Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (der „Vertrag“) wird zwischen Ihrem Unternehmen, dem Kunden, als Verantwortlichem und VELM, eine vereinfachte Aktiengesellschaft französischen Rechts mit einem Gesellschafter (SASU) mit einem Stammkapital von 5.000 €, eingetragen im Handels- und Gesellschaftsregister Paris (RCS) unter der Nummer 104 221 841, mit Sitz in 229 rue Saint-Honoré, 75001 Paris, France, die Truviate betreibt, als Auftragsverarbeiter geschlossen. Er ist der nach Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (DSGVO) erforderliche Vertrag und gilt für die personenbezogenen Daten in den von Ihnen hochgeladenen Dokumenten und in den daraus abgeleiteten Datensätzen (die „Kundendaten“).

Der Vertrag ist integraler Bestandteil der Nutzungsbedingungen und wird mit ihnen bei der Erstellung des Kontos durch die Person angenommen, die Ihr Unternehmen verpflichten darf. Seine Version und sein Datum stehen oben auf dieser Seite; jede Version ersetzt die vorherige für Verarbeitungen nach ihrem Datum. Bei einem Widerspruch zwischen dem Vertrag und den Nutzungsbedingungen in einer Datenschutzfrage geht der Vertrag vor. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO gibt.

Als Verantwortlicher:

• bestimmen Sie allein die Zwecke und Mittel der Verarbeitung der Kundendaten und stellen sicher, dass sie auf einer gültigen Rechtsgrundlage beruht;
• sind Sie berechtigt, die Dokumente hochzuladen, die Sie hochladen, einschließlich der darin enthaltenen personenbezogenen Daten, und haben den betroffenen Personen die nach den Artikeln 13 und 14 DSGVO erforderlichen Informationen erteilt;
• laden Sie keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen und Straftaten hoch, da der Dienst nicht dafür ausgelegt ist;
• erteilen Sie Ihre Weisungen durch die in Artikel 4 beschriebene Nutzung des Dienstes, legen die Aufbewahrungsfrist Ihres Arbeitsbereichs fest und nehmen die Löschungen, die Sie für erforderlich halten, selbst vor;
• beantworten Sie die Anfragen betroffener Personen, die Sie erhalten; VELM leitet Ihnen die weiter, die es direkt erhält;
• führen Sie Ihre eigenen Verzeichnisse und nehmen gegebenenfalls Ihre Datenschutz-Folgenabschätzungen und vorherigen Konsultationen vor, mit der in Artikel 9 vorgesehenen Unterstützung.

Sie haben folgende Rechte: Weisungen zu erteilen und informiert zu werden, wenn eine Weisung rechtswidrig erscheint (Artikel 4), über eine Datenpanne benachrichtigt zu werden (Artikel 7), einem neuen Unterauftragsverarbeiter zu widersprechen (Artikel 8), am Ende des Dienstes die Löschung oder Rückgabe der Kundendaten zu erhalten (Artikel 10) und die Einhaltung dieses Vertrags zu überprüfen (Artikel 11).

• Gegenstand: Speicherung und Analyse der von Ihnen hochgeladenen Dokumente, um Rechnungsentwürfe gegen Vereinbarungen und freigegebene Arbeit zu prüfen.
• Dauer: solange Ihr Arbeitsbereich besteht; die Verarbeitung endet mit seiner Löschung, vorbehaltlich der in der Datenschutzerklärung genannten Aufbewahrungsfristen.
• Art: Speicherung, Textextraktion, KI-gestützte Extraktion von Abrechnungsbedingungen aus dem Vertragstext, deterministischer Vergleich von freigegebener Arbeit und Rechnungsentwürfen, Darstellung von Feststellungen und Nachweisen sowie der Prüfpfad.
• Zweck: Ihnen zu ermöglichen, Ihre Rechnungen vor dem Versand zu prüfen. VELM verarbeitet Kundendaten zu keinem anderen Zweck und nie zum Trainieren von Modellen.
• Datenarten: Identifikations- und Berufsdaten, wie sie in Vereinbarungen sowie in Zeit-, Spesen- und Rechnungsexporten erscheinen — Namen, Funktionen, E-Mail-Adressen, Sätze, Stunden, Beträge und Vertragsbedingungen.
• Kategorien betroffener Personen: Ihre Mitarbeitenden und Auftragnehmer, das Personal und die Kontakte Ihrer Kunden sowie jede andere in diesen Dokumenten genannte Person.

