Auftragsverarbeitungsvertrag

Dieser AVV gilt für Personendaten, die Zephior LLC auf dokumentierte Anweisung eines Kunden nach den Zephior Plattformbedingungen, den Bedingungen für professionelle Dienstleistungen, einem Auftragsformular oder einer Leistungsbeschreibung bearbeitet. Er gilt nicht für Daten, bei denen Zephior Zwecke und Mittel selbst bestimmt.

Gegenstand: Bereitstellung, Betrieb, Support und Schutz des vereinbarten Services.

Dauer: Laufzeit der Servicevereinbarung zuzüglich vereinbarter Export-, Backup- und Löschfristen.

Betroffene Personen: Personal, Interessenten, Käufer, Lieferanten, Partner oder andere Personen, deren Daten der Kunde übermittelt.

Daten: Kontokennungen, geschäftliche Kontaktdaten, Dokumente, Kommunikation, Projektdaten, Serviceeingaben und -ergebnisse sowie weitere im Auftragsformular beschriebene Daten.

Zephior bearbeitet Personendaten nur nach dokumentierter Kundenanweisung, einschliesslich Servicevereinbarung und Nutzung konfigurierter Produktfunktionen, sofern nicht anwendbares Recht etwas anderes verlangt. Erscheint eine Anweisung rechtswidrig, informiert Zephior den Kunden, soweit dies nicht untersagt ist.

Für Plattformleistungen dokumentieren die angenommenen Plattformbedingungen die Anweisung für notwendigen Support-, Wartungs-, Fehlerbehebungs- und Sicherheitszugriff. Eine ausdrücklich angenommene, wirksame SOW dokumentiert zusätzlich den Ausführungszugriff für ihr bestimmtes Projekt und ihren Umfang.

Autorisierte Personen unterliegen Vertraulichkeitspflichten und dürfen auf Personendaten des Kunden nur zugreifen, soweit ihre zugewiesene Support- oder Ausführungsarbeit dies erfordert. Berechtigungen und Dauer sind auf diesen Zweck begrenzt. Personalzugriffe und wesentliche Handlungen werden zur Zuordnung und Prüfung protokolliert; Berechtigungen werden entfernt, sobald sie nicht mehr benötigt werden oder Personen die Rolle wechseln oder austreten. Rechtmässige Aufbewahrung verlängert den aktiven Ausführungszugriff nicht.

Zephior unterhält risikogerechte Massnahmen, darunter Verschlüsselung bei der Übertragung, geschützte Speicherung, Authentifizierung, rollenbasierter Zugriff, Mandanten- oder Projekttrennung soweit anwendbar, Protokollierung, Backup, Schwachstellenmanagement und Incident Response. Spezifische Massnahmen und Residenz-Zusagen können im Auftragsformular oder Sicherheitsanhang stehen.

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz erforderlicher Unterauftragsbearbeiter. Zephior verpflichtet diese angemessen und bleibt im gesetzlich erforderlichen Umfang verantwortlich. Anbieterkategorien stehen in der Datenschutzerklärung. Aktuelle servicespezifische Informationen werden nach der anwendbaren Vereinbarung oder auf Anfrage bereitgestellt.

Zephior informiert mit angemessenem Vorlauf über einen wesentlichen neuen Unterauftragsbearbeiter. Der Kunde kann innerhalb der genannten Frist einen begründeten datenschutzrechtlichen Einwand erheben.

Bei einer Bekanntgabe in ein Land ohne anwendbaren Angemessenheitsbeschluss nutzt Zephior anerkannte Garantien wie Standardvertragsklauseln und, soweit nötig, ergänzende Massnahmen. Deploymentspezifische Standortzusagen bleiben massgebend.

Unter Berücksichtigung der Art der Bearbeitung unterstützt Zephior angemessen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Behördenkonsultationen. Der Kunde kommuniziert mit betroffenen Personen und Behörden, sofern nichts anderes vereinbart ist.

Zephior informiert den Kunden unverzüglich nach Kenntnis einer Verletzung des Schutzes von Personendaten, die Kundendaten betrifft. Die Mitteilung enthält angemessen verfügbare Informationen, damit der Kunde seine Pflichten erfüllen kann. Weitere Angaben können im Verlauf der Untersuchung folgen.

Bei Vertragsende stellt Zephior Kundendaten während der vereinbarten Frist zum Export bereit und löscht oder anonymisiert sie danach, sofern keine gesetzliche Aufbewahrungspflicht besteht. Geschützte Backups können bis zum Ablauf des Backup-Zyklus bestehen bleiben.

Zephior stellt angemessen erforderliche Informationen zum Nachweis der Einhaltung bereit. Prüfungen benötigen angemessene Vorankündigung, müssen andere Kunden und vertrauliche Systeme schützen und sollen zuerst vorhandene Dokumentation oder unabhängige Nachweise nutzen. Vor-Ort-Prüfungen sind auf Fälle beschränkt, in denen diese Unterlagen nicht genügen oder das Gesetz sie verlangt.

Bei einem Konflikt über die Bearbeitung von Personendaten geht dieser AVV den Servicebedingungen vor. Ein unterzeichneter kundenspezifischer Datenschutzanhang geht diesem Standard-AVV im Umfang des Konflikts vor. Die Haftung richtet sich nach der Servicevereinbarung, soweit zwingendes Recht nichts anderes verlangt.