Parteien und Wirkung
Dieser Datenverarbeitungszusatz („DPA“) ist Teil der Nutzungsbedingungen oder einer anderen Vereinbarung („Vereinbarung“) zwischen Happen Software Limited, Firmennummer 736470, von Ground Floor, 71 Lower Baggot Street, Dublin 2, D02 P593, Ireland („Kanera“) und der Organisation, die das gehostete Kanera nutzt („Kunde“). Sie gilt automatisch, soweit Kanera personenbezogene Daten in Kundenarbeitsplatzinhalten im Namen des Kunden verarbeitet.
Der Kunde fungiert als Verantwortlicher oder als Auftragsverarbeiter für einen anderen Verantwortlichen. Kanera fungiert entsprechend als Auftragsverarbeiter oder Unterauftragsverarbeiter des Kunden. Wenn diese DPA im Widerspruch zur Vereinbarung zur Verarbeitung personenbezogener Kundendaten steht, hat diese DPA Vorrang. Die Haftungsbedingungen der Vereinbarung gelten für diese DPA, sofern nicht geltendes Recht oder verbindliche Übertragungsbedingungen etwas anderes vorsehen.
Verarbeitungsdetails
| Artikel | Einzelheiten |
|---|
| Gegenstand und Zweck | Hosten und Betreiben der Projektmanagement-, Kollaborations-, Datei-, Automatisierungs-, Integrations-, Support-, Sicherheits-, Sicherungs-, Export- und Löschfunktionen von Kanera, wenn der Kunde sie verwendet und konfiguriert |
|---|
| Dauer | Für die Laufzeit des Vertrages und die dokumentierten Lösch- und Sicherungsfristen nach Vertragsende |
|---|
| Art der Verarbeitung | Erfassung, Aufzeichnung, Organisation, Speicherung, Abruf, Abfrage, Übertragung, Einschränkung, Löschung, Sicherung, Wiederherstellung und andere Vorgänge, die für die Bereitstellung von gehostetem Kanera erforderlich sind |
|---|
| Betroffene Personen | Kundenpersonal, Auftragnehmer, Vorstandsgäste, Eingeladene, Kunden, Lieferanten und andere Personen, deren Informationen der Kunde oder seine Benutzer in Kanera eingeben |
|---|
| Persönliche Daten | Namen, E-Mail-Adressen, Profil- und Mitgliedschaftsdaten, Arbeitsaufträge, Kommentare, Notizen, Dateien, Aktivitäten, benutzerdefinierte Feldwerte, Integrationsdaten, Geräte- und Prüfinformationen sowie alle anderen persönlichen Daten, die der Kunde übermittelt |
|---|
| Sensible Daten | Nicht absichtlich erforderlich. Der Kunde darf ohne vorherige schriftliche Zustimmung und geeignete Sicherheitsvorkehrungen keine besonderen Kategorien, Daten zu Straftaten, Zahlungskarten, behördliche Identifikationsdaten, Gesundheitsdaten, biometrische Daten oder ähnlich eingeschränkte Daten übermitteln |
|---|
| Häufigkeit | Laufend, wie vom Kunden und seinen autorisierten Benutzern veranlasst |
|---|
Anweisungen und Verantwortlichkeiten des Kunden
- Kanera verarbeitet personenbezogene Daten des Kunden nur auf der Grundlage der dokumentierten Anweisungen des Kunden, einschließlich der Vereinbarung, dieser DPA, der Konfiguration des Kunden und der autorisierten Nutzung, sofern das Recht der Union oder der Mitgliedstaaten nichts anderes vorschreibt. Sofern gesetzlich zulässig, wird Kanera den Kunden vor der gesetzlich erforderlichen Verarbeitung benachrichtigen.
- Kanera wird den Kunden unverzüglich informieren, wenn eine Anweisung offenbar gegen geltendes Datenschutzrecht verstößt, und kann die betroffene Verarbeitung aussetzen, während die Parteien eine Lösung finden.
- Der Kunde ist für die Rechtmäßigkeit seiner Weisungen, der von ihm übermittelten Daten, der von ihm bereitgestellten Mitteilungen und Rechtsgrundlagen, seiner Nutzer und Berechtigungen sowie für die Reaktion gegenüber betroffenen Personen als Verantwortlicher verantwortlich.
Vertraulichkeit und Sicherheit
Kanera stellt sicher, dass das zur Verarbeitung personenbezogener Kundendaten berechtigte Personal an entsprechende Vertraulichkeitsverpflichtungen gebunden ist und nur dann Zugriff erhält, wenn dies für seine Aufgaben erforderlich ist.
