Adatfeldolgozói feltételek (DPA)
A GDPR 28. cikke szerinti feltételek az Előfizető (adatkezelő) és a Szolgáltató (adatfeldolgozó) között.
Az Általános Szerződési Feltételek 1. sz. melléklete.
1. A felek
Adatkezelő: az Előfizető — az a vállalkozás, amely a MostFoglalok rendszerben foglalóoldalt üzemeltet.
Adatfeldolgozó: Bánusz Péter Levente ev. egyéni vállalkozó (Craftzone IT Solutions), székhely: 2053 Herceghalom, Gesztenyés út 32., adószám: 92122662-1-33, e-mail: info@mostfoglalok.hu.
1.1 A jelen feltételek az Általános Szerződési Feltételek (ÁSZF) elválaszthatatlan mellékletét képezik. Az Előfizető a regisztrációval ezeket kifejezetten elfogadja; az elfogadás tényét, időpontját, a DPA verzióazonosítóját és az elfogadáskor megjelenített nyilatkozatszöveget a rendszer rögzíti (ÁSZF 3.2).
1.2 Elsőbbség: a személyes adatok kezelését illetően a jelen DPA rendelkezései irányadók; eltérés esetén a DPA megelőzi az ÁSZF-et.
2. Az adatfeldolgozás tárgya és időtartama
(GDPR 28. cikk (3) — az adatkezelés tárgya és időtartama)
Tárgy: a MostFoglalok online időpontfoglaló rendszer üzemeltetése, és ennek keretében az Adatkezelő Vendégei személyes adatainak feldolgozása.
Időtartam: a Felek közötti szolgáltatási szerződés hatálya alatt, valamint az annak megszűnését követő, a 10. pont szerinti időszakban.
3. Az adatkezelés jellege és célja
(GDPR 28. cikk (3) — az adatkezelés jellege és célja)
Az Adatfeldolgozó az adatokat kizárólag az alábbi célokból kezeli:
- foglalások fogadása, tárolása, módosítása, lemondása;
- automatikus visszaigazoló, emlékeztető és lemondó e-mailek küldése a Vendégeknek az Adatkezelő nevében;
- marketing célú (vélemény-kérő, utánkövető) levél küldése az Adatkezelő nevében, kizárólag a hozzájárult Vendégeknek (lásd 5.11);
- az Adatkezelő által feltöltött vendéglista tárolása és kezelése;
- a foglalás-tiltási lista kezelése az Adatkezelő rendelkezése szerint;
- az Adatkezelő értesítése az új és lemondott foglalásokról;
- a foglalások kiírása az Adatkezelő által kifejezetten összekötött Google Naptárba (opcionális — csak ha az Adatkezelő bekapcsolja; lásd a 4. és a 6.2 pontot): lemondáskor az esemény törlése, a Vendég adatainak törlésekor (anonimizálásakor) a személyes adat eltávolítása az eseményből;
- a kiküldött levelek kézbesítésének technikai ellenőrzése (megnyitási és kattintási visszajelzés a levélküldő rendszerében — lásd a 4. pontot és az Adatvédelmi tájékoztató 3.1 pontját);
- a foglalási adatok megjelenítése az Adatkezelő adminisztrációs felületén (naptár, vendéglista, statisztika);
- adatmentés, üzemeltetés, hibaelhárítás, biztonsági védelem.
Az Adatfeldolgozó az adatokat saját céljára nem használja fel — különösen nem elemzi, nem profilozza, nem értékesíti, és nem használja saját marketingjéhez.
4. A személyes adatok típusai és az érintettek köre
(GDPR 28. cikk (3) — a személyes adatok típusa, az érintettek kategóriái)
Érintettek: az Adatkezelő Vendégei (természetes személyek, akik az Adatkezelő foglalóoldalán időpontot foglalnak, vagy akiket az Adatkezelő a rendszerbe felvett).
