Vertrag zur Auftragsverarbeitung

Entwurf, nicht in Kraft. Version 0.1 vom 6. Oktober 2026.

Tritt am {{EFFECTIVE_DATE}} in Kraft.

Vertrag nach Artikel 28 der Verordnung (EU) 2016/679 (die "DSGVO") für den Dienst Socializza, ein Produkt der ITALDRONI S.r.l.

1. Parteien

Dieser Vertrag wird geschlossen zwischen:

• [Angaben des Kunden], mit Sitz in [Angaben des Kunden], USt-IdNr. [Angaben des Kunden], als Verantwortlicher (der "Verantwortliche" oder der "Kunde");
• ITALDRONI S.r.l., mit Sitz in Via Camillo Benso Conte di Cavour 13, 10019 Strambino (TO), Italien, USt-IdNr. und Steuernummer 13399080012, REA-Nummer TO-1360305, als Auftragsverarbeiter (der "Auftragsverarbeiter").

Die Kontaktdaten der Parteien stehen in Anhang I.

2. Begriffsbestimmungen

Es gelten die Begriffsbestimmungen der DSGVO. Zusätzlich gelten die folgenden:

• "Hauptvertrag" bezeichnet den Vertrag, mit dem der Verantwortliche Socializza nutzt;
• "Workspace" bezeichnet den Bereich des Verantwortlichen in Socializza, mit einem Tarif, einer Abrechnung, seinen Konten und seinen Agenten, dem alle Daten des Verantwortlichen zugeordnet sind;
• "Konto" bezeichnet ein Social-Media-Konto, das der Verantwortliche mit dem Workspace verbindet;
• "Agent" bezeichnet ein Programm der künstlichen Intelligenz, das der Verantwortliche auswählt, außerhalb von Socializza betreibt und über eigene Zugangsdaten mit Socializza verbindet;
• "Autorisierung" bezeichnet die Verbindung eines Agenten mit einem Konto, mit den Berechtigungen, dem Modus und den Grenzen, die der Verantwortliche auf dem Zustimmungsbildschirm von Socializza festlegt;
• "Freigabe" bezeichnet die Entscheidung einer vom Verantwortlichen benannten natürlichen Person über einen von einem Agenten vorgeschlagenen Inhalt;
• "Freigabeprotokoll" bezeichnet die Aufzeichnung, eine je Post, darüber, wie die Freigabe ablief und mit welchem Ergebnis;
• "Klauseln" bezeichnet die in Artikel 4 übernommenen Standardvertragsklauseln.

3. Gegenstand und Anwendungsbereich

3.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um Socializza für den Workspace des Verantwortlichen bereitzustellen. Anhang II beschreibt die Verarbeitung.

3.2. Dieser Vertrag gilt für jeden Workspace, der für eine berufliche oder gewerbliche Tätigkeit genutzt wird, in jedem Tarif, Gratis eingeschlossen.

3.3. Nicht unter diesen Vertrag fallen die Verarbeitungen, für die die ITALDRONI S.r.l. Verantwortlicher ist. Die Datenschutzhinweise beschreiben sie. Es sind die folgenden:

• die Mitgliedskonten des Workspace und ihre Authentifizierung;
• die Geräte-Token für die Push-Benachrichtigungen;
• die Abrechnung;
• die Sicherheitslogs;
• die Produktzähler;
• die Meldungen rechtswidriger Inhalte und die Entscheidungen über Inhalte nach der Verordnung (EU) 2022/2065;
• jede Verarbeitung in einem Workspace, der ausschließlich für persönliche oder familiäre Zwecke genutzt wird, nach Artikel 2 Absatz 2 Buchstabe c und Erwägungsgrund 18 DSGVO.

4. Übernahme der Standardvertragsklauseln

4.1. Die Parteien übernehmen die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 der Kommission in der im Amtsblatt der Europäischen Union veröffentlichten deutschen Fassung (EUR-Lex). Die Klauseln sind Bestandteil dieses Vertrags und sind darin nicht wiedergegeben.

