Adatfeldolgozási szerződés

Tartalom

1. 1. Hatály, szerepek és fogalommeghatározások
2. 2. Az Adatkezelés részletei
3. 3. Az Ügyfél utasításai
4. 4. A jogosult személyek titoktartása
5. 5. Biztonsági intézkedések
6. 6. Alfeldolgozók
7. 7. Az adatok helye és nemzetközi adattovábbítások
8. 8. Segítségnyújtás az Érintettek kérelmeinek kezeléséhez
9. 9. Az Adatvédelmi Incidens bejelentése
10. 10. Hatásvizsgálatok és konzultáció a hatóságokkal
11. 11. Tájékoztatás és auditok
12. 12. Az adatok visszaadása és törlése
13. 13. Kormányzati megkeresések
14. 14. Felelősség
15. 15. Időtartam és elsőbbség
16. 16. Adatvédelmi kapcsolattartó és az adatkezelési tevékenységek nyilvántartása
17. 1. melléklet: Az Adatkezelés részletei
18. 2. melléklet: Technikai és szervezési intézkedések
19. 3. melléklet: Alfeldolgozók

Verzió: 1.2 · Közzétéve: 2026. október 16. · Hatályos: új Munkaterületek esetében az elfogadáskor; a korábbi Verziót elfogadó Munkaterületek esetében azon a napon, amelyet a STAK az ügyfeleknek szóló szolgáltatási feltételek 20. pontja szerinti értesítésében megad · Irányadó szöveg: angol (az ügyfeleknek szóló szolgáltatási feltételek 23.9. pontja)

Kiadó: a STAK Global, LLC, az Amerikai Egyesült Államok Delaware államában létrehozott korlátolt felelősségű társaság (nyilvántartási szám: 10798493), amely a STAK (ستاك) és a Szolgáltatások tulajdonosa. Kapcsolat: [email protected].

1. Hatály, szerepek és fogalommeghatározások

1.1 A jelen Adatfeldolgozási szerződés a STAK ügyfeleknek szóló szolgáltatási feltételek (a „Feltételek”) 3.1. pontja szerint a Megállapodás szerves részét képezi. Ez szabályozza az Ügyfél Személyes Adatainak a STAK általi Adatkezelését. A Feltételekben meghatározott kifejezések a jelen Adatfeldolgozási szerződésben ugyanazt a jelentést hordozzák.

1.2 Az Ügyfél az Ügyfél Személyes Adatainak Adatkezelője, a STAK pedig Adatfeldolgozó, amely azokat az Ügyfél nevében és az Ügyfél utasításai alapján kezeli.

• Az Adatkezelő és az Adatfeldolgozó az Alkalmazandó Adatvédelmi Jog szerinti megfelelőjüket jelenti, például a Szaúd-Arábiai Királyságban az adatkezelést irányító szervezetet és az adatkezelést végző szervezetet.
• Ha az Ügyfél az adatokat adatfeldolgozóként egy másik adatkezelő nevében kezeli, a STAK azokat az Ügyfél nevében eljáró adatfeldolgozóként kezeli, és nem minősül az 1.3. pont értelmében vett Alfeldolgozónak. Az Ügyfél gondoskodik arról, hogy az utasításai összhangban legyenek annak az adatkezelőnek az utasításaival.
• A STAK a Fiókadatokat Adatkezelőként kezeli, az Adatvédelmi szabályzatban leírtak szerint, és erre a jelen Adatfeldolgozási szerződés nem vonatkozik. Sem ez a hivatkozás, sem a 3. mellékletben található hivatkozás nem keletkeztet szerződéses kötelezettségeket a Feltételek 3.2. pontja szerint.

