Datenverarbeitungsvereinbarung

FARENIO ÖKOSYSTEM

(GDPR Artikel 28)

1. PARTEIEN

Diese Datenverarbeitungsvereinbarung („DPA“) ist Teil der Vertragsbeziehung zwischen

GQ VENTURES SAS

Handelsname: FARENIO („Verarbeiter“) und der Kunde, Gastgeber, Immobilienverwalter, Agentur, Unternehmenskunde oder eine andere Organisation, die die FARENIO-Plattform nutzt („Verantwortlicher“).

2. ZWECK

Dieser DPA regelt die Verarbeitung personenbezogener Daten durch FARENIO im Auftrag des Verantwortlichen.

Es erfüllt die Anforderungen von:

• Verordnung (EU) 2016/679 (GDPR)
• Französisches Datenschutzgesetz
• UK GDPR (falls zutreffend)
• Andere anwendbare Datenschutzgesetze.

3. DEFINITIONEN

Sofern nicht anders definiert, haben Begriffe die unter GDPR angegebene Bedeutung.

Einschließlich:

• Regler
• Prozessor
• Betroffene Person
• Persönliche Daten
• Verarbeitung
• Unterauftragsverarbeiter
• Verletzung des Schutzes personenbezogener Daten
• Aufsichtsbehörde

4. GEGENSTAND

FARENIO verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung von:

• SaaS Dienstleistungen
• Marktplatzdienste
• PMS Integrationen
• Immobilienbetrieb
• Umsatzmanagement
• Lieferantenkoordination
• AI Workflow-Automatisierung
• Kundenbetreuung

5. DAUER

Die Verarbeitung wird nur für die für die Erbringung der Dienste erforderliche Dauer fortgesetzt, es sei denn, eine längere Aufbewahrung ist gesetzlich vorgeschrieben.

6. Art der Verarbeitung

Die Verarbeitung kann Folgendes umfassen:

Sammlung

Aufnahme

Organisation

Strukturierung

Lagerung

Abruf

Beratung

Verwenden

Übertragung

Ausrichtung

Beschränkung

Streichung

Zerstörung

7. VERWALTUNG DER VERPFLICHTUNGEN

FARENIO sollen:

Daten nur auf dokumentierte Weisung verarbeiten.

Bewahren Sie die Vertraulichkeit.

Implementieren Sie angemessene Sicherheit.

Unterstützen Sie den Controller.

Verstöße gegen den Schutz personenbezogener Daten melden.

Gegebenenfalls Daten löschen oder zurückgeben.

Audits unter angemessenen Bedingungen zulassen.

Führen Sie Aufzeichnungen über die Verarbeitung.

8. VERTRAULICHKEIT

FARENIO stellt sicher, dass jeder Mitarbeiter, Auftragnehmer und autorisierte Person

Verarbeitung personenbezogener Daten:

• unterliegt der Geheimhaltungspflicht;
• erhält eine angemessene Datenschutzschulung;
• greift nur auf die Daten zu, die für autorisierte Zwecke erforderlich sind.

9. SICHERHEIT

FARENIO setzt geeignete technische und organisatorische Maßnahmen (TOMs) um.

Anhang B.

10. UNTERPROZESSSSORS

FARENIO kann Unterauftragsverarbeiter ernennen.

Anhang C.

FARENIO sollen:

Bleiben Sie für deren Einhaltung verantwortlich.

Fordern Sie GDPR-konforme Verträge.

Wesentliche Änderungen mitteilen.

11. INTERNATIONALE ÜBERTRAGUNGEN

Wenn personenbezogene Daten den EWR verlassen,

FARENIO muss geeignete Sicherheitsvorkehrungen treffen, einschließlich:

Standardvertragsklauseln

Angemessenheitsentscheidungen

Andere rechtmäßige Übertragungsmechanismen.

Anhang D.

12. HILFE

FARENIO unterstützt den Verantwortlichen bei:

Zugriffsanfragen

Löschanträge

Korrekturwünsche

Portabilität

Beschränkung

Einwände

Folgenabschätzungen

Regulatorische Anfragen

13. VERLETZUNGEN PERSÖNLICHER DATEN

FARENIO benachrichtigt den Verantwortlichen unverzüglich, nachdem er Kenntnis von einer bestätigten Verletzung des Schutzes personenbezogener Daten erlangt hat.

