Ochroni legal
Data Processing Agreement (DPA)
This DPA applies when the customer acts as controller and Ochroni acts as processor for personal data under GDPR Art. 28.
The German text controls this DPA. The English text is for convenience.
Deutsche Fassung (verbindlich)
Diese Auftragsverarbeitungsvereinbarung gilt, soweit Ochroni personenbezogene Daten im Auftrag einer Kundenorganisation verarbeitet.
1. Parteien und Rollen
- Verantwortlicher: die Kundenorganisation, die Ochroni nutzt.
- Auftragsverarbeiter: Piotr Ciechowicz, Einzelunternehmer, handelnd unter Ochroni, Schmohlstr. 2, 13086 Berlin, Deutschland.
- Der Verantwortliche bleibt verantwortlich für Rechtmäßigkeit, Hinweise an Betroffene, Rechtsgrundlagen, Richtigkeit der Weisungen und die Entscheidung, welche Personen in den Kundenbereich eingeladen werden.
2. Anlage A: Gegenstand und Umfang der Verarbeitung
| Punkt | Beschreibung |
|---|---|
| Gegenstand | Störungskoordination, Aufgaben, Teilnehmerverwaltung, Gastzugriff, Auditierbarkeit und damit verbundene Support-Operationen. |
| Dauer | Für die Vertragslaufzeit und anschließende Lösch-, Backup- oder gesetzliche Aufbewahrungsfristen nach Vertrag oder Datenschutzerklärung. |
| Art der Verarbeitung | Erheben, Organisieren, Speichern, Abrufen, Übermitteln, Löschen und Sichern von Kundendaten. |
| Zweck | Betrieb des Ochroni-Dienstes im Auftrag des Verantwortlichen und Schutz des Dienstes vor Missbrauch oder Ausfall. |
| Betroffene Personen | Mitarbeiter, eingeladene Nutzer und autorisierte Gastteilnehmer des Kunden. |
| Datenarten | Identitäts- und Benutzerkontodaten, Daten zu Störungen, Aufgaben und Störungsprotokollen, Gastbeteiligungsdaten, Prüfprotokolle und separat beauftragte Integrationsmetadaten. |
| Außerhalb dieser DPA | Abrechnungs-, Steuer-, Stripe-Kunden- und Stripe-Abonnementdaten verarbeitet Ochroni als Verantwortlicher nach der Datenschutzerklärung, sofern ein Auftrag oder eine individuelle Vereinbarung nichts anderes vorsieht. |
| Ausgeschlossene Daten | Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten nach Art. 10 DSGVO und Zahlungskartendaten dürfen nicht verarbeitet werden, sofern dies nicht ausdrücklich schriftlich vereinbart wurde. |
3. Pflichten des Auftragsverarbeiters nach Art. 28(3) DSGVO
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, sofern nicht EU-Recht oder nationales Recht eine Verarbeitung verlangt.
- Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
- Umsetzung und Aufrechterhaltung geeigneter technischer und organisatorischer Maßnahmen.
- Einsatz von Unterauftragsverarbeitern nur unter den in dieser DPA beschriebenen Bedingungen und mit schriftlichen Schutzpflichten.
- Angemessene Unterstützung bei Betroffenenanfragen, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen, Konsultationen und Aufsichtsbehördenanfragen, soweit anwendbar und Ochroni die relevanten Informationen verfügbar hat.
- Hinweis ohne unangemessene Verzögerung, wenn Ochroni der Ansicht ist, dass eine Weisung gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt.
- Rückgabe oder Löschung personenbezogener Daten nach Vertragsende nach Wahl des Verantwortlichen, sofern keine gesetzlichen Aufbewahrungs-, Backup- oder Sicherheitsforensikpflichten entgegenstehen.
- Bereitstellung der angemessen erforderlichen Informationen zum Nachweis der Einhaltung und Ermöglichung von Audits nach den unten beschriebenen Regeln.