Kezelt adatok:
| Adat | Forrás |
|---|---|
| Név | a Vendég adja meg foglaláskor, vagy az Adatkezelő rögzíti |
| E-mail cím | ua. |
| Telefonszám (ha megadták) | ua. |
| Foglalás időpontja, szolgáltatás, munkatárs | a foglalási folyamat |
| Az adatkezelési hozzájárulás időpontja | a foglalási folyamat |
| A marketing-hozzájárulás időpontja, IP-címe, szövegverziója | a foglalási folyamat |
| A foglaláshoz fűzött megjegyzés | az Adatkezelő rögzíti |
| Lemondás ténye, időpontja, indoka; meg nem jelenés jelölése | a rendszer / az Adatkezelő |
| Foglalás-tiltási bejegyzés (elérhetőség, indoklás, lejárat) | az Adatkezelő rögzíti |
| A kiküldött levél megnyitásának és a benne lévő hivatkozás megnyitásának ténye, időpontja, IP-címe, a levelezőprogram/böngésző azonosítója | a levélküldő rendszere (lásd 6.2 és az Adatvédelmi tájékoztató 3.1) |
| A Google Naptárba kiírt esemény: a Vendég neve és telefonszáma, a szolgáltatás, a munkatárs, az időpont, a foglalás azonosítója — csak ha az Adatkezelő összeköti a Google Naptárát; a Vendég e-mail címe és a megjegyzés nem kerül át | a rendszer, az Adatkezelő utasítására (lásd 6.2) |
Különleges adat. A megjegyzés-mező szabadszöveges. Ha az Adatkezelő abba egészségügyi vagy más, a GDPR 9. cikke szerinti különleges adatot ír, azért az Adatkezelő felel: neki kell megfelelő jogalapot biztosítania (GDPR 9. cikk (2)). Az Adatfeldolgozó a felületen figyelmeztetést jelenít meg, de a tartalmat nem ellenőrzi és nem szűri. Az Adatfeldolgozó szolgáltatása nem különleges adatok kezelésére készült.
5. Az adatfeldolgozó kötelezettségei
(GDPR 28. cikk (3) a)–h) pont — ez a szakasz követi a törvényi felsorolást)
5.1 Utasítás szerinti adatkezelés. Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő írásbeli utasításai alapján kezeli. A rendszer rendeltetésszerű használata (a felületen elvégzett műveletek, a beállítások) az Adatkezelő utasításának minősül.
Ha az Adatfeldolgozót uniós vagy tagállami jog kötelezi adatkezelésre, erről az adatkezelést megelőzően tájékoztatja az Adatkezelőt, kivéve, ha ezt a jog fontos közérdekből tiltja.
5.2 Jogellenes utasítás. Ha az Adatfeldolgozó megítélése szerint az Adatkezelő utasítása jogszabályt sért, erre haladéktalanul felhívja a figyelmét, és az utasítás végrehajtását megtagadhatja.
5.3 Titoktartás. Az Adatfeldolgozó biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség terheli őket. Az adatokhoz jelenleg kizárólag az Adatfeldolgozó személyesen fér hozzá; alkalmazott vagy közreműködő bevonása esetén a titoktartást írásban kell kikötni.
5.4 Biztonsági intézkedések (GDPR 32. cikk). Az Adatfeldolgozó a kockázat mértékéhez igazodó technikai és szervezési intézkedéseket alkalmaz — részletesen a 2. sz. mellékletben.
5.5 További adatfeldolgozók. Lásd a 6. pontot.
5.6 Segítségnyújtás az érintetti jogok teljesítéséhez. Az Adatfeldolgozó a rendelkezésére álló eszközökkel segíti az Adatkezelőt abban, hogy az érintettek kérelmeit (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) teljesíteni tudja.
5.7 Ha a Vendég az Adatfeldolgozóhoz fordul. Ha érintetti kérelem közvetlenül az Adatfeldolgozóhoz érkezik, azt önállóan nem bírálja el: haladéktalanul továbbítja az érintett Adatkezelőnek, és erről a Vendéget tájékoztatja.
5.8 Adatvédelmi incidens. Az Adatfeldolgozó a tudomásszerzést követően indokolatlan késedelem nélkül, de legkésőbb 48 munkaidős órán belül értesíti az Adatkezelőt, megadva legalább: az incidens jellegét, az érintettek és az adatok hozzávetőleges körét, a valószínű következményeket, és a megtett vagy tervezett intézkedéseket.
5.8.1 Kiemelt incidens — gyorsított eljárás. Ha az incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve (GDPR 34. cikk (1)), az Adatfeldolgozó az értesítést naptári órákban mérve, haladéktalanul, de legkésőbb 24 órán belül teljesíti — munkaidőn, munkanapon és hivatalos ünnepnapon kívül is. Ilyen esetben az Adatfeldolgozó a hiányos értesítést is haladéktalanul megküldi, és az adatokat a vizsgálat előrehaladásával részletekben pótolja; az értesítés nem várhat a teljes tényállás felderítésére.
