Adatfeldolgozási feltételek
Jelen dokumentum tartalmazza az Anico Kft. (Cégjegyzékszám: 15-09-061153; Adószám: 10647776-2-15; Székhely: 4400 Nyíregyháza, Debreceni út 127., a továbbiakban Vállalkozó) által működtetett Anico eChat szolgáltatáshoz (a továbbiakban: Szolgáltatás) kapcsolódó adatfeldolgozási tevékenységre irányadó adatfeldolgozási szerződéseket a 2016/679 számú általános adatvédelmi rendelet (a továbbiakban: Rendelet) szerint.
Jelen feltételeket a Szolgáltatás megrendelője (a továbbiakban: Megrendelő) a felek közötti egyedi szerződés aláírásával fogadja el.
1 Értelmező rendelkezések
Személyes adat: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.
Adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.
Adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel, jelen melléklet értelmezésében a Vállalkozó.
Címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak.
Adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
2 A szerződés tárgya, az adatfeldolgozási tevékenység
A jelen, adatfeldolgozási szerződés alapján Vállalkozó arra kap utasítást, hogy a Szolgáltatás nyújtása keretében a Vállalkozó által előre bemutatott műszak és technikai paramétereknek megfelelően, biztosítsa az Anico echat, mint híradástechnikai szolgáltatás működését, ezen belül:
· biztosítsa a kommunikáció, valamint az üzenetek továbbítását a Szolgáltatáson belül (kiemelve, hogy a szolgáltatás nem minősül az elektronikus hírközlésről szóló 2033. évi C. törvény szerinti hírközlési szolgáltatásnak, ezért a hivatkozott törvény szerinti kötelező adatmegőrzési előírások a Szolgáltatás keretében nem érvényesülnek),
· tárolja a kommunikációt a technikai specifikációnak megfelelő időtartamig a Szolgáltatás működése során használt tárhelyen,
· a Megrendelő kérése a tárolt kommunikációt adja át Megrendelőnek.
Adatok áthaladása a szervereken
A végfelhasználók által használt eszközök közötti kommunikáció a szervereken megy keresztül. Az információ digitálisan kódolt formátumban halad keresztül a szerveren, ott csak az üzenet továbbításához szükséges ideig tárolódik.
Huzamosabb ideig tárolódó adatok/információk
Bizonyos információk / adatok a fentieknél tovább tárolódnak:
a) Az egyes előfizetői flottákban működő terminálok beszélgetéseinek hangfelvételei. Ezek 7 napig tárolódnak a szervereken, ezt követően automatikusan törlődnek. A hangfelvételeket az előfizető által erre feljogosított személyek távolról, az úgynevezett „diszpécser terminál” segítségével tudják megkeresni, illetve letölteni. A beszédrögzítés opcionális, a Megrendelő külön nyilatkozik arról, hogy igényli-e. A rögzítés flotta-szintű, tehát vagy a Megrendelő összes termináljának beszédforgalmát rögzíti, vagy egyet sem. A szerver-oldali hangrögzítést Megrendelő kérésére Vállalkozó tudja aktiválni, a terminál végfelhasználója a hangrögzítést sem ki-/bekapcsolni, sem ki-/bekapcsoltatni nem tudja.
b) Az egyes előfizetői flottákban működő terminálok GPS pozíciói. A GPS előzményeket a Megrendelő által erre feljogosított személyek távolról, az úgynevezett „diszpécser terminál” segítségével tudják megkeresni, illetve letölteni. A GPS adatok küldését az adminisztrációs felületen keresztül tudja a Megrendelő ki- vagy bekapcsolni, vagy ezt a beállítást Vállalkozó ügyfélszolgálatán keresztül elvégeztetni. A ki-be kapcsolás teminálonként külön állítható. A terminál végfelhasználója nem tudja ezt állítani, csak a Megrendelő.
c) Az egyes előfizetői flottákban működő terminálok által küldött szöveges, fotó- vagy videoüzenetek. Ezeket a Megrendelő által erre feljogosított személyek távolról, az úgynevezett „diszpécser terminál” segítségével tudják megkeresni, illetve letölteni, illetve természetesen az üzenetek címzettjei. Az elküldött üzenetek végfelhasználók által nem visszavonhatók vagy törölhetőek.
d) A diszpécser-terminálok erre alkalmas licensz birtokában, szükség esetén távolról be tudják kapcsolni más végfelhasználói terminálok kameráját és mikrofonját, így szükség esetén a diszpécser távolról hangot és/vagy videoképet kaphatnak végfelhasználó termináljáról. Ez elsősorban biztonsági célokat szolgál: pl. vészjelzés esetén a diszpécser információt kaphat a végfelhasználó (pl. rendész, járőr helyzetéről).
