Auftragsverarbeitungsvertrag

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Kunden, der die Nutzungsbedingungen akzeptiert („Kunde“, der Verantwortliche), und IMFA Labs LLC, einer in Wyoming, Vereinigte Staaten, eingetragenen Gesellschaft mit beschränkter Haftung (Limited Liability Company) („IMFA“, der Auftragsverarbeiter), geschlossen. Er ist Bestandteil der Bedingungen und gilt für personenbezogene Daten, die IMFA bei der Bereitstellung von IMFA Agents für den Kunden verarbeitet („personenbezogene Kundendaten“). Er setzt Artikel 28 der Datenschutz-Grundverordnung der EU (DSGVO), der UK GDPR und vergleichbarer Gesetze um, soweit diese gelten.

Steht dieser AVV im Widerspruch zu den Bedingungen, hat dieser AVV für personenbezogene Kundendaten Vorrang. Gelten die Standardvertragsklauseln und stehen sie im Widerspruch zu diesem AVV, haben die Standardvertragsklauseln Vorrang.

2. Gegenstand und Dauer

IMFA verarbeitet personenbezogene Kundendaten, um den Dienst bereitzustellen, den der Kunde konfiguriert: Hosting von Agenten, Beantwortung von Unterhaltungen im Website-Widget, per Sprache und über verbundene Kanäle, Speicherung von Wissen und Dateien, Erfassung von Leads und Bestellungen, Verbindung der vom Kunden gewählten Dienste und Gewährleistung der Sicherheit des Dienstes. Die Verarbeitung dauert an, solange der Kunde den Dienst nutzt, und bis zur Löschung nach Abschnitt 11. Einzelheiten enthält Anhang 1.

3. Pflichten des Kunden

Der Kunde:

• entscheidet, welche personenbezogenen Daten in den Dienst gelangen und warum, und verfügt dafür über eine Rechtsgrundlage;
• gibt seinen Besuchern und Kunden die gesetzlich vorgeschriebenen Hinweise (einschließlich des Hinweises, dass sie mit einer KI sprechen, wo dies erforderlich ist) und holt alle erforderlichen Einwilligungen ein;
• fügt keine besonderen Kategorien personenbezogener Daten oder Daten von Kindern hinzu, es sei denn, das Gesetz erlaubt es und der Kunde verfügt über alle erforderlichen Schutzmaßnahmen;
• konfiguriert seine Agenten, Kanäle, Teamzugriffe und Integrationen angemessen;
• beantwortet die Anfragen seiner betroffenen Personen, mit der Unterstützung von IMFA nach Abschnitt 8.

4. Pflichten von IMFA

IMFA:

• verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, nämlich die Bedingungen, diesen AVV und die Einstellungen des Kunden im Dienst, sofern das Gesetz nichts anderes verlangt (in diesem Fall informiert IMFA den Kunden vorab, sofern das Gesetz dies nicht verbietet);
• informiert den Kunden, wenn IMFA der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt;
• verkauft personenbezogene Kundendaten nicht und verwendet sie nicht für eigene Zwecke, außer soweit erforderlich, um den Dienst zu sichern, Missbrauch zu verhindern und gesetzliche Vorschriften einzuhalten, wie in der Datenschutzerklärung beschrieben;
• verwendet personenbezogene Kundendaten nicht zum Trainieren von KI-Modellen.

5. Vertraulichkeit

IMFA stellt sicher, dass die zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind und nur insoweit darauf zugreifen, wie es für die Bereitstellung, den Support und die Sicherung des Dienstes erforderlich ist.

6. Sicherheit

IMFA wendet die technischen und organisatorischen Maßnahmen in Anhang 2 an und berücksichtigt dabei den Stand der Technik, die Kosten und die Risiken. IMFA kann sie aktualisieren, sofern das Gesamtschutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde erteilt IMFA eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste befindet sich unter Unterauftragsverarbeiter. IMFA:

• verpflichtet jeden Unterauftragsverarbeiter durch schriftlichen Vertrag zu Datenschutzpflichten, die mindestens so schützend sind wie dieser AVV, entsprechend dem von ihm erbrachten Dienst;
• aktualisiert die Liste, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird; der Kunde kann verlangen, per E-Mail unter privacy@imfa.io über Änderungen informiert zu werden;
• ermöglicht dem Kunden, innerhalb von 30 Tagen nach der Aktualisierung aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben; können die Parteien den Einspruch nicht ausräumen, kann der Kunde die Nutzung der betroffenen Funktion einstellen oder den Dienst beenden und erhält eine anteilige Erstattung im Voraus gezahlter Gebühren für den ungenutzten Zeitraum dieses Abonnements;
• bleibt für die Leistung seiner Unterauftragsverarbeiter verantwortlich, wie es das Gesetz verlangt.

Plattformen, die der Kunde verbindet (Meta, Telegram, Discord, Google und Zahlungsmethoden über Stripe), handeln für ihre eigene Verarbeitung als eigenständige Verantwortliche und sind keine Unterauftragsverarbeiter von IMFA.

8. Unterstützung bei Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt IMFA den Kunden bei der Beantwortung von Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragung personenbezogener Daten, überwiegend über die Tools im Dienst (Anzeigen und Löschen von Unterhaltungen, Leads, Dateien und Agenten). Reichen die Tools nicht aus, kann sich der Kunde an privacy@imfa.io wenden. Erhält IMFA eine Anfrage direkt von einer betroffenen Person eines Kunden, verweist IMFA die Person an den Kunden, sofern IMFA diesen identifizieren kann, und beantwortet die Anfrage nicht selbst, es sei denn, der Kunde verlangt dies.

