Adatfeldolgozási megállapodás

A GDPR 28. cikk (3) bekezdése szerinti szerződés

Ez a megállapodás az ÁSZF része, annak elfogadásával, külön aláírás nélkül jön létre, és elektronikus formában is érvényes (GDPR 28. cikk (9) bekezdés). A személyes adatok kezelése tekintetében megelőzi az ÁSZF egyéb rendelkezéseit. Az ÁSZF fogalmai itt is irányadók.

1.Felek és szerepek

1.1 Adatkezelő: az Előfizető, az Előfizetői Adatokban szereplő személyes adatok tekintetében. Adatfeldolgozó: Sziráki Márton e.v. (2141 Csömör, Középhegy utca 14.; adószám: 92221338-2-33), a továbbiakban: Szolgáltató.

1.2 Nem tartozik e megállapodás alá az az adatkezelés, amelynek a Szolgáltató maga az adatkezelője (az előfizetői fiók és a díjszámlázás adatai, a weboldal látogatása, a visszaélés-védelem, valamint a DCA Ügynök feltételei 2. pontja szerinti eszköztámogatás-fejlesztés). Ezekről az Adatkezelési tájékoztató szól.

1.3 Az Előfizető által csatlakoztatott szolgáltatások (például Billingo, Számlázz.hu) az Előfizetővel állnak szerződésben, és nem a Szolgáltató alfeldolgozói. Az Előfizető utasítja a Szolgáltatót, hogy a beállításai szerint adatot továbbítson ezeknek a szolgáltatásoknak és adatot fogadjon tőlük. A megérkezett adat további kezelésére az Előfizető és az adott szolgáltató közötti jogviszony irányadó.

2.A feldolgozás tárgya

A feldolgozás tárgyát, jellegét, célját, időtartamát, az érintettek és az adatok kategóriáit e megállapodás végén található Melléklet tartalmazza.

3.A Szolgáltató kötelezettségei

A Szolgáltató:

a) az Előfizetői Adatokat kizárólag az Előfizető dokumentált utasítása alapján kezeli. Utasításnak minősül a szerződés, a Szolgáltatás funkcióinak használata és beállítása (ideértve a felületen tett nyilatkozatokat, az ügyfélportál-hozzáférések kiosztását és az integrációk bekötését), valamint az Előfizető írásbeli utasítása. Harmadik országba továbbítás is csak utasításra vagy uniós, illetve tagállami jogi kötelezettség alapján történik; ilyen kötelezettségről a Szolgáltató előzetesen értesít, kivéve, ha azt a jog fontos közérdekből tiltja;

b) haladéktalanul jelzi, ha megítélése szerint valamely utasítás jogszabályba ütközik, és a nyilvánvalóan jogsértő utasítás végrehajtását felfüggesztheti;

c) biztosítja, hogy az adatokhoz hozzáférő személyek titoktartásra kötelezettek; munkatársai az Előfizető adataiba csak az Előfizető kérésére, hibaelhárítás céljából, a szükséges mértékben tekintenek be;

d) az Adatbiztonság és adatmegőrzés oldalon leírt technikai és szervezési intézkedéseket alkalmazza (GDPR 32. cikk). Ezeket a technika fejlődésével frissítheti, a védelem szintjét azonban nem csökkentheti;

e) az 5–8. pont szerint segítséget nyújt, a 9. pont szerint törli vagy visszaadja az adatokat, és a 10. pont szerint lehetővé teszi az ellenőrzést;

f) vezeti a GDPR 30. cikk (2) bekezdése szerinti nyilvántartást.

4.Adattovábbítás harmadik országba

4.1 Az Előfizetői Adatokat a Szolgáltató elsődlegesen az Európai Unióban tárolja és dolgozza fel. Harmadik országot érintő feldolgozás csak az Alfeldolgozói jegyzékben megjelölt alfeldolgozóknál, az ott megjelölt garanciákkal (az Európai Bizottság általános szerződési feltételei, illetve az EU–USA adatvédelmi keret szerinti tanúsítás) történik.

4.2 Ha valamely garancia érvényét veszti, a Szolgáltató haladéktalanul más garanciát alkalmaz vagy az érintett feldolgozást felfüggeszti, és erről értesíti az Előfizetőt.

5.Érintetti kérelmek

5.1 A Szolgáltató a feldolgozás jellegéhez igazodó eszközökkel segíti az Előfizetőt az érintetti kérelmek megválaszolásában: a Szolgáltatás kereső-, export- és törlési funkcióival, egyedi esetben a privacy@printerms.com címen.

5.2 Ha egy érintett az Előfizetői Adatokkal kapcsolatos kérelemmel közvetlenül a Szolgáltatóhoz fordul, a Szolgáltató a kérelmet legkésőbb 5 munkanapon belül továbbítja az Előfizetőnek, és azt érdemben nem válaszolja meg, kivéve, ha erre az Előfizető utasította vagy jogszabály kötelezi.

