Adatfeldolgozási megállapodás

Adatkezelő: a Kontevia szolgáltatás Ügyfele, azaz olyan vállalkozás vagy egyéni vállalkozó, amely a könyvelési dokumentumaiban és a Szolgáltatás számára megadott egyéb adatokban szereplő személyes adatokat kezeli.

Adatfeldolgozó: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Cseh Köztársaság, cégjegyzékszám 22103741, bejegyezve a Prágai Városi Bíróság által vezetett cégjegyzékben, C 410771 szám alatt. Adatvédelmi kapcsolattartó: hello@kontevia.com.

1.1. Jelen megállapodás szabályozza a felek jogait és kötelezettségeit arra az esetre, ha az Adatfeldolgozó az Adatkezelő megbízásából személyes adatokat kezel a Kontevia szolgáltatás (a „Szolgáltatás”) nyújtása során.

1.2. Jelen megállapodás az Általános Szerződési Feltételek szerves részét képezi, és az Adatkezelő Szolgáltatásra történő regisztrációjával lép hatályba. Mindaddig alkalmazandó, amíg az Adatfeldolgozó személyes adatokat kezel az Adatkezelő számára.

2.1. Az Adatfeldolgozó a személyes adatokat kizárólag a Szolgáltatás nyújtása céljából kezeli, nevezetesen:

• a chaten, e-mailben vagy feltöltéssel beküldött könyvelési dokumentumok fogadása és digitalizálása;
• adatok kinyerése a dokumentumokból optikai karakterfelismerés és automatikus adatkinyerési modellek segítségével;
• kategorizálás, duplikátumok felismerése és áfakezelési javaslatok;
• számlák és egyéb dokumentumok kiállítása az Adatkezelő utasítása alapján;
• az Adatkezelő által összekapcsolt banki tranzakciók importálása és dokumentumokhoz párosítása;
• összesítések, jelentések és az Adatkezelő könyvelési rendszerébe vagy könyvelője részére történő exportok elkészítése;
• dokumentumok és adatok tárolása a Szolgáltatáson belül a szerződés időtartama és az exportálási időszak alatt.

2.2. Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli, ideértve a harmadik országokba történő továbbításra vonatkozó utasításokat is, kivéve, ha ezt uniós vagy tagállami jog írja elő; ez utóbbi esetben az Adatfeldolgozó az adatkezelés előtt tájékoztatja az Adatkezelőt, kivéve, ha ezt jogszabály tiltja.

3.1. Érintettek: az Adatkezelő üzleti partnerei (szállítók, ügyfelek, kapcsolattartók), az Adatkezelő munkavállalói és szerződéses partnerei, amennyiben bér- vagy kiadási dokumentumokat dolgoznak fel, valamint az Adatkezelő saját felhasználói a Szolgáltatásban.

3.2. Személyes adatok kategóriái: azonosító adatok (név, cégnév, cégjegyzékszám és adószám); kapcsolattartási adatok (cím, e-mail, telefonszám); pénzügyi adatok (számlázott összegek, bankszámlaszámok, fizetési hivatkozások); foglalkoztatási adatok, ha bérdokumentumokat nyújtanak be (munkakör, fizetés, biztosítási azonosítók); az Adatkezelő felhasználóinak használati adatai.

3.3. Az Adatfeldolgozónak nincs szüksége a GDPR 9. cikke szerinti különleges adatkategóriákra. Az Adatkezelő vállalja, hogy ilyen adatokat nem küld be a Szolgáltatáson keresztül, kivéve, ha azok olyan dokumentumban szerepelnek, amelyet jogszabály alapján köteles megőrizni; ez esetben az Adatkezelő felel a jogalapért.

Az Adatfeldolgozó vállalja, hogy:

• a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján és csak a Szolgáltatáshoz szükséges mértékben kezeli;
• biztosítja, hogy a személyes adatok kezelésére felhatalmazott személyek titoktartási kötelezettséget vállaljanak, vagy megfelelő jogszabályi titoktartási kötelezettség vonatkozzon rájuk;
• végrehajtja a GDPR 32. cikke által megkövetelt technikai és szervezési intézkedéseket, különösen a jelen megállapodás mellékletében felsoroltakat;
• nem vesz igénybe másik adatfeldolgozót az Adatkezelő előzetes, általános írásbeli felhatalmazása nélkül, amelyet az Adatkezelő a jelen megállapodás 6. cikke alapján ad meg;
• az adatkezelés jellegét figyelembe véve megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt a jogaikat gyakorló érintettek kérelmeinek megválaszolásában;
• segíti az Adatkezelőt a GDPR 32–36. cikkeinek (biztonság, adatvédelmi incidens bejelentése, adatvédelmi hatásvizsgálat, előzetes konzultáció) betartásában, figyelembe véve az adatkezelés jellegét és az Adatfeldolgozó rendelkezésére álló információkat;
• az Adatkezelő választása szerint a Szolgáltatás nyújtásának befejezése után törli vagy visszaadja az összes személyes adatot, és törli a meglévő másolatokat, kivéve, ha uniós vagy tagállami jog azok megőrzését írja elő;
• az Adatkezelő rendelkezésére bocsát minden, a GDPR 28. cikkének való megfelelés igazolásához szükséges információt, és lehetővé teszi, illetve elősegíti az Adatkezelő vagy az általa megbízott auditor által végzett auditokat, ideértve a helyszíni ellenőrzéseket is;
• haladéktalanul tájékoztatja az Adatkezelőt, ha megítélése szerint egy utasítás sérti a GDPR-t vagy más uniós, illetve tagállami adatvédelmi rendelkezéseket.

