Vereinbarung zur Datenverarbeitung

Datenschutz und Informationssicherheit sind ein zentrales Thema bei Driftrock.

This Driftrock Data Processing DPA (“DPA”) reflects the parties’ agreement with respect to the terms governing the Processing of Personal Data under the Driftrock Terms of Service (the “ToS”). This DPA, ToS and the Privacy Policy set out the full extent of our obligations and liabilities concerning the Website and the Software Services and replace any previous DPAs, representations and understandings between us and you.

This DPA is effective upon its incorporation, which incorporation may be specified in the ToS, an Order or the Main Contract (as applicable).

We periodically update these terms. We will let you know when we do via an email or in-app notification.

1. Definitions

In dieser DPA gelten die folgenden Definitionen und Auslegungsregeln.

Audience Management Service means the Driftrock audience management service.

Customer Data means all End User data and data relating to your customers or to the customers of your clients and which is provided by you or on your behalf to us for the purposes of providing the Services.

Customer Personal Data has the meaning set out in clause 2.4.

CRM and CRM Data has the meaning set out in the Data Protection Appendix.

Data Controller shall have the same meaning as in the Data Protection Laws.

Data Processor shall have the same meaning as in the Data Protection Laws.

Data Protection Appendix means the data protection appendix attached to this DPA.

Data Protection Laws means prior to and including 24 May 2018, the Data Protection Act 1998; and from and including 25 May 2018, (i) unless and until the General Data Protection Regulation ((EU) 2016/679) (“GDPR”)) is no longer directly applicable in the UK, the GDPR and any national implementing laws, regulations and secondary legislation, as amended or updated from time to time, in the UK and then (ii) any successor legislation to the GDPR or the Data Protection Act 1998.

Data Subject shall have the same meaning as in the Data Protection Laws.

Driftrock Apps means Driftrock’s marketing and other applications.

EEA means the European Economic Area.

End User means any employee, contractor or other individual appointed by or permitted by you to use the Software Services.

End User Data means any data relating to the End Users’ use of the Software Services, such as login and user ID credentials.

Fees means the sums payable under this DPA specified in the DPA Summary.

Key Mapping Store has the meaning set out in the Data Protection Appendix.

Lead IDs has the meaning set out in the Data Protection Appendix.

Lead Generation Data has the meaning set out in the Data Protection Appendix.

Lead Generation Form has the meaning set out in the Data Protection Appendix.

Main Contract means main agreement executed by the Parties.

Market Acquisition Service means the Driftrock market acquisition service.

Minimum Term means the minimum term of DPA as specified by the Parties in the Main Contract, Order or otherwise.

Order means Driftrock work order template.

Personal Data shall have the same meaning as in the Data Protection Laws.

Software Services means the Driftrock Apps and associated services (the Market Acquisition Service and/or Audience Management Service) to be supplied to you pursuant to this DPA or as may be agreed by the parties in writing from time to time.

ToS means Driftrock Terms of Service as available at Driftrock’s website: https://www.driftrock.com/terms-of-service/.

Website means Driftrock’s website at www.driftrock.com.

‍

2. Privacy and data protections

2.1. Driftrock’s privacy policy which can be found at www.driftrock.com/privacy_policy and Driftrock’s ToS which can be found at https://www.driftrock.com/terms-of-service/ are expressly incorporated into this DPA.
2.2. You agree that you will comply with the Data Protection Laws in respect of any personal data of individuals processed through, or as a consequence of your use of, any Driftrock App (“End Users”). You must as a minimum provide a legally adequate privacy notice and protection for End Users. If End Users provide you with user names, passwords, or other login information or personal data, you must make the users aware that the information may be available to your application and to Driftrock and will be held on third party servers on behalf of Driftrock, including servers located outside the European Union.
2.3. Both parties will comply with all applicable requirements of the Data Protection Laws. This clause 2 is in addition to, and does not relieve, remove or replace, a party's obligations under the Data Protection Laws.
2.4. The parties acknowledge that for the purposes of the Data Protection Laws, you are the Data Controller and we are the Data Processor in respect of any Personal Data in the Customer Data (“Customer Personal Data”).
2.5. The scope, nature and purpose of our processing of the Customer Personal Data depends on the type of Software Service to be supplied by us to you under this DPA, and is set out in the Data Protection Appendix.
2.6. Without prejudice to the generality of clause 2.1, you shall ensure that you have all necessary appropriate consents and notices in place to enable lawful transfer of the Customer Personal Data to us so that we can use such Customer Personal Data for the purposes and duration of this DPA. In particular, where we are providing you with the Market Acquisition Service, you undertake that you will present valid notices to Data Subjects on each Lead Generation Form.
2.7. Without prejudice to the generality of clause 2.1, and to the extent that we process Customer Personal Data on your behalf in providing the Software Services, we will:

