Data Processing Agreement (DPA)

This is an unofficial translation.

The original legal text is written in German to meet legal rules in Germany and the EU. This English version was created by AI (GPT) for convenience and is not legally binding. If there are differences between the two, the German version below is the official one.

Data Processing Agreement (DPA)

Data Processing Agreement (DPA) of Gilu AI

between

Customer ("Controller")

and

Gojambel GmbH, Undinestraße 3, 81927 Munich, Germany (hereinafter referred to as the "Processor" or "Gilu AI")

1. Subject and Duration of the Processing

(1) This agreement governs the rights and obligations of the parties in relation to the processing of personal data by the Processor on behalf of the Controller pursuant to Art. 28 GDPR.

(2) The duration of this agreement corresponds to the term of the underlying main contract between the parties.

2. Nature and Purpose of the Processing

Nature of the processing: Storage, analysis, organization, structuring, transmission, and evaluation of prompts, monitoring results, account data, and related customer inputs within the platform.
Purpose of the processing:Operation of the SaaS platform Gilu AI for AI brand visibility monitoring, prompt monitoring, competitor tracking, reporting, account management, and customer communication.

3. Type of Personal Data and Categories of Data Subjects

Types of data: Name, email address, message content, account and billing metadata, technical metadata (e.g., IP address, device type), product usage data, prompts, brand profiles, competitor names, website URLs, AI model responses, citations, analytics, and export data
Data subjects: Customer account users, customer employees and contractors, support contacts, billing contacts, and persons whose names or identifiers may be included by the customer in prompts, monitoring content, brand profiles, or AI responses

4. Obligations of the Processor (Gilu AI)

(1) Process personal data exclusively in accordance with the instructions of the Controller.

(2) Ensure appropriate technical and organizational measures in accordance with Art. 32 GDPR.

(3) Ensure confidentiality of all individuals involved in the processing.

(4) Assist the Controller in fulfilling data subject rights, reporting data breaches, and conducting data protection impact assessments.

(5) Maintain a record of processing activities pursuant to Art. 30(2) GDPR.

(6) Upon termination of the contract: delete or return all personal data (if requested by the Controller).

5. Subprocessors

Gilu AI is entitled to engage subprocessors. A current list of subprocessors is available at https://gilu.ai/subprocessors. The Controller will be informed of significant changes. Objections are only permitted for substantial data protection-related reasons.

Typical subprocessors include, for example:

Hosting and infrastructure providers (e.g., Hetzner)
AI service providers and model routers: OpenRouter and the included model providers currently used through it (OpenAI, Google, Meta, and Perplexity). OpenRouter is not used by us as storage for customer prompts; prompts are transmitted for routing and response generation.
Support tools (e.g., email and logging services)

6. Rights and Obligations of the Controller (Customer)

Responsibility for the lawful processing of data in accordance with Art. 6 and Art. 9 GDPR
Right to issue instructions to the Processor
Right to audit and review compliance with this agreement and implemented measures

7. Technical and Organizational Measures (TOMs)

Gilu AI commits to implementing the measures defined in Art. 32 GDPR. An overview of the measures is available at any time at: https://gilu.ai/toms

8. Final Provisions

(1) This agreement enters into force upon conclusion of the main contract.

(2) In case of conflicts, this DPA shall prevail over the main contract with regard to data protection matters.

(3) Amendments must be made in writing.

(4) German law shall apply. Place of jurisdiction is Munich.

Digital acceptance: This agreement is considered concluded once the customer enters into the SaaS agreement with Gilu AI and accepts this DPA through explicit consent in the order process (e.g., via checkbox). A separate signature is not required.

As of: October 2025

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV) von Gilu AI

Auftragsverarbeitungsvertrag (AVV)

zwischen

Kunde ("Verantwortlicher")

und

Gojambel GmbH, Undinestraße 3, 81927 München, Deutschland (im Folgenden "Auftragsverarbeiter" oder "Gilu AI")

1. Gegenstand und Dauer der Verarbeitung

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags zwischen den Parteien.

