NeuroDisplay-Datenverarbeitungsvereinbarung – Professionelle Kunden

1. Zweck und Geltungsbereich

Das DS-GVO legt die Pflichten der Vertragsparteien gemäß Artikel 28 DSGVO fest. Sie deckt die in Anhang II beschriebenen Behandlungen ab und hat für diese Behandlungen Vorrang vor etwaigen widersprüchlichen Bestimmungen niedrigeren Ranges.

2. Rollen der Parteien und dokumentierte Anweisungen

Der Kunde fungiert als Datenverantwortlicher für die Inhalte, Pfade, Konfigurationen und Daten, die er in NeuroDisplay verarbeiten möchte. A2Display fungiert bei diesen Vorgängen als Unterauftragnehmer und verarbeitet diese Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen, sofern keine gesetzliche Verpflichtung besteht.

A2Display fungiert separat als Datenverantwortlicher für Kontoverwaltung, Sicherheit, Geschäftsbeziehungen, Abrechnung, Support und seine gesetzlichen Verpflichtungen. Diese Behandlungen sind in der Datenschutzrichtlinie beschrieben.

3. Rechtmäßige Anweisungen und Verantwortung des Kunden

Der Kunde gewährleistet die Rechtmäßigkeit seiner Weisungen, die Aktualität der Daten, die Information der Personen und das Vorliegen einer Rechtsgrundlage. Der Dienst wird nicht dazu genutzt, sensible Daten unnötig zu verarbeiten. A2Display informiert den Kunden, wenn eine Anweisung offenbar gegen geltendes Recht verstößt, sofern dies nicht gesetzlich verboten ist.

4. Dauer

Die DSGVO gilt für die Dauer des Vertrages und bis zur Löschung oder Wiederherstellung der für den Kunden verarbeiteten Daten, vorbehaltlich gesetzlicher Aufbewahrungspflichten und technischer Sicherungszyklen.

5. Vertraulichkeit und autorisiertes Personal

A2Display beschränkt den Zugriff auf diejenigen, die ihn benötigen, um den Dienst bereitzustellen, zu sichern oder zu unterstützen. Diese Personen unterliegen einer angemessenen Verschwiegenheitspflicht und Zugangskontrollregeln.

6. Sicherheit der Verarbeitung

A2Display setzt unter Berücksichtigung des Stands der Technik, der Kosten, der Art, des Umfangs, des Kontexts und der Risiken die in Anhang III beschriebenen geeigneten Maßnahmen um. Es wird keine Zertifizierung beansprucht, die nicht von A2Display erhalten wurde.

7. Unterauftragsverarbeiter

Der Kunde beauftragt grundsätzlich die in der aktiven Version der öffentlichen Liste aufgeführten Unterauftragsverarbeiter. A2Display erlegt angemessene Schutzpflichten auf und bleibt für seine Unterauftragsverpflichtungen gemäß den Bedingungen des geltenden Rechts verantwortlich.

A2Display wird Kunden auf angemessene Weise über eine wesentliche Änderung informieren. Der Kunde kann aus datenschutzrechtlichen Gründen Einspruch erheben; Die Parteien suchen dann eine angemessene Lösung.

8. Internationale Überweisungen

Einige Anbieter verarbeiten möglicherweise Daten oder ermöglichen den Zugriff aus Ländern außerhalb des Europäischen Wirtschaftsraums. Je nach Fall basieren Übermittlungen auf einem Angemessenheitsbeschluss, Standardvertragsklauseln oder einer anderen anwendbaren Garantie. Ohne einen mit der aktiven Konfiguration verbundenen Nachweis wird kein ausschließlich europäischer Wohnsitz versprochen.

9. Rechte des Einzelnen

Unter Berücksichtigung der Art der Verarbeitung bietet A2Display dem Kunden angemessene Unterstützung bei der Beantwortung von Anträgen auf Zugang, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit. A2Display übermittelt dem Kunden jede Anfrage, die sich eindeutig auf die in seinem Namen verarbeiteten Daten bezieht, sofern keine anderen Anweisungen oder Anforderungen vorliegen.