3 Adatfeldolgozás elvei, a felek jogai és kötelezettségei az adatok feldolgozásával kapcsoltban
Megrendelő és Vállalkozó a Rendelet rendelkezéseinek figyelembevételével gondoskodnak az adatfeldolgozások során az Érintettek magánéletének tiszteletben tartásához való jogának, továbbá alapvető jogainak és szabadságjogainak védelméről.
A Megrendelő a beépített és alapértelmezett adatvédelem elvének szem előtt tartásával köteles gondoskodni arról, hogy olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét fent meghatározott adatkezelési célok és Megrendelő jogi kötelezettségének elérése szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre.
Megrendelő gondoskodik arról, hogy az adatkezelés céljának elérése érdekében a Vállalkozó részére átadott személyes adatok csak olyan személyek számára legyenek elérhetőek, akiknek a Vállalkozó szervezetén belül meghatározott feladata van.
Vállalkozó köteles tájékoztatni Megrendelőt, amennyiben jogi kötelezettség teljesítéséhez szükséges adatkezelést kell folytatnia. Az értesítésben pontosan meg kell jelölni, hogy a jogi kötelezettséget mely jogszabály írja elő és mely adatokra terjed ki.
4 Utasítási jog
Vállalkozó vállalja, hogy csak
- Megrendelő nevében, a Felek közötti egyedi szerződés, technikai sepcifikáció és jelen szerződési feltételek szerinti utasításával összhangban dolgozza fel a személyes adatokat, amennyiben bármely oknál fogva nem képes megfelelni ezeknek a követelményeknek, haladéktalanul tájékoztatják erről Megrendelőt.
- nincs tudomása arról, hogy a rá vonatkozó jogszabályok akadályoznák a Megrendelőtől kapott utasítások és a szerződésben vállalt kötelezettségek teljesítését.
Vállalkozót terheli a felelősség a Megrendelő utasításaitól eltérő, vagy Megrendelő utasítása nélküli eljárásból fakadó jogsértésekért.
Megrendelő jelen szerződés aláírásával kifejezetten engedélyt ad arra, hogy a szolgáltatás technikai fejlesztése keretében Vállalkozó, vagy a szolgáltatás szerzői jogaival rendelkező más személy a szolgáltatás mögöttes informatikai rendszereit fejlessze, abban módosításokat hajtson végre, valamint a technikai specifikációt módosítsa.
5 További adatfeldolgozó igénybevétele
Vállalkozó számára co-location hoszting szolgáltatást, valamint felügyeleti és rendszergazdai szolgáltatásokat a Giganet Internet Szolgáltató Kft. nyújtja.
6 Az adatkezelési műveletek támogatása
Vállalkozó támogatja a Megrendelőt:
- a GDPR 35. cikke szerinti hatásvizsgálat lefolytatásában azzal, hogy ha a Megrendelő az adatfeldolgozást is érintő hatásvizsgálatot készít, a Vállalkozó a Megrendelő által megfogalmazott konkrét, az adatfeldolgozással kapcsolatos kérdésekre 20 napon belül írásbeli választ ad,
- adatvédelmi incidensek kezelésében azzal, hogy:
o ha Vállalkozó bármilyen szintű adatvédelmi incidenst észlel, akkor azt 24 órán belül jelzi a Megrendelő felé,
o ha a Megrendelő adatvédelmi incidenst jelez a Vállalkozó felé, akkor Vállalkozó közreműködik az incidens kivizsgálásában, ennek keretében:
§ magas szintű adatvédelmi incidens esetén haladéktalanul, de legkésőbb 24 órán belül elvégzi az ahhoz szükséges vizsgálatokat, hogy megállapíthassa, hogy az incidens oka a tevékenységével függ-e össze és a vizsgálat eredményéről tájékoztatja a Megrendelőt, valamint, ha az incidens oka a tevékenységével függ össze, akkor közreműködik a incidens kezelésével összefüggő intézkedések meghozatalában, a kezelés érdekében megtesz minden tőle elvárható lépést, az ésszerűen elvárható határidőn belül;
§ alacsony szintű adatvédelmi incidens esetén 7 munkanapon belül elvégzi az ahhoz szükséges vizsgálatokat, hogy megállapíthassa, hogy az incidens oka a tevékenységével függ-e össze és a vizsgálat eredményéről tájékoztatja a Megrendelőt, valamint, ha az incidens oka a tevékenységével függ össze, akkor közreműködik a incidens kezelésével összefüggő intézkedések meghozatalában, a kezelés érdekében megtesz minden tőle elvárható lépést, az ésszerűen elvárható határidőn belül;
o Az adatvédelmi incidensről szóló tájékoztatásban Vállalkozó az alábbi adatokat jelöli meg:
§ érintett személyes adatok köre,
§ incidenssel érintettek köre, száma,
§ incidens időpontja,
§ incidens körülményei,
§ incidens hatása,
§ incidens elhárítása érdekében Vállalkozó által tett intézkedés,
§ incidenssel kapcsolatos egyéb adatok.
