Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dem Kunden (dem Unternehmen, das LetsBot abonniert, „Sie“) und der BOT FOR DIGITAL SOLUTIONS LIMITED, einer in England und Wales unter der Nummer 15477940 eingetragenen Gesellschaft mit Sitz in 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich („LetsBot“, „wir“, „uns“).

Mit der Annahme der Allgemeinen Geschäftsbedingungen schließen Sie auch diesen AVV ab, einschließlich der in den Anhängen IV bis VI durch Verweis einbezogenen Übermittlungsklauseln. Diese gelten ab der Annahme automatisch für jeden Kunden, bevor Kundendaten übermittelt werden; eine Unterschrift ist nicht erforderlich.

Unterzeichnete Exemplare und individuelle Dokumente. Auf Anfrage an support@letsbot.net stellen wir Ihnen ein von uns gegengezeichnetes Exemplar dieses AVV oder eine individuelle Vereinbarung bzw. ein individuelles Dokument zur Verfügung, das Ihre Organisation benötigt, etwa einen ausgefüllten Satz von Übermittlungsklauseln.

Rangfolge. Im Fall eines Widerspruchs haben die Übermittlungsklauseln in den Anhängen IV bis VI Vorrang, danach dieser AVV, danach die Allgemeinen Geschäftsbedingungen.

Sprache. Maßgeblich ist die englische Fassung dieses AVV; die arabische Fassung dient lediglich der Information. Für die Standardklauseln der brasilianischen ANPD ist der offizielle portugiesische Text maßgeblich.

• Kundendaten: personenbezogene Daten, die wir bei der Erbringung des Dienstes in Ihrem Auftrag verarbeiten, einschließlich der Angaben zu Ihren Kontakten, Nachrichten, Medien und Bestellungen. Einzelheiten enthält Anhang I.
• Unterauftragsverarbeiter: jeder Dritte, den wir mit der Verarbeitung von Kundendaten beauftragen.
• Datenschutzverletzung: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu Kundendaten führt.
• Datenschutzgesetze: die auf die Verarbeitung anwendbaren Gesetze, einschließlich der EU GDPR (DSGVO), der UK GDPR und des Data Protection Act 2018, des saudi-arabischen Gesetzes zum Schutz personenbezogener Daten und seiner Durchführungsbestimmungen, des brasilianischen LGPD sowie des ägyptischen Gesetzes Nr. 151 von 2020 und seiner Durchführungsverordnung.
• „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verarbeitung“ haben die Bedeutung, die ihnen die Datenschutzgesetze zuweisen. „Auftragsverarbeiter“ umfasst auch einen „operador“ im Sinne des LGPD.

1. Sie sind der Verantwortliche für die Kundendaten (oder ein Auftragsverarbeiter, der für einen anderen Verantwortlichen handelt), und wir sind der Auftragsverarbeiter.
2. Wir verarbeiten Kundendaten ausschließlich auf Ihre dokumentierte Weisung, auch im Hinblick auf Übermittlungen in andere Länder. Ihre Weisungen sind die Allgemeinen Geschäftsbedingungen, dieser AVV, die von Ihnen im Panel gewählten Einstellungen (etwa Kanäle, Integrationen, KI-Funktionen und Aufbewahrungsfristen) sowie alle weiteren schriftlichen Weisungen, die wir vereinbaren.
3. Verpflichtet uns ein Gesetz, Kundendaten anders als nach Ihren Weisungen zu verarbeiten, teilen wir Ihnen dies vorher mit, sofern das betreffende Gesetz dies nicht verbietet.
4. Wir informieren Sie unverzüglich, wenn wir der Ansicht sind, dass eine Weisung gegen die Datenschutzgesetze verstößt.
5. Sie sind dafür verantwortlich, die Daten rechtmäßig zu erheben und über eine Rechtsgrundlage für die Kontaktaufnahme mit Ihren Kontakten zu verfügen, einschließlich etwaiger Einwilligungen, die Meta oder das Gesetz verlangen.
6. Wir verwenden Kundendaten nicht für eigene Zwecke, verkaufen sie nicht und nutzen sie nicht zum Trainieren von KI-Modellen.

