Liste der Unterauftragsverarbeiter

Ideanote setzt bestimmte Unterauftragsverarbeiter ein, um die Dienstleistungen von Ideanote bereitzustellen. Ein Unterauftragsverarbeiter ist ein von Ideanote beauftragter Drittanbieter, der sich damit einverstanden erklärt, personenbezogene Daten von Ideanote zu erhalten, die für Verarbeitungstätigkeiten bestimmt sind, die (i) im Auftrag von Ideanote-Kunden, (ii) gemäß den von Ideanote übermittelten Anweisungen des Kunden und (iii) gemäß den Bestimmungen eines schriftlichen Vertrags zwischen Ideanote und dem Unterauftragsverarbeiter durchgeführt werden.

Ideanote legt jedem Unterauftragsverarbeiter Datenschutzbedingungen hinsichtlich seiner Sicherheitskontrollen und der geltenden Gesetze zum Schutz personenbezogener Daten auf. Weitere Informationen zu den Sicherheitsmaßnahmen der Unterauftragsverarbeiter finden Sie über die nachstehenden externen Links.

Erfordert die Beauftragung eines Unterauftragsverarbeiters die grenzüberschreitende Übermittlung personenbezogener Daten, hat Ideanote für diese Datenübermittlung Transfer Impact Assessments durchgeführt.

Ideanote führt nachstehend eine aktuelle Liste der Namen und Standorte aller Unterauftragsverarbeiter.

Dauer der Verarbeitung: Bei jedem nachstehend aufgeführten Unterauftragsverarbeiter erfolgt die Verarbeitung personenbezogener Daten für den Zeitraum, in dem der Kunde Ideanote nutzt und weiterhin nutzt, sowie für die in der Vereinbarung des Kunden mit Ideanote festgelegten Aufbewahrungsfristen.

Datenverarbeitungsverträge

Wir haben mit allen unseren Unterauftragsverarbeitern schriftliche Auftragsverarbeitungsverträge („AVV“) abgeschlossen. Der AVV ist ein Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter und umfasst die in Art. 28 der DSGVO vorgeschriebenen Inhalte. Dazu gehören die Rollen und Verantwortlichkeiten der Parteien bei der Verarbeitung personenbezogener Daten.

Gemäß der Datenschutz-Grundverordnung (GDPR) können Vertragsklauseln, die angemessene Garantien zum Datenschutz sicherstellen, als Rechtsgrundlage für Datenübermittlungen aus der EU in Drittländer dienen. Dazu gehören Modellvertragsklauseln – sogenannte Standardvertragsklauseln („SCC“) –, die von der Europäischen Kommission „vorab genehmigt“ wurden. Alle unsere Unterauftragsverarbeiter außerhalb der EU haben SCC vereinbart.

Unterauftragsverarbeiter von Drittanbietern

Ideanote arbeitet mit weiteren Drittanbietern zusammen, um bestimmte Funktionen oder Merkmale innerhalb des Dienstes bereitzustellen. Diese Anbieter erhalten Zugriff auf relevante personenbezogene Daten (sowohl in identifizierbarer als auch in anonymer Form), um die entsprechenden Funktionen bereitzustellen. Die Nutzung der Informationen ist auf die jeweiligen Zwecke beschränkt.

Relevant für Endnutzer

Die folgenden Unterauftragsverarbeiter werden zur Bereitstellung des Ideanote-Dienstes eingesetzt und sind Teil der Verarbeitungskette für sensible, personenbezogene und sonstige Daten von Endnutzern.

Google Cloud

Versionen: Standard, Dediziert, Datenresidenz

Funktion: Serverinfrastruktur

Personenbezogene Daten: IP-Adresse des Endnutzers, URL des Endnutzers, Referrer des Endnutzers, Browser des Endnutzers, Gerät des Endnutzers, Ereignisse des Endnutzers, Einstellungen des Endnutzers

Sensible Daten: Kundeninhalte

Pseudonymisierte Daten: Endnutzer-ID

Sonstige Daten: Kunden-Subdomain, geschäftliche E-Mail-Adresse des Kunden, Kundenname, Kunden-E-Mail-Adresse, Kundeneinstellungen, Ereignisse

Maßnahmen des Anbieters: Sichere Infrastruktur, Verschlüsselung ruhender Daten, Verschlüsselung bei der Übertragung, Compliance und Zertifizierungen, Datenschutz, Blog

Zertifizierungen: ISO27001/17/18, SOC1/2/3, PCI DSS, HIPAA

Zusätzliche Maßnahmen: Ideanote hostet seinen Dienst ausschließlich auf Google Cloud-Servern (in der EU oder an anderen Standorten, abhängig von den Einstellungen zur Datenresidenz), auf denen die Daten im Ruhezustand verschlüsselt sind. Sicherungskopien werden ebenfalls auf Google Cloud-Servern am selben Standort erstellt, sodass Ihre Daten an diesem Standort gespeichert bleiben.

