Jelen adatfeldolgozási megállapodás (a továbbiakban: „DPA”) az ELXAO SASU (a továbbiakban: „adatfeldolgozó”) és az ügyfél (a továbbiakban: „adatkezelő”) között létrejött megállapodás szerves részét képezi, és végrehajtja az (EU) 2016/679 rendelet (a továbbiakban: „GDPR”) 28. cikkét, valamint a francia adatvédelmi törvényt (az 1978. január 6-i 78-17. sz. törvény módosított változatát). A jelen melléklet akkor alkalmazandó, amikor az ELXAO a Szolgáltatások nyújtása során az Adatkezelő nevében személyes adatokat kezel.
Fogalommeghatározások
A „személyes adat”, „adatkezelés”, „adatkezelő”, „adatfeldolgozó”, „aladatfeldolgozó”, „érintett”, „különleges kategóriájú adatok” és „személyes adatokkal kapcsolatos biztonsági incidens” kifejezések jelentése megegyezik az Általános adatvédelmi rendelet (GDPR) 4. cikkében meghatározottal. A Megállapodás rendelkezései alkalmazandók a jelen Adatvédelmi Kiegészítő Megállapodásra, kivéve, ha a jelen Adatvédelmi Kiegészítő Megállapodás azokat kifejezetten felülírja.
Az adatkezelés tárgya, időtartama és jellege
| Tétel | Leírás |
|---|---|
| Tárgy | Marketingműveletekhez kapcsolódó szolgáltatások nyújtása (weboldalak, SEO, fizetett hirdetések, elemzések, CRM/e-mail, márkaépítés, közösségi média, lokalizáció, projektmenedzsment/rendezvények) az Adatkezelő nevében. |
| Időtartam | Együttműködés időtartama, valamint az alábbiakban meghatározott megőrzési időszakok. |
| Jelleg és cél | A Szolgáltatások nyújtásához szükséges személyes adatok tárolása, rendszerezése, elemzése, továbbítása, tárolása és törlése. |
| Az érintettek kategóriái | Az adatkezelő végfelhasználói, potenciális ügyfelei, ügyfelei, előfizetői, alkalmazottai, beszállítói és rendezvényeinek résztvevői. |
| A személyes adatok kategóriái | Azonosító adatok (név, cím), elérhetőségi adatok (e-mail, telefonszám, postai cím), szakmai adatok (cég, beosztás), online azonosítók (IP-cím, cookie-k, eszközazonosítók), viselkedési adatok (kattintások, munkamenetek, konverziók), kereskedelmi adatok (megrendelések, számlázás), eseményadatok (regisztrációk, részvétel, belépőkártyák, felvételek). |
| Különleges kategóriájú adatok | Alapértelmezés szerint nem kerül feldolgozásra. Bármely kivétel esetén írásbeli utasításra és további biztonsági intézkedésekre van szükség. |
Szerepek és utasítások
Az Adatkezelő határozza meg az adatkezelés céljait és eszközeit. Az ELXAO kizárólag az Adatkezelő dokumentált utasításai alapján kezeli a személyes adatokat, amelyeket a Megállapodás, a megrendelések, az SLA-k, az Adatkezelő adatvédelmi irányelvei, valamint az azok után elküldött bármely konkrét írásbeli utasítás rögzít. Az ELXAO indokolatlan késedelem nélkül értesíti az Adatkezelőt, ha úgy ítéli meg, hogy egy utasítás sérti az adatvédelmi jogszabályokat.
A személyzet adatainak titkossága
ELXAO gondoskodik arról, hogy minden személy, aki személyes adatok feldolgozására jogosult, végrehajtható titoktartási kötelezettség alá tartozzon (munkaszerződés, szabadúszói szerződés vagy titoktartási megállapodás), és a beosztásának megfelelő képzésben részesüljön a személyes adatok védelme terén.
Biztonsági intézkedések
Az ELXAO megfelelő technikai és szervezeti intézkedéseket hajt végre (az Általános Adatvédelmi Rendelet 32. cikke), ideértve a következőket:
- TLS 1.2+ titkosítás az adatátvitel során, valamint AES-256 titkosítás a termelési adattárolókban tárolt adatok esetében.
- Szerepköralapú hozzáférés-vezérlés a legkisebb jogosultság elve alapján; kötelező többfaktoros hitelesítés minden rendszergazda számára.
- Megbízható, az EU-ban üzemeltetett infrastruktúra, rendszeres sebezhetőségi vizsgálatokkal és javításokkal.
- Kódfelülvizsgálat, titkos adatok kezelése, biztonságos szoftverfejlesztési életciklus (SDLC) és az éles/tesztkörnyezetek szétválasztása.
- Központosított, integritásvédelemmel ellátott naplózás; riasztások gyanús hitelesítési és adatexport-események esetén.
- Titkosított, földrajzilag elkülönített biztonsági másolatok, dokumentált helyreállítási tesztekkel.
- Az új munkavállalók felvételére és a távozó munkavállalók elbocsátására vonatkozó eljárások, jelszókezelő, teljes lemezkódolással ellátott biztonságos laptopok.
- Az üzletmenet-folytonossági és az incidenskezelési terveket legalább évente egyszer felülvizsgálják.
Alvállalkozói feldolgozás
Az Adatkezelő általános felhatalmazást ad az ELXAO-nak arra, hogy alvállalkozókkal kössön együttműködést meghatározott adatkezelési tevékenységek végrehajtására (tárhelyszolgáltatás, e-mail-küldés, elemzés, hirdetési platformok, ügyfélszolgálati eszközök, rendezvénykezelő platformok). Az ELXAO naprakész listát vezet az aladatkezelőkről, amely kérésre elérhető a [email protected] címen, és bármely tervezett kiegészítésről vagy cseréről legalább harminc (30) nappal előre értesítést küld, amely időtartam alatt az Adatkezelő ésszerű adatvédelmi okokból kifogást emelhet. Az ELXAO minden alvállalkozóra olyan adatvédelmi kötelezettségeket ró, amelyek védelmi szintje nem alacsonyabb, mint a jelen adatfeldolgozási megállapodásban meghatározottak.
Nemzetközi átutalások
A személyes adatok feldolgozása elsősorban az Európai Gazdasági Térség (EGT) területén történik. Amennyiben az adatkezelés során az EGT-n kívülre, olyan országba történik adattovábbítás, amelyre vonatkozóan nem született megfelelőségi határozat, az ELXAO a GDPR 46. cikke szerinti megfelelő biztosítékokra támaszkodik, elsősorban az Európai Bizottság 2021. június 4-i általános szerződési feltételeire (SCC-k), kiegészítve az adattovábbítás hatásvizsgálata által előírt bármely további intézkedéssel.
Segítségnyújtás az adatkezelőnek
Az ELXAO megfelelő technikai és szervezési intézkedésekkel segíti az adatkezelőt az érintettek kérelmeire való válaszadással kapcsolatos kötelezettségeinek teljesítésében (a GDPR 12–22. cikkei), valamint a GDPR 32–36. cikkeinek betartásának biztosításában (biztonság, adatvédelmi incidens bejelentése, adatvédelmi hatásvizsgálat, előzetes konzultáció). A szolgáltatások keretében alapfokú támogatás biztosított; az egy (1) munkanapot meghaladó jelentős munkamennyiséget kérelemenként írásbeli értesítést követően az ELXAO akkor hatályos szakmai díjszabásai szerint számíthatjuk fel.
Személyes adatokkal kapcsolatos biztonsági incidens
Az ELXAO indokolatlan késedelem nélkül, de minden esetben legkésőbb hetvenkét (72) órával azután értesíti az adatkezelőt, hogy tudomást szerzett az adatkezelő adatait érintő személyes adatvédelmi incidensről. Az értesítés tartalmazza az incidens jellegét, az érintett adatok kategóriáit és hozzávetőleges mennyiségét, a várható következményeket, valamint az incidens kezelése érdekében meghozott vagy javasolt intézkedéseket.
Ellenőrzések
Az ELXAO ésszerű kérésre, legfeljebb évente egyszer (adatvédelmi incidens esetén kivételével) rendelkezésre bocsátja az Adatkezelő számára a jelen Adatfeldolgozási Megállapodásnak való megfelelés igazolásához szükséges információkat, ideértve az alvállalkozók ISO 27001 / SOC 2 típusú jelentéseit is, amennyiben azok rendelkezésre állnak. Helyszíni ellenőrzéseket az Adatkezelő vagy egy kölcsönösen jóváhagyott, titoktartási kötelezettség alá tartozó független ellenőr végezhet az Adatkezelő költségére, ésszerű előzetes értesítés mellett és munkaidőben, oly módon, hogy az ne zavarja indokolatlanul az ELXAO működését.
Adatok visszaadása vagy törlése
A megállapodás felmondása esetén az ELXAO – az Adatkezelő által harminc (30) napon belül kifejezett választásának megfelelően – vagy visszajuttatja az összes személyes adatot strukturált, általánosan használt és géppel olvasható formátumban, vagy törli azokat minden termelési és üzemeltetési rendszerből. A biztonsági másolatokat a szokásos rotációs ciklusban (legfeljebb kilencven (90) napon belül) törlik, és azokat csak akkor lehet ezen időszakon túl megőrizni, ha azt az alkalmazandó jogszabályok előírják; ebben az esetben továbbra is az e DPA-ban foglalt biztonsági és titoktartási kötelezettségek vonatkoznak rájuk.
Felelősség
Az MSA felelősségre vonatkozó rendelkezései alkalmazandók a jelen DPA alapján felmerülő igényekre. Mindkét fél továbbra is felelősséggel tartozik az érintettek és a felügyeleti hatóságok felé a GDPR 82. cikke szerint.
Kapcsolat
A jelen adatvédelmi kiegészítő megállapodás (DPA) keretében felmerülő bármilyen adatvédelmi kérdéssel, kéréssel vagy bejelentéssel kapcsolatban kérjük, vegye fel a kapcsolatot az ELXAO-val a [email protected] telefonszámon.