Question 1

Wo werden unsere Daten gehostet?

Accepted Answer

Primäres Anwendungs-Hosting ist Frankfurt (eu-central-1), physisch in der EU. Der Anbieter ist in den Vereinigten Staaten eingetragen; ein Wechsel zu einem europäischen Anbieter wird geprüft, ein Datum steht nicht fest. Die daraus folgende Exposition gegenüber nicht-europäischen Verfahren benennen wir offen, statt den Aufbau als rein europäisch zu beschreiben.

Question 2

Wer sind Ihre Unterauftragsverarbeiter, und ist die Liste aktuell?

Accepted Answer

Die vollständige Liste ist veröffentlicht (Anbieter, Land, Funktion und Datenkategorie), und Kunden werden 30 Tage vor einer Ergänzung benachrichtigt. Jede Übermittlung außerhalb des EWR läuft unter Standardvertragsklauseln. Ist die Liste veraltet, ist das ein Fehler: sie trägt das Datum ihrer letzten Prüfung.

Question 3

Gibt es einen Auftragsverarbeitungsvertrag vor der Unterschrift?

Accepted Answer

Ja, und er ist auf der Seite lesbar, statt nach Vertragsschluss zugeschickt zu werden. Er deckt Umfang der Verarbeitung, Unterauftragsverarbeiter, Sicherheitsmaßnahmen, Auditrechte und Meldung von Verletzungen ab, ausgerichtet an Artikel 28 DSGVO.

Question 4

Wie lang sind die Aufbewahrungsfristen, und steht der Einsatz in unserem Verarbeitungsverzeichnis?

Accepted Answer

Anrufaudio wird standardmäßig nicht aufbewahrt; schaltet der Kunde die Aufnahme ein, wird sie bis zu 90 Tage lang gespeichert und dann gelöscht. Quittungsmetadaten werden für die Dauer der Vereinbarung aufbewahrt und danach nur so lange, wie eine für den Kunden geltende Regel es verlangt. Das Verzeichnis von Verarbeitungstätigkeiten ist veröffentlicht, Sie können die betreffenden Zeilen also direkt in Ihr eigenes Verzeichnis nach Artikel 30 übernehmen.

Question 5

Wie werden Betroffenen- und Löschanfragen bearbeitet?

Accepted Answer

Als Auftragsverarbeiter unterstützen wir bei Auskunft, Übertragbarkeit und Löschung, und der Weg für jede davon ist veröffentlicht statt je Fall verhandelt. Die Löschung wird den Schlüssel für die Nutzdaten vernichten (folgt in Kürze), die Abfolge bleibt prüfbar, der Inhalt ist weg.

Question 6

Erfolgt die Artikel-50-Offenlegung, und gibt es einen Nachweis dafür?

Accepted Answer

Die Offenlegung wird im Gesprächsablauf an der Stelle abgespielt, die die Policy für das jeweilige Land verlangt (Deutschland aktiv · Niederlande in Arbeit · Belgien, Österreich in der Warteschlange). Der Nachweisdatensatz des Anrufs enthält den genehmigten Offenlegungstext, seine Sprache und den Zeitpunkt, zu dem sein Ton vollständig gesendet wurde. Er hält nicht fest, dass der Anrufer ihn gehört oder verstanden hat. Eine Beispielquittung im Produktionsformat steht zum Download bereit: die Felder, die der Motor ausgibt, mit synthetischen Werten. Die Eingabe- und Ausgabetexte sind neben der Quittung eingefügt, sodass die Hashes nachgerechnet werden können; eine Produktionsquittung enthält nur die Hashes. Status: In kontrollierten Tests.

Question 7

Was passiert bei einer Verletzung des Schutzes personenbezogener Daten?

Accepted Answer

Wir benachrichtigen Sie ohne unangemessene Verzögerung, nachdem uns eine Verletzung personenbezogener Daten bekannt wurde. Die Frist aus Artikel 33 Absatz 1 DSGVO gegenüber der Aufsichtsbehörde verbleibt bei Ihnen als Verantwortlichem. Sicherheitsfunde gehen unter einer Responsible-Disclosure-Richtlinie an security@audact.ai, auch Funde von Menschen, die keine Kunden sind.

Question 8

Wie werden Daten verschlüsselt und der Zugriff kontrolliert?

Accepted Answer

TLS 1.3 bei der Übertragung, AES-256 im Ruhezustand; Crypto-Shredding zur Löschung folgt in Kürze. Der Zugriff ist rollenbasiert, Mehrfaktor-Authentifizierung ist für administrative Zugriffe verpflichtend, und das Zugriffsprotokoll wird aufbewahrt.

Question 9

Welche Zertifizierungen halten Sie?

Accepted Answer

Wir sind nicht zertifiziert. Audact hält weder ISO 27001 noch ISO 42001 noch einen SOC 2-Bericht, weder Type I noch Type II, und ein Zertifizierungsaudit ist nicht angesetzt. Die Kontrolldokumentation ist als Ausgangspunkt auf diese Normen abgebildet.

Question 10

Bekommen wir das alles an einem Ort?

Accepted Answer

Ja. Das Trust Center hält den Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter, die Artikel-50-Vorlagen, das Verarbeitungsverzeichnis und den Sicherheitsüberblick bereit, sodass die Beschaffungsakte ohne E-Mail-Runde zusammenkommt.

Zehn Fragen, die Ihr Datenschutzbeauftragter stellen wird.

Zehn Fragen, zehn Antworten, zehn Stellen zum Nachprüfen.