4. Anlage B: technische und organisatorische Maßnahmen
| Kategorie | Aktuelle Maßnahmen |
|---|---|
| Zugriffskontrolle und Berechtigungen | Der Kundenbereich, rollenbasierte Berechtigungen und störungs- oder berichtsspezifische Gastzugriffe begrenzen den Zugriff auf Kundendaten. |
| Authentifizierung und Session-Sicherheit | Passwort-Hashing, signierte 12-Stunden-Sessions, Token-Ablauf, Invalid-Token-Recovery und Prüfungen privilegierter Aktionen schützen Benutzerkontozugriffe. MFA, SSO/SAML und SCIM sind im öffentlichen Self-Serve-Plan nicht enthalten. |
| Transport- und Verbindungsschutz | Öffentlicher Service-Traffic erfordert Verschlüsselung während der Übertragung. Netzwerk- und Anwendungsschutz reduzieren unbefugte Zugriffe auf Service-Routen und administrative Schnittstellen. |
| Verfügbarkeit und Wiederherstellung | Ochroni unterhält Maßnahmen für Sicherung und Wiederherstellung. Daten im Kundenbereich werden während des Vertrags verarbeitet. Export, Löschung und Ablauf von Sicherungskopien folgen dieser DPA und der Datenschutzerklärung. |
| Logging und Monitoring | Ochroni protokolliert und überwacht sicherheitsrelevante Ereignisse, privilegierte Aktionen, den Health-Status und Service-Anomalien. Ochroni beschränkt Protokolle auf Betrieb, Sicherheit und Support. |
| Änderungs- und Schwachstellenmanagement | Ochroni steuert Änderungen an Anwendung und Infrastruktur. Die Maßnahmen umfassen Zugriffsschutz, Freigaben und Prüfungen auf Sicherheits- und Datenschutzrisiken. |
| Reaktion auf Störungen | Dokumentierte Verfahren decken Erkennung, Eindämmung, Behebung, Verantwortlichenbenachrichtigung und Nachbereitung ab. |
| Lieferanten- und Transferkontrollen | Ochroni listet Unterauftragsverarbeiter öffentlich. Ochroni bindet sie schriftlich und prüft Transfermechanismen, Datenkategorien und Einsatzregionen. |
5. Genehmigte Unterauftragsverarbeiter
Railway bleibt bis zum kontrollierten Hosting-Wechsel der aktive Hosting-Unterauftragsverarbeiter. netcup GmbH ist als Nachfolger genehmigt. Während Validierung und zeitlich begrenztem Rückfallfenster können beide Anbieter Hosting-, Laufzeit-, Protokoll-, Sicherungs- und Wiederherstellungsdaten verarbeiten. Railway wird nach Abschluss des Rückfallfensters und bestätigter Löschung entfernt.
Mailgun/Sinch bleibt bis zum kontrollierten E-Mail-Wechsel Unterauftragsverarbeiter. Amazon Web Services EMEA SARL (Amazon SES) ist als Nachfolger genehmigt. Während Validierung und Rückfallfenster können beide E-Mail-Anbieter E-Mails verarbeiten. Sentry wird für Fehlerüberwachung und technische Diagnose eingesetzt. Stripe verarbeitet Abrechnungs-, Steuer- und Abonnementdaten grundsätzlich für Ochroni als Verantwortlichen und ist deshalb nicht Teil des DPA-Subprozessorumfangs für Daten im Kundenbereich.