a) process the Customer Personal Data only for the purpose of providing the Software Services;
b) process the Customer Personal Data only on your written instructions unless otherwise required by law;
c) take appropriate technical and organisational security measures to protect against unauthorised or unlawful processing and accidental loss or destruction of, or damage to, such personal data:

which is appropriate to the harm that might result from the unauthorised or unlawful processing or accidental loss, destruction or damage and the nature of the Customer Personal Data to be protected; andhaving regard to the state of technological development and the cost of implementing any measures (those measures may include, where appropriate, pseudonymising and encrypting the Customer Personal Data, ensuring confidentiality, integrity, availability and resilience of its systems and services, ensuring that availability of and access to the Customer Personal Data can be restored in a timely manner after an incident, and regularly assessing and evaluating the effectiveness of the technical and organisational measures adopted by us;

unter Berücksichtigung des Stands der technischen Entwicklung und der Kosten für die Umsetzung der Maßnahmen (zu diesen Maßnahmen kann gegebenenfalls die Pseudonymisierung und Verschlüsselung der personenbezogenen Daten des Kunden gehören, die Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit seiner Systeme und Dienste, die Gewährleistung, dass die Verfügbarkeit der personenbezogenen Daten des Kunden und der Zugang zu ihnen nach einem Zwischenfall rechtzeitig wiederhergestellt werden können, sowie die regelmäßige Bewertung und Evaluierung der Wirksamkeit der von uns getroffenen technischen und organisatorischen Maßnahmen;

d) sicherzustellen, dass alle Mitarbeiter, die Zugang zu den personenbezogenen Daten des Kunden haben und/oder diese verarbeiten, zur Geheimhaltung verpflichtet werden;

e) keine personenbezogenen Kundendaten außerhalb des EWR zu übermitteln, es sei denn, wir haben Ihre Zustimmung erhalten;

f) Sie bei der Beantwortung von Anfragen betroffener Personen und bei der Einhaltung Ihrer Verpflichtungen gemäß den Datenschutzgesetzen in Bezug auf Sicherheit, Meldungen von Datenschutzverletzungen, Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden oder Regulierungsbehörden zu unterstützen;

g) Sie unverzüglich zu benachrichtigen, wenn Sie von einer Verletzung des Datenschutzes Kenntnis erlangen, die sich auf die personenbezogenen Daten des Kunden auswirkt; und

h) soweit wir personenbezogene Kundendaten speichern, auf Ihre schriftliche Aufforderung hin die personenbezogenen Kundendaten und Kopien davon bei Beendigung dieser DPA zu löschen und/oder an Sie zurückzugeben, es sei denn, wir sind nach geltendem Recht verpflichtet, bestimmte personenbezogene Kundendaten über die Beendigung dieser DPA hinaus aufzubewahren (in diesem Fall werden wir diese personenbezogenen Kundendaten löschen, sobald es uns nach geltendem Recht gestattet ist).

2.8 Wir führen vollständige und genaue Aufzeichnungen und Informationen, um die Einhaltung dieser Klausel 2 nachzuweisen, und gestatten angemessene Prüfungen, einschließlich der Inspektion unserer Räumlichkeiten durch Sie oder einen von Ihnen benannten Prüfer, nach angemessener Vorankündigung, um die Einhaltung der Datenschutzgesetze und dieser Klausel 2 zu überprüfen.

