Adatfeldolgozási megállapodás (DPA)

Suara szolgáltatás

Jelen adatfeldolgozási megállapodás (a továbbiakban: DPA) a Suara Általános Szerződési Feltételeinek (a továbbiakban: ÁSZF) 5.3 pontja alapján kötött szerződés kiegészítő része. A DPA az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: GDPR) 28. cikke szerint szabályozza, hogyan kezeli a Szolgáltató a személyes adatokat az Ügyfél megbízásából. A DPA az ÁSZF-től elkülönülő, önállóan verziózott dokumentum, ezért módosítása nem minősül az ÁSZF módosításának.

1. A felek

1.1. Adatkezelő az Ügyfél, azaz az a személy vagy szervezet, amelynek nevében a Munkaterület előfizetését megkötik, és amely a Suarával készített Alkalmazásában a saját Végfelhasználói személyes adatait kezeli (a továbbiakban: Adatkezelő).

1.2. Adatfeldolgozó a Billingo Technologies Zártkörűen Működő Részvénytársaság (röviden: Billingo Technologies Zrt.), a Suara Szolgáltatás üzemeltetője (a továbbiakban: Adatfeldolgozó vagy Szolgáltató). Székhelye: 1133 Budapest, Árbóc utca 6., cégjegyzékszáma: 01-10-140802, adószáma: 27926309-2-41.

1.3. Az Adatkezelő az előfizetés megkötésével e DPA-t elfogadja. Az elfogadás tényét, időpontját és az elfogadott változat azonosítóját a rendszer rögzíti.

2. Az adatkezelés tárgya, időtartama, jellege és célja

2.1. Az adatkezelés tárgya a Végfelhasználók személyes adata. Ezeket az Adatkezelő Alkalmazása gyűjti és tárolja (például regisztrációs adatok, űrlapadatok, rendelések, feltöltött fájlok), az Adatfeldolgozó pedig a Szolgáltatás nyújtása érdekében kezeli.

2.2. Az adatkezelés jellege a következő. Az Adatfeldolgozó a Suara Cloud háttérben (adatbázis, fájltárolás) tárolja az adatokat, és kiszolgálja a publikált Alkalmazást. Aggregált, sütimentes látogatottsági és JavaScript-hibastatisztikát készít. Az Adatkezelő utasítására a Cloud felületén megjeleníti, módosítja és törli az adatokat. Ha az Adatkezelő AI-val kapcsolatos feladatot indít, az Adatfeldolgozó az adatbázis tartalmát a generáláshoz feldolgozza.

2.3. Az adatkezelés célja a Szolgáltatás nyújtása, azaz az Adatkezelő Alkalmazásának működtetése az ÁSZF szerint.

2.4. Az adatkezelés időtartama a Projekt, illetve a fiók törléséig tart. A megszűnéskor a 8. pont szerinti törlés vagy visszajuttatás történik. Kivételt képeznek azok az adatok, amelyek megőrzését jogszabály kötelezően előírja.

3. A személyes adatok típusa és az érintettek kategóriái

3.1. A személyes adatok típusa minden olyan adat, amelyet a Végfelhasználó az Adatkezelő Alkalmazásába megad vagy abba feltölt. Ide tartoznak az azonosító adatok, az elérhetőségek, a megrendelések és űrlapok adatai, valamint a feltöltött fájlok tartalma.

3.2. Az érintettek kategóriája a Végfelhasználók, azaz az Adatkezelő publikált Alkalmazását használó harmadik személyek, vagyis az Adatkezelő ügyfelei és látogatói.

4. Az Adatfeldolgozó kötelezettségei

Az Adatfeldolgozó a GDPR 28. cikk (3) bekezdése szerint az alábbi kötelezettségeket vállalja.

4.1. A személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. Ez vonatkozik a harmadik országba vagy nemzetközi szervezet felé történő adattovábbításra is. Ha az Adatfeldolgozó úgy véli, hogy egy utasítás adatvédelmi jogszabályba ütközik, erről haladéktalanul tájékoztatja az Adatkezelőt.

