AfterToMe Verfahren zu Rechten, Aufbewahrung und Vorfällen

1. Eingang und Identität

1. Anträge auf Ausübung von Datenschutzrechten gehen unter /legal/privacy-rights, bei legal@aftertome.com und per Post an Carrer Agricultura, 16, 1º, 9ª, 08320 El Masnou (Barcelona), Spanien ein. Support- und Verbraucherbeschwerden gehen bei support@aftertome.com ein. Jeder Antrag erhält innerhalb von 2 Werktagen eine Vorgangsnummer.

2. Die Identität wird verhältnismäßig geprüft: durch die angemeldete Sitzung bei einem Kontoinhaber; durch den Identitätsschritt des Beanspruchungsablaufs bei einem Empfänger; durch eine Kopie eines Ausweisdokuments nur, wenn der Antrag Tresorinhalte, eine Freigabe oder ein Konto betrifft, bei dem sich der Antragsteller nicht anmelden kann. Zur Prüfung verwendete Dokumente werden innerhalb von 30 Tagen nach der Entscheidung gelöscht.

3. Ein durch einen Vertreter gestellter Antrag wird nur gegen Nachweis der Vollmacht bearbeitet.

2. Entscheidung und Fristen

1. Der Betreiber antwortet innerhalb eines Monats nach Eingang. Bei komplexen oder zahlreichen Anträgen wird die Frist um bis zu zwei weitere Monate verlängert, und dem Antragsteller wird der Grund innerhalb des ersten Monats mitgeteilt.

2. Eine Ablehnung oder Einschränkung nennt den Grund, den Umfang und das Recht, sich bei der AEPD und bei den Gerichten zu beschweren.

3. Die Löschung von Tresorinhalten wird auf Antrag des Inhabers ausgeführt, solange der Inhaber geschäftsfähig ist. Liegt eine rechtliche Sperre oder eine gerichtliche Anordnung vor, wird die Löschung für deren Dauer ausgesetzt und der Antragsteller informiert.

4. Die Löschung ändert niemals Annahme-, Einwilligungs- oder Freigabedatensätze; diese Datensätze werden als Nachweis nach C16.1 aufbewahrt und enthalten keine Tresorinhalte.

3. Aufbewahrungsplan

1. Kontodaten werden für die Lebensdauer des Kontos aufbewahrt und innerhalb von 90 Tagen nach Schließung gelöscht oder anonymisiert, außer soweit eine längere Frist gesetzlich vorgeschrieben ist (Steuer- und Buchhaltungsunterlagen: 6 Jahre; Annahme- und Einwilligungsnachweise: 5 Jahre nach Ende der Beziehung, als Nachweis der Einhaltung; Datensätze unter einer rechtlichen Sperre: bis die Sperre endet).

2. Gesprächsprotokolle, Aufzeichnungen und Uploads, die nicht mit einem aktiven Vertrag verknüpft sind, werden spätestens 12 Monate nach der letzten Interaktion gelöscht und auf Ihren Wunsch früher, sofern keine rechtliche Sperre gilt.

3. Backups werden in einem Zyklus von höchstens 35 Tagen rotiert; aus der Produktivumgebung gelöschte Daten werden am Ende des Zyklus aus den Backups entfernt.

4. Ist ein Anbieter unabhängiger Verantwortlicher, gelten für seine Unterlagen seine eigenen Aufbewahrungsregeln.

5. Plattformplan. Die Aufbewahrungsfristen je Datenklasse sind die in PUB-02 §3 genannten. Ein Aufbewahrungsauftrag läuft auf dem bestehenden Planer bei oder vor jeder Obergrenze und schreibt ein Löschereignis; das Auftragsprotokoll ist der Nachweis der Ausführung.

6. Rechtliche Sperren. Eine Sperre erfasst ihren Inhaber, den Grund, den Umfang, das Prüfungsdatum und das Ende; Sperren werden alle 90 Tage geprüft und aufgehoben, wenn der Grund entfällt.

4. Sicherheitsmaßnahmen

Der Betreiber unterhält: auf Datenbankebene erzwungene Mandantenisolierung; Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand; Mindestberechtigung und Multi-Faktor-Zugriff für Mitarbeitende und Auftragnehmer nach INT-01; geprüften und zeitlich begrenzten privilegierten Zugriff und Identitätsübernahme; Geheimnisverwaltung ohne Zugangsdaten in Code oder Protokollen; Schwachstellen- und Patch-Management; mindestens vierteljährlich auf Wiederherstellung geprüfte Backups; Integritäts-Hashwerte von Tresorelementen, die mindestens alle 12 Monate erneut geprüft werden (SEC-01 §3.3); und das Vorfallsverfahren in §5.

5. Verfahren bei Verletzung des Schutzes personenbezogener Daten

1. Mitarbeitende melden einen vermuteten Vorfall unverzüglich über den internen Kanal an die Vorfallsleitung. Die Vorfallsleitung grenzt den Vorfall ein, sichert Beweise und bewertet innerhalb von 24 Stunden die betroffenen Daten, Personen und Mandanten sowie das wahrscheinliche Risiko.

2. Führt die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, benachrichtigt der Betreiber die AEPD innerhalb von 72 Stunden nach Kenntnis, gegebenenfalls stufenweise, solange die Tatsachen noch nicht vollständig sind, und dokumentiert die Gründe einer Verzögerung.

3. Führt die Verletzung voraussichtlich zu einem hohen Risiko, informiert der Betreiber die betroffenen Personen unverzüglich in klarer Sprache über die Art der Verletzung, die wahrscheinlichen Folgen, die ergriffenen Maßnahmen und die Kontaktstelle, es sei denn, eine Ausnahme nach Artikel 34 Abs. 3 DSGVO greift und wird dokumentiert.

4. Handelt der Betreiber als Auftragsverarbeiter für einen Kunden (künftiger DAT-01), benachrichtigt er diesen Kunden unverzüglich nach Kenntnis.

5. Eine Nachbereitung erfasst Ursache, Auswirkungen und Abhilfemaßnahmen innerhalb von 30 Tagen.

6. Überprüfung

Eine Entscheidung nach diesem Verfahren kann auf Antrag von einer anderen Person als derjenigen überprüft werden, die sie getroffen hat. Der Antragsteller kann sich jederzeit bei der AEPD (www.aepd.es) beschweren oder Klage bei den Gerichten seines Wohnsitzes erheben (C14 [B2C-ES]).