Auftragsverarbeitungsvertrag

Calco verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Erbringung des Calco-Dienstes, einschließlich der Erstellung von Angeboten und zugehöriger Funktionen. Die Verarbeitung erfolgt ausschließlich, um die Funktionen des Dienstes dem Verantwortlichen zur Verfügung zu stellen, und erfolgt in Übereinstimmung mit den Bedingungen und dieser Vereinbarung. Die Verarbeitung dauert so lange an, wie der Verantwortliche den Dienst nutzt.

Wenn Calco zusammengefasste Muster über Kunden hinweg nutzt, um den Dienst zu verbessern (z. B. welches Großhandelsprodukt zu einer Angebotsposition passt), handelt Calco dabei als eigenständiger Verantwortlicher und nur mit Mustern, die von mindestens drei unabhängigen Unternehmen bestätigt wurden. Preise sowie Namen und Adressen der Endkunden sind nicht enthalten. Siehe die Datenschutzerklärung von Calco.

• Personenbezogene Daten von Endkunden und Kontaktpersonen: Name, Adresse und Kontaktdaten (E-Mail, Telefon)
• Inhalt von Angeboten, einschließlich Aufgabenbeschreibungen sowie Bilder und Dokumente, die der Verantwortliche hochlädt und die personenbezogene Daten enthalten können
• Antworten der Endkunden auf Angebotslinks: Zeitpunkt und IP-Adresse bei Annahme oder Ablehnung, eine etwaige Begründung für die Ablehnung und Bestätigung der Information über das Widerrufsrecht
• E-Mails in einem verbundenen Posteingang (Microsoft 365 oder Google Workspace), sofern der Verantwortliche diesen verbindet: Name und E-Mail des Absenders, Betreff, Text und Informationen zu Anhängen
• Informationen, die mit einem Partnerunternehmen über Calco Connect ausgetauscht werden, sowie Name, E-Mail, Telefon und CVR-Nummer eingeladener Unternehmen
• Die eigenen Mitarbeiter des Verantwortlichen (Nutzer): Name, E-Mail, Telefon und Nutzeraktivität im Dienst, einschließlich IP-Adresse und Browserdaten im Prüfprotokoll
• Zugangsschlüssel und Tokens für Systeme, die der Verantwortliche verbindet (Auftragsverwaltung, Buchhaltung und Posteingang), verschlüsselt mit AES-256

Calco verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen, auch im Hinblick auf Übermittlungen in Drittländer, sofern nicht EU-Recht oder dänisches Recht etwas anderes vorschreibt. Die Anweisungen ergeben sich aus dieser Vereinbarung, den Bedingungen und der Nutzung des Dienstes durch den Verantwortlichen. Calco informiert den Verantwortlichen unverzüglich, wenn Calco der Ansicht ist, dass eine Anweisung gegen das Datenschutzrecht verstößt.

Calco stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugang wird nur Personen gewährt, für die dies zur Erfüllung der Verpflichtungen von Calco erforderlich ist.

Calco setzt angemessene technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau gemäß Artikel 32 zu gewährleisten, einschließlich Verschlüsselung bei der Übertragung (TLS 1.2 oder neuer), Verschlüsselung von API-Schlüsseln und anderen sensiblen Zugangsdaten mittels AES-256 (pgcrypto), Zugriffskontrolle und Row-Level-Security in der Datenbank sowie Protokollierung von Zugriffen und Ereignissen.

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung, dass Calco folgende Unterauftragsverarbeiter einsetzt:

• Supabase Inc. (Datenbank, Login und Dateispeicher - Daten werden in der EU, Frankfurt, gespeichert)
• Cloudflare Inc. (Hosting, Netzwerk und anonyme Statistik - USA, globales Netzwerk)
• Anthropic PBC (Berechnung von Angeboten und Auswertung von Posteingangs-E-Mails - USA)
• Resend Inc. (Versand von E-Mails - USA)
• Stripe (Zahlungsabwicklung - Irland/USA)
• Expo / 650 Industries Inc. (Push-Benachrichtigungen und App-Updates - USA)
• Telegram (interne Betriebsalarme an das Team von Calco - Vereinigte Arabische Emirate)
• Google (Kalendereinladung beim Onboarding sowie Lesen von Gmail, nur wenn verbunden - Irland/USA)
• Microsoft (Lesen des Outlook-Posteingangs, nur wenn verbunden - Irland/USA)
• Die Auftragsverwaltungs- und Buchhaltungssysteme, die der Verantwortliche selbst verbindet: Apacta, Minuba, Ordrestyring, Kompas4, e-conomic, Dinero, Billy oder Fortnox

Adressabfragen zur Berechnung der Fahrtstrecke: Dänische Adressen werden bei Dataforsyningen (dem dänischen Staat), norwegische bei Kartverket (dem norwegischen Staat) und schwedische bei der OpenStreetMap Foundation (Nominatim, Vereinigtes Königreich - EU-Angemessenheitsbeschluss) abgefragt. Es werden nur Straße, Hausnummer, Postleitzahl und Ort übermittelt - niemals Namen oder andere Informationen über den Kunden.

Calco kündigt Änderungen bei der Nutzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus an, und der Verantwortliche kann der Änderung widersprechen. Übermittlungen in Drittländer erfolgen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (SCC) und, sofern der Empfänger zertifiziert ist, des EU-US Data Privacy Framework. Calco schließt mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung, die diesem dieselben Datenschutzpflichten auferlegt wie in dieser Vereinbarung, und Calco haftet für die Einhaltung durch die Unterauftragsverarbeiter.

Calco unterstützt den Verantwortlichen, soweit möglich, durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte, einschließlich Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Calco unterstützt den Verantwortlichen bei der Sicherstellung der Einhaltung der Pflichten nach den Artikeln 32-36, einschließlich der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die betroffenen Personen, Datenschutz-Folgenabschätzungen (DPIA) sowie der vorherigen Konsultation der Aufsichtsbehörde, unter Berücksichtigung der Art der Verarbeitung und der Calco zur Verfügung stehenden Informationen.

Calco benachrichtigt den Verantwortlichen unverzüglich, nachdem Calco von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat. Die Benachrichtigung enthält die relevanten Informationen über die Verletzung, einschließlich der Art der Verletzung, der betroffenen Kategorien von Daten und Personen, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen.

Bei Beendigung des Dienstes löscht oder gibt Calco, nach Wahl des Verantwortlichen, alle personenbezogenen Daten spätestens 30 Tage nach Beendigung zurück und löscht bestehende Kopien, sofern nicht EU-Recht oder dänisches Recht die weitere Aufbewahrung der personenbezogenen Daten vorschreibt.

Calco stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus dieser Vereinbarung erforderlich sind, und ermöglicht sowie unterstützt Prüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden.