DPDP-Compliance-Erklärung
FactWise Technologies Private Limited — Digital Personal Data Protection Act 2023
1. Überblick
Der indische Digital Personal Data Protection Act 2023 ("DPDP Act") trat am 11. August 2023 in Kraft. Er ist Indiens erstes umfassendes Datenschutzgesetz und regelt die Verarbeitung digitaler personenbezogener Daten, Rechte der Data Principals sowie Pflichten von Data Fiduciaries und Data Processors.
FactWise Technologies Private Limited ("FactWise", "wir") betreibt eine Source-to-Pay-Beschaffungsplattform für Fertigungs- und Enterprise-Unternehmen in Indien. Wir erfüllen den DPDP Act als Data Fiduciary für von uns kontrollierte Daten und als Data Processor für Daten, die wir im Auftrag unserer Kunden verarbeiten.
Diese Erklärung sollte zusammen mit unserer Datenschutzerklärung, unseren Nutzungsbedingungen und unserer Cookie-Richtlinie gelesen werden.
2. Rollen nach dem DPDP Act
2.1 FactWise als Data Fiduciary
FactWise ist Data Fiduciary für Mitarbeiterdaten, Kontoinhaber, Abrechnungskontakte, Administratoren, Website-Besucher und Daten, die für eigene Geschäftszwecke wie Marketing, Betrugsprävention und Plattformverbesserung verarbeitet werden.
2.2 FactWise als Data Processor
FactWise ist Data Processor für von Kunden kontrollierte personenbezogene Daten, einschließlich Lieferantendatensätzen, von Kundenmitarbeitern eingegebenen Beschaffungsdaten und Daten, deren Zweck und Mittel der Kunde festlegt. Wir verarbeiten diese Daten nur nach Kundenanweisung und geltenden Datenverarbeitungsvereinbarungen.
2.3 Bereitschaft als Significant Data Fiduciary
FactWise beobachtet SDF-Entwicklungen und hält sich für zusätzliche Pflichten bereit, darunter Datenschutzbeauftragter, Datenschutz-Folgenabschätzungen, algorithmische Audits und Datenlokalisierungsbeschränkungen.
3. Rechtsgrundlage der Verarbeitung
FactWise stützt sich auf die nach dem DPDP Act erforderlichen Rechtsgrundlagen.
| Verarbeitungstätigkeit | Betroffene | Rechtsgrundlage |
|---|---|---|
| Kontoerstellung und Verwaltung | Kontoinhaber | Vertrag - erforderlich zur Bereitstellung der Plattform |
| Abrechnung und Rechnungsstellung | Abrechnungskontakte | Vertrag; gesetzliche Steuerpflicht |
| Lieferantendaten für Kunden | Lieferanten | Berechtigte Nutzung nach Anweisung des Kunden als Data Fiduciary |
| Beschaffungsanalysen mit anonymisierten Daten | Alle Nutzer | Berechtigte Nutzung |
| Sicherheit und Betrugsprävention | Alle Nutzer | Berechtigte Nutzung |
| Marketing an Interessenten | Leads und Interessenten | Einwilligung |
| Antworten auf Supportanfragen | Nutzer | Vertrag oder berechtigte Nutzung |
| Rechtskonformität und regulatorische Meldungen | Soweit anwendbar | Gesetzliche Verpflichtung |
3.1 Einwilligungsmanagement und Hinweis
Wenn Einwilligung die Rechtsgrundlage ist, stellt FactWise sicher, dass sie freiwillig, spezifisch, informiert und eindeutig ist, und speichert Zeitstempel, Zweck und Hinweisversion.
Vor oder bei der Erhebung stellt FactWise einen klaren Hinweis zu erhobenen Daten, Zweck, Rechten und Beschwerdewegen bereit.
4. Rechte der Data Principals
Data Principals können privacy@factwise.io kontaktieren, um Rechte auszuüben. FactWise antwortet innerhalb von 30 Tagen.
4.1 Recht auf Information
Betroffene können erfahren, ob ihre Daten verarbeitet werden, eine Zusammenfassung erhalten und Processor sowie Empfänger kennen.
Ausübung: E-Mail an privacy@factwise.io. Für Lieferantendaten, die von einem Kunden verwaltet werden, kontaktieren Sie diesen Kunden; FactWise unterstützt die Weiterleitung.
4.2 Recht auf Berichtigung und Löschung
Betroffene können unrichtige oder unvollständige Daten berichtigen und Löschung verlangen, wenn Daten nicht mehr erforderlich sind.