Aufbewahrung: Ideanote bewahrt Daten in Kunden-Workspaces so lange auf, bis es zur Löschung aufgefordert wird oder ein Workspace länger als ein Jahr inaktiv ist. Kunden haben die Möglichkeit, Inhalte und einzelne Endnutzer sowie mehrere Endnutzer gleichzeitig zu löschen und ebenso sämtliche Daten in ihrem Workspace zu löschen (im Einklang mit der GDPR).

Rechtsträger: Google Inc.

Datenspeicherort: Abhängig von den Einstellungen zur Datenresidenz des Workspace (z. B. EU, US, CA, SA)

Rechtsgrundlage: DPA (SCC)

‍

SendGrid

Versionen: Standard, Dedicated, Data Residency (EU, US, jedoch nicht CA, AE)

Funktion: E-Mail-Infrastruktur

Personenbezogene Daten: E-Mail-Adressen der Endnutzer, Namen der Endnutzer

Sensible Daten: Keine

Sonstige Daten: E-Mail-Inhalte

Maßnahmen des Anbieters: Sicherheitsmaßnahmen, GDPR

Zertifizierungen: SOC2 Type II

Zusätzliche Maßnahmen: Ideanote setzt für alle E-Mails eine vollständige Ende-zu-Ende-Verschlüsselung während der Übertragung mit TLS 1.1. durch.

Aufbewahrung: Die E-Mail-Anbieter von SendGrid speichern E-Mail-Aktivitäten (wie Öffnungen und Klicks) bis zu 90 Tage lang. Aggregierte Versandstatistiken und Sperrlisten (unzustellbare E-Mails, Abmeldungen) sowie Spam-Berichte werden unbegrenzt gespeichert.

Rechtsträger: Twilio Inc.

Datenspeicherort: EU oder Vereinigte Staaten (abhängig von den Einstellungen zur Datenresidenz des Workspace)

Rechtsgrundlage: DPA (SCC)

‍

Optionale KI-Anbieter

Ideanote nutzt einen Drittanbieter für LLMs, um KI-gestützte Funktionen auszuführen. Die Nutzung der Informationen ist auf die jeweiligen Zwecke beschränkt. Sie können diese über die KI-Einstellungen des Workspace deaktivieren.

‍

Versionen: Standard, Dedicated, Data Residency

Funktion: Generative KI

Personenbezogene Daten: Keine

Sensible Daten: Keine

Sonstige Daten: Ideeninhalte

Maßnahmen des Anbieters: Sicherheitsmaßnahmen

Zertifizierungen: SOC2 Type II

Zusätzliche Maßnahmen: Ideanote setzt ein Protokollierungsverbot und den Ausschluss menschlicher Überprüfungen durch. Inhalte werden nicht zum Trainieren der KI verwendet (Quelle). Sie können auf die KI-Funktionen von Ideanote verzichten, wenn Sie verhindern möchten, dass Daten an OpenAI gesendet werden.

Aufbewahrung: Keine. Das Flag ist so gesetzt, dass die Protokollaufbewahrung deaktiviert ist.

Rechtsträger: Microsoft Inc.

Datenstandort: Abhängig von den Workspace-Einstellungen zur Datenresidenz (z. B. EU, US, CA, SA)

Rechtsgrundlage: Keine personenbezogenen Daten

‍

Optionale Analysen

Ideanote arbeitet mit einem Drittanbieter für Analysen zusammen, um die Nutzung zu analysieren und den Service zu verbessern. Die Nutzung der Informationen ist auf die konkreten Zwecke beschränkt. Sie können diese Funktion in den Workspace-Einstellungen unter „Nutzungsdaten teilen“ deaktivieren.

PostHog

Versionen: Standard

Funktion: Produktanalysen

Personenbezogene Daten: E-Mail-Adressen von Endnutzern, Servicedaten von Endnutzern

Sensible Daten: Keine

Maßnahmen des Anbieters: Datenschutz, Sicherheit

Zertifizierungen: SOC2 Type II

Zusätzliche Maßnahmen: PostHog ist standardmäßig für die Erfassung anonymisierter Nutzungsdaten aktiviert, um die Zuverlässigkeit und Leistung der Plattform zu verbessern. Kunden können diese Funktion in ihren Workspace-Einstellungen deaktivieren. Ist sie deaktiviert, wird PostHog nicht geladen und es werden keine Daten erfasst.

Aufbewahrung: Daten werden gemäß der Datenschutzerklärung von PostHog aufbewahrt und gelöscht oder anonymisiert, sobald sie nicht mehr benötigt werden.‍

Unternehmen: PostHog Inc.