10. Compliance-Unterstützung

A2Display unterstützt den Kunden angemessen bei der Sicherheit, bei Auswirkungsanalysen und bei vorherigen Konsultationen und berücksichtigt dabei die verfügbaren Informationen und die Art des Dienstes. Für eine ungewöhnliche oder wichtige Dienstleistung können im Voraus vereinbarte angemessene Bedingungen gelten.

11. Verstöße gegen den Schutz personenbezogener Daten

Wenn A2Display einen Verstoß feststellt, der die für den Kunden verarbeiteten Daten betrifft, informiert A2Display den Kunden unverzüglich und stellt nach und nach nützliche verfügbare Informationen zur Verfügung. Der Kunde bleibt als Datenverantwortlicher für seine Mitteilungen verantwortlich.

12. Rückerstattung, Ausfuhr und Löschung

Während der Vertragslaufzeit nutzt der Kunde die zur Verfügung stehenden Exportfunktionen. Nach Vertragsende kann ein Zugriffs- oder Exportfenster von dreißig Tagen gewährt werden. Daten aus aktiven Systemen werden innerhalb von dreißig Tagen nach diesem Fenster gelöscht, es sei denn, dies ist gesetzlich vorgeschrieben oder ein Einfrieren ist gerechtfertigt.

Sicherungskopien verfallen entsprechend den technischen Zyklen des Anbieters, werden nicht für geschäftliche Zwecke wiederverwendet und Löschungen werden nach der Wiederherstellung bei Bedarf erneut angewendet. Es wird nicht versprochen, dass ein verschlüsseltes Backup für eine isolierte Leitung sofort neu geschrieben wird.

13. Informationen, Prüfungen und Beweise

A2Display stellt Informationen zur Verfügung, die angemessenerweise erforderlich sind, um die Einhaltung dieser DPA nachzuweisen. Audits sind geplant, verhältnismäßig, unterliegen der Vertraulichkeit und sind darauf ausgelegt, eine Gefährdung anderer Kunden oder der Sicherheit des Dienstes zu vermeiden. Verfügbare unabhängige Berichte oder dokumentarische Beweise werden bevorzugt.

14. Haftung und Vertragsordnung

Die mit dem DPA verbundene Haftung unterliegt den im Vertrag vorgesehenen gesetzlichen Beschränkungen, ohne dass die zwingenden Rechte des Einzelnen oder die Pflichten, die nicht eingeschränkt werden können, eingeschränkt werden. Im Falle eines Widerspruchs geht die DSGVO zum Schutz der für den Kunden verarbeiteten Daten vor.

15. Entwicklung und Kontakt

Das DPA ist versioniert. Eine wesentliche Änderung wird mitgeteilt und erfordert möglicherweise eine erneute Annahme durch einen Eigentümer oder einen autorisierten Vertreter ohne rückwirkende Wirkung. Für Anfragen verwenden Sie das NeuroDisplay-Formular, die Kategorie „Datenschutz“ oder den NeuroDisplay-Support für authentifizierte Kunden. A2Display erhebt keinen Anspruch darauf, einen DSB benannt zu haben.

16. Anhang I – Teile

Subunternehmer: A2Display, vereinfachte Aktiengesellschaft, Betreiber von NeuroDisplay, 1 rue de la Caillardière, 49070 Beaucouzé, Frankreich.

Für die Verarbeitung verantwortlich: der in der Organisation, im Checkout, im Angebot oder im Vertrag angegebene professionelle Kunde. Der Vertreter, der die DPA akzeptiert, bestätigt, dass er befugt ist, den Kunden zu binden.

