Auftragsverarbeitungsvertrag von Nexier School

1. Parteien, Weisungen und Anwendbarkeit

Dieser Auftragsverarbeitungsvertrag gilt nur, wenn der in einem geschlossenen ENT-02 benannte Kunde als Verantwortlicher SMARTEDTECH SL als Auftragsverarbeiter für Nexier School anweist. Für eigene Zwecke des Betreibers zu Konto, Abrechnung, Sicherheit oder gesetzlichen Pflichten kann er stattdessen Verantwortlicher sein. Unabhängige Anbieter und Einrichtungen bleiben für ihre eigene Verarbeitung verantwortlich. Anhang A muss Gegenstand, Dauer, Art, Zweck, Datenkategorien, betroffene Personen, Weisungen des Verantwortlichen und zulässige Orte benennen, bevor die Verarbeitung beginnt. Ein leerer Anhang erlaubt keine unbeschränkte Verarbeitung.

2. Dokumentierter Zweck und Vertraulichkeit

Der Auftragsverarbeiter handelt nur auf dokumentierte Weisungen, einschließlich Übermittlungen, es sei denn, zwingendes Recht verlangt etwas anderes; er informiert den Verantwortlichen über diese Pflicht, soweit rechtlich zulässig. Er kennzeichnet unverzüglich eine Weisung, die er vernünftigerweise für rechtswidrig hält. Nur Personal mit Zugriffsbedarf wird ermächtigt, geschult und zur Vertraulichkeit verpflichtet. Aus diesem Auftragsverarbeitungsvertrag folgen keine Werbung, kein Weiterverkauf, kein sachfremdes Modelltraining, keine plattformübergreifende Anreicherung und keine Veröffentlichung privater Daten.

3. Sicherheit und befugter Zugriff

Setzen Sie risikogerechte Maßnahmen nach Artikel 32 ein, die in Anhang B dokumentiert sind: Mandantenisolation/RLS, geringste Rechte und MFA für privilegierten Zugriff, Verschlüsselung und Schlüsselverwaltung, soweit tatsächlich umgesetzt, Maskierung von Geheimnissen, Umgang mit Patches und Schwachstellen, geprüfte Wiederherstellung, begrenzte Integrationen, Upload-Kontrollen, Eskalation von Vorfällen und Integrität der Nachweise. Dies sind vertraglich nachzuweisende Anforderungen, keine Zertifizierung, dass jede Maßnahme bereits bestanden wurde. Erläutern und beheben Sie wesentliche Abweichungen vor der Produktivverarbeitung. In unveränderliche Einwilligungsprotokolle werden keine privaten Inhalte geschrieben; verwenden Sie minimierte Verweise und rechtmäßige Aufbewahrung.

4. Unterauftragsverarbeiter und Übermittlungen

Anhang C benennt jeden tatsächlichen Unterauftragsverarbeiter, den Zweck, den Ort, den Datenzugriff und die Grundlage der Genehmigung. Unter allgemeiner schriftlicher Genehmigung sind beabsichtigte Ergänzungen und Ersetzungen mitzuteilen und ein angemessenes vereinbartes Widerspruchsverfahren zu ermöglichen; die betroffene Verarbeitung ist zu bereinigen oder zu beenden, wenn rechtmäßige Schutzmaßnahmen nicht vereinbart werden können. Legen Sie gleichwertige Verarbeitungspflichten auf und bleiben Sie verantwortlich, wie Artikel 28 es verlangt. Beschränkte Übermittlungen erfordern das tatsächlich gültige Instrument und die Bewertung in DAT-02. Ein Anbieterlogo oder eine API-Einstellung ist kein geschlossener Auftragsverarbeitungsvertrag und keine Garantie für die Übermittlung.

5. Rechte und Vorfälle

Unterstützen Sie den Verantwortlichen bei Anträgen betroffener Personen mit verhältnismäßiger Authentifizierung und begrenzter Suche, Export, Berichtigung und Löschung. Entscheiden Sie die Antwort nicht eigenständig, es sei denn, Sie sind dazu ermächtigt oder gesetzlich verpflichtet. Melden Sie dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis mit den verfügbaren Tatsachen, Kategorien und ungefähren Zahlen, wahrscheinlichen Auswirkungen, der Abhilfe und dem Kontakt. Liefern Sie gestufte Aktualisierungen und bewahren Sie relevante Beweise; warten Sie nicht auf einen vollkommenen Bericht. Die Pflicht des Verantwortlichen zur Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden ist von der Meldung des Auftragsverarbeiters getrennt und knüpft nicht automatisch an jede Sicherheitswarnung an. Die Parteien stimmen Benachrichtigungen betroffener Personen ab, ohne gesetzliche Fristen zu blockieren.

