Sicherheitsaddendum

Diese Übersetzung übernimmt Nummerierung, Struktur und Redaktionsvariablen der englischen Fassung 0.1 unverändert. In dieser Sprache wurde keine Variable aufgelöst: Eine Tatsache kann nicht in nur einer Sprache bekannt sein.

Sicherheitsaddendum

Dieses Sicherheitsaddendum beschreibt die technischen und organisatorischen Maßnahmen, die Virtik USA, Inc. auf die Virtik-Plattform anwendet. Es ergänzt die Bedingungen (LEG-001), das DPA (LEG-010) sowie jeden Rahmendienstleistungsvertrag (LEG-011) oder jedes Order Form (LEG-012), das darauf Bezug nimmt. Es ist bewusst kurz gehalten: Es gibt nur die Maßnahmen an, die Virtik belegen kann, und es nennt, was Virtik nicht zusichert. In diesem Addendum nicht definierte Begriffe mit großem Anfangsbuchstaben haben die Bedeutung, die ihnen die Bedingungen (LEG-001) geben.

1. Was dieses Dokument nicht behauptet

Zuerst genannt, weil dies die Aussagen sind, die einem Sicherheitsaddendum am häufigsten unterstellt werden.

1.1 Virtik verfügt derzeit weder über eine SOC-2-Bescheinigung noch über eine ISO-27001-Zertifizierung, eine HIPAA-Konformitätszertifizierung oder eine FedRAMP-Autorisierung und sichert dies auch nicht zu. Soweit die eigenen Pflichten des Kunden eine Zertifizierung erfordern, über die Virtik nicht verfügt, hat der Kunde selbst zu bestimmen, ob die Plattform für seine Verwendung geeignet ist.

1.2 Es wird kein Prüfbericht eines Dritten angeboten. Abschnitt 7 legt die Prüfposition fest.

1.3 Es wird kein Ergebnis eines Penetrationstests angeboten, und es wird kein Testintervall zugesagt.

1.4 Es wird kein Versicherungsschutz zugesichert.

1.5 Kein Dienst kann als sicher garantiert werden. Dieses Addendum beschreibt Maßnahmen; es gewährleistet kein Ergebnis. Abschnitt 20 der Bedingungen gilt.

1.6 Virtik sichert nicht zu, dass der Dienst über eine StateRAMP-Autorisierung verfügt oder die Sicherheitsrichtlinie der Criminal Justice Information Services des FBI einhält, dass Virtik den Dienst rund um die Uhr überwacht, dass der Dienst ein bestimmtes Verfügbarkeitsniveau erreicht oder dass Virtik eine Hosting-Region oder eine Zusage zur Datenresidenz anbietet.

2. Maßnahmenverzeichnis

2.1 Als konfiguriert dargestellte Maßnahmen

Dies sind die Maßnahmen, die die Umsetzung und Konfiguration des Dienstes bietet, wie konfiguriert dargestellt. Sie geben nicht den bereitgestellten Zustand einer bestimmten Umgebung wieder. Anlage 6 des DPA führt dieselben Maßnahmen auf.

2.2 Nicht zugesicherte Angelegenheiten

Virtik gibt in diesem Addendum keine Zusicherung ab zu: Verschlüsselung im Ruhezustand und Schlüsselverwaltung; ob, wie oft und wie lange Backups aufbewahrt werden, und Wiederherstellungszielen; Hosting-Standorten und -Regionen; Intervall der Penetrationstests; Standard der Personalüberprüfung; Intervall der Sicherheitsschulungen; Schwachstellenmanagement und Patch-Intervall; Geschäftsfortführung und Notfallwiederherstellung, einschließlich der Wiederherstellungsziele; physischer Sicherheit der Hosting-Standorte; sicherem Entwicklungszyklus und Codeprüfung; Aufbewahrungsdauer der Protokolle; Endgeräteverwaltung für Personal mit Produktionszugriff; oder Schlüsselrotation. Virtik gibt eine Maßnahme nur durch eine neue Fassung dieses Addendums an. Nichts in diesem Abschnitt 2.2 oder in Abschnitt 1 beschränkt die Pflicht aus Ziffer 6.1 des DPA, die Maßnahmen zu ergreifen, die Artikel 32 der DSGVO (oder die entsprechende Vorschrift sonstigen anwendbaren Rechts) von einem Auftragsverarbeiter verlangt, und dieses Addendum gibt nicht an, dass jede solche Maßnahme getroffen ist.

