Richtlinie zur Verarbeitung und zum Schutz personenbezogener Daten

1. Wer wir sind und in welcher Eigenschaft wir Ihre Daten verarbeiten

FastOfi Corp S.A.S., eine Handelsgesellschaft mit der NIT 901.031.306-1, mit Sitz in Calle 4G 81A-105 INT 1807, Medellín, Antioquia, Colombia, E-Mail [email protected], Telefon ___, ist Verantwortlicher für die Verarbeitung der in dieser Richtlinie beschriebenen personenbezogenen Daten.

FastOfi entwickelt und betreibt eine Managementplattform (ERP) für Unternehmen der regulierten Fertigung und pharmazeutische Dienstleister. Diese doppelte Natur — ein Unternehmen mit eigenen Kunden und eine Plattform, auf der diese Kunden Daten Dritter hochladen — führt dazu, dass wir personenbezogene Daten in zwei unterschiedlichen Eigenschaften verarbeiten, die in Ziffer 3 erläutert werden.

2. Geltungsbereich und Begriffsbestimmungen

Diese Richtlinie gilt für alle personenbezogenen Daten, die FastOfi verarbeitet, sei es über die Website fastofi.com, die Plattform, unsere Vertriebs- und Supportkanäle oder unsere internen Prozesse.

Wir verwenden die Begriffsbestimmungen aus Artikel 3 der Ley 1581 de 2012:

• Betroffene Person: die natürliche Person, deren personenbezogene Daten Gegenstand der Verarbeitung sind.
• Personenbezogenes Datum: jede Information, die mit einer oder mehreren bestimmten oder bestimmbaren natürlichen Personen verknüpft ist oder verknüpft werden kann.
• Sensibles Datum: ein Datum, das die Privatsphäre der betroffenen Person berührt oder dessen missbräuchliche Verwendung zu Diskriminierung führen kann; dazu gehören unter anderem Gesundheitsdaten, Daten zum Sexualleben und biometrische Daten.
• Verantwortlicher: wer über die Datenbank und deren Verarbeitung entscheidet.
• Auftragsverarbeiter: wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten, wie Erhebung, Speicherung, Nutzung, Weitergabe oder Löschung.
• Einwilligung: vorherige, ausdrückliche und informierte Zustimmung der betroffenen Person zur Durchführung der Verarbeitung.
• Datenschutzhinweis: Mitteilung, die der betroffenen Person zur Verfügung gestellt wird, um sie über die Verarbeitung, deren Zwecke und den Zugang zu dieser Richtlinie zu informieren.

3. Unsere zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Diese Unterscheidung ist der wichtigste Teil des Dokuments und bestimmt, an wen Sie sich zur Ausübung Ihrer Rechte wenden müssen.

3.1. FastOfi als Verantwortlicher

Wir sind Verantwortlicher für die Daten, die wir auf eigene Rechnung und für eigene Zwecke erheben: Besucher der Website, Personen, die eine Demo anfordern, Vertriebskontakte, Ansprechpartner unserer Kunden und Lieferanten, Stellenbewerber und unser eigenes Team.

3.2. FastOfi als Auftragsverarbeiter

Wenn ein Kunde die Plattform beauftragt und dort Informationen hochlädt — Mitarbeiter, Lieferantenkontakte und im Modul für pharmazeutische Dienstleistungen Patientendaten —, ist der Verantwortliche für diese Daten der Kunde, nicht FastOfi. Wir handeln als Auftragsverarbeiter: Wir verarbeiten sie ausschließlich nach seinen Weisungen und zur Erbringung der vereinbarten Leistung.

