Für den Betrieb von Oppm zieht die CSP AG Dienstleister bei, die Personendaten im Auftrag bearbeiten (Unterauftragsbearbeiter nach Art. 9 Abs. 3 nDSG, Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO). Alle sind vertraglich auf mindestens gleichwertige Pflichten verpflichtet wie im Auftragsverarbeitungsvertrag und bearbeiten die Daten in der Schweiz.
Hier stehen die Kategorien. Name und Adresse jedes Unterauftragsverarbeiters erhalten Kundinnen mit dem unterzeichneten Vertrag und vor jeder Änderung.
Übersicht
| Kategorie | Leistung | Daten | Standort |
|---|---|---|---|
| Rechenzentrum in der Schweiz | Betrieb von Anwendung, Datenbank und Datensicherung (Infrastruktur) | Alle Daten des Mandanten, verschlüsselt übertragen | Schweiz |
| KI-Verarbeitung in der Schweiz | Sprachmodelle für Entwürfe und Auswertungen, Spracherkennung für Diktat und Mitschnitt | Nur die Inhalte, die eine Person an eine KI-Funktion übergibt; Audio nur während der Umwandlung | Schweiz |
| E-Mail-Versand in der Schweiz | Einladungen zu Sitzungen und Meetings mit Kalenderdatei, Einladungen ins Projektteam | Name, E-Mail-Adresse, Angaben zum Termin | Schweiz |
| Identity-Plattform | Anmeldung, Konten, Sitzungen und Zwei-Faktor-Anmeldung; betrieben im Rechenzentrum in der Schweiz | Name, E-Mail-Adresse, Zugehörigkeit zur Organisation, Anmeldezeitpunkte | Schweiz |
Anmeldung über das Verzeichnis der Kundin
Meldet sich eine Organisation mit Single Sign-on über ihr eigenes Verzeichnis an, ist dessen Anbieter kein Unterauftragsverarbeiter von CSP. Die Organisation wählt und verantwortet ihn selbst; Oppm erhält von dort nur die für die Anmeldung nötigen Angaben.
Was nicht beigezogen wird
- Keine Analyse-, Werbe- oder Tracking-Dienste, weder auf der Website noch in der Anwendung
- Keine KI-Modelle ausserhalb der Schweiz und kein Training von Modellen mit Daten der Kundin
- Keine Bekanntgabe ins Ausland ohne ausdrückliche Weisung der Kundin
Änderungen
Einen neuen oder ersetzten Unterauftragsverarbeiter kündigt CSP mindestens 30 Tage im Voraus an. Die Kundin kann aus wichtigem datenschutzrechtlichem Grund widersprechen; das Vorgehen regelt Ziffer 6 des Auftragsverarbeitungsvertrags.