Auftragsverarbeitungsvertrag

Der Kunde ist der Verantwortliche und Meshwire ist der Auftragsverarbeiter für personenbezogene Daten, die in Bot-Abonnenten, Konversationsinhalten und Zustelldatensätzen enthalten sind. Ist der Kunde selbst Auftragsverarbeiter, handelt Meshwire als Unterauftragsverarbeiter.

Die Verarbeitung dauert für die Abonnementlaufzeit zuzüglich des dreißigtägigen Exportfensters und umfasst die Bereitstellung der Meshwire-Plattform wie in der Vereinbarung beschrieben.

Telegram-Nutzer, die mit den Bots des Kunden interagieren, sowie Mitarbeiter des Kunden, die den Workspace verwalten.

Telegram-Nutzerkennungen, Benutzernamen, Anzeigenamen, Sprachcodes, an Flows übermittelte Nachrichteninhalte, erfasste Formularantworten, Segmentattribute sowie Zustell- und Fehlermetadaten.

Meshwire verarbeitet personenbezogene Daten nur nach dokumentierten Anweisungen, stellt sicher, dass Mitarbeiter zur Vertraulichkeit verpflichtet sind, setzt die in Anhang II beschriebenen Sicherheitsmaßnahmen um und unterstützt den Kunden bei Anfragen betroffener Personen und Folgenabschätzungen.

Der Kunde genehmigt die auf unserer Seite zu Unterauftragsverarbeitern aufgeführten Unterauftragsverarbeiter. Wir geben dreißig Tage im Voraus Bescheid über Ergänzungen, und der Kunde kann aus vertretbaren datenschutzrechtlichen Gründen widersprechen.

TLS 1.2+ bei der Übertragung mit HSTS; AES-256-GCM-Verschlüsselung im Ruhezustand für Telegram-Bot-Token und Zwei-Faktor-Geheimnisse, nur zum Zeitpunkt der Verwendung entschlüsselt und niemals protokolliert; scrypt-Passwort-Hashing; httpOnly-Sitzungscookies mit CSRF-Schutz; optionale TOTP-Zwei-Faktor-Authentifizierung; serverseitig durchgesetzte rollenbasierte Zugriffskontrolle; Ratenbegrenzung bei Authentifizierungs-Endpunkten; unveränderliche Audit-Protokollierung von Konto-, Bot-, Abrechnungs- und Mitarbeiteraktionen, einschließlich jeder Mitarbeiter-Impersonation; verschlüsselte nächtliche Datenbank-Backups mit dokumentiertem Wiederherstellungsverfahren; und ein dokumentierter Vorfallreaktionsprozess. Eine vollständige Beschreibung ist veröffentlicht unter /security, einschließlich der Kontrollen, die wir noch nicht umgesetzt haben.

Meshwire benachrichtigt den Kunden unverzüglich und innerhalb von 72 Stunden, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt haben, mit den zu diesem Zeitpunkt verfügbaren Informationen und Aktualisierungen im Verlauf der Untersuchung.

Die Standardvertragsklauseln (Modul zwei und, soweit relevant, Modul drei) werden einbezogen, zusammen mit dem UK-Addendum und den Schweizer Änderungen, soweit anwendbar.

Meshwire ist derzeit nicht nach SOC 2 oder ISO 27001 zertifiziert. Wir stellen auf Anfrage einen ausgefüllten Sicherheitsfragebogen zur Verfügung und beantworten angemessene Due-Diligence-Anfragen. Enterprise-Kunden können einmal pro Jahr mit angemessener Vorankündigung ein Audit anfordern. Wenn eine Zertifizierung eine Beschaffungsanforderung darstellt, sprechen Sie dies bitte vor dem Kauf an.

Nach Beendigung kann der Kunde Daten dreißig Tage lang exportieren, danach löscht Meshwire sie innerhalb von dreißig Tagen aus den Produktivsystemen. Verschlüsselte Backups werden nach einem rollierenden Zeitplan aufbewahrt und bei Ablauf dieses Zeitplans gelöscht, derzeit fünfunddreißig Tage.

Der Dienst läuft in einer einzigen Region. Es gibt kein automatisiertes regionsübergreifendes Failover; die Wiederherstellung nach einem vollständigen Infrastrukturausfall erfolgt durch Wiederherstellen des letzten verschlüsselten Backups, was zu einem Datenverlust von bis zu vierundzwanzig Stunden führen kann.