DATENVERARBEITUNGSZUSATZ
Dieser Datenverarbeitungszusatz, einschließlich seiner Anhänge, ("DPA") erfolgt zwischen Read AI, Inc. ("Read AI," "Read," oder "Unternehmen") und dem Unternehmenskunden ("Kunde," oder "Sie") und ist Bestandteil der Read AI, Inc. Nutzungsbedingungen, abrufbar unter https://www.read.ai/termsofservice, wie sie von Zeit zu Zeit aktualisiert werden oder einer anderen Vereinbarung über die Bereitstellung der vertraglich vereinbarten Dienstleistungen zwischen Read und Kunde (der "Vertrag"). Diese DPA wird mit dem Datum wirksam, an dem Sie dem Vertrag zugestimmt haben. Diese DPA endet automatisch mit der Beendigung des Vertrags oder früher gemäß den Bestimmungen dieser DPA. Im Falle eines Konflikts zwischen den Bedingungen dieser DPA, dem Vertrag oder anderen Dokumenten gelten die Bedingungen dieser DPA in Bezug auf die Verarbeitung von Kunden-Personendaten (wie unten definiert) als vorrangig. Begriffe, die in dieser DPA verwendet, aber nicht definiert sind, erhalten die Bedeutungen, die ihnen im Vertrag gegeben werden.
1.1. Scope. This DPA applies where Company Processes Customer Personal Data as a Processor on behalf of Customer, the Controller, in connection with providing the Services. The parties agree that Read is the Processor of Customer Personal Data, except where Read acts as an independent Controller processing Customer Personal Data in accordance with Section 1.5 in connection with its own legitimate business operations.
1.2. Limitations on Use. In Company’s capacity as a Processor, Company will Process Customer Personal Data only: (a) pursuant to Customer’s documented Instructions as specified under Section 1.3 (Instructions), including with regard to transfers of Customer Personal Data to a third country; and (b) as otherwise required by applicable laws, provided that Company will inform Customer (unless prohibited by law) of the applicable legal requirement before such Processing. As a Processor, Company will not (except where otherwise instructed to do so by the Customer): (a) retain, use, or disclose the Customer Personal Data (i) outside of the direct business relationship between the parties or (ii) for any purpose other than for the specific purpose of performing the Services; (b) sell or share (as defined by Data Protection Law) the Customer Personal Data; or (c) combine Customer Personal Data with Personal Data Company receives from individuals or other sources, except as permitted by Data Protection Law.
1.3. Processor Instructions. Customer instructs Company to Process Customer Personal Data as necessary to provide the Services and as otherwise authorized or permitted under this DPA and the Agreement, including as specified in Attachment 2 (Scope of Processing). This DPA, the Agreement, and any instructions provided by Customer through configuration tools made available by Company are Customer’s documented instructions regarding Company’s Processing of Customer Personal Data (“Instructions”). Additional Instructions provided by Customer (if any) require prior written agreement by Customer and Company. Customer will not instruct Company to Process Customer Personal Data in violation of any Data Protection Law. Company may suspend Processing based upon any Customer Instructions that Company reasonably suspects violate Data Protection Law, provided Company will promptly inform Customer if Company believes an instruction infringes Data Protection Law.
1.4. Compliance. Each party will comply with its obligations under Data Protection Law. Company shall promptly notify Customer if it determines that it cannot meet its obligations under Data Protection Law. Upon receiving written notice from Customer that Company has Processed Customer Personal Data without authorization, Company will take reasonable and appropriate steps to stop and remediate such Processing.
1.5. Independent Controller Processing. Read may Process certain data (including Customer Personal Data and Service Data) for its own legitimate business purposes, as an independent Controller, solely when the Processing is strictly necessary and proportionate, and if the Processing is for one of the following purposes:
1.5.1. Customer Personal Data, including but not limited to name, user name, profile photo, email address, phone number, and postal address may be Processed for: (i) billing and account management, and related Customer correspondence; (ii) complying with and resolving legal obligations, including responding to Data Subject Requests (defined in Section 2.1) for Personal Data processed by Company as Controller, financial requirements, agreements, and disputes; (iii) abuse detection, prevention, and protection, virus scanning and scanning to detect violations of terms of service (such as copyright infringement, SPAM, and actions not permitted under Read's Terms of Service); (iv) improving and optimizing the performance and core functionalities of accessibility, privacy, security, and the IT infrastructure efficiency of the Services; (v) internal reporting, financial reporting, revenue planning, capacity planning, and forecast modeling (including product strategy); and (vi) receiving and using Feedback for Read's overall service improvement. For the avoidance of doubt, the company does not process the following categories of Customer Personal Data for the purposes of this Section 1.5.1: audio and video recordings, transcription content, the substance of communications or meeting content.
1.5.2. In addition, Service Data may be Processed for: (i) sales and marketing; (ii) performing data analytics; (iii) monitoring, improving, and supporting the Services; and (iv) designing, developing, and offering Read products and Services.
Except as permitted by Clause 1.7, when acting as an independent Controller, Company will not process Customer Personal Data for any purposes other than the above list of legitimate business purposes.
1.6. Company will not Process Customer Personal Data for third-party advertising, direct marketing, profiling, research or analytics purposes except where such processing is (i) necessary to comply with Customer's Instructions as set out this DPA, or (ii) for the legitimate business purposes described in Section 1.5 or (iii) part of Company’s free Services or individual (i.e., non-enterprise) Services.
1.7. Company shall only process Customer Personal Data for the purposes specified in this DPA; provided, however, Company may process Customer Personal Data and Service Data for “further” or “compatible” purposes (within the meaning of Articles 5(1)(b) and 6(4) GDPR, where applicable), to the extent it is acting as an independent Controller as set out in Sections 1.5.1 and 1.5.2, or seek consent from end users for new types of data processing, where permitted by the Read account administrator and Data Protection Law.
1.8. Confidentiality. Company will ensure that persons authorized by Company to Process any Customer Personal Data are subject to appropriate confidentiality obligations.
1.9. Security. Regardless of its role as a Processor or independent Controller, Company will implement and maintain appropriate technical and organizational measures designed to protect Customer Personal Data against Security Incidents and provide the level of protection required by Data Protection Law in accordance with Attachment 4 (Data Security Exhibit). Company may amend the technical and organizational measures, provided the new measures do not materially reduce the level of security provided by Attachment 4 (Data Security Exhibit).
1.10. Disposal. In its capacity as a Processor, at the choice of Customer, Company will (or will enable Customer via the Services to) delete (and will delete existing copies of) all Customer Personal Data after termination of the Agreement (unless Data Protection Law requires the storage of such Customer Personal Data by Company, in which case Company will only further retain and Process such Customer Personal Data for the limited duration and purposes required by such Data Protection Law). The certification of deletion contemplated by Section 8.5 of the SCCs shall be provided on Customers’ written request.
1.11. Deidentified Data. In Company’s capacity as a Processor, Customer authorizes Company to Process Deidentified Data to provide and improve the Services. Company will (a) take reasonable measures to ensure the Deidentified Data cannot be associated with a Data Subject and (b) publicly commit to maintain and use Deidentified Data in deidentified form and not attempt to reidentify Deidentified Data except as permitted by Data Protection Law.
Soweit das Unternehmen als Verarbeiter agiert:
2.1. Data Subject Rights Assistance. Customer shall be responsible for responding to requests from individuals to exercise rights under Data Protection Law relating to Customer Personal Data (each a “Data Subject Request”). Customer will inform Company of any Data Subject Request to which Company must comply and provide the information necessary for Company to comply with the request. Company will, to the extent permitted by Data Protection Law, notify Customer if Company receives a Data Subject Request. To the extent Customer, in its use of the Services, does not have the ability to address the Data Subject Request, Company will, on Customer’s request, use commercially reasonable assistance to Customer in responding to such Data Subject Request, to the extent the response to such Data Subject Request is required under Data Protection Law.
2.2. Security Assistance. Taking into account the nature of Processing and the information available to Company, Company will provide commercially reasonable efforts to assist Customer in Customer’s efforts to comply with Customer’s obligations to secure Customer Personal Data by providing the information and assistance described in Section 3 (Audits).
2.3. Security Incident Notice and Assistance. Company will notify Customer without undue delay after becoming aware of a Security Incident. Company will further take commercially reasonable steps to mitigate the effects and minimize any impact from the Security Incident and assist Customer in complying with any related notification obligations under Data Protection Law.
2.4. The obligations described in Section 2.3 shall not apply if a Security Incident results from the actions or omissions of Customer, except where required by Data Protection Law. Company’s obligation to report or respond to a Security Incident under Section 2.3 will not be construed as an acknowledgement by Company of any fault or liability with respect to the Security Incident.
2.5. Notification to Read. If Customer determines to notify any governmental entity, Data Subject(s), the public, or others of a Security Incident, to the extent such notice directly or indirectly refers to or identifies Read, where permitted by applicable laws, Customer will notify Read in writing in advance of such notice and will, in good faith, consult with Read and consider any clarifications or corrections Read may reasonably recommend or request to any such notification that relates to Read’s involvement in or relevance to such Security Incident and is consistent with applicable laws.
2.6. Data Protection Impact Assessment (“DPIA”) and Prior Consultation Assistance. Taking into account the nature of Processing and the information available to Company, Company will provide commercially reasonable assistance to Customer in ensuring compliance with the obligations related to DPIAs and consulting with regulatory authorities.
Soweit das Unternehmen als Verarbeiter agiert:
3.1. Company Audits. Company may procure audits by third parties to assess Company’s adherence to the following standards or requirements: (a) SOC 2 Type II; (b) ISO 27001; (c) PCI DSS Service Provider Level 1; and/or (d) certifications or other documentation evidencing compliance with alternative standards that are substantially equivalent to the foregoing (collectively, “Audits”). Subject to the confidentiality obligations set forth in the Agreement, Company will provide Customer with summaries of Company’s then-current Audit reports (“Reports”) on Customer’s request. If the Agreement does not include a provision protecting Company’s confidential information, then the Reports will be made available to Customer subject to a mutually agreed upon non-disclosure agreement covering the Reports.
3.2 Customer Audits. Customer agrees to exercise its audit rights by first requesting the Reports as described in Section 3.1 (Company Reports). Customer will only request additional information or an on-site audit of Company to the extent the information provided by Company is not reasonably sufficient to enable Customer to evaluate Company’s compliance with this DPA and/or Data Protection Law. Except in the event of a Security Incident or regulatory investigation, Customer will provide no less than 30 days' advance notice of its request for an on-site audit and will cooperate in good faith with Company to schedule any such audit on a mutually agreeable date and time. Any such on-site audit must occur during Company’s normal business hours and be conducted by Customer or a nationally recognized independent auditor that has agreed to confidentiality provisions reasonably acceptable to Company. Customer is responsible for ensuring that the audit will comply with Company’s applicable on-site policies and procedures and will not unreasonably interfere with Company’s business activities. Customer will provide a written summary of any audit findings to Company, and the results of the audit will be the confidential information of Company.
Soweit das Unternehmen als Auftragsverarbeiter tätig ist:
4.1. Appointment of Subprocessors. Customer authorizes Company to use subcontractors to Process Customer Personal Data in connection with providing the Services (each, a “Subprocessor”). Customer specifically consents to Company’s appointment of the Subprocessors listed at https://trust.read.ai/subprocessors (the “Subprocessor List”).
4.2. Objection Right for New Subprocessors.
4.2.1. Company will notify Customer of its intent to update the Subprocessor List at least 15 days prior to engaging a new Subprocessor. Customer may object to Company’s use of a new Subprocessor within 10 days of receiving such notice by sending an e-mail to privacy@read.ai clearly indicating its desire to object to any such change.
4.2.2. If Customer objects to the change in Subprocessors, Company and Customer will cooperate in good faith to resolve Customer’s objection. If the parties are unable to resolve Customer’s objection within 10 days, then either party may terminate the Agreement only with respect to those Services that Company indicates cannot be provided without the objected-to Subprocessor.
4.3. Liability. Company will impose data protection obligations upon any Subprocessor that are no less protective of Customer Personal Data than those included in this DPA. Company will be liable to Customer for any breach of such obligations by its Subprocessors as it would for its own acts and omissions.
