Auftragsverarbeitungsvertrag

Wer Unterschriften sammelt, sammelt personenbezogene Daten. Sie als Ersteller sind der Verantwortliche für die Daten derjenigen, die Ihr Anliegen unterschreiben. Causfy verarbeitet sie in Ihrem Auftrag: Es sammelt die Unterschriften, stellt die Zertifikate aus, speichert sie verschlüsselt und übergibt sie Ihnen.

Causfy kann nicht von sich aus lesen, was es speichert: Die Daten jeder Unterschrift werden so verschlüsselt, dass nur Sie sie öffnen können, mit Ihrem Passkey.

Der Auftrag dauert, solange das Anliegen aktiv oder pausiert ist, und nach seiner Beendigung, bis Sie bestätigen, dass Sie die Zertifikate entschlüsselt haben, oder spätestens 90 Tage. Danach löscht Causfy, was es gespeichert hatte.

Sie akzeptieren diesen Vertrag, wenn Sie Ihr erstes Anliegen veröffentlichen. Er ist Teil der Bedingungen für Ersteller.

1.1. Der Verantwortliche sind Sie, der Ersteller: die Person oder Organisation, die Inhaber des Kontos ist, von dem aus das Anliegen veröffentlicht wird.

1.2. Der Auftragsverarbeiter ist CAUSFY GLOBAL TECHNOLOGIES, S.L., deren Angaben am Ende dieses Dokuments stehen.

1.3. Dieser Vertrag gilt für jedes Anliegen, das Sie von Ihrem Konto aus veröffentlichen. Sie akzeptieren ihn beim Veröffentlichen des ersten, und er bleibt für die folgenden in Kraft.

1.4. Die Wörter mit großem Anfangsbuchstaben haben die Bedeutung, die ihnen die Bedingungen für Ersteller geben.

2.1. Die Unterschriften Ihres Anliegens sammeln: den Namen und die E-Mail jeder unterschreibenden Person, die E-Mail mit einem Code bestätigen und prüfen, dass niemand zweimal unterschreibt.

2.2. Wenn das Anliegen eine geprüfte Identität verlangt, die Identität der unterschreibenden Person mit ihrer ausdrücklichen Einwilligung prüfen: ihr Dokument lesen, prüfen, dass es sich um eine echte Person handelt, und ihr Gesicht mit dem Foto des Dokuments vergleichen, auf einer eigenen Maschine von Causfy ohne Internetverbindung, ohne Bilder oder biometrische Templates aufzubewahren; und einen pseudonymisierten Code ihres Dokuments berechnen, um zu verhindern, dass sie dasselbe Anliegen zweimal unterschreibt.

2.3. Das Zertifikat jeder Unterschrift ausstellen, es siegeln und seinen Fingerabdruck in der öffentlichen Blockchain registrieren.

2.4. Die verschlüsselten Zertifikate verwahren und sie Ihnen übergeben, wenn Sie sie herunterladen, sobald Sie Ihre Identität geprüft haben.

2.5. Die Aktualisierungen Ihres Anliegens an diejenigen senden, die sie erhalten wollten, wenn Sie sie über die Plattform versenden.

2.6. Die Aktualisierungen dürfen nur über das Anliegen und seine Entwicklung informieren. Sie dürfen nicht dazu genutzt werden, kommerzielle Mitteilungen zu versenden oder andere Anliegen, Produkte oder Dienste zu bewerben.

2.7. Öffentlich die Zahl der Unterschriften, ihre Verteilung nach Land und von jeder neueren Unterschrift nur den Anfangsbuchstaben des Namens der unterschreibenden Person, gefolgt von vier Sternchen, und wie lange die Unterschrift zurückliegt anzeigen.

2.8. Causfy verarbeitet diese Daten zu keinem anderen Zweck, weder zu eigenen noch zu Zwecken Dritter.

3.1. Der Auftrag beginnt mit der ersten Unterschrift Ihres Anliegens und dauert, solange das Anliegen aktiv ist, das heißt veröffentlicht oder pausiert.

