Dieser Auftragsverarbeitungsvertrag ("DPA") ist Bestandteil der Vereinbarung zwischen RENVAR INC ("Elai", "Auftragsverarbeiter") und einem gewerblichen oder Unternehmenskunden ("Kunde", "Verantwortlicher"), der Elai Marketplace nutzt, um KI-Agenten, digitale Mitarbeiter oder Flotten physischer Roboter im Namen seiner eigenen Endnutzer oder Beschäftigten zu verwalten. Er gilt, soweit der Kunde als Verantwortlicher handelt und Elai personenbezogene Daten im Namen und nach Weisung des Kunden verarbeitet.
1. Rollen
Für personenbezogene Daten, die der Kunde im Namen seiner eigenen Nutzer an oder über die Plattform übermittelt (z. B. Aufgabeneingaben an einen installierten Agenten oder Aufzeichnungen über Installationen seiner Beschäftigten), ist der Kunde der Verantwortliche und Elai der Auftragsverarbeiter. Für Elais eigenes Konto-/Abrechnungsverhältnis mit dem Kunden handelt Elai als eigenständiger Verantwortlicher — siehe unsere Datenschutzerklärung.
2. Gegenstand und Dauer
Die Verarbeitung umfasst personenbezogene Daten, die über die Plattform übermittelt werden, für die Dauer des aktiven Abonnements des Kunden zuzüglich etwaiger in Abschnitt 7 beschriebener Aufbewahrungsfristen nach Beendigung.
3. Art und Zweck der Verarbeitung
- Betrieb von Agenten-Installationen, Ausgabenobergrenzen und Agent Passports im Namen des Kunden;
- Weiterleitung von Aufgabeneingaben an den konfigurierten KI-Modellanbieter über das AI Gateway der Plattform, um Agentenausgaben zu erzeugen;
- Führung des Audit-Protokolls über die unter dem Konto des Kunden vorgenommenen Handlungen;
- Abrechnung und Nutzungsmessung.
4. Unterauftragsverarbeiter
Elai nutzt derzeit die folgenden benannten Unterauftragsverarbeiter:
- Stripe (Vereinigte Staaten) — Verarbeitung von Zahlungskarten und Speicherung gespeicherter Karten.
- YooKassa (Russland) — Zahlungsabwicklung für Transaktionen in russischen Rubel.
- SendGrid (Vereinigte Staaten) — Zustellung transaktionaler E-Mails (Konto-, Bestell- und Streitfallbenachrichtigungen).
- Twilio (Vereinigte Staaten) — SMS-Zustellung, nur für Nutzer, die SMS-Benachrichtigungen zugestimmt haben.
- Sentry (Vereinigte Staaten) — Überwachung von Anwendungsfehlern und Abstürzen, wobei in einem Absturzbericht beiläufig eine Kontokennung oder E-Mail-Adresse erfasst werden kann.
- Ein KI-Modellanbieter (z. B. OpenAI), erreichbar über Elais selbst gehostetes AI Gateway — erhält den Aufgabentext, mit dem ein installierter Agent des Kunden aufgerufen wird, um die Ausgabe des Agenten zu erzeugen. Elai übermittelt dem Modellanbieter keine Kontozugangsdaten oder Zahlungsinformationen.
Diese Liste spiegelt die in einer bestimmten Bereitstellung aktivierten Integrationen wider; ein Bereitstellungsbetreiber, der die Zugangsdaten eines bestimmten Anbieters nicht konfiguriert hat, nutzt diesen Unterauftragsverarbeiter nicht. Wir werden diese Liste aktualisieren, wenn wir eine neue Kategorie von Unterauftragsverarbeitern hinzufügen.
5. Sicherheitsmaßnahmen
Elai unterhält die folgenden technischen und organisatorischen Maßnahmen:
- Passwörter werden mit einer gesalzenen scrypt-Ableitung gehasht; Elai speichert niemals ein Passwort im Klartext.
- Optionale Zwei-Faktor-Authentifizierung (TOTP) mit einmaligen Backup-Codes.
- Rollenbasierte Zugriffskontrolle (Rollen Käufer/Entwickler/Administrator), die auf jeder authentifizierten API-Route durchgesetzt wird, sowie umfangsbeschränkte API-Zugangsdaten (Agent Passports) mit konfigurierbaren Ausgabenobergrenzen für KI-Agenten-Installationen.
- Ein rein additives Audit-Protokoll, das Akteur, Handlung und Ergebnis von Konto- und Administratorhandlungen aufzeichnet.
- Ratenbegrenzung an Authentifizierungs- und API-Endpunkten, unterstützt durch Redis, sofern verfügbar.
- TLS-Verschlüsselung bei der Übertragung für den gesamten Datenverkehr zur Plattform (automatisch über Let's Encrypt bereitgestellt).
- Automatisches Inhaltsscanning von Angeboten auf bekannte Muster von Prompt-Injection und schädlichen Befehlen.
- Self-Service-Tools für Datenexport und Kontolöschung (siehe unsere Datenschutzerklärung).
Elai verschlüsselt derzeit keine Daten im Ruhezustand auf Anwendungsebene und hat keine Sicherheitszertifizierung durch Dritte (z. B. SOC 2, ISO 27001) erlangt. Falls eines davon für Ihren Anwendungsfall wichtig ist, kontaktieren Sie uns über die Angaben in Abschnitt 10, bevor Sie sich dafür auf die Plattform verlassen.
6. Internationale Übermittlungen
Die Plattform läuft auf einem selbst gehosteten Server, dessen Hosting-Region vom Bereitstellungsbetreiber gewählt wird und im Rahmen dieses Vertrags nicht auf ein bestimmtes Land oder eine bestimmte Cloud-Region festgelegt ist. Elai stützt sich derzeit nicht auf einen förmlichen Mechanismus für grenzüberschreitende Übermittlungen (wie Standardvertragsklauseln), da hier kein fester Übermittlungskorridor zugesagt wird. Wenn Ihre Nutzung der Plattform erfordert, dass Daten innerhalb einer bestimmten Rechtsordnung verbleiben oder unter einer bestimmten Garantie für diese übermittelt werden, kontaktieren Sie uns über die Angaben in Abschnitt 10, bevor Sie sich für diese Anforderung auf die Plattform verlassen.
7. Löschung und Rückgabe von Daten
Bei Beendigung des Abonnements des Kunden wird Elai auf Verlangen des Kunden die im Namen des Kunden verarbeiteten personenbezogenen Daten löschen oder zurückgeben, vorbehaltlich einer gesetzlich vorgeschriebenen Aufbewahrung.
8. Unterstützung bei Anträgen betroffener Personen
Elai wird dem Kunden angemessene Unterstützung bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit) in Bezug auf personenbezogene Daten leisten, die unter diesem DPA verarbeitet werden.
9. Auditrechte
Auf angemessenes schriftliches Verlangen, höchstens einmal pro Zwölfmonatszeitraum, stellt Elai dem Kunden die Sicherheits- und Verarbeitungsinformationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses DPA durch Elai zu bestätigen (z. B. eine schriftliche Beschreibung der Maßnahmen in Abschnitt 5). Elai verfügt derzeit über keine Sicherheitszertifizierung durch Dritte, die anstelle eines direkten Audits angeboten werden könnte, und bietet derzeit keine Vor-Ort-Audits an.
10. Kontakt
Fragen zur Datenverarbeitung / zum DPA: renvar.inc@gmail.com.