5.9 Segítségnyújtás a GDPR 32–36. cikk szerinti kötelezettségekhez. Az Adatfeldolgozó segíti az Adatkezelőt az adatbiztonsági, incidenskezelési és adatvédelmi hatásvizsgálati kötelezettségek teljesítésében, a rendelkezésére álló információk körében.
5.10 Ellenőrzés és auditálás. Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikknek való megfelelés igazolásához szükséges, és lehetővé teszi az Adatkezelő vagy az általa megbízott auditor által végzett ellenőrzést az alábbi keretek között:
- az ellenőrzés naptári évente legfeljebb egy alkalommal, 30 napos előzetes írásbeli értesítést követően, munkaidőben végezhető;
- az ellenőrzés nem zavarhatja indokolatlanul az üzletmenetet, és nem terjedhet ki más előfizetők adataira;
- az auditor köteles titoktartási kötelezettséget vállalni;
- az ellenőrzés költségeit az Adatkezelő viseli, kivéve, ha az ellenőrzés az Adatfeldolgozónak felróható, súlyos jogsértést tár fel;
- adatvédelmi incidenst követően, valamint ha jogszabály vagy felügyeleti hatóság írja elő, az ellenőrzés a fenti gyakorisági korláttól függetlenül lefolytatható.
5.11 A marketing-levelek technikai kapuja. Az Adatfeldolgozó technikailag kikényszeríti, hogy marketing célú levél kizárólag olyan Vendégnek menjen ki, aki ahhoz kifejezetten hozzájárult, és aki a hozzájárulását nem vonta vissza. A leiratkozás azonnal hatályba lép, és csak az adott Adatkezelőre vonatkozik. Az Adatfeldolgozó a hozzájárulás bizonyíthatóságához szükséges adatokat (időpont, IP-cím, szövegverzió) rögzíti, és a hozzájárulási szöveg korábbi változatait megőrzi. Az Adatkezelő ezt a kaput nem kerülheti meg, és a hozzájárulást a Vendég helyett nem adhatja meg.
5.12 A foglalás-tiltási lista. A bejegyzések határozott idejűek (legfeljebb 1 év), indoklás megadásához kötöttek, és lejáratukkor a rendszer automatikusan törli őket. A bejegyzés jogszerűségéért és arányosságáért — ideértve a jogos érdeken alapuló adatkezelés követelményeit — az Adatkezelő felel.
6. További adatfeldolgozók (alvállalkozók)
6.1 Általános felhatalmazás. Az Adatkezelő általános jelleggel felhatalmazza az Adatfeldolgozót további adatfeldolgozók igénybevételére, a jelen pont feltételei szerint.
6.2 Jelenlegi további adatfeldolgozók (1. sz. melléklet):
| Név | Feladat | Székhely | Mit lát |
|---|---|---|---|
| Bánusz Péter Levente ev. — 2053 Herceghalom, Gesztenyés út 32. | szerver-infrastruktúra, tárolás | Magyarország | a teljes adatállomány |
| Sendinblue SAS (kereskedelmi nevén Brevo) — 9-17 rue Salneuve, 75017 Párizs, Franciaország; RCS Paris 498 019 298 | e-mail-kézbesítés, és a kézbesítés technikai visszajelzése (megnyitás, kattintás) | Európai Unió (a szolgáltató nyilvános tájékoztatása szerint franciaországi, németországi, belgiumi és írországi adatközpontok) | a kimenő e-mailek tartalma és címzettje, valamint a megnyitási és kattintási adatok |
| Google Ireland Limited — Gordon House, Barrow Street, Dublin 4, Írország; cégjegyzékszám: 368047 (az Európai Gazdasági Térségben a Google-szolgáltatások nyújtója; anyavállalata a Google LLC, USA) | a foglalások kiírása az Adatkezelő által kifejezetten összekötött Google Naptárba — csak ha az Adatkezelő a funkciót bekapcsolja (opcionális) | Írország (EU); a Google-csoport az adatokat az EGT-n kívül, így az Egyesült Államokban is kezelheti (lásd 7.) | a Vendég neve és telefonszáma, a szolgáltatás és a munkatárs neve, a foglalás időpontja és azonosítója — a Vendég e-mail címe és a megjegyzés nem |
6.3 Változás. Új további adatfeldolgozó bevonásáról vagy cseréjéről az Adatfeldolgozó legalább 30 nappal korábban, e-mailben értesíti az Adatkezelőt. Az Adatkezelő a változással szemben ezen belül, indokolással kifogást emelhet; ha a Felek nem jutnak megállapodásra, az Adatkezelő a szolgáltatási szerződést rendkívüli felmondással megszüntetheti.