3.2. Die Zertifikate können nur heruntergeladen werden, wenn Sie das Anliegen beenden, und ein beendetes Anliegen kann nicht wieder aktiviert werden. Sie laden sie verschlüsselt herunter und entschlüsseln sie auf Ihrem eigenen Gerät.

3.3. Der Auftrag endet, wenn Sie auf der Plattform bestätigen, dass Sie die Zertifikate entschlüsselt haben, oder 90 Tage nach der Beendigung, wenn Sie es nicht vorher bestätigen, nachdem Causfy Sie benachrichtigt hat. In beiden Fällen löscht Causfy alle Daten der Unterzeichnenden dieses Anliegens. Prüfen Sie vor der Bestätigung, dass Ihre Kopie vollständig und lesbar ist: Danach kann Causfy sie Ihnen nicht noch einmal übergeben.

4.1. Die betroffenen Personen sind diejenigen, die Ihr Anliegen unterschreiben.

4.2. Die Daten sind die, die das Zertifikat enthält: Name und E-Mail; der Text der Petition; Datum und Uhrzeit; das Land, von dem aus unterschrieben wurde, ob die Verbindung über ein VPN, einen Proxy oder Tor lief, sowie Browser und System; die Methode, mit der sich die Person identifiziert hat, und, falls vorhanden, die Behörde, die dies getan hat; und das Protokoll der Verifizierungsschritte. Außerdem, wenn die unterschreibende Person Aktualisierungen angefordert hat, ihre E-Mail, um sie ihr zu senden; ein pseudonymisierter Code ihrer E-Mail, der nur für dieses Anliegen gilt, um doppelte Unterschriften zu verhindern; und bei Unterschriften mit geprüfter Identität ihr Vor- und Nachname, Art, Land und Nummer ihres Dokuments, ihr Alter in Jahren und das Ergebnis der Prüfung. Die Prüfung selbst hinterlässt keine gespeicherten Bilder oder biometrischen Daten.

4.3. Manche Anliegen können politische Meinungen, Überzeugungen oder die Gewerkschaftszugehörigkeit der unterschreibenden Person offenbaren. Deshalb wird die Unterschrift mit der ausdrücklichen Einwilligung der unterschreibenden Person erhoben, und deshalb werden diese Daten mit den Sicherheitsmaßnahmen des Abschnitts 7 verarbeitet.

5.1. Causfy verarbeitet die Daten ausschließlich nach Ihren Weisungen, nämlich denen, die dieser Vertrag enthält, und denen, die Sie durch die Nutzung der Funktionen der Plattform erteilen. Verpflichtet eine Rechtsvorschrift Causfy, sie anders zu verarbeiten, teilt Causfy Ihnen das vorher mit, sofern diese Vorschrift es nicht verbietet.

5.2. Sie verpflichten sich, die Daten Ihrer Unterzeichnenden nur für das Anliegen und zum Nachweis der Unterstützung gegenüber seinem Adressaten zu nutzen; sie weder zu verkaufen, weiterzugeben noch zu einem anderen Zweck zu nutzen; den Rechten nachzukommen, deren Ausübung von Ihnen verlangt wird; die Zertifikate herunterzuladen, zu bestätigen, dass Sie sie entschlüsselt haben, und sie zu verwahren; und Ihre Kopie des Zertifikats einer Person, die ihre Unterschrift löscht, zu löschen, wenn Causfy Ihnen das mitteilt.

5.3. Ist Causfy der Ansicht, dass eine Ihrer Weisungen gegen das Datenschutzrecht verstößt, teilt Causfy Ihnen das mit.

Unterschriftenplattformen haben den Ruf, von den Daten derjenigen zu leben, die unterschreiben. Causfy ist so gebaut, dass das nicht passieren kann, und zwar nicht durch ein Versprechen, sondern durch seine Konstruktion.