9. Verletzungen des Schutzes personenbezogener Daten

IMFA benachrichtigt den Kunden unverzüglich, nachdem IMFA eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die personenbezogene Kundendaten betrifft, und stellt die Informationen bereit, die der Kunde zur Erfüllung seiner eigenen Pflichten benötigt, sobald sie verfügbar sind. IMFA ergreift angemessene Maßnahmen, um die Verletzung einzudämmen. Eine Benachrichtigung ist kein Schuldeingeständnis.

10. Folgenabschätzungen und Behörden

IMFA unterstützt den Kunden angemessen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden in Bezug auf den Dienst und nutzt dafür die ihr zur Verfügung stehenden Informationen, vor allem diesen AVV, die KI-Offenlegung und die Liste der Unterauftragsverarbeiter.

11. Rückgabe und Löschung

Der Kunde kann Unterhaltungen, Dateien, Wissen, Agenten und sein gesamtes Konto jederzeit im Dienst löschen. Bei der Löschung des Kontos löscht IMFA personenbezogene Kundendaten wie in der Datenschutzerklärung beschrieben (nach einer Frist von 3 Tagen, in der der Kunde die Löschung abbrechen kann), es sei denn, das Gesetz verpflichtet IMFA zur Aufbewahrung. Kopien in den Backups der Anbieter werden nach deren regulärem Zeitplan gelöscht. Vor der Löschung kann der Kunde unter privacy@imfa.io eine Kopie seiner Daten anfordern.

12. Audits

IMFA stellt die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, einschließlich dieses Dokuments, seiner Anhänge und Zusammenfassungen der Zertifizierungen ihrer Anbieter. Reicht dies nicht aus, kann der Kunde ein Audit verlangen, höchstens einmal pro Jahr, mit einer Ankündigungsfrist von 30 Tagen, auf eigene Kosten, durchgeführt von einem unabhängigen, zur Vertraulichkeit verpflichteten Prüfer, und zwar so, dass der Dienst nicht gestört wird und keine Daten anderer Kunden offengelegt werden. Audits von Unterauftragsverarbeitern werden durch deren eigene Berichte und Zertifizierungen abgedeckt.

13. Internationale Übermittlungen

IMFA hat ihren Sitz in den Vereinigten Staaten, und ihre Unterauftragsverarbeiter verarbeiten Daten in den in Anhang 3 aufgeführten Ländern. Werden personenbezogene Kundendaten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss übermittelt, werden die EU-Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter, oder Modul 3, Auftragsverarbeiter an Auftragsverarbeiter, je nach Fall), mit dem britischen Addendum und den schweizerischen Anpassungen, soweit diese gelten, durch Verweis in diesen AVV einbezogen, mit IMFA als Datenimporteur. IMFA verlangt von ihren Unterauftragsverarbeitern gleichwertige Garantien.

14. Haftung und Laufzeit

Die Haftung jeder Partei nach diesem AVV unterliegt den Beschränkungen in den Bedingungen, sofern das Gesetz diese nicht ausschließt. Dieser AVV gilt, solange IMFA personenbezogene Kundendaten verarbeitet.

Anhang 1: Einzelheiten der Verarbeitung

Anhang 2: Technische und organisatorische Maßnahmen

• Zugriffskontrolle: Authentifizierung für jede Dashboard- und API-Anfrage; serverseitige Berechtigungsprüfungen bei jeder Funktion; Rollen für geteilte Agenten (Inhaber, Bearbeiter, Betrachter); Admin-Tools beschränkt auf Administratoren von IMFA.
• Zugangsdaten: API-Schlüssel und Zugriffstoken als Hashes gespeichert; Kanal-Zugangsdaten und Google-Token verschlüsselt gespeichert; Geheimnisse werden im Builder-Chat niemals wieder angezeigt.
• Übertragung: verschlüsselte Verbindungen (HTTPS) zwischen Browsern, unseren Diensten und unseren Anbietern.
• Isolierung: Die Daten jedes Kunden sind bei jeder Abfrage auf sein eigenes Konto und seine eigenen Agenten beschränkt.
• Missbrauchsprävention: Ratenbegrenzungen pro Besucher, Unterhaltung, Agent und Konto; Bot-Prüfungen im Widget; automatisierte Inhalts- und Sicherheitsprüfungen; Warnungen und Sperren gegenüber Besuchern.
• Datenschutz bei KI: Zero Data Retention beim Convex AI Gateway verlangt; Kontaktdaten vor Lead-Qualifizierung und Zusammenfassungen entfernt; Anweisungen werden aus Antworten herausgehalten.
• Datenminimierung und Aufbewahrung: automatische Löschung inaktiver Unterhaltungen, Protokolle und Aufzeichnungen nach den Zeitplänen in der Datenschutzerklärung; Entscheidungen ohne Text der Unterhaltung gespeichert.
• Aktivitätsaufzeichnungen: Audit- und Aktivitätsprotokolle für sensible Änderungen und Aktivitäten von Agenten.
• Anbieter: Infrastruktur bei Anbietern mit eigenen Sicherheitszertifizierungen (siehe die Liste der Unterauftragsverarbeiter).

Anhang 3: Mechanismen für internationale Übermittlungen