Accordo sul trattamento dei dati (DPA)

Riepilogo in italiano

• Loomira (gestito da Staqmind UG, haftungsbeschränkt) tratta per suo conto, in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR, i dati di chi chiama e di chi le scrive tramite i canali di chat collegati; lei resta il titolare del trattamento.
• Il trattamento avviene nell’UE: l’applicazione e i suoi dati sono ospitati nella regione AWS eu-central-1 (Francoforte sul Meno, Germania). Singoli sub-responsabili possono trattare dati al di fuori dell’UE; l’allegato 2 indica per ciascuno ubicazione e base giuridica del trasferimento. I trasferimenti verso paesi terzi avvengono soltanto con le garanzie del capo V GDPR (decisioni di adeguatezza o clausole contrattuali tipo dell’UE, con valutazioni d’impatto sul trasferimento per i fornitori con società madre statunitense).
• I sub-responsabili sono impiegati in base a un’autorizzazione generale; l’elenco aggiornato è pubblico, le modifiche vengono annunciate in anticipo in forma testuale e lei può opporsi per giustificati motivi di protezione dei dati.
• L’audio delle chiamate non viene mai conservato; le trascrizioni e il numero di chi chiama conservato per i richiami vengono anonimizzati dopo 30 giorni, e per le statistiche e il riconoscimento di chi chiama si usa solo un hash con salt del numero. I contenuti dei messaggi in chat vengono cancellati dopo 30 giorni; i contatti della chat vengono conservati solo come hash con salt. I suoi dati non vengono mai utilizzati per addestrare modelli di AI, per analisi incrociate tra clienti né per il nostro marketing.
• Gli allegati riguardano l’oggetto, le categorie di dati (compresi i messaggi in chat e i dati provenienti dai sistemi che lei collega, come calendari e contatti CRM) e il concetto di cancellazione (allegato 1), l’elenco dei sub-responsabili (allegato 2) e le misure tecniche e organizzative (allegato 3).

§ 1 Parteien, Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag (AGB der Staqmind UG (haftungsbeschränkt) für die SaaS-Lösung „Loomira").

Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; die Staqmind UG (haftungsbeschränkt), Gilgaustraße 36, 51149 Köln (Amtsgericht Köln, HRB 127739), vertreten durch die Geschäftsführer Mirko Rossbach und Montassar Zaroui, ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags; eine isolierte Kündigung des AVV ist ausgeschlossen. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

§ 2 Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt: Anwendung und Daten laufen in der AWS-Region eu-central-1 (Frankfurt am Main, Deutschland). Einzelne Unterauftragsverarbeiter können Daten außerhalb der EU verarbeiten; diese sind in Anlage 2 mit ihrem Standort und der jeweiligen Übermittlungsgrundlage ausgewiesen.

Eine Übermittlung in Drittländer erfolgt nur, soweit die Voraussetzungen von Kapitel V DSGVO erfüllt sind (Angemessenheitsbeschluss — einschließlich EU-US Data Privacy Framework — oder EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914). Für Anbieter mit US-Muttergesellschaft hält der Auftragsverarbeiter EU-Standardvertragsklauseln als dauerhafte Rückfallebene vor und führt ergänzende Prüfungen (Transfer Impact Assessment) durch.

§ 3 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die vom Kunden in der Software vorgenommene Konfiguration gilt als Weisung; weitergehende Weisungen sind in Textform an datenschutz@loomira.ai zu richten.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Pflicht besteht auch nach Beendigung des Vertrags fort.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen. Er darf sie an den Stand der Technik anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Die jeweils aktuelle Liste ist öffentlich unter loomira.ai abrufbar.

Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) kündigt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform an. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen; im Fall eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Unterauftragsverarbeiter sind vertraglich daran gehindert, die Daten für eigene Zwecke zu verwenden — insbesondere nicht für das Training von KI-Modellen.

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).

Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO).

§ 8 Automatisierte Entscheidungen (Art. 22 DSGVO)

Soweit der Assistent Terminanfragen automatisiert annimmt oder ablehnt, erfolgt dies für den Verantwortlichen zur Erfüllung bzw. Anbahnung eines Vertrags mit der betroffenen Person (Art. 22 Abs. 2 lit. a DSGVO). Der Verantwortliche stellt die Schutzmaßnahmen nach Art. 22 Abs. 3 DSGVO sicher (insbesondere Erreichbarkeit für eine menschliche Bearbeitung); der Auftragsverarbeiter unterstützt ihn hierbei technisch.