3. Zugriffskontrolle und Personal

3.1 Virtik gibt in diesem Addendum keine Zusicherung dazu ab, wie der Zugriff auf Produktionssysteme gewährt, überprüft oder aufgezeichnet wird.

3.2 Die Zusagen von Virtik zu Vertraulichkeit und Zugriff des Personals finden sich in Abschnitt 5 des DPA.

3.3 Virtik gibt keine Zusicherung zur Überprüfung des Personals oder zum Intervall von Sicherheitsschulungen ab.

4. Pflichten des Kunden

Die Sicherheit der Plattform ist geteilt, und dieser Abschnitt ist kein Haftungsausschluss — er ist die Hälfte der Kontrollfläche, die Virtik nicht erreichen kann.

4.1 Der Kunde ist verantwortlich für:

(a) die Sicherheit der Kundensysteme, einschließlich Kameras, Sensoren, Zutrittskontrollsysteme, Funkgeräte, Mobilgeräte und Netze;

(b) den sorgfältigen Umgang mit Anmeldedaten, insbesondere das Nichtweitergeben der Anmeldedaten autorisierter Nutzer;

(c) die Berechtigungskonfiguration innerhalb seiner Organisation und deren Überprüfung, wenn Personen hinzukommen, wechseln oder ausscheiden;

(d) die Aktivierung und Verpflichtung zur Mehrfaktor-Authentifizierung für seine eigenen Nutzer, soweit die Plattform sie anbietet;

(e) die Verwaltung der Geräte, die auf den Dienst zugreifen;

(f) die Entscheidung darüber, welche Daten in die Plattform gelangen und wer sie einsehen darf;

(g) den unverzüglichen Entzug des Zugriffs für Personen, die ihn nicht mehr benötigen.

4.2 Eine Fehlkonfiguration durch den Kunden, die Kundendaten innerhalb seiner eigenen Organisation offenlegt, ist kein Sicherheitsvorfall.

5. Sicherheitsvorfälle

5.1 Virtik wird den Kunden ohne unangemessene Verzögerung benachrichtigen, nachdem Virtik einen Sicherheitsvorfall, wie die Bedingungen diesen Begriff definieren, bestätigt hat, und für personenbezogene Daten des Kunden nach Maßgabe von Abschnitt 10 des DPA. Virtik bestätigt einen Sicherheitsvorfall, wenn sie in angemessener Weise und ohne ihre Untersuchung zu verzögern feststellt, dass der Sicherheitsvorfall eingetreten ist, oder in angemessener Weise annimmt, wie Abschnitt 1.17 der Bedingungen es vorsieht, dass er eingetreten ist.

5.2 Operative Zielvorgabe zur Mitteilung. Soweit vertretbar möglich, ist es das Ziel von Virtik, diese Mitteilung innerhalb von 72 Stunden zu erteilen, nachdem sie den Sicherheitsvorfall bestätigt hat. Diese Frist ist nur eine operative Zielvorgabe zur Mitteilung. Sie ist weder eine unbedingte vertragliche Garantie noch eine Gewährleistung, und eine nach 72 Stunden erteilte Mitteilung ist für sich genommen keine Verletzung der Vereinbarung. Abschnitt 19.5 der Bedingungen und Abschnitt 10 des DPA legen die Position fest.