4.2. Biztosítja, hogy az irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személyek az adatokat az Adatkezelő utasítása nélkül ne kezelhessék. Ezeket a személyeket titoktartási kötelezettség alá vonja.

4.3. A GDPR 32. cikke szerint megfelelő technikai és szervezési intézkedéseket hajt végre. Az intézkedések körét az Adatkezelési tájékoztató 7. pontja rögzíti, amelyre e DPA hivatkozik.

4.4. Az Adatkezelő előzetesen írásban adott általános felhatalmazása alapján további adatfeldolgozókat vehet igénybe a 6. pont szerint.

4.5. Segíti az Adatkezelőt a GDPR III-V. fejezete szerinti kötelezettségek teljesítésében, figyelemmel az adatkezelés jellegére és a rendelkezésére álló információkra. Ez különösen az érintetti kérelmek (GDPR 15-22. cikk) teljesítésére vonatkozik.

4.6. Segíti az Adatkezelőt a GDPR 32., 33. és 34. cikkében foglalt kötelezettségek teljesítésében. Az adatvédelmi incidenst (GDPR 33. cikk) haladéktalanul, de legkésőbb 48 órán belül jelenti az Adatkezelőnek.

4.7. A Szolgáltatás nyújtásával összefüggő feladatai befejezésekor az Adatkezelő választása szerint törli vagy visszajuttatja a személyes adatokat, és törli a meglévő másolatokat is. Kivétel, ha jogszabály a személyes adatok tárolását előírja. A törlés ütemezését az ÁSZF 12.4 pontja szerinti életciklus rögzíti.

4.8. Lehetővé teszi és támogatja az Adatkezelő által végzett auditokat, ideértve az ellenőrzéseket is. Az auditok gyakoriságát és módját a felek esetenként egyeztetik. Az Adatfeldolgozó eleget tehet e kötelezettségének a dokumentált megfelelőségi igazolások (például szolgáltatói tanúsítások) átadásával is.

4.9. Az Adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges.

5. Az Adatkezelő jogai és kötelezettségei

5.1. Az Adatkezelő jogosult az Adatfeldolgozót írásbeli utasítással ellátni az adatkezelés tárgyára, időtartamára, jellegére és céljára vonatkozóan. Jogosult továbbá az adatkezelés megfelelőségét a 4.8 pont szerint ellenőrizni.

5.2. Az Adatkezelő felel azért, hogy a Végfelhasználók személyes adatainak kezelése jogalappal rendelkezzen, a Végfelhasználók megfelelő tájékoztatást kapjanak, és érintetti kérelmeik teljesüljenek. E kötelezettségek körét az ÁSZF 5.3 pontja és az Adatkezelési tájékoztató 5. pontja rögzíti.

6. További adatfeldolgozók

6.1. Az Adatkezelő az Adatfeldolgozónak általános írásbeli felhatalmazást ad további adatfeldolgozók igénybevételére. A felhatalmazás a jelenlegi alvállalkozói körre terjed ki, amelyet az Adatkezelési tájékoztató 4. pontja rögzít. Ide tartozik különösen az infrastruktúra- és tárolási szolgáltató, a mesterséges intelligencia szolgáltatók és azok modellszolgáltatói, az előnézeti és publikálási szolgáltatók, valamint a Cloud háttér szolgáltatója.

6.2. Az Adatfeldolgozó minden olyan tervezett változásról tájékoztatja az Adatkezelőt, amely további adatfeldolgozók igénybevételét vagy cseréjét érinti. A tájékoztatást legalább 15 nappal a változás hatálybalépése előtt e-mailben küldi meg a Munkaterület tulajdonosának és a számlázási e-mail-címre. Az Adatkezelő a tájékoztatás kézhezvételétől számított 15 napon belül írásban kifogást emelhet. Kifogás esetén a felek egyeztetnek a változtatás elhalasztásáról vagy a szerződés megszűnéséről.