§ 9 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie in einem strukturierten, gängigen und maschinenlesbaren Format zurück, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

Trifft der Verantwortliche innerhalb von 30 Tagen nach Vertragsende keine Wahl, werden die Daten gelöscht. Das im laufenden Betrieb geltende Löschkonzept ergibt sich aus Anlage 1.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, jeweils nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO).

§ 11 Keine Verarbeitung zu eigenen Zwecken

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich für den Verantwortlichen (Art. 28 Abs. 10 DSGVO). Er nutzt sie insbesondere nicht für das Training von KI-Modellen, nicht für mandantenübergreifende Auswertungen und nicht für eigenes Marketing.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags. Es gilt das Recht der Bundesrepublik Deutschland.

§ 13 Elektronischer Abschluss

Dieser AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Kunde akzeptiert ihn im Rahmen der Registrierung als Bestandteil der AGB; die akzeptierte Fassung (Version und Stand) wird protokolliert.

Maßgeblich ist die deutsche Fassung dieses Vertrags.

Allegato 1 — Oggetto, categorie di dati e concetto di cancellazione

Per aiutare i titolari del trattamento ad adempiere agli obblighi di informazione nei confronti di chi chiama (art. 13 GDPR), il responsabile del trattamento mette a disposizione un modello: Informativa privacy per chi chiama (modello)

Allegato 2 — Sub-responsabili

• Amazon Web Services EMEA SARL — Hosting cloud: capacità di calcolo (ECS Fargate, EC2), database (Aurora PostgreSQL), cache, archiviazione, crittografia (AWS KMS), logging e monitoraggio (Regione eu-central-1 (Francoforte sul Meno, Germania))
• Google Cloud EMEA Limited — Inferenza AI tramite Vertex AI: modello linguistico (Gemini) per le risposte a chiamate e messaggi, ed embedding per la base di conoscenza (Vertex AI: multiregione UE (modello linguistico) e regione europe-west1, Belgio (embedding))
• Soniox, Inc. — Riconoscimento vocale (speech-to-text) per l’assistente telefonico AI (Endpoint UE (trattamento nell’UE))
• ElevenLabs, Inc. — Sintesi vocale (text-to-speech) — viene trattato soltanto il testo della risposta pronunciata (Endpoint API globale — è possibile un trattamento anche al di fuori dell’UE (USA); è previsto il passaggio all’endpoint con residenza dei dati nell’UE)
• Telnyx Ireland Limited — Telefonia: numeri di telefono, instradamento delle chiamate (SIP) (UE (Francoforte); endpoint API nell’UE)
• Stripe Payments Europe, Ltd. — Elaborazione dei pagamenti e fatturazione (Dublino, Irlanda (possibili trasferimenti verso gli USA))
• Scaleway SAS — E-mail transazionali (ad es. conferma dell’account, fatture) (Parigi, Francia (regione fr-par))

L’elenco aggiornato, con finalità, ubicazione e base giuridica per i trasferimenti verso paesi terzi, è consultabile pubblicamente: Elenco dei sub-responsabili

Allegato 3 — Misure tecniche e organizzative (art. 32 GDPR)

• Verschlüsselte Übertragung (TLS) für alle Verbindungen
• Hosting in EU-Rechenzentren (AWS-Region eu-central-1, Frankfurt am Main); EU-Endpunkte für Spracherkennung, Sprachmodell und Telefonie — Abweichungen sind in Anlage 2 ausgewiesen
• Verschlüsselung gespeicherter Daten (AWS KMS)
• Rollenbasierte Zugriffe nach dem Need-to-know-Prinzip mit Mehr-Faktor-Anmeldung
• Gesalzene Hashes statt Klartext-Rufnummern für die Wiedererkennung von Anrufenden und die Zuordnung von Chat-Kontakten
• Datenminimierung: An die Sprachausgabe geht nur der Antworttext; Anruf-Audio wird nicht gespeichert
• Keine Speicherung von Zahlungsdaten — Kartendaten verarbeitet ausschließlich Stripe (PCI-DSS)
• Regelmäßige Sicherheitsupdates; automatisierte Sicherheitsprüfungen in der CI-Pipeline
• Dokumentierter Prozess für Sicherheitsvorfälle einschließlich Meldung nach Art. 33 DSGVO