Anhang F.

14. Datenrückgabe und -löschung

Bei Kündigung,

FARENIO sollen:

Personenbezogene Daten löschen oder zurückgeben, es sei denn, die Aufbewahrung ist gesetzlich vorgeschrieben.

15. PRÜFUNGSRECHTE

Der Verantwortliche kann angemessene Prüfungen durchführen.

Audits sollen:

Seien Sie verhältnismäßig.

Schützen Sie vertrauliche Informationen.

Vermeiden Sie Störungen.

Halten Sie eine angemessene Vorankündigung ein.

16. HAFTUNG

Die Haftung richtet sich nach:

GDPR

Die SaaS-Vereinbarung

Die CGU/CGV

Anwendbares Recht.

17. ANWENDBARES RECHT

Französisches Recht.

18. ANNAHME

Durch die Nutzung der Plattform akzeptieren Sie diese DPA.

ANHANG A

BESCHREIBUNG DER VERARBEITUNGSTÄTIGKEITEN

Zweck der Verarbeitung

FARENIO verarbeitet personenbezogene Daten für:

• Benutzerregistrierung
• Identitätsprüfung
• SaaS Lieferung
• Marktplatzdienste
• Immobilienbetrieb
• Umsatzreinigung
• PMS Synchronisierung
• Lieferantenmanagement
• AI Terminplanung
• AI Preise
• AI Versand
• Kundensupport
• Abrechnung
• Betrugsprävention
• DAC7 Berichterstattung
• AML/KYC Compliance
• Analytik
• Sicherheitsüberwachung

Kategorien personenbezogener Daten

Identitätsdaten

Kontaktdaten

Immobiliendaten

Reservierungsdaten

Gastdaten

Zahlungsinformationen

Geschäftsinformationen

Geräteinformationen

Nutzungsdaten

Standortdaten (sofern autorisiert)

Kommunikationsaufzeichnungen

Supportanfragen

Von Anbietern hochgeladene Fotos

Inspektionsberichte

AI-generierte Betriebsdaten

Kategorien betroffener Personen

Gastgeber

Immobilienverwalter

Gäste

Reinigungskräfte

Reinigungsunternehmen

Anbieter

Partner

Mitarbeiter

Auftragnehmer

Website-Besucher

Potenzielle Kunden

Support-Kontakte

Rechtsgrundlage

Artikel 6 Absatz 1 Buchstabe a

Zustimmung

Artikel 6 Absatz 1 Buchstabe b

Vertrag

Artikel 6 Absatz 1 Buchstabe c

Gesetzliche Verpflichtung

Artikel 6 Absatz 1 Buchstabe f

Berechtigte Interessen

Artikel 9, soweit anwendbar.

Verarbeitungsvorgänge

Sammlung

Aufnahme

Lagerung

Abruf

Organisation

Analyse

Passend

Synchronisation

Berichterstattung

Streichung

Anonymisierung

ANHANG B

TECHNISCHE & ORGANISATORISCHE MASSNAHMEN (TOMs)

FARENIO implementiert Sicherheitsmaßnahmen, darunter:

Regierungsführung

Datenschutz-Governance-Programm

Informationssicherheitsrichtlinie

Risikobewertungen

Jährliche Rückblicke

Zugangskontrolle

Rollenbasierter Zugriff

Geringstes Privileg

Multi-Faktor-Authentifizierung

Passwortrichtlinien

Überwachung privilegierter Zugriffe

Infrastruktursicherheit

Verschlüsselung während der Übertragung (TLS)

