Datenschutzhinweis für Impediment Ledger for Jira

1. Geltungsbereich

Dieser Hinweis beschreibt, wie die Atlassian Forge-App Impediment Ledger for Jira (die „App“) mit Daten umgeht. Er gilt nicht für die Website prflow.app oder die Desktop-Anwendung PR Flow; diese werden in der Datenschutzerklärung von PR Flow beschrieben.

Die App wird herausgegeben von PR Flow, eine Geschäftsbezeichnung von Árpád Kozma, Einzelunternehmer (egyéni vállalkozó), eingetragene Anschrift Szabadság tér 6., 2337 Délegyháza, Hungary, Registrierungsnummer als Einzelunternehmer 62570660, Umsatzsteuer-Identifikationsnummer (USt-IdNr.) HU92217287, E-Mail [email protected] (der „Anbieter“, „wir“, „uns“).

Die Begriffe „personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verarbeitung“ haben die Bedeutung, die ihnen in der Verordnung (EU) 2016/679 (die „DSGVO“) zukommt.

2. Wo die Daten gespeichert werden und wer darauf zugreifen kann

Die App läuft auf Atlassian Forge und wird von Atlassian gehostet. Die Datensätze der App werden im Forge-Hosted-Storage der Atlassian-Site des Kunden aufbewahrt, auf der Infrastruktur von Atlassian; die wenigen in Abschnitt 5 beschriebenen Werte werden in Jira selbst gespeichert. Der Forge-Hosted-Storage folgt dem Speicherort (Data Residency) der Jira-Site des Kunden und wird mit dieser migriert. Atlassian strebt an, die Verarbeitung der App am selben Ort durchzuführen, garantiert dies jedoch nicht.

Die App übermittelt keine Daten außerhalb von Atlassian. Sie führt keine Netzwerkaufrufe außerhalb von Atlassian durch und nutzt keine externen Analysedienste, kein eigenes großes Sprachmodell (LLM) und keinen externen Logging-Dienst. Die App ist so entwickelt und geprüft, dass sie keine externe Datenübermittlung (Egress) durchführt, wie es das Programm „Runs on Atlassian“ von Atlassian verlangt.

Der Anbieter greift nicht auf die von der App gespeicherten Daten zu und kann sie nicht im Auftrag des Kunden lesen, exportieren, berichtigen oder löschen. Die einzige Handlung, die der Anbieter in Bezug auf diese Daten vornehmen kann, ist die in Abschnitt 8 beschriebene: auf Antrag des Kunden Atlassian zu ersuchen, die Daten nach einer erneuten Installation wieder mit der App zu verbinden.

Aktionen, die ein Nutzer in der App durchführt, werden mit den Jira-Berechtigungen dieses Nutzers ausgeführt. Die Hintergrundverarbeitung liest Jira als die App, und jedes einem Nutzer angezeigte Ergebnis, einschließlich Berichten, CSV-Exporten und der Antworten des Rovo-Agenten der App, wird auf die Vorgänge gefiltert, die dieser Nutzer durchsuchen darf.

3. Rollen

Der Kunde (der Inhaber der Jira-Site, auf der die App installiert ist) ist der Verantwortliche für die personenbezogenen Daten, die die App speichert. Der Anbieter verarbeitet diese Daten im Auftrag des Kunden als dessen Auftragsverarbeiter, nach den Auftragsverarbeitungsbedingungen in Abschnitt 7 des Endbenutzer-Lizenzvertrags. Für diese Verarbeitung ist der Anbieter verantwortlich, nicht Atlassian.

Der Code der App wird auf der Forge-Plattform von Atlassian ausgeführt, und ihre Daten werden dort gespeichert. Atlassian hostet diese Daten als Unterauftragsverarbeiter des Anbieters, nach den Forge Terms und dem Forge Data Processing Addendum, die zwischen Atlassian und dem Anbieter vereinbart sind und die EU-Standardvertragsklauseln enthalten. Die eigenen Unterauftragsverarbeiter von Atlassian sind unter atlassian.com/legal/sub-processors aufgeführt. Der Anbieter setzt für diese Daten keinen weiteren Unterauftragsverarbeiter ein.

Die App ist so gebaut, dass die Daten in der Site des Kunden verbleiben und der Anbieter sie nicht sieht: Der Anbieter hat weder in der App noch in den von ihm genutzten Forge-Werkzeugen eine Möglichkeit, diese Daten zu lesen, zu exportieren, zu berichtigen oder zu löschen, und tut dies auch nicht.

Der Anbieter handelt nur für die in Abschnitt 9 beschriebenen Daten als Verantwortlicher.

