Auftrags-
bearbeitung
Der Rahmen, der gilt, wenn Travia Personendaten im Auftrag eines Kunden bearbeitet, und die Liste der beteiligten Unterauftragsbearbeiter.
1. Rollen der Parteien
Hinterlegt oder erzeugt ein Kunde Personendaten in der Plattform, bleibt er dafür Verantwortlicher. NETZERO SWISS AG handelt als Auftragsbearbeiterin im Sinne von Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und, soweit anwendbar, von Art. 28 der Verordnung (EU) 2016/679 (DSGVO).
Diese Seite bildet die Datenbearbeitungsvereinbarung des Abonnementsvertrags. Sie ist fester Bestandteil davon, zusammen mit der Seite Datensicherheit, auf die sie verweist. Version und Aktualisierungsdatum stehen am Seitenanfang; für einen Vertrag gilt die bei seiner Unterzeichnung gültige Version, und jede frühere Version wird auf einfache Anfrage mitgeteilt. Jede Änderung, die das Schutzniveau spürbar senken würde, wird mit einer Frist von sechzig (60) Tagen angekündigt. Eine separate, unterzeichnete und auf den Kunden zugeschnittene Vereinbarung kann an ihre Stelle treten.
2. Gegenstand der Bearbeitung
| Element | Beschreibung |
|---|---|
| Gegenstand | Bereitstellung der Plattform für Flottensteuerung und Aussendienst |
| Art | Erheben, Erfassen, Strukturieren, Aufbewahren, Abfragen, Auslesen und Löschen |
| Zweck | Erfüllung des Abonnementsvertrags und der Weisungen des Kunden |
| Dauer | Vertragsdauer, zuzüglich der Fristen für Rückgabe und Löschung |
| Betroffene Personen | Mitarbeitende des Kunden, Fahrer, Techniker, Kontakte seiner Kunden und Partner |
| Datenkategorien | Identität und geschäftliche Kontaktdaten, Konto- und Rollendaten, Betriebsdaten (Aufträge, Status, Zeiten, Nachweise, Zwischenfälle), Standortdaten zu Fahrzeugen und Aufträgen, Zugriffsprotokolle |
| Besonders schützenswerte Daten | Von der Plattform nicht verlangt; der Kunde hinterlegt solche nicht ohne Notwendigkeit |
3. Weisungen
NETZERO SWISS AG bearbeitet die Daten nur auf dokumentierte Weisung des Kunden. Der Vertrag, die Konfiguration der Plattform und die schriftlichen Anfragen des Kunden gelten als Weisungen.
Die Erstellung aggregierter und anonymisierter Statistiken zur Verbesserung der Plattform ist ein separater Vorgang, der auf der vertraglichen Ermächtigung des Kunden beruht. Er kann ihn schriftlich ablehnen, ohne Auswirkung auf den Dienst; nach der Anonymisierung lassen die Statistiken weder den Kunden noch eine Person erkennen.
Erscheint eine Weisung als rechtswidrig, informiert NETZERO SWISS AG den Kunden unverzüglich und kann ihre Ausführung aussetzen. Eine durch gesetzliche Pflicht vorgeschriebene Bearbeitung wird dem Kunden vor der Ausführung gemeldet, ausser das Gesetz verbietet dies.
4. Vertraulichkeit des Personals
Die zur Bearbeitung berechtigten Personen sind namentlich bestimmt, im Datenschutz geschult und an eine vertragliche Schweigepflicht gebunden, die über das Ende ihrer Tätigkeit hinaus gilt. Der Zugriff ist auf das für ihre Aufgabe Nötige beschränkt.
5. Sicherheit
NETZERO SWISS AG trifft die angemessenen technischen und organisatorischen Massnahmen nach Art. 8 DSG, Art. 1 bis 5 der Datenschutzverordnung (DSV) und Art. 32 DSGVO. Die Einzelheiten sind auf der Seite Datensicherheit veröffentlicht und werden aktuell gehalten.
6. Unterauftragsbearbeiter
Der Kunde ermächtigt zum Beizug der unten aufgeführten Unterauftragsbearbeiter. Jeder ist an Schutzpflichten gebunden, die mindestens den hier beschriebenen entsprechen.
| Unterauftragsbearbeiter | Leistung | Standort |
|---|---|---|
| OVH SAS (OVHcloud) | Hosting der Infrastruktur der Plattform, Speicherung und Sicherungen | Frankreich |
| Infomaniak Network SA | Übermittlung und Aufbewahrung der E-Mails an die Kontaktadresse der Website: Anfragen über das Formular « Einen Tourentag testen », Demonstrationsanfragen und Anfragen zur Ausübung der Rechte | Schweiz |
| Plus Five Five, Inc. (Resend) | Technischer Versand von Anmeldelinks und Kontaktformular-Anfragen | Vereinigte Staaten |
Vollständige Identität der Unterauftragsbearbeiter: OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix, France, RCS Lille Métropole 424 761 419; Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias (Genève), Suisse, CHE-103.167.648, Registre du commerce du canton de Genève; Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, Vereinigte Staaten.
