Auftragsverarbeitungsvertrag

Dieser Vertrag beschreibt, wie Macha AI (AGZ Technologies Private Limited) personenbezogene Daten als Auftragsverarbeiter im Namen der Kunden verarbeitet.

1. Zweck und Umfang

Macha verarbeitet Daten, um KI-Assistenzdienste, Ticket-Analyse und Kundensupport-Optimierung bereitzustellen.

2. Rollen und Verantwortlichkeiten

• Kunde = Verantwortlicher
• Macha = Auftragsverarbeiter

3. Datenkategorien und Personengruppen

Verarbeitete Datenarten:

• Informationen zu Endnutzern des Kunden (Namen, E-Mails, Nachrichten)
• Support-Ticket-Inhalte und Metadaten
• Help-Center-Artikel und Produktdaten

Zu den Betroffenen gehören Mitarbeiter und Endnutzer des Kunden.

4. Verarbeitungsanweisungen

Die Verarbeitung erfolgt ausschließlich gemäß der Dokumentation des Kunden, geltenden Gesetzen wie der DSGVO und den in der Datenschutzrichtlinie beschriebenen Zwecken.

5. Unterauftragsverarbeiter

Macha setzt geprüfte Partner ein, u. a.:

• MongoDB (Frankfurt, Deutschland), Datenbank und Konfigurationsdaten
• DigitalOcean (Frankfurt, Deutschland), Hosting-Infrastruktur und Dateispeicherung
• OpenAI, KI-Modell-Anbieter für generative Antworten
• Anthropic, KI-Modell-Anbieter für generative Antworten
• Groq, KI-Modell-Anbieter für generative Antworten
• Stripe, Zahlungsverarbeitung
• Postmark, Zustellung transaktionaler E-Mails
• Chargebee, Abonnement- und Abrechnungsverwaltung

6. Datenstandort und Übermittlungen

Hauptverarbeitung in Frankfurt, Deutschland. Internationale Übermittlungen erfolgen über Standardvertragsklauseln oder das EU-U.S. Data Privacy Framework.

7. Sicherheitsmaßnahmen

• Feldbezogene AES-256-GCM-Verschlüsselung im Ruhezustand
• TLS 1.2+ bei der Übertragung zwischen allen Systemen
• OTP-Authentifizierung per E-Mail
• Rollenbasierte Zugriffskontrolle
• Schlüsseltrennung
• PII-Redaktion
• Datenminimierungsrichtlinien

8. Rechte der Betroffenen

Macha unterstützt Kunden bei der Beantwortung von DSGVO-Anfragen der Betroffenen (Auskunft, Berichtigung, Löschung).

9. Aufbewahrung und Löschung

• Konversationsinhalte: 45 Tage ab der letzten Aktivität, automatische Löschung
• Daten von Testkonten: 30 Tage nach Testende
• Daten zahlender Konten: 30 Tage nach Vertragsende
• Frühere Löschung auf Anfrage möglich

Die 45-Tage-Frist gilt für Konversationsinhalte; die 30-Tage-Fristen gelten für Daten auf Kontoebene nach Vertragsende. Die Aufbewahrungsfristen für jede Kategorie personenbezogener Daten sind vollständig in der Datenschutzerklärung festgelegt.

10. Verletzungsmeldung

Macha benachrichtigt Kunden innerhalb von 72 Stunden nach bestätigter Verletzung und beschreibt Art, Auswirkungen, Maßnahmen zur Eindämmung und Kontaktinformationen.

11. Auditrechte

Kunden dürfen Praktiken mit angemessener Vorankündigung (max. einmal jährlich) auditieren, wobei die Vertraulichkeit anderer Kunden gewahrt bleibt.

12. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den in den Nutzungsbedingungen festgelegten Haftungsbeschränkungen und -ausschlüssen; jede Bezugnahme in diesen Bedingungen auf die Haftung einer Partei bezeichnet deren Gesamthaftung nach den Bedingungen und diesem AVV zusammengenommen.

13. Laufzeit und Kündigung

Der Vertrag bleibt während der Datenverarbeitung aktiv; Macha löscht oder gibt Daten bei Beendigung zurück, sofern die Aufbewahrung nicht gesetzlich vorgeschrieben ist.

14. Kontakt

Bei Fragen wenden Sie sich an [email protected].

Firmensitz: AGZ Technologies Private Limited, M1801 Meghana Shalini Apartments, Banashankari 2nd Stage, Bangalore - 560070, Karnataka, Indien.