Auftragsverarbeitungsvertrag

Präambel

Diese Vereinbarung (die „Vereinbarung“) wird geschlossen zwischen dem Kunden, der als Verantwortlicher handelt (oder, wenn er eine Agentur ist, als Auftragsverarbeiter seiner eigenen Kunden), und der CODEVIUM SAS, Herausgeberin des Dienstes iPand, die als Auftragsverarbeiter handelt („iPand“), im Sinne von Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“).

Sie bildet Anhang 1 der Allgemeinen Verkaufsbedingungen (die „Verkaufsbedingungen“) und wird mit ihnen angenommen, durch das beim Abschluss angekreuzte Annahmekästchen oder durch die Annahme eines Angebots für den Tarif Individuell. Sie gilt, solange iPand Personenbezogene Kundendaten verarbeitet, auch nach Beendigung der Verkaufsbedingungen.

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen Artikel 4 DSGVO gibt. Die übrigen in den Verkaufsbedingungen definierten Begriffe haben die dort festgelegte Bedeutung.

Artikel 1 — Umfang: was iPand für den Kunden verarbeitet

1.1 iPand handelt als Auftragsverarbeiter für die personenbezogenen Daten, die in den Kundendaten enthalten sind (die „Personenbezogenen Kundendaten“) und in Anhang A beschrieben werden: Zusammensetzung der Organisation (Mitglieder, Rollen, zugängliche Marken, Einladungen), von den Mitgliedern eingegebene Inhalte (Prompts, Entitäten, Wettbewerber, Aufgaben, beobachtete Seiten), Unterhaltungen mit Pandi, dem GEO-Assistenten von iPand, und für den Kunden erzeugte Ergebnisse.

1.2 iPand handelt als Verantwortlicher und nicht als Auftragsverarbeiter für die Verarbeitungen, die iPand selbst festlegt: Erstellung und Sicherheit der Nutzerkonten, Authentifizierung und Sicherheitsprotokoll, Nachweis der Annahme der Bedingungen, Abrechnung und Geschäftsbeziehung, Service-E-Mails, Support, Missbrauchsprävention, Messung der Nutzung der Anwendung, Webanalyse der Website. Diese Verarbeitungen sind in den Datenschutzhinweisen beschrieben und fallen nicht unter die Vereinbarung.

1.3 Die bei den KI-Plattformen erhobenen Antworten und die analysierten Webseiten können natürliche Personen erwähnen (Führungskräfte, Autoren, öffentliche Bewertungen). Für die Erhebung dieser öffentlichen Inhalte und für seine Messmethode handelt iPand auf eigene Rechnung als Verantwortlicher auf der Grundlage seines berechtigten Interesses; diese Verarbeitung ist in den Datenschutzhinweisen beschrieben.

Artikel 2 — Weisungen

2.1 iPand verarbeitet die Personenbezogenen Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen außerhalb der Europäischen Union, sofern keine gesetzliche Verpflichtung besteht; in diesem Fall teilt iPand dies dem Kunden vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

2.2 Die Weisungen des Kunden bestehen aus den Verkaufsbedingungen, den Nutzungsbedingungen, dieser Vereinbarung, den Einstellungen und Handlungen der Mitglieder im Dienst (Hinzufügen oder Löschen von Prompts, Entitäten, Mitgliedern; Anforderung eines Archivs; Löschen einer Marke oder eines Kontos; Autorisierung eines MCP-Clients) sowie jeder ergänzenden schriftlichen Weisung, die iPand akzeptiert.

2.3 iPand informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von iPand gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

2.4 iPand verwendet die Personenbezogenen Kundendaten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht zum Training von KI-Modellen.

Artikel 3 — Vertraulichkeit

iPand stellt sicher, dass sich die zur Verarbeitung der Personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur insoweit Zugang erhalten, wie es für die Erbringung des Dienstes, für den vom Kunden angeforderten Support oder für die Sicherheit erforderlich ist.

Artikel 4 — Sicherheit

4.1 iPand trifft die in Anhang B beschriebenen geeigneten technischen und organisatorischen Maßnahmen gemäß Artikel 32 DSGVO, unter Berücksichtigung des Stands der Technik, der Kosten, der Art der Verarbeitungen und der Risiken.

4.2 iPand kann diese Maßnahmen weiterentwickeln, sofern das Gesamtniveau der Sicherheit nicht gesenkt wird.

4.3 Der Kunde bleibt für die ihm obliegenden Maßnahmen verantwortlich: Verwaltung der Mitglieder und ihrer Rechte, Entzug der Zugänge von Personen, die seine Organisation verlassen, Vertraulichkeit der E-Mail-Postfächer, an die die Anmeldecodes gesendet werden, Wahl der MCP-Clients, die er autorisiert, und die von ihm eingegebenen Inhalte (insbesondere der Verzicht auf personenbezogene Daten in Prompts, den die Nutzungsbedingungen verlangen).

Artikel 5 — Datenschutzverletzung

5.1 iPand meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betrifft, unverzüglich und spätestens 48 Stunden, nachdem iPand davon Kenntnis erlangt hat, per E-Mail an die Rechnungsadresse und an die Administratoren.

5.2 Die Meldung enthält, soweit möglich: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder geplanten Maßnahmen sowie eine Anlaufstelle. Nicht verfügbare Informationen werden so bald wie möglich schrittweise nachgereicht.

5.3 iPand arbeitet mit dem Kunden zusammen, damit dieser die Aufsichtsbehörde und gegebenenfalls die betroffenen Personen benachrichtigen kann. Die Meldung durch iPand stellt kein Schuldanerkenntnis dar. iPand wendet ein internes Verfahren zur Behandlung von Datenschutzverletzungen an.

Artikel 6 — Unterauftragsverarbeiter

6.1 Der Kunde erteilt iPand eine allgemeine Genehmigung, die in der von iPand laufend aktualisierten Liste (Anhang C) zum Zeitpunkt des Abschlusses aufgeführten Unterauftragsverarbeiter einzusetzen, und danach so, wie sich diese Liste nach diesem Artikel entwickelt. Die aktuelle Liste wird dem Kunden auf Anfrage an contact@ipand.io mitgeteilt.

6.2 Von iPand gewählte Unterauftragsverarbeiter. iPand informiert den Kunden über jede Hinzufügung oder Ersetzung eines von iPand gewählten Unterauftragsverarbeiters mindestens 30 Tage, bevor dieser Personenbezogene Kundendaten verarbeitet, per E-Mail an die Administratoren jeder Kundenorganisation. Der Kunde kann innerhalb dieser Frist aus einem angemessenen, mit dem Datenschutz zusammenhängenden Grund schriftlich an contact@ipand.io Einspruch erheben. Die Parteien suchen dann nach einer Lösung; gelingt dies nicht, kann der Kunde das betroffene Abonnement kostenfrei kündigen, wobei ihm der nicht erbrachte Teil des jährlichen Zeitraums anteilig erstattet wird.

6.3 Dringende Ersetzung. Erfordern die Sicherheit der Daten oder der Ausfall eines Dienstleisters eine Ersetzung, ohne diese Frist abzuwarten, kann iPand sie mit einer kürzeren Vorankündigung vornehmen. iPand informiert den Kunden dann unverzüglich auf dieselbe Weise, und der Kunde hat nachträglich dieselben Einspruchs- und Kündigungsrechte.

6.4 Änderungen bei den Unterauftragsverarbeitern der Unterauftragsverarbeiter. Einige Unterauftragsverarbeiter setzen ihrerseits Dienstleister ein, die sie selbst wählen und nach ihren eigenen Bedingungen wechseln können, ohne iPand immer eine Vorankündigung von 30 Tagen zu garantieren: insbesondere die Erhebungsdienstleister und ihre Modellanbieter, der Hosting-Anbieter, der E-Mail-Versanddienstleister sowie die Betreiber der Plattformen des Tarifs Individuell. iPand informiert den Kunden auf dieselbe Weise über diese Änderungen, sobald iPand davon Kenntnis erlangt. Der Kunde hat dann dieselben Einspruchs- und Kündigungsrechte wie in Artikel 6.2.

6.5 iPand erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen der Vereinbarung gleichwertig sind, insbesondere hinreichende Garantien für die technischen und organisatorischen Maßnahmen. iPand bleibt gegenüber dem Kunden für die Erfüllung ihrer Pflichten verantwortlich.

6.6 Die MCP-Clients (externe Assistenten wie claude.ai oder ChatGPT), die ein Mitglied zum Lesen der Daten der Organisation autorisiert, sind keine Unterauftragsverarbeiter von iPand: Sie handeln auf Veranlassung und in der Verantwortung des Kunden nach ihren eigenen Bedingungen. Der Kunde kann ihre Zugänge jederzeit entziehen (Einstellungen › Integrationen).

Artikel 7 — Übermittlungen außerhalb der Europäischen Union

7.1 Die Personenbezogenen Kundendaten werden in der Europäischen Union gespeichert, in der Azure-Region „West Europe“ (Niederlande); die georedundanten Sicherungskopien der Datenbank werden dort aufbewahrt und von Azure in die gekoppelte Region „North Europe“ (Irland) in der Europäischen Union repliziert. Die Verarbeitungen durch Sprachmodelle erfolgen in der Europäischen Union: Anfragen und Antworten können in jedem Mitgliedstaat der Union verarbeitet werden.

7.2 Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums oder gewährt er von dort Zugang zu ihnen, wird die Übermittlung durch einen Angemessenheitsbeschluss (darunter das EU-US Data Privacy Framework für ein zertifiziertes Unternehmen) oder durch die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) abgesichert, erforderlichenfalls ergänzt durch zusätzliche Maßnahmen. Die Liste der Unterauftragsverarbeiter (Anhang C) gibt für jeden den Ort der Verarbeitung und den gewählten Mechanismus an.

7.3 Zum Zeitpunkt dieser Fassung der Vereinbarung:

• In den Vereinigten Staaten niedergelassene Erhebungsdienstleister und Betreiber von Plattformen: Standardvertragsklauseln, Modul 2 (Verantwortlicher an Auftragsverarbeiter) und, bei einigen, Modul 3, vorgesehen in ihrem Auftragsverarbeitungsvertrag.
• In der Europäischen Union niedergelassene Erhebungsdienstleister, die Daten außerhalb der Union verarbeiten oder verarbeiten lassen (insbesondere in den Vereinigten Staaten und im Vereinigten Königreich): Die Übermittlung der Prompts durch iPand ist keine Übermittlung außerhalb der Union; ihre eigenen Übermittlungen sind laut ihrem Auftragsverarbeitungsvertrag oder ihrer Datenschutzerklärung durch Standardvertragsklauseln oder Angemessenheitsbeschlüsse abgesichert.
• In der Europäischen Union niedergelassener Betreiber einer Plattform (Tarif Individuell): Die Übermittlung der Prompts ist keine Übermittlung außerhalb der Union; er setzt vorrangig Dienstleister in der Union ein und in Ausnahmefällen Dienstleister außerhalb der Union.
• E-Mail-Versanddienstleister (Vereinigte Staaten): nach dem EU-US Data Privacy Framework zertifiziertes Unternehmen; sein Auftragsverarbeitungsvertrag bezieht zusätzlich die Standardvertragsklauseln, Modul 2, ein. Die E-Mails werden aus Irland versendet; die Daten des Kontos (Metadaten der E-Mails, Protokolle) werden in den Vereinigten Staaten gespeichert.
• Hosting-Anbieter (Microsoft Ireland Operations Limited): Die Verarbeitungen unterliegen dem DPA von Microsoft (Microsoft Products and Services Data Protection Addendum).
• Die APIs zweier Modellanbieter dienen einer technischen Prüfung mit iPand-internen Prompts und verarbeiten keine Personenbezogenen Kundendaten. Ihre Nutzung für die Erhebung der Kunden würde nach Artikel 6.2 angekündigt.

Artikel 8 — Unterstützung des Kunden

8.1 Rechte der betroffenen Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt iPand den Kunden durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen auf Ausübung der Rechte der betroffenen Personen. Der Dienst ermöglicht es dem Kunden unmittelbar:

• die Daten einzusehen und zu exportieren: Archiv der Organisation (Einstellungen › Organisation, Administratoren), Exporte der Bildschirme;
• die eingegebenen Daten zu berichtigen;
• Daten zu löschen: Entfernen eines Mitglieds, Archivieren eines Prompts, Löschen einer Entität, einer Aufgabe, einer Unterhaltung mit Pandi (30 Tage nach ihrer Löschung mit ihren Nachrichten entfernt), einer Marke (endgültige Entfernung 30 Tage nach ihrer Löschung);
• die Zugänge eines Mitglieds auf bestimmte Marken zu beschränken.

Anträge, die diese Funktionen nicht abdecken, sind an contact@ipand.io zu richten; iPand beantwortet sie innerhalb einer Frist, die es dem Kunden ermöglicht, die Monatsfrist von Artikel 12 DSGVO einzuhalten. Ein Antrag, den iPand unmittelbar von einer betroffenen Person erhält und der Personenbezogene Kundendaten betrifft, wird unverzüglich an den Kunden weitergeleitet, ohne ihn inhaltlich zu beantworten, sofern der Kunde nichts anderes anweist.

8.2 Weitere Pflichten. iPand unterstützt den Kunden bei der Einhaltung der Artikel 32 bis 36 DSGVO (Sicherheit, Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der iPand vorliegenden Informationen, insbesondere durch Bereitstellung der Beschreibung der Verarbeitungen und der Sicherheitsmaßnahmen in Anhang B. Diese Unterstützung erfolgt kostenfrei in angemessenem Umfang.

Artikel 9 — Laufzeit, Herausgabe und Löschung

9.1 Die Vereinbarung gilt während der gesamten Laufzeit der Abonnements und bis zur tatsächlichen Löschung der Personenbezogenen Kundendaten.

9.2 Herausgabe. Vor der Löschung kann ein Administrator jederzeit ein Archiv der Daten der Organisation im Format JSON und CSV erhalten, das 24 Stunden nach seiner Erstellung verfügbar ist. Es enthält die Organisation und ihre Abonnements, die Mitglieder und die Einladungen, die Marken (Märkte, Plattformen, Labels, Entitäten), die Prompts, eine Übersicht jeder erhobenen Antwort, die beobachteten Seiten und das Ergebnis ihrer letzten Analyse sowie das Aktivitätsprotokoll der Organisation. Die Unterhaltungen mit Pandi, die Aufgaben und die Empfehlungen, die darin nicht enthalten sind, werden auf Anfrage an contact@ipand.io herausgegeben.

9.3 Löschung. Nach Ende der Leistungen löscht iPand die Personenbezogenen Kundendaten, sofern keine gesetzliche Aufbewahrungspflicht besteht:

• Ende des Abonnements einer Marke: Die Daten der Marke werden 12 Monate nach dem Ende ihres letzten Abonnements beim darauffolgenden monatlichen Verarbeitungslauf gelöscht; während dieser Frist kann der Kunde auf Anfrage an contact@ipand.io erneut abonnieren oder das Archiv anfordern, und er kann eine vorzeitige Löschung erreichen, indem er die Marke löscht;
• Löschen einer Marke: Die Daten werden 30 Tage nach ihrer Löschung endgültig entfernt;
• Löschen eines Mitgliedskontos: Sitzungen, verknüpfte Anmeldeidentitäten und Mitgliedschaften werden sofort entfernt; Konto und Spuren werden 30 Tage danach gelöscht;
• von ihrem Verfasser gelöschte Unterhaltung mit Pandi: 30 Tage nach ihrer Löschung mit ihren Nachrichten entfernt; die aus der Unterhaltung erstellten Aufgaben bleiben erhalten; die Unterhaltungen eines aus der Organisation entfernten Mitglieds bleiben bis zur Löschung der Marke oder seines Kontos erhalten;
• Aktivitätsprotokoll der Organisation: 12 Monate;
• Einladungen: 90 Tage nach ihrem Ablauf gelöscht, unabhängig davon, ob sie angenommen, widerrufen oder nicht beantwortet wurden;
• Organisation ohne Mitglied und ohne laufendes Abonnement: beim täglichen morgendlichen Verarbeitungslauf als gelöscht markiert, 30 Tage danach endgültig entfernt.

Sobald die Daten aus der Datenbank gelöscht sind, verschwinden sie innerhalb von höchstens 90 Tagen aus den Sicherungen und Archiven: Wiederherstellung zu einem beliebigen Zeitpunkt innerhalb von 14 Tagen, monatliche Archive der Datenbank, die höchstens 90 Tage aufbewahrt werden, reversible Löschung der Dateien während 14 Tagen. Die technischen Protokolle werden 30 Tage aufbewahrt. Die Daten unterliegen bis zu ihrer Löschung der Vereinbarung.

9.4 Auf schriftliche Anfrage bestätigt iPand die Löschung schriftlich.

Artikel 10 — Information und Prüfung

10.1 iPand stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind: diese Vereinbarung und ihre Anhänge sowie, auf Anfrage, die Liste der Unterauftragsverarbeiter und einen ausgefüllten Sicherheitsfragebogen.

