Auftragsverarbeitungsvertrag

• Verantwortlicher: das Geschäft, das Inhaber des Stampaz-Kontos ist, mit den rechtlichen Angaben, die es unter Einstellungen hinterlegt.
• Auftragsverarbeiter: Miranda Network, S.L., Steuernr. B-75866194, Sitz in Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), Kontakt support@mirandanetwork.es.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erbringung des Kundenkarten-Dienstes: Anmeldung von Kunden, Verwaltung von Stempeln, Punkten und Prämien, Ausgabe und Aktualisierung der Karten in Apple Wallet und Google Wallet, Versand der vom Verantwortlichen beschlossenen Hinweise, Statistiken und Bearbeitung der Rechte der Kunden.

Vorgänge: Erhebung, Erfassung, Speicherung, Abfrage, Änderung, Übermittlung an Apple und Google zur Ausgabe der Karte, Export und Löschung.

Die Auftragsverarbeitung dauert so lange, wie das Geschäft ein Konto bei Stampaz hat.

• Betroffene Personen: Kunden des Verantwortlichen, die sich für sein Treueprogramm anmelden, und Mitglieder seines Teams, die den Scanner nutzen.
• Daten: Name; E-Mail, Telefon und Geburtsdatum, wenn der Verantwortliche sie abfragt; Verlauf von Besuchen, Stempeln, Punkten und Prämien; Präferenz bezüglich Angeboten; Nachweis der Einwilligung (Datum, Uhrzeit und Version des Textes); technische Kennungen der Karte.
• Es werden keine besonderen Kategorien personenbezogener Daten und keine Standortdaten verarbeitet: Über den Hinweis in der Nähe entscheidet das Handy des Kunden.

Der Verantwortliche erteilt seine Weisungen über die Einstellungen seines Dashboards: welche Daten er abfragt, welche Hinweise er sendet, wie lange inaktive Kunden gespeichert werden (zwischen 6 und 60 Monaten) und welche rechtlichen Informationen dem Kunden angezeigt werden. Bei der Anmeldung sieht der Kunde eine erste Informationsebene mit den Angaben des Verantwortlichen, und Stampaz speichert den Nachweis seiner Einwilligung.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Vorschriften verstößt, teilt er dies dem Verantwortlichen mit.

• Die Daten nur nach den dokumentierten Weisungen des Verantwortlichen verarbeiten und nicht für eigene Zwecke nutzen.
• Die Vertraulichkeit der zur Verarbeitung befugten Personen gewährleisten.
• Die Sicherheitsmaßnahmen nach Artikel 32 DSGVO anwenden: Verschlüsselung bei der Übertragung, Trennung der Daten je Geschäft, Zugriffskontrolle, Sicherungskopien und Zugriffsprotokollierung.
• Den Verantwortlichen bei der Wahrung der Rechte der betroffenen Personen unterstützen. Kunden können über ihre Karte ihre Daten berichtigen und herunterladen, Angebote abbestellen und alles löschen; Anfragen, die beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.
• Den Verantwortlichen ohne unangemessene Verzögerung und in jedem Fall innerhalb von höchstens 48 Stunden nach Kenntnisnahme über Verletzungen des Schutzes personenbezogener Daten informieren, mit den verfügbaren Informationen.
• Den Verantwortlichen gegebenenfalls bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde unterstützen.
• Dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung stellen und angemessene Prüfungen ermöglichen, mit 30 Tagen Vorankündigung und auf Kosten des Verantwortlichen.
• Ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter führen.

Der Verantwortliche genehmigt allgemein die folgenden Unterauftragsverarbeiter:

• Supabase: Datenbank, Authentifizierung und Speicher (Hosting in der EU).
• Vercel: Hosting der Anwendung, betrieben in seiner Region Frankfurt (Europäische Union).
• Apple und Google: Ausgabe und Aktualisierung der Karten in ihren Wallets (nur Karteninhalt: Name, Stempel oder Punkte und Code).

Über jede Änderung der Unterauftragsverarbeiter informieren wir mindestens 15 Tage im Voraus, damit der Verantwortliche widersprechen kann; widerspricht er und gibt es keine Alternative, kann er kündigen. Jeder Unterauftragsverarbeiter unterliegt gleichwertigen Pflichten. Übermittlungen außerhalb des EWR erfolgen mit den Garantien von Kapitel V DSGVO (Angemessenheitsbeschlüsse wie der EU-US-Datenschutzrahmen oder Standardvertragsklauseln).

• Seine rechtlichen Angaben unter Einstellungen eintragen, seine Kunden informieren und über eine gültige Rechtsgrundlage verfügen.
• Angebote nur an Personen senden, die zugestimmt haben, und Hinweise nicht missbrauchen.
• Dafür sorgen, dass sein Personal die DSGVO einhält und den Zugang zum Scanner schützt.

Nach Ende des Abos löscht der Auftragsverarbeiter automatisch alle Daten 30 Tage später. Während dieser Frist kann der Verantwortliche sie exportieren (JSON). Löscht der Verantwortliche sein Konto, erfolgt die Löschung sofort. Gesperrt aufbewahrt werden nur Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist.