Diese Seite fasst den Zusatz zur Datenverarbeitung (DPA) zusammen, der Bestandteil unserer Nutzungsbedingungen ist, wenn ein Kunde Sixto zur Verarbeitung personenbezogener Daten seiner Gäste, Mitarbeitenden und Kontakte nutzt. Der vollständige DPA einschließlich einer unterzeichnungsfähigen Fassung und, falls erforderlich, der Standardvertragsklauseln ist unter [email protected] auf Anfrage erhältlich.
Rollen und Geltungsbereich
Der Kunde ist Verantwortlicher (Responsable del Tratamiento), und [Sixto-Rechtsträger, S.A.S.] ist Auftragsverarbeiter (Encargado del Tratamiento) für personenbezogene Daten, die der Kunde oder seine Gäste in Sixto eingeben. Der DPA umfasst den Gegenstand (Bereitstellung von Sixto), die Dauer (Abonnement zuzüglich Löschfrist), Art und Zweck (Hosting und Verarbeitung für Reservierungen, Gästekommunikation, gesetzliche Meldungen, Buchhaltung und Betrieb), die Datenarten (Identifikations- und Kontaktdaten, Reisedaten, Ausweisdaten, Zahlungsaufzeichnungen, Nachrichten, Teamdaten) und die Personengruppen (Gäste, Teammitglieder, Eigentümer, Kontakte).
Für Daten über Website-Besucher und Kontoinhaber ist Sixto Verantwortlicher, wie in der Datenschutzerklärung beschrieben.
Pflichten als Auftragsverarbeiter
Sixto wird:
- personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten; diese ergibt sich aus den Bedingungen, dem DPA und der Nutzung des Produkts durch den Kunden. Sixto informiert den Kunden, wenn eine Weisung offenbar gegen das Gesetz verstößt;
- sicherstellen, dass Personen mit Zugang zu personenbezogenen Daten zur Vertraulichkeit verpflichtet sind;
- die Daten weder verkaufen noch für Werbung, Profilbildung oder das Training von KI-Modellen verwenden;
- Aufzeichnungen über seine Verarbeitungstätigkeiten führen und mit den Behörden des Kunden zusammenarbeiten, soweit gesetzlich vorgeschrieben;
- Daten gemäß Ley 1581 de 2012 und ihren Durchführungsbestimmungen sowie, soweit anwendbar, der DSGVO verarbeiten.
Unterauftragsverarbeiter
Der Kunde erteilt Sixto eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Jeder von ihnen ist durch eine schriftliche Vereinbarung mit Datenschutzpflichten gebunden, die mindestens so streng sind wie der DPA; Sixto bleibt für sie verantwortlich. Kategorien und Zwecke stehen auf der Seite Unterauftragsverarbeiter; die aktuelle namentliche Liste ist auf Anfrage erhältlich.
Wir informieren Kunden per E-Mail oder in der App, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, der personenbezogene Kundendaten verarbeitet, normalerweise mindestens 30 Tage im Voraus. Der Kunde kann aus berechtigten Datenschutzgründen widersprechen. Wir suchen gemeinsam nach einer Lösung; gelingt dies nicht, kann er den betroffenen Dienst kündigen.
Sicherheitsmaßnahmen
Sixto unterhält dem Risiko angemessene technische und organisatorische Maßnahmen, darunter:
- Verschlüsselung von Daten bei der Übertragung;
- logische Trennung der Daten jedes Kunden, die in der Anwendung durchgesetzt wird;
- rollenbasierte Berechtigungen; API-Schlüssel mit begrenztem Umfang und verbundene Agenten erhalten niemals mehr Rechte als die Person, die sie eingerichtet hat;
- Prüfprotokolle für sensible Aktionen;
- einen sicheren Speicher für Zugangsdaten von Integrationen;
- Entfernung sensibler Angaben, bevor Text an KI-Anbieter gesendet wird, und Auslesen von Ausweisdokumenten der Gäste durch KI nur mit Einwilligung des Gastes;
- Support-Zugriff auf ein Kundenkonto nur mit Zustimmung des Kunden, standardmäßig ausschließlich lesend und protokolliert;
- regelmäßige Sicherungskopien und Zugriffskontrollen auf Produktionssystemen.
Einzelheiten stehen auf der Seite Sicherheit und im vollständigen DPA.
Verletzung des Schutzes personenbezogener Daten
Wenn Sixto von einer Sicherheitsverletzung erfährt, die zur zufälligen oder rechtswidrigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung beziehungsweise zum unbefugten Zugriff auf personenbezogene Kundendaten führt, benachrichtigt es den Kunden unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung. Die Meldung beschreibt die bekannten Umstände der Verletzung, die betroffenen Daten und Personen, wahrscheinliche Folgen sowie ergriffene oder geplante Maßnahmen und wird bei neuen Erkenntnissen aktualisiert. Der Kunde entscheidet, ob die SIC (Superintendencia de Industria y Comercio), andere Behörden oder betroffene Personen informiert werden müssen; Sixto unterstützt ihn dabei.
Unterstützung des Kunden
Unter Berücksichtigung der Art der Verarbeitung unterstützt Sixto den Kunden bei der Beantwortung von Anträgen betroffener Personen zur Ausübung ihrer Rechte (Auskunft, Aktualisierung, Berichtigung, Löschung, Widerruf, Datenübertragbarkeit und Widerspruch), bei Folgenabschätzungen und bei der Konsultation von Behörden. Das Produkt bietet Export- und Löschwerkzeuge. Wenn sich eine Person wegen Kundendaten direkt an Sixto wendet, leiten wir die Anfrage an den Kunden weiter und beantworten sie nicht selbst, sofern das Gesetz nichts anderes verlangt.
Internationale Datenübermittlungen
Personenbezogene Kundendaten können außerhalb Kolumbiens verarbeitet werden. Sixto stellt sicher, dass Übermittlungen auf einem rechtmäßigen Mechanismus beruhen, etwa den von der SIC anerkannten Standards und Garantien oder, bei Daten unter der DSGVO, Standardvertragsklauseln, und nimmt sie bei Bedarf in den vollständigen DPA auf.
Rückgabe und Löschung
Der Kunde kann seine Daten exportieren, solange das Konto aktiv ist. Nach Vertragsende hält Sixto die Daten 30 Tage lang zum Export bereit und löscht sie anschließend aus aktiven Systemen sowie aus Sicherungskopien, sobald diese auslaufen, es sei denn, das Gesetz schreibt die Aufbewahrung bestimmter Unterlagen vor. Auf Anfrage bestätigt Sixto die Löschung schriftlich.
Prüfungen und Informationen
Sixto stellt dem Kunden die Informationen bereit, die zum Nachweis der Einhaltung des DPA erforderlich sind, beispielsweise Antworten auf einen angemessenen Sicherheitsfragebogen und eine Zusammenfassung seiner Maßnahmen. Reicht dies nicht aus, kann der Kunde höchstens einmal jährlich eine Prüfung durchführen, sofern keine Datenschutzverletzung vorliegt. Dafür gelten eine angemessene Vorankündigung, Geschäftszeiten, Vertraulichkeit und der Schutz der Daten anderer Kunden. Die angemessenen Kosten der Prüfung trägt der Kunde.
Vollständigen DPA anfordern
Für den vollständigen DPA, eine unterzeichnungsfähige Fassung, die aktuelle Liste der Unterauftragsverarbeiter oder Fragen schreiben Sie an [email protected]. Bitte geben Sie Ihren Firmennamen und die E-Mail-Adresse des Kontoinhabers an.