4.2. Im Fall eines Widerspruchs haben die Klauseln Vorrang vor diesem Vertrag und vor jeder anderen Vereinbarung zwischen den Parteien, wie es Klausel 4 vorsieht.

4.3. Die Artikel 5 bis 14 sind weitere Klauseln, die Klausel 2 zulässt. Sie stehen weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln und beschneiden nicht die Grundrechte oder Grundfreiheiten der betroffenen Personen.

4.4. Die Anhänge der Klauseln sind die folgenden:

• Anhang I, Liste der Parteien, in diesem Dokument;
• Anhang II, Beschreibung der Verarbeitung, in diesem Dokument;
• Anhang III, Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten, in diesem Dokument;
• Anhang IV, Liste der Unterauftragsverarbeiter, in einem gesonderten Dokument.

Anhang V, die Erklärung zur Datenresidenz, ist ein zusätzlicher Anhang dieses Vertrags, in einem gesonderten Dokument.

4.5. Die Parteien treffen die folgenden Entscheidungen:

• Die fakultative Klausel 5 findet keine Anwendung.
• Für Klausel 7.7 Buchstabe a gilt Option 2, allgemeine schriftliche Genehmigung. Die Ankündigungsfrist beträgt 30 Tage. Der Auftragsverarbeiter unterrichtet den Verantwortlichen per E-Mail an den Kontakt [Angaben des Kunden] und mit einem Banner in der App. Eine kürzere Ankündigungsfrist ist nur für den Notfallersatz nach Artikel 7.5 zulässig.
• Für die Zwecke von Klausel 9.2 meldet der Auftragsverarbeiter dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden nach ihrer Entdeckung, an den Kontakt [Angaben des Kunden].

5. Dokumentierte Weisungen

5.1. Die Konfiguration, die der Verantwortliche in der App festlegt, ist die dokumentierte Weisung im Sinne von Artikel 28 Absatz 3 Buchstabe a DSGVO und von Klausel 7.1. Die Konfiguration umfasst:

• die verbundenen Konten;
• die Autorisierungen, mit den Berechtigungen, dem Modus und den Grenzen für jeden Agenten und jedes Konto;
• die Freigaberegeln;
• den Kill-Switch, mit dem der Verantwortliche mit einem einzigen Handgriff einen Agenten, eine Marke oder den gesamten Workspace widerruft.

5.2. Der Auftragsverarbeiter führt jede Anfrage, die ein Agent des Verantwortlichen innerhalb einer Autorisierung sendet, als Weisung des Verantwortlichen aus. Der Auftragsverarbeiter führt keine Anfragen aus, die über die Autorisierung hinausgehen.

5.3. Der Verantwortliche ändert die Weisungen jederzeit über die Konfiguration. Jede Änderung der Berechtigungen, des Modus oder der Grenzen einer Autorisierung erzeugt eine neue Version der Autorisierung, die im Verlauf gespeichert wird.

5.4. Der Verantwortliche weist die in den Anhängen IV und V genannten Übermittlungen an, mit den dort genannten Mechanismen des Kapitels V DSGVO. Jede andere Übermittlung erfordert eine dokumentierte Weisung, wie es Klausel 7.8 vorsieht.

5.5. Der Auftragsverarbeiter teilt jede Änderung von Anhang V mit der Ankündigungsfrist und auf die Weise nach Artikel 7.3 mit. Der Verantwortliche kann unter den Bedingungen von Artikel 7.4 Einwände erheben.

6. Nutzung der Daten des Workspace

6.1. Der Auftragsverarbeiter verarbeitet die Daten des Workspace nur, um Socializza für den Verantwortlichen bereitzustellen. Er nutzt sie nicht für eigene Zwecke.

6.2. Der Auftragsverarbeiter nutzt die Daten des Workspace nicht, um ein Modell der künstlichen Intelligenz zu trainieren, feinabzustimmen oder zu bewerten.