| Unterauftragsverarbeiter | Rolle | Datenkategorien | Regionale Exponierung | Transfer-Schutz |
|---|---|---|---|---|
| Railway und netcup GmbH | Railway hostet die aktuelle Produktion. netcup ist als Nachfolger für Application- und Runtime-Hosting, Protokolle, Sicherung und Wiederherstellung genehmigt. | Daten im Kundenbereich, Benutzerkontodaten, Protokolle, Prüf- und Sicherheitsereignisse, Betriebsmetadaten und Backup-/Volume-Daten, soweit betroffen. | Die aktuelle Railway-Produktion ist in der EU konfiguriert. Der zugewiesene netcup-Produktionsserver befindet sich in Nürnberg, Deutschland. Der Standort wurde am 12. August 2026 im Server Control Panel verifiziert. Support- oder Subprozessorzugriffe können andere Jurisdiktionen betreffen. | Vertragliche Transfermechanismen von Railway. Der AV-Vertrag mit netcup wurde am 12. August 2026 elektronisch abgeschlossen und im CCP archiviert. Soweit erforderlich gelten SCC-basierte oder gleichwertige rechtmäßige Mechanismen. |
| Mailgun/Sinch und AWS EMEA (Amazon SES) | Transaktionale E-Mail-Zustellung für Service- und Benutzernachrichten. | Empfänger- und Absenderadressen, Template-Variablen, Invite-/Reset-Links, Zustellereignisse und Bounce- oder Fehlermetadaten. | Mailgun nutzt während der Migration seinen EU-Endpunkt. SES nutzt AWS Europa (Frankfurt). Empfänger-Mailserver, Support oder Subprozessoren können dennoch außerhalb des EWR beteiligt sein. | Die jeweiligen Mailgun-/Sinch- und AWS-DPAs, Standardvertragsklauseln und weitere anwendbare rechtmäßige Transfermechanismen. |
| Sentry | Fehlerüberwachung, technische Diagnose und Stabilitätsanalyse für Vorgänge im Kundenbereich und in der Anwendung. | Technische Fehlerdaten, Zeitstempel, betroffene Routen, Geräte-/Browserinformationen und begrenzte Benutzerkonto- oder Kundenbereichskontexte, soweit in Diagnosedaten enthalten. | Sentry kann technische Fehlerdaten, Zeitstempel, betroffene Routen, Geräte-/Browserinformationen und begrenzte Kontextdaten verarbeiten. Ochroni konfiguriert die Übermittlung personenbezogener Daten restriktiv. | Sentry-Datenverarbeitungsbedingungen und verfügbare Transfermechanismen, einschließlich SCC-basierter oder gleichwertiger rechtmäßiger Mechanismen. |
6. Änderungen bei Unterauftragsverarbeitern
Ochroni hält die Liste aktuell. Ochroni informiert mindestens 30 Tage vor Hinzunahme eines wesentlich neuen Unterauftragsverarbeiters. Ein dringender Sicherheits-, Verfügbarkeits- oder Compliance-Grund kann einen schnelleren Ersatz erfordern. Der Verantwortliche kann innerhalb der Frist einen begründeten schriftlichen Widerspruch erheben. Können die Parteien keine angemessene Lösung finden, kann der Verantwortliche den betroffenen Dienstteil kündigen.
7. Separat beauftragte Integrationen
Wenn eine Integration in einem gesonderten Auftrag aktiviert wird, verarbeitet Ochroni die hierfür erforderlichen Endpunkt-, Zustell- und Nutzdaten im Auftrag des Verantwortlichen. Der Verantwortliche bleibt verantwortlich für Rechtmäßigkeit, Empfänger, Zugriffsschutz, Informationspflichten und Zweck der jeweiligen Integration.
Ochroni zeichnet störungsbezogene Handlungen, Zeitstempel, Verantwortlichkeiten, Teilnahmeereignisse und Prüfprotokolle zur Koordination und Nachvollziehbarkeit auf. Kunden bleiben verantwortlich für Mitarbeiterhinweise, Betriebsratsbeteiligung, arbeitsrechtliche Prüfungen und interne Richtlinien vor dem Rollout.
8. Sicherheitsvorfälle und Unterstützung
Ochroni informiert den Verantwortlichen ohne unangemessene Verzögerung nach Kenntnis einer bestätigten Verletzung des Schutzes personenbezogener Daten. Die Verletzung muss Daten des Verantwortlichen betreffen. Soweit angemessen praktikabel, informiert Ochroni innerhalb von 48 Stunden nach Bestätigung des Vorfalls.
Ochroni stellt die angemessen verfügbaren Informationen bereit, die der Verantwortliche für eigene Meldungs-, Untersuchungs- und Abhilfepflichten benötigt.
9. Audit und Informationsrechte
Ochroni stellt angemessene Dokumentation zum Nachweis der Einhaltung zur Verfügung. Reicht dies nicht aus, kann der Verantwortliche ein Audit pro Jahr mit angemessener Vorankündigung verlangen. Das Audit findet während der Geschäftszeiten und unter Vertraulichkeits-, Umfangs- und Sicherheitsvorgaben statt. Diese Vorgaben schützen andere Kunden und die Serviceumgebung.
