Adatfeldolgozási szerződés
Ez az (EU) 2016/679 rendelet (általános adatvédelmi rendelet, a továbbiakban: „GDPR”) 28. cikke szerinti szerződés a Negotiq platformot használó Szervezet (a továbbiakban: „Adatkezelő”) és a(z) SynQflows, s.r.o., azonosítószám: 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (a továbbiakban: „Adatfeldolgozó”) között jön létre, és az Általános Szerződési Feltételek részét képezi. A szerződés az Általános Szerződési Feltételek elfogadásával jön létre, és a Szerződés időtartamára szól. A nagy kezdőbetűvel írt fogalmak jelentése az Általános Szerződési Feltételekben meghatározott.
1. Az adatkezelés tárgya és terjedelme
| Tárgy | azon személyes adatok kezelése, amelyeket az Adatkezelő vagy Felhasználói a Platformra feltöltenek, vagy amelyeket a Platform az ő utasításukra fogad vagy továbbít: Felhasználói Tartalom (Ajánlatkérések, specifikációk, mellékletek, árlisták, munkatársak és kapcsolattartók adatai), a Fogadó E-mail-címre küldött üzenetek, a csatlakoztatott rendszerekhez való hozzáférési adatok és az azokból letöltött adatok, valamint az Adatkezelő Webhookjaira küldött adatok |
|---|---|
| Jelleg és cél | tárolás, hozzáférhetővé tétel a jogosult személyek és a tárgyalásban részt vevő ellenérdekű felek számára, árlisták importja és átalakítása, e-mail-üzenetek fogadása és kiértékelése, adatok letöltése a csatlakoztatott rendszerekből, megrendelések exportja, értesítések küldése a Webhookokra, biztonsági mentés és a Platform nyújtásához szükséges egyéb technikai adatkezelés |
| Az érintettek kategóriái | az Adatkezelő munkavállalói és közreműködői; üzleti partnereinek kapcsolattartói; a Fogadó E-mail-címre küldött üzenetek feladói; azok a személyek, akiknek adatait a csatlakoztatott rendszerből letöltött árlista tartalmazza |
| Az adatok kategóriái | azonosító és kapcsolattartási adatok (név, munkahelyi e-mail-cím, telefonszám, beosztás); az e-mail-üzenetekre vonatkozó adatok (feladó, címzett, tárgy, a beérkezés időpontja, a feladó hitelesítésének eredményei) és azok mellékletei; a csatlakoztatott rendszerekhez való bejelentkezési adatok; az Adatkezelő által a tartalomba foglalt egyéb adatok. Az Adatkezelő különleges kategóriájú személyes adatokat, valamint büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó adatokat nem tölt fel |
| Időtartam | a Szerződés időtartama alatt és a 8. cikk szerinti törlésig; a Fogadó E-mail-címre érkezett üzenetek a beérkezéstől számított 90 napig; a Webhookok kézbesítésére vonatkozó nyilvántartások legfeljebb 90 napig |
2. Az Adatkezelő utasításai
- Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő írásbeli utasításai alapján kezeli, ideértve a harmadik országokba történő továbbítást is. Az utasításokat az Általános Szerződési Feltételek, e szerződés és a Platform beállításai tartalmazzák; Integráció beállításával (Fogadó E-mail-cím, ERP-csatlakozás, Webhook, harmadik fél ügynökéhez rendelt API-kulcs) az Adatkezelő az Integráció által megkövetelt mértékű adatkezelésre ad utasítást. További utasításokat a Szervezeti Adminisztrátor ad szöveges formában.
- Ha az Adatfeldolgozó megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezéseket, erről haladéktalanul tájékoztatja az Adatkezelőt, és az Adatkezelő válaszáig az utasítást nem köteles végrehajtani.
- Ha az Adatfeldolgozó számára az adatkezelést uniós vagy tagállami jog írja elő, erről az Adatkezelőt előzetesen tájékoztatja, kivéve, ha az adott jogszabály ezt tiltja (a GDPR 28. cikk (3) bekezdésének a) pontja).