17. Anhang II – Beschreibung der Verarbeitung

• Betreff: Hosting, Organisation, Verteilung, Support und Sicherheit der Inhalte und Konfigurationen des Kunden.
• Dauer: Vertragsdauer und Löschfrist gemäß Artikel 12.
• Natur: Erfassung, Aufzeichnung, Organisation, Abfrage, Anpassung, Übermittlung an Spieler und ausgewählte Empfänger, Sicherung und Löschung.
• Zwecke: dynamische Anzeige, taktile Pfade, Verwaltung, Support, Sicherheit und vom Kunden gewünschte Funktionen.
• Daten: berufliche Identität, Konten und Rollen, Inhalte, Medien, Konfigurationen, technische Protokolle, Supportdaten und kontextbezogene Daten.
• Personen: Kundenbenutzer, Mitarbeiter, Besucher oder andere Personen, deren Daten der Kunde verarbeiten möchte.

18. Anhang III – Technische und organisatorische Maßnahmen

Zu den etablierten Maßnahmen gehören: RLS, RBAC, Multi-Tenant-Isolation, Serverkontrollen, auf der Serverseite gespeicherte Geheimnisse, Verschlüsselung bei der Übertragung, entsprechend ihren Fähigkeiten verschlüsselter Anbieterspeicher, signierte URLs, redigierte Protokolle, Anforderungs-ID, Test-/Produktionstrennung, synthetische Testdaten, organisationsübergreifender Schutz, Ratenbegrenzung, Autorisierung von Player-Befehlen, Zugriffsverwaltung, Anbieter-Backups und Vorfallverfahren.

19. Anhang IV – Aktive Unterauftragnehmer

Die aktive und versionierte Liste wird auf der Seite „Subunternehmer“ von NeuroDisplay veröffentlicht. Es umfasst Supabase, Vercel, Resend und OpenAI, wenn KI-Funktionen aktiv sind. Open-Meteo ist vorübergehend deaktiviert, bis ein kommerzielles Abonnement konfiguriert ist, und empfängt keine Produktionsdaten.

Cloudflare R2 für Future Document Library, GitHub, Mailosaur, Entwicklertools und nicht verwendete Anbieter sind nicht in der aktiven Liste.

20. Anhang V – Internationale Übermittlungen

Regionen und Mechanismen hängen vom Anbieter, Plan und der aktiven Konfiguration ab. Potenzielle Übertragungen außerhalb des EWR nutzen einen Angemessenheitsbeschluss, Standardvertragsklauseln oder andere anwendbare Schutzmaßnahmen. Die versionierte Liste zeigt mögliche Regionen und allgemeine Mechanismen an, ohne sensible Konfigurationen preiszugeben.

21. Anhang VI – Aufbewahrung und Löschung

• Inhalte, Regeln, Zusammensetzungen und Konfigurationen: Vertrag, 30-Tage-Export, aktive Löschung innerhalb der folgenden 30 Tage;
• temporäre Dateien und abgebrochene Uploads: 24 Stunden;
• Anwendungsprotokolle: neunzig Tage;
• Sicherheits- und Authentifizierungsprotokolle: einhundertachtzig Tage;
• technischer Zustand und Herzschlag des Spielers: neunzig Tage;
• Von der Organisation identifizierbare Analysen: maximal dreizehn Monate;
• Support-Tickets und Anhänge: Bearbeitung dann zwölf Monate nach Abschluss;
• KI-Eingabeaufforderungen: werden nicht in Analytics oder dauerhaft gespeichert, sofern nicht ausdrücklich aufgezeichnet; redigierte technische Protokolle: maximal dreißig Tage;
• Vertrags- und Buchhaltungsnachweise: geltende gesetzliche Fristen.

Eine höhere Aufbewahrung wird nur bei Vorliegen einer rechtlichen Verpflichtung, eines Rechtsstreits oder einer dokumentierten Sperrung angewendet.

22. Anhang VII – Hilfeleistung und Zwischenfälle

A2Display unterhält ein Verfahren, das Erkennung, Klassifizierung, Eindämmung, Beweissicherung, Bewertung von Personen und Daten, Risikoanalyse, unverzügliche Benachrichtigung des Kunden, Aktualisierungen, Schließung und Rückmeldung umfasst. Börsen verwenden eine request_id und eine redigierte Registrierung.