Quardy

1. Parteien und Gegenstand

Dieser Vertrag („AVV“) regelt gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) die Verarbeitung personenbezogener Daten, die Quardy im Auftrag der Händler durchführt, die den Dienst nutzen.

• Der Händler, Inhaber eines Quardy-Händlerkontos, ist Verantwortlicher für die Daten seiner Kunden.
• Damien Buchet, Herausgeber von Quardy (SIRET: 52825331300035, damien@quardy.app), nachfolgend „Quardy“, ist Auftragsverarbeiter.

Dieser AVV ist Bestandteil der Allgemeinen Nutzungsbedingungen. Der Händler nimmt ihn bei der Erstellung seines Geschäfts an; er gilt für die gesamte Dauer der Nutzung des Dienstes. Er umfasst nicht die Daten, die Quardy für eigene Zwecke verarbeitet (Nutzerkonten, Abrechnung der Abonnements), die in der Datenschutzerklärung beschrieben sind.

2. Beschreibung der Verarbeitung

• Zweck: Verwaltung des Treueprogramms des Händlers (Treuekarten, Besuche, Prämien, Geschenkkarten, Benachrichtigungskampagnen, Statistiken, Export der Kundenliste)
• Art der Vorgänge: Erhebung, Speicherung, Hosting, Abfrage, Aktualisierung der Apple-Wallet- und Google-Wallet-Pässe, Versand von Benachrichtigungen und E-Mails, Export, Löschung
• Betroffene Personen: Kunden des Händlers, Empfänger seiner Geschenkkarten, Mitglieder seines Teams
• Datenkategorien: Vor- und Nachname; Telefonnummer (manuell hinzugefügte Kunden); E-Mail-Adresse (Kunden mit Konto, Empfänger von Geschenkkarten); Guthaben und Besuchsverlauf, gegebenenfalls mit Kaufbetrag; Marketing-Einwilligung; Sprache; technische Kennungen der Karten und Geräte
• Besondere Kategorien: keine. Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO ausgelegt
• Dauer: für die gesamte Dauer der Nutzung des Dienstes durch den Händler

3. Pflichten von Quardy

3.1 Weisungen

Quardy verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Händlers. Diese Weisungen bestehen aus den Nutzungsbedingungen, diesem AVV und den Aktionen, die der Händler in der App ausführt. Ist Quardy der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert Quardy den Händler unverzüglich.

3.2 Vertraulichkeit

Quardy stellt sicher, dass die zum Zugriff auf die Daten befugten Personen zur Vertraulichkeit verpflichtet sind. Quardy nutzt die Daten der Kunden des Händlers niemals für eigene Zwecke, verkauft sie nicht und gibt sie nicht an andere Händler weiter.

3.3 Sicherheit

Quardy setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

3.4 Unterauftragsverarbeiter

Der Händler erlaubt Quardy, die in Anlage 1 aufgeführten Unterauftragsverarbeiter einzusetzen. Quardy erlegt ihnen Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind. Quardy informiert den Händler über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters durch Aktualisierung dieser Seite und bei wesentlichen Änderungen per E-Mail. Der Händler kann widersprechen, indem er die Nutzung des Dienstes beendet.

3.5 Rechte der betroffenen Personen

Die App ermöglicht es dem Händler, die Daten seiner Kunden einzusehen, zu berichtigen und zu löschen. Wendet sich ein Kunde mit einer Anfrage zu Daten, die der Händler hält, direkt an Quardy, leitet Quardy sie unverzüglich an den Händler weiter und unterstützt ihn bei der Beantwortung.

3.6 Datenschutzverletzungen

Quardy meldet dem Händler jede ihn betreffende Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntniserlangung, mit den verfügbaren Informationen, damit er seine eigenen Meldepflichten erfüllen kann.

3.7 Unterstützung

Auf Anfrage stellt Quardy dem Händler die vernünftigerweise erforderlichen Informationen zur Verfügung, um eine Datenschutz-Folgenabschätzung durchzuführen oder einer Aufsichtsbehörde zu antworten.