- Az Adatfeldolgozó az Adatkezelő személyes adatait saját céljaira nem kezeli. Az anonimizált és összesített statisztikák (az Általános Szerződési Feltételek 11. cikkének (2) bekezdése) személyes adatot nem tartalmaznak. Az Auditlánc bejegyzéseit, a Visszaigazolásokat és az AP2-Rekordokat az Adatfeldolgozó önálló adatkezelőként, az Adatvédelmi Tájékoztató szerint kezeli, nem pedig e szerződés alapján.
- Az Adatkezelő felel az adatkezelés jogszerűségéért, az érintettek tájékoztatásáért, valamint azért, hogy jogosult a személyes adatokat a Platformra feltölteni és a csatlakoztatott rendszerekhez hozzáférést biztosítani.
3. Az Adatfeldolgozó kötelezettségei
- Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak, vagy jogszabályon alapuló megfelelő titoktartási kötelezettség hatálya alatt álljanak.
- Az Adatfeldolgozó végrehajtja a GDPR 32. cikke szerinti, az 1. mellékletben meghatározott technikai és szervezési intézkedéseket. Az intézkedéseket módosíthatja, feltéve, hogy ezzel a biztonság általános szintjét nem csökkenti.
- Az Adatfeldolgozó segíti az Adatkezelőt az érintettek kérelmeinek teljesítésében, elsősorban a Platform eszközeivel (adatexport JSON formátumban, adatok helyesbítése, a Felhasználó fiókjának vagy a Szervezetnek a megszüntetése). Az érintettől közvetlenül kapott kérelmet indokolatlan késedelem nélkül továbbítja az Adatkezelőnek, és arra érdemben maga nem válaszol.
- Az Adatfeldolgozó segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségek teljesítésében (adatbiztonság, adatvédelmi incidens bejelentése, adatvédelmi hatásvizsgálat és előzetes konzultáció), figyelembe véve az adatkezelés jellegét és a rendelkezésére álló információkat.
4. További adatfeldolgozók
- Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók igénybevételére. Aktuális lista:
További adatfeldolgozó Tevékenység Helyszín, garanciák Railway Corporation az alkalmazás és az adatbázis tárhelyszolgáltatása, biztonsági mentések USA / EU; általános adatvédelmi kikötések (3. modul) vagy az EU–USA adatvédelmi keretrendszer (EU-U.S. Data Privacy Framework) Anthropic, PBC strukturálatlan árlisták táblázattá alakítása (csak a funkció használata esetén) USA; általános adatvédelmi kikötések (3. modul); az adatokon modelltanítás nem történik e-mail-fogadási szolgáltató (a konkrét szolgáltató a funkció elindítása előtt kerül fel a listára) a Fogadó E-mail-címekre küldött üzenetek fogadása és továbbítása a Platformnak a szolgáltatóval együtt kerül feltüntetésre; az EGT-n kívülre történő továbbítás csak a 7. cikk szerinti garanciák mellett e-mail-szolgáltató (SMTP) számlák, fizetési felszólítások és üzemi üzenetek kézbesítése (a címzett címe és az üzenet tartalma) EU - Az Adatfeldolgozó a további adatfeldolgozó tervezett bevonásáról vagy cseréjéről legalább 14 nappal előre tájékoztatja az Adatkezelőt a Platformon vagy a Szervezeti Adminisztrátornak küldött e-mailben. Az Adatkezelő e határidőn belül a személyes adatok védelmével kapcsolatos észszerű indokok alapján kifogást emelhet. A felek megkísérelnek megoldást találni; ha ez nem sikerül, az Adatkezelő a Szerződést szankció nélkül, a további adatfeldolgozó bevonását megelőző hatállyal felmondhatja.
- Az Adatfeldolgozó a további adatfeldolgozókra szerződésben ugyanazokat az adatvédelmi kötelezettségeket rója, mint amelyek őt e szerződés alapján terhelik, ideértve a technikai és szervezési intézkedések végrehajtására vonatkozó megfelelő garanciákat is, és az Adatkezelővel szemben felel azok kötelezettségeinek teljesítéséért (a GDPR 28. cikkének (4) bekezdése).
- Az Adatkezelő által maga választott rendszerek (csatlakoztatott ERP-rendszerek, termékfeedek, Webhook-végpontok és harmadik felek ügynökei) nem minősülnek az Adatfeldolgozó további adatfeldolgozóinak; az Adatfeldolgozó az adatokat az Adatkezelő utasítására továbbítja számukra.
5. Adatvédelmi incidens
- Az Adatfeldolgozó az adatvédelmi incidenst indokolatlan késedelem nélkül, de legkésőbb az arról való tudomásszerzéstől számított 48 órán belül bejelenti az Adatkezelőnek a Szervezeti Adminisztrátor e-mail-címére és a Platformon.
- A bejelentés tartalmazza a GDPR 33. cikkének (3) bekezdése szerinti, az Adatfeldolgozó rendelkezésére álló információkat (az incidens jellege, az érintettek és a nyilvántartások kategóriái és hozzávetőleges száma, a kapcsolattartási pont, a valószínű következmények, valamint a megtett vagy tervezett intézkedések); a még nem ismert információkat fokozatosan közli.
- Az Adatfeldolgozó haladéktalanul intézkedéseket tesz az incidens orvoslására és következményeinek enyhítésére, együttműködik az Adatkezelővel, és az incidenst dokumentálja. A bejelentés nem jelenti a felelősség elismerését.
6. Tájékoztatás és auditok
- Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsátja a GDPR 28. cikke szerinti kötelezettségek teljesítésének igazolásához szükséges információkat, elsősorban a Biztonság és bizalom című dokumentum és egy észszerű terjedelmű biztonsági kérdőívre adott válaszok útján.
- Ha ezek az információk nem elegendőek, az Adatfeldolgozó lehetővé teszi az Adatkezelő vagy egy titoktartásra kötelezett, az Adatfeldolgozónak nem versenytársa független auditor által végzett auditot, legalább 30 nappal korábbi értesítést követően, naptári évenként legfeljebb egyszer (kivéve adatvédelmi incidens esetén vagy a felügyeleti hatóság kérésére), az Adatkezelő költségére, más ügyfelek adataihoz való hozzáférés nélkül és azok biztonságának veszélyeztetése nélkül.
- A felügyeleti hatóságok vizsgálati hatásköreit ez nem érinti.
7. Továbbítás az EGT-n kívülre
- A harmadik országokba történő továbbításra kizárólag a GDPR V. fejezete szerinti garanciák mellett kerül sor.
- Ha az Adatfeldolgozó a személyes adatokat olyan harmadik országban lévő további adatfeldolgozónak továbbítja, amelyre vonatkozóan nincs megfelelőségi határozat (vagy ha a címzett nem rendelkezik az EU–USA adatvédelmi keretrendszer (EU-U.S. Data Privacy Framework) szerinti tanúsítással), vele a Bizottság (EU) 2021/914 végrehajtási határozata szerinti általános adatvédelmi kikötéseket köti meg, 3. modul (adatfeldolgozók közötti továbbítás), értékeli a címzett országának jogi környezetét, és kiegészítő intézkedéseket fogad el (különösen az adatok titkosítását továbbítás és tárolás közben, valamint az adattakarékosságot).
- Az Adatkezelő az ilyen továbbításokat ezennel engedélyezi. A garanciák másolatát az Adatfeldolgozó kérésre az Adatkezelő rendelkezésére bocsátja; az abban foglalt üzleti feltételeket kitakarhatja.
8. Az adatok törlése és visszaadása
- A Szerződés időtartama alatt az Adatkezelő a Szervezet adatait bármikor exportálhatja JSON formátumban, és az adatokat maga törölheti.
- A Szerződés megszűnését követően az Adatfeldolgozó az Adatkezelő választása szerint a személyes adatokat 30 napon belül, a másolatokkal együtt visszaadja (export) vagy törli, kivéve, ha jogszabály azok további tárolását írja elő. A biztonsági mentések a szokásos ciklusban, legkésőbb 90 napon belül felülíródnak; addig védelem alatt állnak, és nem kerülnek felhasználásra.
