Auftragsverarbeitungsvertrag

Der Kunde ist die Organisation, der der Workspace gehört, und der Verantwortliche für die personenbezogenen Daten, die er in nerix.ai eingibt (Auftragsverarbeiter dieser Daten, wenn er für seine eigenen Kunden handelt). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, United States, ist der Auftragsverarbeiter.

Diese Vereinbarung gilt für personenbezogene Daten im Workspace des Kunden: Dokumente, Gespräche, Sheets, Arbeitsvorgänge, Meetings und Aufzeichnungen, Embeddings der Bibliothek, Namen und E-Mail-Adressen der Mitglieder sowie den Audit-Trail. Sie gilt nicht für personenbezogene Daten, deren Zwecke nerix selbst festlegt, wie das Anmeldekonto einer Person oder Abrechnungsunterlagen. Diese sind in der Datenschutzerklärung beschrieben.

Bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen in Bezug auf personenbezogene Daten geht diese Vereinbarung vor.

nerix verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die Nutzungsbedingungen, diese Vereinbarung, die Einstellungen, die der Kunde im Produkt wählt (zum Beispiel KI-Region, Anbieter, Aufbewahrungsfristen und Ausblenden von Namen vor der KI), und das, was seine Mitglieder vom Produkt verlangen, sind die Weisungen. Das umfasst Übermittlungen in ein Drittland: Sie erfolgen nur, soweit diese Weisungen und die Liste der Unterauftragsverarbeiter dies zulassen.

nerix informiert den Kunden unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Ist nerix gesetzlich zu einer anderweitigen Verarbeitung verpflichtet, informiert es den Kunden vorher, es sei denn, das Gesetz verbietet dies.

Alle Personen bei nerix, die auf personenbezogene Daten des Kunden zugreifen können, sind durch eine schriftliche Vertraulichkeitspflicht gebunden, erhalten Zugriff nur, wenn die Arbeit ihn erfordert, und jeder Einblick von Mitarbeitenden in ein Gespräch des Kunden wird im Audit-Trail des Kunden selbst aufgezeichnet.

nerix trifft die Maßnahmen nach Artikel 32 DSGVO. Anlage 2 enthält die Maßnahmen, die derzeit bestehen. nerix darf sie ändern, wenn das Schutzniveau nicht sinkt.

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter in Anlage 1. nerix verpflichtet jeden von ihnen vertraglich zu denselben Datenschutzpflichten und bleibt dem Kunden gegenüber für sie vollumfänglich haftbar.

nerix informiert den Inhaber jedes Workspace mindestens 30 Tage, bevor es einen Unterauftragsverarbeiter hinzufügt oder ersetzt, im Produkt und per E-Mail, und aktualisiert die öffentliche Liste unter nerix.ai/legal/subprocessors. Der Kunde kann aus triftigen Datenschutzgründen innerhalb dieser 30 Tage Widerspruch einlegen. nerix versucht dann, den Dienst ohne diesen Unterauftragsverarbeiter anzubieten, zum Beispiel indem der Workspace bei ausschließlich in der EU ansässigen Anbietern bleibt. Ist das nicht möglich, kann der Kunde den Vertrag beenden und erhält eine Rückerstattung im Voraus gezahlter Entgelte für den nicht genutzten Zeitraum.

Der Kunde wählt die KI-Region und die Anbieter für seinen eigenen Workspace. Einen Anbieter, den der Kunde selbst in den Einstellungen aktiviert, wählt der Kunde selbst aus; darin liegt keine Änderung durch nerix.

Kundendaten werden in der Europäischen Union gespeichert (Frankreich, mit verschlüsselten Dateien und Backups in den Niederlanden). nerix hat seinen Sitz in den Vereinigten Staaten. Werden personenbezogene Daten in ein Land ohne Angemessenheitsbeschluss übermittelt oder wird von dort aus auf sie zugegriffen, vereinbaren die Parteien die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) wie folgt. Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt, wenn der Kunde Verantwortlicher ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde selbst Auftragsverarbeiter ist. Sie sind durch Verweis Teil dieser Vereinbarung.

