Auftragsverarbeitungsvertrag

1. Rollen

Für die personenbezogenen Daten in den Repositories, Shops und Inhalten, die du mit EvonX verbindest, bist du der Verantwortliche und EvonX der Auftragsverarbeiter. Für die Konto- und Nutzungsdaten, die du uns direkt gibst – deinen Namen, deine E-Mail-Adresse, deine Anmeldedaten und die Protokolle der Plattform –, ist EvonX der Verantwortliche; für diese Verarbeitung gilt unsere Datenschutzerklärung und nicht dieser AVV.

2. Was wir verarbeiten

Gegenstand und Zweck. Die Bereitstellung der EvonX-Plattform: eine Codebasis analysieren, Änderungen planen und erzeugen, Live-Vorschauen starten und das Ergebnis als Pull Request liefern.

Dauer. Solange dein Konto aktiv ist, zuzüglich der kurzen Aufbewahrungsfrist aus Abschnitt 9.

Datenkategorien. Alle personenbezogenen Daten, die sich zufällig in dem Material befinden, das du verbindest oder übermittelst – typischerweise Entwicklerkennungen in der Commit-Historie, Beispiel- oder Seed-Daten in einem Repository, Inhalte in Prompts und hochgeladenen Bildern und personenbezogene Daten in einem verbundenen Shop-Theme.

Betroffene Personen. Deine Mitarbeitenden und Mitwirkenden sowie alle Personen, deren Daten in dem Material vorkommen, das du verbindest.

3. Deine Weisungen

Wir verarbeiten personenbezogene Daten nur auf deine dokumentierte Weisung. Die Nutzung der Plattform ist selbst eine Weisung: Wenn du eine Änderung anforderst, weist du uns an, das zu verarbeiten, was dafür nötig ist. Wir informieren dich, wenn eine Weisung nach unserer Auffassung gegen geltendes Datenschutzrecht verstößt, und falls wir gesetzlich verpflichtet sind, Daten über deine Weisungen hinaus zu verarbeiten, teilen wir dir das vorher mit, sofern das Gesetz es nicht verbietet.

Du bist dafür verantwortlich, eine Rechtsgrundlage für die Daten zu haben, die du verbindest, und keine Datenkategorien zu verbinden, für die die Plattform nicht gebaut ist – echte Gesundheits-, Finanz- oder biometrische Daten sollten geschwärzt oder durch synthetische Daten ersetzt werden, bevor ein Repository oder Datensatz verbunden wird.

4. Vertraulichkeit

Der Zugriff auf Kundendaten ist auf die Personen beschränkt, die ihn für Betrieb und Support der Plattform brauchen. Sie sind an Vertraulichkeitspflichten gebunden, die über das Ende ihrer Tätigkeit hinaus gelten.

5. Sicherheit

Wir treffen technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, darunter die Verschlüsselung des Datenverkehrs bei der Übertragung mit TLS, die serverseitige Speicherung von Zugangsdaten für verbundene Dienste, die Trennung von Kundendaten pro Workspace, isolierte Vorschauumgebungen mit eigenen kurzlebigen Datenbanken sowie rollenbasierte Zugriffskontrolle mit Audit-Protokollen. Unsere aktuellen Maßnahmen sind auf der Seite Sicherheit & Vertrauen beschrieben, die Bestandteil dieses AVV ist. Wir können eine Maßnahme ändern, aber nicht so, dass der Schutz insgesamt wesentlich schwächer wird.

6. Unterauftragsverarbeiter

Du erteilst uns eine allgemeine Genehmigung, die unter Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter einzusetzen. Jeder von ihnen ist an Datenschutzbedingungen gebunden, die nicht weniger schützen als dieser AVV, und wir haften dir gegenüber vollständig für ihre Leistung. Bevor ein neuer Unterauftragsverarbeiter beginnt, deine personenbezogenen Daten zu verarbeiten, aktualisieren wir diese Seite und kündigen das mindestens 30 Tage vorher an; du kannst aus berechtigten datenschutzrechtlichen Gründen widersprechen, und wenn wir den Widerspruch nicht ausräumen können, kannst du den betroffenen Teil des Dienstes kündigen.

7. Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir dich bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte ausüben. Erreicht uns eine solche Anfrage direkt und betrifft sie Daten, die wir in deinem Auftrag verarbeiten, leiten wir sie an dich weiter, statt sie selbst zu beantworten.

8. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen dich unverzüglich, in jedem Fall innerhalb von 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten betrifft, die wir für dich verarbeiten. Die Meldung beschreibt, was passiert ist, die Kategorien und die ungefähre Menge der betroffenen Daten, die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen. Wir unterstützen dich bei deinen eigenen Meldepflichten nach Artikel 33 und 34 DSGVO.

9. Löschung und Rückgabe

Solange dein Konto aktiv ist, kannst du deine Daten jederzeit exportieren oder löschen. Endet der Dienst, löschen wir die in deinem Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, außer wo eine Speicherung gesetzlich vorgeschrieben ist. Vorschauumgebungen und ihre Datenbanken sind kurzlebig und werden entfernt, sobald sie nicht mehr gebraucht werden.

10. Audits und Informationen

Wir stellen die Informationen bereit, die nötig sind, um die Einhaltung von Artikel 28 nachzuweisen, und beantworten nach angemessener Vorankündigung und höchstens einmal im Jahr einen Sicherheitsfragebogen oder ein Audit durch dich oder einen von dir beauftragten unabhängigen Prüfer – unter Wahrung der Vertraulichkeit und ohne den Dienst zu stören oder andere Kunden offenzulegen. Wo ein Prüfbericht oder eine Zertifizierung den betreffenden Punkt abdeckt, können wir diese anstelle eines Vor-Ort-Audits anbieten.

11. Internationale Übermittlungen

Wenn personenbezogene Daten den EWR oder das Vereinigte Königreich verlassen, stützen wir uns auf einen von der DSGVO anerkannten Übermittlungsmechanismus: einen Angemessenheitsbeschluss, wo es einen gibt, und andernfalls die Standardvertragsklauseln der Europäischen Kommission zusammen mit dem UK International Data Transfer Addendum, die durch Verweis Bestandteil dieses AVV sind, wobei EvonX als Datenimporteur handelt.

12. Türkei

Wo türkisches Recht gilt, dient dieser AVV als die nach dem KVKK erforderliche Vereinbarung zur Datenverarbeitung, mit dir als veri sorumlusu (Verantwortlicher) und EvonX als veri işleyen (Auftragsverarbeiter). Übermittlungen ins Ausland erfolgen auf der nach Artikel 9 KVKK zulässigen Grundlage. Unsere Informationen in türkischer Sprache findest du unter /tr/kvkk.

13. Vorrang und Änderungen

Widerspricht dieser AVV den Nutzungsbedingungen in Bezug auf die Verarbeitung personenbezogener Daten, hat dieser AVV Vorrang. Wir können ihn aktualisieren, um Änderungen des Rechts oder des Dienstes abzubilden; wesentliche Änderungen kündigen wir auf dieser Seite mit einem aktualisierten Datum an. Fragen und Anfragen zur Unterzeichnung gehen an legal@evonx.ai.