- A Fogadó E-mail-címre érkezett üzenetek 90 nap elteltével automatikusan törlődnek. A csatlakoztatott rendszerhez való hozzáférési adatok használatát az Adatfeldolgozó a csatlakozás megszüntetését követően haladéktalanul befejezi, és azokat legkésőbb a (2) bekezdés szerint törli.
- Ez a cikk nem vonatkozik a 2. cikk (4) bekezdésének második és harmadik mondata szerinti nyilvántartásokra.
9. Felelősség, elsőbbség és irányadó jog
A felek felelősségére a GDPR 82. cikke és az Általános Szerződési Feltételek irányadók, ideértve azok korlátozásait is, a jogszabály által megengedett mértékben. A személyes adatok védelmével kapcsolatos kérdésekben e szerződés elsőbbséget élvez az Általános Szerződési Feltételekkel szemben. E szerződésre a Cseh Köztársaság joga irányadó.
1. melléklet — Technikai és szervezési intézkedések
- Titkosítás és álnevesítés: valamennyi kommunikáció titkosítása (TLS) és a tárolt adatok titkosítása a tárhelyszolgáltatónál; a csatlakoztatott rendszerekhez való hozzáférési adatok és a Webhookok aláírási titkos kulcsai AES-256-GCM titkosítással; a jelszavak Argon2id-lenyomatként; a helyreállítási kódok, a bejelentkezési munkamenetek és az API-kulcsok kizárólag lenyomatként tárolva; az Auditlánc bejegyzéseinek álnevesítése a fiók megszüntetését követően.
- Hozzáférés-szabályozás: szerepkörökön alapuló hozzáférés, amelyet a Szervezeti Adminisztrátor kezel; az egyes Szervezetek adatainak alkalmazásszinten kikényszerített elkülönítése; mellékletek kizárólag jogosult személyek számára és mindig letöltésként; az éles környezethez való hozzáférés kizárólag az Adatfeldolgozó titoktartásra kötelezett, megbízott munkatársai számára.
- A fiókok és munkamenetek védelme: HttpOnly, Secure és SameSite cookie-k; a származás (Origin) ellenőrzése az adatokat módosító kéréseknél; a fiók ideiglenes zárolása ismételt sikertelen bejelentkezési kísérletek után; a jelszó módosítása valamennyi munkamenetet megszünteti; az API-kérések számának korlátozása.
- Sértetlenség és ellenőrizhetőség: Auditlánc a bejegyzések kriptográfiai összekapcsolásával, amelyek módosítását vagy törlését adatbázis-trigger akadályozza meg; a Mandátumok, a Visszaigazolások és az AP2-Rekordok Ed25519 algoritmussal történő aláírása; HMAC-SHA256-tal aláírt Webhookok.
- Rendelkezésre állás és helyreállítás: az adatbázis rendszeres biztonsági mentése; a biztonsági mentések felülírása legkésőbb 90 napon belül.
- Adattakarékosság és törlés: a Fogadó E-mail-címre érkezett üzenetek 90 napig; üzemi naplók legfeljebb 90 napig; a potenciális szállítóknál kizárólag általános vállalati elérhetőségek; e-mailek automatikus importja kizárólag Ellenőrzött Feladóktól.
- Biztonságos fejlesztés: a biztonsági invariánsok (a Szervezetek elkülönítése, az Ügynökök korlátai, a limitek bizalmassága) automatizált tesztelése minden változtatáskor; pontosan rögzített verziójú függőségek; az Ügynökök a fájlok tartalmát nem kezelik utasításként.
- Incidensek és felülvizsgálat: az incidensek kezelésének és bejelentésének eljárása az 5. cikk szerint; csatorna a sebezhetőségek bejelentésére; az intézkedések hatékonyságának rendszeres felülvizsgálata.
Részletesebb leírást a Biztonság és bizalom című dokumentum tartalmaz.