Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

NearlyIn führt für den Kunden Wartelisten seiner Produkte: Eintragen, Bestätigen per Mail, Einladen, Einlösen der Einladung, Auskunft über die API, Benachrichtigung per Webhook an vom Kunden bestimmte Ziele (etwa seinen Server oder einen Slack-Kanal) und Zählung der Herkunft der Anmeldungen je Tag. Der Vertrag läuft so lange wie die Nutzung des Dienstes.

2. Art der Daten und Betroffene

• Betroffene: Menschen, die sich auf die Warteliste eines Produkts des Kunden eintragen.
• Daten: E-Mail-Adresse; Zeitpunkte von Eintrag, Bestätigung, Einladung und Einlösung; Code des Empfehlungslinks und Zahl der Empfehlungen; Hashes der Codes in Bestätigungs- und Einladungslinks.
• Keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

3. Weisungen

NearlyIn verarbeitet die Daten nur nach dokumentierter Weisung des Kunden. Weisungen sind die Einstellungen im Dashboard, Aufrufe der API mit den Schlüsseln des Kunden und Weisungen in Textform. Hält NearlyIn eine Weisung für rechtswidrig, sagt es dem Kunden das unverzüglich.

4. Vertraulichkeit

Alle Personen, die bei NearlyIn Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) für Website, API, Webhooks und Mailversand.
• Datenbank und Anwendung in Rechenzentren in Frankfurt am Main; Datenbank verschlüsselt gespeichert.
• Geheime Schlüssel, Anmelde-Links und Codes nur als Hash gespeichert; Geheimnisse, die lesbar sein müssen, verschlüsselt (AES-256-GCM).
• Trennung der Kunden: Jeder Zugriff ist an das Team des Kunden gebunden; Testdaten getrennt von echten Daten.
• Anmeldung nur per Mail-Link, optional mit zweitem Faktor; Rollen im Team bis zu reinem Lesezugriff; Sitzungen einsehbar und beendbar.
• Keine IP-Adressen in der Datenbank; Begrenzungen gegen Missbrauch zählen unter Hashes und werden nach einem Tag gelöscht.
• Unbestätigte Einträge werden nach 14 Tagen gelöscht; Inhalte von Webhooks nach Zustellung.
• Datensicherung durch den Datenbankanbieter: Die Datenbank lässt sich innerhalb des Wiederherstellungsfensters von Neon auf einen früheren Stand der letzten 6 Stunden zurücksetzen.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz dieser Unterauftragsverarbeiter zu:

• Vercel Inc., USA: Hosting der Anwendung, Region Frankfurt am Main.
• Neon Inc., USA: Datenbank, Region Frankfurt am Main (AWS eu-central-1).
• Plus Five Five, Inc. (Resend), USA: Versand der Mails; Versandregion: EU (Irland, eu-west-1).

Für Übermittlungen in die USA gelten das EU-US Data Privacy Framework bzw. die Standardvertragsklauseln der EU-Kommission. Neue oder andere Unterauftragsverarbeiter kündigt NearlyIn mindestens 30 Tage vorher per Mail an; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen.

7. Unterstützung des Kunden

NearlyIn unterstützt den Kunden bei Anfragen Betroffener: Einträge lassen sich im Dashboard und über die API finden, exportieren und löschen, Betroffene können sich über den Link in jeder Mail selbst abmelden. NearlyIn unterstützt den Kunden außerdem bei Datenschutz-Folgenabschätzungen und Meldepflichten, soweit es dazu beitragen kann.

8. Verletzungen des Schutzes der Daten

Wird NearlyIn eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, meldet es sie dem Kunden unverzüglich per Mail an die Inhaber seines Teams, mit den Angaben, die der Kunde für seine eigene Meldung braucht.

9. Löschung nach Ende des Vertrags

Der Kunde kann seine Wartelisten jederzeit als CSV exportieren. Löscht er ein Produkt, sein Team oder sein Konto, werden die Daten sofort aus der Datenbank gelöscht; aus Datensicherungen verschwinden sie mit deren Ablauf.

10. Nachweise und Kontrollen

NearlyIn stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach vorheriger Ankündigung in angemessenem Umfang.

Auftragsverarbeiter

Dominik Ginting, Ginkaro
c/o IP-Management #12422, Ludwig-Erhard-Str. 18
20459 Hamburg
Deutschland

E-Mail: hello@nearlyin.com