1.3 Az alábbi kifejezések az egyes kifejezések mellett megadott jelentéssel bírnak:

• Az Ügyfél Személyes Adatai: az Ügyféladatokban található Személyes Adatok, ideértve az Ügyfél Végügyfeleire, munkavállalóira, beszállítóira és Felhasználóira vonatkozó adatokat, a Fiókadatok kivételével.
• Különleges Személyes Adatok: egészségügyi és klinikai adatok, valamint minden olyan adat, amelyet az Alkalmazandó Adatvédelmi Jog különleges adatként minősít.
• Adatkezelés: a Személyes Adatokon végzett bármely művelet, például azok gyűjtése, rögzítése, tárolása, lekérdezése, felhasználása, közlése, továbbítása és törlése.
• Alfeldolgozó: minden olyan fél, akit a STAK az Ügyfél Személyes Adatainak kezelésére vesz igénybe a Szolgáltatások nyújtása céljából.
• Érintett: az a természetes személy, akire a Személyes Adat vonatkozik.
• Biztonsági Incidens: minden olyan esemény, amely a Szolgáltatások bizalmasságát, sértetlenségét vagy rendelkezésre állását veszélyezteti, vagy amelynek veszélyeztetése gyanítható.
• Adatvédelmi Incidens: a biztonság bármely olyan megsértése, amely az Ügyfél Személyes Adatainak véletlen vagy jogellenes megsemmisítéséhez, elvesztéséhez, megváltoztatásához, jogosulatlan közléséhez vagy az azokhoz való jogosulatlan hozzáféréshez vezet.
• Mentés: az Ügyféladatokról helyreállítási célból készített bármely másolat, a 12.3. pont és a 2. melléklet szerint.
• Éles környezet: azok a rendszerek és adatbázisok, amelyeken a Szolgáltatások futnak és amelyeket az Ügyfél használ, a Mentések kivételével.
• Alkalmazandó Adatvédelmi Jog: az Adatkezelésre vonatkozó személyesadat-védelmi jogszabályok, mindegyik az alkalmazandó mértékben, ideértve az alábbiakat:
  • Kuvait Államban: az elektronikus tranzakciókról szóló 2014. évi 20. számú törvény, valamint a Communication and Information Technology Regulatory Authority által kiadott Data Privacy Protection Regulation, Cloud Computing Regulatory Framework és Data Classification Policy, mindegyik a saját hatókörében;
  • a Szaúd-Arábiai Királyság személyes adatok védelméről szóló törvénye, amelyet a 9/2/1443 AH keltezésű (M/19) számú királyi rendelet adott ki, módosított változatában, annak végrehajtási rendelete, valamint a személyes adatoknak a Királyságon kívülre történő továbbításáról szóló rendelet;
  • az Egyesült Arab Emírségekben: a személyes adatok védelméről szóló 2021. évi (45) számú szövetségi törvényerejű rendelet, az információs és kommunikációs technológiák egészségügyi területeken történő használatáról szóló 2019. évi (2) számú szövetségi törvény, valamint a Dubai International Financial Centre és az Abu Dhabi Global Market adatvédelmi jogszabályai az azok hatálya alá tartozók tekintetében;
  • a Bahreini Királyság személyes adatok védelméről szóló törvényét kiadó 2018. évi (30) számú törvény;
  • a Katari Állam személyes adatok magánéletének védelméről szóló 2016. évi (13) számú törvénye;
  • az Ománi Szultánság (6/2022) számú királyi rendelettel kiadott személyes adatok védelméről szóló törvénye;
  • az Európai Unió általános adatvédelmi rendelete ((EU) 2016/679 rendelet), amennyiben az az Ügyfélre alkalmazandó;
  • az Egyesült Királyság általános adatvédelmi rendelete és a Data Protection Act 2018; a svájci szövetségi adatvédelmi törvény; a módosított California Consumer Privacy Act és az Amerikai Egyesült Államok többi átfogó, tagállami adatvédelmi törvénye; Kanada Personal Information Protection and Electronic Documents Act törvénye és a tartományi törvények; Brazília Lei Geral de Proteção de Dados törvénye (13.709/2018. számú törvény); India Digital Personal Data Protection Act, 2023 törvénye; Törökország a személyes adatok védelméről szóló 6698. számú törvénye; Egyiptom 2020. évi 151. számú törvénye; a Dél-afrikai Köztársaság Protection of Personal Information Act, 2013 törvénye; Szingapúr Personal Data Protection Act 2012 törvénye; Ausztrália Privacy Act 1988 törvénye; valamint az Adatkezelésre alkalmazandó bármely más személyes adatok védelméről szóló törvény.

2. Az Adatkezelés részletei

Az 1. melléklet tartalmazza az Adatkezelés tárgyát, időtartamát, jellegét és célját, az Érintettek kategóriáit és a Személyes Adatok kategóriáit.

3. Az Ügyfél utasításai

3.1 A STAK az Ügyfél Személyes Adatait kizárólag az Ügyfél dokumentált utasításai alapján kezeli. Ezek az utasítások a következők:

• a Megállapodás;
• a Munkaterület beállításai;
• a Felhasználók által a Szolgáltatásokon belül végzett műveletek;
• minden más írásbeli utasítás, amelyben a Felek megállapodnak.

3.2 A STAK az adatokat e utasításoktól eltérően is kezelheti, ha azt az Alkalmazandó Jog megköveteli. Erről előzetesen értesíti az Ügyfelet, kivéve, ha a jog tiltja az értesítést.

3.3 A STAK értesíti az Ügyfelet, ha úgy ítéli meg, hogy egy utasítás sérti az Alkalmazandó Adatvédelmi Jogot. Megtagadhatja az utasítás végrehajtását, amíg az Ügyfél azt a jogsértés megszüntetése érdekében módosítja, vagy írásban megerősíti a jogalap olyan megjelölésével, amelyet a STAK ésszerűen elfogad.

3.4 Az Ügyfél felel utasításainak jogszerűségéért, valamint azért, hogy jogalappal rendelkezzen az Ügyfél Személyes Adatainak gyűjtésére és kezelésére. Ez magában foglalja az Érintettek tájékoztatását és – ahol szükséges – hozzájárulásuk beszerzését, ideértve az adataik 7. pont szerinti továbbításához adott hozzájárulást is.

4. A jogosult személyek titoktartása

A STAK az Ügyfél Személyes Adataihoz való hozzáférést azokra a munkavállalókra és vállalkozókra korlátozza, akiknek a munkájukhoz szükségük van rá, és titoktartásra kötelezi őket. A STAK munkavállalói és vállalkozói kizárólag az alábbi esetekben férnek hozzá az Ügyféladatokhoz, és az éles környezethez való minden ilyen hozzáférés kezdetét naplózzák:

• (a) az Ügyfél által kért támogatás nyújtása céljából;
• (b) a Szolgáltatások üzemeltetése és karbantartása, valamint Mentésekből történő helyreállítása céljából;
• (c) Biztonsági Incidens vagy az Elfogadható használati szabályzat feltételezett megsértésének kivizsgálása céljából;
• (d) ha a jog ezt megköveteli.

