Contrato de encargo del tratamiento (DPA)

Resumen en español

• Loomira (operado por Staqmind UG, haftungsbeschränkt) trata por cuenta suya, como encargado del tratamiento conforme al art. 28 RGPD, los datos de quienes llaman y de quienes le escriben a través de los canales de chat conectados; usted sigue siendo el responsable del tratamiento.
• El tratamiento se realiza en la UE: la aplicación y sus datos se alojan en la región de AWS eu-central-1 (Fráncfort del Meno, Alemania). Algunos subencargados pueden tratar datos fuera de la UE; el anexo 2 indica la ubicación y la base de la transferencia de cada uno. Las transferencias a terceros países solo se realizan con las garantías del capítulo V del RGPD (decisiones de adecuación o cláusulas contractuales tipo de la UE, con evaluaciones de impacto de las transferencias en el caso de proveedores con matriz estadounidense).
• Los subencargados se contratan en virtud de una autorización general; la lista actualizada es pública, los cambios se anuncian con antelación en forma de texto y usted puede oponerse por motivos justificados de protección de datos.
• El audio de las llamadas nunca se almacena; las transcripciones y el número de quien llama guardado para devolver la llamada se anonimizan a los 30 días, y para las estadísticas y el reconocimiento de quienes llaman solo se usa un hash con sal del número. El contenido de los mensajes de chat se elimina a los 30 días; los contactos de chat solo se almacenan como hashes con sal. Sus datos nunca se utilizan para entrenar modelos de IA, para análisis cruzados entre clientes ni para nuestro propio marketing.
• Los anexos recogen el objeto, las categorías de datos (incluidos los mensajes de chat y los datos de los sistemas que usted conecte, como calendarios y contactos de CRM) y el concepto de supresión (anexo 1), la lista de subencargados (anexo 2) y las medidas técnicas y organizativas (anexo 3).

§ 1 Parteien, Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag (AGB der Staqmind UG (haftungsbeschränkt) für die SaaS-Lösung „Loomira").

Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; die Staqmind UG (haftungsbeschränkt), Gilgaustraße 36, 51149 Köln (Amtsgericht Köln, HRB 127739), vertreten durch die Geschäftsführer Mirko Rossbach und Montassar Zaroui, ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags; eine isolierte Kündigung des AVV ist ausgeschlossen. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

§ 2 Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt: Anwendung und Daten laufen in der AWS-Region eu-central-1 (Frankfurt am Main, Deutschland). Einzelne Unterauftragsverarbeiter können Daten außerhalb der EU verarbeiten; diese sind in Anlage 2 mit ihrem Standort und der jeweiligen Übermittlungsgrundlage ausgewiesen.

Eine Übermittlung in Drittländer erfolgt nur, soweit die Voraussetzungen von Kapitel V DSGVO erfüllt sind (Angemessenheitsbeschluss — einschließlich EU-US Data Privacy Framework — oder EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914). Für Anbieter mit US-Muttergesellschaft hält der Auftragsverarbeiter EU-Standardvertragsklauseln als dauerhafte Rückfallebene vor und führt ergänzende Prüfungen (Transfer Impact Assessment) durch.

§ 3 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die vom Kunden in der Software vorgenommene Konfiguration gilt als Weisung; weitergehende Weisungen sind in Textform an datenschutz@loomira.ai zu richten.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Pflicht besteht auch nach Beendigung des Vertrags fort.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen. Er darf sie an den Stand der Technik anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Die jeweils aktuelle Liste ist öffentlich unter loomira.ai abrufbar.

Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) kündigt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform an. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen; im Fall eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Unterauftragsverarbeiter sind vertraglich daran gehindert, die Daten für eigene Zwecke zu verwenden — insbesondere nicht für das Training von KI-Modellen.

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).

Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO).

§ 8 Automatisierte Entscheidungen (Art. 22 DSGVO)

Soweit der Assistent Terminanfragen automatisiert annimmt oder ablehnt, erfolgt dies für den Verantwortlichen zur Erfüllung bzw. Anbahnung eines Vertrags mit der betroffenen Person (Art. 22 Abs. 2 lit. a DSGVO). Der Verantwortliche stellt die Schutzmaßnahmen nach Art. 22 Abs. 3 DSGVO sicher (insbesondere Erreichbarkeit für eine menschliche Bearbeitung); der Auftragsverarbeiter unterstützt ihn hierbei technisch.

