Ez a megállapodás az ÁSZF elválaszthatatlan része, és az (EU) 2016/679 rendelet (GDPR) 28. cikke szerinti adatfeldolgozási feltételeket rögzíti a regisztrált szervezet mint adatkezelő és az AnonymBox üzemeltetője mint adatfeldolgozó között.
1. A felek és a hatály
Adatkezelő: a regisztrációban megnevezett szervezet. Adatfeldolgozó: Szakács István e.v., 5742 Elek, Táncsics utca 35., adószám: 65815063-1-24. A feltételek a szervezeti fiók létrejöttétől az adatfeldolgozás befejezéséig hatályosak.
A regisztráló kijelenti, hogy jogosult a szervezet képviseletére és e feltételek elfogadására.
2. Az adatfeldolgozás tárgya, időtartama és célja
Az adatfeldolgozás tárgya az adatkezelő által létrehozott anonim kérdőívek és kampányok technikai működtetése, a válaszok fogadása, helyi személyesadat-maszkolása, tárolása, anonimitási küszöbök szerinti összesítése, megjelenítése, exportja, visszavonása és törlése. Célja az AnonymBox szerződés szerinti biztosítása. Az adatfeldolgozás a szerződés fennállásáig, a beállított megőrzési idő végéig vagy a jogszerű törlési utasítás teljesítéséig tart.
3. Érintettek és adatkategóriák
| Érintetti kör | Feldolgozott adatok |
|---|---|
| A kampány válaszadói | A kérdésekre adott választartalom, kampány- és kérdésazonosító, nap pontosságú időcsoport, privacy-jelzések és a visszavonási kulcs egyirányú lenyomata. |
| Az adatkezelő felhasználói | A szolgáltatás működtetéséhez szükséges név, munkahelyi email, szerepkör és biztonsági/auditadatok. Ezek egy részét az üzemeltető önálló adatkezelőként kezeli az adatkezelési tájékoztató szerint. |
A kérdőív nem használható különleges személyes adatok vagy bűnügyi személyes adatok célzott bekérésére az adatfeldolgozó előzetes írásbeli megállapodása nélkül. A válaszadó által önként beírt személyes adatokat a rendszer mentés előtt megpróbálja maszkolni, de a felismerés nem tévedhetetlen.
4. Az adatkezelő utasításai és kötelezettségei
Az adatfeldolgozó kizárólag a szerződésben, a rendszer beállításaiban és az adatkezelő dokumentált kéréseiben foglalt utasítások alapján jár el, kivéve, ha uniós vagy magyar jog eltérő feldolgozást ír elő. Ilyen esetben az adatkezelőt – ha azt jogszabály nem tiltja – előzetesen tájékoztatja. Ha egy utasítás megítélése szerint adatvédelmi jogot sért, arra haladéktalanul felhívja az adatkezelő figyelmét, és a végrehajtást a tisztázásig felfüggesztheti.
Az adatkezelő felel a kampány céljáért, jogalapjáért, kérdéseiért, címzettjeiért, saját érintetti tájékoztatásáért, a hozzáférésre jogosult munkatársakért és az eredmények jogszerű felhasználásáért. Tilos az anonimitási védelem kijátszása vagy a válaszadó azonosítására irányuló próbálkozás.
5. Titoktartás és hozzáférés
Az adatfeldolgozó biztosítja, hogy a személyes adatokhoz hozzáférő személyek titoktartási kötelezettség alatt álljanak, megfelelő adatvédelmi és biztonsági utasítást kapjanak, és csak a feladatukhoz szükséges mértékben férjenek hozzá. A hozzáférési jogosultságokat rendszeresen felül kell vizsgálni és megszűnéskor vissza kell vonni.
6. Biztonsági intézkedések
Az adatfeldolgozó a kockázattal arányos technikai és szervezési intézkedéseket alkalmaz, különösen HTTPS-t, erős jelszókövetelményt és opcionális MFA-t, szervezetenkénti adat- és jogosultság-elkülönítést, adatbázis-korlátokat, naplózott adminisztratív műveleteket, sebességkorlátozást, biztonsági fejléceket, szövegmaszkolást, csoportméret-alapú eredményvédelmet, korlátozott megőrzést, biztonsági mentést és visszaállítási eljárást. A válaszhoz nem tárol tartós IP-címet, User-Agentet vagy válaszadói profilt.