6.4 Felelősség. Az Adatfeldolgozó a további adatfeldolgozó tevékenységéért úgy felel, mintha maga járt volna el, és köteles velük a jelen DPA-val egyenértékű kötelezettségeket írásban kikötni.
7. Harmadik országba történő adattovábbítás
Az Adatfeldolgozó maga nem továbbít személyes adatot az Európai Gazdasági Térségen kívülre, és a 6.2 pontban felsorolt további adatfeldolgozók — a Google kivételével, lásd lent — az adatokat az Európai Unión belül kezelik.
Google Naptár-szinkron (opcionális). Ha az Adatkezelő összeköti a Google Naptárát, a foglalások 6.2 pont szerinti adatai a Google rendszerébe kerülnek, amely az adatokat az Európai Gazdasági Térségen kívül, így az Amerikai Egyesült Államokban is kezelheti. Ilyen esetben az adattovábbításra kizárólag a GDPR V. fejezete szerinti megfelelő garanciák (az EU–USA adatvédelmi keret szerinti tanúsítás, illetve az Európai Bizottság által elfogadott általános szerződési feltételek) mellett kerülhet sor, a Google saját adatfeldolgozási feltételei szerint. Ha az Adatkezelő a funkciót nem kapcsolja be, ilyen továbbítás nem történik.
A 6.2 pont szerinti levélküldő saját alvállalkozói — elsősorban ügyfélszolgálati és technikai támogatási célból — az Európai Gazdasági Térségen kívül is letelepedhetnek. Ilyen esetben az adattovábbításra kizárólag a GDPR V. fejezete szerinti megfelelő garanciák mellett kerülhet sor (az Európai Bizottság által elfogadott általános szerződési feltételek, illetve az EU–USA adatvédelmi keret), amelyeket a levélküldő saját adatfeldolgozói megállapodása rögzít. Az Adatfeldolgozó ezt a megállapodást az Adatkezelő kérésére rendelkezésre bocsátja.
A levélküldő alvállalkozói két, élesen elkülönülő csoportba esnek:
| Csoport | Hol | Mit csinál |
|---|---|---|
| Tárhely és kézbesítés | Európai Unió (Franciaország, Németország, Belgium, Írország) | a levelek és a hozzájuk tartozó adatok tárolása és kiküldése |
| Ügyfélszolgálat és csoporton belüli technikai támogatás | Egyesült Államok, India, Kanada | hibaelhárítás, terméktámogatás — nem a kézbesítés |
Az EGT-n kívüli csoportra az általános szerződési feltételek vonatkoznak. A mindenkori, teljes és naprakész alvállalkozói lista a levélküldő adatfeldolgozói megállapodásának mellékletében található.
Ha az Adatfeldolgozó saját maga válna EGT-n kívüli továbbítás kezdeményezőjévé, arra kizárólag a fenti garanciák mellett, és az Adatkezelő előzetes tájékoztatása mellett kerülhet sor.
8. Az adatkezelő kötelezettségei
8.1 Az Adatkezelő szavatolja, hogy a Vendégek személyes adatainak kezeléséhez megfelelő jogalappal rendelkezik, és a Vendégeket a GDPR 13–14. cikke szerint tájékoztatta — ideértve azt is, hogy az adatokat az Adatfeldolgozó rendszerében kezelik.
8.2 Az Adatkezelő felel a rendszerbe általa bevitt adatok jogszerűségéért és pontosságáért, különösen:
- a szabadszöveges megjegyzés-mező tartalmáért (lásd 4. pont);
- az általa feltöltött vendéglista jogszerűségéért és az érintettek tájékoztatásáért;
- a foglalás-tiltási bejegyzések jogszerűségéért és arányosságáért.
8.3 Az Adatkezelő köteles a hozzáférési adatait (jelszó) biztonságosan kezelni, és a felhasználói jogosultságokat naprakészen tartani.
8.4 Az Adatkezelő haladéktalanul értesíti az Adatfeldolgozót, ha tudomására jut, hogy a rendszerben kezelt adatokkal kapcsolatban incidens történt.
8.5 Az Adatkezelő az érintettek kérelmeit maga bírálja el, és — ahol a felület erre módot ad — maga is teljesíti (export, anonimizálás).
9. Felelősség
9.1 A Felek a GDPR 82. cikke szerint felelnek. Az érintettekkel szemben fennálló, a GDPR 82. cikkén alapuló felelősséget a jelen DPA és az ÁSZF nem korlátozza és nem zárja ki.
