Datenverarbeitungsnachtrag

1. Gegenstand und Inkrafttreten dieses Nachtrags

Dieser Auftragsverarbeitungsvertrag (der „DPA“) ist Bestandteil der Nutzungsbedingungen (die „Bedingungen“) zwischen Ihnen (oder der von Ihnen vertretenen Organisation) und Hedgeling LLC, einer Gesellschaft mit beschränkter Haftung in Utah („Hedgeling“, „wir“, „uns“). Er gilt immer dann, wenn wir im Rahmen der Erbringung des Dienstes personenbezogene Kunden-Daten in Ihrem Auftrag verarbeiten.

Sie müssen nichts unterschreiben, damit dieser DPA wirksam wird. Er tritt automatisch in Kraft, wenn Sie die Bedingungen akzeptieren, und gilt so lange, wie wir personenbezogene Kunden-Daten verarbeiten. Wenn Ihre Organisation ein gegengezeichnetes Exemplar benötigt, senden Sie eine E-Mail an support@thehedgeling.com und wir stellen eines aus.

Wenn Sie einen Enterprise-Vertrag oder eine andere unterzeichnete Vereinbarung mit uns haben, die eigene Bestimmungen zur Datenverarbeitung enthält, gelten diese Bestimmungen anstelle dieses DPA. Falls dieser DPA und die Bedingungen bezüglich des Umgangs mit personenbezogenen Daten widersprüchlich sind, gilt dieser DPA.

2. Definitionen

• Kundeninhalte haben die in den Bedingungen angegebene Bedeutung: die Quell-Strings, der Code-Kontext, Übersetzungen, Glossare, Personas, Styleguides, Dokumente und andere Materialien, die Sie an den Dienst übermitteln.
• Personenbezogene Kundendaten sind personenbezogene Daten in Kundeninhalten, die wir in Ihrem Auftrag verarbeiten.
• Datenschutzgesetze bezeichnet die Gesetze, die für die Verarbeitung personenbezogener Kundendaten im Rahmen dieses DPA gelten. Je nach Standort von Ihnen und den betroffenen Personen können dazu die EU-Datenschutz-Grundverordnung (DSGVO), die UK DSGVO, das Schweizer Bundesgesetz über den Datenschutz und US-Datenschutzgesetze wie der California Consumer Privacy Act gehören.
• Unterauftragnehmer bezeichnet einen Dritten, den wir mit der Verarbeitung personenbezogener Kundendaten beauftragen.
• Standardvertragsklauseln bezeichnet die im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission enthaltenen Klauseln.
• UK-Zusatzvereinbarung bezeichnet das vom Information Commissioner des Vereinigten Königreichs herausgegebene International Data Transfer Addendum zu den Standardvertragsklauseln.

Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in der DSGVO definierte Bedeutung und schließen entsprechende Begriffe anderer Datenschutzgesetze wie „Unternehmen“ und „Dienstanbieter“ ein. Andere großgeschriebene Begriffe haben die in den Bedingungen definierte Bedeutung.

3. Rollen

Für personenbezogene Daten von Kunden sind Sie der Verantwortliche und Hedgeling ist Ihr Auftragsverarbeiter. Wenn Sie selbst als Auftragsverarbeiter für einen Dritten handeln, ist Hedgeling Ihr Unterauftragsverarbeiter, und Sie bestätigen, dass Ihre Weisungen an uns vom Verantwortlichen autorisiert sind.

Dieser DPA gilt nicht für Daten, die wir in eigener Verantwortung als Verantwortlicher verarbeiten: Kontodaten, Nutzungs- und Abrechnungsdaten, Anmeldedaten, Protokolle und Sicherheitsaufzeichnungen sowie Website-Analysen. Die Datenschutz beschreibt, wie wir mit diesen Daten umgehen.