Kanera unterhält technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, einschließlich Durchsetzung von Mandanten und Berechtigungen, Verschlüsselung konfigurierter Geheimnisse, gehashter Anmeldeinformationen und Token, bei denen kein Klartext erforderlich ist, MFA-Kontrollen, Protokollierung und Audit-Trails, Ratenbegrenzungen, Transportsicherheit, geschützte Backups, Schwachstellenmanagement, Zugriffsüberprüfung, Reaktion auf Vorfälle und Verfahren zur Geschäftskontinuität. Kanera kann die Maßnahmen aktualisieren, ohne den Gesamtschutz wesentlich zu verringern.
Verstöße gegen den Schutz personenbezogener Daten
Kanera wird den Kunden unverzüglich benachrichtigen, nachdem Kanera Kenntnis von einem bestätigten Verstoß gegen den Schutz personenbezogener Daten des Kunden erlangt hat. In der Mitteilung werden, sobald Informationen verfügbar sind, die Art des Verstoßes, die betroffenen Daten und Personen, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie ein Ansprechpartner für Folgemaßnahmen beschrieben.
Kanera wird angemessen bei der Untersuchung des Kunden und den gesetzlich vorgeschriebenen Benachrichtigungen kooperieren. Eine Benachrichtigung stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar. Der Kunde bleibt für die Entscheidung verantwortlich, ob und wie er seine Aufsichtsbehörde, betroffene Personen oder andere benachrichtigt, es sei denn, das geltende Recht weist Kanera diese Pflicht zu.
Unterstützung bei Datensubjekten und Compliance
Unter Berücksichtigung der Art der Verarbeitung wird Kanera dem Kunden angemessene und technisch machbare Unterstützung bei der Beantwortung von Anfragen zu Zugriff, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Einspruch und Rechten in Bezug auf automatisierte Entscheidungsfindung bieten. Wenn Kanera eine Anfrage bezüglich des Inhalts des Kundenarbeitsbereichs erhält, leitet es den Antragsteller an den Kunden weiter und benachrichtigt den Kunden, sofern dies angemessen und rechtmäßig ist.
Kanera leistet angemessene Unterstützung bei der Sicherheit, der Meldung von Verstößen, der Folgenabschätzung zum Datenschutz und den Pflichten zur vorherigen Konsultation und berücksichtigt dabei die Verarbeitung und die Informationen, die Kanera zur Verfügung stehen. Für wesentliche Arbeiten außerhalb des gehosteten Dienstes kann eine vereinbarte Gebühr für professionelle Dienstleistungen erforderlich sein.
Unterauftragsverarbeiter
Der Kunde erteilt Kanera eine allgemeine schriftliche Genehmigung zur Nutzung der auf der Seite „Unterauftragsverarbeiter“ aufgeführten Unterauftragsverarbeiter. Kanera legt schriftliche Datenschutzverpflichtungen fest, die für die Dienste jedes Unterauftragsverarbeiters angemessen sind, und bleibt für die Erfüllung seiner Auftragsverarbeiterpflichten verantwortlich.
Kanera wird mindestens 30 Tage im Voraus Bescheid geben, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten beginnt, soweit dies vernünftigerweise möglich ist. Der Kunde kann innerhalb dieser Frist aus berechtigten Gründen des Datenschutzes Widerspruch einlegen. Die Parteien werden nach Treu und Glauben an einer Lösung arbeiten; Wenn keine vernünftigerweise verfügbar ist, kann der Kunde den betroffenen gehosteten Dienst kündigen, bevor der neue Unterauftragsverarbeiter beginnt, und eine anteilige Rückerstattung der im Voraus bezahlten Gebühren für den nicht genutzten gekündigten Zeitraum erhalten.
Internationale Überweisungen
Die Daten des gehosteten Arbeitsbereichs werden in Irland und Deutschland gespeichert. Kanera wird personenbezogene Kundendaten nicht außerhalb des EWR übertragen, außer im Einklang mit geltendem Datenschutzrecht und einer Angemessenheitsentscheidung, genehmigten Standardvertragsklauseln oder einem anderen rechtmäßigen Übertragungsmechanismus.
