NETRA TECHNOLOGIES CORP. DATENVERARBEITUNGSVEREINBARUNG

Gültig ab: 1. Januar 2025

Diese Datenverarbeitungsvereinbarung („DPA“) wird zwischen allen Kunden, Pilotmitgliedern oder anderen Parteien, die zur Nutzung der Softwareprodukte von Netra Technologies Inc. berechtigt sind („Kunde“), und Netra Technologies Inc. („Netra“, „wir“, „uns“ oder „unser“) geschlossen und ist integraler Bestandteil der Vereinbarung zwischen den Parteien (die „Vereinbarung“). . Im Falle eines Widerspruchs zwischen dieser DPA und der Vereinbarung gelten die Bestimmungen dieser DPA in Bezug auf die Verarbeitung personenbezogener Daten durch Netra im Auftrag des Kunden.

1. DEFINITIONEN

Für die Zwecke dieser DPA haben die folgenden Begriffe die unten angegebenen Bedeutungen. Großgeschriebene Begriffe, die hier nicht anderweitig definiert sind, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

1.1 „Vereinbarung“ bezeichnet den/die Vertrag(e) zwischen dem Kunden und Netra, der/die die Bereitstellung der Produkte und/oder Dienstleistungen von Netra regelt/regeln, einschließlich, aber nicht beschränkt auf Rahmenvereinbarungen, Bestellformulare oder andere damit zusammenhängende Dokumente, die diese DPA ausdrücklich enthalten.

1.2 „Datenschutzgesetze“ bezeichnet alle geltenden Datenschutzgesetze, -vorschriften und -richtlinien (einschließlich, soweit zutreffend, der EU-Datenschutz-Grundverordnung (DSGVO) und der Datenschutzgesetze der US-Bundesstaaten), die sich auf die Verarbeitung personenbezogener Daten im Rahmen dieser DPA beziehen.

1.3 „Datenverantwortlicher“ bezeichnet die Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Der Kunde ist der Datenverantwortliche in Bezug auf die personenbezogenen Daten, die Netra im Rahmen der Vereinbarung zur Verfügung gestellt werden.

1.4 „Datenverarbeiter“ bezeichnet die Stelle, die personenbezogene Daten im Auftrag des Datenverantwortlichen verarbeitet. Netra ist der Datenverarbeiter.

1.5 „Personenbezogene Daten“ bezeichnet alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die im Zusammenhang mit den von Netra erbrachten Dienstleistungen verarbeitet werden, einschließlich aller Daten, die vom Kunden gemäß der Vereinbarung bereitgestellt werden.

1.6 „Verarbeitung“ oder „verarbeiten“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

1.7 „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, der von Netra mit der Verarbeitung personenbezogener Daten im Auftrag des Kunden beauftragt wird.

1.8 „Sicherheitsvorfall“ bezeichnet jeden unbefugten oder versehentlichen Zugriff auf personenbezogene Daten, deren Offenlegung, Veränderung, Verlust oder Zerstörung.

1.9 „Dienstleistung“ bezeichnet die von Netra gemäß der Vereinbarung bereitgestellten Produkte, Software und/oder Dienstleistungen, einschließlich aller Netzwerk-KI für KYC, KYB, Due Diligence, Betrugsanalysen oder damit verbundene Dienstleistungen.

2. DATENVERARBEITUNG UND ANWEISUNGEN

2.1 Verarbeitung gemäß den Anweisungen des Kunden.

Netra verarbeitet personenbezogene Daten ausschließlich gemäß den schriftlichen Anweisungen des Kunden, wie sie in der Vereinbarung festgelegt sind oder anderweitig schriftlich von einem bevollmächtigten Vertreter des Kunden erteilt wurden. Wenn Netra nach vernünftiger Einschätzung der Ansicht ist, dass eine Anweisung gegen geltende Datenschutzgesetze verstößt, benachrichtigt Netra den Kunden unverzüglich und setzt die Verarbeitung gegebenenfalls aus, bis der Kunde Anweisungen erteilt, die mit diesen Gesetzen vereinbar sind.

2.2 Zweck und Umfang.

Gegenstand, Art und Zweck der Verarbeitung ist ausschließlich die Erbringung der Dienstleistung für den Kunden. Netra verarbeitet personenbezogene Daten nur für die Zwecke, die für die Erbringung der Dienstleistung erforderlich sind, und in Übereinstimmung mit den dokumentierten Anweisungen des Kunden.

2.3 Kategorien personenbezogener Daten.

Für die Zwecke dieser DPA können die folgenden Arten oder Kategorien personenbezogener Daten von Netra im Zusammenhang mit seiner Dienstleistung verarbeitet werden:

• Grundlegende Identifikationsdaten: Vollständiger Name und alle bekannten Aliasnamen, von Behörden ausgestellte Identifikationsnummern (z. B. Passnummern, nationale Identifikationsnummern, Führerscheinnummern), Geburtsdatum, Kontaktdaten, Post- oder Wohnadressen, E-Mail-Adressen, Telefonnummern

• Berufliche und beschäftigungsbezogene Informationen: Berufsbezeichnungen und Funktionen, Unternehmenszugehörigkeit und Beschäftigungsdetails Beruflicher Hintergrund, der für Risikobewertungen und Due Diligence relevant ist

• Finanzdaten (sofern zutreffend): Bank- und Zahlungsdaten, Transaktionshistorien und zugehörige Finanzdaten

• Digitale Identifikatoren und Online-Daten: IP-Adressen und Gerätekennungen, Online-Verhaltensdaten (z. B. Cookies oder andere Nutzungsdaten), die während der Interaktion mit dem Dienst erfasst werden, biometrische Daten (falls zutreffend), Gesichtserkennungsdaten oder andere biometrische Identifikatoren, die zur verbesserten Identitätsprüfung verwendet werden (vorbehaltlich geltender gesetzlicher Bestimmungen)

• Öffentlich zugängliche Daten und Daten von Dritten: Daten aus öffentlichen Registern (z. B. Unternehmensregister, amtliche Unterlagen, Nachrichtenartikel), aggregierte oder abgeleitete Daten, die aus mehreren Quellen für Netzwerkintelligenz und Risikobewertung zusammengestellt wurden

Zu den betroffenen Personen im Sinne dieser DPA können unter anderem Personen wie Kunden, wirtschaftliche Eigentümer, Direktoren, Führungskräfte, Mitarbeiter und andere Vertreter von juristischen Personen gehören, die einer Überprüfung und Sorgfaltspflicht durch Banken, Anwaltskanzleien oder ähnliche Organisationen unterliegen.

3. SICHERHEITSMASSNAHMEN

3.1 Technische und organisatorische Maßnahmen.

Netra implementiert und unterhält geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff. Diese Maßnahmen entsprechen den Branchenstandards und den internen Sicherheitsrichtlinien von Netra und umfassen mindestens Folgendes:

• Verschlüsselung von Daten während der Übertragung und im Ruhezustand.

• Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der geringsten Privilegien.

• Kontinuierliche Überwachung und Protokollierung der Systemaktivitäten.

• Datenanonymisierung und Anforderungstrennung bei der Verwendung von APIs von Drittanbietern, darunter:

• Datenanbieter für Datenanreicherung

• Anbieter von KI-gestützten Lösungen

• Regelmäßige Schwachstellenanalysen und Sicherheitsaudits.

3.2 Änderungen.

Netra kann seine Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern diese Änderungen das Gesamtniveau des Schutzes der personenbezogenen Daten nicht wesentlich beeinträchtigen.

4. UNTERAUFTRAGNEHMER

4.1 Einsatz von Unterauftragnehmern.

Netra kann Unterauftragnehmer mit der Erbringung der Dienstleistung beauftragen, wobei Netra weiterhin die volle Haftung für alle Handlungen oder Unterlassungen dieser Unterauftragnehmer im Zusammenhang mit der Verarbeitung personenbezogener Daten trägt. Dies ist die aktuelle Liste der Unterauftragnehmer, mit denen wir zusammenarbeiten:

• Microsoft Corporation: Cloud-Infrastruktur, Datenspeicherung und Hosting-Dienste für Anwendungs- und Datenbankoperationen

• Retool, Inc.: Bereitstellung einer Webanwendungsplattform zum Erstellen und Hosten von Benutzeroberflächen zur Erleichterung der Datenverwaltung und -interaktion.

• Vespia: Anreicherung von Unternehmens- und personenbezogenen Daten, die von Kunden bereitgestellt werden, um die Datenqualität und die Erkenntnisse zu verbessern.

• Google LLC (Google Cloud): Bereitstellung von Cloud-Infrastruktur und KI-/ML-Diensten über die Vertex AI-Plattform, einschließlich großer Sprachmodelle (LLMs) für die Textverarbeitung, die Generierung von Inhalten und KI-gestützte Analysen.

4.2 Benachrichtigung und Widerspruch.

Netra benachrichtigt den Kunden mindestens dreißig (30) Tage vor der Aufnahme eines neuen Unterauftragsverarbeiters in die Liste. Der Kunde kann schriftlich Widerspruch gegen die Aufnahme eines neuen Unterauftragsverarbeiters einlegen, indem er eine angemessene Begründung für den Widerspruch vorlegt. Im Falle eines gültigen und begründeten Widerspruchs arbeiten die Parteien in gutem Glauben daran, die Vereinbarung zu ändern, oder der Kunde kann gegebenenfalls seine Kündigungsrechte gemäß der Vereinbarung ohne Haftung ausüben.

5. INTERNATIONALE DATENÜBERMITTLUNGEN

5.1 Übermittlungen außerhalb der Vereinigten Staaten von Amerika.

Der Kunde nimmt zur Kenntnis, dass personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), einschließlich der Vereinigten Staaten, übermittelt und dort verarbeitet werden können. Netra stellt sicher, dass solche Übermittlungen den geltenden Datenschutzgesetzen entsprechen, indem es geeignete Sicherheitsvorkehrungen trifft. Diese Sicherheitsvorkehrungen können die EU-Standardvertragsklauseln (SCCs) oder andere genehmigte Datenübermittlungsmechanismen umfassen.

Auf Anfrage stellt Netra eine separate SCC-Vereinbarung zur Unterzeichnung zur Verfügung, um rechtmäßige internationale Datenübermittlungen zu erleichtern.

6. UNTERSTÜTZUNG BEI ANFRAGEN VON BETROFFENEN PERSONEN UND BEHÖRDLICHEN ANFRAGEN

6.1 Anfragen von betroffenen Personen.

Netra benachrichtigt den Kunden unverzüglich über alle Anfragen, die direkt von betroffenen Personen eingehen (einschließlich Anfragen auf Zugang, Berichtigung, Löschung, Einschränkung oder Übertragbarkeit personenbezogener Daten), und leistet dem Kunden angemessene Unterstützung bei der Erfüllung dieser Anfragen, wobei der Kunde weiterhin dafür verantwortlich ist, den betroffenen Personen gemäß den geltenden Datenschutzgesetzen zu antworten.

6.2 Behördliche Anfragen und Audits.

Netra leistet dem Kunden angemessene Unterstützung bei der Beantwortung von Untersuchungen oder Anfragen einer Aufsichtsbehörde oder einer anderen staatlichen Stelle im Zusammenhang mit der Verarbeitung personenbezogener Daten durch Netra. Die etwaigen Prüfungsrechte des Kunden sind gemäß den in der Vereinbarung festgelegten Verfahren und vorbehaltlich angemessener Vertraulichkeitsverpflichtungen auszuüben.

7. BENACHRICHTIGUNG BEI DATENVERLETZUNGEN

7.1 Benachrichtigungspflicht.

Im Falle eines Sicherheitsvorfalls, der personenbezogene Daten betrifft, benachrichtigt Netra den Kunden unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem Netra von dem Vorfall Kenntnis erlangt hat, sofern dies nicht durch geltendes Recht untersagt ist. Die Benachrichtigung muss mindestens folgende Angaben enthalten:

Eine Beschreibung der Art des Sicherheitsvorfalls.

Die Kategorien und die ungefähre Anzahl der betroffenen Personen.

Die wahrscheinlichen Folgen des Sicherheitsvorfalls.

Die Maßnahmen, die ergriffen oder vorgeschlagen wurden, um den Sicherheitsvorfall zu beheben und seine Auswirkungen zu mindern.