Soweit das Unternehmen als Auftragsverarbeiter tätig ist:
5.1. Overview. The parties will conduct any transfers of European Economic Area, UK, and Swiss residents’ Customer Personal Data to a country not subject to an adequacy decision (a “Data Transfer”) pursuant to the SCCs, which are incorporated and deemed executed by this reference. If Company notifies Customer that Data Transfers can be conducted in compliance with Data Protection Law pursuant to an alternative transfer mechanism such as the Data Privacy Framework, the parties will rely on the alternative mechanism to legitimize Data Transfers instead of the provisions that follow.
5.2. SCCs. The parties agree to comply with the general clauses and; (i) where Company acts as a Processor, with Module 2 (Controller to Processor) of the SCCs with Customer as the “data exporter” and Company as the “data importer” ; and (ii) where Company acts as independent Controller, with Module 1 (Controller to Controller) of the SCCs with Customer as the “data exporter” and Company as the “data importer”.
5.3. Transfers Subject to Swiss Data Protection Law. If any Customer Personal Data subject to the Swiss Federal Act on Data Protection of 25 September 2020 (as amended, replaced, or updated from time to time, the “FADP”) is subject to a Data Transfer, the parties will conduct such transfer pursuant to the SCCs with the following modifications: the competent supervisory authority in Annex I.C under Clause 13 shall be the Federal Data Protection and Information Commissioner; references to a “Member State” and “EU Member State” will not be read to prevent individuals in Switzerland from suing for their rights in Switzerland; and references to “GDPR” in the SCCs will be understood as references to the FADP.
5.4. Transfers Subject to the UK GDPR. Any Customer Personal Data that is subject to the UK GDPR and a Data Transfer will be subject to the UK IDTA, which is incorporated and deemed executed by this reference.
Die Haftung jeder Partei und aller ihrer Tochtergesellschaften, zusammen genommen im Gesamtbetrag, die sich aus oder im Zusammenhang mit dieser DPA ergibt, sei es durch Vertrag, Ungerechtigkeit oder nach einer anderen Haftungstheorie, unterliegt der Haftungsbegrenzung in der Vereinbarung. Nichts in diesem Abschnitt 6 beabsichtigt, die Rechte von Einzelpersonen nach dem Datenschutzgesetz einzuschränken.
7.1. To the extent there is any conflict between the terms of this DPA, on the one hand, and the applicable SCCs or UK IDTA, on the other hand, the SCCs or UK IDTA, as appropriate, will control. Except as specifically amended and modified by this DPA, the terms and provisions of the Agreement remain unchanged and in full force and effect. Except as expressly stated in the SCCs and the UK IDTA, the governing law and forum selection provisions of the Agreement will apply to any disputes arising out of this DPA. No supplement, modification, or amendment of this DPA will be binding unless executed in writing by each party to this DPA.
7.2. If there is a change in (i) Data Protection Law, or (ii) a determination, decision, or order by a Supervisory Authority or competent court affecting this DPA or the lawfulness of any Processing activities under this DPA, then Read may propose supplements and modifications to this DPA. If the Customer objects to the supplement or modification, then Customer must object to the supplement or modification within thirty (30) days or the right to object is waived. If Customer timely objects to the appropriateness of the supplement or modification, then the parties will work to resolve their differences, and if resolution cannot occur within thirty (30) days of Customer’s notice of objection, then either party may terminate this DPA and any affected portion(s) of the Agreement. All supplements and modifications will be in writing and signed by the parties unless the terms of the Agreement provide otherwise.
7.3. The provisions of this DPA are severable. If any phrase, clause or provision or Attachment (including the SCCs) is invalid or unenforceable in whole or in part, such invalidity or unenforceability shall affect only such phrase, clause or provision, and the rest of this DPA or the remainder of the Attachment, shall remain in full force and effect.
Anhang 1: Definitionen
For purposes of this DPA, the following terms will have the meaning ascribed below:
“CCPA” means the California Consumer Privacy Act of 2018, including (a) as amended by the California Privacy Rights Act of 2020 or otherwise and (b) any regulations promulgated thereunder.
“Controller” means “controller” and “business” (and analogous variations of such terms) under Data Protection Law.
“Customer Personal Data” means Personal Data that Company Processes on behalf of Customer in connection with providing the Services as described in Attachment 2. Customer Personal Data does not include Service Data.
“Data Protection Law” means the GDPR, the UK GDPR, the FADP, the CCPA, the Colorado Privacy Act, the Connecticut Act Concerning Personal Data Privacy and Online Monitoring, the Virginia Consumer Data Protection Act, the Utah Consumer Privacy Act, and any other state, federal, or international data protection or privacy laws that apply to Company’s Processing of Customer Personal Data.
"Data Subject” means the identified or identifiable person to whom Personal Data relates.
“Deidentified Data” means information that cannot reasonably be linked to or associated with Customer or any Data Subject.
“GDPR” means the Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
“Personal Data” means “personal data” and “personal information” (and analogous variations of such terms) under Data Protection Law.
“Process” or ”Processing” means any operation or set of operations which is performed on Personal Data or on sets of Personal Data, whether or not by automated means, such as collection, recording, organization, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction, extending further to such operation or operations under Data Protection Law.
“Processor” means “processor” and “service provider” (and analogous variations of such terms) under Data Protection Law.
“SCCs” means Commission Implementing Decision (EU) 2021/914 of 4 June 2021 on SCCs for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council (Text with EEA relevance), available at https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914, as may be replaced or superseded by the European Commission. For the purposes of Module 2, the parties make the following choices for implementing the SCCs:
For the purposes of Module 1, the parties make the following choices for implementing the SCCs:
“Security Incident” means “personal data breach” and “security incident” (and analogous variations of such terms) under Data Protection Law. For clarity, Security Incident does not include unsuccessful attempts or activities that do not compromise the security of Customer Personal Data (such as unsuccessful log-in attempts, pings, port scans, denial of service attacks, or other network attacks on firewalls or networked systems).“Service Data” means any data relating to the use, support, or operation of the Services, which is collected directly by Read from or about users of the Services or Customer’s use of the Services for use for Read’s own purposes.
“Services” means the services provided by Company pursuant to the Agreement.
“Supervisory Authority” means an independent public authority responsible for monitoring the application of Data Protection Law, including the Processing of Personal Data covered by this DPA.
“UK GDPR” means the GDPR as incorporated into United Kingdom law by the Data Protection Act 2018 and amended by the Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (each as amended, superseded, or replaced).
“UK IDTA” means the International Data Transfer Addendum to the EU Commission Standard Contractual Clauses issued by the UK Information Commissioner, Version B1.0, in force 21 March 2022, available at https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf. Neither party can terminate the UK IDTA pursuant to Table 4 and Section 19 thereof without the written consent of the other.
Anlage 2 - Umfang der Verarbeitung
Data exporter
Customer
Data importer
Company
Subject-Matter and Duration of Processing
Company Processes Customer Personal Data if and when provided by Customer in the course of providing the Services in accordance with the Agreement and until the Agreement terminates or expires.
Nature and Purpose of Processing
Processing of Customer Personal Data in connection with and for the purpose of Company providing the Services to Customer pursuant to the Agreement. Specifically, the Customer Personal Data will, if and to the extent Customer provides it, be subject to storage and analysis, among other Processing activities.
Types of Customer Personal Data
Customer may submit Customer Personal Data to the Services, the extent of which is determined and controlled by Customer in its sole discretion. This may include, but is not limited to the following categories of data:
Categories of Data Subjects
The data subjects will include Customer’s employees, contractors, and end-users.
Special Categories of Data (as applicable)
The Services are not designed for special categories of Personal Data. Company does not anticipate that Customer will submit special categories to the Services. To the extent that such data is submitted to the Services, it is determined and controlled by Customer in its sole discretion.
Frequency of Transfers
Company will import Customer Personal Data on a continuous basis.
Period of Data Retention
Company will retain the Personal Data until the termination of the Agreement, unless otherwise agreed to by the parties.
Attachment 3 - Scope of Processing (Company as Controller)
Data exporter
Customer
Data importer
Company
Subject-Matter and Duration of Processing
Company Processes Customer Personal Data and Service Data for the purposes described in Section 1.5 of this DPA and for as long as necessary to achieve the purposes of processing.
Nature and Purpose of Processing
Processing of Customer Personal Data and Service Data for the purposes described in Section 1.5 of this DPA. Specifically, the Customer Personal Data and Service Data will, if and to the extent Customer provides it, be subject to storage and analysis, among other Processing activities.
Types of Personal Data
Customer may submit Personal Data to the Services and Company may obtain Personal Data via the provision of the Services. This may include, but is not limited to the following categories of data:
Categories of Data Subjects
The data subjects will include Customer’s employees, contractors, and end-users.
Special Categories of Data (as applicable)
The Services are not designed for special categories of Personal Data. Company does not anticipate that Customer will submit special categories to the Services and Company shall not seek to obtain special categories through its provision of the Services.
Frequency of Transfers
Company will import Customer Personal Data and Service Data on a continuous basis.
Period of Data Retention
Company will retain the Personal Data for as long as necessary to achieve its intended purposes and as otherwise notified to Data Subjects in Company’s applicable privacy notice.
Attachment 4 - Data Security Exhibit
1.1. Umfang. Diese DPA gilt, wenn das Unternehmen Kunden-Personendaten als Verarbeiter im Auftrag des Kunden, des Verantwortlichen, in Verbindung mit der Bereitstellung der Dienstleistungen verarbeitet. Die Parteien stimmen zu, dass Read der Verarbeiter der Kunden-Personendaten ist, es sei denn, Read handelt als unabhängiger Verantwortlicher, der Kunden-Personendaten gemäß Abschnitt 1.5 im Zusammenhang mit seinen eigenen legitimen Geschäftsoperationen verarbeitet.
1.2. Einschränkungen der Nutzung. Im Rahmen der Tätigkeiten als Verarbeiter wird das Unternehmen Kunden-Personendaten nur wie folgt verarbeiten: (a) im Einklang mit den dokumentierten Anweisungen des Kunden gemäß Abschnitt 1.2 (Anweisungen), einschließlich hinsichtlich der Übertragung von Kunden-Personendaten in ein Drittland; und (b) wie es gesetzlich vorgeschrieben ist, wobei das Unternehmen den Kunden (soweit nicht gesetzlich verboten) über die entsprechende rechtliche Anforderung vor einer solchen Verarbeitung informieren wird. Als Verarbeiter wird das Unternehmen nicht: (x) die Kunden-Personendaten (i) außerhalb der direkten Geschäftsbeziehung zwischen den Parteien oder (ii) für einen anderen Zweck als den spezifischen Zweck der Erbringung der Dienstleistungen aufbewahren, verwenden oder offenlegen; (y) die Kunden-Personendaten verkaufen oder teilen (wie von den Datenschutzvorschriften definiert); oder (z) Kunden-Personendaten mit Personendaten kombinieren, die das Unternehmen von Einzelpersonen oder anderen Quellen erhält, außer wenn dies durch Datenschutzvorschriften erlaubt ist.
1.3. Verarbeiteranweisungen. Der Kunde weist das Unternehmen an, Kunden-Personendaten zu verarbeiten, soweit dies zur Bereitstellung der Dienstleistungen notwendig ist und wie es sonst gemäß dieser DPA und dem Vertrag autorisiert oder erlaubt ist, einschließlich wie in Anhang 2 (Umfang der Verarbeitung) angegeben. Diese DPA, der Vertrag und alle vom Kunden über von dem Unternehmen bereitgestellten Konfigurationstools gelieferten Anweisungen sind die dokumentierten Anweisungen des Kunden bezüglich der Verarbeitung der Kunden-Personendaten durch das Unternehmen ("Anweisungen"). Zusätzliche Anweisungen des Kunden (falls vorhanden) erfordern eine vorherige schriftliche Vereinbarung zwischen Kunde und Unternehmen. Der Kunde wird das Unternehmen nicht anweisen, Kunden-Personendaten in Verletzung einer Datenschutzgesetzgebung zu verarbeiten. Das Unternehmen kann die Verarbeitung auf Grundlage von Kundenanweisungen aussetzen, von denen das Unternehmen vernünftigerweise vermutet, dass sie gegen Datenschutzvorschriften verstoßen, vorausgesetzt, das Unternehmen informiert den Kunden umgehend, wenn es glaubt, dass eine Anweisung gegen Datenschutzvorschriften verstößt.
