PDPL-Hinweis

Das saudische Gesetz zum Schutz personenbezogener Daten (PDPL) trat am 14. September 2023 in Kraft; die vollständige Durchsetzung begann im September 2024. Wir haben bereits konkrete Maßnahmen ergriffen, um die Einhaltung des PDPL sicherzustellen. Dazu gehören das Angebot einer Datenresidenz innerhalb des Königreichs (GCP Dammam und On-Premises-Hosting), die Aufrechterhaltung von SOC-2-zertifizierten Sicherheitskontrollen sowie die Aktualisierung unserer Richtlinien und Prozesse, um sie an die Anforderungen des PDPL anzupassen.

Dieser Hinweis erläutert, wie Ideanote personenbezogene Daten gemäß dem saudischen Gesetz zum Schutz personenbezogener Daten (PDPL) und dessen Ausführungsbestimmungen, einschließlich der Verordnung über die Übermittlung personenbezogener Daten außerhalb des Königreichs (zusammen der „PDPL-Rahmen“), verarbeitet. Ideanote verarbeitet personenbezogene Daten als Auftragsverarbeiter auf Grundlage dokumentierter Weisungen des Kunden (Verantwortlicher).

1. Rechtsgrundlage und Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich zu festgelegten, eindeutigen und rechtmäßigen Zwecken, die für die Bereitstellung des Ideanote-Dienstes erforderlich sind (z. B. Erfassung von Ideen, Zusammenarbeit, Innovations-Workflows, Nutzerverwaltung und Support), sowie nach Weisung des Kunden.

Zu den Rechtsgrundlagen können die Einwilligung, ein Vertrag und andere nach dem PDPL zulässige Rechtsgrundlagen gehören. Wir wenden die Grundsätze der Datenminimierung und Zweckbindung an.

2. Datenresidenz und Hosting

Kunden können Google Cloud Platform (GCP) KSA – Region Dammam hosten oder sich für eine lokale Bereitstellung in KSA entscheiden. Unsere Hosting-Option in KSA gewährleistet, dass personenbezogene Daten der Kunden innerhalb des Königreichs gespeichert und verarbeitet werden.

3. Grenzüberschreitende Datenübermittlungen

Wenn Kunden das Hosting in KSA (GCP Dammam) oder eine lokale Bereitstellung wählen, speichert und verarbeitet Ideanote personenbezogene Daten der Kunden ausschließlich innerhalb von KSA; es werden keine personenbezogenen Daten der Kunden außerhalb des Königreichs Saudi-Arabien übertragen.

Dazu gehören Supportprozesse, die darauf ausgelegt sind, einen Fernzugriff auf personenbezogene Daten der Kunden von außerhalb von KSA zu vermeiden. Dieser Ansatz entspricht den Beschränkungen des PDPL für grenzüberschreitende Übermittlungen und macht Übertragungsgenehmigungen und Schutzmaßnahmen überflüssig.

4. Rechte betroffener Personen

Wir unterstützen Kunden bei der Erfüllung von Anfragen betroffener Personen gemäß PDPL, einschließlich Auskunft, Berichtigung, Löschung, Widerspruch/Einschränkung und Datenübertragbarkeit, soweit anwendbar. Anfragen können über den Administrator des Kunden oder über unseren unten genannten Datenschutzkontakt gestellt werden; Ideanote handelt nach den Weisungen des Verantwortlichen und innerhalb der gesetzlichen Fristen.

5. Sicherheitsmaßnahmen

Ideanote unterhält ein umfassendes Sicherheitsprogramm, das SOC 2-Kontrollen, Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffsverwaltung, Protokollierung, Schwachstellenmanagement und Notfallwiederherstellung umfasst. Unterauftragsverarbeiter (sofern vorhanden), die eine KSA-Bereitstellung unterstützen, sind vertraglich an gleichwertige Schutzmaßnahmen gebunden und befinden sich bei der Verarbeitung personenbezogener Kundendaten in KSA.

6. Benachrichtigung bei Vorfällen und Datenschutzverletzungen

Ideanote benachrichtigt den Kunden unverzüglich nach einer Verletzung des Schutzes personenbezogener Daten und unterstützt alle nach PDPL erforderlichen Benachrichtigungen an SDAIA und betroffene Personen (sofern zutreffend üblicherweise innerhalb von 72 Stunden). Die Kunden bleiben für Benachrichtigungen in ihrer Rolle als Verantwortliche zuständig; Ideanote stellt die erforderlichen Informationen bereit und kooperiert.

7. Aufbewahrung und Löschung von Daten

Wir bewahren personenbezogene Daten nur so lange auf, wie es für die angegebenen Zwecke erforderlich ist oder gesetzlich beziehungsweise aufgrund der Konfiguration des Kunden vorgeschrieben ist. Bei Vertragsbeendigung oder auf schriftliche Weisung des Kunden löscht oder gibt Ideanote personenbezogene Daten der Kunden aus Umgebungen in KSA zurück, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

8. Rechenschaftspflicht und Governance

Wir führen Verarbeitungsverzeichnisse, schulen Mitarbeitende und führen interne Audits durch, die sich am PDPL-Rahmenwerk sowie gegebenenfalls an branchenspezifischen Vorgaben (z. B. SAMA, NCA, CST für regulierte Branchen) orientieren. Dokumentationen (z. B. Auftragsverarbeitungsvertrag, Sicherheitsübersichten) stehen Unternehmenskunden zur Verfügung.