In dieser Eigenschaft:

• Verwenden wir die Informationen eines Kunden nicht für eigene Zwecke, geben sie nicht weiter und vermarkten sie nicht.
• Verknüpfen oder vermischen wir keine Informationen verschiedener Kunden. Jede Instanz ist isoliert.
• Verwenden wir die Daten eines Kunden weder zum Training allgemeiner KI-Modelle noch zur Verbesserung des Produkts in einer Weise, die sie für Dritte identifizierbar oder abrufbar macht.
• Wenden wir die Sicherheitsmaßnahmen aus Ziffer 12 an und benachrichtigen den Kunden bei jedem Vorfall.
• Geben wir die Informationen bei Vertragsende zurück oder löschen sie gemäß den dort vereinbarten Bedingungen.

Die Bedingungen dieser Rolle werden in einer Vereinbarung zur Auftragsverarbeitung als Anhang zum Dienstleistungsvertrag festgelegt.

Wenn Sie Patient, Mitarbeiter oder Lieferant eines Unternehmens sind, das FastOfi nutzt, und Ihre Daten einsehen, aktualisieren oder löschen lassen möchten, müssen Sie sich an dieses Unternehmen wenden, da es der Verantwortliche ist. Wenn Sie uns direkt schreiben, beraten wir Sie und informieren unseren Kunden, können jedoch ohne dessen Weisung keine Informationen aus seiner Instanz ändern oder herausgeben.

4. Grundsätze, die wir anwenden

Jede von uns durchgeführte Verarbeitung unterliegt den Grundsätzen aus Artikel 4 der Ley 1581 de 2012:

• Rechtmäßigkeit: Die Verarbeitung ist eine gesetzlich geregelte Tätigkeit.
• Zweckbindung: Sie dient einem legitimen Zweck, über den wir die betroffene Person informieren.
• Freiwilligkeit: Wir verarbeiten Daten nur mit vorheriger, ausdrücklicher und informierter Einwilligung oder aufgrund gesetzlicher oder gerichtlicher Anordnung.
• Richtigkeit oder Qualität: Die Informationen müssen wahrheitsgemäß, vollständig, genau, aktuell, überprüfbar und verständlich sein.
• Transparenz: Wir gewährleisten das Recht der betroffenen Person, Auskunft über ihre Daten zu erhalten.
• Beschränkter Zugang und beschränkte Weitergabe: Die Daten sind nur für befugte Personen zugänglich.
• Sicherheit: Wir ergreifen technische, personelle und organisatorische Maßnahmen, um Verfälschung, Verlust, Einsichtnahme oder unbefugten Zugriff zu verhindern.
• Vertraulichkeit: Alle an der Verarbeitung Beteiligten sind zur Verschwiegenheit verpflichtet, auch nach Beendigung ihres Verhältnisses.

5. Welche Daten wir verarbeiten und wozu

Als Verantwortlicher verarbeiten wir die folgenden Kategorien. Wir erheben nur, was wir für den jeweiligen Zweck benötigen.

Wir treffen keine automatisierten Entscheidungen, die rechtliche Wirkung gegenüber den betroffenen Personen entfalten. Die KI-Funktionen der Plattform erzeugen Vorschläge und Entwürfe; Entscheidung und Unterschrift liegen stets bei einem Menschen.

6. Sensible Daten und Daten von Minderjährigen

Als Verantwortlicher erheben wir keine sensiblen Daten. Wir fragen sie weder auf der Website noch im Demo-Formular noch in unseren Vertriebskanälen ab.

Als Auftragsverarbeiter kann die Plattform Gesundheitsdaten speichern, wenn ein Kunde das Modul für pharmazeutische Dienstleistungen nutzt. In diesem Fall gilt:

• Für die Einholung der ausdrücklichen Einwilligung des Patienten ist der Kunde verantwortlich.
• Niemand ist verpflichtet, in die Verarbeitung sensibler Daten einzuwilligen oder sensible Daten bzw. Daten von Minderjährigen preiszugeben.
• Wir wenden auf diese Informationen rollenbasierte Zugriffskontrolle, Verschlüsselung und Audit-Protokollierung an; der Zugriff unseres Supportpersonals wird protokolliert und ist auf das unbedingt Notwendige zur Bearbeitung einer Kundenanfrage beschränkt.

Die Verarbeitung von Daten von Kindern und Jugendlichen ist vorbehaltlich der gesetzlichen Ausnahmen untersagt; erfolgt sie, muss sie deren übergeordnetem Interesse dienen und die Achtung ihrer Grundrechte gewährleisten.

7. Wie wir Ihre Einwilligung einholen und nachweisen

Wir holen Ihre Einwilligung vorher, ausdrücklich und informiert ein, über ein nicht vorausgewähltes Kontrollkästchen, das von der Beschreibung der Zwecke und dem Link zu dieser Richtlinie begleitet wird. Optionale Zwecke, etwa der Versand kommerzieller Inhalte, werden gesondert abgefragt: Sie sind nie in der Haupteinwilligung gebündelt.

Wir bewahren einen Nachweis jeder Einwilligung auf: Datum und Uhrzeit, Kanal, IP-Adresse und die zu diesem Zeitpunkt gültige Version dieser Richtlinie. Sie können eine Kopie dieses Nachweises anfordern.

Sie können Ihre Einwilligung jederzeit durch eine Nachricht an [email protected] widerrufen, es sei denn, eine gesetzliche oder vertragliche Pflicht verpflichtet uns zur Aufbewahrung der Informationen.

8. Ihre Rechte als betroffene Person

Gemäß Artikel 8 der Ley 1581 de 2012 haben Sie das Recht:

• Ihre personenbezogenen Daten einzusehen, zu aktualisieren und zu berichtigen.
• Einen Nachweis der von Ihnen erteilten Einwilligung zu verlangen, sofern das Gesetz sie nicht entbehrlich macht.
• Auf Anfrage darüber informiert zu werden, wie wir Ihre Daten verwendet haben.
• Bei der Superintendencia de Industria y Comercio Beschwerde wegen Verstößen gegen die Datenschutzvorschriften einzulegen, nachdem das Anfrage- oder Beschwerdeverfahren bei uns ausgeschöpft wurde.
• Die Einwilligung zu widerrufen und die Löschung der Daten zu verlangen, sofern keine gesetzliche oder vertragliche Pflicht dem entgegensteht.
• Unentgeltlich auf Ihre verarbeiteten personenbezogenen Daten zuzugreifen.

9. Wie Sie Ihre Rechte ausüben und wann wir antworten

Kanal: Schreiben Sie an [email protected] oder reichen Sie Ihr Anliegen schriftlich unter Calle 4G 81A-105 INT 1807, Medellín, Antioquia, Colombia ein. Geben Sie Ihren Namen, Ihr Ausweisdokument, einen Antwortkanal und eine Beschreibung Ihres Anliegens an. Wenn Sie im Namen einer anderen Person handeln, weisen Sie diese Vertretung nach.

9.1. Anfragen

Wenn Sie wissen möchten, welche Informationen wir über Sie haben, antworten wir innerhalb von höchstens zehn (10) Werktagen. Ist dies nicht möglich, informieren wir Sie vor Fristablauf über die Gründe und den Termin, zu dem wir die Anfrage beantworten, der fünf (5) weitere Werktage nicht überschreiten wird.

9.2. Beschwerden

Wenn Sie der Ansicht sind, dass Ihre Daten berichtigt, aktualisiert oder gelöscht werden müssen oder dass wir eine Pflicht verletzt haben, bearbeiten wir die Beschwerde innerhalb von höchstens fünfzehn (15) Werktagen ab dem Tag nach ihrem Eingang. Ist dies nicht möglich, teilen wir Ihnen die Gründe und den neuen Termin mit, der acht (8) weitere Werktage nicht überschreiten wird. Ist die Beschwerde unvollständig, bitten wir Sie, sie innerhalb von fünf (5) Tagen zu ergänzen; geschieht dies nicht innerhalb von zwei (2) Monaten, gilt sie als zurückgenommen. Sind wir nicht zuständig, leiten wir die Beschwerde an die zuständige Stelle weiter und informieren Sie darüber. Solange die Beschwerde bearbeitet wird, wird das Datum mit dem Vermerk „Beschwerde in Bearbeitung“ gekennzeichnet.