2.9 Sie sind verantwortlich für die Beschaffung (auf eigene Kosten) aller notwendigen Geräte und Telekommunikationsdienste, die für den Zugriff auf die Softwaredienste erforderlich sind. Sie sind auch dafür verantwortlich, dass keine Person ohne Ihre Erlaubnis Ihre Geräte für den Zugriff auf die Softwaredienste nutzt. Wir sind berechtigt, davon auszugehen, dass jede Person, die mit Ihrer Ausrüstung auf die Software-Dienste zugreift, Ihre Erlaubnis dazu hat, und Sie sind für alle Gebühren, Kosten oder Verbindlichkeiten verantwortlich, die diesen Personen entstehen können. Sie erklären sich damit einverstanden, dass Sie uns von jeglichen Verlusten, Haftungen, Ansprüchen, Schäden oder Kosten freistellen, die uns aus einer Verletzung dieser Klausel 2.8 durch Sie entstehen.

3. Limitation of liability

3.1. Nichts in dieser DPA schränkt unsere Haftung ein oder schließt sie aus für: (a) Todesfälle oder Personenschäden, die durch unsere nachgewiesene Fahrlässigkeit verursacht wurden; (b) Verluste, die Sie erlitten haben, weil Sie sich auf eine arglistige Falschdarstellung durch uns verlassen haben; oder (c) jede andere Haftung, die gesetzlich nicht beschränkt oder ausgeschlossen werden kann.

3.2. Vorbehaltlich der Klausel 3.1 erklären Sie sich damit einverstanden, dass wir keine Haftung übernehmen für: (a) indirekte Verluste, Ansprüche oder Schäden oder Strafschadensersatz, besondere, zufällige oder Folgeschäden jeglicher Art; oder (b) Datenverlust oder -verfälschung (direkt oder indirekt) oder (c) entgangenen Gewinn, entgangene Gelegenheiten oder erwartete Einsparungen (direkt oder indirekt), jeweils unabhängig davon, ob sie auf einem Vertrag, einer unerlaubten Handlung (einschließlich Fahrlässigkeit), verschuldensunabhängiger Haftung oder anderweitig beruhen, die sich aus (i) einer Nutzung der Softwaredienste ergeben oder in irgendeiner Weise damit verbunden sind; (ii) einem Ausfall oder einer Verzögerung bei der Nutzung einer Komponente der Software-Dienste, einschließlich, ohne Einschränkung, einer Nichtverfügbarkeit der Software-Dienste, unabhängig von der Dauer der Nichtverfügbarkeit; oder (iii) der Nutzung von oder dem Vertrauen auf Informationen, Material, Software, Produkte, Dienste und zugehörige Grafiken, die über die Software-Dienste erhalten wurden, in allen Fällen, auch wenn wir vor der Möglichkeit eines solchen Verlustes oder Schadens gewarnt wurden.

3.3. Vorbehaltlich der Klauseln 3.1 und 3.2 ist die gesamte Haftung von Driftrock, die sich aus oder in Verbindung mit dieser DPA ergibt, unabhängig davon, ob sie auf Vertrag, unerlaubter Handlung (einschließlich Fahrlässigkeit), Gefährdungshaftung oder anderweitig beruht, die sich aus (i) der Nutzung der Software-Dienste, (ii) einem Ausfall oder einer Verzögerung bei der Nutzung einer Komponente der Software-Dienste, einschließlich, aber nicht beschränkt auf die Nichtverfügbarkeit der Software-Dienste, unabhängig von der Dauer der Nichtverfügbarkeit oder (iii) die Nutzung von oder das Vertrauen auf Informationen, Material, Software, Produkte, Dienstleistungen und zugehörige Grafiken, die über die Softwaredienste erhalten wurden, in allen Fällen, auch wenn wir vor der Möglichkeit eines solchen Verlustes oder Schadens gewarnt wurden, ist in Bezug auf alle Ansprüche in Bezug auf ein Vertragsjahr auf die Beträge beschränkt, die von Ihnen gemäß oder in Verbindung mit dieser DPA in Bezug auf dieses Vertragsjahr zu zahlen sind. "Vertragsjahr" bezeichnet einen Zwölfmonatszeitraum, der mit dem Datum des Inkrafttretens oder dem entsprechenden Jahrestag beginnt.