Datenspeicherort: Europäische Union

Rechtsgrundlage: DPA (Datenverarbeitungsvereinbarung)

‍

Für Kunden relevant

Die folgenden Unterauftragsverarbeiter werden ausschließlich im Zusammenhang mit Daten verwendet, die sich unmittelbar auf den Kunden beziehen, der sich für einen Ideanote-Workspace registriert hat, sowie auf Workspace-Eigentümer, die zu Abrechnungszwecken eingeladen wurden – nicht jedoch im Zusammenhang mit anderen Endnutzern, die zur Zusammenarbeit auf der Plattform eingeladen wurden.

Stripe

Funktion: Zahlungsabwicklung und Verarbeitung von Kreditkartenzahlungen

Sensible Daten: Kreditkartendaten des Kunden

Personenbezogene Daten: Kundenkontakt-E-Mail-Adresse, Name des Kundenkontakts, IP-Adresse des Kundenkontakts, Kundenadresse

Sonstige Daten: Kundenunternehmensname, Kundensubdomain, Kundenabonnement, Kundenunternehmensname

Maßnahmen des Anbieters: Security Hub

Zertifizierungen: PCI Service Provider Level 1, PCI DSS

Zusätzliche Maßnahmen: Ideanote verwendet Stripe für Dienstleistungen im Zusammenhang mit der Zahlungsabwicklung für unsere Abonnements und Abrechnung. Die Nutzung der Informationen ist auf diesen konkreten Zweck beschränkt. Stripe ist PCI-konform, und Ideanote verarbeitet oder speichert keine Kreditkarteninformationen.

Aufbewahrung: Ideanote bewahrt aus Compliance-Gründen Abrechnungsdaten bis zu 10 Jahre lang auf; dies umfasst keine personenbezogenen Daten. Kreditkartendaten können vom Kunden über die Ideanote-Oberfläche gelöscht werden.

Rechtsträger: Stripe Inc.

Datenstandort: Vereinigte Staaten

Rechtsgrundlage: DPA (SCC)

‍

G-Suite

Funktion: Business-Suite für Kommunikation.

Sensible Daten: Keine, es sei denn, sie werden von einem Kunden im Zusammenhang mit einer Kundenanfrage (z. B. einem Datenexport) an Ideanote weitergegeben.

Personenbezogene Daten: Keine, es sei denn, sie werden von einem Kunden im Zusammenhang mit einer Kundenanfrage (z. B. einem Datenexport) an Ideanote weitergegeben.

Sonstige Daten: Unternehmensname, Kundenanfragen

Maßnahmen des Anbieters: Sichere Infrastruktur, Verschlüsselung im Ruhezustand, Verschlüsselung bei der Übertragung, Compliance und Zertifizierungen, Datenschutz

Zertifizierungen: ISO27001/17/18, SOC1/2/3, PCI DSS, HIPAA

Zusätzliche Maßnahmen: Die interne Kommunikation enthält keine personenbezogenen Daten, außer bei vom Kunden angeforderten Supportleistungen im Zusammenhang mit einer Supportanfrage. Spuren von Kundendaten werden so schnell wie möglich gelöscht. Der Zugriff ist durch SSO gesichert und auf Personen beschränkt, die ihn zur Kenntnis benötigen.

Aufbewahrung: Sensible und personenbezogene Daten zu Kundensupportanfragen werden innerhalb von 72 Stunden nach Abschluss der Kundenanfragen gelöscht.

Rechtsträger: Google Inc.

‍Datenstandort: Vereinigte Staaten

Rechtsgrundlage: DPA (SCC)

‍

Slack

Funktion: Interne Kommunikation

Sensible Daten: Keine, es sei denn, sie werden von einem Kunden im Zusammenhang mit einer Kundenanfrage (z. B. einem Datenexport) an Ideanote weitergegeben

Personenbezogene Daten: Keine, es sei denn, sie werden von einem Kunden im Zusammenhang mit einer Kundenanfrage (z. B. einem Datenexport) an Ideanote weitergegeben

Sonstige Daten: Firmenname, Kundenanfragen

Maßnahmen des Anbieters: Sichere Infrastruktur, Verschlüsselung gespeicherter Daten, Verschlüsselung bei der Übertragung, Compliance und Zertifizierungen, Datenschutz

Zertifizierungen: ISO27001/17/18, SOC2 Type II, SOC3, CSA, FedRamp, HIPAA

Zusätzliche Maßnahmen: Die interne Kommunikation enthält keine personenbezogenen Daten, außer bei vom Kunden angeforderten Supportleistungen im Zusammenhang mit einer Supportanfrage. Spuren von Kundendaten werden so schnell wie möglich gelöscht. Der Zugriff ist durch SSO gesichert und auf Personen beschränkt, die ihn zur Kenntnis benötigen.