10. Mit wem wir Daten teilen

Wir verkaufen keine personenbezogenen Daten. Wir teilen sie ausschließlich mit Dienstleistern, die für unseren Betrieb notwendige Leistungen erbringen und durch Vertraulichkeits- und Auftragsverarbeitungsvereinbarungen gebunden sind:

• Cloud-Infrastruktur und Hosting: ___
• Transaktions-E-Mails und Kommunikation: ___
• Website-Analyse: ___
• Vertriebsmanagement und Support: ___
• Anbieter von KI-Modellen für die Funktionen von Sophia: ___
• Buchhaltungs-, Steuer- und Rechtsdienstleistungen.

Wir können Informationen auch an Verwaltungs- oder Justizbehörden herausgeben, wenn diese im Rahmen ihrer Befugnisse ein berechtigtes Ersuchen stellen.

11. Internationale Übermittlung und Weiterleitung

Einige unserer Dienstleister befinden sich außerhalb Kolumbiens, sodass Ihre Daten im Ausland gespeichert oder verarbeitet werden können. Diese Vorgänge erfolgen auf Grundlage von Übermittlungsverträgen, die dem Empfänger dieselben Pflichten wie diese Richtlinie auferlegen, oder in Länder, denen die Superintendencia de Industria y Comercio ein angemessenes Schutzniveau bescheinigt hat, oder mit Ihrer ausdrücklichen und eindeutigen Einwilligung, wenn das Gesetz dies verlangt.

12. Sicherheit und Vorfälle

Wir wenden angemessene technische, personelle und organisatorische Maßnahmen zum Schutz der Informationen an: Verschlüsselung bei der Übertragung und im Ruhezustand, rollenbasierte Zugriffskontrolle, Audit-Protokollierung, Trennung der Umgebungen, regelmäßige Backups mit Prüfung der Wiederherstellung, Schwachstellenmanagement und Vertraulichkeitsvereinbarungen mit dem gesamten Personal.

Kein System ist unfehlbar. Bei einem Vorfall, der personenbezogene Daten gefährdet, melden wir ihn der Superintendencia de Industria y Comercio innerhalb von fünfzehn (15) Werktagen ab seiner Entdeckung, informieren die betroffenen Kunden und ergreifen die erforderlichen Eindämmungs- und Korrekturmaßnahmen.

13. Geltungsdauer der Richtlinie und der Datenbanken

Diese Richtlinie gilt ab dem 2026-08-05. Wir bewahren personenbezogene Daten auf, solange der Zweck besteht, der ihre Erhebung rechtfertigte, und danach für die von den geltenden buchhalterischen, steuerlichen, handels- und gesundheitsrechtlichen Vorschriften geforderten Fristen. Nach Ablauf dieser Fristen löschen oder anonymisieren wir sie auf sichere Weise.

___ (Hier gegebenenfalls den Nachweis der Eintragung im Registro Nacional de Bases de Datos der SIC einfügen. Die Registrierungspflicht trifft Gesellschaften mit einer Bilanzsumme von mehr als 100.000 UVT; überschreitet FastOfi diesen Schwellenwert nicht, bleibt diese Richtlinie verpflichtend, die Registrierung jedoch nicht.)

14. Änderungen dieser Richtlinie

Wir können diese Richtlinie aktualisieren. Wenn eine Änderung die Verarbeitungszwecke wesentlich berührt, teilen wir sie Ihnen vor ihrer Anwendung über den bei uns hinterlegten Kontaktkanal mit und holen, sofern gesetzlich erforderlich, eine neue Einwilligung ein. Die gültige Fassung und ihr Datum stehen stets am Anfang dieses Dokuments.

Version 2026-08-05 · FastOfi Corp S.A.S. · NIT 901.031.306-1