Auftragsverarbeitung (DSGVO)

Dieser Anhang der Verkaufsbedingungen ist der Auftragsverarbeitungsvertrag nach Artikel 28 der Datenschutz-Grundverordnung (DSGVO). Er gilt, wenn Kroov (EVA AI TECHNOLOGIES, 5 rue Ellenhard, 67000 Strasbourg, France) personenbezogene Daten im Auftrag des Kunden als Verantwortlichem im Rahmen des Dienstes verarbeitet. Er tritt mit dem Vertrag in Kraft und dauert so lange wie dieser, danach bis zur Löschung der Daten.

• Support-Assistent (Nina): Empfang, Sortierung, KI-Analyse und Beantwortung von Nachrichten der eigenen Kunden des Kunden (E-Mail, WhatsApp, Gmail, Outlook, Google-Bewertungen). Betroffene: Kunden und Interessenten des Kunden. Daten: Name, E-Mail-Adresse, Telefonnummer, Nachrichten, Anhänge, Antworten.
• Telefonassistent (Sam): auf Wunsch des Kunden geführte Anrufe, in Echtzeit von KI verarbeitetes Sprachgespräch, Transkript und Zusammenfassung. Betroffene: die angerufenen Personen. Daten: Name und Nummer, Inhalt des Gesprächs, Transkript, Zusammenfassung, Wunsch, nicht erneut angerufen zu werden. Ton wird nicht aufgezeichnet.
• Inhalte, Wissensbasen und Gedächtnis: Speicherung, Indexierung und Nutzung durch die Assistenten der Dokumente und Informationen, die der Kunde dort ablegt und die Daten über seine Kontakte enthalten können.
• Veröffentlichung und Integrationen: Versand von Inhalten und Nachrichten an die vom Kunden verbundenen Konten.

Der Kunde unterlässt es, sensible Daten anzuvertrauen (Gesundheit, Meinungen, Daten über Straftaten…), außer wenn es nötig ist und auf einer geeigneten Rechtsgrundlage beruht.

Kroov:

• verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, nämlich den Vertrag, die Einstellungen des Arbeitsbereichs und die in der Anwendung gestellten Anfragen; es informiert den Kunden, wenn eine Weisung gegen die DSGVO zu verstoßen scheint;
• stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
• setzt die unten beschriebenen Sicherheitsmaßnahmen um;
• unterstützt den Kunden, soweit möglich, bei der Beantwortung von Anfragen Betroffener, bei der Sicherheit, bei der Meldung von Verletzungen und bei einer Folgenabschätzung;
• benachrichtigt den Kunden über jede ihn betreffende Verletzung personenbezogener Daten so schnell wie möglich und spätestens 48 Stunden nach Kenntnis, mit den verfügbaren Informationen;
• löscht die Daten am Ende des Vertrags oder bei Löschung des Arbeitsbereichs (der Kunde kann sie vorher exportieren), außer das Gesetz verlangt ihre Aufbewahrung; Sicherungen werden im Rotationsverfahren innerhalb von 14 Tagen gelöscht;
• stellt dem Kunden die zum Nachweis der Einhaltung nötigen Informationen zur Verfügung und lässt Audits zu, höchstens einmal im Jahr mit 30 Tagen Vorankündigung, auf Kosten des Kunden, durch einen zur Vertraulichkeit verpflichteten Prüfer.

Der Kunde erlaubt Kroov, die Unterauftragsverarbeiter einzusetzen, deren aktuelle Liste mit der erbrachten Leistung, dem Land und der Garantie, die jede Übermittlung absichert, in der App einsehbar ist (Einstellungen › Sicherheit und Daten, Abschnitt „Unterauftragsverarbeiter“) und auf Anfrage unter support@kroov.ai übermittelt wird. Kroov informiert den Kunden über jede Ergänzung oder Ersetzung mindestens 30 Tage im Voraus; der Kunde kann aus berechtigten Gründen widersprechen und, wenn keine Einigung zustande kommt, kostenfrei kündigen. Kroov legt jedem gleichwertige Datenschutzpflichten auf und bleibt gegenüber dem Kunden haftbar.

Wenn ein Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeitet, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework für zertifizierte Unternehmen) oder auf die Standardvertragsklauseln der Europäischen Kommission.

Der Kunde:

• verfügt über eine Rechtsgrundlage für jede Verarbeitung, die er Kroov anvertraut, und informiert die Betroffenen, insbesondere seine Kunden über den Einsatz eines KI-Support-Assistenten;
• ruft über den Telefonassistenten nur Personen an, die er kontaktieren darf, betreibt keine automatisierte Ansprache und kommt Widersprüchen nach;
• legt die Aufbewahrungsfrist von Transkripten und Dateien nach seinem Bedarf fest;
• teilt Kroov unverzüglich jede Anfrage eines Betroffenen mit, die seine Hilfe erfordert.

• Hosting in der Europäischen Union, verschlüsselter Verkehr (HTTPS).
• Zugriffstokens verbundener Konten verschlüsselt (AES-256-GCM), Schlüssel in einem Secret Manager.
• Zugriffskontrolle bei jeder Anfrage, nach Mitgliedschaft im Arbeitsbereich, Rolle und Sichtbarkeit der Daten.
• Audit-Protokoll sensibler Aktionen, 13 Monate aufbewahrt.
• Dateien in privatem Speicher, ausgeliefert über temporäre Links.
• Ratenbegrenzung, Signaturprüfung eingehender Benachrichtigungen.
• Keine Tonaufzeichnung von Anrufen; einstellbare Aufbewahrungsfristen und automatische Löschungen.
• Verschlüsselte Datenbanksicherungen, im Rotationsverfahren gelöscht.