Wenn Sie Ihren eigenen KI-Anbieterschlüssel verbinden, verarbeitet dieser Anbieter Ihre Daten gemäß Ihrer Vereinbarung mit ihm. Er ist Ihr Anbieter, nicht unser Unterauftragsverarbeiter. Wenn Sie das Befehlszeilen-Paket auf Ihrem eigenen Rechner mit Ihrem eigenen Schlüssel ausführen, werden die Daten direkt von Ihrem Rechner an diesen Anbieter übermittelt und wir verarbeiten sie überhaupt nicht.

4. Einzelheiten der Verarbeitung

• Gegenstand und Zweck: Erbringung des Dienstes für Sie: Extraktion, Speicherung, Übersetzung, Überprüfung und Bereitstellung Ihrer Zeichenketten sowie Sicherung und Support des Dienstes.
• Art der Verarbeitung: Hosting und Speicherung, Übermittlung von Zeichenketten und Kontext an KI-Anbieter zur Übersetzung und für Chats, Anzeige von Inhalten für von Ihnen autorisierte Benutzer, Lesen aus und Schreiben in von Ihnen verbundene Repositories, Sicherung und Löschung.
• Dauer: für die Dauer des Bestehens Ihres Arbeitsbereichs und anschließend bis zum Abschluss der Löschung gemäß Abschnitt 11.
• Arten personenbezogener Daten: alle personenbezogenen Daten, die Sie in Kundeninhalte aufnehmen. Kundeninhalte sind überwiegend Schnittstellentexte, daher beschränkt sich dies normalerweise auf Namen, E-Mail-Adressen und ähnliche Identifikatoren in Quellzeichenketten, Code-Kontexten, Glossaren, importierten Dokumenten, Prüfkommentaren oder Konsolen-Chat-Nachrichten.
• Betroffene Personen: die Personen, auf die sich personenbezogene Daten beziehen, beispielsweise Ihre Mitarbeiter, Auftragnehmer und die Endnutzer Ihrer Produkte.
• Sensible Daten: Der Dienst ist nicht für besondere Kategorien personenbezogener Daten, Gesundheitsdaten, Zahlungskartendaten oder behördliche Identifikatoren ausgelegt, und Sie stimmen zu, diese nicht in Kundeninhalte aufzunehmen.

5. Ihre Weisungen

Wir verarbeiten personenbezogene Kunden-Daten nur gemäß Ihren dokumentierten Weisungen. Die Bedingungen, dieser DPA sowie die Art und Weise, wie Sie und Ihre Nutzer den Dienst konfigurieren und nutzen, stellen Ihre vollständigen Weisungen dar. Benötigen Sie darüber hinausgehende Leistungen, fragen Sie uns unter support@thehedgeling.com; wir teilen Ihnen mit, ob dies möglich ist.

Wir werden Sie informieren, wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzgesetze verstößt, und wir können diese Verarbeitung aussetzen, bis Sie die Weisung bestätigen oder ändern. Falls uns ein Gesetz verpflichtet, personenbezogene Daten von Kunden anderweitig zu verarbeiten, werden wir Sie vorab darüber informieren, es sei denn, das Gesetz verbietet dies.

Wir verkaufen oder teilen personenbezogene Daten von Kunden nicht, wir verwenden sie nicht zum Trainieren von KI-Modellen und wir speichern, nutzen oder offenbaren sie zu keinen anderen Zwecken als der Bereitstellung, Sicherung, Unterstützung und Verbesserung des Dienstes für Sie wie in den Nutzungsbedingungen beschrieben.

6. Vertraulichkeit

Der Zugriff auf personenbezogene Daten von Kunden ist auf Personen beschränkt, die diesen für den Betrieb und Support des Dienstes benötigen, und jede von uns zur Verarbeitung autorisierte Person ist zur Vertraulichkeit verpflichtet.

7. Sicherheitsmaßnahmen

Wir schützen personenbezogene Daten von Kunden durch Verschlüsselung bei der Übertragung (HTTPS) und im Ruhezustand, rollenbasierte Zugriffskontrolle, Mandantentrennung, verschlüsselte Speicherung von Anbieterschlüsseln, gehashte Speicherung von Dienstanmeldedaten, signierte kurzlebige Berechtigungsleases, Ratenbegrenzung und Audit-Protokollierung.