6.3. Ha az Adatfeldolgozó további adatfeldolgozót vesz igénybe, rá ugyanazokat az adatvédelmi kötelezettségeket telepíti, amelyek e DPA-ban az Adatfeldolgozót terhelik. Ha a további adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, az Adatfeldolgozó teljes felelősséggel tartozik az Adatkezelő felé azok teljesítéséért.

7. Adattovábbítás harmadik országba

7.1. Ha a személyes adatok kezelése harmadik országot érint, az Adatfeldolgozó gondoskodik arról, hogy a továbbítás a GDPR V. fejezete szerint jogszerű legyen. Tanúsított szolgáltatóknál ez a Bizottság megfelelőségi határozata alapján történik (az EU-USA adatvédelmi keret, Data Privacy Framework), egyébként a Bizottság által elfogadott általános szerződési feltételek (SCC) alkalmazásával.

7.2. Az SCC-n alapuló továbbításnál az Adatfeldolgozó dokumentálja, hogy a garanciák a célország jogrendszerének releváns elemeit (különösen a hatóságok adathozzáférését) figyelembe véve lényegében az uniós szinttel azonos védelmet nyújtanak. Ha szükséges, kiegészítő intézkedéseket alkalmaz. Ha a megfelelő védelem nem biztosítható, a továbbítást felfüggeszti vagy megszünteti, és erről tájékoztatja az Adatkezelőt.

7.3. Az alkalmazott garanciák és a továbbítás körülményeinek részleteit az Adatkezelési tájékoztató 4. pontja rögzíti.

8. Az adatok törlése vagy visszajuttatása

8.1. A Projekt törlésekor az Adatfeldolgozó a Projekt adatait, a fiók törlésekor a fiókhoz kapcsolódó valamennyi adatot törli az ÁSZF 12.4 pontja szerinti életciklus szerint. A törlés nem terjed ki a jogszabály alapján kötelezően megőrzendő adatokra, és a biztonsági mentések lejáratáig fennálló példányaira sem.

8.2. Az Adatkezelő kérésére az Adatfeldolgozó a személyes adatokat géppel olvasható formátumban visszajuttatja az Adatkezelő részére, a törlés helyett vagy azzal egyidejűleg.

9. A DPA módosítása és verziókezelése

9.1. A DPA önállóan verziózott. Minden közzétett változat verziószámmal és hatálybalépési dátummal van ellátva. A mindenkor hatályos változat a https://suara.hu/dpa oldalon érhető el, a korábbi változatok pedig nyilvánosan hozzáférhető archívumban találhatók.

9.2. Az Adatfeldolgozó jogosult a DPA-t módosítani, különösen jogszabályváltozás, új funkció vagy az alvállalkozói kör változása esetén. A lényeges módosításról az Adatkezelőt a hatálybalépés előtt legalább 15 nappal e-mailben értesíti. Ha az Adatkezelő a módosított DPA-t nem fogadja el, a módosítás hatálybalépése előtt lemondhatja az előfizetést.

9.3. A DPA módosítása nem minősül az ÁSZF módosításának, ezért az ÁSZF 13. pontja szerinti eljárás nem indul meg.

10. Vegyes rendelkezések

10.1. Jelen DPA az ÁSZF 5.3 pontja alapján a szerződés kiegészítő része. Jelen DPA-ban nem szabályozott kérdésekben az ÁSZF, abban sem szabályozott kérdésekben a hatályos jog rendelkezései irányadók.

10.2. A felek közötti jogvita elbírálására az ÁSZF 14. pontja szerinti illetékességi és jogorvoslati szabályok irányadók.

10.3. Jelen DPA magyar nyelven készült, és elektronikus úton, az előfizetés megkötésével jön létre. Az elfogadás tényét, időpontját és az elfogadott változat azonosítóját a rendszer rögzíti.