Ihre Daten, Ihre Regeln

Diese Zusatzvereinbarung besteht zwischen Ihrer Organisation und Atheron Network Inc., ein in British Columbia, Kanada gegründetes Unternehmen.

Sie ist Teil unseres Rahmenvertrags über Dienstleistungen und gilt immer dann, wenn wir personenbezogene Daten in Ihrem Auftrag verarbeiten: beim Bauen, Testen, Hosten, Betreuen oder Betreiben von Software, die sie enthält, oder bei der Arbeit mit Daten, die Sie uns geben.

Informationen, die wir für eigene Zwecke erheben, etwa die Konten Ihrer Leute im Kundenportal, unsere Nachrichten mit Ihnen und Ihre Rechnungen, regeln unser Datenschutzhinweis und die Datenschutzseite des Kundenportals, nicht diese Zusatzvereinbarung.

Sie sind die Organisation, die über die personenbezogenen Daten bestimmt: nach der DSGVO der Verantwortliche; nach dem Recht von Quebec das Unternehmen, das sie hält und sie uns aufgrund eines Vertrags übermittelt. Wir sind Ihr Dienstleister, nach der DSGVO Ihr Auftragsverarbeiter.

Wir verarbeiten die Informationen nur, um die Leistungen in Ihren Leistungsbeschreibungen zu erbringen, und nur nach Ihren dokumentierten Anweisungen: dieser Zusatzvereinbarung, dem Rahmenvertrag, Ihren Leistungsbeschreibungen und dem, was eine verantwortliche Person Ihrer Organisation im Kundenportal von uns verlangt. Halten wir eine Anweisung für rechtswidrig, sagen wir es Ihnen und müssen ihr nicht folgen.

Sie sind dafür verantwortlich, eine Rechtsgrundlage für die Informationen zu haben, für das, was Ihr eigener Datenschutzhinweis den Menschen sagt, und für die Anweisungen, die Sie geben.

Zugang erhalten nur Menschen, die ihn für die Arbeit brauchen, und nur so weit, wie diese Arbeit ihn braucht. Jeder, der Ihre Informationen erreichen kann, ist zur Vertraulichkeit verpflichtet. Zugang wird nach Rolle vergeben und festgehalten.

Wir schützen Ihre Informationen mit Maßnahmen, die zu ihrer Sensibilität passen, darunter:

• Verschlüsselung bei der Übertragung überall und im Ruhezustand für Datenbanken, Sicherungen und Dateien;
• jeder Dienst meldet sich mit einer eigenen Anmeldung bei seiner Datenbank an und kann nur tun, was er braucht;
• Zugriff nach Rolle, mit Vergaben und Änderungen in einem Prüfprotokoll festgehalten, und eine erneute Prüfung bei der Anmeldung für sensible Aktionen;
• Server alle 8 Stunden per Snapshot gesichert und Datenbanken gesichert, mit rotierenden Kopien;
• Sicherheitsupdates jede Nacht auf die Server eingespielt und Abhängigkeiten auf Sicherheitshinweise geprüft;
• eine schriftliche Aufbewahrungsfrist für jede Art personenbezogener Daten, durch Code angewandt;
• Tests, Reviews und Änderungskontrolle, bevor etwas ausgeliefert wird, wie unsere Sicherheitsseite beschreibt.

Wir überprüfen diese Maßnahmen, wenn sich unsere Leistungen und die Risiken ändern, und senken ihr Gesamtniveau während einer Leistungsbeschreibung nie.

Sie erlauben diesen Diensten, uns bei der Verarbeitung Ihrer Informationen zu helfen, jedem nur für den genannten Zweck:

Wählt Ihre Leistungsbeschreibung einen anderen Hosting-Anbieter (Amazon Web Services, Google Cloud, Microsoft Azure, Hetzner oder Vultr) oder einen Dienst, von dem Ihr Produkt abhängt (etwa für Nachrichten, Karten oder Zahlungen), ist dieser Anbieter ab dem Tag der Unterschrift der Leistungsbeschreibung ein Unterauftragsverarbeiter für Ihr Projekt, in der Region, die die Leistungsbeschreibung nennt. Nutzt Ihr Produkt einen Dienst unter Ihrem eigenen Konto, arbeitet dieser Anbieter für Sie, nicht für uns.

Wir geben personenbezogene Daten, über die Sie bestimmen, in keinen anderen Dienst. Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag gebunden, der Ihre Informationen mindestens so gut schützt wie diese Zusatzvereinbarung, und wir bleiben für seine Arbeit verantwortlich.

Wir informieren die verantwortlichen Personen Ihrer Organisation mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Sie können aus vernünftigen Gründen widersprechen. Können wir dem Widerspruch nicht abhelfen, können Sie den betroffenen Dienst ohne Vertragsstrafe beenden.