Geben Sie das Artefakt weiter, nicht die Zusicherung.

Alles für den Einkauf an einem Ort

Verwandte Seiten

Frage	Unsere Antwort	Nachprüfen
Wo werden unsere Daten gehostet?	Primäres Anwendungs-Hosting ist Frankfurt (eu-central-1), physisch in der EU. Der Anbieter ist in den Vereinigten Staaten eingetragen; ein Wechsel zu einem europäischen Anbieter wird geprüft, ein Datum steht nicht fest. Die daraus folgende Exposition gegenüber nicht-europäischen Verfahren benennen wir offen, statt den Aufbau als rein europäisch zu beschreiben.	Trust Center
Wer sind Ihre Unterauftragsverarbeiter, und ist die Liste aktuell?	Die vollständige Liste ist veröffentlicht (Anbieter, Land, Funktion und Datenkategorie), und Kunden werden 30 Tage vor einer Ergänzung benachrichtigt. Jede Übermittlung außerhalb des EWR läuft unter Standardvertragsklauseln. Ist die Liste veraltet, ist das ein Fehler: sie trägt das Datum ihrer letzten Prüfung.	Liste der Unterauftragsverarbeiter
Gibt es einen Auftragsverarbeitungsvertrag vor der Unterschrift?	Ja, und er ist auf der Seite lesbar, statt nach Vertragsschluss zugeschickt zu werden. Er deckt Umfang der Verarbeitung, Unterauftragsverarbeiter, Sicherheitsmaßnahmen, Auditrechte und Meldung von Verletzungen ab, ausgerichtet an Artikel 28 DSGVO.	Vertrag lesen
Wie lang sind die Aufbewahrungsfristen, und steht der Einsatz in unserem Verarbeitungsverzeichnis?	Anrufaudio wird standardmäßig nicht aufbewahrt; schaltet der Kunde die Aufnahme ein, wird sie bis zu 90 Tage lang gespeichert und dann gelöscht. Quittungsmetadaten werden für die Dauer der Vereinbarung aufbewahrt und danach nur so lange, wie eine für den Kunden geltende Regel es verlangt. Das Verzeichnis von Verarbeitungstätigkeiten ist veröffentlicht, Sie können die betreffenden Zeilen also direkt in Ihr eigenes Verzeichnis nach Artikel 30 übernehmen.	Verarbeitungsverzeichnis
Wie werden Betroffenen- und Löschanfragen bearbeitet?	Als Auftragsverarbeiter unterstützen wir bei Auskunft, Übertragbarkeit und Löschung, und der Weg für jede davon ist veröffentlicht statt je Fall verhandelt. Die Löschung wird den Schlüssel für die Nutzdaten vernichten (folgt in Kürze), die Abfolge bleibt prüfbar, der Inhalt ist weg.	Weg für Löschanfragen
Erfolgt die Artikel-50-Offenlegung, und gibt es einen Nachweis dafür?	Die Offenlegung wird im Gesprächsablauf an der Stelle abgespielt, die die Policy für das jeweilige Land verlangt (Deutschland aktiv · Niederlande in Arbeit · Belgien, Österreich in der Warteschlange). Der Nachweisdatensatz des Anrufs enthält den genehmigten Offenlegungstext, seine Sprache und den Zeitpunkt, zu dem sein Ton vollständig gesendet wurde. Er hält nicht fest, dass der Anrufer ihn gehört oder verstanden hat. Eine Beispielquittung im Produktionsformat steht zum Download bereit: die Felder, die der Motor ausgibt, mit synthetischen Werten. Die Eingabe- und Ausgabetexte sind neben der Quittung eingefügt, sodass die Hashes nachgerechnet werden können; eine Produktionsquittung enthält nur die Hashes. Status: In kontrollierten Tests.	Receipt Explorer öffnen
Was passiert bei einer Verletzung des Schutzes personenbezogener Daten?	Wir benachrichtigen Sie ohne unangemessene Verzögerung, nachdem uns eine Verletzung personenbezogener Daten bekannt wurde. Die Frist aus Artikel 33 Absatz 1 DSGVO gegenüber der Aufsichtsbehörde verbleibt bei Ihnen als Verantwortlichem. Sicherheitsfunde gehen unter einer Responsible-Disclosure-Richtlinie an security@audact.ai, auch Funde von Menschen, die keine Kunden sind.	Sicherheit
Wie werden Daten verschlüsselt und der Zugriff kontrolliert?	TLS 1.3 bei der Übertragung, AES-256 im Ruhezustand; Crypto-Shredding zur Löschung folgt in Kürze. Der Zugriff ist rollenbasiert, Mehrfaktor-Authentifizierung ist für administrative Zugriffe verpflichtend, und das Zugriffsprotokoll wird aufbewahrt.	Sicherheit
Welche Zertifizierungen halten Sie?	Wir sind nicht zertifiziert. Audact hält weder ISO 27001 noch ISO 42001 noch einen SOC 2-Bericht, weder Type I noch Type II, und ein Zertifizierungsaudit ist nicht angesetzt. Die Kontrolldokumentation ist als Ausgangspunkt auf diese Normen abgebildet.	Trust Center
Bekommen wir das alles an einem Ort?	Ja. Das Trust Center hält den Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter, die Artikel-50-Vorlagen, das Verarbeitungsverzeichnis und den Sicherheitsüberblick bereit, sodass die Beschaffungsakte ohne E-Mail-Runde zusammenkommt.	Trust Center