7.2 Zusammenarbeit.

Nach einem Sicherheitsvorfall arbeitet Netra mit dem Kunden zusammen und stellt ihm alle zusätzlichen Informationen und Unterstützung zur Verfügung, die der Kunde vernünftigerweise benötigt, um seinen Verpflichtungen gemäß den Datenschutzgesetzen nachzukommen.

8. AUFBEWAHRUNG UND LÖSCHUNG

8.1 Aufbewahrung.

Netra bewahrt personenbezogene Daten nur so lange auf, wie dies für die Erbringung der Dienstleistung gemäß der Vereinbarung oder aufgrund geltender Gesetze erforderlich ist.

8.2 Rückgabe oder Löschung.

Bei Beendigung oder Ablauf der Vereinbarung und auf schriftliche Anfrage des Kunden wird Netra nach Wahl des Kunden alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten entweder zurückgeben oder sicher löschen, sofern die Aufbewahrung nicht durch geltendes Recht vorgeschrieben ist. Alle zurückgegebenen Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format vorliegen.

9. HAFTUNG UND FREISTELLUNG

9.1 Haftung.

Die Haftung von Netra in Bezug auf seine Verpflichtungen aus dieser DPA richtet sich nach den Bestimmungen der Vereinbarung. Keine Bestimmung dieser DPA schränkt die Haftung einer Partei gemäß der Vereinbarung oder gemäß geltendem Recht ein oder schließt sie aus.

9.2 Freistellung.

Jede Partei stellt die andere Partei von allen Ansprüchen, Verlusten oder Schäden frei, die sich aus oder im Zusammenhang mit einer Verletzung ihrer Verpflichtungen aus dieser DPA ergeben, soweit dies nach geltendem Recht zulässig ist.

10. LAUFZEIT UND KÜNDIGUNG

10.1 Laufzeit.

Diese DPA bleibt für die Dauer der Vereinbarung in Kraft, sofern sie nicht gemäß den Bestimmungen dieser Vereinbarung vorzeitig gekündigt wird.

10.2 Kündigung wegen Nichteinhaltung.

Wenn Netra seinen Verpflichtungen aus dieser DPA oder den geltenden Datenschutzgesetzen nicht nachkommt, kann der Kunde die Vereinbarung oder diese DPA kündigen (oder andere Rechte aus der Vereinbarung ausüben), unbeschadet anderer Rechtsbehelfe, die nach Gesetz oder Billigkeitsrecht zur Verfügung stehen.

11. SONSTIGES

11.1 Änderungen.

Änderungen dieser DPA bedürfen der Schriftform und müssen von beiden Parteien unterzeichnet werden.

11.2 Anwendbares Recht und Gerichtsbarkeit.

Diese DPA unterliegt den Gesetzen des US-Bundesstaates Delaware und ist entsprechend auszulegen. Alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser DPA ergeben, unterliegen der ausschließlichen Zuständigkeit der Gerichte in Delaware.

11.3 Mitteilungen.

Alle gemäß dieser DPA erforderlichen oder zulässigen Mitteilungen bedürfen der Schriftform und gelten als ordnungsgemäß zugestellt, wenn sie an die in der Vereinbarung angegebene Adresse oder auf eine andere von den Parteien schriftlich vereinbarte Weise zugestellt werden.

11.4 Salvatorische Klausel.

Sollte eine Bestimmung dieser DPA ungültig oder nicht durchsetzbar sein, bleiben die übrigen Bestimmungen davon unberührt und weiterhin in Kraft.

11.5 Künftige Vorschriften zu künstlicher Intelligenz.

Für den Fall, dass neue Gesetze oder Vorschriften erlassen werden, die speziell die Nutzung künstlicher Intelligenz oder ähnlicher Technologien regeln, vereinbaren die Parteien, sich in gutem Glauben zu treffen, um diese DPA zu überprüfen und gegebenenfalls zu ändern, um die fortgesetzte Einhaltung sicherzustellen. Wenn solche Änderungen wesentliche Änderungen der Bestimmungen dieser DPA erfordern, über die keine Einigung erzielt werden kann, kann jede Partei die Vereinbarung nach angemessener Kündigungsfrist kündigen.