Diese Vereinbarung zur Auftragsverarbeitung (DPA) regelt die Verarbeitung personenbezogener Daten durch die FORLYZE LTD, ein in England und Wales eingetragenes Unternehmen ('Intrvio', Auftragsverarbeiter), im Auftrag des Kunden (Verantwortlicher) auf Grundlage des Rahmendienstleistungsvertrags. Sie wird durch Verweis in diesen Vertrag einbezogen.

1. Rollen

Der Kunde ist der Verantwortliche (oder gemeinsam Verantwortlicher mit seinen Endnutzern). Intrvio ist der Auftragsverarbeiter. Intrvio kann gemäß den nachstehenden Bestimmungen Unterauftragsverarbeiter beauftragen.

2. Umfang und Dauer

Intrvio verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Rahmendienstleistungsvertrag beschriebenen Leistungen, für die Laufzeit dieses Vertrags zuzüglich aller schriftlich vereinbarten Aufbewahrungszeiträume.

3. Datenkategorien und betroffene Personen

Betroffene Personen: Kandidatinnen und Kandidaten, Arbeitgebernutzer, Arbeitgeberadministratoren. Kategorien: Identitätsdaten, Interviewantworten (Audio, Transkript, KI-Analyse), Proctoring-Signale, Nutzungsprotokolle, Einwilligungsnachweise.

4. Sicherheitsmaßnahmen

TLS 1.2 oder höher bei der Übertragung, AES-256 im Ruhezustand für Kandidaten-Artefakte, rollenbasierte Zugriffskontrolle, Audit-Protokollierung, Grundsatz der geringsten Rechte sowie Zuverlässigkeitsprüfungen für Mitarbeitende mit Produktivzugriff.

5. Unterauftragsverarbeiter

Die aktuellen Unterauftragsverarbeiter werden unter /subprocessors geführt und sind über das Trust Center verlinkt. Der Kunde wird 30 Tage im Voraus über neue Unterauftragsverarbeiter informiert.

6. Internationale Übermittlungen

Soweit Übermittlungen außerhalb des EWR oder der Türkei stattfinden, stützen sie sich auf Standardvertragsklauseln (EU 2021/914) und, bei Daten im Anwendungsbereich der KVKK, auf eine ausdrückliche Einwilligung zuzüglich zusätzlicher Garantien.

7. Anträge betroffener Personen

Intrvio unterstützt den Kunden bei der Beantwortung von Anträgen betroffener Personen innerhalb von 30 Tagen, einschließlich Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.

8. Meldung von Verletzungen

Intrvio benachrichtigt den Kunden ohne unangemessene Verzögerung und innerhalb von 72 Stunden nach Kenntnisnahme über jede Verletzung des Schutzes personenbezogener Daten, mit ausreichenden Angaben, um den Kunden die Meldung an seine Aufsichtsbehörden zu ermöglichen.

9. Löschung und Rückgabe

Nach der Kündigung löscht oder gibt Intrvio personenbezogene Daten innerhalb von 30 Tagen zurück, es sei denn, das anwendbare Recht verlangt eine Aufbewahrung.

10. Prüfung

Der Kunde kann die Einhaltung der Vorgaben durch Intrvio einmal pro 12 Monate auf eigene Kosten prüfen, vorbehaltlich angemessener Sicherheits- und Vertraulichkeitsbeschränkungen. Die aktuelle Sicherheitsdokumentation und verfügbare Berichte von Drittparteien können diese Verpflichtung unterstützen.

Vorlagen zum Download

DPA IDTA KVKK_SCC

Der Download von Vorlagen für DPA, IDTA und KVKK-SCC erfordert eine Authentifizierung als Unternehmensadministrator.

Um eine von Intrvio gegengezeichnete DPA abzuschließen, schreiben Sie an hello@intrvio.com.