Adatfeldolgozási szerződés

1. Felek és a szerződés létrejötte

Adatkezelő: az az Ügyfél, aki FrameCRM-Előfizetést kötött (a továbbiakban: „Adatkezelő”).

Adatfeldolgozó: Pavlo Okhmak, a cseh vállalkozói nyilvántartásba (živnostenský rejstřík) bejegyzett egyéni vállalkozó (vállalkozó természetes személy), cégazonosító szám (IČO): 29485941, székhely (telephely): Bezručova 4201, 430 03 Chomutov, Csehország, nem áfaalany (a továbbiakban: „Adatfeldolgozó”).

Jelen Adatfeldolgozási szerződés (a továbbiakban: „DPA”) az Általános Szerződési Feltételek részét képezi. Az Adatkezelő a FrameCRM-be történő regisztrációkor a hozzájárulás megerősítésével fogadja el; aláírásra nincs szükség. A DPA megfelel az (EU) 2016/679 rendelet (GDPR) 28. cikk (3) bekezdése szerinti szerződésre vonatkozó követelménynek.

Jelen DPA cseh nyelvű változata az irányadó. Ez a magyar nyelvű szöveg kizárólag tájékoztató jellegű fordítás; eltérés esetén a cseh nyelvű változat az irányadó. Személyes adatok védelmével kapcsolatos kérdésekben a DPA elsőbbséget élvez az Általános Szerződési Feltételekkel szemben.

2. Az adatkezelés tárgya, időtartama, jellege és célja

• Tárgy: azon személyes adatok kezelése, amelyeket az Adatkezelő vagy felhasználói a FrameCRM-be bevisznek.
• Időtartam: az Előfizetés időtartama alatt, majd az adatoknak a 10. pont szerinti törléséig.
• Az adatkezelés jellege: gyűjtés (ideértve az Adatkezelő weboldaláról vagy online foglalási űrlapjáról érkező megkereséseket és foglalásokat, ha használja), tárolás, rendszerezés, megjelenítés, keresés, módosítás, exportálás, olyan emlékeztetők és üzenetek előkészítése, amelyeket az Adatkezelő felhasználói maguk küldenek el az ügyfeleknek (pl. WhatsApp-linken keresztül), értesítések az Adatkezelő felhasználói számára (Telegramon keresztül, ha az Adatkezelő bekapcsolja), bizonylatok, például számlák kiállítása, biztonsági mentés és törlés.
• Cél: a FrameCRM szolgáltatás nyújtása — az Adatkezelő ügyfeleinek, járműveinek, megrendeléseinek, naptárának, emlékeztetőinek, értékeléseinek, számláinak, készletének, bérszámfejtésének és statisztikáinak nyilvántartása.

3. Az érintettek és a személyes adatok kategóriái

Érintettek: az Adatkezelő ügyfelei és érdeklődői, azok kapcsolattartói, az Adatkezelő munkavállalói és egyéb felhasználói.

Adatkategóriák:

• azonosító és kapcsolattartási adatok (név, telefonszám, e-mail-cím, cím);
• járműadatok (gyártmány, típus, rendszám, alvázszám (VIN), kilométeróra-állás);
• megrendelési előzmények, időpontok, árak és fizetési nyilvántartások, megjegyzések;
• számlázási adatok (számlázási név, cím, cégazonosító szám / közösségi adószám);
• fényképek (főként járművekről), amelyek egyéb személyes adatokat is tartalmazhatnak;
• az ügyfelekkel folytatott kommunikáció és értékelések;
• az Adatkezelő felhasználóinak adatai (név, e-mail-cím, telefonszám, szerepkör, bejelentkezési napló, tevékenységnapló), valamint ha az Adatkezelő használja a bérszámfejtést, az ő bérszabályaik, kereseteik és kifizetéseik.

A személyes adatok különleges kategóriáinak (GDPR 9. cikk) vagy a büntetőjogi felelősség megállapítására vonatkozó adatoknak a kezelése nem tervezett; az Adatkezelő ilyen adatokat nem visz be a FrameCRM-be.

4. Az Adatkezelő kötelezettségei

Az Adatkezelő felel azért, hogy az adatkezeléshez jogalappal rendelkezzen, hogy az érintetteket megfelelően tájékoztassa, a bevitt adatok pontosságáért, valamint azért, hogy az Adatfeldolgozónak adott utasításai jogszerűek legyenek. Az Adatkezelő védi felhasználói hozzáférési adatait.

5. Az Adatfeldolgozó kötelezettségei

Az Adatfeldolgozó:

• a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli — ilyen utasításnak minősülnek az Általános Szerződési Feltételek, a jelen DPA, valamint az Adatkezelő beállításai és műveletei az alkalmazásban —, ideértve a harmadik országokba történő adattovábbítást is; ha valamely utasítást jogellenesnek tart, erről haladéktalanul tájékoztatja az Adatkezelőt;
• biztosítja, hogy az adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak;
• meghozza a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket (7. pont);
• betartja a további adatfeldolgozók igénybevételének feltételeit (6. pont);
• segíti az Adatkezelőt az érintetti kérelmek megválaszolásában — különösen az alkalmazás adatkeresési, -helyesbítési, -exportálási és -törlési funkcióival;
• segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében, figyelembe véve az adatkezelés jellegét és a rendelkezésre álló információkat;
• a szolgáltatás megszűnését követően az adatokat törli vagy visszaadja (10. pont);
• az Adatkezelő rendelkezésére bocsátja a megfelelés igazolásához szükséges információkat, és lehetővé teszi az auditokat (11. pont);
• az Adatkezelő adatait nem használja saját céljaira.

6. További adatfeldolgozók

Az Adatkezelő általános felhatalmazást ad további adatfeldolgozók igénybevételére. A jelen DPA hatálybalépésének napján ezek a következők:

Az Előfizetés díjainak fizetését a Stripe dolgozza fel; a Stripe azonban nem kezeli az Adatkezelő ügyfeleinek személyes adatait.

Az ügyfeleknek szóló WhatsApp-üzeneteket az Adatkezelő felhasználói saját WhatsApp alkalmazásukból küldik (click-to-chat link); a WhatsApp (Meta) ezért nem az Adatfeldolgozó további adatfeldolgozója, és a WhatsApp Adatkezelő általi használatára az Adatkezelő és a Meta közötti saját jogviszony irányadó. Amikor egy felhasználó alvázszámot (VIN) dekódol, a gyártmány és a típus megállapítása céljából kizárólag a VIN (minden egyéb adat nélkül) kerül elküldésre az ingyenes, nyilvános NHTSA vPIC adatbázisba (az USA Közlekedési Minisztériuma, U.S. Department of Transportation); a stúdiók címei az OpenStreetMapben (Nominatim) kereshetők meg.

Az Adatfeldolgozó további adatfeldolgozó tervezett bevonásáról vagy cseréjéről legalább 14 nappal előre e-mailben tájékoztatja az Adatkezelőt. Az Adatkezelő az adatvédelemmel kapcsolatos észszerű indokok alapján kifogást emelhet; ha a felek nem találnak megoldást, az Adatkezelő az Előfizetést a változás napjára szóló hatállyal lemondhatja. Az Adatfeldolgozó a további adatfeldolgozóira ugyanazokat az adatvédelmi kötelezettségeket rója, és felelős azok teljesítéséért.

Harmadik országokba történő adattovábbítás csak a GDPR V. fejezete szerinti garanciák mellett történik (megfelelőségi határozatok, általános adatvédelmi kikötések).

7. Technikai és szervezési intézkedések

• titkosítás továbbítás közben (HTTPS/TLS) és a tárolt adatok titkosítása az adatbázis-szolgáltatónál;
• bejelentkezés jelszóval vagy egyszer használatos, korlátozott ideig érvényes bejelentkezési linkekkel, biztonságos munkamenetek, felhasználói szerepkörök és jogosultságok a fiókon belül;
• az egyes ügyfelek adatainak logikai elkülönítése;
• az Adatfeldolgozó éles adatokhoz való hozzáférése csak a szükséges mértékben (ügyfélszolgálat, hibaelhárítás), erős hitelesítéssel védve;
• rendszeres biztonsági mentés az adatbázis-szolgáltatónál, helyreállítási lehetőséggel;
• a szoftver és a függőségek folyamatos frissítése, a titkos kulcsok forráskódon kívüli kezelése;
• a műveletek és biztonsági események naplózása;
• adattakarékosság — az ügyfelek személyes adatai nem kerülnek az analitikába;
• biztonsági incidensek kezelésére vonatkozó eljárás.

8. Adatvédelmi incidensek

Az Adatfeldolgozó az adatvédelmi incidensről indokolatlan késedelem nélkül, de legkésőbb az arról való tudomásszerzést követő 48 órán belül értesíti az Adatkezelőt. Az értesítés tartalmazza a GDPR 33. cikk (3) bekezdése szerinti, az Adatfeldolgozó rendelkezésére álló információkat, és további információk birtokában kiegészítésre kerül. Az Adatfeldolgozó észszerű intézkedéseket tesz a következmények enyhítésére.

9. Érintetti kérelmek

Ha az Adatfeldolgozóhoz érintettől az Adatkezelő adataival kapcsolatos kérelem érkezik, azt indokolatlan késedelem nélkül továbbítja az Adatkezelőnek, és arra maga nem válaszol, kivéve, ha erre az Adatkezelő felhatalmazza.

10. Az adatok törlése és visszaadása

Az Előfizetés ideje alatt az Adatkezelő bármikor exportálhatja és törölheti az adatokat. Az Előfizetés megszűnését követően az Adatfeldolgozó az adatokat további 90 napig megőrzi, amely idő alatt az Adatkezelő géppel olvasható formátumban kikérheti azokat. Ezt követően az Adatfeldolgozó az adatokat véglegesen törli; a biztonsági mentésekben lévő másolatok a mentések rotációja keretében legfeljebb további 30 napon belül megszűnnek. Ez nem vonatkozik arra az esetre, ha a megőrzést jogszabály írja elő.

11. Tájékoztatás és auditok

Az Adatfeldolgozó kérésre rendelkezésre bocsátja az Adatkezelőnek a GDPR 28. cikkének való megfelelés igazolásához szükséges információkat, általában írásbeli válaszok és dokumentáció formájában. Az Adatkezelő vagy az általa megbízott, titoktartásra kötelezett auditor legalább 30 nappal előre bejelentett auditot vagy helyszíni ellenőrzést végezhet, évente legfeljebb egy alkalommal (kivéve adatvédelmi incidens kivizsgálása esetén vagy a felügyeleti hatóság kérésére), az Adatkezelő költségére.

12. Felelősség és záró rendelkezések

A felek felelősségére a GDPR 82. cikke, egyebekben az Általános Szerződési Feltételek irányadók. Jelen DPA mindaddig hatályban marad, amíg az Adatfeldolgozó az Adatkezelő adatait kezeli. A DPA-ra a Cseh Köztársaság joga irányadó.

Adatvédelmi kapcsolattartás: info@frame-webs.com.