9.2 A Felek egymás közötti viszonyában: az Adatfeldolgozó az általa okozott kárért felel; az Adatkezelő utasításából, a jogalap hiányából, a Vendégek nem megfelelő tájékoztatásából vagy a 8. pont szerinti kötelezettségek megszegéséből eredő igényekért az Adatkezelő tartozik helytállni, és köteles az Adatfeldolgozót az ilyen igények alól mentesíteni.
9.3 Az ÁSZF 14.3 pontja szerinti kártérítési felelősségkorlátozás a Felek egymás közötti viszonyában irányadó, a 9.1 pontban foglalt korlátozás figyelembevételével, és nem érinti az ÁSZF 14.4 pontjában felsorolt kivételeket.
10. Az adatok sorsa a szerződés megszűnésekor
(GDPR 28. cikk (3) g))
10.1 A szolgáltatási szerződés megszűnését követően az Adatfeldolgozó az adatokat 30 napig megőrzi, hogy az Adatkezelő azokat exportálni tudja.
10.2 Ezt követően az Adatfeldolgozó a személyes adatokat törli vagy anonimizálja, kivéve, ha megőrzésüket uniós vagy tagállami jog írja elő (különösen a számviteli bizonylatokra vonatkozó megőrzési kötelezettség, amely azonban nem a Vendégek adataira vonatkozik).
10.3 Az Adatkezelő fiókjának törlésekor a jelen DPA hatálya alá tartozó valamennyi adatkör — ideértve a hozzájárulási szövegek archívumát és a foglalás-tiltási listát is — egy műveletben, a többi adattal együtt törlődik.
10.4 A biztonsági mentésekből az adatok a mentési ciklus szerint, legfeljebb 30 napon belül kerülnek ki.
10.5 Az Adatkezelő kérésére az Adatfeldolgozó írásban igazolja a törlés megtörténtét.
11. Vegyes rendelkezések
11.1 A jelen DPA-ra a magyar jog irányadó.
11.2 Az Adatfeldolgozó a DPA-t egyoldalúan módosíthatja, ha azt jogszabályváltozás vagy a szolgáltatás lényeges változása indokolja; erről az Adatkezelőt legalább 30 nappal korábban értesíti. Ha az Adatkezelő a módosítást nem fogadja el, a hatálybalépésig felmondhatja a szolgáltatási szerződést.
11.3 Mellékletek: 1. sz. — további adatfeldolgozók (6.2 pont); 2. sz. — technikai és szervezési intézkedések.
2. sz. melléklet — Technikai és szervezési intézkedések
(GDPR 32. cikk)
Hozzáférés-védelem és elkülönítés
- Az előfizetők adatai logikailag elkülönítve; minden adatbázis-lekérdezés központilag, kikényszerítve szűr az adott előfizetőre.
- Jelszavak kizárólag egyirányú kriptográfiai lenyomatként tárolva.
- Hozzáférési tokenek lenyomatként tárolva, lejárattal és visszavonhatóan.
- Jelszóváltoztatáskor a korábban indított munkamenetek érvénytelenné válnak.
- Szerepkör-alapú jogosultságkezelés.
Titkosítás
- Titkosított kapcsolat (HTTPS/TLS) minden felületen.
- A Google Naptár-kapcsolat hozzáférési tokenje hitelesített titkosítással tárolva; a kapcsolat leválasztásakor törlődik.
Sértetlenség és támadás elleni védelem
- Kizárólag paraméterezett adatbázis-lekérdezések.
- Kimenet-szűrés (XSS ellen). CSRF-védelem a belépett felület (admin) minden űrlapján; a nyilvános regisztrációs és foglalási űrlapot rejtett csapdamező és kérésszámláló védi.
- Biztonsági HTTP-fejlécek (tartalombiztonsági szabályzat, keretezés elleni védelem).
- Kérésszámláló és fiókzárolás visszaélésszerű használat ellen.
- A forráskód és a konfiguráció a webről nem érhető el.
Rendelkezésre állás és helyreállíthatóság
- Rendszeres, automatikus adatbázis-mentés.
Elszámoltathatóság
- Az adminisztrációs események naplózása (ki, mit, mikor, honnan), 365 napig.
- Az adatkezelési műveletek (export, törlés) külön naplózva.
Adattakarékosság
- A vendégadatok 2 év inaktivitás után automatikusan anonimizálódnak.
- Az üzemeltetési naplók 30 nap után törlődnek.
- A foglalás-tiltási bejegyzések legfeljebb 1 év után törlődnek.