7. További adatfeldolgozók
Az adatkezelő általános felhatalmazást ad a szolgáltatás működtetéséhez szükséges további adatfeldolgozók igénybevételére. A jelenlegi fő szolgáltató a Rackhost, amely tárhely-, adatbázis- és email-infrastruktúrát biztosít. Az adatfeldolgozó a további adatfeldolgozóra legalább azonos lényeges adatvédelmi kötelezettségeket hárít.
Új, a válaszadatokat érdemben kezelő további adatfeldolgozóról az adatkezelőt lehetőség szerint legalább 15 nappal korábban tájékoztatni kell. Az adatkezelő megalapozott adatvédelmi okból tiltakozhat; a felek megfelelő megoldást keresnek, ennek hiányában az érintett szolgáltatás megszüntethető.
8. Érintetti kérelmek
Az adatfeldolgozó – a feldolgozás jellegét figyelembe véve – megfelelő technikai és szervezési intézkedésekkel segíti az adatkezelőt az érintetti kérelmek teljesítésében. Az anonim válasz személyazonosság alapján szándékosan nem kereshető ki; a válaszadó a beküldéskor kapott visszavonási kulccsal törölheti azt. Az adatfeldolgozóhoz közvetlenül érkező, az adatkezelő felelősségi körébe tartozó kérelmet indokolatlan késedelem nélkül továbbítja.
9. Incidens, hatásvizsgálat és hatósági együttműködés
Az adatfeldolgozó a tudomására jutott személyesadat-sértést indokolatlan késedelem nélkül jelzi az adatkezelőnek, és megadja a rendelkezésére álló információkat az esemény jellegéről, az érintett adatok és személyek becsült köréről, a várható következményekről és a megtett vagy tervezett intézkedésekről. Ésszerű keretek között segíti az adatkezelőt az incidenskezelésben, adatvédelmi hatásvizsgálatban és előzetes konzultációban.
10. Törlés, visszaadás és megőrzés
A szolgáltatás megszűnésekor az adatkezelő választása vagy a szerződés szabályai szerint az adatfeldolgozó visszaadja, exportálhatóvá teszi vagy törli az adatkezelő nevében kezelt adatokat, és törli a másolatokat, kivéve, ha jogszabály megőrzést ír elő. A szervezettörlés 30 napos visszavonási idő után válik véglegessé. A biztonsági mentésekből az adatok a dokumentált felülírási ciklus során ürülnek ki, addig elkülönítetten és rendeltetésszerű visszaállításon kívül nem használhatók.
11. Ellenőrzés és információszolgáltatás
Az adatfeldolgozó rendelkezésre bocsátja a 28. cikk szerinti megfelelés igazolásához szükséges ésszerű információkat. Az adatkezelő évente legfeljebb egyszer, továbbá igazolt incidens vagy hatósági kérés esetén további alkalommal ellenőrzést kezdeményezhet legalább 15 napos előzetes értesítéssel. Elsődlegesen dokumentumalapú ellenőrzést kell alkalmazni; a vizsgálat nem veszélyeztetheti más ügyfél adatait, a rendszer biztonságát vagy az üzletmenetet. Az adatkezelő viseli az egyedi helyszíni ellenőrzés indokolt költségeit, kivéve, ha lényeges szerződésszegés igazolódik.
12. Adattovábbítás és kapcsolat
Az adatfeldolgozó nem továbbít válaszadatot az Európai Gazdasági Térségen kívülre megfelelő jogalap és garanciák nélkül. Tervezett harmadik országbeli továbbítás előtt tájékoztatja az adatkezelőt.
Adatfeldolgozási és biztonsági megkeresés: istvan.szakacs@it-store.hu. A jelen feltételekben nem szabályozott kérdésekben az ÁSZF, a GDPR és a magyar jog irányadó.