VELM verarbeitet Kundendaten nur auf Ihre dokumentierte Weisung. Dieser Vertrag, die Nutzungsbedingungen und Ihre Nutzung des Dienstes — einschließlich der von Ihnen festgelegten Aufbewahrungsfrist und der von Ihnen vorgenommenen Löschungen — stellen diese Weisungen dar. Jede weitere Weisung wird schriftlich an support@truviate.com erteilt; VELM teilt Ihnen mit, ob und zu welchen Bedingungen es ihr nachkommen kann.

Diese Weisungen umfassen Übermittlungen von Kundendaten außerhalb der Europäischen Union, beschränkt auf die Unterauftragsverarbeiter der Anlage 1, für die dort genannten Rollen und mit der dort genannten Garantie. Verstößt eine Weisung nach Auffassung von VELM gegen die DSGVO oder andere Datenschutzvorschriften der Union oder eines Mitgliedstaats, informiert VELM Sie unverzüglich und kann die Ausführung dieser Weisung aussetzen, bis Sie sie bestätigt oder geändert haben. VELM verarbeitet Kundendaten außerhalb Ihrer Weisungen nur, wenn das Recht der Union oder eines Mitgliedstaats es verlangt; in diesem Fall informiert es Sie vorab, sofern dieses Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Zugriff auf Kundendaten haben nur Personen, die ihn zum Betrieb des Dienstes benötigen, und jede ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet. Kundendaten werden nie mit anderen Kunden geteilt.

VELM setzt die in Anlage 2 und in der Sicherheitsübersicht beschriebenen technischen und organisatorischen Maßnahmen um und hält sie unter Berücksichtigung des Stands der Technik und der Art der Kundendaten auf einem dem Risiko angemessenen Niveau. Anlage 2 enthält nur Maßnahmen, die in Kraft sind: Eine aus dem Dienst entfernte Maßnahme wird durch eine neue Version dieser Seite aus der Anlage entfernt, und eine neue Maßnahme wird erst aufgenommen, wenn sie in Betrieb ist.

VELM benachrichtigt Sie über jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, innerhalb von 48 Stunden, nachdem sie ihm bekannt wurde, per E-Mail an die Eigentümer des betroffenen Arbeitsbereichs. Die Benachrichtigung enthält, oder wird schrittweise ergänzt, sobald die Angaben verfügbar sind:

• die Art der Verletzung, mit den Kategorien und der ungefähren Zahl der betroffenen Personen sowie den Kategorien und der ungefähren Zahl der betroffenen Datensätze;
• den Namen und die Kontaktdaten der Anlaufstelle, bei der weitere Informationen erhältlich sind;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

VELM dokumentiert die Verletzung und unterstützt Sie bei Ihren eigenen Meldungen an die Aufsichtsbehörde und an die betroffenen Personen (Artikel 33 und 34 DSGVO). Es meldet weder der Behörde noch den betroffenen Personen an Ihrer Stelle, es sei denn, Sie weisen es schriftlich an.

Sie erteilen eine allgemeine Genehmigung für die in Anlage 1 genannten Unterauftragsverarbeiter in den dort genannten Rollen. VELM erlegt jedem von ihnen vertraglich Datenschutzpflichten auf, die denen dieses Vertrags entsprechen, und bleibt Ihnen gegenüber für deren Erfüllung in vollem Umfang verantwortlich. Bevor ein neuer Unterauftragsverarbeiter Kundendaten verarbeitet, aktualisiert VELM Anlage 1 und benachrichtigt die Eigentümer der Arbeitsbereiche per E-Mail mit einer schriftlichen Frist von mindestens 30 Tagen; Sie können aus angemessenen datenschutzrechtlichen Gründen widersprechen; in diesem Fall schlägt VELM eine Lösung vor, oder Sie können den Dienst gemäß den Nutzungsbedingungen kündigen.

