Adatfeldolgozási Szerződés (DPA)

1. A szerződés felei és tárgya

Jelen Adatfeldolgozási Szerződés (a továbbiakban: DPA) az Ostrelo Általános Szerződési Feltételeinek (ÁSZF) elválaszthatatlan mellékletét képezi, és a felek között a Szolgáltatás igénybevételére vonatkozó szerződés (regisztráció és ÁSZF elfogadása) hatálybalépésével automatikusan létrejön, külön aláírás nélkül.

• Adatkezelő: az Előfizető, aki a Szolgáltatás igénybevétele során saját Ügyfelei személyes adatait kezeli.
• Adatfeldolgozó: az Ostrelo Szolgáltatója (a jelen DPA 1. pontjában, illetve az ÁSZF 1. pontjában megjelölt gazdálkodó szervezet).

A DPA célja, hogy a felek az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 28. cikke szerinti kötelező tartalmi elemeket rögzítsék az Adatfeldolgozó által, az Adatkezelő nevében végzett adatkezelésre vonatkozóan.

2. Az adatfeldolgozás tárgya, jellege, célja, időtartama

Az adatfeldolgozás tárgya: az Előfizető (Adatkezelő) által a Szolgáltatásba feltöltött, az Előfizető saját Ügyfeleire vonatkozó személyes adatok tárolása, rendszerezése, megjelenítése, valamint a Szolgáltatás funkcióinak (projektmenedzsment, CRM, számlázási kapcsolat, AI-funkciók) biztosításához szükséges egyéb adatkezelési műveletek.

Az adatkezelés jellege: elektronikus, automatizált adatkezelés felhő alapú (SaaS) környezetben.

Az adatkezelés célja: a Szolgáltatás rendeltetésszerű működésének biztosítása az Előfizető részére.

Az adatkezelés időtartama: a Szolgáltatásra vonatkozó előfizetői jogviszony fennállásának időtartama, valamint az ÁSZF-ben rögzített adatexportálási/megőrzési időszak.

3. Az érintettek kategóriái és a kezelt adatok típusai

Érintettek: az Előfizető Ügyfelei, valamint az Előfizető által a Szolgáltatásba meghívott munkatársak, közreműködők.

• Azonosító adatok: név, e-mail cím, telefonszám;
• Üzleti/számlázási adatok: cégnév, székhely/számlázási cím, adószám;
• A Szolgáltatásban rögzített kommunikációs és projekttartalmak: üzenetek, megjegyzések, feladatokhoz kapcsolódó leírások;
• Dokumentumok: az Előfizető által feltöltött szerződések, ajánlatok, egyéb fájlok.

Az Adatkezelő felelőssége annak biztosítása, hogy az általa a Szolgáltatásba feltöltött személyes adatok kezelésének jogalapja (pl. szerződés teljesítése, jogos érdek) fennálljon.

4. Az Adatkezelő utasításai

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő írásba foglalt utasításai alapján kezelheti, ideértve a harmadik országba vagy nemzetközi szervezet részére történő adattovábbítást is, kivéve, ha az adatkezelést az Adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő.

A Szolgáltatás rendeltetésszerű, funkcióinak megfelelő használata (regisztráció, adatok feltöltése, funkciók igénybevétele) az Adatkezelő általi utasításnak minősül.

5. Titoktartás

Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek (munkavállalók, közreműködők) titoktartási kötelezettséget vállaljanak, vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alá essenek.

6. Adatbiztonsági intézkedések

Az Adatfeldolgozó a GDPR 32. cikke szerint megfelelő technikai és szervezési intézkedéseket alkalmaz a kockázat mértékének megfelelő adatbiztonság garantálása érdekében, ideértve különösen:

• az adatokhoz való hozzáférés jogosultság-alapú korlátozását;
• a rendszerben tárolt, harmadik fél szolgáltatókhoz (pl. számlázó, fizetési szolgáltató) kapcsolódó hitelesítő adatok (API-kulcsok) titkosított tárolását;
• kétlépcsős hitelesítés (2FA) lehetőségének biztosítását az Előfizetők számára;
• rendszeres biztonsági mentést, az ÁSZF-ben rögzített megőrzési idővel;
• a tárhelyszolgáltató (Hetzner Online GmbH, Németország) által biztosított fizikai és hálózati biztonsági intézkedéseket.

7. Alfeldolgozók igénybevétele

Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozó részére további adatfeldolgozók (alfeldolgozók) igénybevételére, az alábbi feltételekkel.

