sie dabei,

• Anfragen von Personen zu beantworten, die ihre Rechte ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die meisten lassen sich direkt im Dienst erledigen; erreicht uns eine Anfrage direkt, leiten wir sie unverzüglich an Sie weiter und beantworten sie nicht selbst, es sei denn, Sie bitten uns darum;
• Ihre Sicherheitspflichten zu erfüllen;
• eine Datenschutz-Folgenabschätzung durchzuführen oder eine Aufsichtsbehörde zu konsultieren, wenn die Verarbeitung dies erfordert.

Verletzungen des Schutzes personenbezogener Daten

Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, unverzüglich, spätestens jedoch 48 Stunden, nachdem sie uns bekannt geworden ist, per E-Mail an den Inhaber des Workspace. Die Meldung beschreibt, soweit uns zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, ihre wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Wir ergänzen sie, sobald wir mehr erfahren, und unterstützen Sie bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen, wo Sie dazu verpflichtet sind.

Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit sind dies:

• Gleiche Pflichten. Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag gebunden, der den personenbezogenen Daten dasselbe Schutzniveau wie dieser AVV gewährt. Wir bleiben Ihnen gegenüber für ihre Arbeit verantwortlich.
• Änderungen. Wir informieren Inhaber per E-Mail und aktualisieren diese Seite mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter beginnt, Ihre Daten zu verarbeiten.
• Widerspruchsrecht. Innerhalb dieser 30 Tage können Sie aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen, indem Sie an hello@rdv.dev schreiben. Wir suchen gemeinsam mit Ihnen nach einer Lösung. Finden wir keine, können Sie den Vertrag beenden, bevor die Änderung wirksam wird, und wir erstatten die Entgelte, die für den Zeitraum nach dem Vertragsende gezahlt wurden.

Google und Microsoft sind nicht unsere Unterauftragsverarbeiter: Ihre Gastgeber verbinden ihre eigenen Kalender, und Google und Microsoft handeln ihnen gegenüber nach ihren eigenen Bedingungen.

Internationale Übermittlungen

Ihre Daten werden in der Europäischen Union gespeichert. Ist ein Unterauftragsverarbeiter in einem Land ohne Angemessenheitsbeschluss der Europäischen Kommission ansässig oder kann von einem solchen Land aus auf die Daten zugreifen, stützt sich die Übermittlung auf das EU-US Data Privacy Framework, wenn der Empfänger zertifiziert ist, und andernfalls auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Beschluss 2021/914), zusammen mit den unten beschriebenen Maßnahmen.

Infrastruktur und Zugriff durch Behörden

Wo Ihre Daten liegen. Die Datenbank (Neon) und die Funktionen der Anwendung (Vercel) befinden sich in Frankfurt, Deutschland. Dateien werden von Vercel Blob gespeichert und über das globale Netzwerk von Vercel ausgeliefert.

Wer die Anbieter sind. Vercel, Neon, Nango, Mailtrap und Firecrawl sind Unternehmen mit Sitz in den Vereinigten Staaten, ClickSend hat seinen Sitz in Australien. Das Recht dieser Länder kann es ihren Behörden erlauben, von diesen Anbietern Daten zu verlangen, die sie vorhalten, selbst wenn diese in der Europäischen Union gespeichert sind.

Was wir dagegen tun.

• Verschlüsselung. Daten werden bei der Übertragung und im Ruhezustand verschlüsselt.
• Datenminimierung. Jeder Anbieter erhält nur, was er für seine Aufgabe braucht. Kalender-Tokens gelangen nie in unsere Datenbank, Frei/Belegt-Informationen aus Kalendern werden nie gespeichert, und SMS-Erinnerungen werden nur an Gäste gesendet, die sie angefordert haben.
• Anfragen an uns. Verlangt eine Behörde außerhalb der Europäischen Union Ihre Daten von uns, prüfen wir, ob die Anfrage rechtmäßig ist, fechten sie an, wenn es Gründe dafür gibt, und geben nur das gesetzlich erforderliche Minimum heraus.
• Information an Sie. Wir informieren Sie über eine solche Anfrage, bevor wir sie beantworten, sofern das Gesetz uns dies nicht verbietet.
• Anbieter. Wir wählen Anbieter, die sich zu demselben verpflichten: rechtswidrige Anfragen anzufechten und ihre Kunden zu informieren, wo sie dies rechtmäßig dürfen.

Löschung oder Rückgabe bei Vertragsende

Wenn der Vertrag endet, können Sie Ihre Daten während der in den Nutzungsbedingungen beschriebenen 30-tägigen Abruffrist exportieren. Nach Ablauf dieser Frist löschen wir die personenbezogenen Daten, die wir für Sie verarbeiten, sofern uns nicht das Recht der Europäischen Union oder Frankreichs zur Aufbewahrung verpflichtet. Gelöschte Daten verschwinden innerhalb von 30 Tagen aus dem Wiederherstellungsverlauf unseres Datenbankanbieters. Wenn Sie Ihren Workspace selbst löschen, erfolgt die Löschung sofort. Auf Anfrage bestätigen wir die Löschung schriftlich.

Audits

• Wir stellen Ihnen die Informationen zur Verfügung, die zum Nachweis der Einhaltung unserer Pflichten nach Art. 28 DSGVO erforderlich sind, beginnend mit diesem AVV und Antworten auf Ihre angemessenen Fragen.
• Reicht das nicht aus, können Sie die Einhaltung einmal im Jahr überprüfen, mit einer schriftlichen Ankündigung von mindestens 30 Tagen, während der Geschäftszeiten und auf eigene Kosten, selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer. Ein Audit darf keinen Zugriff auf Daten anderer Kunden verschaffen und den Dienst nicht stören.
• Häufigere Audits sind möglich, wenn eine Aufsichtsbehörde sie verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft.

Haftung und Laufzeit

Dieser AVV gilt, solange wir personenbezogene Daten für Sie verarbeiten. Im Verhältnis zwischen Ihnen und uns gilt die Haftungsklausel der Nutzungsbedingungen auch für diesen AVV, soweit das Gesetz es zulässt. Nichts darin schränkt die Rechte der Personen ein, deren Daten verarbeitet werden.

Kontakt

Für alle Fragen zu diesem AVV schreiben Sie an hello@rdv.dev. OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France.