Felek az adatvédelmi incidensek felmerülése esetén közösen az adott incidenst az alábbiak szerint sorolják szintekbe:
- Alacsony szintű adatvédelmi incidens: a személyes adatok elhanyagolható körének jogosulatlan továbbítása, megváltoztatása, nyilvánosságra hozatala, szándékolt, vagy véletlen törlése vagy megsemmisítése, vagy az azokhoz való jogosulatlan hozzáférés. Ilyen eset különösen az, ha az adat nem köthető természetes személyhez.
- Magas szintű adatvédelmi incidens:
o a személyes adatok széles körének jogosulatlan megváltoztatása, továbbítása, nyilvánosságra hozatala, szándékolt, vagy véletlen törlése vagy megsemmisítése, vagy az azokhoz való jogosulatlan hozzáférés,
o az adatok körétől függetlenül minden olyan eset, amikor az incidensnek az érintettre súlyosan hátrányos hatása valószínűsíthető, vagy a hátrányos következmény bekövetkezése biztos.
- Vállalkozó igény esetén személyes konzultációban biztosítja annak a lehetőségét, hogy a Megrendelő ellenőrizni tudja a szolgáltatás működését.
- Vállalkozó haladéktalanul tájékoztatja a Megrendelőt, ha annak valamely utasítása Vállalkozó megítélése szerint sérti a vonatkozó adatvédelmi követelményeket. Amennyiben az utasítást a Megrendelő az értesítést követően is fenntartja, Vállalkozó mentesül az adott adatfeldolgozási tevékenységgel kapcsolatos felelősség alól.
7 Az érintetti joggyakorlás támogatása
Vállalkozó az érintetti joggyakorlást az alábbiak szerint támogatja:
- Megrendelő bármikor jogosult kéréssel fordulni Vállalkozó felé, ha az érintettek számára valamely jog gyakorlásához Vállalkozó közreműködésére van szükség, ilyen esetekben Vállalkozó az igényt a Megrendelővel egyeztetve 20 napon belül teljesíti.
8 Nyilvántartási kötelezettség
Vállalkozó nyilvántartást vezet az általa végzett Adatfeldolgozási tevékenységről.
9 Titoktartás
Vállalkozó kötelezi magát arra, hogy az adatfeldolgozási tevékenységének jelen Szerződésben meghatározott ellátása során tudomásukra jutó személyes adatokat és minden olyan további információt, amely a Megrendelő adatkezelési illetve Vállalkozó adatfeldolgozási tevékenysége során tudomására jut, bizalmasan kezeli és azokat kizárólag a jelen Szerződésben meghatározott feladatok ellátása érdekében használja fel.
10 Az adatfeldolgozás megszűnését követően fennálló kötelezettségek
Megrendelő és Vállalkozó megállapodnak abban, hogy a Felek közötti egyedi szerződés megszűnése esetén a Vállalkozó törli, vagy visszaállíthatatlan módon anonimizálja az összes a Szolgáltatás keretében feldolgozott adatot a Megrendelő kérésének megfelelően legkésőbb a szerződés megszűnését követő 30 napon belül.