6.1. Die Daten jeder Unterschrift werden so verschlüsselt, dass nur Sie sie öffnen können, mit Ihrem Passkey. Causfy kann nicht von sich aus entschlüsseln, was es speichert, und ebenso wenig sein Personal oder jemand, der sich Zugang zu seinen Servern oder seiner Datenbank verschaffte.

6.2. Was Causfy sehr wohl sieht, und warum: den Anfangsbuchstaben des Namens, für die öffentliche Liste; das Land, für die Statistiken; das Datum; und den pseudonymisierten Code der E-Mail, um doppelte Unterschriften zu verhindern.

6.3. Die Daten einer Unterschrift liegen nur im Klartext vor, während sie entsteht, im Arbeitsspeicher: den Code senden, ihn bestätigen, das Zertifikat erzeugen und siegeln und die Bestätigungs-E-Mail senden. Hat die unterschreibende Person Aktualisierungen angefordert, wird ihre E-Mail außerdem für einen Augenblick entschlüsselt, wenn Sie eine versenden, und danach verworfen.

6.4. Deshalb verkauft, vermietet oder überlässt Causfy die Daten derjenigen, die unterschreiben, nicht: Das Einzige, was es übergeben könnte, sind verschlüsselte Dateien, die es nicht öffnen kann.

6.5. Das Personal von Causfy ist verpflichtet, über alle Daten, von denen es bei seiner Arbeit Kenntnis erlangen könnte, Verschwiegenheit zu wahren, und diese Pflicht bleibt nach Ende des Auftrags bestehen.

7.1. Causfy speichert keine personenbezogenen Daten einer unterschreibenden Person im Klartext, mit Ausnahme der in 6.2 genannten.

7.2. Die personenbezogenen Daten jeder Unterschrift werden mit einem eigenen Schlüssel verschlüsselt, der an einen Schlüssel des Anliegens gesiegelt ist, der sich nur mit Ihrem Passkey öffnen lässt.

7.3. Der Code zur Verhinderung doppelter Unterschriften wird mit einem geheimen Schlüssel, der im Geheimnisverwalter von Causfy verwahrt wird, und der Kennung des Anliegens berechnet, sodass er es nicht erlaubt, Unterschriften verschiedener Anliegen miteinander in Verbindung zu bringen.

7.4. Die Identitätsprüfung läuft auf einer eigenen Maschine ohne Internetverbindung, die nur von den Servern von Causfy über einen verschlüsselten Kanal erreichbar ist. Das Prüfprotokoll ist verkettet, damit jede Manipulation erkannt wird.

7.5. Wenn Sie alle Ihre Passkeys und Ihren Wiederherstellungscode verlieren, können die verschlüsselten Zertifikate Ihres Kontos nicht wiederhergestellt werden. Das ist die Folge davon, dass Causfy sie nicht lesen kann.

8.1. Zur Erbringung des Dienstes stützt sich Causfy auf andere Anbieter, die die Daten Ihrer Unterzeichnenden im Auftrag von Causfy und mit denselben Pflichten verarbeiten:

8.2. Sie ermächtigen Causfy allgemein, diese Anbieter zu nutzen und sie zu wechseln. Causfy wird Sie über jede Änderung im Voraus informieren, und Sie können widersprechen; wenn Sie widersprechen, können Sie Ihr Anliegen beenden und die Zertifikate herunterladen.

8.3. Causfy haftet Ihnen gegenüber für das, was seine Anbieter tun.

8.4. Übermittlungen. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums, stützt sich die Übermittlung auf den Datenschutzrahmen EU-USA oder auf die Standardvertragsklauseln der Europäischen Kommission, von denen Causfy Ihnen eine Kopie zur Verfügung stellt.

9.1. Rechte der Unterzeichnenden. Causfy stellt ihnen die Links der Bestätigungs-E-Mail zur Verfügung, um ihre Unterschrift zu löschen und sich von den Aktualisierungen abzumelden. Übt eine unterschreibende Person ein anderes Recht gegenüber Causfy aus, leitet Causfy Ihnen den Antrag unverzüglich weiter. Übt sie es gegenüber Ihnen aus, gibt Causfy Ihnen die Informationen, die Sie brauchen, um ihm nachzukommen.