Wenn für eine eingeschränkte Übermittlung aus dem EWR Standardvertragsklauseln erforderlich sind, wird das jeweils aktuelle Modul „Controller-to-Processor“ bzw. „Processor-to-Processor“ der Europäischen Kommission in dieses DPA aufgenommen. Es gilt die optionale Docking-Klausel; Irland ist der regierende Mitgliedstaat; Die irische Datenschutzkommission ist die zuständige Aufsichtsbehörde, sofern die Klauseln eine solche Auswahl zulassen. Für eine eingeschränkte Übermittlung im Vereinigten Königreich gilt für diese Klauseln das UK International Data Transfer Addendum. Die verbindlichen Übertragungsbedingungen haben Vorrang vor widersprüchlichen Bedingungen für die betroffene Übertragung.
Rückgabe und Löschung
Während der Servicelaufzeit kann der Kunde Inhalte löschen und verfügbare Exporte verwenden. Bei der Kündigung sollte der Kunde die zugänglichen Daten exportieren, bevor der Zugriff endet. Sofern technisch möglich und rechtmäßig, kann der Kunde innerhalb von 30 Tagen nach der Kündigung einen Export beantragen.
Nach diesem Zeitraum löscht oder anonymisiert Kanera personenbezogene Kundendaten gemäß dem Aufbewahrungsplan der Datenschutzrichtlinie, einschließlich der Löschung verbleibender verschlüsselter Sicherungskopien im Rahmen des normalen Sicherungszyklus innerhalb von 14 Tagen. Kanera darf betroffene Aufzeichnungen nur dann aufbewahren, wenn das Gesetz, eine gesetzliche Aufbewahrungsfrist, Betrugsprävention, Sicherheit oder die Feststellung oder Verteidigung von Ansprüchen dies erfordern, und isoliert und schützt die gespeicherten Daten vor anderer Verarbeitung.
Informationen und Audits
Kanera wird die Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA nachzuweisen. Der Kunde kann höchstens einmal im Jahr eine Compliance-Überprüfung anfordern, oder häufiger, wenn dies von einer Aufsichtsbehörde verlangt wird oder nach einem schwerwiegenden Verstoß gegen den Schutz personenbezogener Daten.
Die Parteien nutzen zunächst aktuelle Richtlinien, Sicherheitsinformationen und unabhängige Berichte, sofern verfügbar. Wenn diese nicht ausreichen und eine Prüfung rechtlich erforderlich ist, vereinbaren die Parteien einen angemessenen Umfang, Zeitplan, Vertraulichkeitsschutz, qualifizierte unabhängige Prüfer, Kostenzuweisung und Kontrollen, die verhindern, dass die Daten anderer Kunden offengelegt werden oder ein Sicherheitsrisiko entsteht. Kanera wird sich umgehend mit begründeten wesentlichen Verstößen befassen.
Anfragen der Regierung
Sofern dies nicht gesetzlich verboten ist, wird Kanera den Kunden vor der Offenlegung über eine verbindliche Anfrage einer Behörde nach personenbezogenen Daten des Kunden informieren. Kanera wird den Antrag prüfen, ihn aus angemessenen Gründen anfechten und nur die gesetzlich erforderlichen Mindestdaten offenlegen.
Künstliche Intelligenz
Kanera wird die personenbezogenen Daten des Kunden nicht zum Trainieren, Feinabstimmen, Entwickeln oder Verbessern eines Allzweckmodells für künstliche Intelligenz oder maschinelles Lernen verwenden und wird Unterauftragsverarbeitern vertraglich verbieten, dies für ihre eigenen Zwecke zu tun, es sei denn, der Kunde genehmigt die spezifische Verwendung ausdrücklich schriftlich.
Kanera verwendet personenbezogene Kundendaten nicht für ausschließlich automatisierte Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen haben. Wenn sich dies für eine optionale, vom Kunden bereitgestellte Funktion ändert, stellt Kanera Informationen und Unterstützung bereit, die angemessenerweise erforderlich sind, damit der Kunde die geltenden Verpflichtungen erfüllen kann, bevor er diese Funktion aktiviert.
Kontakt und Änderungen
Datenschutzmitteilungen und Anfragen im Rahmen dieser DPA können an [email protected] gesendet werden. Kanera kann diese DPA aktualisieren, um Gesetzes- oder Serviceänderungen widerzuspiegeln, wird den Schutz jedoch während einer bezahlten Laufzeit ohne Vorankündigung und auf rechtmäßiger Grundlage nicht wesentlich reduzieren. Dies ist DPA-Version 1, gültig ab 20. August 2026.