Vertrag zur Auftragsverarbeitung personenbezogener Daten

1. Parteien

• Auftraggeber (Verantwortlicher für personenbezogene Daten)– juristische Person, die ein Firmenabonnement für SonarSense-Dienste abgeschlossen hat und gemäß Ziffer 2 Art. 3 des Föderalen Gesetzes Nr. 152-FZ Betreiber der personenbezogenen Daten ihrer Mitarbeiter und anderer natürlicher Personen ist.
• Auftragnehmer (Bürge)– ООО „SONAR“ (Steuernummer 3666278212, OGRN 1263600003952, Reg.-Nr. im Register der Betreiber 36-26-044855), das personenbezogene Daten im Auftrag des Kunden gemäß Teil 3 Art. 6 des Föderalen Gesetzes Nr. 152-FZ verarbeitet.

2. Gegenstand

Der Auftraggeber beauftragt den Auftragnehmer mit der Verarbeitung von personenbezogenen Daten von Mitarbeitern des Auftraggebers und anderen natürlichen Personen (Kontrahenten von Mitarbeitern des Auftraggebers, die an den aufgezeichneten Gesprächen teilnehmen) in dem Umfang, zu den Bedingungen und für die Zwecke, die in Datenschutzrichtlinie und Datenschutzrichtlinie für Sonar Assistant.

3. Verzeichnis der Verarbeitungsvorgänge mit personenbezogenen Daten

• Erhebung, Aufzeichnung, Systematisierung, Speicherung, Aktualisierung und Änderung, Auslesung
• Nutzung (Spracherkennung, Erstellung von KI-Hinweisen, Erstellung von Analyseergebnissen)
• Übermittlung an Unterauftragsverarbeiter der zweiten Ebene (siehe Abschnitt 6) – einschließlich grenzüberschreitender Übermittlung
• Anonymisierung, Sperrung, Löschung, Vernichtung

4. Anforderungen an den Schutz personenbezogener Daten durch den Auftragnehmer

Der Auftragnehmer ergreift folgende Schutzmaßnahmen gemäß Art. 19 152-FZ:

• organisatorische Maßnahmen: Zugriffsbeschränkung, Unterweisung der Mitarbeiter, Kontrolle des Datenzugriffs
• technische Maßnahmen: Verschlüsselung der Verbindungen (TLS 1.2+), Sicherungskopien, Überwachung unbefugter Zugriffe
• Lokalisierung von Verarbeitungsergebnissen auf Servern in der Russischen Föderation (Art. 18.5 152-FZ)
• Einholung separater Einwilligungen der betroffenen Personen in die Verarbeitung biometrischer personenbezogener Daten und deren grenzüberschreitende Übermittlung
• Die Benachrichtigung über die Absicht, eine grenzüberschreitende Übermittlung vorzunehmen, wurde bei Roskomnadsor eingereicht und genehmigt

5. Verantwortung der Parteien

5.1. Der Kunde ist für das Vorliegen rechtlicher Grundlagen für die Verarbeitung der personenbezogenen Daten betroffener Personen und die Einholung der erforderlichen Einwilligungen verantwortlich, einschließlich für die Aufzeichnung von Gesprächen unter Beteiligung Dritter (siehe Art. 152.2 des Bürgerlichen Gesetzbuchs der Russischen Föderation).

5.2. Der Auftragnehmer ist für die Sicherheit der Datenverarbeitung auf seiner Seite und bei den Unterauftragnehmern der zweiten Ebene im Rahmen seines Auftrags verantwortlich.

5.3. Die Parteien grenzen die Verantwortung gemäß Teil 5 Art. 6 152-FZ ab: Der Kunde ist dem Subjekt gegenüber für die Handlungen des Auftragnehmers im Rahmen des Auftrags verantwortlich; der Auftragnehmer ist dem Kunden gegenüber für Handlungen im Widerspruch zu den Bedingungen dieses Vertrags verantwortlich.

6. Einbeziehung Dritter (Unterauftragnehmer der zweiten Ebene)

Der Auftraggeber wird über die Einbindung der folgenden Dritten durch den Auftragnehmer informiert und stimmt der Übermittlung personenbezogener Daten der betroffenen Personen an diese Dritten in dem in den Richtlinien beschriebenen Umfang zu:

• Soniox, Inc. (USA, Server in Deutschland) – Spracherkennung
• OpenRouter, Inc. (USA) – Generierung von KI-Hinweisen
• Google LLC (USA), DeepSeek AI (China) — alternative KI-Anbieter
• Hetzner Online GmbH (Deutschland) — Netzwerk-Egress-Proxy
• OOO «YANDEX» (Russland) – Authentifizierung (für die Webplattform), Yandex SmartCaptcha

7. Benachrichtigung über Vorfälle

7.1. Bei Entdeckung eines Vorfalls, der zu einem unbefugten Zugriff auf personenbezogene Daten geführt hat oder führen kann, benachrichtigt der Auftragnehmer den Kunden innerhalb von 24 (vierundzwanzig) Stunden nach Entdeckung des Vorfalls per E-Mail.

7.2. Der Kunde benachrichtigt die Roskomnadzor eigenverantwortlich über den Vorfall gemäß Art. 21 152-FZ.

8. Gültigkeitsdauer

Der Vertrag gilt ab der Annahme durch den Kunden bis zur Beendigung des Firmenabonnements. Nach Beendigung des Abonnements löscht der Auftragnehmer die personenbezogenen Daten der betroffenen Personen innerhalb von 30 (dreißig) Kalendertagen.

9. Anwendbares Recht

Dieser Vertrag unterliegt dem Recht der Russischen Föderation. Alle Streitigkeiten werden gemäß dem Recht der Russischen Föderation beigelegt.

Annahme

Dieser Vertrag wird auf eine der folgenden Arten angenommen:

• Setzen des Häkchens „Ich akzeptiere den Auftragsverarbeitungsvertrag“ im persönlichen Konto des Kundenadministrators im Dienst
• Unterzeichnung eines separaten Exemplars des Vertrags auf Anfrage des Kunden (senden an support@sonarsense.io)