Jede Ergänzung oder jeder Ersatz eines Unterauftragsbearbeiters wird dem Kunden mindestens dreissig (30) Tage vor der Umsetzung mitgeteilt. Der Kunde kann aus einem ernsthaften Grund des Datenschutzes widersprechen; gibt es keine Alternative, kann er den betroffenen Teil des Dienstes ohne Entschädigung kündigen.
7. Bekanntgabe ins Ausland
Die Empfängerstaaten werden hier gemäss Art. 19 Abs. 4 DSG mitgeteilt. Die Infrastruktur der Plattform wird in Frankreich von OVH SAS (OVHcloud) gehostet. Direkt an die Kontaktadresse der Website gesendete E-Mails werden in der Schweiz von Infomaniak Network SA übermittelt und aufbewahrt. Anmeldelinks und Kontaktformular-Anfragen laufen zusätzlich über Resend, das Nachrichteninhalte und Zustelldaten in den Vereinigten Staatenspeichert, auch wenn eine europäische Versandregion verwendet wird.
Frankreich ist, wie die übrigen Mitgliedstaaten der Europäischen Union und des Europäischen Wirtschaftsraums, in Anhang 1 DSV unter den Staaten mit angemessenem Schutz im Sinne von Art. 16 Abs. 1 DSG aufgeführt.
Eine Bekanntgabe in einen Staat ohne angemessenen Schutz ist nur mit geeigneten Garantien im Sinne von Art. 16 Abs. 2 DSG möglich – insbesondere den vom EDÖB anerkannten Standardvertragsklauseln –, nötigenfalls ergänzt durch zusätzliche Massnahmen, und nach Information des Kunden.
8. Unterstützung des Verantwortlichen
NETZERO SWISS AG unterstützt den Kunden im zumutbaren Rahmen und unter Berücksichtigung der Art der Bearbeitung:
- bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte; direkt bei NETZERO SWISS AG eingehende Anfragen werden dem Kunden weitergeleitet, ohne sie inhaltlich zu beantworten;
- bei einer Datenschutz-Folgenabschätzung im Sinne von Art. 22 DSG oder Art. 35 DSGVO sowie einer vorgängigen Konsultation der Behörde;
- bei der Dokumentation der Sicherheitsmassnahmen und der Führung des Verzeichnisses der Bearbeitungstätigkeiten;
- bei der Bewältigung einer Verletzung der Datensicherheit.
9. Verletzung der Datensicherheit
NETZERO SWISS AG informiert den Kunden ohne unangemessene Verzögerung, nachdem sie von einer Verletzung der Datensicherheit erfahren hat, die seine Daten betrifft, und teilt ihm die Art der Verletzung, die Kategorien und die ungefähre Menge der betroffenen Daten und Personen, die wahrscheinlichen Folgen und die getroffenen oder vorgeschlagenen Massnahmen mit.
Die Meldung an den EDÖB nach Art. 24 DSG oder an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO sowie die Information der betroffenen Personen obliegen dem Kunden als Verantwortlichem. NETZERO SWISS AG liefert ihm die nötigen Angaben.
10. Kontrolle und Audit
NETZERO SWISS AG stellt dem Kunden auf angemessene schriftliche Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der hier beschriebenen Pflichten nötig sind: Beschreibung der Massnahmen, Antworten auf einen Sicherheitsfragebogen, verfügbare Prüfberichte.
Ein Audit vor Ort durch den Kunden oder einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer, der kein Mitbewerber ist, ist höchstens einmal jährlich möglich, mit einer Vorankündigung von dreissig (30) Tagen, während der Geschäftszeiten, ohne Störung des Betriebs und ohne Zugriff auf Daten anderer Kunden. Die Kosten trägt der Kunde, es sei denn, das Audit deckt einen erheblichen Verstoss auf.
11. Ende der Bearbeitung
Bei Vertragsende hat der Kunde dreissig (30) Tage Zeit, seine Daten zu exportieren. Nach Ablauf dieser Frist löscht oder anonymisiert NETZERO SWISS AG die Daten innert neunzig (90) Tagen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
Kopien in den verschlüsselten Sicherungen verschwinden durch automatische Rotation: Jede Sicherung wird fünfunddreissig (35) Tage ab ihrer Erstellung aufbewahrt, sodass die letzte Kopie mit den Daten spätestens fünfunddreissig (35) Tage nach der Löschung in der Produktion verschwindet. Eine Löschbestätigung wird auf Anfrage ausgestellt.
Kontakt für alle Fragen zur Auftragsbearbeitung: info@netzeroswiss.ch.
Diese Seite ist eine Übersetzung. Bei Abweichungen ist die französische Fassung massgebend.