Auftragsverarbeitungsvertrag (DPA)

Dies ist eine deutsche Übersetzung zur besseren Verständlichkeit. Rechtlich verbindlich ist die slowakische Fassung.

gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) · untrennbarer Bestandteil der Allgemeinen Geschäftsbedingungen des Dienstes VORU

1. Parteien

Verantwortlicher: der Kunde — Nutzer des Dienstes VORU (ein Unternehmen oder Unternehmer, der seine Postfächer verbunden hat).
Auftragsverarbeiter: SORB XT s.r.o., Kontakt obchod@sorbxt.sk (im Folgenden „Anbieter“).

2. Gegenstand und Art der Verarbeitung

Der Anbieter verarbeitet für den Kunden automatisiert die E-Mail-Nachrichten in den verbundenen Postfächern einschließlich Anhängen, und zwar zum Zweck der Erkennung von Rechnungen, Zahlungen, Terminen und Aufgaben sowie des Versands von Erinnerungen und Übersichten. Die Verarbeitung dauert für die Dauer des Kontos des Kunden an.

3. Kategorien der Daten und der betroffenen Personen

In der empfangenen Post enthaltene Daten: Identifikations- und Kontaktdaten der Absender, Rechnungs- und Zahlungsdaten (Beträge, IBAN, Zahlungsreferenzen), Inhalt der Nachrichten und Anhänge. Betroffene Personen: Geschäftspartner, Lieferanten und Korrespondenten des Kunden.

4. Weisungen und Vertraulichkeit

Der Anbieter verarbeitet die Daten ausschließlich zum Zweck der Erbringung des Dienstes gemäß diesem Vertrag und den dokumentierten Weisungen des Kunden (Kontoeinstellungen). Personen mit Zugriff auf die Daten sind zur Verschwiegenheit verpflichtet. Der Inhalt der Post wird nicht für Werbung oder für Profiling außerhalb des Dienstes verwendet und wird nicht verkauft.

5. Weitere Auftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Einbindung folgender weiterer Auftragsverarbeiter: Anthropic (API zur Inhaltserkennung — der Text wird weder trainiert noch über die Bearbeitung der Anfrage hinaus gespeichert), Hetzner (Serverinfrastruktur in der EU), Stripe (Zahlungen für das Abonnement). Eine Änderung der Liste kündigt der Anbieter vorab per E-Mail an; der Kunde kann durch Beendigung der Nutzung des Dienstes widersprechen.

6. Sicherheitsmaßnahmen

Verschlüsselte Übertragung (HTTPS/TLS, IMAPS), verschlüsselte Speicherung der Zugangsdaten zu den Postfächern, Kontopasswörter als PBKDF2-Hashes, Zugriff auf die Server nur über SSH-Schlüssel, tägliche Sicherungen, optionale Zwei-Faktor-Authentifizierung des Kontos.

7. Unterstützung des Verantwortlichen und Löschung

Der Anbieter unterstützt den Kunden bei der Erfüllung der Rechte der betroffenen Personen und bei der Meldung von Vorfällen (ohne unnötige Verzögerung nach deren Feststellung). Der Datenexport sowie die vollständige Löschung des Kontos stehen dem Kunden als Selbstbedienung in den Einstellungen zur Verfügung; nach der Löschung des Kontos werden die Daten sofort gelöscht, Sicherungen laufen innerhalb von 14 Tagen ab.

8. Audit

Der Anbieter stellt auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Erfüllung der Pflichten gemäß Art. 28 DSGVO erforderlich sind, und ermöglicht ein angemessenes Audit in vereinbarter Weise.

Dieser DPA wird durch die Annahme der Allgemeinen Geschäftsbedingungen bei der Registrierung geschlossen. Eine schriftliche Ausfertigung mit Unterschrift stellen wir auf Anfrage an obchod@sorbxt.sk zur Verfügung.