Verschlüsselung im Ruhezustand

Firewall-Schutz

Netzwerksegmentierung

Endpunktschutz

Schwachstellenmanagement

Patch-Management

Anwendungssicherheit

Sicherer Entwicklungslebenszyklus

Codeüberprüfung

Abhängigkeitsscan

Penetrationstests

API Authentifizierung

Sitzungsverwaltung

Audit-Protokollierung

Betriebssicherheit

Backups

Notfallwiederherstellung

Geschäftskontinuität

Überwachung

Management von Sicherheitsvorfällen

Lieferantenrisikomanagement

Personalsicherheit

Vertraulichkeitsvereinbarungen

Hintergrundüberprüfungen erfolgen, soweit rechtmäßig

Schulung zum Sicherheitsbewusstsein

Verfahren zum Widerruf des Zugriffs

ANHANG C

ZUGELASSENES UNTERVERFAHRENSREGISTER

Speicherort der Dienstzweckdaten

Cloud-Infrastrukturanwendung

Hosting EU/EWR, sofern verfügbar

Zahlungsabwickler Zahlungsabwicklung Je nach Anbieterinfrastruktur

Transaktionaler E-Mail-Anbieter

E-Mail EU/Global wie vertraglich vereinbart

SMS-Anbieterbenachrichtigungen Global mit Schutzmaßnahmen

Kundensupport

Plattform-Support-Tickets EU/Global mit Schutzmaßnahmen

Analysen der Plattform des Analyseanbieters werden nach Möglichkeit aggregiert/pseudonymisiert

AI Dienstleister AI Merkmale Gemäß zugelassener Verarbeitungsstandorte

Notfallwiederherstellung durch einen Backup-Anbieter EU/EEA, soweit möglich

FARENIO wird dieses Register pflegen und aktualisieren, wenn Dienstanbieter hinzugefügt, entfernt oder ersetzt werden.

ANHANG D

INTERNATIONALER DATENÜBERTRAGUNGSMECHANISMS

Für Übertragungen außerhalb des EWR ist Folgendes erforderlich:

Angemessenheitsentscheidungen oder Standardvertragsklauseln oder ein anderer rechtmäßiger GDPR-Übertragungsmechanismus.

Zusätzliche Schutzmaßnahmen können sein:

Verschlüsselung

Zugangskontrollen

Transferfolgenabschätzungen

Vertragliche Sicherheitsklauseln

Lieferanten-Due-Diligence

ANHANG E

ZEITPLAN FÜR DIE DATENSPEICHERUNG

Datentyp: Typische Aufbewahrungsdauer

Kontodaten Dauer des Kontos + geltende gesetzliche Aufbewahrungsfrist

Buchungsunterlagen Gemäß den gesetzlichen, steuerlichen und vertraglichen Verpflichtungen

Zahlungsaufzeichnungen Gemäß den geltenden Buchhaltungs- und Steuergesetzen

Support-Tickets Soweit für Support- und rechtliche Zwecke erforderlich

AI Protokolle Begrenzter Zeitraum, der zur Verbesserung des Dienstes und der Sicherheit erforderlich ist

Audit-Protokolle gemäß Sicherheits- und Compliance-Anforderungen

Marketing-Einwilligung bis zum Widerruf oder nicht mehr erforderlich

Sicherheitsprotokolle entsprechend den Anforderungen an Cybersicherheit und Reaktion auf Vorfälle

Soweit möglich werden die Daten anonymisiert und nicht in identifizierbarer Form gespeichert.

ANHANG F

REAKTIONSVERFAHREN BEI VERLETZUNG PERSONENBEZOGENER DATEN

Stufe 1

Erkennung

Vorfall identifiziert.

Sofortige Eindämmung eingeleitet.

Stufe 2

Bewertung

Bestimmen:

Art des Verstoßes

Datenkategorien

Anzahl der betroffenen Personen

Wahrscheinliche Risiken

Stufe 3

Eindämmung

Isolieren Sie betroffene Systeme.

Widerrufen Sie kompromittierte Anmeldeinformationen.

Verhindern Sie weiteren unbefugten Zugriff.

Stufe 4

Benachrichtigung

Benachrichtigen Sie den Verantwortlichen unverzüglich.

Wo gesetzlich vorgeschrieben:

Aufsichtsbehörde benachrichtigen.

Betroffene Personen benachrichtigen.

Stufe 5

Erholung

Dienste wiederherstellen.

Validieren Sie die Sicherheit.

Überwachen Sie Systeme.

Stufe 6

Dokumentation

Aufzeichnen:

Zeitleiste

Grundursache

Folgenabschätzung

Korrekturmaßnahmen

Gelernte Lektionen

Führen Sie ein Verstoßregister gemäß den GDPR-Rechenschaftspflichten.

Stufe 7

Überprüfung nach dem Vorfall

Führen Sie eine formelle Überprüfung durch.

Korrekturmaßnahmen umsetzen.

Aktualisieren Sie die Sicherheitskontrollen.

Überprüfen Sie Richtlinien und Mitarbeiterschulungen.

Gefährdungsbeurteilungen gegebenenfalls überarbeiten.