Datenverarbeitungsvereinbarung

Skeyon Lab S.L. — VerifyEmails, Pop-ups und Automatisierung

1. Parteien und Zweck

Diese Abwicklungsvereinbarung, im Folgenden “DPA”, regelt die Verarbeitung personenbezogener Daten, die von Skeyon Lab S.L. mit NIF-B65911679 und Adresse in Zamora 105, 6.º 3.ª, 08018 Barcelona, Spanien, im Folgenden “Skeyon” durchgeführt werden, im Namen der natürlichen oder juristischen Person, die im Konto und im Vertrag der Dienstleistung als Kunde identifiziert ist, im Folgenden “Kunde”.

Der Ansprechpartner für Datenschutzfragen, Anweisungen und Anfragen im Zusammenhang mit diesem DPA ist contactar@verificaremails.com.

Der DPA gilt ausschließlich für die vom Kunden in Anspruch genommenen und genutzten Dienstleistungen unter den in Anhang I beschriebenen. Sein Zweck ist es, die Verarbeitungsbedingungen im Namen des Kunden gemäß der Verordnung (EU) 2016/679, im Folgenden “DSGVO”, und den geltenden spanischen Datenschutzbestimmungen festzulegen.

Die von Skeyon für eigene Zwecke wie Kontoverwaltung, Rechnungsstellung und Einhaltung gesetzlicher Verpflichtungen verwendete Daten werden durch die entsprechende Datenschutzrichtlinie geregelt. Diese Unterscheidung erlaubt nicht die Wiederverwendung der für diese Zwecke bereitgestellten Kontakte, um Kampagnen zu überprüfen oder zu verwalten.

2. Rollen und Kunden, die im Auftrag Dritter handeln

Der Kunde fungiert als Datenverantwortlicher bei der Festlegung der Zwecke und wesentlichen Mittel der Verarbeitung. In diesem Fall fungiert Skeyon als Datenbearbeiter.

Wenn der Kunde eine Agentur oder ein anderer Anbieter ist, der als Bearbeiter im Auftrag eines Dritten handelt, fungiert Skeyon als Unterbearbeiter. Der Auftraggeber muss die erforderliche Genehmigung des Verantwortlichen erhalten und Anweisungen bereitstellen, die mit der empfangenen Aufgabe vereinbar sind. Die Nutzung der Plattform stellt keine Überprüfung der vertraglichen Beziehungen des Kunden zu seinen eigenen Kunden durch Skeyon dar.

Die Verweise in diesem DPA auf die Anweisungen und Verpflichtungen des Kunden werden als Anpassung an seine wirksame Rolle verstanden. Der Kunde liefert, wo erforderlich, die Informationen, die die Erfüllung der Verpflichtungen des endgültigen Verantwortlichen ermöglichen.

3. Anweisungen und Zweck der Verarbeitung

Skeyon verarbeitet die Daten ausschließlich, um die vertraglich vereinbarten Dienstleistungen gemäß den dokumentierten Anweisungen des Kunden zu erbringen. Anweisungen sind diese DPAs, Kontoeinstellungen, Transaktionen, die über die Plattform oder API angefordert werden, sowie verifizierte Anfragen, die über Support-Kanäle eingereicht werden.

Die Anweisungen umfassen, wo zutreffend, Kommunikation mit Integrationen oder Empfängern, die der Client konfiguriert. Keine Integration allein erweitert die autorisierten Zwecke.

Skeyon verwendet keine Kontakte oder Verifizierungsergebnisse für andere Kunden, um eigene Kontaktdatenbanken zu erstellen oder künstliche Intelligenzmodelle zu trainieren.

Wenn eine Verordnung der Europäischen Union oder eines Mitgliedstaates eine andere Behandlung erfordert, informiert Skeyon den Kunden im Voraus, sofern dies nicht gesetzlich verboten ist. Wenn es der Meinung ist, dass eine Anweisung gegen die geltenden Vorschriften verstößt, wird es den Kunden umgehend benachrichtigen und vor der Ausführung des betroffenen Teils um Klärung oder Korrektur bitten.

4. Verpflichtungen des Kunden und Minimierung

Es liegt in der Verantwortung des Kunden, die Rechtmäßigkeit der Verarbeitung zu bestimmen und nachzuweisen, die von den betroffenen Personen benötigten Informationen bereitzustellen, deren Rechte einzuhalten und rechtmäßige Anweisungen zu geben. Der Kunde muss die erforderliche rechtliche Grundlage für die beantragten Transaktionen haben, ohne dass diese DPA davon ausgeht, dass diese Grundlage stets Zustimmung sein muss.

