Adatfeldolgozói megállapodás (DPA)

A jelen adatfeldolgozói megállapodás (a továbbiakban: „DPA”) az Általános Szerződési Feltételek elválaszthatatlan melléklete, és a GDPR ((EU) 2016/679 rendelet) 28. cikk (3) bekezdésének való megfelelést szolgálja. Akkor alkalmazandó, ha az Ügyfél a Pagioo szolgáltatásba harmadik személyek (például saját ügyfelei, munkatársai, hírlevél-címzettjei) személyes adatait viszi be. E körben az Ügyfél adatkezelő, a TOPiN-HUB Kft. (székhely: 2161 Csomád, József Attila utca 1., Cg. 13-09-223835, adószám: 32134234-2-13, e-mail: [email protected]; a továbbiakban: „Adatfeldolgozó” vagy „Pagioo”) pedig adatfeldolgozó.

Az Ügyfél szavatolja, hogy az általa bevitt személyes adatok kezelésére megfelelő jogalappal rendelkezik, és az érintetteket a saját adatkezeléséről tájékoztatta.

A Pagioo a személyes adatokat kizárólag az Ügyfél dokumentált utasításai alapján kezeli – utasításnak minősül az ÁSZF, a jelen DPA és a szolgáltatás funkcióinak Ügyfél általi használata (beállítások, generálási és publikálási műveletek) –, kivéve, ha az adatkezelést uniós vagy tagállami jog írja elő; ilyen esetben erről az Ügyfelet a feldolgozás előtt értesíti, ha az értesítést az adott jog nem tiltja. Ha a Pagioo megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezést, erről az Ügyfelet haladéktalanul tájékoztatja.

A Pagioo biztosítja, hogy a személyes adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak. A hozzáférés a feladat ellátásához szükséges mértékre korlátozott.

A Pagioo a kockázatokkal arányos technikai és szervezési intézkedéseket alkalmaz, így különösen:

• saját üzemeltetésű infrastruktúra a V188 Adatközpontban (1138 Budapest, Váci út 188.), banki biztonsági szintű, fizikailag védett szerverteremben, az EU területén;
• titkosított adatátvitel (TLS) és az adathordozók, mentések védelme;
• szerepkör-alapú jogosultságkezelés, naplózott hozzáférés;
• ügyfelenkénti logikai adatelkülönítés (az AI-feldolgozás is ügyfelenként elkülönített kontextusban fut);
• rendszeres biztonsági mentés és a visszaállíthatóság tesztelése.

Az Ügyfél általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére. A Pagioo az al-adatfeldolgozókkal a jelen DPA-val legalább egyenértékű adatvédelmi kötelezettségeket köt ki, és tevékenységükért teljes felelősséggel tartozik.

A Pagioo egyéb szolgáltatói – a Stripe (fizetés), a Billingo (számlázás), a Google és a Meta (webanalitika, hirdetésmérés) – nem al-adatfeldolgozók: ők a Pagioo saját adatkezelői tevékenysége körébe tartozó adatokat dolgozzák fel, és az Ügyfél által a szolgáltatásba bevitt, ránk bízott személyes adatokhoz nem férnek hozzá.

Új al-adatfeldolgozó igénybevételéről vagy cseréjéről a Pagioo legalább 15 nappal előre e-mailben értesíti az Ügyfelet. Az Ügyfél az értesítéstől számított 15 napon belül megalapozott adatvédelmi okból kifogást emelhet; ha a felek nem jutnak megoldásra, az Ügyfél a szerződést az ÁSZF szerint felmondhatja.

A Pagioo az Ügyfél által bevitt személyes adatokat érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, de legkésőbb 72 órán belül értesíti az Ügyfelet, megadva az incidens jellegét, az érintett adatkörök és érintettek becsült körét, a valószínű következményeket és a megtett, illetve tervezett intézkedéseket. Az érintettek és a felügyeleti hatóság felé történő bejelentés az Ügyfél (mint adatkezelő) kötelezettsége; ebben a Pagioo együttműködik.

A Pagioo – az adatkezelés jellegét figyelembe véve, megfelelő technikai és szervezési intézkedésekkel – segíti az Ügyfelet a GDPR III. fejezete szerinti érintetti kérelmek (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) megválaszolásában. Ha érintetti kérelem közvetlenül a Pagioo-hoz érkezik, azt haladéktalanul továbbítja az Ügyfélnek.

A Pagioo emellett – az adatkezelés jellegére és a rendelkezésére álló információkra figyelemmel – segíti az Ügyfelet a GDPR 32–36. cikk szerinti kötelezettségek (biztonság, incidenskezelés, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében.

Az előfizetés megszűnése után a fiók a Free csomag feltételei szerint él tovább, így az Ügyfél az adatokat a szolgáltatás export-funkciójával bármikor kimásolhatja, illetve kérheti azok visszaadását. A fiók törlésekor (felhasználói törlés vagy GDPR szerinti törlési kérelem esetén) a személyes adatokat haladéktalanul anonimizáljuk, a fiókhoz tartozó tartalmakat és feltöltéseket pedig legkésőbb 90 napon belül véglegesen, helyreállíthatatlanul töröljük; a számviteli bizonylatokat a Számv. tv. 169. §-a alapján 8 évig őrizzük meg. Egyebekben a törlés alól kivétel, ha uniós vagy tagállami jog az adatok tárolását írja elő.

A Pagioo az Ügyfél rendelkezésére bocsátja a jelen DPA-ban foglalt kötelezettségek teljesítésének igazolásához szükséges információkat, és lehetővé teszi, hogy az Ügyfél vagy az általa megbízott, a Pagioo-val versenyhelyzetben nem álló ellenőr auditot folytasson le. Az audit évente legfeljebb egyszer, legalább 30 nappal korábban küldött előzetes írásbeli értesítéssel, munkaidőben, a Pagioo működésének indokolatlan zavarása nélkül, az üzleti titkok és más ügyfelek adatainak védelme mellett végezhető. Az audit költségeit az Ügyfél viseli.

Az EU-n kívülre irányuló adattovábbítás kizárólag a 6. pontban jelölt al-adatfeldolgozók (OpenAI, Anthropic – USA) felé történik, az EU–U.S. Data Privacy Framework szerinti megfelelőségi határozat (GDPR 45. cikk) alapján. Ha a DPF a jövőben nem lenne alkalmazható, a felek a GDPR 46. cikk (2) bekezdés c) pontja szerinti általános adatvédelmi kikötéseket (SCC) alkalmazzák.

A jelen DPA a szolgáltatási szerződés részeként, annak elfogadásával lép hatályba, és a 2. pont szerinti időtartamig marad érvényben. A DPA-ban nem szabályozott kérdésekben az ÁSZF, a GDPR és a magyar jog irányadó. Kapcsolat adatvédelmi ügyekben: [email protected].