5.1. Az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzéstől számított 48 órán belül tájékoztatja az Adatkezelőt bármely adatvédelmi incidensről.

5.2. A tájékoztatás tartalmazza legalább: az incidens jellegének leírását, lehetőség szerint az érintettek és az érintett nyilvántartások kategóriáit és hozzávetőleges számát; a felelős személy nevét és elérhetőségét; a valószínűsíthető következmények leírását; valamint az incidens kezelésére és hatásainak enyhítésére tett vagy javasolt intézkedések leírását.

5.3. Az Adatfeldolgozó együttműködik az Adatkezelővel az illetékes felügyeleti hatóság és az érintettek felé fennálló bejelentési kötelezettségek teljesítésében.

6.1. Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak, hogy alfeldolgozókat vegyen igénybe a személyes adatok kezeléséhez.

6.2. Az alfeldolgozók aktuális listája, valamint mindegyikük célja és helye az Adatfeldolgozó honlapjának Alfeldolgozók oldalán található, és a jelen megállapodás mellékletét képezi.

6.3. Az Adatfeldolgozó legalább 14 nappal korábban tájékoztatja az Adatkezelőt bármely tervezett alfeldolgozó hozzáadásáról vagy cseréjéről, e-mailben az Adatkezelő kapcsolattartási címére vagy a Szolgáltatáson belüli értesítés útján, lehetőséget adva ezzel az Adatkezelőnek a kifogás emelésére.

6.4. Ha az Adatkezelő megalapozott kifogást emel az értesítéstől számított 14 napon belül, az Adatfeldolgozó vagy eláll a tervezett változtatástól, vagy lehetőséget biztosít az Adatkezelőnek a szerződés büntetés nélküli felmondására, a fel nem használt időszakra előre kifizetett díjak visszatérítésével együtt.

6.5. Az Adatfeldolgozó szerződésben kötelezi az egyes alfeldolgozókat a jelen megállapodásban foglaltakkal azonos adatvédelmi kötelezettségekre, különösen a megfelelő technikai és szervezési intézkedések végrehajtásához szükséges elegendő garanciák nyújtására. Ha egy alfeldolgozó nem teljesíti kötelezettségeit, az Adatfeldolgozó teljes felelősséggel tartozik az Adatkezelő felé az adott alfeldolgozó kötelezettségeinek teljesítéséért.

7.1. A személyes adatokat az Európai Unió területén található szervereken tároljuk. Az Adatfeldolgozó nem továbbít személyes adatokat az Európai Gazdasági Térségen kívülre, kivéve az Alfeldolgozók oldalon felsorolt alfeldolgozók részére, és csak a GDPR V. fejezete szerinti megfelelő garanciák mellett.

7.2. Az ilyen adattovábbítások az Európai Bizottság megfelelőségi határozatán alapulnak (ideértve a tanúsítvánnyal rendelkező címzettek esetében az EU–US adatvédelmi keretrendszert), a Bizottság által a GDPR 46. cikk (2) bekezdés c) pontja alapján elfogadott általános szerződési feltételeken, vagy más megfelelő garanciákon, amelyeket adott esetben, ha egy adattovábbítási hatásvizsgálat ezt megköveteli, kiegészítő intézkedések egészítenek ki.

8.1. Az Adatfeldolgozó ésszerű segítséget nyújt az Adatkezelőnek az érintettek GDPR 15–22. cikke szerinti jogainak (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) gyakorlására irányuló kérelmeinek kezelésében. A Szolgáltatás keresési, exportálási és törlési funkciókat tartalmaz, amelyek segítségével az Adatkezelő a legtöbb kérelmet közvetlenül kezelheti.

8.2. Ha az érintett közvetlenül az Adatfeldolgozóhoz fordul, az Adatfeldolgozó indokolatlan késedelem nélkül az Adatkezelőhöz irányítja az érintettet, és tájékoztatja az Adatkezelőt, kivéve, ha a kérelem olyan adatra vonatkozik, amelynek az Adatfeldolgozó maga az adatkezelője.

9.1. Az Adatfeldolgozó lehetővé teszi az Adatkezelő vagy az általa megbízott auditor számára olyan auditok és ellenőrzések elvégzését, amelyek célja a jelen megállapodásnak és a GDPR-nak való megfelelés ellenőrzése.