1.4. Einhaltung. Jede Partei wird ihren Verpflichtungen gemäß den Datenschutzvorschriften nachkommen. Das Unternehmen wird den Kunden umgehend benachrichtigen, wenn es feststellt, dass es seinen Verpflichtungen gemäß den Datenschutzvorschriften nicht nachkommen kann. Nach Erhalt einer schriftlichen Mitteilung des Kunden, dass das Unternehmen Kunden-Personendaten ohne Genehmigung verarbeitet hat, wird das Unternehmen angemessene und geeignete Maßnahmen ergreifen, um eine solche Verarbeitung zu stoppen und zu beheben.
1.5. Unabhängige Verantwortlichen-Verarbeitung. Read darf bestimmte Kunden-Personendaten für eigene legitime Geschäftszwecke, als unabhängiger Verantwortlicher, ausschließlich dann verarbeiten, wenn die Verarbeitung streng notwendig und verhältnismäßig ist, und wenn die Verarbeitung zu einem der folgenden Zwecke erfolgt:
1.5.1. Direkt identifizierbare Daten (Name, Benutzername, Profilfoto, E-Mail-Adresse, Telefonnummer, Postadresse und alle direkt mit diesen identifizierbaren Daten verbundenen Kunden-Personendaten) können verarbeitet werden für: (i) Rechnungsstellung und Kontoverwaltung sowie damit zusammenhängende Korrespondenz mit dem Kunden; (ii) Erfüllung und Klärung von rechtlichen Verpflichtungen, einschließlich der Beantwortung von Anfragen der Betroffenen (wie in Abschnitt 2.1 definiert) für von dem Unternehmen als Verantwortlicher verarbeitete Personendaten, Finanzanforderungen, Vereinbarungen und Streitigkeiten; (iii) Erkennung, Prävention und Schutz vor Missbrauch, Virenscans und Scan zum Erkennen von Verstößen gegen Nutzungsbedingungen (wie etwa Urheberrechtsverletzungen, SPAM und Handlungen, die laut den Nutzungsbedingungen von Read nicht erlaubt sind); (iv) Verbesserung und Optimierung der Leistung und der grundlegenden Funktionen der Barrierefreiheit, des Datenschutzes, der Sicherheit und der Effizienz der IT-Infrastruktur der Dienste; (v) interne Berichterstattung, Finanzberichterstattung, Umsatzplanung, Kapazitätsplanung und Forecast-Modellierung (einschließlich Produktstrategien); und (vi) Entgegennahme und Nutzung von Feedback zur allgemeinen Serviceverbesserung von Read.
Als unabhängiger Verantwortlicher wird das Unternehmen die Kunden-Personendaten nicht zu anderen Zwecken als den oben genannten legitimen Geschäftszwecken verarbeiten.
1.6. Das Unternehmen wird die Kunden-Personendaten nicht für Drittanbieterwerbung, Direktmarketing, Profiling, Forschungs- oder Analysezwecke verarbeiten, es sei denn, diese Verarbeitung ist (i) erforderlich, um den Anweisungen des Kunden in dieser DPA nachzukommen oder (ii) für die in Abschnitt 1.5 beschriebenen legitimen Geschäftszwecke oder (iii) Teil der kostenlosen oder individuellen (d.h. nicht unternehmensspezifischen) Dienste des Unternehmens.
1.7. Das Unternehmen wird die Kunden-Personendaten nur zu den in dieser DPA angegebenen Zwecken verarbeiten; jedoch ist das Unternehmen berechtigt, Kunden-Personendaten zu "weiteren" oder "kompatiblen" Zwecken (im Sinne von Artikel 5(1)(b) und 6(4) DSGVO, sofern zutreffend) zu verarbeiten, oder um die Zustimmung der Endnutzer für neue Arten der Datenverarbeitung zu bitten, soweit dies vom Read-Account-Administrator und den Datenschutzgesetzen erlaubt ist.
1.8. Vertraulichkeit. Das Unternehmen wird sicherstellen, dass Personen, die vom Unternehmen autorisiert sind, Kunden-Personendaten zu verarbeiten, angemessenen Vertraulichkeitsverpflichtungen unterliegen.
1.9. Sicherheit. Unabhängig von seiner Rolle als Verarbeiter oder unabhängiger Verantwortlicher wird das Unternehmen angemessene technische und organisatorische Maßnahmen implementieren und aufrechterhalten, die dazu bestimmt sind, Kunden-Personendaten gegen Sicherheitsvorfälle zu schützen und den gemäß den Datenschutzvorschriften erforderlichen Schutz gemäß Anhang 3 (Datensicherheitsausstellung) zu bieten. Das Unternehmen kann die technischen und organisatorischen Maßnahmen ändern, vorausgesetzt, die neuen Maßnahmen verringern nicht wesentlich das durch Anhang 3 (Datensicherheitsausstellung) gebotene Sicherheitsniveau.
1.10. Entsorgung. In seiner Eigenschaft als Verarbeiter, kann das Unternehmen auf Wunsch des Kunden (oder den Kunden über die Dienste in die Lage versetzt, dies zu tun) alle Kunden-Personendaten (und bestehende Kopien davon löschen) nach Beendigung des Vertrags, es sei denn, die Datenschutzvorschriften erfordern die Speicherung solcher Kunden-Personendaten durch das Unternehmen, in diesem Fall wird das Unternehmen diese Kunden-Personendaten nur für den erforderlichen Zeitraum und die erforderlichen Zwecke, die durch diese Datenschutzvorschriften vorgeschrieben sind, weiter aufbewahren und verarbeiten. Die im Abschnitt 8.5 der SCCs vorgesehene Bescheinigung über die Löschung wird auf schriftlichen Antrag des Kunden bereitgestellt.
1.11. Deidentifizierte Daten. In der Funktion des Verarbeiters ist das Unternehmen, der Kunde autorisiert das Unternehmen zur Verarbeitung von deidentifizierten Daten, um die Dienstleistungen bereitzustellen und zu verbessern. Das Unternehmen wird (a) angemessene Maßnahmen ergreifen, um sicherzustellen, dass die anonymisierten Daten nicht mit einer betroffenen Person in Verbindung gebracht werden können, und (b) sich öffentlich verpflichten, die anonymisierten Daten in anonymisierter Form zu belassen und keine Versuche zu unternehmen, diese außer soweit durch die Datenschutzvorschriften erlaubt, erneut zu identifizieren.