10.2 Der Kunde kann auf eigene Kosten eine Prüfung durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber von iPand ist, höchstens einmal pro Jahr (außer bei einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde), mit einer Vorankündigung von 30 Tagen, während der Geschäftszeiten, ohne Zugang zu den Daten anderer Kunden oder zu Sicherheitsgeheimnissen und ohne den Dienst zu stören. Die Prüfung der Unterauftragsverarbeiter erfolgt anhand ihrer Zertifizierungen und Berichte (ISO 27001, SOC 2 …).

Artikel 11 — Haftung

Die Haftung jeder Partei aus der Vereinbarung unterliegt den Beschränkungen von Artikel 19 der Verkaufsbedingungen, sofern keine zwingende Vorschrift entgegensteht; im Verhältnis zu den betroffenen Personen gilt Artikel 82 DSGVO.

Artikel 12 — Sonstige Bestimmungen

Bei Widersprüchen zwischen der Vereinbarung und den Verkaufsbedingungen geht die Vereinbarung in Fragen des Schutzes personenbezogener Daten vor. Die Vereinbarung unterliegt französischem Recht und den in den Verkaufsbedingungen bestimmten Gerichten. iPand kann sie unter den Voraussetzungen von Artikel 25 der Verkaufsbedingungen ändern; eine durch das Gesetz oder eine Behörde gebotene Änderung gilt ohne Frist.

Dieser Text ist in französischer Sprache verfasst. Seine Übersetzungen dienen nur der Information; bei Abweichungen gilt: die französische Fassung ist maßgeblich.

Anhang A — Beschreibung der Verarbeitungen

Anhang B — Technische und organisatorische Maßnahmen

Zum Zeitpunkt des Inkrafttretens dieser Fassung bestehende Maßnahmen. Weitere Informationen können dem Kunden auf Anfrage gegen eine Vertraulichkeitsverpflichtung mitgeteilt werden.

Hosting und Verschlüsselung

• Hosting bei Microsoft Azure, Region West Europe (Niederlande); georedundante Sicherungskopien der Datenbank in derselben Region und in der gekoppelten Region North Europe (Irland); keine Produktionsdaten außerhalb dieser Regionen, außer bei den Unterauftragsverarbeitern aus Anhang C.
• Verschlüsselung bei der Übertragung: mindestens TLS 1.2 für Datenbank, Speicher und API; HTTPS verpflichtend; HSTS für API und Anwendung.
• Verschlüsselung ruhender Daten in Azure SQL und Azure Storage, von Azure standardmäßig aktiviert, mit von Microsoft verwalteten Schlüsseln.
• Geheimnisse in Azure Key Vault (rollenbasierte Zugriffskontrolle, reversible Löschung während 90 Tagen, Schutz vor endgültiger Löschung); keine Geheimnisse im Code.

Zugriffskontrolle

• Zugriff der Dienste auf die Ressourcen über verwaltete Identitäten; ausschließlich Entra-Authentifizierung für die Datenbank; gemeinsam genutzte Schlüssel des Speichers und Zugriffsschlüssel für die Sprachmodelle deaktiviert; anonymer öffentlicher Zugriff auf Dateien gesperrt.
• Bereitstellung über föderierte Identität (OIDC) nur aus dem Hauptzweig; kein dauerhafter Zugang per Passwort.
• Nutzer: Anmeldung ohne Passwort (gehashter Einmalcode, 10 Minuten gültig, 5 Versuche; Google; Microsoft); Zugriffstoken mit 15 Minuten Gültigkeit im Arbeitsspeicher; Aktualisierungstoken in einem Cookie HttpOnly, Secure, SameSite=Strict, bei Wiederverwendung widerrufen; Sitzungen sichtbar und widerrufbar.
• Abschottung: Jede Anfrage prüft die Zugehörigkeit zur Organisation und den Zugang zur Marke; ein Mitwirkender sieht nur seine Marken.
• Administratoren der Plattform: in begrenzter Zahl, in der Datenbank benannt, ohne Mitgliedschaft in den Organisationen; Verwaltungshandlungen werden protokolliert.
• MCP-Zugang: OAuth 2.1 mit PKCE, ein einziger Lese-Scope, Zugriffstoken mit 60 Minuten Gültigkeit, vom Nutzer widerrufbar.

