Datenschutzrichtlinie

1. Einleitung

Diese Datenschutzrichtlinie beschreibt, wie SetAIComply (nachfolgend „SetAIComply”, „wir”, „unser”) die personenbezogenen Daten ihrer Nutzer (nachfolgend „Sie”, „der Nutzer”) im Zusammenhang mit der Nutzung der SetAIComply-SaaS-Plattform zur Einhaltung der Europäischen Verordnung über Künstliche Intelligenz (Verordnung (EU) 2024/1689, nachfolgend „KI-Verordnung”) erhebt, verwendet, speichert und schützt.

Diese Richtlinie wurde in Übereinstimmung mit der Datenschutz-Grundverordnung (EU) 2016/679 (nachfolgend „DSGVO”) und dem französischen Gesetz Nr. 78-17 vom 6. Januar 1978 über die Informatik, Dateien und Freiheiten in seiner geänderten Fassung erstellt.

2. Verantwortlicher für die Datenverarbeitung

Verantwortlicher für die Verarbeitung personenbezogener Daten ist:

• Firmenname: SetAIComply
• Kontakt-E-Mail: support@setaicomply.com

3. Erhobene Daten und Verarbeitungszwecke

3.1 Identifikations- und Kontodaten

Bei der Erstellung Ihres Kontos und der Nutzung der Plattform erheben wir folgende Daten:

• Nachname und Vorname
• Berufliche E-Mail-Adresse
• Firmenname und Tätigkeitsbereich Ihrer Organisation
• Rolle innerhalb der Organisation
• Passwort (in gehashter Form gespeichert)

Zweck: Erstellung und Verwaltung Ihres Benutzerkontos, Authentifizierung, dienstbezogene Kommunikation.

Rechtsgrundlage: Vertragserfüllung (Artikel 6 Abs. 1 lit. b DSGVO).

3.2 Abrechnungsdaten

Für die Abwicklung Ihrer Zahlungen erheben wir:

• Rechnungsadresse
• Umsatzsteuer-Identifikationsnummer (sofern zutreffend)
• Rechnungs- und Zahlungshistorie

Kreditkartendaten werden ausschließlich von unserem Zahlungsdienstleister Stripe, Inc. erhoben und verarbeitet und niemals auf unseren Servern gespeichert.

Zweck: Rechnungsstellung, Abonnementverwaltung, Erfüllung steuerlicher und buchhalterischer Pflichten.

Rechtsgrundlage: Vertragserfüllung (Artikel 6 Abs. 1 lit. b DSGVO) und rechtliche Verpflichtung (Artikel 6 Abs. 1 lit. c DSGVO).

3.3 Nutzungsdaten der Plattform

Wir erheben Daten über Ihre Nutzung der Plattform:

• Beschreibungen und Parameter der KI-Systeme, die Sie auf der Plattform registrieren
• Ergebnisse der Risikoklassifizierung und Konformitätsbewertungen
• Generierte Dokumente (Technische Dokumentation gemäß Anhang IV)
• Aktionshistorie und Prüfprotokoll
• Kommentare und Anmerkungen

Zweck: Bereitstellung des Dienstes zur Einhaltung der KI-Verordnung, Dokumentenerstellung, Konformitätsüberwachung.

Rechtsgrundlage: Vertragserfüllung (Artikel 6 Abs. 1 lit. b DSGVO).

3.4 Technische und Verbindungsdaten

Wir erheben automatisch bestimmte technische Daten:

• IP-Adresse
• Browsertyp und -version
• Betriebssystem
• Besuchte Seiten und Navigationspfad
• Datum und Uhrzeit der Verbindung
• Sitzungskennungen

Zweck: Plattformsicherheit, Dienstverbesserung, technische Diagnostik, Erfüllung gesetzlicher Pflichten zur Aufbewahrung von Verbindungsdaten.

Rechtsgrundlage: Berechtigtes Interesse (Artikel 6 Abs. 1 lit. f DSGVO) und rechtliche Verpflichtung (Artikel 6 Abs. 1 lit. c DSGVO).

3.5 Cookies

Unsere Plattform verwendet ausschließlich für den Betrieb des Dienstes unbedingt erforderliche Cookies (Authentifizierung, Sitzungseinstellungen). Wir verwenden keine Werbe-Cookies oder Tracker von Drittanbietern zu Profilierungszwecken. Für Cookies zur Zielgruppenanalyse wird Ihre Einwilligung vorab gemäß Artikel 82 des französischen Datenschutzgesetzes eingeholt.

4. Einsatz Künstlicher Intelligenz

Unsere Plattform nutzt Dienste der Künstlichen Intelligenz von Anthropic, PBC (Claude API) zur automatisierten Erstellung technischer Dokumentation und zur Unterstützung bei der Klassifizierung von KI-Systemen.

In diesem Zusammenhang können bestimmte beschreibende Daten Ihrer KI-Systeme (funktionale Beschreibungen, Anwendungsfälle, technische Parameter) an die Anthropic Claude API zur Anfrageverarbeitung übermittelt werden. Diese Daten werden ausschließlich zur Erzeugung von Antworten auf Ihre Anfragen verwendet und nicht von Anthropic zum Trainieren seiner Modelle genutzt, gemäß unserer Auftragsverarbeitungsvereinbarung mit diesem Unterauftragsverarbeiter.

Im regulären Betrieb der Plattform werden keine personenbezogenen Daten, die natürliche Personen direkt identifizieren, an die Anthropic Claude API übermittelt.