2.1. Unterstützung bei Betroffenenrechten. Der Kunde ist für die Beantwortung von Anfragen von Einzelpersonen verantwortlich, um Rechte gemäß der Datenschutzgesetzgebung hinsichtlich der Kunden-Personendaten auszuüben (jede eine "Anfrage betroffener Personen"). Der Kunde wird das Unternehmen über jegliche Anfrage der betroffenen Personen informieren, die das Unternehmen einhalten muss, und die Informationen bereitstellen, die notwendig sind, damit das Unternehmen die Anfrage erfüllen kann. Das Unternehmen wird, soweit durch die Datenschutzgesetzgebung erlaubt, den Kunden informieren, wenn das Unternehmen eine Anfrage betroffener Personen erhält. Soweit der Kunde bei der Nutzung der Dienstleistungen nicht in der Lage ist, die Anfrage der betroffenen Personen zu bearbeiten, wird das Unternehmen auf Anforderung des Kunden kommerziell angemessene Unterstützung leisten, um dem Kunden bei der Beantwortung einer solchen Anfrage behilflich zu sein, soweit die Beantwortung einer solchen Anfrage gemäß der Datenschutzgesetzgebung erforderlich ist.
2.2. Sicherheitsunterstützung. Unter Berücksichtigung der Natur der Verarbeitung und der dem Unternehmen zur Verfügung stehenden Informationen wird das Unternehmen kommerziell angemessene Anstrengungen unternehmen, um den Kunden bei seinen Bemühungen zur Erfüllung seiner Verpflichtungen zur Sicherung der Kunden-Personendaten zu unterstützen, indem es die in Abschnitt 3 (Audits) beschriebenen Informationen und Unterstützung bereitstellt.
2.3. Benachrichtigung und Unterstützung bei Sicherheitsvorfällen. Das Unternehmen wird den Kunden ohne unangemessene Verzögerung benachrichtigen, nachdem es Kenntnis von einem Sicherheitsvorfall erlangt hat. Das Unternehmen wird darüber hinaus kommerziell angemessene Schritte unternehmen, um die Auswirkungen zu mildern und eine eventuelle Auswirkung des Sicherheitsvorfalls zu minimieren und den Kunden bei der Einhaltung jeglicher damit zusammenhängender Benachrichtigungspflichten nach den Datenschutzvorschriften zu unterstützen.
2.4. Die im Abschnitt 2.3 beschriebenen Verpflichtungen gelten nicht, wenn ein Sicherheitsvorfall durch Handlungen oder Unterlassungen des Kunden verursacht wurde, außer wenn dies durch die Datenschutzgesetzgebung erforderlich ist. Die Verpflichtung des Unternehmens, einem Sicherheitsvorfall beizutragen oder darauf zu reagieren, wie in Abschnitt 2.3 beschrieben, wird nicht als Eingeständnis von Schuld oder Haftung seitens des Unternehmens in Bezug auf den Sicherheitsvorfall ausgelegt.
2.5. Daten zum Schutz der Privatsphäre-Impact Assessment (“DPIA”) und Unterstützung bei vorheriger Beratung. Unter Berücksichtigung der Art der Verarbeitung und der dem Unternehmen zur Verfügung stehenden Informationen wird das Unternehmen kommerzielle Unterstützung bieten, um sicherzustellen, dass die Verpflichtungen im Zusammenhang mit dem Datenschutz-Impact Assessment (DPIAs) und der Beratung von Aufsichtsbehörden eingehalten werden.
3.1. Audits durch das Unternehmen. Das Unternehmen kann Prüfungen durch Dritte beschaffen, um die Einhaltung des Unternehmens mit den folgenden Standards oder Anforderungen zu bewerten: (a) SOC 2 Typ II; (b) ISO 27001; (c) PCI DSS Service Provider Level 1; und/oder (d) Zertifizierungen oder andere Dokumentationen, die die Einhaltung alternativer Standards nachweisen, die den vorgenannten Standards im Wesentlichen gleichwertig sind (zusammen als "Audits"). Vorbehaltlich der im Vertrag festgelegten Vertraulichkeitsverpflichtungen wird das Unternehmen dem Kunden auf Anfrage Zusammenfassungen der aktuellen Auditberichte des Unternehmens ("Berichte") zur Verfügung stellen. Wenn der Vertrag keine Bestimmung zum Schutz der vertraulichen Informationen des Unternehmens enthält, werden die Berichte dem Kunden vorbehaltlich einer einvernehmlich vereinbarten Geheimhaltungsvereinbarung zu den Berichten zur Verfügung gestellt.
3.2 Kundenprüfungen. Der Kunde stimmt zu, seine Prüfungsrechte auszuüben, indem er zunächst die Berichte gemäß Abschnitt 3.1 (Unternehmensberichte) anfordert. Der Kunde wird zusätzliche Informationen oder eine Vor-Ort-Prüfung des Unternehmens nur anfordern, soweit die vom Unternehmen bereitgestellten Informationen nicht ausreichend sind, um die Einhaltung dieser DPA und/oder des Datenschutzgesetzes durch das Unternehmen zu bewerten. Außer im Falle eines Sicherheitsvorfalls oder einer behördlichen Untersuchung wird der Kunde mindestens 30 Tage im Voraus über seine Anfrage zur Durchführung einer Vor-Ort-Prüfung informieren und in gutem Glauben mit dem Unternehmen zusammenarbeiten, um einen für beide Seiten akzeptablen Termin zu vereinbaren. Jede solche Vor-Ort-Prüfung muss während der normalen Geschäftszeiten des Unternehmens erfolgen und entweder vom Kunden oder einem national anerkannten unabhängigen Prüfer durchgeführt werden, der den vertretbaren Vertraulichkeitsvereinbarungen des Unternehmens zugestimmt hat. Der Kunde ist dafür verantwortlich, dass die Prüfung den geltenden Vor-Ort-Richtlinien und -Verfahren des Unternehmens entspricht und die Geschäftstätigkeiten des Unternehmens nicht unangemessen beeinträchtigt. Der Kunde wird dem Unternehmen eine schriftliche Zusammenfassung der Prüfergebnisse bereitstellen, und die Ergebnisse der Prüfung werden als vertrauliche Informationen des Unternehmens behandelt.
4.1. Ernennung von Unterauftragsverarbeitern. Der Kunde ermächtigt das Unternehmen, Unterauftragnehmer zur Verarbeitung personenbezogener Daten des Kunden im Zusammenhang mit der Erbringung der Dienstleistungen einzusetzen (jeweils ein „“). Der Kunde stimmt der Ernennung der in [Webseite] aufgeführten Unterauftragsverarbeiter durch das Unternehmen ausdrücklich zu (die „“).
