Adatfeldolgozási megállapodás (GDPR 28. cikk)

1. Szerződő felek

Az adatkezelő az Ügyfél, aki a BOXLY-ra vonatkozó szerződést megkötötte. Az adatfeldolgozó: REKAG digital s.r.o., Šustekova 3618/47, 851 04 Bratislava, Szlovákia, cégjegyzékszám (IČO) 51 897 881, közösségi adószám SK2120830250, bejegyezve a Pozsonyi III. Kerületi Bíróság cégnyilvántartásába (Sro szakasz, 130848/B betétszám) (a továbbiakban: „Szolgáltató”).

2. A kezelés tárgya, jellege és célja

Az adatfeldolgozó az adatkezelő megbízásából kizárólag a BOXLY nyújtása érdekében kezel személyes adatokat: adatok tárolása és rendelkezésre bocsátása, raktárhelyiségek foglalása és bérbeadása, bizonylatok és értesítések kiállítása és kiküldése, ügyfélportál, támogatás és mentés.

3. Adatkategóriák és érintettek

• Érintettek: az adatkezelő Végfelhasználói (magánszemélyek és vállalkozások képviselői), bérleti érdeklődők és az adatkezelő csapatának tagjai.
• Adatok: név, e-mail-cím, telefonszám, cím, cégadatok (cégjegyzékszám, adószám, közösségi adószám), a foglalás és a bérlet adatai (raktárhelyiség, időszak, ár), számlák, a fizetés állapota és a fizetési szolgáltatónál használt azonosítók, a raktárhelyiség belépési kódja, kommunikáció és hozzájárulások. Személyes adatok különleges kategóriáit nem kezeljük.

4. Az adatfeldolgozó kötelezettségei

• Az adatokat kizárólag az adatkezelő dokumentált utasítása alapján kezelni (ez a megállapodás, a beállítások és a szolgáltatás használata); ha valamely utasítást jogsértőnek tart, azt haladéktalanul közli.
• Gondoskodni arról, hogy a feldolgozásra jogosult személyek titoktartásra kötelezettséget vállaltak.
• Az 1. melléklet szerinti műszaki és szervezési intézkedéseket megtenni.
• További adatfeldolgozót kizárólag az 5. pont feltételei szerint igénybe venni.
• Segíteni az adatkezelőt az érintetti kérelmek megválaszolásában: a szolgáltatás adatexportot és az ügyfél anonimizálását tartalmazza; további segítséget kérésre ésszerű határidőn belül nyújt.
• Segíteni a GDPR 32–36. cikke szerinti kötelezettségek (biztonság, incidensbejelentés, hatásvizsgálat) teljesítésében a kezelés jellegének megfelelő mértékben.
• Az adatvédelmi incidenst a tudomásszerzést követően haladéktalanul, legkésőbb 48 órán belül, a rendelkezésre álló információkkal jelenteni az adatkezelőnek.
• A szerződés megszűnése után az adatokat az általános szerződési feltételek szerint törölni (export 30 napig, azt követően törlés; mentések legfeljebb 90 napig), kivéve, ha jogszabály megőrzést ír elő.
• Lehetővé tenni az auditokat, és megadni a kötelezettségek teljesítésének igazolásához szükséges információkat; az auditot az adatkezelő vagy az általa megbízott auditor végzi előzetes értesítés után, ésszerű terjedelemben és a szolgáltatásnak más ügyfelek számára történő zavarása nélkül.

5. További adatfeldolgozók

Az adatkezelő általános felhatalmazást ad az Alvállalkozók oldalon megnevezett további adatfeldolgozók igénybevételére. A tervezett igénybevételről vagy cseréről az adatfeldolgozó legalább 14 nappal előre e-mailben tájékoztat; az adatkezelő megalapozott okból tiltakozhat, és ha megegyezés nem születik, megszüntetheti a szerződést.

A további adatfeldolgozót az adatfeldolgozó e megállapodással azonos védelmi szintre kötelezi. Az adatfeldolgozó felel az adatkezelő felé a további adatfeldolgozó kötelezettségeinek teljesítéséért.

6. Harmadik országba történő továbbítás

Az adatokat az EU-ban tároljuk. Az EGT-n kívül székhellyel rendelkező további adatfeldolgozók esetében az adatfeldolgozó megfelelő garanciákról gondoskodik (szabványos szerződéses kikötések vagy az EU-USA adatvédelmi keretrendszer szerinti tanúsítás).

7. Az adatkezelő kötelezettségei

Az adatkezelő felel a kezelés jogszerűségéért, az érintettek tájékoztatásáért és a jogalapért. Nem vihet be a szolgáltatásba olyan adatot, amely annak céljához nem szükséges, sem személyes adatok különleges kategóriáit; az MI-asszisztens használatakor nem adhat meg Végfelhasználók személyes adatait.

8. Időtartam

A megállapodás a szolgáltatásra vonatkozó szerződés időtartama alatt, és addig érvényes, amíg az adatfeldolgozó adatokat kezel vagy megőriz.

1. melléklet: műszaki és szervezési intézkedések

• Az ügyféladatok elkülönítése: minden adatbázis-lekérdezés központilag egy meghatározott ügyfélhez kötött, más ügyfél adataihoz az alkalmazáson keresztül technikailag nem lehet hozzáférni.
• Az átvitel titkosítása (HTTPS) és védelem a szokásos webes támadások ellen (biztonsági fejlécek, a próbálkozások korlátozása, bemenetellenőrzés).
• A jelszavakat hash formájában tároljuk (Argon2id). A kétlépcsős azonosítás a felhasználók számára elérhető; a Szolgáltató belső csapatának kötelező.
• Az ügyfél titkai (fizetési, számlázási és e-mail-kulcsok) és a raktárhelyiségek belépési kódjai titkosítva vannak az adatbázisban (AES-256-GCM).
• Szerepkör alapú hozzáférés-szabályozás, az érzékeny módosítások naplózása az audit naplóban.
• Üzemeltetés az EU-ban (Németország) található adatközpontban, elkülönített éles környezet, rendelkezésre állás felügyelete.
• Rendszeres, ellenőrzött adatbázis-mentések; a szerveren kívüli másolatok titkosítottak, a helyreállíthatóságot rendszeresen teszteljük.
• Biztonsági incidensek kezelési rendje, beleértve az ügyfelek haladéktalan értesítését.
• A Szolgáltató munkatársainak és közreműködőinek hozzáférése csak az üzemeltetéshez és a támogatáshoz szükséges mértékben, titoktartási kötelezettséggel.