3.4. Ohne die Wirkung der obigen Klausel 3.2 oder 3.3 einzuschränken, können wir aufgrund der inhärenten Risiken bei der Nutzung des Internets nicht für Schäden oder Viren haften, die Ihre Computerausrüstung oder anderes Eigentum infizieren, wenn Sie die Softwaredienste nutzen oder die Website durchsuchen. Das Herunterladen oder der anderweitige Erwerb von Materialien oder Informationen über die Website erfolgt nach Ihrem eigenen Ermessen und auf Ihr eigenes Risiko und mit Ihrer DPA, dass Sie allein für jegliche Schäden an Ihrem Computersystem oder Datenverluste verantwortlich sind, die aus dem Herunterladen oder dem Erwerb solcher Materialien resultieren.

3.5. Sie erklären sich damit einverstanden, uns von jeglichen Ansprüchen oder Gerichtsverfahren freizustellen, die durch Ihre Nutzung der Softwaredienste oder durch eine Verletzung dieser DPA durch Sie entstehen können.

3.6. Wir werden Sie über solche Ansprüche oder Verfahren informieren und Sie über den Fortgang solcher Ansprüche oder Verfahren auf dem Laufenden halten.

4. Termination

4.1. Diese Vereinbarung bleibt so lange in vollem Umfang in Kraft, wie wir personenbezogene Kundendaten in Ihrem Auftrag verarbeiten. Die Mindestlaufzeit dieser DPA ist die Laufzeit des Hauptvertrags, die Laufzeit des Auftrags oder eine andere, von den Parteien schriftlich vereinbarte Laufzeit. Die Beendigung des Hauptvertrags oder der Bestellung führt automatisch zur Beendigung dieser DPA.

4.2. Unbeschadet anderer ihr zustehender Rechte oder Rechtsmittel kann jede Partei diese DPA mit sofortiger Wirkung durch schriftliche Mitteilung an die andere Partei kündigen, wenn

a) the other party commits a material breach of any other term of this DPA which breach is irremediable or (if such breach is remediable) fails to remedy that breach within a period of 30 days after being notified in writing to do so; orb) the other party repeatedly breaches any of the terms of this DPA in such a manner as to reasonably justify the opinion that its conduct is inconsistent with it having the intention or ability to give effect to the terms of this DPA.

4.3. Bei Beendigung dieser DPA, aus welchem Grund auch immer, werden alle an uns zu zahlenden Beträge sofort fällig, unbeschadet des Rechts, Zinsen nach dem Gesetz oder nach dieser DPA zu verlangen.

4.4 Bei Beendigung dieser DPA sind Sie verpflichtet, die Nutzung der Softwaredienste unverzüglich einzustellen und alle Materialien zu vernichten, die von der Website heruntergeladen oder ausgedruckt wurden oder anderweitig im Zusammenhang mit der Bereitstellung der Softwaredienste stehen.

4.5. Die Beendigung dieser DPA, aus welchem Grund auch immer, hat keinen Einfluss auf die zum Zeitpunkt der Beendigung aufgelaufenen Rechte und Pflichten von Ihnen oder uns.

5. General

5.1. Ein Versäumnis oder eine Verzögerung unsererseits bei der Geltendmachung eines unserer Rechte gemäß dieser DPA ist nicht als Verzicht auf dieses oder ein anderes Recht zu verstehen, es sei denn, wir bestätigen einen solchen Verzicht schriftlich und stimmen ihm zu.

5.2. Eine Person, die nicht Vertragspartei dieser DPA ist, hat keine Rechte gemäß dem Contracts (Rights of Third Parties) Act 1999, um eine Bestimmung dieser DPA durchzusetzen.