Unter Berücksichtigung der Art der Verarbeitung unterstützt VELM Sie mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen zu Kundendaten und, unter Berücksichtigung der ihm verfügbaren Informationen, bei der Einhaltung Ihrer Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde.

Sie können Dateien und den gesamten Arbeitsbereich jederzeit selbst löschen; nach der Löschung ist nichts wiederherstellbar. Am Ende des Dienstes — Löschung des Arbeitsbereichs, Schließung des Kontos oder Kündigung der Nutzungsbedingungen — wählen Sie zwischen der Löschung und der Rückgabe der noch gespeicherten Kundendaten.

Rückgabe: Auf schriftliche Anfrage an support@truviate.com innerhalb von 30 Tagen nach dem Ende des Dienstes übergibt VELM Ihnen eine Kopie der noch gespeicherten Kundendaten in einem gängigen, maschinenlesbaren Format. Diese Rückgabe wird von VELM auf Anfrage durchgeführt; sie ist keine Funktion der Anwendung. Bleibt eine Anfrage innerhalb dieser Frist aus, und nach jeder Rückgabe, löscht VELM die noch gespeicherten Kundendaten: Rohdateien durch den Aufbewahrungsprozess, die übrigen Datensätze mit der Löschung des Arbeitsbereichs und alle verbleibenden Daten auf Ihre schriftliche Anfrage. Kopien werden nur aufbewahrt, wenn das Recht der Union oder eines Mitgliedstaats es verlangt, und nur zu diesem Zweck.

VELM stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, angefangen mit dieser Seite, ihren Anlagen und der Sicherheitsübersicht. Auf schriftliche Anfrage und höchstens einmal jährlich antwortet VELM zunächst durch Bereitstellung von Dokumentation und ermöglicht und unterstützt, wenn das nicht ausreicht, eine Überprüfung, einschließlich einer Inspektion, die von Ihnen oder einem von Ihnen beauftragten Prüfer auf Ihre Kosten durchgeführt wird, nach angemessener schriftlicher Ankündigung und in einer Weise, die die Sicherheit anderer Kunden nicht gefährdet. VELM informiert Sie, wenn eine in diesem Rahmen erteilte Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Dieser Vertrag tritt mit der Annahme der Nutzungsbedingungen in Kraft und bleibt in Kraft, solange VELM Kundendaten in Ihrem Auftrag verarbeitet, auch nach dem Ende der Nutzungsbedingungen, bis zur in Artikel 10 vorgesehenen Löschung oder Rückgabe. Seine Laufzeit und Kündigung folgen denen der Nutzungsbedingungen (Artikel 11 der Bedingungen). Die Haftung jeder Partei aus diesem Vertrag richtet sich nach Artikel 10 der Nutzungsbedingungen, der für den Vertrag ebenso gilt wie für die Bedingungen.

Eine datierte, von VELM unterzeichnete PDF-Kopie ist auf Anfrage unter david@truviate.com erhältlich.

Liste, die am oben auf der Seite angegebenen Datum gilt. Für jeden Auftragsverarbeiter: der Zweck, zu dem er eingesetzt wird, der Ort, an dem er die Daten für diese Rolle hält, und die Garantie, auf die sich eine Übermittlung außerhalb der Europäischen Union stützt. Auftragsverarbeiter, die nur Konto- oder Abrechnungsdaten verarbeiten, für die VELM Verantwortlicher ist, sind der Vollständigkeit halber ebenfalls aufgeführt, mit Angabe dessen, was sie erhalten.