Der Kunde stellt nur die Daten bereit, die für den Service angemessen, relevant und notwendig sind. Er muss Dateien mit unnötigen Spalten vermeiden und die benutzerdefinierten Felder, Formulare und Integrationen überprüfen, die er konfiguriert.

Skeyon prüft nicht systematisch alle Inhalte, um deren Art oder Herkunft zu bestimmen. Dieser Umstand schließt seine Verpflichtungen als Bearbeiter in Bezug auf die personenbezogenen Daten, die es tatsächlich verarbeitet, nicht aus.

Die von diesem DPA abgedeckten Dienstleistungen sind nicht beauftragt, spezielle Datenkategorien oder Daten zu strafrechtlichen Verurteilungen und Straftaten zu verarbeiten. Ihre Verarbeitung erfordert eine spezifische Vorvereinbarung, die die anwendbaren Bedingungen und Garantien festlegt. Wenn der Kunde feststellt, dass sie versehentlich eingearbeitet wurden, muss er deren Entfernung beantragen oder sie über die verfügbaren Funktionen löschen.

5. Vertraulichkeit und autorisiertes Personal

Der Zugriff der Skeyon-Mitarbeiter auf Daten ist auf Support-Mitarbeiter und als zweite Ebene auf Entwickler beschränkt, wenn eine Anfrage des Kunden die Überprüfung eines Vorfalls oder Serviceelements erfordert. Der Zugang wird auf das für die autorisierte Aufgabe notwendige Tätigkeit beschränkt

Das Skeyon-Personal erhält Zugriff aus Spanien und unterliegt Vertraulichkeitspflichten, die auch nach dem Ende ihrer Beziehung zu Skeyon in Kraft bleiben. Dieser Standort des Personals stellt keine Erklärung über alle Bearbeitungsorte der Anbietern im Anhang III dar.

Die direkte, außergewöhnliche Löschung der Datenbank ist der von Skeyon für diese Funktion autorisierten Person vorbehalten, die intern als “Datenverantwortlicher” bezeichnet wird. Dieser interne Name ändert nicht die in Klausel 2 definierten rechtlichen Rollen und entspricht auch nicht der Ernennung eines Datenschutzbeauftragten.

6. Security

Skeyon wird technische und organisatorische Maßnahmen umsetzen, die dem Risiko entsprechen, und die in Anhang II beschriebenen Maßnahmen aufrechterhalten. Es wird seine Angemessenheit hinsichtlich der Art der Daten und des Betriebs der Dienste überprüfen.

Die technische Entwicklung der Maßnahmen kann den beeinträchtigten Schutz nicht verringern. Der Kunde schützt seine Zugangsdaten, begrenzt die Berechtigungen seiner Nutzer und nutzt die verfügbaren Funktionen gemäß seinen eigenen Sicherheitspflichten.

7. Unterprozessoren

Der Kunde erteilt die allgemeine Erlaubnis, die in Anhang III genannten Unterprozessoren im Rahmen der beschriebenen Funktionen zu verwenden. Skeyon erhebt ihnen schriftlich Datenschutzpflichten, die denen entsprechen, die für die ihm anvertraute Verarbeitung anwendbar sind, und bleibt dem Kunden gegenüber für die Erfüllung dieser Verpflichtungen durch die Subprozessoren haftbar.

Skeyon wird jede geplante Ergänzung oder Substitution im Voraus mitteilen, wobei der Anbieter, seine Rolle und die relevanten Standorte identifiziert werden. Der Kunde kann einen Einspruch aus Datenschutzgründen einreichen, bevor der neue Anbieter seine Daten verarbeitet. Es wird eine angemessene Zeit zur Überprüfung der Änderung gewährt; das blotlose Aktualisieren einer Website wird nicht als ausreichend angesehen.

Die Parteien werden eine sinnvolle Alternative zu einem begründeten Widerspruch in Betracht ziehen. Kann dieser nicht gelöst werden, kann der betroffene Dienst beendet werden, wobei die Rückgabe- und Löschpflichten dieses DPA geltend gemacht werden.

Nach dem für diese Veröffentlichung festgelegten Umfang werden keine externen Anbieter für die Durchführung der von Skeyon beauftragten Verifikationsprüfungen eingesetzt. Infrastrukturanbieter sind in Anhang III aufgeführt. Diese Bestimmung schließt die technischen Interaktionen mit den Zielsystemen nicht aus, die erforderlich sind, um die angeforderten Prüfungen durchzuführen.

8. Internationale Orte und Transfers

Die Verarbeitungsorte und Anbieter sind in Anhang III beschrieben. Die registrierte Adresse eines Anbieters bestimmt nicht allein, wo er die Daten verarbeitet.

Wenn eine Verarbeitung, ein Fernzugriff oder eine Kommunikation eine internationale Übertragung darstellt, stellt Skeyon sicher, dass die Anforderungen von Kapitel V der DSGVO erfüllt werden. Wo zutreffend, werden eine anwendbare Angemessenheitsentscheidung oder geeignete Schutzmaßnahmen, einschließlich standardisierter Vertragsklauseln, mit den notwendigen Bewertungen und ergänzenden Maßnahmen verwendet.

Dieses DPA enthält allein keine standardisierten Vertragsklauseln für internationale Transfers und ersetzt auch nicht die mit den Empfängern abgeschlossenen Instrumente. Auch stellt seine Annahme keine allgemeine Zustimmung für Übertragungen dar, die nicht von den Vorschriften abgedeckt sind.

9. Kundenrechte und Unterstützung

Skeyon wird den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen dabei unterstützen, auf Anfragen zur Ausübung von Rechten zu reagieren und seinen Verpflichtungen in Bezug auf Sicherheit, Folgenabschätzung und vorherige Beratung nachzukommen.

Erhält es direkt eine Anfrage bezüglich im Auftrag des Mandanten verarbeiteten Daten, leitet es diese ohne unzumutbare Verzögerung an den Kunden weiter und entscheidet nicht eigenständig über deren Inhalt, es sei denn, es ist gesetzlich vorgeschrieben oder ausdrücklich angewiesen.

Anfragen werden über die Funktionen des Dashboards oder, falls nötig, über den Support bearbeitet. Eine außergewöhnliche selektive Löschung in der Datenbank erfordert eine verifizierte Anfrage und die notwendigen Identifikatoren, um das Konto und die Datensätze zu finden, und wird von der von Skeyon autorisierten Person durchgeführt.

10. Sicherheitsverletzungen

Skeyon hat ein Incident-Management-Verfahren. Das Support-Team erhält Mitteilungen und leitet sie zur Verwaltung weiter.

Skeyon wird den Kunden ohne unnötige Verzögerung über Sicherheitsverletzungen personenbezogener Daten informieren, die die in seinem Namen verarbeiteten Daten betreffen. Die Mitteilung enthält die verfügbaren Informationen über die Art des Vorfalls, die Daten und betroffenen Personen, die voraussichtlichen Konsequenzen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie einen Kontakt zur Nachverfolgung.

Hat es zunächst nicht alle Details, liefert es ohne unnötige Verzögerung Updates. Es arbeitet mit dem Kunden an den entsprechenden Eindämmungs-, Bewertungs- und Kommunikationsmaßnahmen zusammen. Die Benachrichtigung wird nicht verzögert, bis eine endgültige Untersuchung vorliegt.

11. Aufbewahrung und Ende der Verarbeitung

Die differenzierten Fristen in Anhang I gelten. Eine vorübergehende Aufbewahrung zur Verifizierung ist nicht gleichwertig mit der kontinuierlichen Aufbewahrung, die der Kunde bei der Nutzung von Pop-ups oder Automatisierung verlangt.

Am Ende des Services kann der Kunde die Rückgabe der verfügbaren Daten oder deren Löschung beantragen. Die Rückgabe erfolgt entweder durch Download oder ein vereinbartes Verfahren vor Ablauf der Löschfrist. Es ist nicht möglich, bereits gelöschte Daten gemäß den geltenden Anweisungen und Fristen zurückzugeben.

Sicherungskopien, die noch gelöscht werden, bleiben geschützt und dürfen nicht für den normalen Gebrauch verwendet werden. Ist eine Wiederherstellung notwendig, müssen frühere Löschanordnungen eingehalten werden, um zu verhindern, dass gelöschte Daten wieder in die aktive Nutzung gelangen.

Wenn eine rechtliche Verpflichtung die Aufbewahrung bestimmter Daten verlangt, dürfen nur die notwendigen Daten aufbewahrt werden, wobei deren Verarbeitung auf diese Verpflichtung beschränkt und sie am Ende der erforderlichen Frist gelöscht wird.

12. Informationen und Prüfungen

Skeyon stellt dem Kunden die notwendigen Informationen zur Nachweis der Einhaltung dieses DPA zur Verfügung und ermöglicht und trägt zu Prüfungen und Inspektionen bei, die vom Kunden oder einem vom Kunden autorisierten Prüfer durchgeführt werden.

Die Parteien koordinieren den Umfang und die Vertraulichkeitsmaßnahmen zum Schutz der Daten anderer Kunden und zur Sicherheit des Services. Dokumenteninformationen dürfen zunächst verwendet werden, wenn ausreichend, ohne zusätzliche gerechtfertigte Überprüfungen oder die Befugnisse der Aufsichtsbehörden zu beeinträchtigen.

13. Elektronische Gültigkeit und Akzeptanz

Der DPA wird Teil der Vertragsbedingungen sein, wenn er dem Kunden vor dem Vertrag zur Verfügung gestellt wird und ausdrücklich in seine Annahme einbezogen wird. Die Identität des Kunden ist diejenige, die im Bericht und Vertrag angegeben ist; wer in seinem Namen annimmt, erklärt, berechtigt zu sein, ihn zu binden.

Die Annahme kann elektronisch erfolgen, wobei Nachweise des Kontos, des Datums und der akzeptierten Version erhalten bleiben. Die bloße öffentliche Verfügbarkeit des Dokuments ersetzt nicht seine Aufnahme in den Vertrag. Für bestehende Kunden wird die entsprechende Haftung dokumentiert.

Der DPA bleibt in Kraft, solange Skeyon Daten im Namen des Kunden verarbeitet, einschließlich nachfolgender Vertraulichkeits-, Rückgabe- und Löschpflichten. Wesentliche Änderungen werden gemäß dem Vertrag und den geltenden Vorschriften kommuniziert und formalisiert.

14. Beziehung zu den allgemeinen Geschäftsbedingungen

Im Falle eines Widerspruchs hat dieses DPA Vorrang vor den allgemeinen Bedingungen zur Datenverarbeitung im Namen des Kunden. Keine vertragliche Beschränkung schließt verbindliche Verpflichtungen oder Pflichten, Rechte der betroffenen Personen oder Befugnisse der Behörden aus.

spanisches Recht und die DSGVO werden gelten. Die Beilegung von Streitigkeiten wird durch die gültigen Bestimmungen des Hauptvertrags geregelt, wobei die geltenden verbindlichen Regeln beachtet werden.

Anhang I Beschreibung der Verarbeitung und Speicherung

A Datenverifizierungsprodukte

: Verifizierung von E-Mails, Telefonnummern, Namen und Postadressen unter Verwendung der vertraglich vereinbarten Methoden, einschließlich APIs und Dateien.

Zweck und Betrieb: Empfang, Lesen, Kontrolle, Standardisierung oder Korrektur im Rahmen des Produkts, Erzeugung und Lieferung von Ergebnissen sowie Löschung. Das Ergebnis wird verwendet, um auf die Anfrage des Kunden zu reagieren.

Daten: E-Mail-Adressen, Telefonnummern, Namen, Nachnamen, Postadressen, vom Kunden bereitgestellte Identifikatoren, Validierungsergebnisse und andere in die Datei eingebaute Felder, die für die Verarbeitung notwendig sind. Der Kunde muss Felder ausschließen, die nicht für diesen Zweck bestimmt sind.

Datenpersonen: Personen, deren Daten der Kunde zur Überprüfung bereitstellt, wie Kunden, Interessenten, berufliche Kontakte oder Mitarbeiter, je nach vom Auftragnehmer bestimmter Nutzung.

Aufbewahrung: Dateien und Ergebnisse, die für den Service maximal 30 Tage ab dem Verifizierungsdatum aufbewahrt werden, danach werden sie gelöscht.

Kontakte und Validierungen für andere Kunden oder Schulungen von KI-Modellen werden nicht wiederverwendet.

B Pop-ups und

Automatisierungsprodukte: Pop-up-Plattform und Automatisierungsplattform, abhängig von den vertraglich vereinbarten und aktivierten Funktionalitäten.