4.2. Widerspruchsrecht für neue Unterauftragsverarbeiter.
4.2.1. Das Unternehmen wird den Kunden mindestens 15 Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters über seine Absicht informieren, die Unterauftragsliste zu aktualisieren. Der Kunde kann der Beauftragung eines neuen Unterauftragsverarbeiters innerhalb von 10 Tagen nach Erhalt dieser Mitteilung widersprechen, indem er eine E-Mail an privacy@read.ai sendet, in der er seinen Einwand gegen die beabsichtigte Änderung klar angibt.
4.2.2. Wenn der Kunde der Änderung der Unterauftragsverarbeiter widerspricht, werden das Unternehmen und der Kunde in gutem Glauben zusammenarbeiten, um den Einwand des Kunden zu lösen. Können die Parteien den Einwand des Kunden nicht innerhalb von 10 Tagen lösen, kann jede Partei das Abkommen nur hinsichtlich derjenigen Dienstleistungen kündigen, die das Unternehmen ohne den berufenen Unterauftragsverarbeiter nicht erbringen kann.
4.3. Haftung. Das Unternehmen wird Unterauftragsverarbeitern Datenschutzpflichten auferlegen, die nicht weniger schützend für personenbezogene Daten des Kunden sind als die in diesem DPA enthaltenen. Das Unternehmen haftet dem Kunden gegenüber für jeden Verstoß gegen solche Verpflichtungen durch seine Unterauftragsverarbeiter, als ob es sich um eigene Handlungen und Unterlassungen handeln würde.
5.1. Übersicht. Die Parteien werden jede Übertragung von personenbezogenen Daten von in der Europäischen Wirtschaftsraum, dem Vereinigten Königreich und der Schweiz ansässigen Kunden in ein Land, das keiner Angemessenheitsentscheidung unterliegt (eine „“), gemäß den SCCs durchführen, die durch diesen Verweis einbezogen und ausgeführt sind. Wenn das Unternehmen den Kunden darüber informiert, dass Datenübertragungen in Übereinstimmung mit dem Datenschutzgesetz mithilfe eines alternativen Übertragungsmechanismus wie dem Datenschutzrahmen durchgeführt werden können, werden die Parteien sich auf den alternativen Mechanismus stützen, um Datenübertragungen zu legitimieren, anstatt auf die folgenden Bestimmungen.
5.2. SCCs. Die Parteien stimmen zu, die allgemeinen Klauseln und Modul 2 (Verantwortlicher zu Auftragsverarbeiter) der SCCs einzuhalten, wobei der Kunde als „Datenexporteur“ und das Unternehmen als „Datenimporteur“ fungiert.
5.3. Übertragungen unter Schweizer Datenschutzgesetz. Wenn personenbezogene Daten des Kunden, die dem Schweizer Bundesgesetz über den Datenschutz vom 19. Juni 1992 (dem „“) unterliegen, übertragen werden, werden die Parteien diese Übertragung gemäß den SCCs mit den folgenden Änderungen durchführen: Die zuständige Aufsichtsbehörde in Anhang I.C gemäß Klausel 13 ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte; Verweise auf einen „Mitgliedstaat“ und „EU-Mitgliedstaat“ dürfen Personen in der Schweiz nicht daran hindern, ihre Rechte in der Schweiz gerichtlich geltend zu machen; und Verweise auf „GDPR“ in den SCCs werden als Verweise auf das FADP verstanden.
5.4. Übertragungen unter dem UK GDPR. Alle personenbezogenen Daten des Kunden, die dem UK GDPR und einer Datenübertragung unterliegen, unterliegen dem UK IDTA, das durch diesen Verweis einbezogen und ausgeführt ist.
7.1. Soweit ein Konflikt zwischen den Bestimmungen dieser DPA und den anwendbaren SCCs oder UK IDTA besteht, haben die SCCs oder UK IDTA (je nach Fall) Vorrang. Sofern nicht ausdrücklich durch diese DPA geändert und modifiziert, bleiben die Bestimmungen der Vereinbarung unverändert und in vollem Umfang in Kraft. Sofern nicht ausdrücklich in den SCCs und dem UK IDTA vorgesehen, gelten die Bestimmungen zum anwendbaren Recht und zur Gerichtsstandsvereinbarung der Vereinbarung für alle Streitigkeiten, die sich aus dieser DPA ergeben. Keine Ergänzung, Änderung oder Modifikation dieser DPA ist verbindlich, es sei denn, sie wird schriftlich von jeder Partei dieser DPA ausgeführt.
7.2. Wenn sich (i) das Datenschutzgesetz ändert oder (ii) eine Entscheidung, ein Beschluss oder eine Anordnung einer Aufsichtsbehörde oder eines zuständigen Gerichts diese DPA oder die Rechtmäßigkeit von Verarbeitungstätigkeiten unter dieser DPA beeinflusst, kann Read Änderungen und Modifikationen zu dieser DPA vorschlagen. Wenn der Kunde gegen die Ergänzung oder Modifikation Einspruch erhebt, muss der Kunde innerhalb von dreißig (30) Tagen Einspruch erheben, andernfalls wird das Recht auf Einspruch verwirkt. Wenn der Kunde fristgerecht gegen die Angemessenheit der Ergänzung oder Modifikation Einspruch erhebt, werden die Parteien versuchen, ihre Unterschiede zu lösen, und wenn eine Lösung nicht innerhalb von dreißig (30) Tagen nach der Mitteilung des Einspruchs durch den Kunden erreicht werden kann, kann jede Partei diese DPA und alle betroffenen Teile der Vereinbarung kündigen. Alle Ergänzungen und Modifikationen werden schriftlich vorgenommen und von den Parteien unterzeichnet, sofern die Bedingungen der Vereinbarung nichts anderes vorsehen.
7.3.j Die Bestimmungen dieser DPA sind trennbar. Wenn ein Satz, eine Klausel oder eine Bestimmung oder Anhang (einschließlich der SCCs) ganz oder teilweise ungültig oder nicht durchsetzbar ist, betrifft diese Ungültigkeit oder Nichtdurchsetzbarkeit nur diesen Satz, diese Klausel oder Bestimmung, und der Rest dieser DPA oder der Rest des Anhangs bleibt in voller Kraft und Wirkung.