Nur Mitarbeitende und Auftragnehmer, die Zugriff benötigen, um den Dienst bereitzustellen, zu unterstützen oder abzusichern, können auf Kundendaten zugreifen, und alle sind zur Vertraulichkeit verpflichtet.

Die Personen mit Zugriff auf Kundendaten arbeiten überwiegend in Ägypten, über unser verbundenes Unternehmen Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), nach unseren Weisungen und zu Bedingungen, die nicht weniger schützend sind als dieser AVV.

Wir wenden die technischen und organisatorischen Maßnahmen in Anhang II an, überprüfen sie regelmäßig und werden das Gesamtschutzniveau während Ihres Abonnements nicht senken.

Darüber hinaus verpflichten wir uns zu:

• verschlüsselten Backups der Workspace-Datenbanken: jede Nacht für zahlende, Test- und kostenlos bereitgestellte Workspaces und in einem 10-Tage-Rhythmus für andere Workspaces, zusätzlich einem täglichen Backup der zentralen Kontodatenbank. Backups werden in privatem Speicher, getrennt vom Produktionsserver, bei Google Cloud in den Vereinigten Staaten (us-east1) 30 Tage lang aufbewahrt und danach gelöscht;
• der Aufbewahrung der in Unterhaltungen ausgetauschten Mediendateien in einem Speicher, der nicht durchsucht oder aufgelistet werden kann, und ihrer Bereitstellung über lange, zufällige und schwer zu erratende Links (ausgenommen Profilbilder von Kontakten). Wer den exakten Link besitzt, kann die Datei öffnen. Wir stellen Medien derzeit auf zeitlich begrenzte signierte Links um;
• der Erfassung jedes Support-Zugriffs auf einen Workspace sowie jeder Anmeldung im Sicherheitsprotokoll dieses Workspaces.

1. Allgemeine Genehmigung. Sie genehmigen uns, die auf unserer Seite zu Unterauftragsverarbeitern (Anhang III) aufgeführten Unterauftragsverarbeiter einzusetzen.
2. Vorankündigung. Wir kündigen das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an, per E-Mail an alle, die sich dafür angemeldet haben, und durch Aktualisierung der Seite. Zur Anmeldung schreiben Sie an support@letsbot.net mit dem Betreff „Subprocessor updates“.
3. Widerspruch. Sie können innerhalb der Ankündigungsfrist aus berechtigten datenschutzrechtlichen Gründen schriftlich widersprechen. Wir bemühen uns, Ihren Widerspruch auszuräumen, etwa indem wir diesen Unterauftragsverarbeiter nicht für Ihre Daten einsetzen. Gelingt dies nicht, können Sie den betroffenen Teil des Dienstes kündigen und erhalten im Voraus gezahlte Entgelte für den verbleibenden Zeitraum erstattet.
4. Ersatz im Notfall. Müssen wir einen Unterauftragsverarbeiter sofort ersetzen, um die Sicherheit oder Kontinuität des Dienstes zu schützen, informieren wir Sie so bald wie möglich, und Ihr Widerspruchsrecht bleibt unverändert bestehen.
5. Gleichwertige Pflichten. Wir verpflichten jeden externen Unterauftragsverarbeiter durch einen schriftlichen Vertrag zu Datenschutzpflichten, die nicht weniger schützend sind als dieser AVV, und haften Ihnen gegenüber für dessen Leistung.
6. Von Ihnen gewählte Integrationen, etwa Meta (WhatsApp, Messenger, Instagram), E-Commerce-Plattformen und CRMs, sind nicht unsere Unterauftragsverarbeiter. Sie verbinden diese selbst, und sie verarbeiten Daten nach ihren eigenen Bedingungen mit Ihnen.

1. Wir benachrichtigen Sie über jede Datenschutzverletzung, die Kundendaten betrifft, unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem wir davon Kenntnis erlangt haben. Dies ist unser Standard in jedem Land.
2. Wir senden die Benachrichtigung an die E-Mail-Adresse des Kontoinhabers und, soweit möglich, im Panel. Soweit die Informationen vorliegen, beschreibt sie: Art und Ursache der Verletzung; die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen zur Eindämmung; und unsere Kontaktstelle.
3. Liegen uns nicht sofort alle Informationen vor, stellen wir sie unverzüglich schrittweise bereit und informieren Sie regelmäßig, bis der Vorfall abgeschlossen ist.
4. Wir unterstützen Sie bei der Erfüllung Ihrer eigenen Pflichten zur Meldung an Behörden und betroffene Personen, einschließlich der 72-Stunden-Fristen in der EU, im Vereinigten Königreich und in Saudi-Arabien sowie der Frist von drei Werktagen in Brasilien.
5. Eine Benachrichtigung stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar.

