Vertrag zur Auftragsverarbeitung

Summia verarbeitet personenbezogene Daten im Auftrag des Kunden, ausschließlich um ihm den Dienst Summia bereitzustellen. Dieser Vertrag legt die Bedingungen dieser Verarbeitung fest.

Der Vertrag gilt für die gesamte Dauer der Nutzung des Dienstes. Er endet mit ihr, vorbehaltlich der Pflichten, die über sein Ende hinaus fortgelten: Löschung der Daten (Ziffer 9 dieses Vertrags) und Vertraulichkeit.

Summia verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Diese Weisungen ergeben sich aus der Nutzung des Dienstes, seinen Einstellungen und diesem Vertrag. Ist Summia der Auffassung, dass eine Weisung gegen die DSGVO verstößt, informiert Summia den Kunden darüber.

Die Daten des Kunden werden nie verwendet, um ein KI-Modell zu trainieren, weder von Summia noch von seinen Unterauftragsverarbeitern.

Die Personen, die zum Zugriff auf die Daten befugt sind, haben sich zur Vertraulichkeit verpflichtet. Ihr Zugriff ist auf das beschränkt, was ihre Aufgabe erfordert.

Summia trifft dem Risiko angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Sie sind in Anlage 1 beschrieben und können angepasst werden, sofern das Schutzniveau dabei nie sinkt.

Der Kunde gestattet Summia, die Unterauftragsverarbeiter einzusetzen, deren Liste auf der Seite Unterauftragsverarbeiter veröffentlicht ist.

• Summia informiert den Kunden mindestens 30 Tage im Voraus über jede Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.
• Der Kunde kann aus einem berechtigten Grund, der den Datenschutz betrifft, widersprechen. Kommt keine Einigung zustande, kann er die Nutzung des Dienstes beenden.
• Summia erlegt jedem Unterauftragsverarbeiter Pflichten auf, die denen dieses Vertrags mindestens gleichwertig sind, und bleibt gegenüber dem Kunden für deren Einhaltung verantwortlich.

Summia unterstützt den Kunden nach Möglichkeit dabei,

• Anträge betroffener Personen auf Wahrnehmung ihrer Rechte zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch),
• gegebenenfalls eine Datenschutz-Folgenabschätzung durchzuführen,
• die Aufsichtsbehörde zu konsultieren, wenn dies erforderlich ist.

Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt Summia den Kunden unverzüglich, nachdem Summia davon Kenntnis erlangt hat. Die Benachrichtigung beschreibt die Art der Verletzung, ihre wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen.

Nach Ende der Nutzung des Dienstes gilt:

• Summia löscht die Daten des Kunden innerhalb von 30 Tagen;
• die Kopien in den Sicherungen verschwinden nach und nach mit deren turnusmäßiger Erneuerung, spätestens 30 Tage nach dieser Löschung;
• vor der Löschung kann der Kunde die Herausgabe seiner Daten verlangen.

Daten werden nur dann länger aufbewahrt, wenn das Gesetz es vorschreibt.

Die Daten werden in Frankreich gehostet. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb der Europäischen Union, erfolgt diese Übermittlung auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder ihrer Standardvertragsklauseln. Die Liste der Unterauftragsverarbeiter gibt für jeden den Ort der Verarbeitung an.

Summia stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde kann auf eigene Kosten, höchstens einmal pro Jahr und mit einer Vorankündigung von 30 Tagen ein Audit durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Das Audit darf weder die Sicherheit noch die Vertraulichkeit der Daten anderer Kunden gefährden.

Dieser Vertrag unterliegt französischem Recht. Für Haftung und gerichtliche Zuständigkeit gelten die Regeln der Nutzungsbedingungen.

Hosting

• Die Daten werden im Großraum Paris bei Scaleway gehostet, einem nach ISO 27001 zertifizierten französischen Hosting-Anbieter.

Datentrennung

• Jedes Konto ist innerhalb der Datenbank selbst isoliert.
• Ein Zugriff entsteht nur durch eine ausdrückliche Freigabe, die bei jeder Anfrage geprüft wird.
• Im Zweifel wird der Zugriff verweigert.

Künstliche Intelligenz

• Um eine Tabelle zu erstellen oder zu ändern, erhalten die KI-Modelle die Anfrage, die Struktur des Dokuments und einige Beispielwerte pro Spalte.
• Um eine Frage zu beantworten, erhalten sie außerdem die Zeilenbeschriftungen und eine begrenzte Anzahl bereits berechneter Ergebnisse.
• Schließlich erhalten sie die Bilder und PDFs, die einer Anfrage beigefügt sind, sowie die Aufnahmen von Diktaten.
• Es werden keine Daten zum Training verwendet.

Verschlüsselung

• Die Kommunikation wird bei der Übertragung verschlüsselt.
• Die Sicherungen sind verschlüsselt.

Authentifizierung

• Anmeldung per Passwort, Einmalcode oder Identitätsanbieter (Google, Microsoft).
• Codes sind nur begrenzte Zeit gültig und werden gehasht gespeichert.
• Eine Passwortänderung beendet alle offenen Sitzungen.

Nachvollziehbarkeit

• Jede Änderung an einem Dokument wird mit Datum in einem Verlauf gespeichert, der sich nicht nachträglich ändern lässt.
• Jede Freigabe wird protokolliert.

Sichere Entwicklung

• Der Code wird regelmäßig nach strengen Sicherheitsregeln geprüft.
• Jede Änderung durchläuft vor ihrer Veröffentlichung eine Reihe automatisierter Tests.

Interne Zugriffe

• Der Zugriff auf die Produktivsysteme ist auf die Personen beschränkt, die ihn benötigen.

Die aktuelle Liste ist auf der Seite Unterauftragsverarbeiter veröffentlicht.