Ez az Adatfeldolgozási megállapodás a Sunset Docs Felhasználási feltételeinek része, amelyet az ügyfél és Esteve Castells Calpe (Barcelona, Spain) kötött. Automatikusan alkalmazandó, amikor a Sunset Docs az ügyfél nevében az Ügyfél személyes adatait kezeli. A külön aláírt adatfeldolgozási megállapodás elsőbbséget élvez, ha kifejezetten ellentmond ennek a dokumentumnak.
1. Fogalommeghatározások
GDPR: az (EU) 2016/679 rendelet. Az adatkezelő, adatfeldolgozó, személyes adat, adatkezelés, érintett és adatvédelmi incidens fogalmak jelentése a GDPR szerinti. Az Ügyfél személyes adatai: az ügyfél munkaterületére beküldött vagy ott létrehozott személyes adat, amelyet a Sunset Docs az ügyfél nevében kezel.
Adatvédelmi jog: a GDPR és minden egyéb, a jelen megállapodás szerinti adatkezelésre alkalmazandó magánélet-védelmi vagy adatvédelmi jogszabály. A Szolgáltatás és az Ügyfél fogalmak jelentése a Feltételek szerinti.
2. Szerepkörök és hatály
Az ügyfél az adatkezelő, vagy egy másik adatkezelő nevében eljáró adatfeldolgozó. A Sunset Docs az adatfeldolgozó vagy a további adatfeldolgozó. Mindkét fél teljesíti az adatvédelmi jog szerinti saját kötelezettségeit.
Ha az ügyfél adatfeldolgozóként jár el, megerősíti, hogy az érintett adatkezelő engedélyezte az utasításait és a Sunset Docs igénybevételét. Az 1. melléklet ismerteti a jelen megállapodás hatálya alá tartozó adatkezelést.
3. Dokumentált utasítások
A Sunset Docs az Ügyfél személyes adatait kizárólag a Feltételekben, a jelen megállapodásban, az ügyfél szolgáltatásbeállításaiban és a funkciók engedélyezett használatában foglalt dokumentált utasítások alapján kezeli. Ha uniós vagy tagállami jog más adatkezelést ír elő, az adatkezelés előtt tájékoztatjuk erről az ügyfelet, kivéve, ha a jogszabály a tájékoztatást tiltja.
Tájékoztatjuk az ügyfelet, ha úgy véljük, hogy valamely utasítás sérti az adatvédelmi jogot, és az érintett adatkezelést szüneteltethetjük, amíg a felek a kérdést rendezik.
4. Titoktartás
A Sunset Docs által az Ügyfél személyes adatainak kezelésére feljogosított minden személyt szerződéses vagy jogszabályon alapuló titoktartási kötelezettség terhel, és csak a feladatköréhez szükséges mértékben kap hozzáférést.
5. Biztonság
A Sunset Docs az adatkezelés kockázataihoz igazodó technikai és szervezési intézkedéseket alkalmaz, figyelembe véve a tudomány és technológia állását, a megvalósítás költségeit, valamint az adatkezelés jellegét, hatókörét, körülményeit és céljait. A jelenlegi intézkedéseket a 2. melléklet ismerteti.
Az intézkedéseket a szolgáltatás változásával frissíthetjük, feltéve, hogy a frissítés nem csökkenti lényegesen az Ügyfél személyes adatainak általános védelmét.
6. További adatfeldolgozók
Az ügyfél általános írásbeli felhatalmazást ad a További adatfeldolgozók oldalon megjelölt további adatfeldolgozók igénybevételére. Legalább 30 nappal előre értesítjük az ügyfelet, mielőtt az Ügyfél személyes adatait kezelő további adatfeldolgozót veszünk fel vagy cserélünk le. Az ügyfél ezen időszakon belül észszerű adatvédelmi indokkal tiltakozhat.
Minden további adatfeldolgozóra olyan adatvédelmi kötelezettségeket rovunk, amelyek az adott adatkezelés tekintetében lényegében egyenértékű védelmet nyújtanak. A jogszabályoknak megfelelően az ügyféllel szemben felelősek maradunk a további adatfeldolgozó teljesítéséért. Ha érvényes tiltakozás után nincs észszerű alternatíva, az ügyfél felmondhatja az érintett szolgáltatást, és a fel nem használt időszakra arányosan visszakapja az előre kifizetett díjakat.
7. Érintetti kérelmek
Az adatkezelés jellegét figyelembe véve észszerű technikai és szervezési segítséget nyújtunk az érintetti jogok gyakorlására irányuló kérelmek teljesítéséhez. Ha egy érintett közvetlenül hozzánk fordul az Ügyfél személyes adataival kapcsolatban, a kérelmet indokolatlan késedelem nélkül továbbítjuk az ügyfélnek, és érdemben nem válaszolunk rá, kivéve, ha erre felhatalmazást kaptunk, vagy jogszabály kötelez rá.
8. Adatvédelmi incidensek
Indokolatlan késedelem nélkül értesítjük az ügyfelet, miután tudomást szereztünk az Ügyfél személyes adatait érintő adatvédelmi incidensről. Megadjuk az észszerűen rendelkezésre álló információkat az incidens jellegéről, az érintett kategóriákról és hozzávetőleges számukról, a valószínű következményekről, valamint a megtett vagy tervezett intézkedésekről.
Az információk szakaszosan is közölhetők. Az első értesítést nem késleltetjük csak azért, mert még nem ismert minden részlet, és észszerű segítséget nyújtunk az ügyfél bejelentési és tájékoztatási kötelezettségeinek teljesítéséhez.
9. Egyéb segítségnyújtás
Az adatkezelés jellegét és a rendelkezésünkre álló információkat figyelembe véve észszerű segítséget nyújtunk a biztonsági kötelezettségek, az adatvédelmi hatásvizsgálatok és a felügyeleti hatóságokkal folytatott előzetes konzultációk tekintetében, amennyiben azok a Szolgáltatásra vonatkoznak.
10. Nemzetközi adattovábbítás
Korlátozás alá eső adattovábbításra csak a GDPR V. fejezete által megengedett mechanizmus alapján kerül sor. A címzettől függően ez lehet megfelelőségi határozat, az EU-USA adatvédelmi keret, ha a címzett tanúsítvánnyal rendelkezik, vagy az Európai Bizottság általános adatvédelmi kikötései, szükség esetén kiegészítő intézkedésekkel. A szolgáltatók adatait a További adatfeldolgozók oldalon tesszük közzé.
11. Információk és auditok
Megadjuk a GDPR 28. cikkének való megfelelés igazolásához észszerűen szükséges információkat, ideértve az arányos, írásbeli biztonsági kérdésekre adott válaszokat. Az ügyfél legfeljebb 12 havonta egyszer, legalább 30 napos előzetes értesítéssel, munkaidőben, saját költségén és titoktartás mellett auditálhatja a megfelelést, a szolgáltatás megzavarása és más ügyfelek adataihoz való hozzáférés nélkül.
A gyakoriságra és az előzetes értesítésre vonatkozó korlátozások nem alkalmazandók feltételezett incidens, lényeges meg nem felelés hiteles bizonyítéka vagy felügyeleti hatósági megkeresés esetén. Helyszíni audit előtt a dokumentáció áttekintését kell alkalmazni, ha az észszerűen kielégítheti a kérést.
12. Visszaadás és törlés
A beállított törlési ütemezés folyamatos dokumentált utasításnak minősül, és az előfizetés lemondása nem hosszabbítja meg. Az ügyfél korábban is törölheti az adatokat. Az adatkezelés befejezése előtt az ügyfél letöltheti azokat az eredeti fájlokat, amelyekre a tulajdonos engedélyezte a letöltést, vagy kérheti az Ügyfél aktív személyes adatainak észszerű, szolgáltatásszintű exportját.
Az adatkezelés befejezésekor az ügyfél utasíthat minket az Ügyfél aktív személyes adatainak visszaadására és törlésére, vagy visszaadás nélküli törlésére, kivéve, ha uniós vagy tagállami jog a tárolást előírja. Eltérő utasítás hiányában a meglévő törlési ütemezések folytatódnak. A titkosított adatbázis-mentésekben maradt adatok 30 napon belül lejárnak, és a törlésig védettek maradnak.