1. Erhalten wir eine Anfrage einer betroffenen Person zu Kundendaten, leiten wir sie innerhalb von 48 Stunden an Sie weiter und beantworten sie ohne Ihre Genehmigung nicht, außer mit dem Hinweis, dass wir sie weitergeleitet haben.
2. Im Panel können Sie Kontakte, Unterhaltungen und Nachrichten exportieren, berichtigen und löschen. Reichen diese Werkzeuge nicht aus, leisten wir Ihnen angemessene Unterstützung.
3. Unsere Unterstützung berücksichtigt Ihre gesetzlichen Fristen, einschließlich der sechs Arbeitstage in Ägypten.

Wir stellen Ihnen die Informationen zur Verfügung, die Sie vernünftigerweise benötigen, um eine Datenschutz-Folgenabschätzung, eine Bewertung der Übermittlungsrisiken oder eine vorherige Konsultation einer Behörde durchzuführen. Verpflichtet Sie das Gesetz, die betreffende Folgenabschätzung mit uns zu teilen, nehmen wir sie entgegen.

1. Während Ihres Abonnements können Sie jederzeit Ihre Daten exportieren, einzelne Unterhaltungen löschen (wodurch deren Nachrichten und Medien gelöscht werden) oder Ihren gesamten Workspace im Panel löschen. Die Angabe eines Grundes ist freiwillig.
2. Nach Ende des Dienstes bleiben Ihre Daten 30 Tage lang für den Export verfügbar. Wird ein Workspace gelöscht, löschen wir die Kundendaten innerhalb von 30 Tagen aus unseren Live-Systemen, einschließlich der Medien, der archivierten Kopie, der bei unserem KI-Anbieter gespeicherten Dateien und Antworten sowie der von unserem QR-Code-Verbindungsdienst gespeicherten Nachrichten. Kopien in Backups verfallen innerhalb weiterer 30 Tage.
3. Wir bewahren nur auf, was wir gesetzlich aufbewahren müssen, und schützen es bis zur Löschung weiterhin nach diesem AVV.
4. Auf Anfrage bestätigen wir die Löschung schriftlich.

1. Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und beantworten angemessene Sicherheitsfragebögen.
2. Reichen diese Informationen nicht aus, können Sie oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer uns einmal alle 12 Monate prüfen, mit einer Vorankündigung von 30 Tagen, während der Geschäftszeiten und ohne die Daten anderer Kunden zu gefährden. Diese Beschränkung gilt nicht nach einer Datenschutzverletzung oder wenn eine Behörde die Prüfung verlangt.
3. Jede Partei trägt ihre eigenen Kosten, es sei denn, die Prüfung deckt einen wesentlichen Verstoß unsererseits auf.
4. Wir arbeiten auf Anfrage mit den zuständigen Aufsichtsbehörden zusammen, einschließlich der saudi-arabischen Behörde für Daten und künstliche Intelligenz (SDAIA).