• Vercel Inc., Vereinigte Staaten — Hosting der Anwendung und ihrer Serverfunktionen, geplante Aufgaben, Auslieferung von Inhalten und Anwendungsprotokolle; Anfragen, einschließlich hochgeladener Dateien während ihrer Verarbeitung, laufen über seine Server. Ort: Vereinigte Staaten, die Serverfunktionen werden in der Region Frankfurt ausgeführt. Übermittlungsgarantie: zertifiziert nach dem EU-US-Datenschutzrahmen (Data Privacy Framework).
• Supabase, Inc., Vereinigte Staaten — Datenbank, Dateispeicher und Authentifizierung, einschließlich Sitzungen, Zweitfaktoren und Anmeldung über Google. Ort: Projekt in der Europäischen Union (Frankfurt am Main, Deutschland). Übermittlungsgarantie: Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), in seinen Vertrag einbezogen; die Daten werden in Frankfurt gehostet.
• Google (Google Workspace), Irland — das Support-Postfach hinter support@truviate.com, in dem die Nachrichten gespeichert werden, die Sie uns senden; erhält Kundendaten nur, wenn Sie sie selbst einer Nachricht beifügen. Ort: Irland, mit Verarbeitung in den Vereinigten Staaten. Übermittlungsgarantie: Google LLC ist nach dem EU-US-Datenschutzrahmen (Data Privacy Framework) zertifiziert; die Standardvertragsklauseln der Europäischen Kommission sind, soweit erforderlich, in die Google-Workspace-Verträge einbezogen.
• Anthropic, PBC, Vereinigte Staaten — KI-Anbieter, für die Extraktion von Abrechnungsbedingungen aus dem Vertragstext. Vertragstext wird bei jeder Anfrage übermittelt; nach den Standard-API-Bedingungen des Anbieters kann er zusammen mit der Antwort bis zu 30 Tage aufbewahrt werden (länger, wenn ein Austausch wegen eines Regelverstoßes markiert wird). Eine Vereinbarung über Zero Data Retention besteht nicht. Ort: Vereinigte Staaten. Übermittlungsgarantie: Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914, Module 2 und 3), in seine Geschäftsbedingungen einbezogen.
• Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., Vereinigte Staaten — Zahlungsabwicklung, Rechnungsstellung und Bestimmung der Mehrwertsteuer; erhält Ihre Rechnungsangaben und Ihr Zahlungsmittel, nie Kundendaten. Ort: Irland und Vereinigte Staaten. Übermittlungsgarantie: zertifiziert nach dem EU-US-Datenschutzrahmen (Data Privacy Framework); ergänzend sind die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) in seinen Zusatz zu Datenübermittlungen einbezogen.
• Resend, Inc., Vereinigte Staaten — Transaktions-E-Mails: Kontonachrichten (Verifizierung, Anmeldung, Passwort- und Adressänderungen, Sicherheitshinweise), Einladungen und Abonnementhinweise; erhält E-Mail-Adressen und den Inhalt dieser Nachrichten, nie Kundendaten. Ort: Vereinigte Staaten. Übermittlungsgarantie: zertifiziert nach dem EU-US-Datenschutzrahmen (Data Privacy Framework).
• Cloudflare, Inc., Vereinigte Staaten — Bot-Schutz (Turnstile) bei Anmeldung, Registrierung und öffentlichen Formularen, der Verbindungs- und Browsersignale erhält, keine Dokumentinhalte, sowie das DNS unserer Domain. Ort: Vereinigte Staaten. Übermittlungsgarantie: zertifiziert nach dem EU-US-Datenschutzrahmen (Data Privacy Framework); Standardvertragsklauseln der Europäischen Kommission als Rückfalllösung.

Maßnahmen, die zum Datum dieser Version in Kraft sind. Jede existiert im Code oder in der Konfiguration des Dienstes; keine ist ein Vorhaben. Von einem Anbieter gewährleistete Maßnahmen sind als solche gekennzeichnet.

• Der gesamte Verkehr ist bei der Übertragung verschlüsselt (TLS); in der Produktion erzwingt der HSTS-Header zwei Jahre lang HTTPS, Subdomains eingeschlossen.
• Eine Content-Security-Policy mit einer pro Anfrage erzeugten Nonce lässt nur die Skripte des Dienstes zu, und die Anwendung verbietet ihre Einbettung in einen fremden Rahmen.
• Verschlüsselung der Datenbank und des Dateispeichers im Ruhezustand: gewährleistet durch den Datenbank- und Speicheranbieter (Supabase), für ein in Frankfurt gehostetes Projekt.