Ihre Informationen bleiben standardmäßig in Kanada. Sie verlassen Kanada nur über die oben genannten Unterauftragsverarbeiter, an den genannten Orten, oder wie Ihre Leistungsbeschreibung es anweist. Informationen, die außerhalb Kanadas gehalten werden, unterliegen den Gesetzen des Landes, in dem sie gehalten werden.

Nach Quebecs Gesetz 25 müssen Sie die Auswirkungen auf den Datenschutz bewerten, bevor Informationen über Menschen in Quebec außerhalb Quebecs übermittelt werden. Wir geben Ihnen kostenlos die Informationen über unsere Unterauftragsverarbeiter und Schutzmaßnahmen, die die Bewertung braucht.

Wo die DSGVO oder die britische DSGVO gilt, deckt der Angemessenheitsbeschluss für Kanada Übermittlungen an uns, und Weiterübermittlungen an einen Unterauftragsverarbeiter außerhalb Kanadas stützen sich auf die Garantien, die er bietet, etwa das EU-U.S. Data Privacy Framework oder die Standardvertragsklauseln der Europäischen Kommission.

Bittet uns jemand direkt, seine Informationen einzusehen, zu berichtigen, zu übertragen oder zu löschen, geben wir die Anfrage innerhalb von 5 Werktagen an Sie weiter und beantworten sie nicht selbst, außer Sie sagen es uns. Wir helfen Ihnen, Anfragen zu beantworten, soweit die Leistungen es erlauben.

Erfahren wir von einer Sicherheitsverletzung, die Ihre Informationen betrifft, nach dem Recht von Quebec ein Vertraulichkeitsvorfall, informieren wir Sie ohne unangemessene Verzögerung und spätestens 72 Stunden, nachdem wir davon erfahren haben. Wir sagen Ihnen, was geschehen ist, welche Informationen und wie viele Menschen nach unserem Wissen betroffen sind, was wir getan haben und tun werden und an wen Sie sich wenden können. Was wir später erfahren, schicken wir nach, sobald wir es erfahren.

Wir ergreifen sofort angemessene Schritte, um den Schaden zu verringern und eine Wiederholung zu verhindern, und wir helfen Ihnen, das Risiko eines ernsthaften Schadens zu bewerten, Ihr Verzeichnis der Vorfälle zu führen und die Aufsichtsbehörden und Menschen zu benachrichtigen, die Sie nach dem Gesetz benachrichtigen müssen. Wir benachrichtigen sie nicht selbst für Sie, außer Sie bitten uns darum oder das Gesetz verlangt es.

Wir geben Ihnen die Informationen, die Sie vernünftigerweise brauchen, um zu zeigen, dass diese Zusatzvereinbarung eingehalten wird, und um eine Datenschutz-Folgenabschätzung durchzuführen.

Einmal im Jahr oder nach einer Verletzung können Sie unsere Einhaltung selbst prüfen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer prüfen lassen, mit einer Frist von 30 Tagen, während der Geschäftszeiten, auf Ihre Kosten und ohne Zugriff auf Informationen anderer Kunden.

Endet eine Leistung, geben wir Ihre Informationen auf Wunsch in einem gängigen Format zurück und löschen sie innerhalb von 30 Tagen aus unseren Systemen. Kopien in Sicherungen werden gelöscht, wenn die Sicherungen herausrotieren. Wir bewahren Informationen nur auf, wo das Gesetz es von uns verlangt, und schützen sie dann nach dieser Zusatzvereinbarung, solange wir sie aufbewahren.

Diese Zusatzvereinbarung ist so geschrieben, dass sie dem Personal Information Protection and Electronic Documents Act genügt, Quebecs Act respecting the protection of personal information in the private sector in der durch Gesetz 25 geänderten Fassung und, wo sie gelten, Artikel 28 der DSGVO und der britischen DSGVO. Widerspricht sie einem anderen Dokument zwischen uns, geht diese Zusatzvereinbarung bei personenbezogenen Daten vor.

Für dieses Dokument gelten die Gesetze von British Columbia, Kanada und die dort anwendbaren Bundesgesetze Kanadas. Zuständig für Streitfälle sind die Gerichte von British Columbia, Kanada.

Schreiben Sie uns zu personenbezogenen Daten an privacy@aton-network.org.

Melden Sie ein Sicherheitsproblem an security@aton-network.org.

Diese Zusatzvereinbarung wird auf Englisch und auf Französisch veröffentlicht. Beide Fassungen sind gleichermaßen maßgeblich. Diese deutsche Übersetzung ist eine Serviceleistung: Bei Abweichungen gilt die englische Fassung.