Ez az Adatfeldolgozási megállapodás („DPA”) az ügyfél („Adatkezelő”) és a AA ENTERTAINMENT LTD, 152, Office No. 9, Naxxar Road, San Gwann SGN9030, Malta („Adatfeldolgozó”) közötti Általános Szerződési Feltételek részét képezi, és megfelel a GDPR 28. cikke követelményeinek. Akkor alkalmazandó, amikor az Adatfeldolgozó az Adatkezelő nevében, a Mjegulla-en keresztül személyes adatokat kezel. Aláírt példány kérésre elérhető a [email protected] címen.
1. Tárgy és időtartam
Az Adatkezelő weboldalainak, online boltjainak és alkalmazásainak, valamint az Adatkezelő által használt kapcsolódó funkcióknak (űrlapok és postafiók, bolti rendelések, adatbázisok és fájltárolás, AI ügynökök, szerződések, látogatottsági statisztikák) az üzemeltetése, az Általános Szerződési Feltételek időtartamára, valamint a 10. szakaszban meghatározott törlési időszakra.
2. Az adatkezelés jellege és célja
Tartalom tárolása, üzemeltetése és kézbesítése; űrlapbeküldések, emailek és rendelések fogadása és tárolása; alkalmazás-háttérrendszerek, adatbázisok és fájltárolás üzemeltetése; válaszok generálása AI segítségével az Adatkezelő ügynökei és alkalmazásai számára; értesítések küldése; statisztikák készítése; valamint az adatok törlése az utasítások szerint.
3. Az érintettek és az adatok kategóriái
- Érintettek: az Adatkezelő weboldalainak és alkalmazásainak látogatói, a bolt vásárlói, az űrlapot kitöltő vagy emailt küldő személyek, az alkalmazások felhasználói, az Adatkezelő AI ügynökeivel csevegő személyek, a szerződést aláírók, valamint az Adatkezelő munkatársai.
- Személyes adatok: nevek, email címek, telefonszámok, postai címek, rendelési és fizetési státusz, üzenetek és űrlaptartalom, alkalmazás-felhasználók fiókadatai, fájlok, aláírások, IP-címek és eszközinformációk, valamint minden más adat, amelyet az Adatkezelő vagy az érintettek a szolgáltatásba visznek.
- Különleges adatkategóriák: a szolgáltatás nem különleges adatkategóriák kezelésére készült. Ha az Adatkezelő ilyeneket kezel (például egészségügyi adatot egy foglalási űrlapon), az Adatkezelő felelőssége, hogy érvényes jogalappal rendelkezzen a GDPR 9. cikke alapján.
4. Az adatkezelő utasításai
Az Adatfeldolgozó kizárólag az Adatkezelő dokumentált utasításai alapján kezeli a személyes adatokat, amelyek az Általános Szerződési Feltételekből, ebből a DPA-ból, valamint az Adatkezelő által a szolgáltatásban választott beállításokból és műveletekből állnak, kivéve, ha az uniós vagy tagállami jog másként rendelkezik. Az Adatfeldolgozó tájékoztatja az Adatkezelőt, ha véleménye szerint egy utasítás sérti a GDPR-t.
5. Titoktartás
Az adatok kezelésére feljogosított személyeket titoktartási kötelezettség köti. Az Adatkezelő adataihoz való hozzáférés azokra a munkatársakra korlátozódik, akiknek erre az ügyfélszolgálat vagy az üzemeltetés miatt szükségük van.
6. Biztonság (32. cikk)
Az Adatfeldolgozó a II. mellékletben foglalt intézkedéseket alkalmazza, figyelembe véve a technika jelenlegi állását, a megvalósítás költségét és az érintettekre jelentett kockázatokat.
7. Alfeldolgozók
Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók igénybevételére; az aktuális lista kérésre elérhető a [email protected] címen. Az Adatfeldolgozó e-mailben vagy az irányítópulton keresztül tájékoztatja az Adatkezelőt minden tervezett bővítésről vagy cseréről, lehetőséget adva az Adatkezelőnek arra, hogy észszerű adatvédelmi indokok alapján kifogást emeljen; ha nem sikerül megoldást találni, az Adatkezelő megszüntetheti az érintett szolgáltatást. Az Adatfeldolgozó minden további adatfeldolgozóra egyenértékű adatvédelmi kötelezettségeket ró, és azokért felelős marad. Azok a szolgáltatások, amelyeket az Adatkezelő maga csatlakoztat (például saját fizetésszolgáltatója, Supabase-projektje vagy Meta-fiókjai), nem minősülnek az Adatfeldolgozó további adatfeldolgozóinak.