1. Ort der Datenverarbeitung. Kundendaten werden bei Google Cloud in den Vereinigten Staaten (Region us-east1) gehostet, von unseren Mitarbeitenden, die überwiegend über unser verbundenes Unternehmen in Ägypten tätig sind, per Fernzugriff abgerufen und von Unterauftragsverarbeitern an den auf deren Seite angegebenen Standorten verarbeitet. Alle unsere Server und Backups befinden sich in den Vereinigten Staaten; Hosting in einer anderen Region bieten wir nicht an.
2. Übermittlungsmechanismen. Die Klauseln in Anhang IV (EU und Vereinigtes Königreich), Anhang V (Brasilien) und Anhang VI (Saudi-Arabien) sind für jeden Kunden Bestandteil dieses AVV und regeln jede Übermittlung, auf die das jeweilige Recht anwendbar ist.
3. Ausländische Gesetze, denen wir unterliegen. Wir sind ein britisches Unternehmen und unterliegen britischem Recht. Die Daten werden bei einem US-Anbieter gehostet, und US-Behörden können US-Anbieter nach US-Recht zur Offenlegung von Daten verpflichten, unter anderem nach dem CLOUD Act und Section 702 des Foreign Intelligence Surveillance Act. Unser verbundenes Unternehmen in Ägypten unterliegt ägyptischem Recht. Uns ist nicht bekannt, dass eines dieser Gesetze uns an der Erfüllung dieses AVV hindert; sollte sich dies ändern, informieren wir Sie umgehend.
4. Anfragen öffentlicher Stellen. Erhalten wir von einer öffentlichen Stelle eine verbindliche Aufforderung zur Offenlegung von Kundendaten, informieren wir Sie, sofern das Gesetz dies nicht verbietet, bitten die Stelle, sich an Sie zu wenden, fechten rechtswidrige oder unverhältnismäßige Anfragen an und legen nur das erforderliche Minimum offen.

1. Wenn Sie KI-Antworten, KI-Agenten, die Transkription von Sprachnachrichten oder KI-Werkzeuge aktivieren, senden wir die von der Funktion benötigten Daten an einen unserer KI-Dienstleister, die Unterauftragsverarbeiter in den Vereinigten Staaten sind: Nachrichten, Gesprächsverlauf, Sprachnachrichten, Wissensdateien und Produktkatalog sowie Name und Nummer des Kontakts, soweit die Funktion diese nutzt.
2. Unsere KI-Dienstleister sind OpenAI, der Standardanbieter, der stets die Transkription von Sprachnachrichten sowie die Speicherung und Durchsuchung von Wissensdateien übernimmt, sowie Anthropic (Claude) und Google (Gemini API), an die wir KI-Aufgaben anstelle von OpenAI oder als Ausweichlösung weiterleiten oder an die wir eine begrenzte Stichprobe von Anfragen senden können, um die Qualität der Antworten zu vergleichen. Vergleichsantworten werden niemals an Ihre Kunden gesendet. Die Liste und die Übermittlungsmechanismen finden Sie auf unserer Seite zu Unterauftragsverarbeitern.
3. Gemäß ihren Geschäftsbedingungen verwendet keiner dieser Anbieter über seine API gesendete Daten zum Trainieren seiner Modelle (siehe die Business Terms von OpenAI, die Commercial Terms von Anthropic und die Gemini API Additional Terms), und wir haben keiner Nutzung zu Trainingszwecken zugestimmt. Jeder Anbieter bewahrt gemäß seinen Bedingungen eine temporäre Kopie zur Missbrauchsüberwachung auf, und OpenAI bewahrt die von ihm erzeugten Antworten gemäß seiner API-Datenrichtlinie auf.
4. Wir verwenden Kundendaten nicht zum Trainieren von Modellen. Was die Funktion „Aus dem Verlauf lernen“ lernt, bleibt in Ihrem Workspace.
5. Diese Funktionen sind optional und können jederzeit deaktiviert werden. Wenn Sie Ihren Workspace löschen, löschen wir die dafür bei OpenAI gespeicherten Dateien.
6. Sie sind dafür verantwortlich, Ihre Kunden darüber zu informieren, dass Antworten von KI erzeugt werden können, soweit das Gesetz dies verlangt.

1. Unsere Support-Mitarbeitenden greifen nur auf Ihren Workspace zu, um Support zu leisten.
2. Jeder Zugriff wird im Sicherheitsprotokoll Ihres Workspaces erfasst, das Sie einsehen können.
3. Wenn Sie die Zwei-Faktor-Authentifizierung für Ihren Workspace aktivieren, können unsere Mitarbeitenden nur mit Ihrer ausdrücklichen Zustimmung darauf zugreifen.

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen der Allgemeinen Geschäftsbedingungen, ausgenommen eine Haftung, die gesetzlich nicht beschränkt werden kann, und unbeschadet der Rechte betroffener Personen aus den Übermittlungsklauseln in den Anhängen IV bis VI, die weder durch diesen AVV noch durch die Allgemeinen Geschäftsbedingungen beschränkt werden.

