Pareo speichert alle Kundendaten in der EU, und auch die Sprachmodelle laufen in der EU. Wie die Daten geschützt sind, beschreibt Sicherheit.
Rollen
- Sie sind Verantwortlicher, Pareo ist Auftragsverarbeiter nach Art. 28 DSGVO.
- Pareo verarbeitet Ihre Daten ausschließlich nach Ihrer Weisung.
- Anfragen betroffener Personen richten sich an Sie. Pareo stellt Ihnen die Werkzeuge bereit, um sie zu beantworten.
Speicherort und Verarbeitung
| Zweck | Anbieter | Standort |
|---|---|---|
| Hosting, Datenbank, Dateien | Google Cloud | Belgien (Hauptregion) |
| Tägliche Kopie der Dateien | Google Cloud | Frankfurt, Deutschland |
| Datenbanksicherungen | Google Cloud | EU-Multiregion |
| Sprachmodelle | AWS Bedrock | EU |
| Textanalyse für die Suche | Google Vertex AI | Belgien |
| Amazon SES | EU (Irland) |
Nur zwei Abfragen gehen an Dienste außerhalb der EU. PubChem (USA) erhält ausschließlich Namen chemischer Stoffe und liefert die zugehörigen CAS-Nummern. Brave Search (USA) erhält Suchanfragen, aber nur, wenn Ihre Organisation dafür einen eigenen API-Schlüssel hinterlegt hat.
Alle Anbieter mit ihren Rechtsträgern stehen unter Unterauftragsverarbeiter.
Die Tabelle beschreibt den Betrieb durch Pareo. Läuft Pareo in Ihrer eigenen Azure-Umgebung, liegen Speicher und E-Mail in Ihrer Subscription und Ihrem Mandanten, und für die KI ruft Ihre Instanz Ihren Foundry-Endpunkt auf. Bei Pareo liegen keine Inhalte. Ein Betreiber von Pareo erreicht sie nur über einen zeitlich begrenzten Zugriff, der in Ihrem Activity Log steht. Siehe Betriebsmodell wählen.
Personenbezogene Daten, die wir speichern
| Daten | Zweck | Rechtsgrundlage | Aufbewahrung |
|---|---|---|---|
| Name und E-Mail-Adresse von Benutzern | Anmeldung, Benachrichtigungen | Vertrag | Für die Dauer des Kontos |
| E-Mail-Adresse aus einer Einladung | Einrichtung des Kontos | Vertrag | Für die Dauer des Kontos |
| Name und E-Mail-Adresse von Ansprechpartnern bei Kunden | Korrespondenz | Berechtigtes Interesse | 10 Jahre |
| Absender und Inhalt eingehender Anfragen | Bearbeitung der Anfrage | Rechtliche Verpflichtung | 10 Jahre |
| Name, E-Mail-Adresse und Telefonnummer von Zeichnungsberechtigten | Unterzeichnung von Erklärungen | Rechtliche Verpflichtung | 10 Jahre |
| Absender und Inhalt von Lieferantenantworten | Auswertung der Antworten | Rechtliche Verpflichtung | 10 Jahre |
| Nachrichten an Lieferanten | Nachweis über gesendete Anfragen | Berechtigtes Interesse | 10 Jahre |
| E-Mail-Adresse von Lieferantenkontakten aus Ihrem SAP-System | Versand einer Anfrage | Berechtigtes Interesse | Wird beim Import nicht gespeichert. Pareo liest sie beim Versand einer Anfrage aus SAP und hält sie nur im Datensatz dieser Anfrage, 10 Jahre |
| Nachrichten im Assistenten-Chat | Unterhaltungen mit dem Assistenten | Berechtigtes Interesse | 1 Jahr |
| Protokolle der KI-Agenten | Bearbeitung und Fehleranalyse | Berechtigtes Interesse | 90 Tage nach Abschluss des Laufs |
| Zugriffsprotokoll: E-Mail-Adresse, IP-Adresse, Browser | Sicherheit | Berechtigtes Interesse | 90 Tage |
Die Frist von 10 Jahren folgt aus den Aufbewahrungspflichten nach REACH und RoHS.
Löschung
- Auf Ihre Weisung löscht Pareo alle personenbezogenen Daten Ihrer Organisation.
- Wird Ihre Organisation gelöscht, löscht Pareo auch alle ihre Dateien.
- Löschungen erreichen die tägliche Kopie der Dateien innerhalb eines Tages.
- Datenbanksicherungen werden nach 14 Tagen gelöscht. Ältere Dateiversionen laufen nach 90 Tagen ab, Google hält sie danach noch 30 Tage vor. Dann sind gelöschte Daten auch dort nicht mehr vorhanden.
- Jede Löschung wird im Audit-Trail protokolliert.