6. Bewertungen, Audit und Behörden

Stellen Sie die für die Einhaltung von Artikel 28 vernünftigerweise erforderlichen Informationen, relevante Sicherheitsnachweise, Unterstützung bei Datenschutz-Folgenabschätzungen (DPIA) und vorheriger Konsultation sowie verhältnismäßige Audits und Inspektionen bereit, vorbehaltlich Vertraulichkeit, Sicherheit und der Rechte anderer. Beschränken Sie den Zugriff auf relevante Daten; verlangen Sie niemals rohe Geheimnisse oder Unterlagen fremder Mandanten. Der gesetzliche Zugang der Aufsichtsbehörde bleibt gewahrt. Verweigern Sie wesentliche Auditzusammenarbeit nicht allein deshalb, weil ein Zertifikat nicht verfügbar ist.

7. Ende des Dienstes und Aufbewahrung

Geben Sie nach Wahl des Verantwortlichen personenbezogene Daten und vorhandene Kopien am Ende des angewiesenen Dienstes zurück oder löschen Sie sie, es sei denn, zwingendes Recht verlangt eine bestimmte Aufbewahrung. Vereinbaren Sie das tatsächliche Exportformat, den Zeitpunkt, den Ablauf von Sicherungen und den Löschungsnachweis in Anhang D. Beschränken Sie rechtmäßig weiter vorgehaltene Unterlagen auf den konkreten Zweck und die Dauer. Die Anforderung eines nur anfügbaren Nachweises erlaubt nicht, identifizierbare Inhalte dauerhaft aufzubewahren; minimieren Sie Nutzdaten oder trennen Sie sie kryptografisch im Einklang mit freigegebenem Recht und technischer Gestaltung.

8. Ausführung der Anhänge

Anhang A verwendet die Felder zu Dienst, betroffenen Personen und Zweck in ENT-02; Anhang B ist die beleggestützte TOMs-Liste; Anhang C ist das tatsächliche Verzeichnis der Empfänger, Orte und Änderungshinweise; Anhang D nennt Aufbewahrung, Export, Löschung und Vorfallkontakte. Sie bleiben fehlende Tatsachen, bis sie aus der Mandanten- und Dienstkonfiguration vervollständigt sind. Die Unterzeichnung erfolgt durch den tatsächlichen Verantwortlichen und den Auftragsverarbeiter. Gesetzliche Verarbeitungspflichten und zwingende Rechte gehen widersprechenden kommerziellen Bedingungen vor.

Plattformspezifische Bedingungen

Datenrollen

1. Plattformdaten. Der Betreiber ist Verantwortlicher für personenbezogene Daten, die zum Betrieb der Plattform verarbeitet werden: Konto, Identitätsprüfung, Annahmedatensätze, Zahlungen, Sicherheit, Support, Kommunikation und Analysen.

2. Anbieter-Leistungsdaten. Erbringt ein Anbieter über die Plattform Leistungen gegenüber einem Kunden, ist der Anbieter unabhängiger Verantwortlicher für die Daten, die er für diese Leistung benötigt (Buchung, Auftrag, klinische, bildungsbezogene oder berufliche Unterlagen), und der Betreiber ist Verantwortlicher für den plattformbezogenen Datensatz des Vorgangs. Jede Partei erfüllt ihre eigenen Pflichten; keine handelt für die andere.

3. Auftragsverarbeitungsleistungen. Verarbeitet der Betreiber personenbezogene Daten im Auftrag eines Geschäftskunden nach dessen Weisungen (beispielsweise Beschäftigtendaten eines Unternehmensmandanten), gilt der Auftragsverarbeitungsvertrag (DAT-01) und ist maßgeblich; er wird als Teil des Auftrags unterzeichnet.

4. Weitergabe zwischen SET-Plattformen. Personenbezogene Daten werden an keine andere vom Betreiber oder seiner Gruppe betriebene Plattform weitergegeben, es sei denn, Sie aktivieren das konkrete Ziel in Ihren Einstellungen. Die Aktivierung eines Ziels aktiviert keine anderen, und Sie können sie jederzeit deaktivieren.

5. Internationale Übermittlungen. Personenbezogene Daten werden im Europäischen Wirtschaftsraum gespeichert (oder, für wellbridge.uk, im Vereinigten Königreich). Wird ein Auftragsverarbeiter außerhalb dieser Gebiete eingesetzt, ist die Übermittlung durch Standardvertragsklauseln oder das UK Addendum/IDTA abgedeckt, aufgeführt im Anhang der Unterauftragsverarbeiter.

---