Wir können diese Maßnahmen im Zuge der Weiterentwicklung des Dienstes ändern, werden das Gesamtniveau des Schutzes jedoch nicht wesentlich verringern. Sie sind für Ihre Nutzung des Dienstes verantwortlich, einschließlich der Auswahl der übermittelten Inhalte, der Verwaltung der Zugriffsrechte für Ihren Workspace sowie der sicheren Aufbewahrung Ihrer Anmeldedaten und API-Schlüssel.

8. Unterverarbeiter

Sie erteilen uns die allgemeine Genehmigung zur Nutzung von Unterauftragsverarbeitern (siehe Abschnitt 17). Wir verpflichten jeden Unterauftragsverarbeiter schriftlich zum Schutz personenbezogener Daten und bleiben Ihnen gegenüber für dessen Leistungen verantwortlich.

Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, aktualisieren wir die Liste in Abschnitt 17 und benachrichtigen den Eigentümer Ihres Workspaces mindestens 30 Tage vor Beginn der Verarbeitung von Personenbezogenen Kundendaten per E-Mail oder in der Konsole. Muss ein Unterauftragsverarbeiter aus Sicherheits- oder Kontinuitätsgründen dringend ersetzt werden, informieren wir Sie so schnell wie angemessen möglich.

Sie können einem neuen Unterauftragsverarbeiter aus berechtigten Datenschutzgründen widersprechen, indem Sie innerhalb dieser Benachrichtigungsfrist an support@thehedgeling.com schreiben. Wir werden nach Treu und Glauben mit Ihnen zusammenarbeiten, um eine Alternative zu finden, z. B. eine Nutzung des Dienstes ohne diesen Unterauftragsverarbeiter. Lässt sich keine Lösung finden, können Sie die betroffene Funktion nicht weiter nutzen oder den Dienst wie in den Bedingungen beschrieben kündigen.

9. Anfragen von Personen und sonstige Unterstützung

Sie können Kundeninhalte jederzeit in der Konsole einsehen, korrigieren, exportieren und löschen sowie diese Werkzeuge nutzen, um Anfragen von Personen zur Ausübung ihrer Rechte zu beantworten. Wendet sich eine Person bezüglich Personenbezogener Kundendaten an uns, leiten wir die Anfrage an Sie weiter oder bitten die Person, sich an Sie zu wenden. Wir beantworten die Anfrage nicht selbst, es sei denn, dies ist gesetzlich vorgeschrieben.

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden, sofern dies nach den Datenschutzgesetzen erforderlich ist.

10. Datenschutzverletzungen

Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betrifft, benachrichtigen wir den Eigentümer Ihres Workspaces unverzüglich per E-Mail. Wir informieren Sie über die Vorfälle, die betroffenen Daten, die voraussichtlichen Folgen und unsere Maßnahmen und halten Sie auf dem Laufenden. Wir ergreifen angemessene Schritte, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen.

Die Benachrichtigung über einen Vorfall stellt kein Schuldeingeständnis dar. Sie sind für etwaige Meldungen an Behörden oder Personen verantwortlich; wir stellen Ihnen die verfügbaren Informationen bereit.

11. Löschung und Rückgabe

Sie können Ihre Kataloge jederzeit exportieren. Die Beendigung eines Abonnements löscht Ihre Daten nicht: Sie behalten für eine Nachfrist von mindestens 30 Tagen Lese- und verifizierten Exportzugriff, und wir bewahren Kundeninhalte bis zur Anforderung der Löschung auf.

Die Löschung beginnt, wenn ein autorisierter Benutzer die Löschung eines Projekts oder einer Organisation in der Konsole anfordert. Dadurch wird ein 30-tägiges Zeitfenster nur für den Export geöffnet. Danach bereinigen wir die Inhalte: Quelltexte, Übersetzungen, Kontext, Glossare, Prompts, Personas, importierte Dokumente, Chat- und KI-Nutzdaten sowie Inhalts-Snapshots in Überwachungsprotokollen. Bereinigte Inhalte können für kurze Zeit (derzeit bis zu sieben Tage) in verschlüsselten Datenbank-Backups verbleiben, bis diese ablaufen.