Ausübung: Kontoinhaber können Daten in den Einstellungen aktualisieren. Andere schreiben an privacy@factwise.io. Wird Löschung wegen gesetzlicher Aufbewahrung abgelehnt, nennt FactWise schriftliche Gründe.
4.3 Recht auf Benennung
Betroffene können eine Person benennen, die bei Tod oder Handlungsunfähigkeit DPDP-Rechte ausübt.
Ausübung: E-Mail an privacy@factwise.io mit Angaben zur benannten Person und unterschriebener Erklärung.
4.4 Recht auf Beschwerde
Betroffene können Beschwerden zur Datenverarbeitung von FactWise einreichen. Wir bestätigen innerhalb von 72 Stunden und lösen substanziell innerhalb von 30 Tagen.
Ausübung: E-Mail an privacy@factwise.io. Wenn ungelöst, kann nach Inbetriebnahme das Data Protection Board of India angerufen werden.
5. Pflichten als Data Fiduciary
Personenbezogene Daten werden nur für die Zwecke verarbeitet, für die sie erhoben wurden.
FactWise verarbeitet nur Daten, die für die angegebenen Beschaffungsworkflows erforderlich sind.
Nutzer können eigene Daten korrigieren; vom Kunden eingegebene Lieferantendaten liegen in dessen Verantwortung.
Daten werden nur so lange wie nötig aufbewahrt und nach Ablauf der Frist gelöscht.
Dazu gehören Verschlüsselung, TLS, rollenbasierter Zugriff, Penetrationstests und unveränderliche Audit-Logs.
FactWise führt Aufzeichnungen zu Zwecken, Einwilligungen, Rechteanfragen, Vorfällen und Processors.
6. Grenzüberschreitende Übermittlungen
FactWise aktualisiert diesen Abschnitt, sobald Übermittlungsregeln nach dem DPDP Act bekanntgegeben werden.
- Standardmäßig werden personenbezogene Daten indischer Data Principals in Indien verarbeitet und gespeichert, mit AWS ap-south-1 Mumbai.
- Sub-Processors außerhalb Indiens erhalten nur die minimal erforderlichen technischen Daten und müssen gleichwertige Schutzmaßnahmen bieten.
7. Verarbeitung von Kinderdaten
Der DPDP Act stellt strenge Anforderungen an Kinderdaten. FactWise erhebt oder verarbeitet wissentlich keine Kinderdaten, richtet die Plattform nicht an Kinder, gestaltet sie für Unternehmensbeschaffung und löscht entdeckte Kinderdaten.
8. Pflichten als Data Processor
- Personenbezogene Kundendaten nur nach dokumentierten Anweisungen verarbeiten
- FactWise-Personal mit Zugriff zur Vertraulichkeit verpflichten
- Geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen
- Keine Sub-Processors ohne Kundeneinwilligung einsetzen
- Kunden bei Rechteanfragen unterstützen
- Daten innerhalb von 90 Tagen nach Vertragsende löschen oder zurückgeben
- Sicherheitsvorfälle innerhalb von 72 Stunden melden
9. Beschwerdeverfahren
FactWise hat privacy@factwise.io als Datenschutzkontakt für Beschwerden nach Section 13 des DPDP Act benannt.
- Beschwerde per E-Mail an privacy@factwise.io senden
- Name, Kontaktdaten, Beschreibung und gewünschte Lösung angeben
- FactWise bestätigt innerhalb von 72 Stunden
- FactWise liefert innerhalb von 30 Tagen eine substanzielle Antwort
- Falls ungelöst, eskaliert FactWise intern und antwortet innerhalb weiterer 14 Tage
- Falls weiterhin ungelöst, können Sie nach Inbetriebnahme das Data Protection Board of India anrufen
10. Aktualisierungen dieser Erklärung
Diese Erklärung wird aktualisiert, wenn DPDP-Regeln bekanntgegeben werden, das Data Protection Board of India Leitlinien herausgibt oder sich FactWise-Praktiken ändern. Wesentliche Aktualisierungen werden per E-Mail an Kontoadministratoren gesendet.
11. Zugehörige Dokumente
| Dokument | Ort |
|---|---|
| Datenschutzerklärung | factwise.io/de/privacy-policy |
| Nutzungsbedingungen | factwise.io/de/terms-of-service |
| Cookie-Richtlinie | factwise.io/de/cookie-policy |
FactWise Technologies Private Limited verpflichtet sich zur Einhaltung von Wortlaut und Geist des indischen Digital Personal Data Protection Act 2023. Diese Erklärung spiegelt unsere Praxis zum 1. Januar 2026 wider und wird mit der Regulierung weiter aktualisiert.
Für alle DPDP-Anfragen: privacy@factwise.io