Aufbewahrung: Sensible und personenbezogene Daten zu Kundensupportanfragen werden innerhalb von 72 Stunden nach Abschluss der Kundenanfragen gelöscht.

Rechtsträger: Slack Inc.

Datenstandort: Vereinigte Staaten

Rechtsgrundlage: DPA (SCC)

‍

‍

Gegensprechanlage

Funktion: Kunden-Onboarding, Support und Kontaktaufnahme.

Sensible Daten: Keine

Personenbezogene Daten: E-Mail-Adresse des Kundenkontakts, Name des Kundenkontakts

‍Pseudonymisierte Daten: Kunden-ID

Sonstige Daten: Kundensubdomain, Firmenname des Kunden, aggregierte Aktivitätszahlen

Maßnahmen des Anbieters: Datenschutz und Sicherheit

Zertifizierungen: SOC2-zertifiziert

Zusätzliche Maßnahmen: Keine

Aufbewahrung: Daten inaktiver Kontakte werden nach 3 Jahren gelöscht.

Rechtsträger: Intercom Inc.

Datenstandort: EU, US

Rechtsgrundlage: DPA (SCC)

‍

Zapier

Funktion: Workflow-Automatisierung

Sensible Daten: Keine

Personenbezogene Daten: Kundenkontakt-E-Mail, Kundenkontaktname

‍Pseudonymisierte Daten: Kunden-ID

Sonstige Daten: Kundensubdomain, Kundenunternehmensname, aggregierte Aktivitätszahlen

Maßnahmen des Anbieters: Sicherheit, Datenschutz

Zertifizierungen: SOC2-zertifiziert

Zusätzliche Maßnahmen: Keine

Aufbewahrung: Protokolle werden nach 70 Tagen gelöscht

Rechtsträger: Zapier Inc.

Datenstandort: US

Rechtsgrundlage: DPA (SCC)

‍

Pipedrive

Funktion: Vertriebs-CRM und Kundenansprache

Sensible Daten: Keine

Personenbezogene Daten: Kundenkontakt-E-Mail, Kundenkontaktname

‍Pseudonymisierte Daten: Kunden-ID

Sonstige Daten: Kundensubdomain, Kundenunternehmensname, aggregierte Aktivitätszahlen

Maßnahmen des Anbieters: Datenschutz und Sicherheit

Zertifizierungen: SOC2-zertifiziert

Zusätzliche Maßnahmen: Wird nur für eine ausgewählte Anzahl von Interessenten und Kunden verwendet.

Aufbewahrung: Daten inaktiver Kontakte werden nach 3 Jahren gelöscht.

Rechtsträger: Pipedrive Inc.

Datenstandort: EU, US

Rechtsgrundlage: DPA (SCC)

‍

Andockbereich

Funktion: Kunden-Onboarding

Sensible Daten: Keine

Personenbezogene Daten: E-Mail des Kundenkontakts, Name des Kundenkontakts

‍Pseudonymisierte Daten: Kunden-ID

Sonstige Daten: Kundensubdomain, Kundenfirmenname, aggregierte Aktivitätszahlen

Maßnahmen des Anbieters: Datenschutz und Sicherheit

Zertifizierungen: SOC2-konform

Zusätzliche Maßnahmen: Wird nur für ausgewählte Leads und Kunden verwendet.

Aufbewahrung: Daten inaktiver Kontakte werden nach 3 Jahren gelöscht.

Rechtsträger: Dock Labs, Inc.

Datenstandort: US

Rechtsgrundlage: DPA (SCC)

‍

Änderungen bei Unterauftragsverarbeitern

Unsere geschäftlichen Anforderungen können sich von Zeit zu Zeit ändern. Beispielsweise können wir einen Unterauftragsverarbeiter ablösen, um den Einsatz von Unterauftragsverarbeitern zu konsolidieren und zu minimieren. Ebenso können wir einen Unterauftragsverarbeiter hinzuziehen, wenn wir der Ansicht sind, dass dies unsere Fähigkeit zur Erbringung unserer Dienstleistungen verbessert. Bevor wir Unterauftragsverarbeiter beauftragen, führen wir eine sorgfältige Prüfung durch, einschließlich einer Sicherheits- und Rechtsanalyse. Wir beauftragen keinen Unterauftragsverarbeiter, sofern unsere Qualitäts- und Sicherheitsanforderungen sowie die Standards der GDPR nicht erfüllt sind.

Änderungen bei Unterauftragsverarbeitern werden durch den DPA geregelt, den wir mit Ihnen geschlossen haben.