Nach der Bereinigung bewahren wir nur die in der Datenschutz beschriebenen minimalen Abrechnungs-, Sicherheits- und Überwachungsprotokolle ohne Inhaltsdaten auf. Wenn Sie die Konsole nicht zum Exportieren oder Löschen Ihrer Daten nutzen können, senden Sie eine E-Mail an support@thehedgeling.com; wir helfen Ihnen gerne weiter.

12. Informationen und Prüfungen

Auf schriftliche Anfrage stellen wir Ihnen die angemessen erforderlichen Informationen zur Verfügung, um nachzuweisen, dass wir unsere Verpflichtungen aus dieser AVV erfüllen, einschließlich der Beantwortung eines angemessenen Sicherheitsfragebogens. Sofern eine Aufsichtsbehörde nicht mehr verlangt oder ein Sicherheitsvorfall Ihre Daten betrifft, können Sie dies einmal innerhalb von 12 Monaten anfordern.

Räumen Ihnen die Datenschutzgesetze Rechte ein, die darüber hinausgehen, können Sie ein Audit verlangen. Dieses erfordert mindestens 30 Tage schriftliche Vorankündigung und einen vereinbarten Umfang, findet während der normalen Geschäftszeiten auf Ihre Kosten statt, unterliegt der Vertraulichkeit und darf weder Daten anderer Kunden offenlegen noch den Dienst beeinträchtigen. Da der Dienst auf einer von Amazon Web Services betriebenen Infrastruktur läuft, können wir keinen physischen Zugang zu Rechenzentren gewähren.

13. Internationale Übermittlungen

Die Konsole wird auf AWS in den Vereinigten Staaten gehostet, und unsere Unterauftragsverarbeiter können Daten in den Vereinigten Staaten und anderen Ländern verarbeiten. Durch die Nutzung des Dienstes weisen Sie uns an, personenbezogene Kundendaten an diesen Standorten zu verarbeiten.

Sofern Sie personenbezogene Kundendaten an uns übermitteln, die durch die DSGVO geschützt sind, und die Übermittlung nicht durch einen Angemessenheitsbeschluss abgedeckt ist, werden die Standardvertragsklauseln in diese DPA aufgenommen und gelten wie folgt:

• Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt, wenn Sie Verantwortlicher sind, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) gilt, wenn Sie Auftragsverarbeiter sind.
• Sie sind der Datenexporteur und Hedgeling ist der Datenimporteur.
• Die optionale Kopplungsklausel (Klausel 7) und der optionale Wortlaut in Klausel 11 finden keine Anwendung.
• Für Klausel 9 gilt die allgemeine schriftliche Genehmigung mit der in Abschnitt 8 festgelegten Mitteilungsfrist.
• Für die Klauseln 17 und 18 gilt das Recht von Irland und als Gerichtsstand gelten die Gerichte von Irland.
• Anhang I wird mit den Informationen in den Abschnitten 1, 3 und 4 ausgefüllt, Anhang II mit Abschnitt 7 und Anhang III mit Abschnitt 17. Die zuständige Aufsichtsbehörde ist die gemäß Klausel 13 bestimmte Aufsichtsbehörde.

Für Übermittlungen, die durch die UK GDPR geschützt sind, wird das UK Addendum in diese DPA aufgenommen und seine Tabellen werden mit denselben Informationen ausgefüllt; keine Partei darf das UK Addendum gemäß dessen Abschnitt 19 beenden. Für Übermittlungen, die durch Schweizer Recht geschützt sind, gelten die Standardvertragsklauseln, wobei Verweise auf die DSGVO als Verweise auf das Schweizer Bundesgesetz über den Datenschutz und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten als Aufsichtsbehörde zu verstehen sind.

