Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) gilt, wenn ein Unternehmen oder eine andere Organisation („Kunde“) Fips nutzt, zum Beispiel mit einem Team-Plan, und die T2MA Labs LLC („T2MA Labs“, „wir“, „uns“) dabei personenbezogene Daten im Auftrag des Kunden verarbeitet. Er ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden und T2MA Labs. Für einzelne Nutzer gilt stattdessen unsere Datenschutzerklärung.

1. Rollen

Der Kunde ist Verantwortlicher für die personenbezogenen Daten, die er oder seine Nutzer in Fips eingeben, und T2MA Labs ist sein Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter, ist T2MA Labs sein Unterauftragsverarbeiter. Für Daten, die wir für eigene Zwecke verarbeiten, etwa Kontoverwaltung, Abrechnung, Sicherheit und rechtliche Pflichten, sind wir nach unserer Datenschutzerklärung eigenständiger Verantwortlicher.

2. Einzelheiten der Verarbeitung

• Gegenstand: Bereitstellung von Fips für den Kunden.
• Dauer: für die Laufzeit des Abonnements des Kunden und bis zur Löschung nach Abschnitt 9.
• Art und Zweck: Hosting, Speicherung, Synchronisierung und Auswertung von Trading-Daten; Verwaltung von Nutzerkonten; Versand von Benachrichtigungen; Support.
• Arten personenbezogener Daten: Namen und E-Mail-Adressen, Kontokennungen, Trading-Daten (Trades, Trading-Konten, Kontostände, Notizen, Screenshots), Angaben zu verbundenen Konten, Geräte- und Nutzungsdaten sowie Support-Nachrichten.
• Betroffene Personen: die berechtigten Nutzer des Kunden, etwa Beschäftigte, Mitglieder oder Trader.
• Besondere Kategorien personenbezogener Daten: Ihre Verarbeitung ist nicht vorgesehen.

3. Unsere Pflichten

Wir werden:

• personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten, die sich aus diesem AVV, den Nutzungsbedingungen sowie der Nutzung und den Einstellungen des Dienstes durch den Kunden ergibt, und den Kunden informieren, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt;
• sicherstellen, dass alle zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
• die in Abschnitt 6 genannten Sicherheitsmaßnahmen gemäß Artikel 32 DSGVO umsetzen;
• den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und der Konsultation von Aufsichtsbehörden unterstützen;
• den Kunden unverzüglich benachrichtigen, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundendaten betrifft, und ihm die Informationen bereitstellen, die er zur Erfüllung seiner eigenen Pflichten benötigt;
• die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung stellen und angemessene Überprüfungen nach angemessener vorheriger Ankündigung ermöglichen.

4. Pflichten des Kunden

Der Kunde ist dafür verantwortlich, dass für die Verarbeitung eine Rechtsgrundlage besteht, dass er seinen Nutzern alle erforderlichen Informationen erteilt und dass seine Weisungen rechtmäßig sind. Der Kunde wird Fips nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten nutzen.

5. Unterauftragsverarbeiter

Der Kunde erteilt uns eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Unsere derzeitigen Unterauftragsverarbeiter sind:

• Cloudflare: Hosting der Websites und der API, Datenbank, Dateispeicher und Sicherheit.
• Resend: transaktionale E-Mails.
• Google: Firebase Cloud Messaging zur Zustellung von Push-Benachrichtigungen und die Gemini API zum Entwerfen von Support-Antworten (nur für Support-Gespräche).
• Sentry: Absturzberichte aus der mobilen App.
• PostHog: Produktanalyse in der mobilen App.
• RevenueCat: Abonnementstatus für Käufe in der mobilen App.
• Unser Zahlungsdienstleister: Zahlungen im Web; er kann als Merchant of Record auftreten.
• Cloud-Server-Anbieter: hostet unseren selbst betriebenen Support-Chat (Chatwoot) und unsere Dienste zur Datenerfassung.

Wir aktualisieren diese Liste, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung von Kundendaten beginnt, und der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir den Widerspruch nicht ausräumen, kann der Kunde das betroffene Abonnement kündigen und erhält eine Erstattung der vorausbezahlten Entgelte für den nicht genutzten Zeitraum. Wir verpflichten jeden Unterauftragsverarbeiter auf Datenschutzbedingungen, die die Daten mindestens ebenso gut schützen wie dieser AVV, und bleiben für deren Tätigkeit verantwortlich.

6. Sicherheitsmaßnahmen

• Verschlüsselung der Daten bei der Übertragung (HTTPS) und im Ruhezustand durch unsere Hosting-Anbieter;
• Speicherung von Passwörtern ausschließlich als gesalzene Hashes;
• Authentifizierung jeder API-Anfrage, wobei jeder Nutzer auf seine eigenen Daten beschränkt ist;
• Ratenbegrenzung und Schutz vor Angriffen auf Netzwerkebene;
• reiner Lesezugriff auf verbundene Trading-Konten;
• Beschränkung des Zugriffs auf Produktivsysteme auf die Personen, die ihn benötigen;
• Kontolöschung, die die Daten des Nutzers aus unseren aktiven Systemen entfernt.

7. Internationale Datenübermittlungen

Wir verarbeiten personenbezogene Daten in den Vereinigten Staaten und in anderen Ländern, in denen unsere Unterauftragsverarbeiter tätig sind. Für Übermittlungen personenbezogener Daten aus der EU/dem EWR schließt dieser AVV die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln ein, und zwar je nach Fall Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), mit dem Kunden als Datenexporteur und T2MA Labs als Datenimporteur. Die optionale Bestimmung in Klausel 11 findet keine Anwendung, und für die Klauseln 17 und 18 gelten das Recht und die Gerichte Irlands. Abschnitt 2 dieses AVV bildet Anhang I, Abschnitt 6 Anhang II und Abschnitt 5 Anhang III.

Für Übermittlungen aus dem Vereinigten Königreich gilt das UK International Data Transfer Addendum; für die Schweiz gelten die Klauseln mit den nach schweizerischem Recht erforderlichen Anpassungen; für die Türkei stützen wir uns auf die nach Artikel 9 KVKK zulässigen Garantien, etwa Standardverträge.

8. Anträge betroffener Personen

Wendet sich eine betroffene Person wegen Kundendaten direkt an uns, leiten wir den Antrag an den Kunden weiter und beantworten ihn nicht selbst, es sei denn, um die Person an den Kunden zu verweisen oder soweit das Gesetz uns dazu verpflichtet.

9. Rückgabe und Löschung

Endet das Abonnement des Kunden, kann der Kunde seine Daten exportieren, bevor er seine Konten schließt. Anschließend löschen wir die personenbezogenen Daten des Kunden innerhalb von 30 Tagen aus unseren aktiven Systemen, sofern wir sie nicht aufgrund gesetzlicher Vorschriften aufbewahren müssen. Backups unserer Hosting-Anbieter verfallen nach deren regulärem Zeitplan.

10. Haftung, Rangfolge und anwendbares Recht

Die Haftung nach diesem AVV unterliegt den Beschränkungen der Nutzungsbedingungen, soweit das Gesetz diese nicht ausschließt. Bei Widersprüchen gehen die Standardvertragsklauseln vor, danach dieser AVV, danach die Nutzungsbedingungen. Dieser AVV unterliegt dem Recht, das für die Nutzungsbedingungen gilt, also dem Recht des Bundesstaates New Mexico, USA; die Standardvertragsklauseln unterliegen jedoch dem darin bestimmten Recht.

11. Kontakt

T2MA Labs LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. E-Mail: [email protected]