6.Alfeldolgozók

6.1 Az Előfizető általános felhatalmazást ad az Alfeldolgozói jegyzékben felsorolt alfeldolgozók igénybevételére. A jegyzék e megállapodás része.

6.2 Új alfeldolgozó bevonásáról vagy alfeldolgozó cseréjéről a Szolgáltató legalább 30 nappal korábban, e-mailben és a jegyzék frissítésével értesíti az Előfizetőt. Ha a csere a Szolgáltatás biztonsága vagy folyamatossága érdekében halaszthatatlan, és a feldolgozás a jegyzékben már szereplő alfeldolgozóhoz kerül át, a Szolgáltató a 30 napos határidő kivárása nélkül is eljárhat, de az értesítést ilyenkor is a csere előtt küldi meg; az Előfizető 6.3 pont szerinti jogai változatlanul megilletik.

6.3 Az Előfizető az értesítéstől számított 30 napon belül adatvédelmi okból, indokolással kifogást emelhet. Ilyenkor a felek egyeztetnek. Ha nincs észszerű megoldás, az Előfizető az érintett szolgáltatásrészt vagy a szerződést díjmentesen felmondhatja; az előre megfizetett, fel nem használt díj időarányos része visszajár.

6.4 A Szolgáltató az alfeldolgozókra e megállapodással legalább egyenértékű adatvédelmi kötelezettségeket telepít, és az alfeldolgozók teljesítéséért úgy felel, mintha maga járt volna el (GDPR 28. cikk (4) bekezdés).

6.5 Alfeldolgozó kivezetésekor a Szolgáltató a nála maradt Előfizetői Adatokat a kivezetéstől számított legfeljebb 90 napon belül törölteti; a kivezetés alatt álló alfeldolgozót a jegyzék a törlésig feltünteti.

7.Adatvédelmi incidens

7.1 A Szolgáltató az Előfizetői Adatokat érintő adatvédelmi incidensről indokolatlan késedelem nélkül, lehetőleg a tudomására jutástól számított 48 órán belül értesíti az Előfizetőt.

7.2 Az értesítés, akár több részletben, tartalmazza az incidens jellegét, az érintett adat- és érintetti kört, a valószínű következményeket, a megtett és tervezett intézkedéseket, valamint a kapcsolattartót. A Szolgáltató dokumentálja az incidenst, és együttműködik az Előfizetővel a GDPR 33–34. cikke szerinti kötelezettségek teljesítésében. A hatósági és érintetti bejelentésről az Előfizető dönt. Az értesítés nem jelenti a felelősség elismerését.

8.Segítség a GDPR 32–36. cikkéhez

A Szolgáltató a rendelkezésére álló információkkal segíti az Előfizetőt az adatbiztonsággal, az incidenskezeléssel, az adatvédelmi hatásvizsgálattal és az előzetes konzultációval kapcsolatos kötelezettségeiben; ehhez e megállapodás és az Adatbiztonság és adatmegőrzés oldal is felhasználható.

9.Megőrzés, visszaadás és törlés

9.1 Üzleti nyilvántartások. Az Előfizető üzleti nyilvántartásait (ügyfelek, beszállítók, telephelyek, nyomtatók, szerződések és díjszabások, mérőállások, számlák és bevételi adatok, alkatrészek és készlet, szerviznapló, aláírt munkalapok, Felhasználók) a Szolgáltató a fiók fennállásáig megőrzi, kivéve, ha azokat az Előfizető korábban törli.

9.2 Műszaki és üzemi adatok. Az egyéb adatokat (például a nyers e-maileket és eszközbeküldéseket, az eszközállapot-, kellékszint- és riasztási előzményeket, a lezárt hibabejelentéseket, a feltöltött forrásfájlokat és a naplókat) a Szolgáltató legfeljebb az Adatbiztonság és adatmegőrzés oldalon megadott ideig őrzi meg, majd automatikusan törli. A megőrzési idő rövidítését a Szolgáltató legalább 30 nappal a hatálybalépés előtt az oldalon közzéteszi és e-mailben is jelzi; meghosszabbítása az ÁSZF 16.3 pontja szerinti módosításnak minősül.

9.3 Díjcsomag-váltás. A Díjcsomag megváltoztatása, fizetős funkció lemondása vagy egy nyomtató monitorozásának leállítása nem szünteti meg a feldolgozást; a már gyűjtött adatok az aktív fiók részeként megmaradnak.

9.4 Megszűnés és fióktörlés. A szerződés megszűnése után az Előfizető legalább 30 napig exportálhatja az adatait (ÁSZF 15.4 pont). Ennek lejártával, illetve a felületen kezdeményezett fióktörlés 30 napos türelmi idejének elteltével a Szolgáltató az Előfizetői Adatokat véglegesen törli, kivéve, ha uniós vagy tagállami jog további megőrzést ír elő.