4. Von der App gespeicherte Daten

5. Daten, die die App nicht speichert, und Grenzen dessen, was sie aus Jira übernimmt

• Die App speichert keine Namen, E-Mail-Adressen, Avatare, Vorgangszusammenfassungen oder Vorgangsbeschreibungen.
• Notizen und Lösungen sind Freitext. Nutzer sollten darin keine personenbezogenen Daten eingeben. Der Kunde ist für ihren Inhalt verantwortlich.
• Aus dem im Markierungsdialog von Jira verfassten Kommentar übernimmt die App nur Kommentare ohne Sichtbarkeitsbeschränkung (nicht auf eine Gruppe oder Rolle beschränkt und nicht intern). Eine Erwähnung wird als „@…“ ohne den Namen übernommen.
• Die Daten, die die App in den Suchindex von Jira schreibt (JQL-Entity-Properties), enthalten keine personenbezogenen Daten.
• Das Projekt, das ein Nutzer zuletzt auf der Seite der App ausgewählt hat, wird in einer Eigenschaft des eigenen Jira-Kontos dieses Nutzers gespeichert (User Property impediment-ledger.page), nicht im Speicher der App. Es wird zusammen mit dem Konto gelöscht.

6. Rovo

Ist Rovo auf der Site des Kunden aktiviert, beantwortet der Rovo-Agent der App die Frage eines Nutzers mit Daten, die auf die Vorgänge gefiltert sind, die dieser Nutzer durchsuchen darf, und übergibt Rovo strukturierte Daten, die auch in der Oberfläche der App sichtbar sind: Vorgangsschlüssel und -zusammenfassung, Grund, Dauer, voraussichtliches Datum und die Konto-ID der verantwortlichen Person. Notizen, Lösungen oder Lösungsentwürfe übergibt er nicht.

Rovo ist ein Dienst von Atlassian, für den die Bedingungen zwischen dem Kunden und Atlassian gelten. Die App selbst ruft kein großes Sprachmodell auf und speichert nichts aus der Unterhaltung.

7. Logs

Die App schreibt technische Logs in die Atlassian Forge-Entwicklerkonsole. Sie enthalten den Namen der Operation, ihr Ergebnis, einen Fehlercode, eine zufällige Korrelationskennung, die numerischen Vorgangs- und Projektkennungen von Jira, die App-Version und Zeitmessungen. Sie enthalten keine Notizen, keine Vorgangsinhalte und keine Atlassian-Konto-IDs. Atlassian ergänzt technischen Kontext, etwa die Site, die Installation und den Aufruf.

Der Anbieter kann diese Logs einsehen, sofern ein Site-Administrator die Log-Freigabe für die App nicht deaktiviert hat, und verwendet sie ausschließlich für den Betrieb, den Support und die Sicherheit der App. Atlassian bewahrt sie für seine standardmäßige Log-Aufbewahrungsdauer auf (laut der Dokumentation von Atlassian derzeit 30 bis 60 Tage); der Anbieter kopiert sie nicht an andere Orte.

8. Aufbewahrung und Löschung

• Geschlossene Blockaden und ihr Verlauf werden automatisch gelöscht, sobald sie älter als die Aufbewahrungsdauer des Projekts sind (höchstens 365 Tage; 365 Tage, sofern ein Projekt keinen kürzeren Wert festlegt). Die offene Blockade eines Vorgangs, den die App länger als die Aufbewahrungsdauer nicht lesen konnte (zum Beispiel ein gelöschter oder verschobener Vorgang oder einer, der durch eine Zugriffsregel verborgen ist), wird ebenfalls gelöscht.
• Etwa einmal pro Woche meldet die App die von ihr gespeicherten Atlassian-Konto-IDs an die Personal Data Reporting API von Atlassian. Meldet Atlassian ein Konto als geschlossen, entfernt oder ersetzt die App jeden gespeicherten Verweis auf diese Konto-ID, in der Regel innerhalb der nächsten Verarbeitungsläufe. Notizen und Lösungen bleiben erhalten, sind aber nicht mehr mit der Konto-ID verknüpft; personenbezogene Daten, die Nutzer in ihren Text eingegeben haben, werden nicht automatisch entfernt und können in der App bearbeitet oder über die Aufbewahrungsdauer gelöscht werden.
• Wird die App deinstalliert, bewahrt Atlassian die Daten der App für die in seinem Forge-Datenlebenszyklus festgelegte Dauer (derzeit 28 Tage) auf und löscht sie dann. Eine erneute Installation stellt die Daten nicht automatisch wieder her. Auf Antrag des Kunden, der innerhalb von 21 Tagen nach der Deinstallation gestellt wird, ersucht der Anbieter Atlassian, die Daten wieder mit der neu installierten App zu verbinden; Daten, die die neu installierte App vor der erneuten Verbindung geschrieben hat, können dabei überschrieben werden.
• Die Deinstallation der App entfernt keine Markierung von Jira-Vorgängen.

9. Daten, die der Anbieter als Verantwortlicher verarbeitet

Support und sonstige Kontakte

Wenn Sie den Anbieter kontaktieren (zum Beispiel unter [email protected]), verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihnen zu antworten und Ihr Anliegen zu bearbeiten, auf Grundlage unseres berechtigten Interesses an der Erbringung von Support (Art. 6 Abs. 1 lit. f DSGVO) oder, wenn Sie uns als Kunde kontaktieren, zur Erfüllung unseres Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Wir bewahren diese Korrespondenz zwei (2) Jahre nach Abschluss des Anliegens auf oder länger, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, höchstens jedoch bis zum Ablauf der fünfjährigen allgemeinen Verjährungsfrist nach ungarischem Recht.