5. Biztonsági intézkedések

5.1 A STAK megfelelő technikai és szervezési intézkedéseket alkalmaz az Ügyfél Személyes Adatainak védelme érdekében, figyelembe véve az Adatkezelés jellegét és kockázatait. Ezek legalább a 2. mellékletben szereplő intézkedéseket tartalmazzák.

5.2 A STAK frissítheti ezeket az intézkedéseket, feltéve, hogy a védelem általános szintje nem csökken.

5.3 Az Ügyfél felel a saját ellenőrzése alatt álló biztonsági intézkedésekért, például a Felhasználók és jogosultságok kezeléséért, a kétlépéses bejelentkezés bekapcsolásáért, az eszközei és berendezései védelméért, valamint az általa exportált adatok biztonságos megőrzéséért.

6. Alfeldolgozók

6.1 Az Ügyfél felhatalmazza a STAK-ot a 3. mellékletben felsorolt Alfeldolgozók igénybevételére.

6.2 A STAK-nak minden Alfeldolgozóval írásbeli szerződést kell kötnie. A szerződésnek olyan adatvédelmi kötelezettségeket kell előírnia, amelyek az Adatkezeléshez megfelelő, és a jelen Adatfeldolgozási szerződéssel lényegében egyenértékű védelmi szintet nyújtanak. A STAK továbbra is felel az Ügyféllel szemben az Alfeldolgozói kötelezettségeinek teljesítéséért.

6.3 A STAK minden új Alfeldolgozóról legalább 30 nappal azelőtt értesíti az Ügyfelet a Szolgáltatásokon belül vagy e-mailben, hogy az megkezdené az Ügyfél Személyes Adatainak kezelését.

6.4 Az értesítési idő alatt az Ügyfél ésszerű adatvédelmi okokból írásban kifogást emelhet az új Alfeldolgozóval szemben. Ha a Felek nem tudnak megegyezni a megoldásban, az Ügyfél az Adatkezelés megkezdése előtt felmondhatja az érintett előfizetést vagy a Megállapodást, és visszakaphatja a hátralévő időszakra előre megfizetett Díjakat.

6.5 Azok a Csatlakoztatott Szolgáltatók, amelyeket az Ügyfél a saját fiókjain keresztül csatlakoztat, nem a STAK Alfeldolgozói. Ide tartoznak a Fizetési Szolgáltatók, az Ügyfél saját WhatsApp Business-fiókja tekintetében a Meta, valamint a kiszállítási platformok. Az adatoknak az Ügyfél utasítására történő elküldése hozzájuk az Ügyfél irányítása alatt és nevében végzett továbbítás.

6.6 Az MI-funkciók szolgáltatójának kizárólag akkor küldenek adatot, ha egy Felhasználó az egyik ilyen funkciót kéri, ha egy Felhasználó dokumentumot, például nyugtát tölt fel az egyik funkció általi beolvasásra, vagy ha egy Felhasználó által beállított automatizálás MI-t használó lépést futtat, és kizárólag a kérés vagy lépés végrehajtásához szükséges adatokat küldik el. A szolgáltató nem használhatja azokat a modelljei betanítására. Különleges Személyes Adatokat csak akkor küldenek neki, ha maga a kérés vagy lépés tartalmazza azokat.

7. Az adatok helye és nemzetközi adattovábbítások

7.1 A Szolgáltatásokat az Amazon Web Services éles környezetében, a Németországi Szövetségi Köztársaságbeli frankfurti régióban üzemeltetik, és az Ügyfél Személyes Adatait elsősorban itt tárolják. A Mentéseket ugyanebben a régióban őrzik, és azokról másolatok készülnek az Amazon Web Services egy különálló, az Ír Köztársaságban található régiójába.

7.2 Az Ügyfél tudomásul veszi az alábbiakat, és kifejezetten felhatalmazza az ezekből eredő adattovábbításokat:

• (a) a tárhelyszolgáltatás az Európai Unióban történik, amely az Ügyfél letelepedési országán vagy üzleti tevékenységének országán kívül eshet;
• (b) a Cloudflare a hálózati forgalmat mindenkor a globális hálózatán keresztül dolgozza fel;
• (c) a 3. mellékletben felsorolt többi Alfeldolgozó más országokban, ideértve az Amerikai Egyesült Államokat is, kizárólag az érintett szolgáltatás használatakor kezel adatokat;
• (d) a STAK munkavállalói Kuvait Államból férhetnek hozzá az adatokhoz, kizárólag a 4. pontban meghatározott esetekben.

7.3 Az Ügyfél Személyes Adatainak a gyűjtés országán kívülre történő továbbítása esetén a STAK az alábbi garanciákat alkalmazza:

• (a) a 6.2. pontban említett szerződések, ideértve azokat az általános szerződési feltételeket, amelyeket a STAK az Európai Unión kívüli Alfeldolgozókkal kötött;
• (b) titkosítás átvitel közben és tároláskor;
• (c) az Alkalmazandó Adatvédelmi Jog által elismert adattovábbítási mechanizmusok, ha az megköveteli azokat, ideértve a 7.6. pontban foglaltakat is.

7.4 Az Ügyfélnek be kell szereznie minden olyan hozzájárulást vagy engedélyt, amelyet országának joga az Ügyfél Személyes Adatainak az adott országon kívülre történő továbbításához megkövetel, akár hatóságtól, akár az Érintettektől. A STAK kérésre megadja az ehhez szükséges információkat.

7.5 A STAK az Ügyfél legalább 30 nappal előre történő értesítése után az elsődleges tárhelyet vagy a Mentéseket másik régióba helyezheti át, és az Ügyfél a 6.4. pont szerint kifogást emelhet, az e pont szerinti bármely felmondás pedig az áthelyezés időpontja előtt lép hatályba. A Szolgáltatásoknak az elsődleges tárhelyrégió kiesését követően az Ír Köztársaságban lévő Mentésekből történő átmeneti üzemeltetése nem minősül az e pont szerinti áthelyezésnek, és erről a STAK haladéktalanul értesíti az Ügyfelet.

7.6 A jog által előírt adattovábbítási mechanizmusok: a 7.4. pont sérelme nélkül:

• (a) Ha az Európai Unió általános adatvédelmi rendelete az Ügyfélre alkalmazandó, az Európai Bizottság (EU) 2021/914 végrehajtási határozatával elfogadott általános szerződési feltételek (az „uniós SCC-k”) hivatkozással beépülnek a jelen Adatfeldolgozási szerződésbe: a Második modul (adatkezelőtől adatfeldolgozóig), ha az Ügyfél adatkezelő, és a Harmadik modul (adatfeldolgozótól adatfeldolgozóig), ha az adatokat egy másik adatkezelő számára kezeli. Az Ügyfél az adatexportőr, a STAK pedig az adatimportőr. A 7. klauzula (csatlakozási klauzula) alkalmazandó. A 9(a) klauzula szerint a 2. változat (általános írásbeli felhatalmazás) alkalmazandó, a 6.3. pontban foglalt értesítési idővel. A 11(a) klauzulában szereplő választható szövegezés nem alkalmazandó. A 17. és 18. klauzula szerint az Ír Köztársaság joga és bíróságai az irányadók. Az illetékes felügyeleti hatóságot a 13. klauzula alapján kell meghatározni. Mellékleteiket az 1., 2. és 3. melléklet egészíti ki. Ellentmondás esetén elsőbbséget élveznek a Megállapodással szemben.
• (b) Ha a Szaúd-Arábiai Királyság személyes adatok védelméről szóló törvénye az Ügyfélre alkalmazandó, a Saudi Data and Artificial Intelligence Authority által kiadott, a személyes adatok továbbítására vonatkozó általános szerződési feltételek, Második minta (adatkezelőtől adatfeldolgozóig), hivatkozással beépülnek a jelen Adatfeldolgozási szerződésbe. Az Ügyfél az adatexportőr, a STAK pedig az adatimportőr, és függelékeiket az 1., 2. és 3. melléklet egészíti ki. A STAK megadja az Ügyfélnek azokat az információkat, amelyekre szüksége van a személyes adatoknak a Királyságon kívülre történő továbbításáról szóló rendelet szerint elvégzendő továbbítási kockázatértékeléshez. Ellentmondás esetén elsőbbséget élveznek a Megállapodással szemben.
• (c) Ha az Egyesült Arab Emírségek 2021. évi (45) számú szövetségi törvényerejű rendelete az Ügyfélre alkalmazandó, a STAK a továbbított adatokra alkalmazza az említett jogszabály rendelkezéseit, intézkedéseit és ellenőrzéseit, amennyiben azok adatfeldolgozóra vonatkoznak.
• (d) Ha az Egyesült Királyság általános adatvédelmi rendelete az Ügyfélre alkalmazandó, az uniós SCC-khez az UK Information Commissioner által kiadott Nemzetközi Adattovábbítási Kiegészítés (B1.0 verzió, hatályos 2022. március 21-től, a későbbi módosításokkal) hivatkozással beépül. Az 1–3. táblázatot a Felek Megállapodásban és az 1–3. mellékletben szereplő adataival kell kitölteni. A 4. táblázat tekintetében bármelyik Fél megszüntetheti a Kiegészítést a 19. szakasza által megengedett módon.
• (e) Ha a svájci szövetségi adatvédelmi törvény az Ügyfélre alkalmazandó, az uniós SCC-k az alábbi módosításokkal alkalmazandók: a Swiss Federal Data Protection and Information Commissioner az illetékes felügyeleti hatóság az említett törvény hatálya alá tartozó adattovábbítások tekintetében; a GDPR-ra való hivatkozások magukban foglalják az említett törvényt; a „tagállam” kifejezést úgy kell érteni, hogy a svájci érintettek Svájcban nyújthassanak be igényeket.
• (f) Ha más Alkalmazandó Adatvédelmi Jog valamely konkrét adattovábbítási eszközt ír elő, például a brazil nemzeti adatvédelmi hatóság általános szerződési feltételeit vagy a Törökország 6698. számú törvénye szerinti általános szerződést, a STAK az Ügyfél kérésére aláírja vagy beépíti az adott eszközt, az 1–3. mellékletből kitöltött adatokkal.
• (g) Ha a California Consumer Privacy Act vagy hasonló amerikai tagállami adatvédelmi törvény alkalmazandó, a STAK az Ügyfél szolgáltatójaként, vállalkozójaként vagy adatfeldolgozójaként jár el. A STAK nem értékesíti és nem osztja meg az Ügyfél Személyes Adatait. Nem őrzi meg, nem használja fel és nem hozza nyilvánosságra azokat a Megállapodás szerinti Szolgáltatások nyújtásától eltérő célra, illetve az Ügyféllel fennálló közvetlen üzleti kapcsolaton kívül. Nem kombinálja azokat más forrásból származó személyes adatokkal, kivéve, ha e törvények ezt megengedik. Megfelel e törvényeknek, és ugyanolyan szintű adatvédelmet nyújt, mint amelyet azok megkövetelnek. Értesíti az Ügyfelet, ha e kötelezettségeknek már nem tud megfelelni. Az Ügyfél ésszerű lépéseket tehet bármely jogosulatlan felhasználás megszüntetésére és orvoslására. A STAK tanúsítja, hogy megérti ezeket a korlátozásokat.

7.7 Meghatározott országban tartandó adatok: az Ügyfél nem tárolhat a Szolgáltatásokban olyan adatokat, amelyek tárolását vagy kezelését az Alkalmazandó Jog egy adott országon belülre írja elő, kivéve, ha a Szolgáltatások a Feltételek 9.5. pontja szerint jelzik, hogy az adott országban történő tárhely az érintett Alkalmazás esetében elérhető. Ez a Feltételek 13.4. pontját és az Elfogadható használati szabályzat 5.4. pontját követi.

8. Segítségnyújtás az Érintettek kérelmeinek kezeléséhez

8.1 A Szolgáltatások eszközöket biztosítanak az Ügyfélnek a Végügyfelei Személyes Adatainak megtekintésére, exportálására és helyesbítésére, egy eszközt azok törlésére a személyazonosság álnévvel való helyettesítésével, a jog által megőrzésre előírt nyilvántartások megtartása mellett, valamint eszközöket a munkavállalói adatok megtekintésére és helyesbítésére. Az Ügyfél ezeket az eszközöket használja az Érintettek kérelmeire való válaszadáshoz, a STAK pedig a 8.3. pont szerint segít mindenben, amit azok nem fednek le, ideértve a munkavállalói adatok exportálását és törlését.

8.2 Ha a STAK közvetlenül egy Érintettől kap az Ügyfél Személyes Adataira vonatkozó kérelmet, azt haladéktalanul továbbítja az Ügyfélnek, és kizárólag az Ügyfél utasítására válaszol.

8.3 A STAK ésszerű segítséget nyújt az Ügyfélnek mindenben, amit a rendelkezésre álló eszközök nem fednek le.

9. Az Adatvédelmi Incidens bejelentése

9.1 A STAK indokolatlan késedelem nélkül értesíti az Ügyfelet, miután tudomást szerzett az Ügyfél Személyes Adatait érintő bármely Adatvédelmi Incidensről. Ezt, ha lehetséges, a tudomásszerzéstől számított 24 órán belül, mindenesetre 48 órán belül teszi meg.

9.2 Az értesítés – amennyiben az információ rendelkezésre áll – tartalmazza:

• (a) az incidens jellegét;
• (b) az adatok és az Érintettek kategóriáit, valamint azok hozzávetőleges számát;
• (c) a valószínű következményeket;
• (d) az incidens kezelésére megtett és javasolt intézkedéseket;
• (e) egy kapcsolattartási pontot a STAK-nál.

A STAK a további információkat azok rendelkezésre állásakor haladéktalanul megadja.

9.3 A STAK haladéktalanul ésszerű intézkedéseket tesz az incidens megfékezésére és hatásainak korlátozására. Együttműködik az Ügyféllel a hatóságok és az Érintettek értesítésében, ha az Ügyfélnek ezt meg kell tennie, figyelembe véve a jog által az Ügyfél számára előírt határidőket. Ha az Alkalmazandó Jog magától a STAK-tól követeli meg az incidens hatóságnak történő bejelentését, a STAK ezt a megkövetelt határidőn belül megteszi, és erről értesíti az Ügyfelet.

9.4 A STAK incidensről szóló értesítése, illetve a kezelésében való együttműködése nem jelenti a hiba vagy a felelősség elismerését.

10. Hatásvizsgálatok és konzultáció a hatóságokkal

Az Ügyfél kérésére a STAK megadja az adatvédelmi hatásvizsgálat elvégzéséhez vagy a hatósággal való konzultációhoz ésszerűen szükséges információkat, amennyiben azok a Szolgáltatásokat érintik.

11. Tájékoztatás és auditok

11.1 Az Ügyfél kérésére a STAK megadja a jelen Adatfeldolgozási szerződésnek való megfelelése igazolásához ésszerűen szükséges információkat. Ez magában foglalja a biztonsági dokumentációt és évente egy biztonsági kérdőív megválaszolását.

11.2 Az Ügyfél saját költségén auditot végezhet, vagy titoktartásra kötelezett független auditorral végeztethet, az alábbi esetekben:

• (a) ha azt egy hatóság megköveteli;
• (b) az adatait érintő Adatvédelmi Incidens után;
• (c) ha a 11.1. pont szerint megadott információ nem elegendő.

Az audit a következő feltételekhez kötött:

• Az Ügyfél legalább 30 nappal előre értesíti a STAK-ot az auditról.
• Az audit Munkanapokon, munkaidőben zajlik.
• A (c) pont szerinti audit évente legfeljebb egyszer zajlik.
• Egyetlen audit sem terjed ki az Alfeldolgozók létesítményeire. Helyette az ő tanúsítványaik és független jelentéseik elegendők.
• Egyetlen audit sem foglalja magában más ügyfelek adataihoz vagy a biztonságukat érintő bármihez való hozzáférést.

12. Az adatok visszaadása és törlése

12.1 Az Ügyfél a Feltételek 19.5. pontja szerint bármikor, valamint a Megállapodás megszűnése után 30 napig exportálhatja az Ügyfél Személyes Adatait.

12.2 Az exportálási időszak után a STAK 30 napon belül törli az Ügyfél Személyes Adatait az éles környezetből, kivéve, ha az Alkalmazandó Jog azok megőrzését írja elő, és a Feltételek 19.5. pontja szerinti visszatartás fenntartásával, amennyiben a STAK-ot bírósági jogvitáról, vizsgálatról vagy az illetékes hatóság megkereséséről értesítették.

12.3 A Mentéseket az alábbi megőrzési ideig őrzik:

• (a) az időponthoz kötött helyreállítás és a napi Mentések: 35 nap az egyes Mentések elkészítésének napjától;
• (b) az adatbázis éjszakai logikai Mentései (adatbázis-dumpok): 35 nap;
• (c) a havi Mentések: 12 hónap az egyes Mentések elkészítésének napjától;
• (d) a feltöltött fájlok korábbi verziói: 90 nap a cseréjük vagy törlésük napjától.

Az e Mentésekre vonatkozó szabályok:

• A napi és havi Mentéseket és azok másolatait olyan mentési tárolókban (backup vault) őrzik, amelyek szabályzata megakadályozza, hogy bárki, ideértve a STAK saját munkatársait is, a megőrzési idő lejárta előtt töröljön egy Mentést vagy módosítsa ezt az időtartamot, és amelyeknek a tárhelyszolgáltató megfelelőségi módjában (compliance mode) alkalmazott zárolása legalább az első 35 napban megakadályozza bármely Mentés törlését.
• Az éjszakai logikai Mentéseket a megőrzési idejük lejártáig védik a módosítás és a törlés ellen.
• A STAK a megőrzési idő lejárta előtt egyetlen Mentést sem töröl, az Ügyfél kérésére sem.
• Minden Mentést használaton kívül helyeznek, és kizárólag műszaki helyreállításra használják, a 12.4. pont fenntartásával, vagy ha a jog ezt megköveteli.
• A törölt adatokat tartalmazó valamennyi Mentés e határidők lejártakor, vagyis legfeljebb 12 hónapon belül lejár, és a törölt adatokat ekkor véglegesen megsemmisítik.
• Kérésre a STAK közli az Ügyféllel azt a dátumot, amikor a törölt adatokat tartalmazó utolsó Mentés lejár, hogy az Ügyfél tájékoztathassa az Érintettet.

12.4 Ha a STAK ezen időszakok alatt visszaállít egy Mentést, az adatok elérhetővé tétele előtt újra alkalmazza a 8.1. pont szerint végrehajtott adattörléseket és a 12.2. pont szerint végrehajtott törléseket, amelyek a Mentés dátuma után történtek, az e műveletekről vezetett nyilvántartások felhasználásával.

13. Kormányzati megkeresések

Ha a STAK kormányzati vagy bírósági hatóságtól kötelező erejű megkeresést kap az Ügyfél Személyes Adatainak kiszolgáltatására, értesíti az Ügyfelet, kivéve, ha a jog tiltja az értesítést. A STAK a kiszolgáltatást a megkeresés által megkövetelt minimumra korlátozza. Megtámadja azokat a megkereséseket, amelyeket ésszerűen jogellenesnek tart, a rendelkezésre álló jogi eszközökkel.

14. Felelősség

Mindegyik Fél jelen Adatfeldolgozási szerződés szerinti felelősségére, ideértve a másik Féllel szembeni, a 7.6. pont szerinti általános szerződési feltételek alapján fennálló felelősségét is, a Feltételek 16. pontjának felelősségkorlátozásra vonatkozó rendelkezései irányadók, amennyiben azok ezt megengedik, és az Érintettek e feltételek szerinti jogainak sérelme nélkül.

15. Időtartam és elsőbbség

15.1 A jelen Adatfeldolgozási szerződés addig alkalmazandó, ameddig a STAK az Ügyfél Személyes Adatait kezeli.

15.2 Ha a jelen Adatfeldolgozási szerződés ütközik a Feltételekkel, az Ügyfél Személyes Adatait érintő kérdésekben a jelen szerződés élvez elsőbbséget.

15.3 Ha az Alkalmazandó Adatvédelmi Jog a jelen Adatfeldolgozási szerződésnél szigorúbb kötelező kötelezettséget ír elő, az a kötelezettség a hatókörén belül alkalmazandó.

16. Adatvédelmi kapcsolattartó és az adatkezelési tevékenységek nyilvántartása

A STAK adatvédelmi kapcsolattartót jelölt ki, aki e-mailben a [email protected] címen érhető el. A STAK nyilvántartást vezet az ügyfelek nevében végzett adatkezelési tevékenységekről, és azt az illetékes hatóság rendelkezésére bocsátja, ha a jog ezt megköveteli.

1. melléklet: Az Adatkezelés részletei

• Tárgy: a Szolgáltatások nyújtása az Ügyfélnek a Feltételek szerint.
• Időtartam: a Megállapodás időtartama, az azt követő, a 12. pont szerinti exportálási és törlési időszak, a 12.3. pontban foglalt Mentés-megőrzési idők, valamint a 3. mellékletben meghatározott Alfeldolgozói megőrzési idők.
• Jelleg és cél:
  • az Ügyféladatok tárolása és tárhelyszolgáltatása;
  • az értékesítések, megrendelések, foglalások és számlák feldolgozása;
  • a készletnyilvántartás, a könyvelés, a humánerőforrás-kezelés és a bérszámfejtés kezelése;
  • az Ügyfél által kért üzenetek elküldése a Csatlakoztatott Szolgáltatóknál vezetett saját fiókjain keresztül, vagy a STAK által használt üzenetküldő szolgáltatókon keresztül, miután azokat a 3. melléklet felsorolja;
  • az MI-funkciók nyújtása, amikor azokat használják;
  • Mentések, biztonság és Támogatás.
• Az Érintettek kategóriái:
  • az Ügyfél Végügyfelei, vendégei és betegei;
  • munkavállalói és álláspályázói;
  • Felhasználók;
  • beszállítói és azok kapcsolattartói;
  • sofőrök és futárok.
• A Személyes Adatok kategóriái:
  • személyazonossági és elérhetőségi adatok, például név, telefonszám, e-mail-cím, lakcím és szállítási hely;
  • tranzakciók, megrendelések, foglalások és számlák nyilvántartásai;
  • a fizetésekhez kapcsolódó hivatkozások, teljes kártyaszámok nélkül;
  • hűségprogram-adatok, preferenciák és hozzájárulások;
  • az Ügyfél munkavállalóira vonatkozó adatok, például Civil ID szám, tartózkodási jogcímmel kapcsolatos adatok, fizetés, nemzetközi bankszámlaszám (IBAN), jelenlét és szabadság;
  • az Ügyfél által feltöltött fényképek és dokumentumok;
  • üzenetnaplók és az auditnapló.
• Különleges Személyes Adatok: egészségügyi és klinikai adatok a klinikai Alkalmazások használata esetén, a 7.7. pont és a Feltételek 13.4. pontja fenntartásával, amelyek szerint a betegnyilvántartási funkciók nem használhatók a Kuvait Államban vagy az Egyesült Arab Emírségekben egészségügyi ellátásban részesülő betegek esetében; valamint a humánerőforrás-aktákban található egészségügyi adatok, például a betegszabadságot igazoló orvosi igazolások. A klinikai nyilvántartásokat és a humánerőforrás-aktákat külön kulcsokkal titkosítják, és ezek az adatok csak azon Felhasználók számára láthatók, akik az azok megtekintésére jogosult szerepkörrel rendelkeznek. A biztosítási igénylésekben és előzetes engedélyekben szereplő diagnózis- és eljáráskódokat, valamint a biztosítási kártyák képeit a 2. mellékletben leírt adatbázis- és tárhelytitkosítás védi.

2. melléklet: Technikai és szervezési intézkedések

1. Titkosítás:
   • Az átvitel közbeni adatokat a TLS 1.2-es vagy újabb verziójával titkosítják, és az adatbázis-kiszolgáló identitását minden kapcsolódáskor ellenőrzik.
   • Az adatbázisokban, lemezeken, fájlokban, Mentésekben és a titkos adatok tárolójában nyugalmi állapotban lévő adatokat AES-256-tal titkosítják, az AWS Key Management Service-en (AWS KMS) keresztül vagy a tárhelyszolgáltató által kezelt kulcsokkal.
   • A humánerőforrás-aktákat és a klinikai nyilvántartásokat az alkalmazáson belül külön kulcsokkal további titkosítással is védik, a Csatlakoztatott Szolgáltatók csatlakozási adatait pedig egy különálló, külön kulccsal titkosított titkos adatok tárolójában őrzik.
2. Az egyes ügyfelek adatainak elkülönítése: az Ügyféladatok minden rekordja tartalmazza annak a Vállalkozásnak az azonosítóját, amelyhez tartozik. Az adatbázis sorszintű biztonsági szabályai az alkalmazás szerepkörére vonatkoznak, és az alkalmazás szerepkörének nincs jogosultsága ezek megkerülésére. Az összetett kulcsú megszorítások megakadályozzák, hogy egy Vállalkozás rekordjai egy másik Vállalkozás rekordjaihoz kapcsolódjanak.
3. Hozzáférés-szabályozás:
   • A hozzáférést a legkisebb jogosultság elve szerint adják meg.
   • Az éles környezethez való hozzáférés megnevezett STAK-munkavállalókra korlátozódik, többtényezős hitelesítést igényel, és minden hozzáférés kezdetét naplózzák.
   • A kiszolgálókhoz való adminisztratív hozzáférés kizárólag az AWS Systems Manageren keresztül történik, közvetlen (SSH) bejelentkezés nélkül.
4. A Felhasználók bejelentkezésének biztonsága:
   • A Felhasználók számára a Szolgáltatások passkey-eket, hitelesítő alkalmazásokat és ellenőrzött telefonra küldött ellenőrző kódokat kínálnak.
   • Az Ügyfél számára testre szabható szerepköröket és jogosultságokat, Telephely szerint korlátozott hozzáférést, valamint – az azokat tartalmazó Csomagokon – a munkamenet tétlenségére vonatkozó szabályokat és a Tulajdonosoknak szóló riasztásokat kínálnak új eszközökről történő bejelentkezés esetén.
5. Auditnapló: a módosításokról olyan auditnaplót vezetnek, amelyet egyetlen Felhasználó sem módosíthat vagy törölhet. Rögzíti a végrehajtót, az időpontot, a forrást és az IP-címet. Amikor az Ügyfél a 8.1. pont szerint töröl egy Végügyfél Személyes Adatait, a bejegyzések elveszítik az adott személy azonosító adatait, de megtartják, hogy mi történt, ki végezte és mikor. Az auditnaplót a 12. pont szerint az Ügyféladatokkal együtt törlik. A könyvelési tételek olyan láncban kapcsolódnak egymáshoz, amely feltár bármilyen illetéktelen módosítást.
6. Mentések és helyreállítás:
   • az automatizált, folyamatos Mentések lehetővé teszik az időponthoz kötött helyreállítást 35 napon belül;
   • a napi Mentéseket 35 napig, a havi Mentéseket 12 hónapig őrzik, és azokat az Ír Köztársaságban található, különálló földrajzi régióba másolják. A mentési tárolók (backup vault) szabályzata megakadályozza azok megőrzési idő lejárta előtti törlését vagy az időtartam bármilyen módosítását, a megfelelőségi módú (compliance mode) zárolás pedig legalább az első 35 napban megakadályozza bármely Mentés törlését;
   • az adatbázisról minden éjjel logikai Mentés készül, amelyet 35 napig módosítás és törlés ellen védett tárolóban őriznek;
   • az adatbázis Mentésekből történő helyreállítását havonta tesztelik.
7. Fizetési adatok: a Szolgáltatásokat úgy tervezték, hogy a STAK ne tároljon teljes kártyaszámokat. A fizetések a Fizetési Szolgáltatók által üzemeltetett oldalakon, vagy azok tanúsított kártyaelfogadó terminálain és alkalmazásain történnek. A Szolgáltatások képernyői nem tartalmaznak kártyaadatok beviteléhez szolgáló mezőket, és a Szolgáltatások lehetővé teszik az Ügyfél számára, hogy a szabad szöveges mezőket átvizsgálja tévedésből megadott kártyaszámok után, hogy azok eltávolíthatók legyenek.
8. Hálózat és infrastruktúra: az adatbázisok nyilvánosan nem elérhető, tűzfalak mögötti magánhálózatokban futnak. A webalkalmazási tűzfalat és a szolgáltatásmegtagadásos támadások elleni védelmet a Cloudflare biztosítja.
9. Sérülékenységkezelés és biztonságos fejlesztés: a kódot felülvizsgálják, és automatizált teszteket futtatnak minden kiadás előtt. A szoftverkönyvtárakat ellenőrzik, a biztonsági frissítéseket haladéktalanul alkalmazzák.
10. Felügyelet és incidenskezelés:
    • a felhőinfrastruktúrát éjjel-nappal automatikusan felügyelik, azonnali riasztásokkal;
    • a felhőinfrastruktúrán végzett minden adminisztratív műveletet naplóznak, a fenyegetéseket és a túlzott jogosultságokat pedig dedikált Amazon-szolgáltatásokon keresztül (AWS CloudTrail, GuardDuty és IAM Access Analyzer) automatikusan észlelik;
    • dokumentált eljárások vonatkoznak a Biztonsági Incidensekre való reagálásra és a 9. pont szerinti értesítésre.
11. Üzletmenet-folytonosság: folytonossági és helyreállítási tervek érvényesek, összhangban a Szolgáltatásiszint-megállapodásban foglalt helyreállítási célokkal.
12. Személyzet: A STAK munkavállalói és vállalkozói titoktartásra kötelezettek, és biztonságtudatossági képzésben részesülnek.
13. Biztonságos törlés: az adatokat a 12. pont szerint törlik, a tárhelyszolgáltató pedig a saját szabványai szerint semmisíti meg az adathordozókat.

3. melléklet: Alfeldolgozók

Csak bekapcsolás esetén használt szolgáltatók. A STAK az alábbi szolgáltatókat beállította, de ma nem használja őket az Ügyfél Személyes Adatainak kezelésére. Bármelyikük használatát csak a 6.3. pont szerinti, legalább 30 nappal előre adott értesítés után kezdi meg, és az értesítés megadja, hogy a szolgáltató hol kezeli az adatokat, és mennyi ideig őrzi azokat.

Amint a STAK bekapcsolja a saját WhatsApp-számát, a Meta arról bejelentkezési kódokat küld a Felhasználóknak, és ellenőrző kódokat azoknak a Végügyfeleknek, akik a Nyilvános Oldalakon ellenőrzik a telefonszámukat. Ennek során olyan adatokat kezel, amelyeket a STAK az Adatvédelmi szabályzat szerint Adatkezelőként kezel, nem pedig az Ügyfél Személyes Adatait.

A fenti szolgáltatókon kívül a STAK nem használ szöveges üzenet-, push-értesítés-, digitális pénztárca-, illetve címkereső, -ellenőrző és térképszolgáltatókat az Ügyfél Személyes Adatainak kezelésére.