1. Dieser AVV gilt, solange wir Kundendaten verarbeiten.
2. Wir können diesen AVV aktualisieren, um ihn an die Rechtslage oder den Dienst anzupassen. Wesentliche Änderungen kündigen wir 30 Tage im Voraus an, und keine Änderung senkt das Schutzniveau während der Laufzeit Ihres kostenpflichtigen Abonnements.
3. Dieser AVV unterliegt dem Recht von England und Wales, und dessen Gerichte sind zuständig; abweichend davon unterliegt jeder Satz von Übermittlungsklauseln in den Anhängen IV bis VI dem darin bestimmten Recht und Gerichtsstand.

Für das Gesetz zum Schutz personenbezogener Daten und seine Durchführungsverordnung (Artikel 17):

• Zweck, Datenkategorien und Dauer der Verarbeitung sind in Anhang I festgelegt.
• Wir benachrichtigen Sie über eine Verletzung unverzüglich und innerhalb von 24 Stunden (Abschnitt 7).
• Die ausländischen Gesetze, denen wir unterliegen, und ihre Auswirkungen sind in Abschnitt 12 beschrieben.
• Verpflichtet uns saudi-arabisches Recht zu einer Offenlegung, benachrichtigen wir Sie darüber.
• Unterauftragsverarbeiter und andere Empfänger sind in Anhang III aufgeführt; wir benachrichtigen Sie vor jeder Änderung, verbunden mit einem Widerspruchsrecht (Abschnitt 6).
• Wir leiten Anfragen betroffener Personen innerhalb von 48 Stunden weiter (Abschnitt 8) und akzeptieren Folgenabschätzungen und Prüfungen (Abschnitt 11).
• Übermittlungsklauseln: Anhang VI.

Im Rahmen des LGPD handeln wir als „operador“:

• Wir verarbeiten Daten nach Ihren Weisungen (Artikel 39) und führen ein Verzeichnis der Verarbeitungsvorgänge (Artikel 37).
• Wir wenden die Sicherheitsmaßnahmen in Anhang II an, und unsere Sicherheitspflicht besteht auch nach Ende der Verarbeitung fort (Artikel 46 und 47).
• Wir benachrichtigen Sie innerhalb von 24 Stunden über eine Verletzung, damit Sie die ANPD und die betroffenen Personen innerhalb von drei Werktagen benachrichtigen können (Artikel 48).
• Wir löschen Daten bei Ende der Verarbeitung gemäß Abschnitt 10 (Artikel 16).
• Nichts in diesem AVV beschränkt unsere Haftung gegenüber betroffenen Personen, soweit das LGPD sie vorsieht.
• Übermittlungsklauseln: Anhang V. Auf Anfrage stellen wir eine portugiesische Zusammenfassung der internationalen Übermittlung bereit, die Sie für Ihre Kunden veröffentlichen können.

Im Hinblick auf das Gesetz Nr. 151 von 2020 und seine Durchführungsverordnungen gilt:

• Unser verbundenes Unternehmen in Ägypten ist die Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), Handelsregisternummer 223572 (Registerstelle Cairo Investment), Tower 22, 3. Etage, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Ägypten.
• Wir holen jede Lizenz oder Genehmigung ein, die das Gesetz für unsere Verarbeitung und für grenzüberschreitende Übermittlungen verlangt, bevor wir uns darauf stützen, und benennen einen beim Personal Data Protection Center registrierten Datenschutzbeauftragten.
• Zusätzlich zu unserer Benachrichtigung an Sie innerhalb von 24 Stunden melden wir eine Verletzung innerhalb von 72 Stunden dem Personal Data Protection Center, sofern das Gesetz uns als Auftragsverarbeiter dazu verpflichtet, und zwar in Abstimmung mit Ihnen.
• Wir arbeiten mit Ihnen zusammen, um Anfragen betroffener Personen innerhalb von sechs Arbeitstagen zu beantworten.
• Sie sind dafür verantwortlich, die Einwilligung betroffener Personen einzuholen, wo das Gesetz dies verlangt, einschließlich der Einwilligung in Übermittlungen außerhalb Ägyptens.