10. Rückgabe und Löschung
Nach Vertragsende und auf Weisung des Verantwortlichen gibt Ochroni personenbezogene Daten zurück oder löscht sie. Gesetzliche Aufbewahrung, die Aufbewahrung von Sicherungskopien oder aktive Sicherheitsforensik können eine begrenzte weitere Speicherung erfordern.
11. Kontakt
DPA-, Subprozessor-, Assistenz- oder Transferdokumentationsanfragen: [email protected]
English Convenience Translation
The German version above is legally binding. This English text explains the DPA.
1. Parties and role allocation
- Controller: the customer entity using Ochroni.
- Processor: Piotr Ciechowicz, sole proprietor trading as Ochroni, Schmohlstr. 2, 13086 Berlin, Germany.
- The controller remains responsible for lawful collection, user notices, legal bases, accurate instructions, and selection of workspace users.
2. Annex A: scope of processing
| Item | Description |
|---|---|
| Subject matter | Incident coordination, tasking, participant management, guest access, auditability, and related support operations. |
| Duration | The duration covers the service term and any deletion, backup, or statutory retention period in the contract or Privacy Policy. |
| Nature of processing | Collection, arrangement, storage, retrieval, transmission, deletion, and backup of customer-submitted records. |
| Purpose | Operate the Ochroni service on behalf of the customer and secure the service against misuse or failure. |
| Data subjects | Customer staff, invited users, and authorized guest participants. |
| Data types | Identity and user-profile data, incident records, task data, and incident-record data, guest participation data, audit records, and separately contracted integration metadata. |
| Outside this DPA | Ochroni handles billing, tax, Stripe customer, and Stripe subscription data as controller. The Privacy Policy governs this data unless an order or written agreement says otherwise. |
| Excluded data | The parties must not process special-category personal data under GDPR Art. 9, data under GDPR Art. 10, or payment-card data unless they agree in writing. |
3. Processor obligations under Art. 28(3)
- Process personal data only on documented controller instructions unless EU or national law requires otherwise.
- Ensure that persons authorized to process the data are bound to confidentiality.
- Implement and maintain appropriate technical and organizational measures.
- Respect the conditions for engaging subprocessors and bind them by written terms that are no less protective than this DPA.
- Assist the controller with data-subject requests, security incidents, DPIAs, prior consultations, and supervisory-authority inquiries where applicable.
- Notify the controller without undue delay if Ochroni believes an instruction infringes the GDPR or other applicable EU or national data-protection law.
- At the controller's choice on termination, return or delete personal data unless legal retention, backup, or security-forensics obligations require limited continued storage.
- Make available the information reasonably necessary to demonstrate compliance and allow audits as described below.
4. Annex B: technical and organizational measures
| Category | Measures currently in use |
|---|---|
| Access control and authorization | Workspace membership, role-based permissions, and guest access limited to a specific incident or report flow restrict access to customer data. |
| Authentication and session security | Password hashing, signed 12-hour sessions, token expiry, invalid-token recovery, and privileged-action audits protect user-profile access. The public self-serve plan excludes MFA, SSO/SAML, and SCIM. |
| Transmission security | Public service traffic requires encryption in transit. Network and application-layer protections reduce unauthorized access to service routes and administrative interfaces. |
| Availability and recovery | Ochroni maintains backup and recovery measures. Ochroni processes workspace data during the contract. Export, deletion, and backup expiry follow this DPA and the Privacy Policy. |
| Logging and monitoring | Ochroni records and monitors security-relevant events, privileged actions, health status, and service anomalies. Ochroni limits these records to operational, security, and support purposes. |
| Change and vulnerability management | Ochroni controls application and infrastructure changes. The controls include access protection, approvals, and security and privacy risk checks. |
| Incident response | Security and incident-response procedures cover detection, containment, remediation, controller notification, and follow-up. |
| Supplier and transfer controls | Ochroni lists subprocessors publicly. Ochroni binds them by written terms and reviews transfer safeguards, data categories, and service regions. |
5. Authorized subprocessors
Railway remains the active hosting subprocessor until the controlled hosting cutover. Ochroni authorizes netcup GmbH as its replacement. During validation and a time-limited rollback window, either provider may process hosting, runtime, operational records, backup, and restore data. Railway will leave active processing after the rollback window and verified deletion.
