NálamOneAdatfeldolgozási megállapodás
Ez a megállapodás az (EU) 2016/679 rendelet (GDPR) 28. cikk (3) bekezdése alapján rögzíti, hogyan kezeli a Szolgáltató az Előfizető nevében és utasítására a NálamOne-ban rögzített személyes adatokat. Az ÁSZF elfogadásával jön létre; adatvédelmi kérdésben ez az irányadó.
1. Felek és szerepek
- Adatfeldolgozó (Szolgáltató): Bogdán Ádám egyéni vállalkozó · adószám: 91693668-1-28 · info@cegemone.hu · további adatok: ÁSZF 1. pont
- Adatkezelő (Előfizető): Kovács Építő Kft., amelynek nevében a Tulajdonos a megállapodást elfogadta.
Az Előfizető (munkáltatóként, megbízóként) dönt arról, milyen személyes adatot és milyen célból rögzít a rendszerben, ezért ezekre nézve adatkezelő. A Szolgáltató a rendszert biztosítja és üzemelteti, az adatokat kizárólag az Előfizető utasítása szerint kezeli, ezért adatfeldolgozó.
A Szolgáltató önálló adatkezelő a saját céljaihoz szükséges, szűk adatkörre: a jogi elfogadások naplója (bizonyítás), a biztonsági naplók, valamint a Tulajdonossal való kapcsolattartás és a számlázás adatai. Erről az Adatkezelési tájékoztató szól.
2. Az adatfeldolgozás tárgya, időtartama, jellege és célja
- Tárgy: a NálamOne (eszköznyilvántartás, eszközmozgások, QR-kódos azonosítás, hibajelentés, munkaidő- és szabadság-nyilvántartás) üzemeltetése az Előfizető elkülönített példányában.
- Időtartam: a szerződés fennállása, valamint a megszűnést követő, 8. pont szerinti törlési időszak.
- Jelleg: tárolás, megjelenítés, keresés, rendszerezés, automatikus feldolgozás (pl. képek kicsinyítése, összesítések, e-mail értesítések), mentés, törlés.
- Cél: kizárólag a Szolgáltatás nyújtása az Előfizető részére. A Szolgáltató az adatokat saját célra (marketing, profilalkotás, eladás) nem használja.
3. Érintettek és adatkategóriák
Érintettek: az Előfizető munkatársai és alvállalkozói (Felhasználók), azok a személyek, akiknek eszközt kiadnak „vendégként”, valamint akik a feltöltött fotókon vagy videókon esetleg láthatók.
Adatkategóriák:
- fiókadatok: név, e-mail cím, szerepkör, jelszó (visszafejthetetlen formában), a kétlépcsős azonosítás kulcsa (ha be van kapcsolva);
- munkaidő: napok, kezdés és befejezés, munkanap / szabadság / betegszabadság / ünnep jelölés, megjegyzés, szabadságkérelmek és azok jóváhagyása, éves szabadságkeret;
- eszközök: kinél van, mikor vitte el és hozta vissza, kinek adta át, melyik építkezésen (helyszín, cím) hagyta, megjegyzések; vendég neve;
- hibajelentések: leírás, bejelentő, időpont, fotó és videó;
- technikai adatok: IP cím, böngésző-azonosító, belépési és biztonsági események.
Különleges adat: a betegszabadság ténye egészségügyi adatnak minősülhet. A rendszer csak a tényt rögzíti, okot vagy diagnózist nem; a többi Felhasználónak csak „távol” jelölést mutat. Az Előfizető mint munkáltató ezt a munkajogi kötelezettségei teljesítéséhez kezeli (GDPR 9. cikk (2) b) pont); vállalja, hogy egészségügyi részletet a rendszerben nem rögzít, és erre a Felhasználókat is figyelmezteti.