Daten als Marketplace-Partner

Atlassian stellt dem Anbieter als Marketplace-Partner Lizenz- und Verkaufsinformationen zur Verfügung: den Namen der Organisation des Kunden, ihr Land und ihre Site, die Lizenzangaben (Kennung, Stufe, Beginn- und Enddatum), die Transaktionsangaben (Beträge und Daten) sowie, soweit angegeben, Name und E-Mail-Adresse der technischen Ansprechpartner und der Ansprechpartner für die Abrechnung. Die Forge-Entwicklerkonsole zeigt dem Anbieter außerdem, auf welchen Sites die App installiert ist.

Der Anbieter verwendet diese Daten zur Verwaltung von Lizenzen, zur Erbringung von Support und zum Versand der im Endbenutzer-Lizenzvertrag beschriebenen Mitteilungen, auf Grundlage seines berechtigten Interesses am Betrieb und an der Unterstützung der App (Art. 6 Abs. 1 lit. f DSGVO), sowie zur Führung seiner Buchhaltungsunterlagen (Art. 6 Abs. 1 lit. c DSGVO, Gesetz C von 2000 über die Rechnungslegung (Ungarn)). Ohne Einwilligung werden sie nicht für Marketingzwecke verwendet. Der Anbieter bewahrt sie für die Laufzeit der Lizenz und fünf (5) Jahre nach deren Ende auf (die allgemeine Verjährungsfrist nach ungarischem Recht); Unterlagen, die Teil der Buchhaltungsunterlagen des Anbieters sind, werden acht (8) Jahre lang aufbewahrt, wie es § 169 des Gesetzes C von 2000 über die Rechnungslegung (Ungarn) vorschreibt.

Empfänger und Übermittlungen

Der Anbieter gibt diese Daten nur an die Dienstleister weiter, die sie benötigen: an seinen E-Mail-Anbieter, Google Cloud EMEA Limited (Irland), der Google Workspace bereitstellt, und an Atlassian, wenn eine Supportanfrage dies erfordert. Google LLC und die mit ihr verbundenen Unternehmen verarbeiten die Daten als Unterauftragsverarbeiter von Google; Übermittlungen in die Vereinigten Staaten sind durch das EU-U.S. Data Privacy Framework und die Standardvertragsklauseln der Europäischen Kommission abgedeckt. Der Anbieter verkauft keine personenbezogenen Daten und trifft keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen.

10. Ihre Rechte

Für die von der App gespeicherten Daten ist der Kunde der Verantwortliche; Anträge auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung dieser Daten sind daher an den Kunden zu richten (in der Regel Ihr Arbeitgeber oder der Administrator Ihrer Jira-Site). Die App unterstützt diese Anträge wie folgt:

• Ein Jira-Administrator kann jeden von der App gespeicherten Datensatz als JSON Lines über den Tab Daten der App exportieren.
• Gründe, Notizen, verantwortliche Personen, Daten und Lösungen können in der Oberfläche der App berichtigt werden.
• Daten werden über die Aufbewahrungsdauer des Projekts gelöscht oder wenn das Atlassian-Konto geschlossen wird.
• Eine inaktive Lizenz verhindert weder den Export noch die Löschung geschlossener Konten.

Für die in Abschnitt 9 beschriebenen Daten haben Sie nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Schreiben Sie an [email protected]. Sie haben außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. In Ungarn ist dies die Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9–11; Postanschrift 1363 Budapest, Pf. 9; naih.hu; [email protected]. Sie können sich auch an ein Gericht wenden.

11. Sicherheit

Aktionen, die ein Nutzer in der App durchführt, werden mit den Jira-Berechtigungen dieses Nutzers ausgeführt, und jedes einem Nutzer angezeigte Ergebnis wird danach gefiltert, was dieser Nutzer durchsuchen darf. Um ein Sicherheitsproblem zu melden, schreiben Sie an [email protected].

12. Änderungen dieses Hinweises

Wir können diesen Hinweis aktualisieren, zum Beispiel wenn sich die App ändert. Das Datum oben zeigt die aktuelle Fassung. Wesentliche Änderungen werden in den Versionshinweisen der App oder in ihrem Marketplace-Eintrag bekannt gegeben und Atlassian mitgeteilt, wie es das Marketplace Partner Agreement verlangt.

13. Sprache

Dieser Hinweis ist in englischer Sprache verfasst, und die englische Fassung ist verbindlich. Diese Übersetzung wird nur zur besseren Verständlichkeit bereitgestellt; im Falle von Abweichungen zwischen der englischen Fassung und dieser Übersetzung hat die englische Fassung Vorrang. Siehe auch den Endbenutzer-Lizenzvertrag und die Support-Seite.