Datenverarbeitungszusatz

Groß Schreibungen haben die Bedeutungen, die ihnen in der DSGVO gegeben werden. Die folgenden Begriffe haben die unten stehenden Bedeutungen.

Dieser DPA gilt für die Verarbeitung von Kundendaten, die von upDevTeam LTD im Auftrag des Kunden im Rahmen der Bereitstellung des Dienstes durchgeführt wird.

Die Parteien erkennen an, dass in Bezug auf diese Verarbeitung der Kunde der Verantwortliche und upDevTeam LTD der Verarbeiter ist.

upDevTeam LTD verarbeitet auch Daten als Verantwortlicher in Bezug auf seine eigenen Geschäftstätigkeiten (Rechnungsstellung, Missbrauchsbekämpfung, Marketing). Die Datenschutzrichtlinie beschreibt diese Verarbeitung.

upDevTeam LTD wird:

Der Kunde ermächtigt upDevTeam LTD, die folgenden Unterauftragsverarbeiter zu beauftragen:

Wir werden dem Kunden mindestens 30 Tage im Voraus schriftlich mitteilen, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, indem wir die Änderung auf godeskflow.com/dpa veröffentlichen oder den Kontakt des Kontos per E-Mail benachrichtigen. Wenn der Kunde aus datenschutzrechtlichen Gründen angemessen Einspruch erhebt, werden wir in gutem Glauben versuchen, eine Lösung zu finden; wenn keine Einigung erzielt werden kann, kann der Kunde den betroffenen Dienst vorzeitig kündigen.

Wir bleiben dem Kunden für die Handlungen und Unterlassungen unserer Unterauftragsverarbeiter verantwortlich, als ob sie unsere eigenen wären.

Wir implementieren und halten technische und organisatorische Maßnahmen auf dem Stand der Technik, einschließlich:

Die personenbezogenen Daten des Kunden werden im EWR gehostet. Wo die Übertragung personenbezogener Daten des Kunden außerhalb des EWR erforderlich ist (z. B. wenn ein in den USA ansässiger Unterauftragsverarbeiter beteiligt ist), verweisen die Parteien auf die Standardvertragsklauseln, wobei upDevTeam LTD als 'Datenexporteur' für diese Übertragung und der Unterauftragsverarbeiter als 'Datenimporteur' auftritt.

Wenn der Kunde außerhalb des EWR ansässig ist und personenbezogene Daten von upDevTeam LTD an den Kunden fließen, integrieren die Parteien die SCCs (Modul 4) für die entsprechende Übertragung.

Wir führen eine Übertragungswirkungenbewertung für jeden nicht im EWR ansässigen Sub-Auftragsverarbeiter durch und wenden ergänzende Maßnahmen (Verschlüsselung, Pseudonymisierung) an, wenn die Bewertung dies empfiehlt.

Wenn wir eine Anfrage von einer betroffenen Person bezüglich personenbezogener Daten des Kunden erhalten, werden wir nicht direkt antworten, außer um den Eingang zu bestätigen und die betroffene Person an den Kunden zu verweisen. Wir werden die Anfrage ohne unangemessene Verzögerung an den Kunden weiterleiten.

Wir werden dem Kunden angemessene Unterstützung bei der Beantwortung von Anfragen zu Zugang, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch bieten, unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen. Wenn die Anfrage übermäßig oder offensichtlich unbegründet ist, können wir eine angemessene Gebühr erheben.

Wir werden den Kunden ohne unangemessene Verzögerung und in jedem Fall innerhalb von 72 Stunden nach Kenntnisnahme über eine Verletzung von personenbezogenen Daten, die die personenbezogenen Daten des Kunden betrifft, informieren. Die Benachrichtigung wird die Informationen enthalten, die nach Artikel 33(3) DSGVO erforderlich sind, soweit bekannt, mit Updates, während die Untersuchung fortschreitet.

Wir werden mit dem Kunden zusammenarbeiten, um die Verletzung einzudämmen, zu untersuchen und zu dokumentieren, und werden keine öffentlichen Erklärungen dazu abgeben, ohne zuvor die Zustimmung des Kunden einzuholen, es sei denn, das Gesetz verlangt dies.

Wir stellen dem Kunden die Informationen zur Verfügung, die notwendig sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, durch (a) diese DPA, (b) das auf Anfrage verfügbare Sicherheits-Whitepaper und (c) die aktuellsten Prüfberichte von relevanten Sub-Auftragsverarbeitern (z.B. SOC 2 Berichte).

Wenn der Kunde vernünftigerweise glaubt, dass die in Abschnitt 10.1 erwähnten Materialien unzureichend sind, kann der Kunde auf seine Kosten und mit mindestens 30 Tagen schriftlicher Ankündigung unsere Einhaltung dieser DPA auditieren, höchstens einmal pro Jahr (außer im Falle eines wesentlichen Verstoßes), vorausgesetzt, die Prüfung (i) wird während der normalen Geschäftszeiten durchgeführt, (ii) stört unsere Betriebsabläufe nicht, (iii) wird von einem unabhängigen Prüfer durchgeführt, der an angemessene Vertraulichkeitsverpflichtungen gebunden ist, und (iv) umfasst keinen Zugriff auf Einrichtungen oder Daten anderer Kunden.

Prüfberichte sind vertrauliche Informationen von upDevTeam LTD und dürfen nur unter Geheimhaltung mit Regulierungsbehörden und rechtlichen Beratern geteilt werden.

Bei Beendigung der Dienstleistung werden wir, nach Wahl des Kunden und innerhalb von 30 Tagen nach dem Beendigungsdatum, entweder alle personenbezogenen Daten des Kunden in einem strukturierten elektronischen Format zurückgeben oder sicher löschen, es sei denn, die Aufbewahrung ist nach EU- oder Landesrecht erforderlich.

Sicherungskopien werden gemäß unserer standardmäßigen Backup-Retention (derzeit 35 Tage) gelöscht. Backups bleiben bis zum Überschreiben durch die Sicherheitsmaßnahmen in Abschnitt 6 geschützt.

Die Haftung, die sich aus dieser DPA ergibt, unterliegt dem Abschnitt zur Haftungsbeschränkung der Nutzungsbedingungen.

Soweit Artikel 82 DSGVO die Haftung zwischen gemeinsamen Verantwortlichen, Auftragsverarbeitern und Sub-Auftragsverarbeitern verteilt, stimmen die Parteien zu, der gesetzlichen Verteilung zu folgen.

Diese DPA tritt am Tag der Zustimmung des Kunden zu den Nutzungsbedingungen in Kraft und bleibt so lange in Kraft, wie upDevTeam LTD personenbezogene Daten des Kunden im Auftrag des Kunden verarbeitet, zuzüglich einer Überlebensfrist, die erforderlich ist, um Verpflichtungen aus den Abschnitten 9, 10 und 11 zu erfüllen.

Diese DPA unterliegt den Gesetzen der Republik Zypern, es sei denn, die SCCs gelten, in diesem Fall hat das in den SCCs angegebene anwendbare Recht Vorrang für Angelegenheiten im Geltungsbereich der SCCs.

Mitteilungen gemäß dieser DPA sind zu senden an info@godeskflow.com (Datenverarbeitungsfragen) und an info@godeskflow.com (Fragen von betroffenen Personen und Aufsichtsbehörden).