4. A Szolgáltató kötelezettségei
- Utasításhoz kötöttség. A személyes adatokat kizárólag az Előfizető dokumentált utasítása szerint kezeli. Utasításnak minősül az ÁSZF, a jelen megállapodás, valamint a Szolgáltatásban az Előfizető által elvégzett beállítások és műveletek. Ha egy utasítás megítélése szerint jogszabályba ütközik, erre haladéktalanul figyelmeztet.
- Titoktartás. Az adatokhoz hozzáférő személyek titoktartásra kötelezettek. A Szolgáltató a Tartalomhoz csak hibaelhárítás, támogatás vagy jogszabályi kötelezettség esetén, a szükséges mértékben fér hozzá.
- Biztonság (GDPR 32. cikk). A mellékletben felsorolt technikai és szervezési intézkedéseket alkalmazza.
- Al-adatfeldolgozók. Csak az 5. pont szerinti feltételekkel vesz igénybe további adatfeldolgozót, a jelen megállapodással azonos szintű kötelezettségekkel.
- Érintetti jogok. Segíti az Előfizetőt az érintettek kérelmeinek teljesítésében. Ha érintett közvetlenül a Szolgáltatóhoz fordul, a kérelmet indokolatlan késedelem nélkül továbbítja az Előfizetőnek, és maga csak az Előfizető utasítására teljesíti.
- Segítségnyújtás az adatbiztonság, az adatvédelmi incidensek bejelentése, az adatvédelmi hatásvizsgálat és az előzetes konzultáció terén (GDPR 32–36. cikk).
- Ellenőrzés. Az Előfizető rendelkezésére bocsát minden információt, amely a megállapodás teljesítésének igazolásához szükséges; az Előfizető évente legfeljebb egyszer (vagy incidens után) ellenőrzést kérhet, elsődlegesen írásbeli tájékoztatás útján.
- Nyilvántartás a GDPR 30. cikk (2) bekezdése szerint.
5. Al-adatfeldolgozók
Az Előfizető a megállapodás elfogadásával általános felhatalmazást ad az alábbiak igénybevételére. A körük tervezett változásáról a Szolgáltató legalább 30 nappal előre e-mailben tájékoztat; az Előfizető 30 napon belül indokolással tiltakozhat, és megegyezés hiányában a szerződést a változás hatályba lépéséig rendkívüli felmondással megszüntetheti.
| Szolgáltató | Tevékenység | Helye |
|---|---|---|
| Hetzner Online GmbH (Gunzenhausen, Németország) | Szerver, adatbázis, fájltár, titkosított mentések | EU (Németország / Finnország) |
| Cloudflare, Inc. (San Francisco, USA) | Domain (DNS) és a HTTPS-forgalom továbbítása, támadások elleni védelem: a böngésző és a szerver közötti forgalom rajta halad át | EU / USA (EU–USA adatvédelmi keret, DPF) |
| Google Ireland Ltd. (Dublin, Írország) | Rendszer e-mailek kézbesítése (jelszó beállítása, meghívás, hibajelentés-értesítés) | EU / USA (DPF) |
| jsDelivr (Prospect One sp. z o.o., Lengyelország) és DataTables (SpryMedia Ltd., Egyesült Királyság) | Nyilvános programkönyvtárak (ikonok, táblázatkezelő, QR-olvasó) kiszolgálása a böngészőnek; ehhez csak a böngésző IP címe és technikai adatai jutnak el hozzájuk | EU / Egyesült Királyság (megfelelőségi határozat) |
6. Harmadik országba továbbítás
Az adatok tárolása az Európai Unióban történik. A Cloudflare és a Google esetében az adatok az Egyesült Államokban is feldolgozásra kerülhetnek; erre az EU–USA adatvédelmi keretről (Data Privacy Framework) szóló bizottsági határozat, illetve az általános adatvédelmi kikötések (SCC) nyújtanak garanciát.