8. Az érintettek jogai
Az Adatfeldolgozó a szolgáltatás eszközeivel (beküldések, rendelések, kapcsolattartók és alkalmazásadatok megtekintése és törlése, valamint exportálásuk, ahol a szolgáltatás ezt kínálja) segíti az Adatkezelőt az érintetti kérelmek megválaszolásában, és szükség esetén ésszerű további segítséget nyújt. Az Adatfeldolgozóhoz közvetlenül beérkező kérelmeket indokolatlan késedelem nélkül továbbítjuk az Adatkezelőnek.
9. Incidensek és segítségnyújtás
Az Adatfeldolgozó az Adatkezelő adatait érintő személyesadat-incidensről a tudomására jutást követően indokolatlan késedelem nélkül értesíti az Adatkezelőt, a GDPR 33. cikk (3) bekezdése által megkövetelt információkkal, ahogy azok rendelkezésre állnak. Segíti az Adatkezelőt az adatvédelmi hatásvizsgálatokban és előzetes konzultációkban, amennyiben azok a szolgáltatáshoz kapcsolódnak.
10. Törlés és visszaszolgáltatás
A szerződés időtartama alatt az Adatkezelő törölheti adatait a szolgáltatásból, és exportálhatja azokat, ahol a szolgáltatás ezt lehetővé teszi, vagy segítséget kérhet az ügyfélszolgálattól. A fiók törlésekor az Adatfeldolgozó törli az Adatkezelő adatait, beleértve a biztonsági mentésekben lévő másolatokat is a normál mentési ciklusban, kivéve, ha az uniós vagy tagállami jog tárolást ír elő.
11. Auditok
Az Adatfeldolgozó rendelkezésre bocsátja a GDPR 28. cikkének való megfelelés igazolásához szükséges információkat. Az Adatkezelő legfeljebb évente egyszer, vagy egy incidenst követően, ésszerű előzetes értesítéssel, munkaidőben, saját költségén és titoktartás mellett auditot végezhet; a felek először dokumentációval és írásos válaszokkal próbálják kielégíteni az auditot.
12. Nemzetközi adattovábbítás
Az Adatkezelő adatait csak olyan alfeldolgozókhoz továbbítjuk az EGT-n kívülre, amelyekre megfelelőségi határozat (beleértve az EU–USA adatvédelmi keretrendszert) vagy az általános szerződési feltételek (a Bizottság (EU) 2021/914 határozata), 3. modul (adatfeldolgozótól adatfeldolgozóhoz) vonatkozik, megfelelő kiegészítő intézkedésekkel.
13. Felelősség és elsőbbség
A jelen DPA szerinti felelősség az Általános Szerződési Feltételeket követi, az érintettek GDPR 82. cikke szerinti jogainak korlátozása nélkül. Adatvédelmi kérdésekben ez a DPA megelőzi az Általános Szerződési Feltételeket.
I. melléklet — Az adatkezelés részletei
Az 1–3. szakaszban foglaltak szerint. Gyakoriság: folyamatos. Megőrzés: ameddig az Adatkezelő a szolgáltatásban tárolja az adatokat, és a fiók törléséig.
II. melléklet — Technikai és szervezési intézkedések
- Titkosítás továbbítás közben (HTTPS/TLS) minden weboldalhoz, alkalmazáshoz és a vezérlőpulthoz; SSL-tanúsítvány minden üzemeltetett domainhez.
- Hozzáférés-vezérlés: egyéni fiókok, hash-elt jelszavak, kétlépcsős azonosítás, szerepkörhöz kötött munkatársi hozzáférés, a tárhelyen üzemeltetett alkalmazások és adatbázisaik projektenkénti elkülönítése.
- Hálózatvédelem: DDoS-elhárítás, botvédelem és webalkalmazás-tűzfal a hálózati szolgáltatónknál.
- Elérhetőség: redundáns globális tárhely a közzétett oldalakhoz, rendszereink biztonsági mentése, monitorozás és riasztás.
- Fejlesztés: kódfelülvizsgálat, automatizált tesztek, az éles és fejlesztői környezetek elkülönítése, a titkos adatok forráskódon kívül tartása.
- Szervezet: titoktartási kötelezettségek, dokumentált eljárás az érintetti kérelmekre és incidensekre, ezen intézkedések rendszeres felülvizsgálata.