5. Datenempfänger

Ihre personenbezogenen Daten sind ausschließlich zugänglich für:

• Autorisiertes Personal von SetAIComply, streng begrenzt auf das für die Erfüllung ihrer Aufgaben erforderliche Maß
• Unsere Unterauftragsverarbeiter, unter den in Abschnitt 6 beschriebenen Bedingungen
• Gegebenenfalls zuständige Behörden aufgrund einer gesetzlichen Verpflichtung oder eines Gerichtsbeschlusses

Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten niemals mit Dritten zu kommerziellen oder werblichen Zwecken.

6. Unterauftragsverarbeiter und Datenübermittlungen

Wir setzen die folgenden Unterauftragsverarbeiter für den Betrieb der Plattform ein:

Die Datenübermittlung in die Vereinigten Staaten (Anthropic) erfolgt auf Grundlage der von der Europäischen Kommission angenommenen Standardvertragsklauseln (Durchführungsbeschluss 2021/914), ergänzt durch angemessene zusätzliche Maßnahmen. Nur beschreibende Daten von KI-Systemen unterliegen dieser Übermittlung; direkt identifizierende Daten werden nicht übertragen.

7. Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen ein, um die Sicherheit Ihrer Daten zu gewährleisten, darunter:

• Verschlüsselung der Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• Hosting auf EU-Infrastruktur in Amsterdam, Niederlande (Railway)
• Sichere Authentifizierung mit Passwort-Hashing (bcrypt)
• Rollenbasierte Zugriffskontrolle (RBAC)
• Zugriffs- und Aktionsprotokollierung
• Regelmäßige verschlüsselte Backups
• Regelmäßige Sicherheitstests und Audits
• Richtlinie zum Management von Sicherheitsvorfällen

8. Aufbewahrungsfristen der Daten

Ihre Daten werden für die folgenden Zeiträume aufbewahrt:

• Kontodaten: für die Dauer Ihres Abonnements, danach 3 Jahre nach Kontolöschung zur Verwaltung von Rechtsstreitigkeiten
• Abrechnungsdaten: 10 Jahre gemäß steuerlichen und buchhalterischen Pflichten (Artikel L.123-22 des französischen Handelsgesetzbuchs)
• Nutzungsdaten (KI-Systeme, Dokumente): für die Dauer Ihres Abonnements, danach Löschung innerhalb von 90 Tagen nach Kontolöschung, sofern keine gegenteilige gesetzliche Verpflichtung besteht
• Technische Daten und Protokolle: 12 Monate gemäß geltendem Recht (Dekret Nr. 2011-219 vom 25. Februar 2011)
• Cookies: Maximal 13 Monate gemäß den Empfehlungen der CNIL

Nach Ablauf dieser Fristen werden Ihre Daten endgültig gelöscht oder unwiderruflich anonymisiert.

9. Ihre Rechte

Gemäß der DSGVO und dem französischen Datenschutzgesetz haben Sie die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunftsrecht (Artikel 15 DSGVO): Bestätigung erhalten, dass Sie betreffende Daten verarbeitet werden, und eine Kopie erhalten
• Recht auf Berichtigung (Artikel 16 DSGVO): Die Berichtigung unrichtiger Daten oder die Vervollständigung unvollständiger Daten verlangen
• Recht auf Löschung (Artikel 17 DSGVO): Die Löschung Ihrer Daten in den von der Verordnung vorgesehenen Fällen verlangen
• Recht auf Einschränkung der Verarbeitung (Artikel 18 DSGVO): Die Aussetzung der Verarbeitung Ihrer Daten in bestimmten Fällen verlangen
• Recht auf Datenübertragbarkeit (Artikel 20 DSGVO): Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten
• Widerspruchsrecht (Artikel 21 DSGVO): Der Verarbeitung Ihrer Daten auf Grundlage eines berechtigten Interesses widersprechen
• Recht auf Festlegung von Anweisungen für den Todesfall: gemäß Artikel 85 des französischen Datenschutzgesetzes Anweisungen über das Schicksal Ihrer Daten nach Ihrem Tod festlegen

Um Ihre Rechte auszuüben, können Sie uns kontaktieren:

• Per E-Mail: support@setaicomply.com

Wir verpflichten uns, auf Ihre Anfrage innerhalb eines Monats nach Eingang zu antworten. Diese Frist kann bei komplexen oder zahlreichen Anfragen um zwei Monate verlängert werden, worüber Sie informiert werden.

Sie haben außerdem das Recht, eine Beschwerde bei der Commission Nationale de l'Informatique et des Libertés (CNIL) einzureichen:

CNIL - 3 Place de Fontenoy - TSA 80715 - 75334 PARIS CEDEX 07

Webseite: www.cnil.fr

10. Änderungen der Datenschutzrichtlinie

Wir behalten uns das Recht vor, diese Datenschutzrichtlinie jederzeit zu ändern. Im Falle einer wesentlichen Änderung werden Sie per E-Mail oder durch eine Benachrichtigung auf der Plattform mindestens 30 Tage vor Inkrafttreten der Änderungen informiert. Die fortgesetzte Nutzung der Plattform nach Inkrafttreten der Änderungen gilt als Annahme der geänderten Richtlinie.

11. Kontakt

Bei Fragen zu dieser Datenschutzrichtlinie oder zur Verarbeitung Ihrer personenbezogenen Daten können Sie uns unter support@setaicomply.com kontaktieren.