Für die Zwecke dieser DPA haben die nachstehend aufgeführten Begriffe folgende Bedeutung:
“CCPA” bedeutet den California Consumer Privacy Act von 2018, einschließlich (a) in der durch den California Privacy Rights Act von 2020 oder anderweitig geänderten Fassung und (b) aller hierzu erlassenen Vorschriften.
“Verantwortlicher” bedeutet „Verantwortlicher“ und „Unternehmen“ (und analoge Variationen solcher Begriffe) unter Datenschutzgesetz.
“Kundenspezifische personenbezogene Daten” bedeutet personenbezogene Daten, die das Unternehmen im Auftrag des Kunden im Zusammenhang mit der Erbringung der in Anhang 2 beschriebenen Dienstleistungen verarbeitet.
“Datenschutzgesetz” bedeutet die DSGVO, die UK DSGVO, das FADP, das CCPA, das Colorado Privacy Act, das Connecticut-Gesetz über Datenschutz und Online-Überwachung persönlicher Daten, das Virginia Consumer Data Protection Act, das Utah Consumer Privacy Act und alle anderen staatlichen, bundesstaatlichen oder internationalen Datenschutz- oder Datenschutzgesetze, die für die Verarbeitung personenbezogener Daten des Kunden durch das Unternehmen gelten.
"Betroffene Person” bedeutet die identifizierte oder identifizierbare Person, auf die sich personenbezogene Daten beziehen.
“Pseudonymisierte Daten” bedeutet Informationen, die nicht vernünftigerweise mit dem Kunden oder einer betroffenen Person in Verbindung gebracht oder in Beziehung gesetzt werden können.
“DSGVO” bedeutet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).
“Personenbezogene Daten” bedeutet „personenbezogene Daten“ und „persönliche Informationen“ (und analoge Variationen solcher Begriffe) unter Datenschutzgesetz.
“Verarbeiten” oder ”Verarbeitung” bedeutet jede Handlung oder Reihe von Handlungen, die an personenbezogenen Daten oder Datensätzen, ob automatisiert oder nicht, wie Erhebung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung oder Änderung, Abruf, Abfrage, Nutzung, Offenlegung durch Übermittlung, Verbreitung oder anderweitige Bereitstellung, Ausrichtung oder Kombination, Einschränkung, Löschung oder Zerstörung vorgenommen wird, die sich weiter auf solche Handlung oder Handlungen gemäß Datenschutzgesetz erstrecken.
“Auftragsverarbeiter” bedeutet „Auftragsverarbeiter“ und „Dienstleister“ (und analoge Variationen solcher Begriffe) unter Datenschutzgesetz.
“SCCs” bedeutet die Durchführungsentscheidung der Kommission (EU) 2021/914 vom 4. Juni 2021 über SCCs für die Übermittlung personenbezogener Daten in Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Text mit EWR-Relevanz), verfügbar unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914, wie möglicherweise von der Europäischen Kommission ersetzt oder abgelöst. Die Parteien treffen die folgenden Entscheidungen für die Implementierung der SCCs:
“Sicherheitsvorfall” bedeutet “Verletzung des Schutzes personenbezogener Daten” und “Sicherheitsvorfall” (und analoge Variationen dieser Begriffe) gemäß Datenschutzgesetz.
“Dienstleistungen” bedeutet die von der Gesellschaft gemäß der Vereinbarung erbrachten Dienstleistungen.
“Aufsichtsbehörde” bedeutet eine unabhängige öffentliche Behörde, die für die Überwachung der Anwendung des Datenschutzgesetzes verantwortlich ist, einschließlich der Verarbeitung personenbezogener Daten, die durch diese DPA abgedeckt sind.
“UK GDPR” bedeutet die DSGVO, wie sie durch das Datenschutzgesetz 2018 in das britische Recht übernommen und durch das Datenschutz-, Privatsphäre- und elektronische Kommunikation (Änderungen usw.) (EU Exit) Verordnungen 2019 (jeweils in der geänderten, ersetzten oder überarbeiteten Fassung).
“UK IDTA” bedeutet den International Data Transfer Addendum zu den von der EU-Kommission herausgegebenen Standardvertragsklauseln, Version B1.0, zum 21. März 2022 in Kraft, verfügbar unter https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf. Keine der Parteien kann den UK IDTA gemäß Tabelle 4 und Abschnitt 19 davon ohne schriftliche Zustimmung der anderen Partei kündigen.
Kunde
Unternehmen
Das Unternehmen verarbeitet personenbezogene Daten des Kunden, wenn und soweit diese vom Kunden im Rahmen der Bereitstellung der Dienste gemäß der Vereinbarung bereitgestellt werden und bis die Vereinbarung beendet oder ausläuft.
Verarbeitung von personenbezogenen Kundendaten im Zusammenhang mit und zu dem Zweck der Bereitstellung der Dienstleistungen durch das Unternehmen an den Kunden gemäß der Vereinbarung. Insbesondere werden die personenbezogenen Kundendaten – wenn und soweit sie vom Kunden bereitgestellt werden – neben anderen Verarbeitungsaktivitäten der Speicherung und Analyse unterzogen.
Der Kunde kann dem Dienst personenbezogene Daten des Kunden zur Verfügung stellen, deren Umfang vom Kunden nach eigenem Ermessen bestimmt und kontrolliert wird. Dies kann, ohne darauf beschränkt zu sein, folgende Datenkategorien umfassen:
Zu den betroffenen Personen gehören die Mitarbeiter, Auftragnehmer und Endbenutzer des Kunden.
Die Dienste sind nicht speziell für besondere Kategorien personenbezogener Daten konzipiert. Das Unternehmen rechnet nicht damit, dass der Kunde besondere Kategorien an den Dienst übermittelt. Soweit solche Daten an die Dienste übermittelt werden, liegt dies allein im Ermessen des Kunden.
Das Unternehmen wird kontinuierlich personenbezogene Daten des Kunden importieren.
Das Unternehmen wird die personenbezogenen Daten bis zur Beendigung der Vereinbarung aufbewahren, es sei denn, die Parteien vereinbaren etwas anderes.
%2C%20Color%3DOriginal.png)