Dieser AVV enthält die nach Artikel 28(3) der EU-DSGVO und der UK-DSGVO erforderlichen Bestimmungen: Weisungen (Abschnitt 3), Vertraulichkeit (Abschnitt 4), Sicherheit (Abschnitt 5 und Anhang II), Unterauftragsverarbeiter (Abschnitt 6), Unterstützung bei Anfragen betroffener Personen (Abschnitt 8) sowie bei Sicherheit, Verletzungen und Bewertungen (Abschnitte 5, 7 und 9), Löschung und Rückgabe (Abschnitt 10) sowie Informationen und Audits (Abschnitt 11).

Für das Vereinigte Königreich, in dem wir niedergelassen sind, besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Anhang IV (die EU-Standardvertragsklauseln und das UK Addendum) ist dennoch für jeden Kunden einbezogen und regelt jede Übermittlung personenbezogener Kundendaten, die nach der EU-DSGVO oder der UK-DSGVO nicht anderweitig zulässig ist, einschließlich unserer Weiterübermittlungen in die Vereinigten Staaten.

Diese Maßnahmen sind derzeit umgesetzt:

• Verschlüsselung bei der Übertragung: TLS 1.3 am Cloudflare-Edge mit HSTS sowie TLS-Zertifikate auf dem Ursprungsserver.
• Verschlüsselung im Ruhezustand: Standardverschlüsselung von Google Cloud mit von Google verwalteten Schlüsseln für Festplatten und Storage-Buckets, zusätzlich Verschlüsselung auf Anwendungsebene für Kanal-Zugriffstokens, Integrations- und Webhook-Secrets, Zwei-Faktor-Secrets, Umfrageantworten und Einwilligungsnachweise.
• Passwörter und Tokens: Passwörter mit bcrypt gehasht; API-Tokens als Hashes gespeichert.
• Isolierung: eine separate Datenbank für jeden Workspace.
• Netzwerk: Datenbanken und Caches sind aus dem Internet nicht erreichbar; DDoS-Schutz und Web Application Firewall von Cloudflare; Turnstile-Botschutz für öffentliche Formulare.
• Server-Härtung: CageFS-Kontoisolierung, Imunify360-Firewall und Malware-Scans sowie Live-Kernel-Sicherheitspatches (KernelCare).
• Zugriffskontrolle: Rollen und Berechtigungen pro Benutzer, ein separater Anmeldeschutz für interne Administrationstools, Zwei-Faktor-Authentifizierung für jeden Workspace sowie IP-Beschränkungen für die Anmeldung.
• Protokollierung: ein Sicherheitsprotokoll für jeden Workspace, das Anmeldungen und fehlgeschlagene Versuche, Änderungen an Zwei-Faktor-Einstellungen und Rollen, Support-Zugriffe und die Rotation von API-Schlüsseln erfasst.
• Integrationen: Signaturprüfung eingehender Daten von Meta, Salla und Zid sowie ein separates Signatur-Secret für jeden neuen ausgehenden Webhook.
• Privater Speicher: Dokumente, E-Mail-Anhänge, Anrufaufzeichnungen, Backups und archivierte Workspaces werden in privaten Storage-Buckets aufbewahrt, bei denen öffentlicher Zugriff unterbunden ist.
• Medien aus Unterhaltungen: in einem Speicher abgelegt, der weder durchsucht noch aufgelistet werden kann, und über lange, zufällige, schwer zu erratende Links ausgeliefert (ausgenommen Profilbilder von Kontakten); die Umstellung auf zeitlich begrenzte signierte Links ist in Arbeit.
• Backups: nächtliche Backups der Datenbanken zahlender, in der Testphase befindlicher und kostenlos bereitgestellter Workspaces, eine 10-tägige Rotation für andere Workspaces sowie ein tägliches Backup der zentralen Kontodatenbank; Aufbewahrung für 30 Tage in privatem Speicher in den Vereinigten Staaten (us-east1).
• Löschung: Jeder Kunde kann den gesamten Workspace im Panel löschen, einschließlich Medien, archivierter Kopie und KI-Dateien bei OpenAI; das Löschen einer Unterhaltung entfernt deren Nachrichten und Medien.
• Datenminimierung: Eingehende Plattform-Payloads werden nach 14 Tagen gelöscht, Serverprotokolle nach 14 Tagen und Anrufaufzeichnungen standardmäßig nach 90 Tagen.
• Überwachung: externe Verfügbarkeitsüberwachung sowie interne Überwachung von Arbeitsspeicher, Datenbanken, Sitzungen und Warteschlangen mit Echtzeit-Alarmen, in denen Telefonnummern und E-Mail-Adressen maskiert sind.