• Klausel 7 (Beitrittsklausel): einbezogen.
• Klausel 9(a): Option 2, allgemeine Genehmigung, mit der Frist von 30 Tagen nach Abschnitt 6.
• Klausel 11(a): Die optionale unabhängige Stelle zur Streitbeilegung gilt nicht.
• Klausel 17: Das Recht der Republik Irland. Klausel 18(b): Die Gerichte Irlands.
• Die Parteien in Anlage I.A stehen in Abschnitt 1; Anlage I.B ist Abschnitt 2; die zuständige Aufsichtsbehörde ist die der Niederlassung des Kunden (oder, falls es keine gibt, die irische Datenschutzkommission). Anlage II ist Anlage 2 unten. Anlage III ist Anlage 1 unten.

Für personenbezogene Daten nach dem UK GDPR vereinbaren die Parteien außerdem das International Data Transfer Addendum zu den EU SCCs, herausgegeben vom UK Information Commissioner (Version B1.0, in Kraft seit 21. März 2022). Seine Tabellen werden aus diesem Abschnitt und den Anlagen ausgefüllt, und jede Partei kann es nach seinem Abschnitt 19 beenden.

Für personenbezogene Daten nach dem schweizerischen Datenschutzgesetz gelten die SCCs mit folgenden Änderungen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zuständige Behörde; Bezugnahmen auf die DSGVO umfassen das schweizerische Gesetz; Gerichtsstand für Klagen von Personen in der Schweiz ist die Schweiz; und „Mitgliedstaat“ hindert eine Person in der Schweiz nicht daran, an ihrem gewöhnlichen Aufenthalt zu klagen.

Ist nerix für die Übermittlung nach dem EU-US Data Privacy Framework zertifiziert, ist diese Zertifizierung die Hauptgarantie, und die SCCs gelten als Rückfalllösung, falls das Rahmenwerk nicht mehr gültig ist. Ein staatliches Zugriffsersuchen wird so behandelt, wie es die SCCs vorsehen: nerix ficht rechtswidrige Ersuchen an, gibt so wenig wie möglich weiter und informiert den Kunden, es sei denn, das Gesetz verbietet dies.

Wenn eine Person nerix zu Daten anspricht, die nerix für den Kunden hält, antwortet nerix nicht in der Sache und leitet die Anfrage unverzüglich an den Kunden weiter (innerhalb von fünf Werktagen). nerix stellt dem Kunden Hilfsmittel zur Verfügung: Export eines Workspace und der eigenen Kontodaten einer Person, Löschung, Berichtigung und den Audit-Trail. Darüber hinaus hilft nerix mit angemessenem Aufwand und kostenlos, wenn es sich um eine kleine Aufgabe handelt.

nerix informiert den Inhaber jedes betroffenen Workspace ohne unangemessene Verzögerung und spätestens 24 Stunden, nachdem es Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die die Daten des Kunden betrifft, im Produkt und per E-Mail. Die Meldung enthält, was bekannt ist: was geschehen ist, welche Daten und ungefähr wie viele Personen betroffen sind, die wahrscheinlichen Folgen, was nerix unternommen hat und was es dem Kunden rät. Weitere Fakten werden nachgereicht, sobald sie bekannt werden. nerix führt ein Verzeichnis von Verletzungen und stellt dem Kunden bereit, was er für seine eigene Meldung an die Aufsichtsbehörde (Artikel 33) und an die betroffenen Personen (Artikel 34) benötigt.

nerix unterstützt den Kunden bei Sicherheit, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation und berücksichtigt dabei, was es sehen kann. Auf Anfrage stellt nerix eine Zusammenfassung seiner Datenschutz-Folgenabschätzung der KI-Funktionen bereit.

Der Kunde kann den gesamten Workspace jederzeit kostenlos über die Einstellungen exportieren (Dokumente in ihren Originaldateien, Unterhaltungen, Sheets, Datensätze, Audit-Trail) und Daten sowie den Workspace selbst löschen. Nach Vertragsende bewahrt nerix den Workspace für einen Abrufzeitraum von mindestens 30 Tagen auf, damit der Kunde ihn exportieren kann, und löscht danach die personenbezogenen Daten, einschließlich Sicherungskopien, innerhalb von weiteren 30 Tagen, es sei denn, das Gesetz verpflichtet nerix zur Aufbewahrung. nerix bestätigt die Löschung auf Anfrage.

nerix stellt dem Kunden die Informationen bereit, die erforderlich sind, um nachzuweisen, dass Artikel 28 erfüllt ist, und gestattet dem Kunden oder einem von ihm benannten Auditor, nerix nach Ankündigung mit einer Frist von 30 Tagen während der Geschäftszeiten unter Wahrung der Vertraulichkeit zu prüfen, höchstens einmal pro Jahr, es sei denn, eine Verletzung oder eine Behörde erfordert häufigere Prüfungen, und auf Kosten des Kunden. nerix kann dem zunächst mit aktuellen unabhängigen Berichten und seinen Antworten auf den Sicherheitsfragebogen des Kunden nachkommen.