7. Adatvédelmi incidens
A Szolgáltató a Tartalmat érintő adatvédelmi incidensről indokolatlan késedelem nélkül, legkésőbb a tudomásszerzéstől számított 48 órán belül értesíti az Előfizetőt a Tulajdonos e-mail címén: az incidens jellegéről, az érintettek és adatok becsült köréről, a valószínű következményekről és a megtett vagy javasolt intézkedésekről. A hatóság és az érintettek felé a bejelentés az Előfizető feladata; ebben a Szolgáltató közreműködik.
8. Az adatok sorsa a szerződés megszűnésekor
- Átadás: az Előfizető kérésére a Szolgáltató a Tartalmat (adatbázis és fájlok) a törlésig géppel olvasható formában átadja.
- Törlés: a megszűnést követő 30 napon belül a Szolgáltató az Előfizetői környezetet véglegesen törli, kivéve, ha jogszabály hosszabb megőrzést ír elő, vagy az Előfizető írásban korábbi törlést kér.
- Megőrzés kérésre: ha az Előfizető a megszűnésig írásban kéri, a környezet törlés helyett felfüggesztve, legfeljebb 12 hónapig megmarad (GDPR 28. cikk (3) g) szerinti utasítás). Ez alatt senki nem fér hozzá; kérésre bármikor törölhető vagy új előfizetéssel visszaállítható. A megőrzött adatok jogszerűségéért az Előfizető felel.
- Mentések: a napi helyi mentések legfeljebb 14 napig, a titkosított külső mentések legfeljebb 12 hónapig maradnak meg, ezután automatikusan törlődnek. Mentésből visszaállítás csak katasztrófa-helyreállítás céljából történik.
9. Felelősség, egyéb rendelkezések
A felek felelősségére az ÁSZF és a GDPR 82. cikke irányadó. Ellentmondás esetén adatvédelmi kérdésben a jelen megállapodás az irányadó. A megállapodásra a magyar jog vonatkozik. Érdemi módosításnál a Szolgáltató új verziót ad ki, és ismételt elfogadást kér a Tulajdonostól.
10. Elfogadás
A megállapodást az Előfizető nevében a Tulajdonos fogadja el az első bejelentkezéskor, jelölőnégyzettel. Az elfogadás időpontját, az elfogadót, a verziót, a hálózati címet és a böngésző azonosítóját a Szolgáltatás naplózza, és kérésre az Előfizető rendelkezésére bocsátja.
Melléklet: technikai és szervezési intézkedések
- Elkülönítés: minden Előfizető külön alkalmazáspéldányt, külön adatbázist és fájltárat kap.
- Titkosított kapcsolat: a Szolgáltatás kizárólag HTTPS-en érhető el.
- Hozzáférés-védelem: jelszavak visszafejthetetlen tárolása, ismételt hibás belépésnél ideiglenes zárolás, szerepkörök (admin, felhasználó), lejáró jelszóbeállító linkek, kétlépcsős azonosítás az adminoknak (kérhető).
- Adattakarékosság: a feltöltött fotók kicsinyítve, a helyadatokat is tartalmazó metaadatok (EXIF) nélkül tárolódnak (a videók eredeti formában); a lezárt hibajegyek fotói és videói 90 nap után törlődnek; a betegszabadság ténye a többi Felhasználónak csak „távol” jelölésként látszik; a QR-kód beolvasásakor a kamera képe a Felhasználó készülékén marad.
- Üzemeltetési végpontok: a belső végpontok időbélyeges HMAC-aláírással védettek.
- Mentés és helyreállítás: napi helyi mentés és óránkénti, titkosított külső mentés az EU-ban; dokumentált helyreállítási eljárás.
- Frissítések: biztonsági frissítések rendszeres, szükség esetén azonnali telepítése.
- Szervezeti: a Szolgáltató csak a szükséges mértékben, hibaelhárítás vagy támogatás céljából fér hozzá az adatokhoz, és titoktartásra köteles.