2. Art und Zweck der Verarbeitung

Art der Verarbeitung: Speicherung, Analyse, Organisation, Strukturierung, Übermittlung und Auswertung von Prompts, Monitoring-Ergebnissen, Account-Daten und sonstigen kundenseitigen Eingaben innerhalb der Plattform.
Zweck der Verarbeitung: Betrieb der SaaS-Plattform Gilu AI für KI-Brand-Visibility-Monitoring, Prompt-Monitoring, Wettbewerbsanalysen, Reporting, Account-Verwaltung und Kundenkommunikation.

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

Datenarten: Name, E-Mail-Adresse, Nachrichteninhalte, Account- und Abrechnungsmetadaten, technische Metadaten (z.B. IP-Adresse, Gerätetyp), Produktnutzungsdaten, Prompts, Brand Profiles, Wettbewerbernamen, Website-URLs, KI-Modellantworten, Zitierungen, Analysen und Exportdaten
Betroffene Personen: Nutzer des Kundenkontos, Mitarbeiter und Auftragnehmer des Kunden, Support- und Rechnungskontakte sowie Personen, deren Namen oder Kennungen der Kunde in Prompts, Monitoring-Inhalten, Brand Profiles oder KI-Antworten einbezieht

4. Pflichten des Auftragsverarbeiters (Gilu AI)

(1) Verarbeitung personenbezogener Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen.

(2) Gewährleistung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO.

(3) Verpflichtung zur Vertraulichkeit aller mit der Verarbeitung betrauten Personen.

(4) Unterstützung des Verantwortlichen bei Betroffenenrechten, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.

(5) Führung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

(6) Nach Vertragsende: Löschung oder Rückgabe aller personenbezogenen Daten (sofern vom Verantwortlichen angefordert).

5. Unterauftragsverhältnisse

Gilu AI ist berechtigt, Unterauftragsverarbeiter einzusetzen. Eine aktuelle Liste der Unterauftragsverarbeiter ist unter https://gilu.ai/subprocessors abrufbar. Der Verantwortliche wird über wesentliche Änderungen informiert. Widerspruchsrechte bestehen nur aus wichtigem datenschutzrechtlichem Grund.

Typische Unterauftragsverarbeiter sind z. B.:

Hosting- und Infrastruktur-Anbieter (z.B. Hetzner)
AI-Dienstleister und Modell-Router: OpenRouter und die darüber aktuell eingebundenen Modellanbieter (OpenAI, Google, Meta und Perplexity). OpenRouter wird von uns nicht als Speicher für Kunden-Prompts genutzt; Prompts werden zur Weiterleitung und Antwortgenerierung übermittelt.
Support-Tools (z.B. E-Mail- und Logging-Services)

6. Rechte und Pflichten des Verantwortlichen (Kunde)

Verantwortung für die Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6 und Art. 9 DSGVO.
Weisungsrecht gegenüber dem Auftragsverarbeiter.
Prüfung und Kontrolle der Einhaltung dieses Vertrags und der getroffenen Maßnahmen.

7. Technische und organisatorische Maßnahmen (TOMs)

Gilu AI verpflichtet sich zur Umsetzung der in Art. 32 DSGVO genannten Maßnahmen. Ein Überblick über die Maßnahmen ist jederzeit abrufbar unter: https://gilu.ai/toms

8. Schlussbestimmungen

(1) Dieser Vertrag wird mit Abschluss des Hauptvertrags wirksam.

(2) Im Fall von Widersprüchen geht dieser AVV den Regelungen des Hauptvertrags in Bezug auf Datenschutz vor.

(3) Änderungen bedürfen der Schriftform.

(4) Es gilt deutsches Recht. Gerichtsstand ist München.

Digitale Zustimmung: Dieser Vertrag gilt als geschlossen, sobald der Kunde den SaaS-Vertrag mit Gilu AI eingeht und diesen AVV durch explizite Zustimmung im Bestellprozess akzeptiert (z. B. durch Checkbox). Eine separate Unterschrift ist nicht erforderlich.

Stand: Oktober 2025