Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("DPA") gilt für Infrastrukturdaten: die Service-/Container-Topologie, Abhängigkeitskanten, Host- und Container-Metriken sowie Log-Zeilen, die der eigene Agent deiner Organisation an Archynt meldet, soweit diese Daten personenbezogene Daten deiner Endnutzer oder Mitarbeiter enthalten.

Für deine Konto-, Organisations- und Abrechnungsdaten ist Hexar der Verantwortliche gemäß unserer Datenschutzerklärung. Für Infrastrukturdaten handelt Hexar als dein Auftragsverarbeiter ("encargado de tratamiento" im Sinne des Gesetzes Nr. 25.326) und verarbeitet sie ausschließlich gemäß deinen dokumentierten Anweisungen, wie in diesem DPA und in Abschnitt 4 der Nutzungsbedingungen festgelegt.

Dieses DPA wird einbezogen und ist Bestandteil der Nutzungsbedingungen und der Datenschutzerklärung von Archynt. Steht es im Widerspruch zu einem der beiden hinsichtlich der Verarbeitung von Infrastrukturdaten, geht dieses DPA vor.

Du weist Hexar an, Infrastrukturdaten ausschließlich zu folgenden Zwecken zu verarbeiten: Erfassung von deinem Agenten; Korrelation mit deinem statischen Architekturgraphen; Speicherung, Anzeige und Aufbewahrung gemäß den Limits deines Plans; Erzeugung KI-gestützter Insights aus einer abgeleiteten Darstellung der Daten; sowie Durchsetzung der in unserer Datenschutzerklärung beschriebenen Sicherheits- und Zugriffskontrollen.

Jede zusätzliche Verarbeitungsanweisung muss schriftlich vereinbart werden. Hexar wird dich informieren, falls eine Anweisung nach seiner Einschätzung gegen anwendbares Datenschutzrecht verstoßen würde.

Hexar beschränkt den Zugriff auf Infrastrukturdaten auf Personal, das ihn zum Betrieb oder zur Unterstützung des Dienstes benötigt, und verpflichtet dieses Personal zur Vertraulichkeit hinsichtlich dieser Daten.

Du bevollmächtigst Hexar, zum Datum dieses DPA die folgenden Subunternehmer für Infrastrukturdaten einzusetzen: Anthropic (Claude, standardmäßiger KI-Anbieter) und OpenAI (KI-Ausweichanbieter), zur Erzeugung KI-gestützter Insights aus einer abgeleiteten Darstellung deiner Daten; sowie die Cloud-Infrastruktur- und Speicheranbieter, die Postgres, Neo4j, VictoriaMetrics und Loki hosten, zur Speicherung und Bereitstellung dieser Daten.

Hexar wird dich mindestens 15 Tage im Voraus per E-Mail oder In-App-Hinweis informieren, bevor ein neuer Subunternehmer hinzugefügt wird, der Infrastrukturdaten verarbeitet. Hast du einen begründeten datenschutzrechtlichen Einwand gegen einen neuen Subunternehmer, kontaktiere uns innerhalb dieser Frist unter [email protected]; wir werden nach Treu und Glauben mit dir zusammenarbeiten, um ihn auszuräumen — was auch bedeuten kann, diesen Subunternehmer für deine Organisation nicht einzusetzen.

Hexar wendet auf Infrastrukturdaten die in Abschnitt 7 unserer Datenschutzerklärung beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen an.

Erlangt Hexar Kenntnis von einem Sicherheitsvorfall, der Infrastrukturdaten betrifft, wird es dich unverzüglich benachrichtigen, spätestens jedoch innerhalb von 72 Stunden nach Bestätigung des Vorfalls, wie in Abschnitt 8 unserer Datenschutzerklärung beschrieben. Diese Benachrichtigung dient der Unterstützung deiner eigenen Pflichten, sofern vorhanden, gegenüber deinen Endnutzern oder Mitarbeitern und gegenüber deiner zuständigen Datenschutzbehörde.

Erhält Hexar von einem deiner Endnutzer oder Mitarbeiter eine Anfrage bezüglich Infrastrukturdaten (zum Beispiel eine Anfrage auf Zugang zu oder Löschung von Daten, die in einer Log-Zeile erscheinen), wird Hexar sie umgehend an dich weiterleiten und dich angemessen bei der Beantwortung unterstützen, auf deine Kosten, sofern die Unterstützung erheblichen Aufwand erfordert. Hexar wird Anfragen deiner Endnutzer nicht selbst unmittelbar bearbeiten, da es keine direkte Beziehung zu ihnen unterhält.

Du kannst den Architekturgraphen, die Befunde und die Dashboard-Konfiguration deiner Organisation jederzeit exportieren, solange dein Konto aktiv ist, wie in Abschnitt 9 der Nutzungsbedingungen beschrieben.

Bei Beendigung deines Kontos oder auf deine ausdrückliche schriftliche Anfrage hin wird Hexar Infrastrukturdaten innerhalb von 30 Tagen nach Ablauf der in Abschnitt 9 der Nutzungsbedingungen beschriebenen Karenzfrist löschen oder unwiderruflich anonymisieren, es sei denn, eine längere Aufbewahrungsfrist ist gesetzlich vorgeschrieben oder zur Klärung eines anhängigen Anspruchs erforderlich.

Infrastrukturdaten können an Subunternehmer außerhalb Argentiniens übermittelt werden, wie in Abschnitt 4 aufgeführt. Hexar stützt sich für diese Übermittlungen auf die in Abschnitt 5 der Datenschutzerklärung beschriebenen Mechanismen für internationale Übermittlungen — die von der argentinischen AAIP genehmigten Musterklauseln oder deine informierte Zustimmung zur jeweiligen Übermittlung.

Auf angemessene schriftliche Anfrage, höchstens einmal pro Kalenderjahr, sofern kein Sicherheitsvorfall vorliegt, der deine Daten betrifft, wird Hexar dir die Informationen zur Verfügung stellen, die angemessenerweise erforderlich sind, um die Einhaltung dieses DPA nachzuweisen, etwa eine Zusammenfassung der geltenden Sicherheitsmaßnahmen und eine Bestätigung der aktuellen Liste der Subunternehmer.

Dieses DPA gilt, solange Hexar Infrastrukturdaten in deinem Auftrag verarbeitet. Es bleibt nach Beendigung der Nutzungsbedingungen insoweit wirksam, als es zur Umsetzung von Abschnitt 8 (Datenexport und -löschung) erforderlich ist.