5.3. Sollte eine Klausel oder ein Teil einer Klausel dieser DPA ungültig, rechtswidrig oder nicht durchsetzbar sein oder werden, bleibt der Rest der DPA gültig und durchsetzbar.

5.4. Vorbehaltlich der Klausel 5.1 können Sie gegen unwahre Angaben, auf die Sie sich beim Abschluss dieser DPA verlassen haben, keine anderen Rechtsmittel einlegen als die, die Ihnen bei einem Verstoß gegen die ausdrücklichen Bestimmungen dieser DPA zustehen. Darüber hinaus erkennen Sie an, dass Sie sich beim Abschluss dieser DPA nicht auf Aussagen, Zusicherungen oder falsche Darstellungen verlassen haben, die hier nicht ausdrücklich aufgeführt sind.

5.5. Diese DPA und alle Streitigkeiten oder Ansprüche, die sich daraus oder in Verbindung damit ergeben, unterliegen englischem Recht und sind nach diesem auszulegen, und die Parteien erklären sich unwiderruflich damit einverstanden, sich der ausschließlichen Gerichtsbarkeit der englischen Gerichte zu unterwerfen.

5.6. Driftrock kann die Vorteile dieser DPA abtreten, ohne Sie davon in Kenntnis zu setzen, und ist berechtigt, seine Rechte und Pflichten im Rahmen dieser DPA an Subunternehmer zu übertragen.

Data protection appendix

Im Folgenden werden der Umfang, die Art, der Zweck und die Dauer der Verarbeitung der personenbezogenen Daten des Kunden durch uns sowie die entsprechenden Kategorien personenbezogener Daten und der betroffenen Person dargelegt:

Market Acquisition Service  By default, the Lead Generation Data is processed momentarily before being discarded.If you have instructed us to retain Lead Generation Data (including Customer Personal Data) within the Key Mapping Store, we will process the Customer Personal Data for as long as required to provide the Software Services to you.Lead IDs and Driftrock IDs are retained indefinitely.CRM Data, including email addresses, are processed momentarily before being discarded.Hashed email addresses are stored for the duration of the DPA.

Market Acquisition Service  By default, the Lead Generation Data is processed momentarily before being discarded.If you have instructed us to retain Lead Generation Data (including Customer Personal Data) within the Key Mapping Store, we will process the Customer Personal Data for as long as required to provide the Software Services to you.Lead IDs and Driftrock IDs are retained indefinitely.CRM Data, including email addresses, are processed momentarily before being discarded.Hashed email addresses are stored for the duration of the DPA.Market Acquisition Service  By default, the Lead Generation Data is processed momentarily before being discarded.If you have instructed us to retain Lead Generation Data (including Customer Personal Data) within the Key Mapping Store, we will process the Customer Personal Data for as long as required to provide the Software Services to you.Lead IDs and Driftrock IDs are retained indefinitely.CRM Data, including email addresses, are processed momentarily before being discarded.Hashed email addresses are stored for the duration of the DPA.

Scope and nature of processing

Wenn Ihr(e) Social-Media-Konto(s) mit den Driftrock-Apps verknüpft ist/sind, verarbeiten wir Lead-Generierungsdaten, die uns von der Social-Media-Plattform zur Verfügung gestellt werden, auf der Ihre Social-Media-Konten gehostet werden ("Lead-Generierungsdaten"). Die Lead-Generierungsdaten bestehen aus unstrukturierten Daten, die von einer Person über ein Lead-Generierungsformular übermittelt werden, das mit Ihren Social-Media-Konten verknüpft ist ("Lead-Generierungsformular"), und enthalten personenbezogene Kundendaten. Außerdem erstellen wir für jeden Lead eine eindeutige Driftrock-ID. Darüber hinaus speichern wir alle Lead-Generierungsdaten (einschließlich personenbezogener Kundendaten), deren Speicherung Sie uns gestattet haben, indem Sie die Einstellungen für den Key Mapping Store, die Komponente der Driftrock-Apps, die diese Daten speichert, aktualisiert haben ("Key Mapping Store").