Die Haftung nach dieser Vereinbarung richtet sich nach den Bedingungen, mit der Ausnahme, dass nichts die Haftung beschränkt, die gesetzlich nicht beschränkt werden kann, und dass die SCCs, soweit sie gelten, allem anderen vorgehen. Für die SCCs gilt das Recht der Republik Irland, im Übrigen gelten die Bedingungen.

Der Kunde nimmt diese Vereinbarung im Produkt an: Der Inhaber des Workspace bestätigt sie, und nerix zeichnet Datum, Version und die annehmende Person auf. Eine neue Version wird dem Inhaber mit den Änderungen angezeigt und gilt nach der Annahme; die angenommene Version bleibt in den Einstellungen sichtbar. Enterprise-Kunden können eine Kopie mit Unterschriftszeilen anfordern. Fragen: info@nerix.ai.

Die öffentliche Liste unter nerix.ai/legal/subprocessors ist die aktuelle. Zum Datum dieser Version:

Diese Maßnahmen sind derzeit im Produkt umgesetzt.

• Trennung der Kunden: Jeder Datensatz trägt seinen Workspace, und jede Abfrage im Code muss den Workspace nennen, sonst schlägt sie fehl; Dateien werden pro Workspace gespeichert.
• Verschlüsselung: Verbindungen nutzen TLS. Anbieterschlüssel und gespeicherte Zugangsdaten der Kunden werden mit Envelope-Verschlüsselung verschlüsselt; der Hauptschlüssel liegt außerhalb der Datenbank in einer Datei, die nur der Dienst lesen kann.
• Zugriff: Anmeldung mit Passwort, Passkeys oder Google oder GitHub; zweistufige Anmeldung; Rollen für Inhaber, Administrator, Mitglied und Betrachter; Sitzungen können aufgelistet und beendet werden; API-Schlüssel können sofort widerrufen werden.
• Mitarbeiterzugriff: getrennte Mitarbeiteridentität mit eigener Anmeldung und zweitem Faktor; Mitarbeiter sehen eine Unterhaltung eines Kunden nur mit einem dokumentierten Grund, und jeder Einblick wird im Audit-Trail des Kunden festgehalten; Identitätsübernahme wird dem Kunden im Audit-Trail angezeigt.
• Audit-Trail: ausschließlich anhängendes Protokoll darüber, wer im Workspace was getan hat, mit Exportfunktionen; aufbewahrt für die vom Inhaber festgelegte Aufbewahrungsfrist.
• KI-Sicherheit: Namen von Personen und Klienten sowie personenbezogene Details wie E-Mail-Adressen, Telefon- und Kontonummern können durch Codes ersetzt werden, bevor Text ein Modell erreicht, und in der Antwort wieder eingesetzt werden; Inhaber können diese Einstellung sperren; es ist einem Modellanbieter niemals erlaubt, mit Kundendaten zu trainieren; die KI-Region kann auf die EU beschränkt werden oder auf Modelle auf unseren eigenen Servern.
• Aufbewahrung und Löschung: Der Inhaber kann festlegen, wie lange Dokumente und Unterhaltungen aufbewahrt werden; danach werden sie vom Dienst gelöscht; die Löschung entfernt Dateien von der Festplatte, nicht nur Datensätze; die Löschung eines Workspace erfolgt nach einer 30-tägigen Wartezeit.
• Sicherungskopien: werden in der EU aufbewahrt; gelöschte Daten verlassen die Sicherungskopien innerhalb von 30 Tagen.
• Ausfallsicherheit: getrennte Prozesse für Web, Hintergrundarbeit und den KI-Hub, Zustandsprüfungen und Neustarts ohne Verlust von Aufträgen; Änderungen werden vor der Freigabe getestet.
• Verletzungsprozess: ein schriftliches Runbook, ein Verzeichnis, eine Benachrichtigung der betroffenen Inhaber innerhalb von 24 Stunden und ein Sicherheitshinweis im Produkt.
• Personal: eine Vertraulichkeitspflicht und Zugriff nur, wenn die Arbeit ihn erfordert.