Az Adatfeldolgozó a jelen DPA hatálybalépésekor az alábbi alfeldolgozókat veszi igénybe:

• Hetzner Online GmbH (Németország) — tárhelyszolgáltatás;
• [AI-szolgáltató(k) neve, pl. Anthropic PBC / OpenAI, L.L.C. / Google Ireland Ltd.] — mesterséges intelligencia alapú funkciók biztosítása; [ELLENŐRIZENDŐ: pontos alfeldolgozó(k) megnevezése a ténylegesen használt szolgáltató(k) szerint].

Az Adatfeldolgozó új alfeldolgozó igénybevétele vagy meglévő alfeldolgozó lecserélése esetén erről az Adatkezelőt előzetesen, legalább [X] nappal korábban tájékoztatja, lehetőséget biztosítva az Adatkezelőnek a kifogás emelésére.

Az Adatfeldolgozó az alfeldolgozóval a GDPR 28. cikk (4) bekezdése szerinti, azonos adatvédelmi kötelezettségeket tartalmazó szerződést köt.

8. Adattovábbítás harmadik országba

[ELLENŐRIZENDŐ ÉS PONTOSÍTANDÓ SZAKÉRTŐVEL: az AI-szolgáltatók (pl. Anthropic, OpenAI, Google) amerikai székhelyű vállalatok lehetnek, ezért a feléjük történő adattovábbítás harmadik országba történő adattovábbításnak minősülhet, amelyhez megfelelő garanciák (pl. Európai Bizottság általi megfelelőségi határozat / EU-U.S. Data Privacy Framework, vagy Európai Bizottság Általános Adatvédelmi Kikötései / Standard Contractual Clauses) szükségesek. Ezt a pontot a ténylegesen igénybe vett AI-szolgáltató(k) adatkezelési feltételeinek ismeretében, jogász bevonásával szükséges véglegesíteni.]

Amennyiben az Adatfeldolgozó vagy alfeldolgozója a személyes adatokat az Európai Gazdasági Térségen kívüli országba továbbítja, ezt kizárólag a GDPR V. fejezete szerinti megfelelő garanciák (megfelelőségi határozat, általános adatvédelmi kikötések, vagy egyéb jogszerű adattovábbítási mechanizmus) megléte esetén teheti meg.

9. Az Adatkezelő segítése

Az Adatfeldolgozó — figyelembe véve az adatkezelés jellegét — megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az Adatkezelőt abban, hogy teljesítse kötelezettségét az érintetti jogok (pl. hozzáférés, helyesbítés, törlés, adathordozhatóság) gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében.

Az Adatfeldolgozó segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségek (adatbiztonság, adatvédelmi incidensek bejelentése, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében, figyelembe véve az Adatfeldolgozó rendelkezésére álló információkat.

10. Adatvédelmi incidens bejelentése

Az Adatfeldolgozó a tudomására jutott, a személyes adatokat érintő adatvédelmi incidenst indokolatlan késedelem nélkül, de legkésőbb [X] órán belül bejelenti az Adatkezelőnek, és a rendelkezésére álló információk alapján segítséget nyújt az Adatkezelő GDPR 33–34. cikke szerinti kötelezettségeinek teljesítéséhez.

11. Ellenőrzési jog

Az Adatkezelő jogosult — előzetes, legalább [X] napos írásbeli értesítés mellett, munkaidőben, a Szolgáltató működésének indokolatlan zavarása nélkül — ellenőrizni, hogy az Adatfeldolgozó a jelen DPA szerinti kötelezettségeinek eleget tesz. Az Adatfeldolgozó a rendelkezésére álló, az ellenőrzéshez szükséges információkat az Adatkezelő rendelkezésére bocsátja.

12. Adatok törlése vagy visszaadása a szerződés megszűnésekor

A Szolgáltatásra vonatkozó előfizetői jogviszony megszűnésekor az Adatfeldolgozó — az Adatkezelő választása szerint — az ÁSZF-ben rögzített határidőn belül lehetővé teszi az adatok exportálását, majd azt követően törli valamennyi személyes adatot, kivéve, ha uniós vagy tagállami jog az adatok további tárolását írja elő.

13. Felelősség

A felek felelősségére a GDPR 82. cikke, valamint a jelen DPA elválaszthatatlan részét képező ÁSZF felelősség-korlátozási rendelkezései az irányadók.

14. Hatálybalépés és időtartam

A jelen DPA az ÁSZF elfogadásával egyidejűleg lép hatályba, és az előfizetői jogviszony fennállásának teljes időtartama alatt hatályban marad.

15. Záró rendelkezések

A jelen DPA-ban nem szabályozott kérdésekben az ÁSZF, a GDPR, valamint a vonatkozó magyar adatvédelmi jogszabályok (információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény) rendelkezései az irányadók.