Data processing agreement (dpa) — Flip

Cited by

Facts read from this source

• DPA scope Report an error

  “Konsolidiert, mehrjurisdiktional (EU/EWR · Vereinigtes Königreich · Schweiz · USA)”

• DPA date Report an error

  “Stand: 27. Oktober 2026”

• DPA entity Report an error

  “Bestandteil des Hauptvertrags zwischen der Flip GmbH (der „Anbieter“) und dem im jeweiligen Bestellformular bezeichneten Kunden (der „Kunde“)”

• DPA roles Report an error

  “ist der Kunde Verantwortlicher (der „Verantwortliche“; unter US-Landesdatenschutzgesetzen „business“) und der Anbieter Auftragsverarbeiter (der „Auftragsverarbeiter“; unter US-Landesdatenschutzgesetzen „service provider“)”

• Applicable laws Report an error

  “(a) die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“) und mitgliedstaatliche Ausführungsgesetze; (b) die UK-GDPR und den Data Protection Act 2018 („UK-GDPR“); (c) das Schweizer Datenschutzgesetz („DSG“); (d) US-Landesdatenschutzgesetze”

• Default region Report an error

  “Der Anbieter hostet den Softwaredienst standardmäßig in einem Rechenzentrum in Europa.”

• EU eea storage Report an error

  “Der Anbieter hostet und speichert personenbezogene Daten in Rechenzentren innerhalb der Europäischen Union bzw. des EWR.”

• No AI training on customer data Report an error

  “Der Anbieter nutzt personenbezogene Daten des Kunden — einschließlich Prompts, Eingaben und Ausgaben, die über die Module Fusion oder gyde verarbeitet werden — nicht, um KI- oder Machine-Learning-Modelle zu trainieren, nachzutrainieren, zu fine-tunen oder anderweitig zu entwickeln”

• Ask AI subprocessor Report an error

  “Für Ask AI: LLM-Inferenz über Microsoft Azure AI, Microsoft als Unterauftragsverarbeiter.”

• Voice messages processing Report an error

  “Sprachnachrichten verarbeitet der Anbieter selbst innerhalb der Europäischen Union.”

• Frontline identity audit logs Report an error

  “Die Identitäts-Audit-Logs werden manipulationssicher geführt; sie sind durch Administratoren des Verantwortlichen weder editierbar noch einzeln löschbar.”

• Frontline identity passkey Report an error

  “biometrische Daten verbleiben auf dem Endgerät und werden vom Anbieter nicht verarbeitet”

• Fusion chat retention Report an error

  “Chat-Verläufe, Builder-Zustände und Fusion-Log-Daten werden spätestens zwölf Monate nach Erhebung gelöscht oder anonymisiert”

• Fusion microsoft abuse retention Report an error

  “Zur Missbrauchserkennung kann Microsoft auffällige Ein- und Ausgaben für bis zu 30 Tage speichern; die Speicherung der Daten erfolgt innerhalb der EU.”

• Modules Report an error

  “Betrieb der gebuchten Module (Flows, Frontline Identity, Fusion, gyde/Learning) nach Maßgabe der nachstehenden Tabelle”

• Flows anonymous submission Report an error

  “Ist ein Flow als anonyme Einreichung konfiguriert, wird im Auswertungsdatensatz keine Nutzerkennung mitgeführt.”

• Toms Report an error

  “Der Anbieter trifft und erhält die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO”

• Trust center Report an error

  “Weitere Informationen enthält das Trust Center des Anbieters unter https://trust.getflip.com/.”

• Certifications Report an error

  “einschließlich – soweit verfügbar – seiner ISO/IEC-27001-Zertifizierung und SOC-2-Berichte über das Trust Center”

• General approval Report an error

  “Der Verantwortliche erteilt dem Anbieter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.”

• Change notice period Report an error

  “Der Anbieter informiert den Verantwortlichen mindestens 45 Tage vorab in Textform an die vom Verantwortlichen hierfür benannte Kontaktadresse über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters”

• Objection period Report an error

  “Widerspricht der Verantwortliche nicht innerhalb von 30 Tagen nach Zugang der Mitteilung, gilt die Änderung als genehmigt.”

• Breach notification Report an error

  “Der Anbieter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der personenbezogenen Daten des Verantwortlichen bekannt geworden ist”

• Deletion on termination Report an error

  “Bei Beendigung oder Ablauf des Hauptvertrags löscht oder anonymisiert der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.”

• Deletion max period Report an error

  “überschreiten sechs Monate ab Beendigung des Hauptvertrags nicht”

• Export during term Report an error

  “Der Kunde kann seine Daten während der Laufzeit sowie innerhalb des im Hauptvertrag geregelten Abrufzeitraums und der Wechselunterstützung exportieren und bis zum Ablauf dieses Zeitraums eine Kopie verlangen”

• Audit rights Report an error

  “Der Verantwortliche darf einmal je Vertragsjahr sowie darüber hinaus anlassbezogen nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer zuständigen Aufsichtsbehörde eine Prüfung durchführen.”

• Transfer mechanisms Report an error

  “gilt für die jeweiligen Daten ein einziger in der Reihenfolge DPF (bei zertifiziertem Importeur) → EU-SCC → UK-Addendum → Schweizer Anpassungen”

• No backdoor access Report an error

  “Der Anbieter hat keinen Backdoor-Zugang oder ähnliche Zugriffsmöglichkeiten für Behörden geschaffen und ist hierzu auch nicht verpflichtet.”

• No sale of data Report an error

  “Der Anbieter verkauft und teilt Kundeninhalte oder darin enthaltene personenbezogene Informationen nicht i.S.d. US-Landesdatenschutzgesetze”

• Liability cap Report an error

  “einschließlich der 200 %-Höchstbetragsbegrenzung für Verletzungen datenschutzrechtlicher Pflichten”

• DPA language versions Report an error

  “Die inhaltsgleiche englischsprachige Fassung ist für Kunden mit Sitz in der Europäischen Union oder im EWR außerhalb Deutschlands unter https://www.getflip.com/legal/dpa-eu/, für Kunden mit Sitz in den Vereinigten Staaten unter https://www.getflip.com/legal/dpa-us/ und für Kunden mit Sitz im Vereinigten Königreich sowie in sonstigen Staaten außerhalb der Europäischen Union und des EWR unter https://www.getflip.com/legal/dpa-uk/ veröffentlicht.”

Scores citing this record

• The Data Protection Officer Engagement, surveys & onboarding
• The Data Protection Officer Works council, private phones & privacy by design
• The Data Protection Officer European sovereignty
• The Frontline Operations Lead Works council, private phones & privacy by design
• The Frontline Operations Lead Integration, identity & administration
• The Frontline Operations Lead European sovereignty
• The Internal Communications Lead Works council, private phones & privacy by design
• The Internal Communications Lead Integration, identity & administration
• The Internal Communications Lead European sovereignty
• The Microsoft 365 Administrator Works council, private phones & privacy by design
• The Microsoft 365 Administrator Integration, identity & administration
• The Microsoft 365 Administrator European sovereignty
• The Skeptic Works council, private phones & privacy by design
• The Skeptic Integration, identity & administration
• The Skeptic European sovereignty
• The Works Council Member Works council, private phones & privacy by design
• The Works Council Member European sovereignty