5.3 Ein erfolgloser Versuch oder ein Ereignis, das die Sicherheit der Kundendaten nicht beeinträchtigt — einschließlich Pings, Portscans, fehlgeschlagener Anmeldungen und Denial-of-Service-Versuchen, die nicht zu einem Zugriff führen — ist kein Sicherheitsvorfall.

5.4 Eine Benachrichtigung ist kein Eingeständnis von Verschulden oder Haftung.

5.5 Melden Sie eine vermutete Schwachstelle oder einen Vorfall an security@virtik.ai. Der Kunde darf eine vermutete Schwachstelle nicht öffentlich offenlegen, bevor Virtik eine angemessene Gelegenheit zur Behebung hatte.

5.6 Die Mitteilung von Virtik an den Kunden ist von jeder Meldung getrennt, die der Kunde an eine Aufsichtsbehörde, an Einzelpersonen oder an andere richten muss. Diese Pflichten und die Fristen, in denen sie zu erfüllen sind, bestimmen sich nach anwendbarem Recht, laufen ab der eigenen Kenntnis des Kunden und liegen in der Verantwortung des Kunden.

5.7 Virtik gibt keine Zusicherung zu einem Runbook für die Reaktion auf Vorfälle, zu einer Bereitschaftsabdeckung, zu forensischen Fähigkeiten oder zu den Werkzeugen ab, die sie zur Erkennung eines Sicherheitsvorfalls einsetzt, und nennt keine Reaktionszeit für eine Meldung nach Abschnitt 5.5.

6. Unterauftragsverarbeiter und Hosting

6.1 Virtik zieht Dritte hinzu, um in seinem Auftrag zu hosten, zu speichern, zu verarbeiten und abzurechnen. Die Liste der Unterauftragsverarbeiter (LEG-009) ordnet sie ein als Unterauftragsverarbeiter, Infrastrukturanbieter, den Zahlungsdienstleister, Anbieter, die der Kunde stellt, und Dienste, deren Nutzung Virtik nicht geprüft hat.

6.2 Das aktuelle Verzeichnis wird als Liste der Unterauftragsverarbeiter (LEG-009) geführt.

6.3 Virtik nennt keine Hosting-Region.

6.4 Datenresidenz wird nicht als Zusage angeboten (DPA Abschnitt 15.4).

7. Prüfung und Nachweis

7.1 Virtik stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Addendums vernünftigerweise erforderlich sind, in erster Linie über dieses Dokument und über Antworten auf angemessene Sicherheitsfragebögen. Eine Antwort auf einen Fragebogen ist nur eine Information. Sie ist keine Zusicherung zu einer Maßnahme, die Abschnitt 2.1 nicht angibt, und Abschnitt 2.2 dieses Addendums sowie Abschnitt 19.2 der Bedingungen gelten weiter.

7.2 Prüfrechte betreffend personenbezogene Daten finden sich in Abschnitt 14 des DPA und werden hier nicht abgewandelt.

7.3 Kein weiteres Prüfrecht. Virtik räumt kein Prüfrecht über die Abschnitte 7.1 und 7.2 und die Bedingungen in Abschnitt 14 des DPA hinaus ein. Es existiert kein Bericht eines Dritten, und Virtik räumt keine Prüfung ihrer mandantenfähigen Infrastruktur in einer Weise ein, die andere Kunden beeinträchtigen könnte.

8. Änderungen

8.1 Virtik kann dieses Addendum aktualisieren, sofern das Schutzniveau nicht wesentlich verringert wird.

8.2 Eine wesentliche Verringerung erfordert eine Mitteilung nach dem maßgeblichen Vertrag; soweit der Rahmendienstleistungsvertrag gilt, kann dessen Abschnitt 11.4 dem Kunden ein Recht einräumen.

Sprache. Diese Übersetzung wird lediglich zur besseren Verständlichkeit bereitgestellt. Im Falle eines Widerspruchs ist die englische Fassung maßgeblich, soweit zwingendes Recht nichts anderes vorschreibt.

Versionshistorie

ENDE DES DOKUMENTS