6.3. Der Auftragsverarbeiter verfasst keine Inhalte für den Verantwortlichen und verarbeitet die Daten des Workspace nicht mit Sprachmodellen.

6.4. Der Auftragsverarbeiter trägt keine Daten des Workspace in die Beschreibungsfelder oder die Metadaten der Zahlungsdienste ein.

7. Unterauftragsverarbeiter

7.1. Mit Klausel 7.7 Option 2 erteilt der Verantwortliche die allgemeine schriftliche Genehmigung für die Beauftragung der in Anhang IV aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter veröffentlicht Anhang IV unter der festen Adresse https://app.socializza.com/legal/sub-processors. Für jeden Unterauftragsverarbeiter nennt Anhang IV Name, Sitz, Funktion, Datenkategorien, Ort der Verarbeitung und Übermittlungsmechanismus.

7.2. Der Auftragsverarbeiter führt ein datiertes Verzeichnis jeder Fassung von Anhang IV. Das Verzeichnis belegt, dass jede Änderung mitgeteilt wurde und an welchem Datum.

7.3. Der Auftragsverarbeiter teilt jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus mit, auf die Weise nach Artikel 4.5.

7.4. Innerhalb der Ankündigungsfrist kann der Verantwortliche aus Gründen, die den Schutz personenbezogener Daten betreffen, schriftlich Einwände erheben. Der Auftragsverarbeiter versucht zunächst, den Einwänden abzuhelfen, zum Beispiel indem er die Daten des Verantwortlichen anderswo verarbeitet. Ist das nicht möglich, kann der Verantwortliche den jeweiligen Dienst ohne Vertragsstrafe kündigen. In diesem Fall erstattet der Auftragsverarbeiter die für den nicht genutzten Zeitraum gezahlten Entgelte anteilig.

7.5. Stellt ein Unterauftragsverarbeiter seinen Dienst ein oder erfordert ein Sicherheitsproblem einen sofortigen Ersatz, kann der Auftragsverarbeiter ihn mit einer Ankündigungsfrist von weniger als 30 Tagen ersetzen. Der Auftragsverarbeiter teilt den Ersatz auf die Weise nach Artikel 4.5 mit. Der Verantwortliche kann innerhalb von 30 Tagen nach der Mitteilung Einwände erheben, unter den Bedingungen von Artikel 7.4.

7.6. Jeder Vertrag mit einem Unterauftragsverarbeiter erlegt diesem dieselben Datenschutzpflichten auf wie dieser Vertrag, wie es Artikel 28 Absatz 4 DSGVO verlangt. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass die Unterauftragsverarbeiter ihren Pflichten nachkommen (Klausel 7.7 Buchstabe d).

8. Social-Media-Plattformen

8.1. Die Plattformen, auf denen der Verantwortliche Konten verbindet, erhalten die Daten, weil der Verantwortliche es so entscheidet. Sie sind vom Verantwortlichen gewählte Empfänger, genannt in Anhang II.

8.2. Jede Plattform verarbeitet die Daten als eigenständiger Verantwortlicher, auf Grundlage ihrer eigenen Beziehung zum Verantwortlichen. Keine Plattform ist Unterauftragsverarbeiter, und keine erscheint in Anhang IV.

8.3. Der Auftragsverarbeiter greift auf die Plattformen nur über ihre offiziellen APIs zu.

9. Mitteilungen

9.1. Der Auftragsverarbeiter sendet die in diesem Vertrag und in den Klauseln vorgesehenen Mitteilungen an den Kontakt [Angaben des Kunden].

9.2. Der Verantwortliche sendet die Mitteilungen, die Ersuchen um Unterstützung nach Klausel 8 und die Einwände nach Artikel 7 an privacy@socializza.com.

10. Prüfungen und Inspektionen

10.1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten, wie es Klausel 7.6 vorsieht, in erster Linie durch Dokumentation und durch Antworten auf die Fragebögen des Verantwortlichen nach.

10.2. Der Verantwortliche kann eine Inspektion vor Ort durchführen, selbst oder durch einen unabhängigen Prüfer, einmal im Jahr und mit einer Ankündigungsfrist von 30 Tagen.

10.3. Häufigere Inspektionen vor Ort sind nur nach einer Verletzung des Schutzes personenbezogener Daten, bei Anzeichen für eine Nichteinhaltung der Klauseln oder auf Verlangen einer Aufsichtsbehörde zulässig.

11. Löschung und Rückgabe der Daten

11.1. Bei Beendigung des Hauptvertrags wählt der Verantwortliche zwischen der Rückgabe und der Löschung der Daten, wie es Klausel 10 Buchstabe d vorsieht.

11.2. Ausgenommen sind die Freigabeprotokolle. Der Verantwortliche weist den Auftragsverarbeiter an, jedes Freigabeprotokoll 5 Jahre ab der Veröffentlichung des Posts aufzubewahren, in jedem Tarif, auch nach Beendigung des Hauptvertrags.

11.3. Bei Beendigung des Hauptvertrags übergibt der Auftragsverarbeiter dem Verantwortlichen den signierten Export der Freigabeprotokolle. Der Verantwortliche kann die vorzeitige Löschung der Protokolle schriftlich anordnen. Nach Ablauf der 5 Jahre löscht der Auftragsverarbeiter jedes Protokoll.

11.4. Die Löschung des Workspace entfernt die übrigen Daten innerhalb von 30 Tagen aus den aktiven Systemen. Sie endet mit der Vernichtung des Verschlüsselungsschlüssels des Workspace (crypto-shred). Die Vernichtung des Schlüssels macht die mit diesem Schlüssel verschlüsselten Daten unwiederbringlich, beginnend mit den Plattform-Token.

11.5. Die Backups umfassen 30 Tage rollierend und eine monatliche Kopie, die 12 Monate aufbewahrt wird. Gelöschte Daten können daher bis zu 13 Monate in den Backups verbleiben, nur in verschlüsselter Form. Die Backups erlauben keine selektive Löschung und laufen von selbst ab.

12. Verordnung (EU) 2024/1689 über künstliche Intelligenz

12.1. Der Verantwortliche ist Betreiber der KI-Systeme, die er über seine Agenten nutzt. Der Verantwortliche trägt die redaktionelle Verantwortung für die veröffentlichten Inhalte.

12.2. Die Ausnahme nach Artikel 50 Absatz 4 der Verordnung (EU) 2024/1689 für Texte, die einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden, steht dem Verantwortlichen zu. Der Auftragsverarbeiter erklärt die Konformität des Verantwortlichen nicht in dessen Namen.

12.3. Der Auftragsverarbeiter bewahrt für jeden Post ein Freigabeprotokoll auf, für den Zeitraum nach Artikel 11.2. Der Verantwortliche kann es nutzen, um die menschliche Überprüfung nachzuweisen. Auf Verlangen des Verantwortlichen exportiert der Auftragsverarbeiter das Protokoll in signierter Form.

12.4. Freigeben kann nur eine vom Verantwortlichen benannte und in der App authentifizierte natürliche Person. Ein Token eines Agenten kann nie freigeben.

12.5. Ohne Überprüfung veröffentlichte Inhalte tragen automatisch die Kennzeichnung, die auf die Nutzung künstlicher Intelligenz hinweist.

13. Laufzeit und Sprache

13.1. Dieser Vertrag hat dieselbe Laufzeit wie der Hauptvertrag. Er bleibt wirksam, bis die Backups mit den Daten des Verantwortlichen abgelaufen sind, höchstens 13 Monate nach der Löschung nach Artikel 11.4, im Einklang mit Klausel 10 Buchstabe d. Für die Freigabeprotokolle bleibt er wirksam bis zu ihrer Löschung nach Artikel 11.3.

13.2. Dieser Vertrag ist auf Italienisch, Englisch, Spanisch, Französisch und Deutsch abgefasst. Bei Abweichungen ist der italienische Text maßgeblich. Der Vorrang des italienischen Textes gilt nicht für die Klauseln. Jede Sprachfassung dieses Vertrags übernimmt die Klauseln in ihrer eigenen Sprache, und jede im Amtsblatt der Europäischen Union veröffentlichte Sprachfassung ist gleichermaßen verbindlich.

14. Haftungsobergrenze

14.1. Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen aus diesem Vertrag und aus den Klauseln unterliegt der Obergrenze nach Artikel 18.2 der Allgemeinen Geschäftsbedingungen.

14.2. Die Obergrenze gilt nicht in den Fällen von Artikel 18.3 der Allgemeinen Geschäftsbedingungen (Art. 1229 Abs. 1 und 2 c.c.). Sie lässt den Schadensersatz unberührt, der betroffenen Personen zusteht (Art. 82 DSGVO). Dieser Artikel ändert die Klauseln nicht und gilt nur, soweit er ihnen nicht widerspricht (Klausel 2).

Anhang I. Liste der Parteien

Verantwortlicher

Auftragsverarbeiter

Anhang II. Beschreibung der Verarbeitung

Kategorien betroffener Personen

• Die Mitglieder des Workspace, einschließlich der freigebenden Personen und, im Tarif Agenzia, der freigebenden Personen der Kunden der Agentur, für die sie betreffenden Daten in den Autorisierungen, den Freigaben und dem Audit-Protokoll.
• Die Personen, die die verbundenen Konten verwalten.
• Das Publikum der verbundenen Konten, für die Daten, die die APIs der Plattformen zurückgeben.
• Dritte in den Inhalten der Plattformen: Verfasser von Kommentaren, erwähnte oder markierte Personen, Verfasser der Suchergebnisse, Gesprächspartner in Direktnachrichten.
• Die Personen, die in den Entwürfen, Texten und Medien des Verantwortlichen vorkommen.

Kategorien personenbezogener Daten

• Verbundene Konten: Plattform, externe Kennung, Benutzername, Anzeigename, Profilbild und öffentliches Profil (Name, Benutzername, Profilbild, Anzahl der Follower, Biografie), täglich aktualisiert. Die Plattform-Token werden nur verschlüsselt gespeichert und verlassen den Vault nie.
• Inhalte des Verantwortlichen: Entwürfe und Posts mit Text, Medien, Optionen, geplantem Datum, Angabe ai_generated und Verweis auf den veröffentlichten Post. Die Medien sind Bilder und Videos.
• Über die APIs gelesene Inhalte Dritter: Kommentare, Erwähnungen, Direktnachrichten, Suchergebnisse, Statistiken und Daten des Publikums.
• Agenten und Autorisierungen: Name des Agenten, Ausführungsumgebung, Verbindungsmethode, letzter Zugriff und letzte IP-Adresse. Die Autorisierungen, mit Berechtigungen, Modus, Grenzen, Versionen und dem Mitglied, das sie erstellt hat. Das Zustimmungsprotokoll jeder Autorisierung, mit Mitglied, Kopie der Autorisierung, Gerät, IP-Adresse, Sprache und Methode. Die Zugangsdaten der Agenten, nur als kryptografischer Hashwert gespeichert.
• Freigabeprotokolle, eines je Post: SHA-256-Hashwerte des Entwurfs des Agenten und des freigegebenen Textes, mit den Unterschieden; Verweis auf den Post, Plattform, Konto, Zeitpunkt der Veröffentlichung; Kennung des Agenten, Zeitpunkt der Erzeugung, Modell oder Anbieter, wenn der Agent sie angibt; prüfende natürliche Person, mit Kennung und Authentifizierungsmethode; Rolle und Fachkunde der prüfenden Person; Öffnungsdauer, angezeigter Text, Änderungen, geöffnete Links, Notiz und Bestätigung der prüfenden Person; Entscheidung mit Zeitstempel; redaktionell verantwortliche Stelle, redaktionell verantwortliche Person und URL der öffentlichen Kontaktseite; Angabe eines öffentlichen Interesses und wer sie gesetzt hat; Vorhandensein von Medien; Bewertung zu Deepfakes.
• Audit-Protokoll: Ereignistyp, Akteur, Konto, Werkzeug oder Aktion, geschwärzte Argumente, Ergebnis, IP-Adresse, Datum und Uhrzeit. Die Argumente enthalten weder Geheimnisse noch Token, und jeder Freitext wird auf 2000 Zeichen gekürzt.

Sensible Daten

Kein Feld von Socializza ist für die besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO vorgesehen. Kommentare und Direktnachrichten können solche Daten dennoch enthalten. Für diese Daten gelten die Maßnahmen aus Anhang III, wie es Klausel 7.5 vorsieht, mit diesen spezifischen Garantien:

• der Auftragsverarbeiter speichert die Daten nur, stellt sie den Agenten des Verantwortlichen zu und löscht sie;
• der Auftragsverarbeiter nimmt kein Profiling vor;
• kein Sprachmodell verarbeitet die Daten;
• der Zugriff ist nach Anhang III beschränkt;
• Inhalte Dritter werden innerhalb von 30 Tagen gelöscht.

Art der Verarbeitung

Der Auftragsverarbeiter führt die folgenden Vorgänge aus:

• er speichert die Plattform-Token verschlüsselt im Vault und übergibt sie nie an die Agenten;
• er liest über die offiziellen APIs Kommentare, Erwähnungen, Direktnachrichten, Statistiken und Suchergebnisse;
• er übergibt den Agenten die Inhalte Dritter als nicht vertrauenswürdige Daten, mit einer Herkunftsmarkierung und einer Längenbegrenzung, nie als Anweisungen;
• er empfängt von den Agenten Entwürfe und Medien, plant sie ein und veröffentlicht sie auf den Konten des Verantwortlichen;
• er steuert den Freigabeprozess und bewahrt die Freigabeprotokolle auf;
• er erfasst im Audit-Protokoll jeden Aufruf der Agenten und jede Handlung der Mitglieder;
• er versendet die Freigabebenachrichtigungen per E-Mail und Push, die den Text der Posts nicht enthalten.

Zweck

Den Agenten des Verantwortlichen zu ermöglichen, auf den Konten des Verantwortlichen innerhalb der Autorisierungen und der vom Verantwortlichen festgelegten Freigaberegeln zu handeln.

Häufigkeit

Fortlaufend, für die Dauer des Hauptvertrags.

Dauer und Speicherung

Die Verarbeitung dauert so lange wie der Hauptvertrag, mit Ausnahme der Freigabeprotokolle nach Artikel 11.2. Es gelten die folgenden Fristen.

Bei Beendigung des Hauptvertrags gilt Artikel 11.

Vom Verantwortlichen gewählte Empfänger

Die Plattformen, auf denen der Verantwortliche Konten verbindet. Zum Start sind es X und Meta für Facebook-Seiten, Instagram und Threads. Es gilt Artikel 8.

Verarbeitung durch Unterauftragsverarbeiter

Anhang IV nennt für jeden Unterauftragsverarbeiter die Funktion, die Datenkategorien und den Ort der Verarbeitung. Die Unterauftragsverarbeiter verarbeiten die Daten, solange dieser Vertrag nach Artikel 13.1 wirksam bleibt. Dieser Zeitraum dauert bis zum Ablauf der Backups, höchstens 13 Monate nach der Löschung nach Artikel 11.4, und für die Freigabeprotokolle bis zu ihrer Löschung.

Übermittlungen

Anhang V nennt, was in der Europäischen Union verbleibt, und jede Ausnahme, mit dem jeweiligen Mechanismus des Kapitels V DSGVO.

Anhang III. Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten

Verschlüsselung

• Der öffentliche Datenverkehr nutzt nur TLS 1.3, mit HSTS. Die Server kommunizieren über ein privates WireGuard-Netz. Auch die Verbindungen zur Datenbank nutzen TLS.
• Jedes Volume, das Daten enthält, ist vollständig mit LUKS2 verschlüsselt. Swap ist auf jedem Server deaktiviert, damit Schlüsselmaterial nie auf die Festplatte gelangt.
• Mit Umschlagverschlüsselung ist jedes Zugriffs- und Aktualisierungstoken der Plattformen mit einem eigenen Datenschlüssel des Workspace verschlüsselt (AES-256-GCM). Die Zugangsdaten, die Socializza an Agenten ausgibt, werden nur als Hash gespeichert, nie im Klartext. Die Client-Geheimnisse der Entwickler-Apps von Socializza gelten für alle Workspaces und sind mit einem eigenen Systemschlüssel verschlüsselt. Jeder dieser Schlüssel ist seinerseits mit einem Schlüssel verschlüsselt, der den Schlüsselspeicher nie verlässt. Die Datenbank speichert diese Geheimnisse nur verschlüsselt.
• Die Backups werden vor dem Versand auf dem Server verschlüsselt, mit einem Schlüssel, den der Anbieter des Backup-Archivs nicht besitzt.

Schlüsselverwaltung

• Der Schlüsselspeicher (OpenBao) läuft auf dem Server von Socializza. Das Entsperren erfordert 3 von 5 Schlüsselanteilen, die außerhalb der Server verwahrt werden.
• Der Auftragsverarbeiter nutzt keine Schlüsselverwaltungsdienste von US-Anbietern.
• Die Datenschlüssel der Workspaces werden bei jedem Verdacht auf Kompromittierung rotiert. Die Geheimnisse der Plattform-Apps rotieren alle 6 Monate, die Signaturschlüssel jedes Quartal.
• Die Dienste holen die Geheimnisse beim Start aus dem Schlüsselspeicher. Kein Geheimnis steht in einer Konfigurationsdatei. Jede Festplatte ist verschlüsselt.

Trennung der Workspaces

• Jede Datenzeile des Verantwortlichen gehört zu einem einzigen Workspace.
• Die Sicherheit auf Zeilenebene der Datenbank ist für jede Tabelle erzwungen, die Daten des Verantwortlichen enthält. Ohne gesetzten Workspace liest die Anwendung keine Zeile.
• Der Token-Vault ist von den übrigen Daten getrennt, mit eigenen Rollen.

Zugriff der Agenten

• Die Agenten erhalten nur von Socializza ausgestellte Zugangsdaten, die an den vorgesehenen Empfänger gebunden und kurzlebig sind, höchstens eine Stunde. Die Plattform-Token verlassen den Vault nie.
• Die Agenten verbinden sich mit OAuth 2.1 und PKCE, mit exakter Übereinstimmung der Weiterleitungsadressen.
• Jeder Agent sieht nur die Werkzeuge, die seine Autorisierung zulässt.
• Der Widerruf einer Autorisierung oder das Pausieren eines Agenten wirkt innerhalb einer Minute. Der Kill-Switch widerruft einen Agenten, eine Marke oder den gesamten Workspace.

Zugriff der Mitglieder

• Die Zwei-Faktor-Authentifizierung ist für Inhaber und Administratoren des Workspace verpflichtend und für jedes Mitglied verfügbar.
• Erneute Authentifizierung, um eine Autorisierung zu ändern, den Kill-Switch zu betätigen oder die Abrechnung zu ändern.
• An das Gerät gebundene Sitzungen und Anmeldehinweise.
• CSRF-Schutz und Content Security Policy auf jeder Seite.

Netz und Server

• Zwei Kontrollen auf jedem Netzpfad: die Regeln des privaten Netzes je Rolle, dann eine Firewall, die standardmäßig verweigert.
• Nur der Proxy antwortet öffentlich, auf den Ports 80 und 443. Die Datenbank und der Schlüsselspeicher sind nur lokal oder aus dem privaten Netz erreichbar.
• DDoS-Schutz des Hosting-Anbieters. Ratenbegrenzungen je Zugangsdaten, Workspace und IP-Adresse. Grenzen für die Größe der Anfragen. CrowdSec auf den Servern, mit der Community-Sperrliste.
• Automatische Sicherheitsupdates, minimale Pakete, ein Systembenutzer je Dienst, Container ohne Privilegien.

Administrativer Zugriff

• Nur eine befugte Person der ITALDRONI S.r.l. hat Zugriff auf die Produktionssysteme.
• SSH-Zugriff nur aus dem privaten Netz, mit Schlüsseln auf einem Hardware-Gerät. Passwörter und Anmeldung als root deaktiviert. Jede administrative Sitzung wird aufgezeichnet.
• Automatische Entwicklungswerkzeuge besitzen keine Zugangsdaten der Produktion. Die Bereitstellung erfolgt nur über die Pipeline der kontinuierlichen Integration, aus geprüften Änderungen.

Nicht vertrauenswürdige Inhalte und Medien

• Inhalte Dritter erreichen die Agenten mit einer Herkunftsmarkierung und einer Grenze von 2000 Zeichen, nie als Anweisungen.
• Medien werden in einem isolierten Prozess geprüft, mit Grenzen für Größe und Zeit, Typerkennung, Neukodierung der Bilder und Transkodierung der Videos in einem Container ohne Netzzugang.
• Medien werden unter nicht erratbaren Adressen veröffentlicht, die ablaufen.

Protokolle

• Das Audit-Protokoll kann nur ergänzt werden, mit einer Zeile vor dem Aufruf der Plattform und einer danach, verbunden durch dieselbe Kennung. Die Anwendung kann nur Zeilen einfügen.
• Die protokollierten Argumente sind geschwärzt. Kein Geheimnis und kein Token gelangt in das Audit-Protokoll.
• Die Freigabeprotokolle können nur ergänzt werden, sind über kryptografische Hashwerte verkettet und in signierter Form exportierbar. Kein Vorgang ändert ein Freigabeprotokoll.

Backups und Kontinuität

• Das Transaktionsprotokoll (WAL) der Datenbank wird laufend archiviert.
• Fortlaufende Backups in ein Backup-Archiv auf AWS S3 in der Region eu-central-1, Frankfurt, Deutschland, mit Objektsperre im Compliance-Modus und Versionierung. Die Identität, die die Backups schreibt, kann sie weder lesen noch löschen. Die Wiederherstellung nutzt eine getrennte Identität mit Multi-Faktor-Authentifizierung.
• Die Wiederherstellungsziele sind ein RPO unter 5 Minuten und ein RTO unter 4 Stunden für einen vollständigen Neuaufbau aus den Backups.
• Automatischer Wiederherstellungstest jeden Monat, mit Integritätsprüfung. Vollständiger Neuaufbau zweimal im Jahr erprobt.

Entwicklung

• Fest versionierte Abhängigkeiten, wöchentlich geprüft und in der kontinuierlichen Integration verifiziert. Suche nach Geheimnissen im Code in der kontinuierlichen Integration.
• Software-Stückliste (SBOM) für jedes Release. Signierte Container-Images.
• Verpflichtende menschliche Überprüfung für Änderungen am Vault, am Autorisierungsserver, an der Token-Verwaltung und an der Isolation der Medien.

Vorfälle

• Schriftliches Verfahren für jedes Szenario, mit Schweregradskala.
• Meldung jeder Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen innerhalb von 48 Stunden nach der Entdeckung, wie es Artikel 4.5 vorsieht.
• Analyse des Vorfalls innerhalb einer Woche.

Anhang IV. Liste der Unterauftragsverarbeiter

Anhang IV ist die Liste der Unterauftragsverarbeiter, veröffentlicht unter der festen Adresse https://app.socializza.com/legal/sub-processors, mit ihrem Änderungsverzeichnis.

Anhang V. Erklärung zur Datenresidenz

Anhang V ist die Erklärung zur Datenresidenz.