Unterauftragsverarbeiter
sign.yt (VARSOFIA) setzt die folgenden Dritten ein, die personenbezogene Daten im Auftrag unserer Kunden verarbeiten. Über neue oder ersetzte Unterauftragsverarbeiter informieren wir mindestens 30 Tage im Voraus, wie im AVV beschrieben. Mit „wenn aktiviert“ gekennzeichnete Anbieter erhalten Daten nur, wenn die Funktion eingeschaltet ist.
Hetzner Online GmbH — Hosting
Zweck: Server, Datenbank, verschlüsselte Dateispeicherung und Backups. Daten: alle Daten des Dienstes (Dokumente im Ruhezustand verschlüsselt). Standort: Deutschland und Finnland (EU).
Resend (Plus Five Five, Inc.) — E-Mail-Versand
Zweck: Transaktions-E-Mails (Signatureinladungen, Codes, Benachrichtigungen) für Organisationen mit verwaltetem E-Mail-Versand. Daten: Name und E-Mail-Adresse des Empfängers, Nachrichteninhalt. Standort: USA / EU. Garantien: Standardvertragsklauseln.
BulkGate (TOPefekt s.r.o.) — SMS
Zweck: SMS-Einmalcodes zur Verifizierung von Unterzeichnern und Anmeldungen (wenn aktiviert). Daten: Telefonnummer, Nachrichtentext. Standort: Tschechien (EU).
Cloudflare, Inc. — Turnstile-Bot-Schutz
Zweck: Abwehr automatisierten Missbrauchs auf Anmelde-, Registrierungs- und öffentlichen Signaturformularen. Daten: IP-Adresse, technische Browsersignale. Standort: USA / globales Netzwerk. Garantien: Standardvertragsklauseln, EU-US Data Privacy Framework.
Zahlungsdienstleister — Abonnements
Zweck: Abwicklung von Abonnementzahlungen (wenn kostenpflichtige Pläne aktiv sind). Daten: Rechnungskontakt, auf der Bezahlseite des Anbieters eingegebene Zahlungsdaten. Name und Standort des Anbieters werden hier vor der Aktivierung angegeben.
Functional Software, Inc. (Sentry) — Fehlerüberwachung (wenn aktiviert)
Zweck: Diagnose von Anwendungsfehlern. Daten: technische Fehlerberichte, die eine IP-Adresse, Benutzer-ID oder Anfragemetadaten enthalten können. PII-Versand ist deaktiviert; Authentifizierungs-Header, Cookies, Anfragekörper und Token in URLs werden vor dem Senden entfernt. Standort: Datenregion EU (Deutschland) / USA. Garantien: Standardvertragsklauseln, Datenminimierung.
Anthropic PBC — optionale KI-Funktionen (wenn aktiviert)
Zweck: KI-gestützte Felderkennung und Dokumentanalyse, nur wenn der Kunde sie aktiviert. Daten: an die Funktion übermittelter Dokumentinhalt. Standort: USA. Garantien: Standardvertragsklauseln; gemäß den kommerziellen Bedingungen von Anthropic werden Eingaben nicht zum Training von Modellen verwendet.
Authologic sp. z o.o. — Identitätsprüfung (wenn aktiviert)
Zweck: optionale Identitätsprüfung der Unterzeichner, nur wenn der Kunde sie aktiviert. Daten: vom Prüfverfahren zurückgegebene Identitätsdaten des Unterzeichners. Standort: Polen (EU). Garantien: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; innergemeinschaftliche Übermittlung im EWR.
login.gov.pl (Węzeł Krajowy / mObywatel) — nationale eID (wenn aktiviert)
Zweck: optionale Identitätsprüfung über die polnische nationale eID, betrieben vom Minister für Digitalisierung. Daten: vom nationalen Knoten nach der Authentifizierung des Unterzeichners zurückgegebene Identitätsattribute. Standort: Polen (EU). Behörde als eigenständiger Verantwortlicher für die Authentifizierung; innergemeinschaftliche Übermittlung im EWR.
Didit Identity Spain, S.L. — Identitätsprüfung (wenn aktiviert)
Zweck: optionale Identitätsprüfung der Unterzeichner (Ausweisdokument und Selfie-Prüfung), nur wenn der Kunde sie aktiviert. Daten: Daten des Ausweisdokuments und das Ergebnis der Selfie-Prüfung, die der Verifizierungsablauf zurückgibt. Standort: Spanien (EU). Garantien: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; innergemeinschaftliche Übermittlung im EWR.
Vom Kunden konfigurierte Integrationen
Verbindet eine Organisation ihren eigenen SMTP-Server, ein Microsoft-365-, Resend-, AWS-SES- oder Mailgun-Konto, einen SSO-Anbieter oder Webhooks, fließen Daten auf Grundlage des eigenen Vertrags des Kunden an diesen Dienst. Diese Dienste wählt der Kunde; sie sind keine Unterauftragsverarbeiter von sign.yt.
Öffentliche Register und Zeitstempel (keine Unterauftragsverarbeiter)
Die automatische Firmendatenergänzung fragt öffentliche Register — GUS (REGON), die MwSt.-Whitelist des polnischen Finanzministeriums und EU-VIES — nur mit einer Steuernummer ab. RFC-3161-Zeitstempeldienste und OpenTimestamps-Kalender erhalten ausschließlich kryptografische Hashes, niemals Dokumentinhalte oder personenbezogene Daten. Es handelt sich um unabhängige öffentliche Dienste, nicht um Auftragsverarbeiter.
Änderungen und Widerspruch
Kunden können innerhalb der im AVV genannten Frist aus berechtigten Gründen Widerspruch gegen einen neuen Unterauftragsverarbeiter einlegen: support@sign.yt.