Anwendungssicherheit

• Ratenbegrenzungen für Authentifizierung, Formulare, Pandi, MCP-Server und OAuth.
• Schutz vor Anfragen an das interne Netzwerk (SSRF) für jede von einem Kunden angegebene Adresse; isolierter Rendering-Browser ohne Geheimnisse und ohne Zugriff auf die Datenbank.
• Benachrichtigungen der Zahlungs- und E-Mail-Dienstleister werden per Signatur geprüft.
• Inhalte Dritter (Antworten der Plattformen, Seiten) werden von Pandi und vom MCP-Server als nicht vertrauenswürdig behandelt.

Protokollierung und Überwachung

• Sicherheitsprotokoll, 12 Monate aufbewahrt: IP-Adresse und E-Mail-Adresse erscheinen darin nur als mit einem geheimen Schlüssel berechneter Hashwert, nie im Klartext.
• Aktivitätsprotokoll der Organisation (12 Monate) und Protokoll der Verwaltungshandlungen.
• Technische Protokolle, 30 Tage aufbewahrt, IP-Adresse maskiert.
• E-Mail-Warnungen bei Fehlern des Dienstes, fehlgeschlagenen Erhebungen, blockierten Warteschlangen und Überschreitungen des Ausgabenrahmens.

Kontinuität

• Sicherungen der Datenbank: Wiederherstellung zu einem beliebigen Zeitpunkt innerhalb von 14 Tagen; georedundante Kopien in West Europe und in der gekoppelten Region North Europe (Irland).
• Monatliches Archiv der Datenbank, in Azure, Region West Europe, exportiert und geprüft und höchstens 90 Tage im Azure-Speicher dieser Region aufbewahrt; dem Hosting-Dienst für den Code werden keine Produktionsdaten anvertraut.
• Reversible Löschung der Dateien während 14 Tagen.

Datenminimierung und Aufbewahrung

• Automatische Löschungen: täglicher morgendlicher Verarbeitungslauf (gelöschte Konten, Marken, Organisationen und Unterhaltungen, Aktivitätsprotokoll, abgelaufene Einladungen), monatlicher Verarbeitungslauf (Marken, deren Abonnement seit 12 Monaten beendet ist, Kontakt- und Demoanfragen, Feedback, Nutzungsereignisse älter als 25 Monate), stündliche Bereinigung (Anmeldecodes, Sicherheitsprotokoll, Sitzungen, zum Versand anstehende Nachrichten, abgelaufene Token).
• Begrenzte Aufbewahrung der Rohantworten der Erhebungsdienstleister (30 Tage) und der Seitenaufnahmen (183 Tage).
• Sprachmodelle: Anfragen werden ohne Speicherung der Antworten durch den Dienst gesendet (store: false); kein Training der Modelle mit diesen Daten; der Anbieter bewahrt Anfragen und Antworten in der Europäischen Union zur Missbrauchsüberwachung für eine von ihm festgelegte begrenzte Dauer auf, mit einer automatisierten Prüfung und, falls erforderlich, einer Prüfung durch befugte Mitarbeiter im Europäischen Wirtschaftsraum.
• Erhebungsdienstleister und Betreiber der Plattformen: Jeder bewahrt die Anfragen und Antworten der Erhebung gemäß seinem Auftragsverarbeitungsvertrag auf, je nach Dienstleister von der zur Erzeugung der Antwort nötigen Dauer bis zu 12 Monaten oder bis zum Ende des Dienstes; bis zu 2 Jahre für einen nach einer Nutzungsrichtlinie gemeldeten Inhalt. Für eine der Plattformen des Tarifs Individuell aktiviert iPand die von ihrem Betreiber angebotene Null-Aufbewahrung, bevor diese Plattform für die Erhebung geöffnet wird. Die von jedem gewählte Dauer ist in der Liste der Unterauftragsverarbeiter (Anhang C) angegeben.
• Keine Produktionsdaten in den Entwicklungsumgebungen; keine Vorproduktionsumgebung.

Organisation

• Zur Vertraulichkeit verpflichtetes Personal; Zugang zu Produktionsdaten auf die Erfordernisse von Support und Betrieb beschränkt.
• Internes Verfahren zur Behandlung von Datenschutzverletzungen.

Anhang C — Genehmigte Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter (Identität, Rolle, verarbeitete Daten, Ort der Verarbeitung und Garantien für die Übermittlungen) wird von iPand geführt und dem Kunden auf Anfrage an contact@ipand.io mitgeteilt. Der Kunde wird mindestens 30 Tage vor jeder Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail benachrichtigt und kann unter den Bedingungen von Artikel 6 Einspruch erheben.