Zweck und Abläufe: Erfassung, Registrierung, Speicherung, Organisation, Konsultation, Aktualisierung, Segmentierung und Ausführung der vom Client konfigurierten Aktionen oder Kommunikationen sowie Export und Löschung. Die spezifischen aktivierten Funktionen spezifizieren die Anweisungen des Kunden.

Daten: Identifikations– und Kontaktdaten, Formularfelder und erforderliche benutzerdefinierte Felder, Abonnementpräferenzen und -status sowie Interaktions- oder Aktivitätsdaten, die durch die verwendeten Funktionen generiert werden. Produkt- und Transaktionsdaten werden, wenn sie durch eine aktivierte Integration bereitgestellt und mit Personen verknüpft sind, nur innerhalb der Anweisungen des Kunden verarbeitet.

Datenpersonen: Besucher, die mit den Formularen oder Pop-ups interagieren, Abonnenten, Kunden, Interessenten und andere Personen, deren Daten rechtmäßig vom Kunden verwaltet werden.

Aufbewahrung: Die Daten bleiben erhalten, solange der Kunde den Dienst aufrechterhält und keine Löschung anordnet. Im Falle einer Stornierung oder Einstellung der Zahlung des entsprechenden Dienstes werden sie innerhalb von maximal 30 Tagen nach dem genannten Ereignis gelöscht, einschließlich Kopien innerhalb dieses globalen Zeitraums. Die Zahlungseinstellungsregel gilt nicht für einen kostenlosen Tarif, nur weil er kostenlos ist.

C Allgemeine Regeln

Anhang II Technische und organisatorische Maßnahmen

Die für diese Version bestätigten Maßnahmen sind:

• Verwendung von HTTPS/TLS in der Kommunikation zum Zugriff auf Dienste.
• Dateiverschlüsselung und Backups.
• Rollenbasierter Zugriff, beschränkt auf autorisierte Funktionen.
• Multi-Faktor-Authentifizierung für Administratoren.
• Zugriff durch Skeyon-Mitarbeiter aus Spanien.
• Vertraulichkeitsverpflichtungen der Mitarbeiter mit Zugriff.
• Aufmerksamkeit für Vorfälle durch den Support und zweiter Ebene Zugriff durch Entwickler, wenn dies für eine Anfrage des Kunden erforderlich ist.
• Vorfallmanagementverfahren.
• Löschung von Konten über das Panel und außergewöhnliches Verfahren der selektiven Löschung mit eingeschränktem Zugriff auf die Datenbank.
• Rotation der Protokolle und Löschung von Kopien gemäß Anhang I.

Dieser Anhang gibt keine Zertifizierungen, jährlichen externen Audits oder spezifische Verschlüsselungsalgorithmen bekannt, die nicht bestätigt wurden.

Anhang III Unterprozessoren und Infrastruktur

Hostalia

Entity: TELEFÓNICA SOLUCIONES DE INFORMÁTICA Y COMUNICACIONES DE ESPAÑA S.A.U.
Marke: Hostelia.
NIF: A78053147.
Adresse: Ronda de la Comunicación S/N, Distrito C, Edificio Norte 2, 28050 Madrid, Spanien.
Rolle: Hosting, Speicherung und Verwaltung von Automatisierungsdaten.
Datenstandort: Madrid, Spanien.

Noraina

Entität: Noraina Ltd.
Adresse: Einheit 3D North Point House, North Business Park, Cork, Co. Cork, T23 AT2P, Irland.
Registrierungsnummer: 614532.
BTW-ID: IE3505981KH.
Funktion: Hosting , Speicherung und Datenverwaltung von Verifikationsdiensten und Pop-ups.
Rechenzentren:

Cloudflare

Entität: Cloudflare, Inc.
Adresse: 101 Townsend Street, San Francisco, Kalifornien 94107, Vereinigte Staaten.
US-EIN bereitgestellt: 270805829.
Funktion: Cache- und Proxy-Dienste für die Service-Infrastruktur.
Deklarierte Konfiguration: Nutzung der europäischen Region.

Der Verweis auf die europäische Region stellt keine Garantie der ausschließlichen Verarbeitung innerhalb des Europäischen Wirtschaftsraums dar. Internationale Übertragungen, sofern zutreffend, werden durch Klausel 8 geregelt.