Sollten die Standardvertragsklauseln oder das UK Addendum im Widerspruch zum Rest dieser DPA oder zu den Bedingungen stehen, haben die Standardvertragsklauseln oder das UK Addendum Vorrang.

14. Ihre Pflichten

Sie sind für die von Ihnen übermittelten personenbezogenen Kundendaten verantwortlich: dafür, über eine Rechtsgrundlage sowie alle erforderlichen Hinweise oder Einwilligungen zu verfügen, für deren Richtigkeit und dafür, sicherzustellen, dass Ihre Anweisungen an uns den Datenschutzgesetzen entsprechen. Bitte vermeiden Sie personenbezogene Daten in Kundeninhalten, wo immer dies möglich ist.

15. Haftung und anwendbares Recht

Die Haftung jeder Partei im Rahmen dieser DPA unterliegt der Haftungsbeschränkung in Abschnitt 15 der Bedingungen. Nichts in dieser DPA schränkt die Rechte von Einzelpersonen gemäß den Standardvertragsklauseln oder eine Haftung ein, die gesetzlich nicht beschränkt werden kann.

Diese DPA unterliegt dem Recht, das für die Bedingungen gilt, und Streitigkeiten werden wie in den Bedingungen beschrieben behandelt, es sei denn, die Standardvertragsklauseln oder das UK Addendum sehen etwas anderes vor.

16. Änderungen dieses Nachtrags

Wir können diese DPA aktualisieren, wenn sich der Dienst, unsere Unterauftragsverarbeiter oder die Gesetzeslage ändern. Jede Version trägt ein Versionsdatum am Anfang dieser Seite. Wesentliche Änderungen kündigen wir mindestens 30 Tage vor Inkrafttreten der neuen Version per E-Mail oder in der Konsole an. Änderungen an Unterauftragsverarbeitern erfolgen gemäß Abschnitt 8.

17. Aktuelle Unterauftragnehmer

Dies sind die Anbieter, die wir derzeit für den Betrieb des Dienstes nutzen, sowie deren jeweilige Aufgaben.

• Amazon Web Services (AWS): Hosting, Datenbanken, Speicher und Sicherungen für die Konsole sowie Amazon Cognito für Kontorerstellung, Anmeldung, Passwortspeicherung und Bestätigungs-E-Mails. Standort in den Vereinigten Staaten.
• Google (Gemini): KI-Inferenz. Wenn Sie verwaltete KI über unseren Plattform-Schlüssel nutzen und Gemini als Anbieter ausgewählt ist, werden die Zeichenfolgen, der Kontext und die Chat-Nachrichten der Anfrage an deren API gesendet.
• Meta (Llama): KI-Inferenz. Wenn Sie verwaltete KI über unseren Plattform-Schlüssel nutzen und Llama als Anbieter ausgewählt ist, werden die Zeichenfolgen, der Kontext und die Chat-Nachrichten der Anfrage an deren API gesendet.
• GitHub: Wenn Sie ein Repository verknüpfen, lesen wir die von Ihnen gewählten Quelldateien und erstellen auf Ihre Anfrage Pull-Requests mit Übersetzungen unter Nutzung der gewährten Rechte.
• Stripe: Checkout, Zahlungsmethoden, Rechnungen und das Kunden-Abrechnungsportal.
• Google Workspace: E-Mails, die Sie an unsere Support- und Vertriebsadressen senden.

Stripe und Google Workspace verarbeiten Abrechnungsdaten und Korrespondenz, jedoch keine Kundeninhalte. Sie sind hier aufgeführt, damit die Liste mit der Datenschutz übereinstimmt. KI-Anbieter, die Sie mit Ihrem eigenen Schlüssel verbinden, stehen nicht auf dieser Liste, da sie in Ihrem Auftrag handeln, nicht in unserem.

18. Kontakt

Fragen zu diesem DPA, Anfragen für ein gegengezeichnetes Exemplar und Einwände gegen einen Unterauftragsverarbeiter: support@thehedgeling.com.