Mailgun/Sinch remains the email subprocessor until the controlled email cutover. Ochroni authorizes Amazon Web Services EMEA SARL (Amazon SES) as its replacement. Either email provider may process email during validation and the rollback window. Sentry provides error monitoring and technical diagnostics. Stripe generally processes billing, tax, and subscription data for Ochroni as controller and sits outside the DPA subprocessor scope for customer workspace data.
| Subprocessor | Role | Data categories | Region exposure | Transfer safeguard |
|---|---|---|---|---|
| Railway and netcup GmbH | Railway hosts the current production deployment. Ochroni authorizes netcup as the replacement for application and runtime hosting, operational records, backups, and restores. | Workspace data, user-profile data, audit records, security events, operational metadata, and backup or volume data where applicable. | Ochroni configured the current Railway deployment in the EU. The assigned netcup production server uses a Nuremberg, Germany data center. Ochroni verified the location through the Server Control Panel on August 12, 2026. Support or subprocessor access may involve other jurisdictions. | Railway contractual transfer commitments. Ochroni executed the netcup DPA electronically on August 12, 2026. The CCP contains the archived agreement. SCC-based or equivalent lawful mechanisms apply where required. |
| Mailgun/Sinch and Amazon Web Services EMEA SARL (Amazon SES) | Transactional email delivery for service and login messages. | Recipient and sender email addresses, template variables, invite or reset links, delivery events, bounce events, and failure metadata. | Mailgun uses its EU endpoint during migration. SES uses AWS Europe (Frankfurt). Recipient mail servers, subprocessors, or support operations may still be outside the EEA. | The applicable Mailgun/Sinch and AWS GDPR DPAs, Standard Contractual Clauses, and any other lawful transfer mechanism available at the time of transfer. |
| Sentry | Error monitoring, technical diagnostics, and application stability analysis for customer workspace and application events. | Technical error data, timestamps, affected routes, device/browser details, and limited user-profile or workspace context when diagnostics include it. | Sentry may process technical error data, timestamps, affected routes, device/browser details, and limited contextual data. Ochroni configures personal data transmission restrictively. | Sentry's data-processing terms and available transfer mechanisms, including SCC-based or equivalent lawful mechanisms. |
6. Subprocessor changes
Ochroni will keep the subprocessor list current. Ochroni will give at least 30 days' notice before adding a materially new subprocessor. An urgent security, availability, or compliance reason may require faster replacement. Controllers may raise a reasonable written objection during that notice window. If the parties cannot find a reasonable solution, the controller may terminate the affected service part.
7. Separately contracted integrations
If a separate order enables an integration, Ochroni processes the related endpoint, delivery, and payload data on the controller's instructions. The controller remains responsible for the legality, recipients, access protection, notices, and purpose of each integration.
Ochroni records incident-related actions, timestamps, ownership, participation events, and audit trails for operational coordination and auditability. Customers remain responsible for employee notices, works-council involvement, labor-law checks, and internal-policy requirements before rollout.
8. Security incidents and controller assistance
Ochroni will notify the controller without undue delay after it becomes aware of a confirmed personal-data breach. The breach must affect controller data. Where reasonably practicable, Ochroni will notify the controller within 48 hours after confirming the breach. Ochroni will share the information reasonably needed for the controller's notification and remediation duties.
Ochroni will also provide reasonable assistance for data-subject requests, DPIAs, and supervisory-authority requests to the extent the relevant information is available to Ochroni as processor.
9. Audit and information rights
Ochroni will provide relevant documentation reasonably needed to demonstrate compliance. If that is insufficient, the controller may request one audit per year with reasonable advance notice. The audit must occur during business hours and follow confidentiality, scope, and security safeguards. The safeguards protect other customers and the service environment.
10. Return and deletion
On termination and controller request, Ochroni will return or delete personal data at the controller's choice. Legal retention, backup retention, or active security-forensics obligations may require limited continued storage.
11. Contact
DPA, subprocessor, controller-assistance, or transfer-documentation requests: [email protected]