Dieser Auftragsverarbeitungsvertrag („DPA“) ergänzt die Allgemeinen Geschäftsbedingungen von ARIA und gilt immer dann, wenn ARIA personenbezogene Daten in Ihrem Auftrag (im Auftrag des Kundenunternehmens) gemäß Art. 28 DSGVO verarbeitet.
1. Rollen
Sie (das Kundenunternehmen) sind der Verantwortliche (data controller) für die Daten Ihrer Kunden, die mit ARIA interagieren. Wir (Annapolis Tour S.R.L., die den Dienst ARIA betreibt) sind der Auftragsverarbeiter (data processor), der diese Daten ausschließlich nach Ihren Weisungen und nach diesen Bedingungen verarbeitet.
2. Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten ausschließlich, um Ihnen den Dienst ARIA zu liefern: um Nachrichten Ihrer Kunden entgegenzunehmen, in Ihrem Namen zu antworten, den Kontext der Gespräche zu bewahren, sensible Fälle an Ihr Team zu eskalieren und Ihnen aggregierte Nutzungsberichte zur Verfügung zu stellen.
3. Datenkategorien
Wir verarbeiten die folgenden Kategorien personenbezogener Daten Ihrer Kunden:
| Kategorie | Beispiele |
|---|---|
| Identifikationsdaten | Name, Vorname (sofern angegeben) |
| Kontaktdaten | Telefonnummer, E-Mail |
| Inhalt der Gespräche | Textnachrichten, Sprachtranskripte, Anhänge |
| Metadaten | Zeitpunkt der Nachricht, Kanal, erkannte Sprache |
| Transaktionskontext | Für Ihr Unternehmen spezifische Angaben (Reservierungen, Termine usw.) |
4. Dauer der Verarbeitung
Die Dauer der Verarbeitung entspricht der Laufzeit Ihres Vertrags mit uns. Bei Beendigung werden die Daten spätestens innerhalb von 30 Tagen aus unseren Systemen gelöscht oder Ihnen in einem Standardformat zurückgegeben, je nachdem, was Sie verlangen.
5. Unterauftragsverarbeiter
Wir setzen die folgenden Unterauftragsverarbeiter ein. Die Liste kann mit einer Vorankündigung von 14 Tagen aktualisiert werden.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Contabo GmbH | Hosting (Server, Infrastruktur) | Lauterbourg, Frankreich (EU) |
| Mistral AI SAS | Sprachmodell (Verarbeitung der Nachrichten), über einen Proxy mit Opt-out von der Speicherung | Frankreich (EU) |
| Soniox Inc. | Transkription der Sprache in Text, bei Telefonanrufen | Europäischer Zugangspunkt (EU) |
| ElevenLabs Inc. | Synthese der Stimme von ARIA, bei Telefonanrufen | USA (SCCs) |
| Telnyx LLC | Transport der Telefonanrufe (Nummern und Konnektivität) | USA (SCCs) |
| Meta Platforms Ireland Ltd. | WhatsApp-Konnektivität (der Nachrichtenkanal) | Irland (EU) / USA (SCCs) |
Alle Unterauftragsverarbeiter sind durch Verträge mit Standardvertragsklauseln (SCCs) abgedeckt, soweit diese anwendbar sind.
6. Sicherheitsmaßnahmen
Wir wenden technische und organisatorische Maßnahmen an, die auf der Seite Sicherheit beschrieben sind: Verschlüsselung mit TLS 1.3 bei der Übertragung, AES-256 im Ruhezustand, kontrollierter Zugang zu den Produktionssystemen, Authentifizierung mit Hardware, wöchentliches Audit.
7. Unterstützung für Sie
Wir helfen Ihnen, auf die Anfragen Ihrer Kunden zu antworten, die ihre Rechte nach der DSGVO ausüben. Wenn ein Kunde von Ihnen die Löschung oder den Export seiner Daten verlangt, können wir das innerhalb von höchstens 5 Werktagen ab Ihrer Anfrage erledigen.
8. Meldung von Vorfällen
Wir informieren Sie über jede Verletzung der Sicherheit, die Ihre Daten betrifft, spätestens innerhalb von 72 Stunden ab dem Moment, in dem wir sie feststellen, gemäß Art. 33 DSGVO.
9. Audit
Auf schriftliche Anfrage mit 30 Tagen Vorlauf gestatten wir Ihnen (oder einem akkreditierten externen Prüfer), unsere Praktiken der Datenverarbeitung zu prüfen. Die Kosten des Audits tragen Sie, außer in dem Fall, dass das Audit wesentliche Probleme aufdeckt.
10. Datenübermittlung außerhalb der EU
Ihre Daten werden zur Speicherung nicht außerhalb der EU übermittelt; das Hosting und die sprachliche Verarbeitung (Mistral AI) finden in der Europäischen Union statt, ebenso die Transkription der Sprache (Soniox, über dessen europäischen Zugangspunkt). Für die Sprachsynthese (ElevenLabs), für den Transport der Telefonanrufe (Telnyx) und für die WhatsApp-Konnektivität können bestimmte Anbieter Daten auch in den USA verarbeiten, abgedeckt durch Standardvertragsklauseln (SCCs). Die Telefonie wird für ein Unternehmen nur auf dessen eigenen Wunsch aktiviert; wenn Sie also keine Telefonanrufe nutzen, gelten die mit der Stimme verbundenen Übermittlungen nicht.
11. Änderungen
Änderungen dieses DPA gelten mit einer Mitteilung mindestens 30 Tage im Voraus. Die aktuelle Fassung ist im Kopf der Seite datiert.
12. Kontakt
Bei allen Fragen zur Verarbeitung von Daten: [email protected].
Übersetzung
Diese Seite ist eine deutsche Übersetzung des rumänischen Originals. Bei Abweichungen zwischen den beiden Fassungen ist die rumänische Fassung unter ariaknows.com/dpa maßgeblich.