Die aktuelle Liste der Unterauftragsverarbeiter mit den von ihnen verarbeiteten Daten, ihren Standorten und den Garantien für Übermittlungen ist auf unserer Seite zu Unterauftragsverarbeitern veröffentlicht und Bestandteil dieses AVV.

Die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln werden durch Verweis einbezogen:

• Modul Zwei (Verantwortlicher an Auftragsverarbeiter), wenn Sie Verantwortlicher sind, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn Sie für einen Dritten als Auftragsverarbeiter tätig sind.
• Klausel 7 (Kopplungsklausel): einbezogen.
• Klausel 9(a): Option 2 (allgemeine schriftliche Genehmigung) mit einer Vorankündigungsfrist von 30 Tagen.
• Klausel 11(a): Die optionale Formulierung findet keine Anwendung.
• Klausel 13: Die zuständige Aufsichtsbehörde wird gemäß Klausel 13(a) entsprechend Ihrer Situation bestimmt.
• Klausel 17: Option 1, es gilt das Recht Irlands. Klausel 18: die Gerichte Irlands.
• Anhang I.A: die Parteien in Abschnitt 1 (Sie als Datenexporteur, wir als Datenimporteur). Anhang I.B: Anhang I dieses AVV. Anhang I.C: wie gemäß Klausel 13 bestimmt. Anhang II: Anhang II dieses AVV. Anhang III: Anhang III dieses AVV.

Für Übermittlungen, die dem Recht des Vereinigten Königreichs unterliegen, wird das International Data Transfer Addendum to the EU Standard Contractual Clauses des ICO durch Verweis einbezogen: Tabelle 1, die oben genannten Parteien; Tabelle 2, die oben ausgewählten Klauseln; Tabelle 3, Anhänge I bis III; Tabelle 4, jede Partei kann das Addendum wie in dessen Abschnitt 19 festgelegt beenden.

Für internationale Übermittlungen von Daten, die der LGPD unterliegen, übernehmen die Parteien mit der Annahme der Allgemeinen Geschäftsbedingungen die Standardvertragsklauseln in Anhang II der Resolution CD/ANPD Nr. 19/2024 vollständig und ohne jede Änderung. Maßgeblich ist der offizielle portugiesische Text.

• Abschnitt I: Sie sind der Exporteur (Verantwortlicher) und wir sind der Importeur (Auftragsverarbeiter); die Übermittlung ist in Anhang I beschrieben.
• Abschnitt III (Sicherheitsmaßnahmen): Anhang II.
• Abschnitt IV: keine zusätzlichen Klauseln.

Keine andere Bestimmung dieses AVV oder der Allgemeinen Geschäftsbedingungen darf diese Klauseln ausschließen, ändern oder ihnen widersprechen.

Für Übermittlungen personenbezogener Daten außerhalb des Königreichs übernehmen die Parteien mit der Annahme der Allgemeinen Geschäftsbedingungen die von der Saudi Data and AI Authority (SDAIA) herausgegebenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten, Vorlage 2 (Verantwortlicher an Auftragsverarbeiter), ohne Änderungen.

• Parteien: Sie sind der Exporteur und wir sind der Importeur.
• Anlagen 1 bis 3 der Vorlage: Abschnitt 1, Anhang I und Anhang II dieses AVV.
• Diese Klauseln unterliegen den Gesetzen des Königreichs Saudi-Arabien, und dessen Gerichte sind zuständig, wie in den Klauseln vorgesehen.
• Wir benachrichtigen Sie über eine Verletzung innerhalb von 24 Stunden, leiten Anfragen betroffener Personen innerhalb von 48 Stunden weiter und arbeiten bei jedem Audit mit der SDAIA zusammen.
• Wir teilen Ihnen mit, welche Unterauftragsverarbeiter außerhalb des Königreichs diesen Klauseln beigetreten sind und welche nicht, bevor wir uns für Ihre Daten auf sie stützen.