Wir verarbeiten personenbezogene Kundendaten, die Sie uns aus Ihrem CRM-System oder einem anderen Kundendatenspeicher ("CRM") über eine API oder eine andere Methode der elektronischen Datenübertragung zur Verfügung stellen, und identifizieren und anonymisieren die E-Mail-Adressen mit einem sicheren Hash-Algorithmus (derzeit SHA-256). Wir verwenden weder die Original-E-Mail-Adresse noch andere Daten in den CRM-Daten. Wir vergleichen die gehashten E-Mail-Adressen mit der vorherigen Liste der gehashten E-Mail-Adressen, die wir seit der letzten Übertragung der CRM-Daten von Ihrem CRM-System an uns besitzen. Alle Aktualisierungen der Liste der gehashten E-Mail-Adressen werden von uns an die von Ihnen gewählte Social-Media-Plattform übermittelt.

‍

Umfang und Art der Verarbeitung

Market Acquisition Service  

Where your social media account(s) are linked to the Driftrock Apps, we will process lead generation information provided to us from the social media platform on which your social media accounts are hosted (“Lead Generation Data”). The Lead Generation Data will consist of unstructured data submitted by an individual via a lead generation form linked to your social media account(s) (“Lead Generation Form”), and will include Customer Personal Data.On receipt of the Lead Generation Data, we retain the anonymous ID numbers provided to us by the relevant social media platform, for example, the lead ID, Facebook ID, campaign ID and advert ID (“Lead IDs”). We also create a unique Driftrock ID for each lead. Further, we store any Lead Generation Data (including Customer Personal Data) that you have permitted us to retain by updating the settings for the key mapping store, being the component of the Driftrock Apps that stores such data (“Key Mapping Store”).

Customer Audience Syncing  

Where your social media account(s) are linked to the Driftrock Apps, we will process lead generation information provided to us from the social media platform on which your social media accounts are hosted (“Lead Generation Data”). The Lead Generation Data will consist of unstructured data submitted by an individual via a lead generation form linked to your social media account(s) (“Lead Generation Form”), and will include Customer Personal Data.On receipt of the Lead Generation Data, we retain the anonymous ID numbers provided to us by the relevant social media platform, for example, the lead ID, Facebook ID, campaign ID and advert ID (“Lead IDs”). We also create a unique Driftrock ID for each lead. Further, we store any Lead Generation Data (including Customer Personal Data) that you have permitted us to retain by updating the settings for the key mapping store, being the component of the Driftrock Apps that stores such data (“Key Mapping Store”).

‍

Kategorien von personenbezogenen Kundendaten

Market Acquisition Service

The Lead Generation Data is unstructured, therefore the categories will depend on the fields in each lead generation form. However it is likely to include names, email addresses, contact details and other Customer Personal Data such as age and gender.
‍
 Customer Audience Syncing

Zu den CRM-Daten gehören E-Mail-Adressen und andere persönliche Kundendaten, die von Ihrem CRM-System erfasst werden, wie z. B. Namen und Kontaktangaben.

‍

Zweck der Verarbeitung

Market Acquisition Service  

We process the Customer Personal Data in order to provide you with the Software Services.

Synchronisierung der Kundengruppen

Die Verarbeitung von CRM-Daten (mit Ausnahme von E-Mail-Adressen) durch uns erfolgt in Verbindung mit der Bereitstellung der Softwaredienste. Wir verarbeiten solche CRM-Daten nur, um die E-Mail-Adressen zu identifizieren und zu erfassen, und wir verarbeiten die E-Mail-Adressen, um gehashte E-Mail-Adressen zu erstellen.

‍

Kategorien von Datensubjekten

Market Acquisition Service

‍Individuals that submit information via Lead Generation Forms.

‍Customer Audience Syncing

‍Individuals with Customer Personal Data included in your CRM.

‍

Dauer der Verarbeitung

Customer Audience Syncing

‍CRM Data, including email addresses, are processed momentarily before being discarded. Hashed email addresses are stored for the duration of the DPA.