§ 9 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie in einem strukturierten, gängigen und maschinenlesbaren Format zurück, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

Trifft der Verantwortliche innerhalb von 30 Tagen nach Vertragsende keine Wahl, werden die Daten gelöscht. Das im laufenden Betrieb geltende Löschkonzept ergibt sich aus Anlage 1.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, jeweils nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO).

§ 11 Keine Verarbeitung zu eigenen Zwecken

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich für den Verantwortlichen (Art. 28 Abs. 10 DSGVO). Er nutzt sie insbesondere nicht für das Training von KI-Modellen, nicht für mandantenübergreifende Auswertungen und nicht für eigenes Marketing.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags. Es gilt das Recht der Bundesrepublik Deutschland.

§ 13 Elektronischer Abschluss

Dieser AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Kunde akzeptiert ihn im Rahmen der Registrierung als Bestandteil der AGB; die akzeptierte Fassung (Version und Stand) wird protokolliert.

Maßgeblich ist die deutsche Fassung dieses Vertrags.

Anexo 1 — Objeto, categorías de datos y concepto de supresión

Para ayudar a los responsables del tratamiento a cumplir su deber de información frente a quienes llaman (art. 13 RGPD), el encargado del tratamiento pone a su disposición un modelo: Información de privacidad para quienes llaman (modelo)

Anexo 2 — Subencargados

• Amazon Web Services EMEA SARL — Alojamiento en la nube: capacidad de cómputo (ECS Fargate, EC2), bases de datos (Aurora PostgreSQL), caché, almacenamiento, cifrado (AWS KMS), registro y monitorización (Región eu-central-1 (Fráncfort del Meno, Alemania))
• Google Cloud EMEA Limited — Inferencia de IA mediante Vertex AI: modelo de lenguaje (Gemini) para las respuestas a llamadas y mensajes, y embeddings para la base de conocimiento (Vertex AI: multirregión de la UE (modelo de lenguaje) y región europe-west1, Bélgica (embeddings))
• Soniox, Inc. — Reconocimiento de voz (speech-to-text) para el asistente telefónico con IA (Endpoint de la UE (tratamiento en la UE))
• ElevenLabs, Inc. — Síntesis de voz (text-to-speech) — solo se trata el texto de la respuesta hablada (Endpoint de API global — es posible un tratamiento también fuera de la UE (EE. UU.); está previsto el cambio al endpoint con residencia de datos en la UE)
• Telnyx Ireland Limited — Telefonía: números de teléfono, enrutamiento de llamadas (SIP) (UE (Fráncfort); endpoints de API en la UE)
• Stripe Payments Europe, Ltd. — Procesamiento de pagos y facturación (Dublín, Irlanda (posibles transferencias a EE. UU.))
• Scaleway SAS — Correos electrónicos transaccionales (p. ej., confirmación de la cuenta, facturas) (París, Francia (región fr-par))

La lista actualizada, con finalidad, ubicación y base para las transferencias a terceros países, está disponible públicamente: Lista de subencargados

Anexo 3 — Medidas técnicas y organizativas (art. 32 RGPD)

• Verschlüsselte Übertragung (TLS) für alle Verbindungen
• Hosting in EU-Rechenzentren (AWS-Region eu-central-1, Frankfurt am Main); EU-Endpunkte für Spracherkennung, Sprachmodell und Telefonie — Abweichungen sind in Anlage 2 ausgewiesen
• Verschlüsselung gespeicherter Daten (AWS KMS)
• Rollenbasierte Zugriffe nach dem Need-to-know-Prinzip mit Mehr-Faktor-Anmeldung
• Gesalzene Hashes statt Klartext-Rufnummern für die Wiedererkennung von Anrufenden und die Zuordnung von Chat-Kontakten
• Datenminimierung: An die Sprachausgabe geht nur der Antworttext; Anruf-Audio wird nicht gespeichert
• Keine Speicherung von Zahlungsdaten — Kartendaten verarbeitet ausschließlich Stripe (PCI-DSS)
• Regelmäßige Sicherheitsupdates; automatisierte Sicherheitsprüfungen in der CI-Pipeline
• Dokumentierter Prozess für Sicherheitsvorfälle einschließlich Meldung nach Art. 33 DSGVO