3.8 Rückgabe und Löschung der Daten

Bevor er den Dienst verlässt, kann der Händler seine Kundenliste aus der App exportieren (kostenpflichtige Tarife) oder per E-Mail anfordern. Bei Löschung des Händlerkontos wird das Geschäft gelöscht und die Karten seiner Kunden werden deaktiviert; Kunden mit einem Quardy-Konto behalten den Zugriff auf ihre eigene Karte, bis sie sie löschen.

3.9 Kontrollen

Quardy stellt dem Händler die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind. Der Händler kann auf eigene Kosten höchstens einmal jährlich mit einer Vorankündigung von 30 Tagen eine Kontrolle verlangen, unter Wahrung der Vertraulichkeit der Daten anderer Händler.

4. Pflichten des Händlers

• Über eine Rechtsgrundlage für die Quardy übertragenen Verarbeitungen verfügen und seine Kunden über die Nutzung von Quardy für sein Treueprogramm informieren
• Nur die für das Programm erforderlichen Daten erfassen und keine besonderen Kategorien von Daten (Gesundheit, Meinungen usw.) in Freitextfeldern
• Benachrichtigungskampagnen nur an Kunden senden, die ihnen zugestimmt haben (Quardy richtet sich nur an diese Kunden)
• Die Daten seiner Kunden ausschließlich zur Verwaltung seines Treueprogramms gemäß den Nutzungsbedingungen verwenden

5. Speicherort und Übermittlungen

Die Daten werden in der Europäischen Union auf Google Cloud (Firebase) gehostet. Einige in Anlage 1 aufgeführte Unterauftragsverarbeiter können Daten in den Vereinigten Staaten verarbeiten; diese Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework und/oder der Standardvertragsklauseln der Europäischen Kommission.

6. Haftung und Laufzeit

Die Haftung jeder Partei richtet sich nach den Nutzungsbedingungen und der DSGVO. Dieser AVV gilt, solange Quardy Daten im Auftrag des Händlers verarbeitet. Er kann aktualisiert werden, um Änderungen des Dienstes oder der Vorschriften Rechnung zu tragen; das Datum der letzten Aktualisierung ist am Ende dieser Seite angegeben.

Anlage 1: Unterauftragsverarbeiter

• Google Cloud / Firebase (Google): Hosting, Datenbank, Authentifizierung, Speicherung, serverseitige Verarbeitung. Europäische Union
• Apple: Ausstellung und Aktualisierung der Apple-Wallet-Pässe
• Google: Ausstellung und Aktualisierung der Google-Wallet-Pässe
• Resend: E-Mail-Versand (Geschenkkarten, Kundenexporte). Vereinigte Staaten
• Expo (650 Industries): Zustellung der Push-Benachrichtigungen der Kampagnen. Vereinigte Staaten
• Sentry (Functional Software): Überwachung technischer Fehler. Vereinigte Staaten

Anlage 2: Sicherheitsmaßnahmen

• Verschlüsselung der Daten bei der Übertragung (HTTPS/TLS) und im Ruhezustand
• Hosting in Europa auf einer Google-Cloud-Infrastruktur
• Authentifizierung der Nutzer über Firebase Authentication, ohne von Quardy gespeicherte Passwörter
• Trennung der Daten durch serverseitige Zugriffsregeln: Jeder Händler hat nur Zugriff auf die Daten seiner eigenen Kunden
• Sensible Felder (Abonnement, Kontingente) nur durch den Server änderbar
• Eingeschränkte Rechte für Teammitglieder: nur Scannen von Karten, ohne Zugriff auf die Kundenliste, Kampagnen oder Einstellungen
• Zugriff auf Wallet-Karten ohne Konto durch ein kartenspezifisches geheimes Token geschützt
• Begrenzung der Anfragen an öffentlichen und sensiblen Endpunkten
• IP-Adressen nur in gehashter Form gespeichert
• Zahlungen ausschließlich über Stripe, ohne Bankdaten bei Quardy
• Kontinuierliche Fehlerüberwachung