9.2. Sicherheitsvorfälle. Da niemand bei Causfy die Daten Ihrer Unterzeichnenden lesen kann, bedeutet ein Vorfall hier nicht, dass jemand sie gelesen hat. Er kann bedeuten, dass verschlüsselte Dateien verloren gegangen oder gelöscht worden sind, und dann verlieren Sie diese Zertifikate; dass jemand verschlüsselte Dateien mitgenommen hat, die er nicht öffnen kann; oder dass etwas in den Minuten geschehen ist, in denen eine Unterschrift während ihrer Entstehung im Klartext vorlag. In jedem dieser Fälle verpflichtet das Gesetz Causfy, Ihnen dies unverzüglich mit den Informationen mitzuteilen, über die es verfügt, damit Sie als Verantwortlicher entscheiden, was zu tun ist. Waren die betroffenen Daten unlesbar, befreit Sie das Gesetz selbst davon, die Unterzeichnenden zu benachrichtigen.

9.3. Causfy benachrichtigt Sie über jede Sicherheitsverletzung, die Daten Ihrer Unterzeichnenden betrifft, innerhalb von höchstens 48 Stunden, nachdem es davon Kenntnis erlangt hat.

9.4. Folgenabschätzungen und Konsultationen. Causfy unterstützt Sie mit den ihm verfügbaren Informationen, wenn Sie eine Datenschutz-Folgenabschätzung durchführen oder die Aufsichtsbehörde konsultieren müssen. Causfy stellt Ihnen seine Datenschutz-Folgenabschätzung zur Identitätsprüfung zur Verfügung.

10.1. Bei Ende des Auftrags löscht Causfy die verschlüsselten Zertifikate, die verschlüsselten E-Mails und die verschlüsselten vollständigen Namen Ihrer Unterzeichnenden. Gelöschtes kann bis zu 30 Tage in verschlüsselten Sicherungskopien verbleiben, ungenutzt, und müssten diese wiederhergestellt werden, werden zuvor die ausstehenden Löschungen erneut angewendet.

10.2. Das Anliegen bleibt im Zustand beendet veröffentlicht, mit seinem Text und seinem Unterschriftenzähler, der eine Zahl und kein personenbezogenes Datum ist. Es bleibt auch der Fingerabdruck jedes Zertifikats in der Blockchain, der dauerhaft ist, nicht gelöscht werden kann und ebenfalls keine personenbezogenen Daten enthält. Die Liste der Anfangsbuchstaben wird gelöscht.

10.3. Ihre Kopie der Zertifikate gehört Ihnen, sobald Sie sie herunterladen, und Sie bewahren sie in eigener Verantwortung auf.

11.1. Causfy stellt Ihnen die Informationen zur Verfügung, die nötig sind, um nachzuweisen, dass es diesen Vertrag einhält.

11.2. Sie können eine Prüfung verlangen, direkt oder durch einen unabhängigen Prüfer, mit angemessener Vorankündigung und ohne den Dienst zu unterbrechen. Causfy kann Ihnen stattdessen einen aktuellen Prüfbericht anbieten.

12.1. Sie akzeptieren diesen Vertrag, wenn Sie Ihr erstes Anliegen veröffentlichen. Er ist Teil der Bedingungen für Ersteller und unterliegt demselben Recht und denselben Gerichten.

12.2. Causfy kann ihn ändern. Wesentliche Änderungen werden mit einer Frist von mindestens dreißig Kalendertagen mitgeteilt.

12.3. Wer der Auftragsverarbeiter ist.

CAUSFY GLOBAL TECHNOLOGIES, S.L.

NIF B88744602

C/ Princesa 31, planta 2, puerta 2, 28008 Madrid, España

Registro Mercantil de Madrid, Sección 8.ª, Hoja M-888274, Inscripción 1.ª

• Datenschutz: