PRÄAMBEL
Dieser Auftragsverarbeitungsvertrag (nachfolgend der «DPA») wird geschlossen zwischen der Nereva SA, einer Aktiengesellschaft nach Schweizer Recht mit Sitz in Rue de Rive 22D, CH-1260 Nyon (Schweiz), eingetragen im Handelsregister des Kantons Waadt unter der Unternehmens-Identifikationsnummer CHE-294.630.698, nachfolgend «Nereva» oder die «Auftragsbearbeiterin», einerseits, und dem im Bestellformular bezeichneten Kunden, nachfolgend der «Kunde» oder der «Verantwortliche», andererseits. Nachfolgend gemeinsam die «Parteien» und einzeln die «Partei».
Statutarischer Gesellschaftszweck der Nereva SA. Gemäss Artikel 3 ihrer im Handelsregister des Kantons Waadt eingetragenen Statuten bezweckt die Nereva SA die Konzeption, Entwicklung, Herausgabe, Vermarktung, Integration und den Betrieb, in der Schweiz und im Ausland, von Software und digitalen Lösungen zur Orchestrierung und Synchronisation von Logistikflüssen, die mit Fahrzeugen abgewickelt werden, insbesondere von Flüssen von Materialien, Abfällen, Maschinen, Ausrüstungen und Mulden im Zusammenhang mit Bau-, Tiefbau-, Recycling- und Baustellentransporttätigkeiten sowie verwandten Sektoren.
Die Gesellschaft kann insbesondere, in Form von Software auf Abruf (Software as a Service) oder von Lizenzen, Plattformen zur Planung, Ausführung, Dokumentation, Nachverfolgung und Archivierung von Logistikvorgängen sowie damit verbundene Dienstleistungen der Konfiguration, Integration, des Supports, der Schulung und der Beratung bereitstellen.
Die Gesellschaft kann alle Rechte des geistigen Eigentums, insbesondere Patente, Marken, Designs, Modelle, Urheberrechte und Know-how, die in direktem oder indirektem Zusammenhang mit ihrem Hauptzweck stehen, erwerben, halten, verwerten, lizenzieren und verteidigen.
Die Gesellschaft kann in der Schweiz und im Ausland, für eigene Rechnung oder für Rechnung Dritter, alle administrativen, technischen, kommerziellen, finanziellen, mobiliar- und immobiliarrechtlichen Geschäfte tätigen, die in direktem oder indirektem Zusammenhang mit ihrem Hauptzweck stehen. Sie kann Zweigniederlassungen und Tochtergesellschaften in der Schweiz und im Ausland errichten, sich an Unternehmen mit ähnlichem oder ergänzendem Zweck beteiligen und ihren Tochtergesellschaften und Konzerngesellschaften Darlehen oder Garantien gewähren.
Die Gesellschaft übt keine Transporttätigkeit aus und handelt nicht als Handelsvermittler zwischen Auftraggebern und Transportunternehmen. Sie vereinnahmt die kommerzielle Vertragsbeziehung zwischen ihren Nutzern nicht.
Zweck und Einordnung dieses DPA. Dieser DPA ist ein untrennbarer Vertragsanhang der Allgemeinen Nutzungsbedingungen («AGB») und des zwischen den Parteien geschlossenen Bestellformulars. Er legt die Bedingungen fest, unter denen Nereva als Auftragsbearbeiterin im Sinne von Artikel 28 DSGVO und Artikel 9 DSG Personendaten im Auftrag des Kunden im Rahmen der Erbringung der Dienste bearbeitet.
Artikel 1 — Zweck und Anwendungsbereich
Dieser DPA regelt die Bearbeitung der vom Kunden übermittelten oder in seinem Auftrag erzeugten Personendaten durch Nereva als Auftragsbearbeiterin im Rahmen der Nutzung der Dienste.
Dieser DPA gilt für jede Bearbeitung von Personendaten, die Nereva ab dem Inkrafttreten des Hauptvertrags und für die gesamte Dauer der Vertragsbeziehung im Auftrag des Kunden durchführt.
Artikel 2 — Begriffsbestimmungen
Die in diesem DPA verwendeten Begriffe sind im Sinne der DSGVO und des DSG zu verstehen, insbesondere im Sinne der folgenden Definitionen.
Personendaten: jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht.
Bearbeitung: jeder Vorgang mit Personendaten.
Verantwortlicher: die Person oder Stelle, die über die Zwecke und Mittel der Bearbeitung entscheidet.
Auftragsbearbeiter: die Person oder Stelle, die Personendaten im Auftrag des Verantwortlichen bearbeitet.
Unterauftragsbearbeiter: Dritter, an den der Auftragsbearbeiter seine Bearbeitungstätigkeiten ganz oder teilweise delegiert.
Datenschutzverletzung: Verletzung der Sicherheit, die versehentlich oder unrechtmässig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Personendaten führt.
Betroffene Person: natürliche Person, deren Personendaten bearbeitet werden.
Artikel 3 — Qualifikation der Parteien
Für die unter diesen DPA fallenden Bearbeitungen handelt der Kunde als Verantwortlicher und Nereva als Auftragsbearbeiterin.
Jede Partei erfüllt die ihr aufgrund der so definierten Qualifikation obliegenden Pflichten. Diese Qualifikation begründet weder Auftrag noch Vertretung noch Delegation über die Bestimmungen dieses DPA hinaus.
Artikel 4 — Beschreibung der Bearbeitung
Die Beschreibung der von Nereva im Auftrag des Kunden durchgeführten Bearbeitung ist in Anhang 1 dieses DPA festgelegt, der einen untrennbaren Bestandteil davon bildet. Anhang 1 nennt insbesondere Gegenstand und Art der Bearbeitung, Dauer der Bearbeitung, Zweck der Bearbeitung, Kategorien bearbeiteter Personendaten und Kategorien betroffener Personen.
Artikel 5 — Pflichten von Nereva als Auftragsbearbeiterin
Nereva verpflichtet sich, Personendaten nur auf dokumentierte Weisung des Verantwortlichen zu bearbeiten, gemäss Artikel 28 Absatz 3 DSGVO und Artikel 9 DSG.
In diesem Sinne verpflichtet sich Nereva, (i) Personendaten nur zu den in Anhang 1 festgelegten Zwecken zu bearbeiten; (ii) die Vertraulichkeit der bearbeiteten Daten zu gewährleisten; (iii) sicherzustellen, dass die zur Bearbeitung der Daten befugten Personen einer angemessenen vertraglichen oder gesetzlichen Vertraulichkeitspflicht unterliegen; (iv) geeignete technische und organisatorische Massnahmen unter den Bedingungen von Artikel 9 umzusetzen; (v) die in diesem DPA vorgesehenen Bedingungen für den Beizug eines Unterauftragsbearbeiters unter den Bedingungen von Artikel 10 einzuhalten; (vi) den Verantwortlichen bei der Erfüllung seiner eigenen Pflichten unter den Bedingungen von Artikel 12 zu unterstützen; (vii) dem Verantwortlichen jede Datenschutzverletzung unter den in Artikel 13 vorgesehenen Bedingungen zu melden; (viii) dem Verantwortlichen die zum Nachweis der Einhaltung der aus diesem DPA resultierenden Pflichten erforderlichen Informationen zur Verfügung zu stellen und Audits unter den in Artikel 15 vorgesehenen Bedingungen zu ermöglichen; (ix) den Verantwortlichen unverzüglich zu informieren, wenn Nereva der Auffassung ist, dass eine erhaltene Weisung gegen die DSGVO, das DSG oder eine andere anwendbare Datenschutzbestimmung verstösst.
Artikel 6 — Dokumentierte Weisungen des Verantwortlichen
Die dokumentierten Weisungen des Verantwortlichen umfassen die Bestimmungen dieses DPA, der AGB und des Bestellformulars, die vom Verantwortlichen über die Plattform vorgenommenen technischen Konfigurationen sowie die ergänzenden schriftlichen Weisungen, die der Verantwortliche an privacy@nereva.com mitteilt.
Jede Weisung, die den Umfang der vereinbarten Dienste überschreitet, kann nach schriftlicher Vereinbarung der Parteien Gegenstand einer angemessenen zusätzlichen Rechnungsstellung sein.
Artikel 7 — Pflichten des Verantwortlichen
Der Verantwortliche erklärt und gewährleistet, (i) dass er für jede über die Dienste durchgeführte Bearbeitung über eine gültige Rechtsgrundlage verfügt; (ii) dass er die betroffenen Personen über die durchgeführten Bearbeitungen informiert hat, unter den in den Artikeln 13 und 14 DSGVO und den Artikeln 19 und 20 DSG vorgesehenen Bedingungen; (iii) dass er gegebenenfalls die gültige Einwilligung der betroffenen Personen eingeholt hat; (iv) dass er in der Lage ist, Anfragen betroffener Personen zur Ausübung ihrer Rechte unter den Bedingungen von Artikel 12 zu beantworten; (v) dass er in der Plattform nur rechtmässig erhobene und richtige Personendaten erfasst; (vi) dass er die auf die in der Plattform erfassten Daten anwendbaren Aufbewahrungsfristen einhält; (vii) dass er jede Datenschutz-Folgenabschätzung durchgeführt oder durchführen lassen hat, die sich nach Artikel 35 DSGVO und Artikel 22 DSG aufdrängen könnte, insbesondere für die Bearbeitung der Daten aus der mobilen Chauffeur-App; (viii) dass er, soweit anwendbar, die Pflichten zur Information, Konsultation oder Mitbestimmung der Arbeitnehmervertretung eingehalten und die betreffenden Vorrichtungen in das Betriebsreglement oder ein gleichwertiges internes Dokument aufgenommen hat; (ix) dass er, wenn er die Bereitstellung operativer Informationen an einen Drittauftraggeber aktiviert, mit diesem die auf die Bearbeitung der so mitgeteilten Daten anwendbaren Pflichten formalisiert und die betroffenen Personen informiert hat; (x) dass er Nereva gemäss Artikel 25 bis der AGB entschädigen wird, falls Nereva direkt oder indirekt aufgrund eines Verstosses des Verantwortlichen gegen seine eigenen Pflichten in Anspruch genommen wird.
Artikel 8 — Vertraulichkeit
Nereva bearbeitet Personendaten mit strengster Vertraulichkeit. Die zum Zugriff auf die Daten befugten Mitarbeitenden von Nereva unterliegen einer vertraglichen Vertraulichkeitspflicht, die das Ende ihrer Funktionen überdauert.
Nereva gibt Personendaten an keinen Dritten weiter, ausser (i) an die unter den Bedingungen dieses DPA zugelassenen Unterauftragsbearbeiter; (ii) an die zuständigen Behörden auf Basis einer gesetzlichen Verpflichtung oder einer vollstreckbaren Entscheidung; (iii) mit vorheriger schriftlicher Zustimmung des Verantwortlichen.
Artikel 9 — Sicherheitsmassnahmen
Nereva setzt geeignete technische und organisatorische Massnahmen um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, gemäss Artikel 32 DSGVO und Artikel 8 DSG.
Diese Massnahmen umfassen insbesondere die Verschlüsselung der Daten bei Übertragung (TLS 1.2 oder höher) und Speicherung, die Pseudonymisierung, soweit anwendbar, die Beschränkung und Kontrolle der Zugriffe nach dem Prinzip der geringsten Rechte, die verstärkte Authentifizierung administrativer Zugriffe, die Protokollierung sensibler Aktionen, die regelmässige Datensicherung und die Dokumentation der Wiederanlaufverfahren, die Sensibilisierung und kontinuierliche Schulung der Mitarbeitenden, die regelmässige Durchführung von Sicherheitstests und die logische Trennung der Produktions-, Vorproduktions- und Entwicklungsumgebungen.
Die detaillierte Beschreibung der technischen und organisatorischen Massnahmen ist in Anhang 2 dieses DPA festgelegt. Die Verpflichtungen von Nereva im Bereich Sicherheit sind Bemühungspflichten.
Artikel 10 — Unterauftragsbearbeitung
Der Verantwortliche ermächtigt Nereva, für die Erbringung der Dienste Unterauftragsbearbeiter beizuziehen, unter Vorbehalt der Einhaltung der folgenden Bedingungen: (i) die Liste der zugelassenen Unterauftragsbearbeiter ist in Anhang 3 dieses DPA festgelegt; (ii) Nereva erlegt jedem Unterauftragsbearbeiter vertraglich Pflichten auf, die den in diesem DPA vorgesehenen gleichwertig sind; (iii) Nereva bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten der Unterauftragsbearbeiter voll verantwortlich.
Jede Änderung der Liste der Unterauftragsbearbeiter wird dem Verantwortlichen mit angemessener Frist, die nicht kürzer als dreissig (30) Tage sein darf, mitgeteilt, damit er begründete Einwände erheben kann. Bei anhaltendem Einwand des Verantwortlichen bemühen sich die Parteien um eine Alternativlösung; andernfalls kann der Verantwortliche den Vertrag ohne Strafe kündigen.
Artikel 11 — Internationale Datenübermittlungen
Nereva verpflichtet sich, Personendaten nicht ausserhalb der Schweiz oder des Europäischen Wirtschaftsraums zu übermitteln, ohne die vorherige Ermächtigung des Verantwortlichen eingeholt oder die in der DSGVO und im DSG vorgesehenen geeigneten Garantien umgesetzt zu haben, insbesondere die von der Europäischen Kommission angenommenen oder vom EDÖB genehmigten Standardvertragsklauseln, und die Angemessenheit des vom Empfängerland gebotenen Schutzniveaus gemäss den anwendbaren Leitlinien und der Rechtsprechung Schrems II geprüft zu haben.
Zum Zeitpunkt des Inkrafttretens dieses DPA werden die Personendaten ausschliesslich in der Schweiz gehostet.
Artikel 12 — Unterstützung des Verantwortlichen
Nereva leistet dem Verantwortlichen, soweit möglich und unter Berücksichtigung der Art der Bearbeitung, die erforderliche Unterstützung, um Anfragen betroffener Personen zur Ausübung ihrer Rechte zu beantworten, Datenschutzverletzungen an die Aufsichtsbehörden und die betroffenen Personen zu melden, gegebenenfalls Datenschutz-Folgenabschätzungen (DSFA/DPIA) durchzuführen – wobei Nereva dem Verantwortlichen eine DSFA-Vorlage speziell für die Geolokalisierungsbearbeitung aus der mobilen Chauffeur-App zur Verfügung stellt, die vom Verantwortlichen zu vervollständigen ist – und gegebenenfalls die zuständige Aufsichtsbehörde zu konsultieren.
Wird Nereva direkt von einer betroffenen Person mit einer Anfrage zur Ausübung von Rechten befasst, leitet sie die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, ausser bei gegenteiliger schriftlicher Weisung des Verantwortlichen.
Artikel 13 — Meldung von Datenschutzverletzungen
Nereva meldet dem Verantwortlichen jede Verletzung von Personendaten, von der sie Kenntnis erlangt, so rasch als möglich und spätestens innerhalb von zweiundsiebzig (72) Stunden nach Kenntnisnahme.
Die Meldung umfasst, soweit Informationen verfügbar sind, (i) die Beschreibung der Art der Verletzung; (ii) die Kategorien und die ungefähre Anzahl der betroffenen Personen; (iii) die Kategorien und die ungefähre Anzahl der betroffenen Datensätze; (iv) die wahrscheinlichen Folgen der Verletzung; (v) die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen; (vi) die Kontaktdaten der Kontaktstelle von Nereva für weitere Informationen.
Nereva führt eine Dokumentation der Datenschutzverletzungen und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung.
Artikel 14 — Schicksal der Daten bei Vertragsende
Bei Vertragsende, aus welchem Grund auch immer, und während einer Frist von neunzig (90) Tagen nach dem Wirksamwerden der Kündigung stellt Nereva dem Verantwortlichen auf schriftliche Anfrage eine Funktion zum Export der Personendaten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung.
Nach Ablauf dieser Frist nimmt Nereva die Löschung oder unwiderrufliche Anonymisierung der Personendaten vor, vorbehaltlich (i) der Nereva obliegenden gesetzlichen Aufbewahrungspflichten; (ii) der Fälle, in denen die Daten für die Zwecke eines laufenden Gerichts- oder Verwaltungsverfahrens aufbewahrt werden müssen.
Nereva bescheinigt dem Verantwortlichen schriftlich die ordnungsgemässe Durchführung der Lösch- oder Anonymisierungsvorgänge.
Artikel 15 — Audit
Nereva stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der aus diesem DPA resultierenden Pflichten erforderlich sind, und ermöglicht die Durchführung von Audits, einschliesslich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten unabhängigen Prüfer.
Die Audits werden nach den folgenden Modalitäten organisiert: (i) angemessene schriftliche Vorankündigung, die nicht kürzer als dreissig (30) Tage sein darf, ausser bei erwiesener Dringlichkeit; (ii) angemessene Häufigkeit, höchstens einmal (1) pro Kalenderjahr, ausser bei erwiesenem Sicherheitsvorfall; (iii) auf die von diesem DPA geregelten Bearbeitungen beschränkter Umfang; (iv) Wahrung der Vertraulichkeitspflichten, der betrieblichen Einschränkungen und der Sicherheit der anderen Kunden von Nereva; (v) Kostentragung durch den Verantwortlichen, ausser bei erwiesener Nichtkonformität.
Nereva kann dem Verantwortlichen alternativ Zertifizierungen, unabhängige Auditberichte (insbesondere ISO 27001, SOC 2) oder dokumentierte Sicherheitsfragebögen liefern, die die Auditpflichten dieses Artikels erfüllen können.
Artikel 16 — Haftung
Jede Partei haftet für Verstösse gegen ihre eigenen Pflichten nach diesem DPA, der DSGVO und dem DSG, gemäss den anwendbaren gesetzlichen Bestimmungen.
Die Gesamthaftung und die Beschränkung der von Nereva nach diesem DPA geschuldeten Wiedergutmachung richten sich nach den Allgemeinen Nutzungsbedingungen. Diese Bestimmungen gelten unbeschadet der auf den Datenschutz anwendbaren zwingenden Vorschriften, insbesondere der in der DSGVO und im DSG vorgesehenen Verwaltungssanktionen, und unbeschadet von Artikel 100 Absatz 1 des Schweizerischen Obligationenrechts.
Artikel 17 — Laufzeit und Kündigung
Dieser DPA tritt mit dem Inkrafttreten des Hauptvertrags in Kraft und bleibt für die gesamte Dauer der Vertragsbeziehung in Kraft. Er überdauert die Beendigung des Hauptvertrags für die Pflichten, die ihrer Natur nach fortgelten sollen, insbesondere die Pflichten zu Vertraulichkeit, Löschung und Unterstützung.
Die Kündigung dieses DPA führt zur Kündigung der damit verbundenen Dienste. Der Verantwortliche kann diesen DPA bei schwerwiegendem und anhaltendem Verstoss von Nereva gegen ihre Pflichten nach diesem DPA unter den in den AGB vorgesehenen Bedingungen kündigen.
Artikel 18 — Anwendbares Recht und Gerichtsstand
Dieses Dokument sowie das Vertragsverhältnis, das es regelt, unterstehen ausschliesslich Schweizer Recht, unter Ausschluss jeglicher Kollisionsnormen und unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG, Wien, 1980).
Jede Streitigkeit betreffend das Zustandekommen, die Gültigkeit, die Auslegung, die Erfüllung oder die Beendigung dieses Dokuments unterliegt der ausschliesslichen Zuständigkeit der ordentlichen Gerichte des Kantons Waadt, Sitz der Nereva SA, unter Vorbehalt der von Gesetzes wegen gegebenen Beschwerde an das Schweizerische Bundesgericht.
Artikel 19 — Referenzsprache
Allein die französische Fassung dieses DPA ist rechtlich massgebend. Jede Übersetzung dient nur der Information und kann die Nereva SA nicht binden.
Artikel 20 — Anhänge
Dieser DPA umfasst die folgenden Anhänge, die einen integralen Bestandteil davon bilden: Anhang 1 (Beschreibung der Bearbeitung), Anhang 2 (Technische und organisatorische Sicherheitsmassnahmen) und Anhang 3 (Liste der zugelassenen Unterauftragsbearbeiter).
Die Anhänge können nach den in diesem DPA vorgesehenen Modalitäten aktualisiert werden.
Anhang 1 — Beschreibung der Bearbeitung
Gegenstand und Art der Bearbeitung
Die Bearbeitung von Personendaten erfolgt im Rahmen der Erbringung der Nereva-Dienste zur Orchestrierung, Planung, Steuerung und Dokumentation von Logistikflüssen. Sie umfasst insbesondere das Hosting und die Aufbewahrung der vom Kunden erfassten Daten, die Bereitstellung der Plattformfunktionen, die Erzeugung von Dokumenten, Bescheinigungen und Kennzahlen, die Übermittlung operativer Benachrichtigungen an Nutzer und bestimmte Empfänger sowie die Erhebung und Bearbeitung von Geolokalisierungsdaten aus der mobilen Chauffeur-App während aktiver Einsätze, zu Zwecken der Lastwagen-Bordnavigation, der Ausführungsnachvollziehbarkeit und der operativen Sichtbarkeit zugunsten des Kunden und gegebenenfalls des vom Kunden bestimmten Auftraggebers.
Dauer der Bearbeitung
Die Bearbeitung erfolgt für die Dauer der Vertragsbeziehung zwischen den Parteien, verlängert um die in Artikel 14 dieses DPA und in den AGB vorgesehenen Aufbewahrungsfristen.
Zweck der Bearbeitung
Die Erbringung der Dienste im Auftrag des Verantwortlichen, gemäss den AGB, dem Bestellformular und den vom Verantwortlichen vorgenommenen Konfigurationen.
Kategorien bearbeiteter Personendaten
Identifikationsdaten: Name, Vorname, Funktion.
Berufliche Kontaktdaten: E-Mail-Adresse, Telefonnummer.
Kontodaten: Zugangsdaten, Passwort in verschlüsselter Form.
Vom Kunden erfasste Betriebsdaten: diese Daten können gegebenenfalls Kennungen von Chauffeuren oder operativen Kontakten enthalten.
Geolokalisierungsdaten aus der mobilen Chauffeur-App: kontinuierlich erhobene GPS-Positionen ab der Annahme eines Transporteinsatzes durch den Chauffeur bis zum Abschluss dieses Einsatzes sowie die zugehörigen Zeitstempel. Die Erhebung wird beim Abschluss des Einsatzes automatisch unterbrochen und erstreckt sich weder auf dienstfreie Zeiten noch auf Pausen noch auf die Freizeit des Chauffeurs. Diese Daten werden ausschliesslich zu den folgenden Zwecken bearbeitet: (i) Lastwagen-Bordnavigation, bereitgestellt über die HERE-API; (ii) Ausführungsnachvollziehbarkeit des Einsatzes zugunsten des Kunden in seiner Eigenschaft als Arbeitgeber des Chauffeurs; (iii) Bereitstellung operativer Sichtbarkeit in Echtzeit für den vom Kunden bestimmten Auftraggeber, unter den durch die im Bestellformular abonnierte Konfiguration festgelegten Bedingungen von Genauigkeit und Dauer.
Aktivitätslogs und technische Nutzungsdaten: technische Informationen zur Nutzung der Plattform.
Keine sensiblen Daten im Sinne von Artikel 9 DSGVO oder Artikel 5 DSG dürfen in der Plattform erfasst werden, ausser mit ausdrücklicher vorheriger Vereinbarung der Parteien.
Kategorien betroffener Personen
Von der Bearbeitung betroffen sind die Nutzer mit Zugang zu den Diensten unter einer Lizenz, die Vertreter, Organe und Kontaktpersonen des Kunden, die vom Kunden in der Plattform erfassten Chauffeure und operativen Kontakte sowie die Geschäftspartner des Kunden, deren Kontaktdaten in der Plattform erfasst werden.
Anhang 2 — Technische und organisatorische Sicherheitsmassnahmen
Zugriffssicherheit
Die Massnahmen zur Zugriffssicherheit umfassen die starke Authentifizierung administrativer Konten, eine robuste Passwortrichtlinie, die Zugriffsverwaltung nach dem Prinzip der geringsten Rechte und den sofortigen Entzug der Zugriffe von Mitarbeitenden, die Nereva verlassen.
Datensicherheit
Die Massnahmen zur Datensicherheit umfassen die Verschlüsselung bei Übertragung (TLS 1.2 oder höher), die Verschlüsselung der Datenbanken und Backups bei Speicherung, die Pseudonymisierung, soweit anwendbar, und die logische Abschottung der Produktions-, Vorproduktions- und Entwicklungsumgebungen.
Betriebssicherheit
Die Massnahmen zur Betriebssicherheit umfassen die Protokollierung und Überwachung sensibler Aktionen, die regelmässige Datensicherung, ein dokumentiertes Wiederanlaufverfahren (Disaster Recovery Plan) und die Durchführung regelmässiger Sicherheitstests.
Organisatorische Sicherheit
Die Massnahmen zur organisatorischen Sicherheit umfassen gegenüber den Mitarbeitenden durchsetzbare Vertraulichkeitsklauseln, ein Sensibilisierungs- und kontinuierliches Schulungskonzept sowie ein Verfahren zur Bewältigung von Sicherheitsvorfällen.
Physische Sicherheit
Die Server und Infrastrukturen, die Personendaten hosten, profitieren von den physischen Sicherheitsmassnahmen, die Amazon Web Services in seinen Rechenzentren in der Schweiz umsetzt, die nach mehreren anerkannten Standards zertifiziert sind (ISO 27001 und andere gleichwertige Standards).
Anhang 3 — Liste der zugelassenen Unterauftragsbearbeiter
Zum Zeitpunkt des Inkrafttretens dieses DPA sind die zugelassenen Unterauftragsbearbeiter die folgenden.
Amazon Web Services EMEA SARL — 38 avenue John F. Kennedy, L-1855 Luxemburg. Tätigkeit: Hosting der Cloud-Infrastruktur. Datenstandort: Schweiz (Region eu-central-2 «Switzerland (Zurich)»).
HERE Europe B.V. — Kennedyplein 222-226, 5611 ZT Eindhoven, Niederlande. Tätigkeit: Bereitstellung von APIs für Kartografie, Routenberechnung und Lastwagen-Bordnavigation, integriert in die mobile Chauffeur-App. Übermittelte Daten: GPS-Positionen und Routing-Anfragen im Zusammenhang mit aktiven Einsätzen. Ort der Bearbeitung: Europäische Union. Vertraglicher Rahmen: mit der Nereva SA geschlossener Data Processing Agreement von HERE und gegebenenfalls Standardvertragsklauseln für jede Übermittlung ausserhalb des Europäischen Wirtschaftsraums.
Die vollständige und aktuelle Liste der Unterauftragsbearbeiter, die Personendaten bearbeiten, einschliesslich gegebenenfalls der Anbieter von Authentifizierung, Monitoring, Zahlung und transaktionalem Messaging, wird dem Kunden auf Anfrage an privacy@nereva.com zur Verfügung gestellt.