9.2. Az auditokat az Adatkezelő költségére, legalább 14 munkanapos ésszerű előzetes értesítéssel, munkaidőben, és olyan módon kell lefolytatni, amely nem zavarja az Adatfeldolgozó működését, és nem veszélyezteti más ügyfelek adatainak biztonságát. Az auditort titoktartási kötelezettség köti.

9.3. Helyszíni audit helyett az Adatfeldolgozó aktuális tanúsítványokat, független auditorok jelentéseit vagy más, a biztonsági intézkedéseknek való megfelelést igazoló dokumentációt is rendelkezésre bocsáthat, amennyiben ezek elegendők az Adatkezelő kérdéseinek megválaszolásához.

10.1. Jelen megállapodás az Adatkezelő és az Adatfeldolgozó közötti szerződéses jogviszony időtartama alatt hatályos, vagyis mindaddig, amíg az Adatkezelő igénybe veszi a Szolgáltatást.

10.2. A szerződéses jogviszony megszűnését követően az Adatfeldolgozó: 90 napig lehetővé teszi az Adatkezelő számára az adatai exportálását; a 90 napos időszak lejártát követően véglegesen törli az Adatkezelő valamennyi személyes adatát; a mentési másolatokat legkésőbb az elsődleges adatok törlésétől számított 45 napon belül törli; és az Adatkezelő kérésére igazolja a törlést. Ez nem vonatkozik azokra az adatokra, amelyeket az Adatfeldolgozó uniós vagy tagállami jog alapján köteles megőrizni (különösen a számlázási nyilvántartásokra).

10.3. Jelen megállapodás kötelezettségei, különösen a titoktartás és a biztonság, a szerződéses jogviszony megszűnését követően mindaddig fennmaradnak, amíg az Adatfeldolgozó az Adatkezelő bármely személyes adatát kezeli.

11.1. Az Adatfeldolgozó a GDPR 82. cikkével összhangban felel a jelen megállapodás vagy a GDPR megsértésével okozott károkért, különösen abban az esetben, ha nem tartotta be a kifejezetten az adatfeldolgozókra vonatkozó GDPR-kötelezettségeket, vagy az Adatkezelő jogszerű utasításain kívül vagy azokkal ellentétesen járt el.

11.2. Az Általános Szerződési Feltételekben foglalt felelősségkorlátozások a jogszabályok által megengedett mértékben jelen megállapodásra is alkalmazandók; ezek nem korlátozzák az érintettek jogait.

12.1. Erre a szerződésre a Cseh Köztársaság joga és az Európai Unió közvetlenül alkalmazandó joga, különösen a GDPR irányadó.

12.2. Amennyiben e szerződés és az Általános Szerződési Feltételek között ellentmondás áll fenn, a személyes adatok védelmével kapcsolatos kérdésekben e szerződés az irányadó.

12.3. E szerződés módosításai írásbeli formát igényelnek, amely magában foglalja a weboldalon közzétett és az Adatkezelővel az Általános Szerződési Feltételeknek megfelelően közölt frissített változatot is.

12.4. Az e szerződésből eredő jogvitákban a Cseh Köztársaság Adatfeldolgozó székhelye szerint illetékes bíróságai döntenek, az érintettek és a felügyeleti hatóságok jogainak sérelme nélkül.

Titkosítás

• AES-256 titkosítás a tárolt adatok esetében, beleértve a mentéseket is.
• TLS 1.2 vagy magasabb verzió minden továbbított adat esetében, ideértve az alfeldolgozókkal létesített kapcsolatokat is.

Hozzáférés-kezelés

• A hozzáférés a legkisebb jogosultság elve alapján történik; minden alkalmazott és rendszer csak a szerepéhez szükséges jogosultságokkal rendelkezik.
• Többfaktoros hitelesítés az adminisztratív és infrastrukturális hozzáférés esetében.
• Az ügyfelek munkaterületeinek elkülönítése az alkalmazási és adatbázis-rétegben.
• A hozzáférési jogok rendszeres felülvizsgálata és azonnali visszavonása.

Rendelkezésre állás és ellenálló képesség

• Rendszeres automatikus mentések tesztelt helyreállítási eljárásokkal.
• Redundáns hoszting infrastruktúra az Európai Unión belül.
• A rendelkezésre állás és a teljesítmény figyelése riasztásokkal.

Integritás és naplózás

• A személyes adatokhoz való hozzáférés és az adminisztratív műveletek naplózása.
• Auditnyomvonal a dokumentumokhoz: ki, mikor küldte be, módosította, hagyta jóvá vagy exportálta azokat.
• Anomáliák és biztonsági incidensek felismerése.

Szervezési intézkedések

• Titoktartási kötelezettség minden olyan munkatárs és szerződő partner esetében, aki hozzáfér a személyes adatokhoz.
• A munkatársak adatvédelmi és biztonsági képzése.
• Dokumentált belső eljárások a személyes adatok kezelésére és az érintetti kérelmek intézésére vonatkozóan.
• Incidenskezelési terv meghatározott szerepekkel és bejelentési határidőkkel.
• Új alfeldolgozók adatvédelmi ellenőrzése a bevonás előtt.