1. Einführung
Dieser Datenverarbeitungszusatz („DPA“) ist Teil der Vereinbarung zwischen Ihnen („Kunde“) und Getia AS („Auftragsverarbeiter“) für die Nutzung der Portifer-Dienste.
2. Definitionen
- Personal Data: Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen
- Processing: Verarbeitung: Jeder Vorgang, der mit personenbezogenen Daten durchgeführt wird
- Controller: Verantwortlicher: Die Stelle, die die Zwecke und Mittel der Verarbeitung bestimmt
- Processor: Auftragsverarbeiter: Das Unternehmen, das personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet
3. Umfang der Verarbeitung
Der Auftragsverarbeiter muss:
- Verarbeiten Sie personenbezogene Daten nur auf dokumentierte Weisung des Kunden
- Stellen Sie sicher, dass Personen, die Daten verarbeiten, der Geheimhaltungspflicht unterliegen
- Setzen Sie geeignete technische und organisatorische Sicherheitsmaßnahmen um
- Unterstützen Sie den Kunden bei der Beantwortung von Anfragen betroffener Personen
- Bei Beendigung der Dienste alle personenbezogenen Daten löschen oder zurückgeben
4. Unterauftragsverarbeiter
Der Kunde ermächtigt den Auftragsverarbeiter, Unterauftragsverarbeiter zu beauftragen, wie in der aufgeführt Liste der Unterauftragsverarbeiter.
5. Sicherheitsmaßnahmen
- Verschlüsselung bei der Übertragung: Der Dienst wird ausschließlich über HTTPS mit HTTP Strict Transport Security bereitgestellt.
- Verschlüsselung gespeicherter Zugangsdaten: API-Zugangsdaten von Versanddienstleistern, CRM-Token und Schlüssel des Druckdienstes werden auf Anwendungsebene mit AES-256-GCM verschlüsselt. Sonstige gespeicherte Daten sind durch die Sicherheitskontrollen der Unterauftragsverarbeiter für Hosting und Speicherung geschützt.
- Hashing: API-Schlüssel von Kunden werden ausschließlich als Hashwerte gespeichert, und Benutzerpasswörter werden mit bcrypt gehasht.
- Zugriffskontrolle: rollenbasierter Zugriff je Kundenorganisation, optionale Zwei-Faktor-Authentifizierung (TOTP), Ablauf von Sitzungen mit zentralem Widerruf sowie Ratenbegrenzung mit vorübergehender Sperre nach wiederholt fehlgeschlagenen Anmeldeversuchen.
- Protokollierung: Sicherheitsrelevante administrative Handlungen, Anmeldungen und Zugriffe von Mitarbeitern auf Kundenkonten werden in Audit-Protokollen erfasst.
- Integrationen: Ausgehende Webhooks werden mit HMAC-SHA256 signiert, und Anfragen an interne Netzwerkadressen werden blockiert.
- Verletzungen des Schutzes personenbezogener Daten werden gemäß Abschnitt 6 behandelt und gemeldet.
6. Benachrichtigung über Datenschutzverletzungen
Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Kunden innerhalb von 72 Stunden.
7. Kontakt
Bei Fragen zur Datenverarbeitung kontaktieren Sie uns bitte unter [email protected]
Unternehmen: Getia AS (Org.-Nr.: 926 610 198)
Adresse: Bei Mesh, Møllergata 6, 0179 Oslo, Norwegen