A minimális, tartalmat nem tartalmazó törlési és naplóbejegyzések biztonsági és elszámoltathatósági célból 12 hónapig megmaradhatnak. Írásbeli kérésre visszaigazoljuk az alkalmazandó törlési folyamat befejezését.
13. Felelősség
A Feltételek felelősségi rendelkezései a jelen megállapodásra is alkalmazandók. Nem korlátozzák az érintettek jogait, a felügyeleti hatóságok hatásköreit, sem azt a felelősséget, amelynek kizárását vagy korlátozását az adatvédelmi jog nem teszi lehetővé a felek számára.
14. Időtartam és elsőbbség
A jelen megállapodás mindaddig alkalmazandó, amíg a Sunset Docs az Ügyfél személyes adatait kezeli. Adatvédelmi kérdésekben elsőbbséget élvez a Feltételekkel szemben. A megállapodás módosítására a Feltételekben meghatározott módosítási eljárás vonatkozik, azzal, hogy a jogszabály által előírt módosítás értesítés mellett korábban is hatályba léphet.
1. melléklet: Az adatkezelés részletei
Tárgy: a Sunset Docs dokumentumfogadási szolgáltatás nyújtása és támogatása. Időtartam: a szerződés időtartama, valamint az egyes beállított törlési időszakok, az esetleges megállapodás szerinti exportidőszak és a védett mentési ciklus.
Jelleg és célok: ideiglenes dokumentumok fogadása, validálása, kártevő-ellenőrzése, titkosítása, tárolása, előnézetének elkészítése, megjelenítése, értesítések küldése, engedélyezés esetén nyomtatása, a tulajdonos által engedélyezett eredetifájl-letöltés lehetővé tétele, naplózása és törlése.
Érintettek: a dokumentumok feladói, az ügyfél felhasználói és munkatársai, ügyfelei, vállalkozói, beszállítói, valamint mindazok, akiknek adatai a beküldött dokumentumokban szerepelnek. A személyes adatok között lehetnek nevek, elérhetőségek, azonosító, üzleti, szakmai és pénzügyi adatok, dokumentumtartalmak, fájlnevek, a feladó e-mail-címe, metaadatok, IP-címből származó biztonsági adatok és hozzáférési tevékenységek.
A személyes adatok különleges kategóriáinak és a magas kockázatú adatoknak a kezelése nem cél, és nem engedélyezett, hacsak külön írásban meg nem állapodtak róla. Az ügyfél nem küldhet be gyermekekre vonatkozó adatokat, büntetőjogi felelősség megállapítására vonatkozó adatokat, teljes bankkártyaadatokat, belépési adatokat, titkokat, illetve olyan adatokat, amelyek kezelésére jogszabály alapján nem jogosult.
2. melléklet: Technikai és szervezési intézkedések
Az intézkedések közé tartozik a dokumentumobjektumok alkalmazásszintű AES-256-GCM titkosítása; a dokumentumonként külön becsomagolt kulcsok; TLS a továbbítás során; privát infrastruktúra; privát, titkosított R2 tükör; munkaterület-hozzáférési ellenőrzések; választható TOTP kétlépcsős azonosítás; Argon2id jelszó-hashelés; biztonságos munkamenetek és CSRF-védelem; karantén, tartalomvalidálás és kártevő-ellenőrzés.
Az intézkedések közé tartozik továbbá a rövid ideig érvényes megtekintési engedély; a szigorú gyorsítótár-szabályozás; a nem nyilvános objektumútvonalak; a dokumentumokkal kapcsolatos lényeges műveletek naplózása; a meghatározott mentésmegőrzés; az ütemezett és kézi törlés; az éles környezethez való korlátozott hozzáférés; a titoktartási kötelezettségek; a szolgáltatók felülvizsgálata és az incidenskezelési eljárások.
3. melléklet: További adatfeldolgozók
A jelenlegi további adatfeldolgozókat, céljaikat, az adatkategóriákat, az adatkezelés régióit és az adattovábbítási garanciákat a sunsetdocs.com/subprocessors oldalon tesszük közzé. Az Ügyfél személyes adatai tekintetében csak az ott további adatfeldolgozóként megjelölt szolgáltatók képezik e melléklet részét.
15. Kapcsolat
Kérdéseket, tiltakozásokat, törlési visszaigazolásokat és aláírt példányokat a [email protected] címen kérhet.