9.5 Mentések. A törölt adatok a mentésekből az Adatbiztonság és adatmegőrzés oldalon megadott mentési megőrzési idő alatt törlődnek. A mentésekhez a Szolgáltató csak helyreállítás és annak ellenőrzése céljából fér hozzá; helyreállítás után a korábbi törléseket haladéktalanul ismételten végrehajtja.

9.6 A törlés megtörténtéről a Szolgáltató kérésre írásban nyilatkozik.

10.Ellenőrzés

10.1 A Szolgáltató a megfelelés igazolásához rendelkezésre bocsátja a szükséges információkat, így az Adatbiztonság és adatmegőrzés oldal tartalmát, az Alfeldolgozói jegyzéket és az infrastruktúra-szolgáltatók tanúsításait.

10.2 Ha ez nem elegendő, az Előfizető naptári évente egyszer, legalább 30 nappal előre bejelentve, titoktartás mellett, maga vagy a Szolgáltató versenytársának nem minősülő auditor útján ellenőrzést végezhet, a Szolgáltató működését legkevésbé zavaró módon és saját költségén. Más előfizetők adatai és a Szolgáltató üzleti titkai nem ismerhetők meg. Hatósági vizsgálat vagy igazolt incidens után az évi egy alkalom korlátja nem érvényes.

11.Felelősség

E megállapodásból eredő igényekre az ÁSZF felelősségi szabályai irányadók, amennyiben jogszabály kógens rendelkezése ettől eltérést nem követel. A felek egymás közötti, a GDPR 82. cikk (5) bekezdése szerinti, a felelősség tényleges megoszlásán alapuló visszkereseti igényére az ÁSZF 9.2 pontja szerinti korlát vonatkozik, a 9.3 pontja szerinti kizárás nem. Ez nem érinti az érintettek GDPR 82. cikke szerinti igényeit.

12.Záró rendelkezések

12.1 E megállapodás a szerződés tartamára és a 9. pont szerinti időszakra szól.

12.2 Módosítására az ÁSZF 16. pontja, az Alfeldolgozói jegyzék frissítésére a 6. pont, az Adatbiztonság és adatmegőrzés oldal frissítésére a 3. d) és a 9.2 pont irányadó. A GDPR kógens rendelkezéseit érintő változás a jogszabállyal összhangban lép hatályba.

Melléklet: a feldolgozás leírása

Tárgy és időtartam: a PrinterMS Szolgáltatás nyújtása az Előfizető részére, a szerződés tartama alatt és a 9. pont szerinti törlésig.

Jelleg: tárolás, rendszerezés, lekérdezés és megjelenítés; adatgyűjtés az Előfizető eszközeiről (DCA Ügynök) és e-mail-jelentéseiből; számítás (díj- és bevételszámítás); továbbítás az Előfizető utasítására (Számlázószolgáltatók, értesítő e-mailek, ügyfélportál); mesterséges intelligencián alapuló adatkinyerés emberi jóváhagyással; mentés és törlés.

Cél: a Szolgáltatás nyújtása az ÁSZF és a Dokumentáció szerint.

Az érintettek kategóriái:

• az Előfizető ügyfeleinek és beszállítóinak kapcsolattartói, valamint egyéni vállalkozó ügyfelei és beszállítói;
• az Előfizető Felhasználói, a Szolgáltatásban rögzített tevékenységük körében;
• az Előfizető által meghívott ügyfélportál-felhasználók;
• a nyilvános QR-hibabejelentő bejelentői;
• a szerviz-munkalapokat aláíró személyek;
• az eszköz-e-mailek feladói és az Előfizető által szabad szövegben rögzített egyéb személyek.

A személyes adatok kategóriái:

• azonosító és kapcsolattartási adatok (név, e-mail-cím, telefonszám, cím, adószám);
• szerződéses, díj- és számlaadatok, valamint a feltöltött dokumentumok (például bejövő számlák) tartalma;
• hibabejelentések és ügyfélportál-tevékenység;
• aláírt munkalapok: az aláíró neve, normalizált aláírásvonal (biometrikus sablon nélkül), a nyilatkozat szövege és időpontja;
• eszköz- és hálózati adatok, amelyek a környezettől függően személyes adatnak minősülhetnek (IP-cím, gépnév, eszközüzenetek);
• e-mailek tartalma és metaadatai, szabad szöveges mezők, naplóadatok.

Különleges adat: a Szolgáltatás rendeltetése szerint nem kezel különleges adatot; az Előfizető ilyet nem rögzít.

Megőrzés, biztonsági intézkedések, alfeldolgozók: a 9. pont, az Adatbiztonság és adatmegőrzés oldal és az Alfeldolgozói jegyzék szerint.