• Jeder Geschäftsdatensatz trägt die Kennung seines Arbeitsbereichs; die Zeilensicherheit (Row-Level Security) der Datenbank gibt nur die Zeilen der Arbeitsbereiche zurück, deren Mitglied der angemeldete Benutzer ist, unabhängig von der Abfrage.
• Dateien werden in einem privaten Speicherbereich abgelegt — kein Objekt ist öffentlich — und die Speicherregeln beschränken Lesen, Hochladen und Löschen auf die Mitglieder des Arbeitsbereichs, dessen Präfix die Datei enthält.
• Die Mitgliedschaft in einem Arbeitsbereich und die Rolle (Eigentümer oder Mitglied) bestimmen, was ein Benutzer sehen und tun kann; nur Eigentümer verwalten Mitglieder, und das Entfernen eines Mitglieds widerruft seinen Zugriff sofort.
• Dienstzugangsdaten mit erhöhten Rechten werden nur in serverseitigen Modulen geladen, nie im Browser.
• Feststellungen und Läufe des Rechenwerks werden nur vom Server geschrieben, und Entscheidungen sind nur anfügbar: Keines davon kann vom Client aus geändert werden.

• Die Authentifizierung erfolgt durch den Identitätsanbieter; VELM speichert Passwörter nie im Klartext. Der Bot-Schutz gilt für Anmeldung, Registrierung und die öffentlichen Formulare.
• Vor dem ersten Dokumenten-Upload ist ein registrierter TOTP-Zweitfaktor erforderlich: Uploads von Vereinbarungen und Exporten werden ohne registrierten Authenticator abgelehnt.
• Sensible Aktionen — Verwaltung von Mitgliedern und Einladungen, Sicherheitseinstellungen, Löschung von Dateien und des Arbeitsbereichs — erfordern eine kürzliche Prüfung des Zweitfaktors (AAL2); die Datenbank setzt diese Anforderung selbst durch restriktive Richtlinien auf den betroffenen Tabellen und dem Speicher durch.
• In den Sicherheitseinstellungen kann ein Benutzer seine anderen Sitzungen abmelden; eine Passwortänderung meldet ebenfalls die anderen Sitzungen ab.

• Nur anfügbarer Prüfpfad: Regelbestätigungen, Entscheidungen zu Feststellungen, Mitgliederänderungen und Löschungen werden mit Urheber und Zeitstempel erfasst; die Mitglieder des Arbeitsbereichs können ihn lesen, niemand kann ihn aus der Anwendung heraus ändern oder löschen.
• Nicht gelöschte Rohdateien werden im täglichen Durchlauf nach Ablauf der Aufbewahrungsfrist des Arbeitsbereichs automatisch bereinigt (30 Tage standardmäßig, vom Eigentümer zwischen 7 und 90 Tagen einstellbar); der Durchlauf ist durch ein gemeinsames Geheimnis geschützt, und jede Löschung wird im Prüfpfad erfasst.
• Das Löschen eines Arbeitsbereichs löscht kaskadierend alle seine Datensätze.
• Die Anwendungsprotokolle akzeptieren nur skalare Felder; Felder, die Inhalte oder Kennungen tragen könnten (Text, Auszüge, Prompts, E-Mails, Token), werden abgelehnt, und jede aus einem Fehler abgeleitete Zeichenfolge durchläuft vor der Protokollierung eine Schwärzung von Geheimnissen.

• Änderungen am Datenbankschema erfolgen nur über additive, unveränderliche Migrationen, die vor jeder Produktionsfreigabe durch eine Sperre in der kontinuierlichen Integration geprüft werden.
• Die Maßnahmen dieser Anlage werden durch automatisierte Tests ausgeübt, die bei jeder Änderung des Dienstes laufen, und die öffentlichen Seiten, die sie beschreiben, werden durch Tests gegen den Code geprüft.