Adatfeldolgozási Megállapodás

1. számú melléklet

Adatfeldolgozási feltételek

1. A melléklet célja

Jelen melléklet a GDPR 28. cikke szerinti adatfeldolgozási feltételeket határozza meg arra az esetre, amikor az Ügyfél személyes adatot rögzít vagy más módon kezel a RentPilot szolgáltatásban.

A melléklet a jelen ÁSZF elválaszthatatlan része.

A melléklet elektronikus elfogadása írásbeli adatfeldolgozási megállapodásnak minősül.

2. A felek adatvédelmi szerepe

Az Ügyfél az általa meghatározott célból a RentPilotba rögzített személyes adatok tekintetében adatkezelő.

A Szolgáltató az Ügyfél dokumentált utasításai alapján eljáró adatfeldolgozó.

A Szolgáltató saját fiókkezelési, számlázási, biztonsági, jogi és szolgáltatásfejlesztési adatkezelései tekintetében önálló adatkezelő lehet. Ezekre a RentPilot Adatkezelési Tájékoztatója alkalmazandó.

3. Az adatfeldolgozás tárgya és időtartama

Az adatfeldolgozás tárgya: az Ügyfél által a RentPilot szolgáltatásba bevitt személyes adatok tárolása és a szolgáltatás funkciói szerinti technikai feldolgozása.

Az adatfeldolgozás időtartama: a RentPilot használatára irányuló szerződés fennállásának időtartama, valamint a megszűnést követő exportálási és törlési időszak.

Az adatfeldolgozás a szerződés megszűnése után kizárólag:

• adatvisszaadás;
• törlés;
• biztonsági mentési ciklus lezárása;
• jogszabályi kötelezettség;
• jogi igény kezelése

céljából folytatódhat.

4. Az adatfeldolgozás jellege és célja

Az adatfeldolgozás különösen az alábbi műveleteket foglalhatja magában:

• adat rögzítése;
• tárolása;
• rendszerezése;
• strukturálása;
• módosítása;
• keresése;
• megjelenítése;
• összekapcsolása;
• továbbítása az Ügyfél utasítása alapján;
• mentése;
• exportálása;
• hozzáférés biztosítása;
• korlátozása;
• törlése.

Az adatfeldolgozás célja a RentPilot eszközbérlési, eszközlogisztikai, ügyfélkezelési, bérléskövetési, felhasználókezelési, QR-kódos és kapcsolódó funkcióinak biztosítása.

5. Az érintettek kategóriái

A kezelt adatok az Ügyfél tevékenységétől függően az alábbi személyekre vonatkozhatnak:

• az Ügyfél bérlői és megrendelői;
• ügyfélkapcsolattartók;
• természetes személy vállalkozók;
• az Ügyfél munkavállalói;
• megbízottak;
• alvállalkozók;
• szállítási partnerek;
• az eszközt átadó vagy átvevő személyek;
• a RentPilotba jogszerűen rögzített más kapcsolattartók.

6. A személyes adatok típusai

A szolgáltatásban kezelhető adatok különösen:

• név;
• cégnévhez kapcsolódó kapcsolattartói adat;
• e-mail-cím;
• telefonszám;
• kapcsolattartási vagy szállítási cím;
• ügyfélazonosító;
• szerződés- vagy bérlésazonosító;
• bérelt eszköz azonosítója;
• bérlés kezdete és vége;
• várható visszahozás időpontja;
• kiadás és visszaadás módja;
• eszközátadás és visszavétel ténye;
• eszközállapothoz kapcsolódó információ;
• operatív megjegyzés;
• felhasználói szerepkör;
• műveleti és hozzáférési napló;
• az Ügyfél által a szolgáltatás rendeltetésével összhangban rögzített más adat.

Különleges adat, egészségügyi adat, genetikai adat, biometrikus adat, bűnügyi adat, TAJ-szám vagy teljes személyazonosító okmány csak külön írásbeli megállapodás és megfelelő technikai feltételek mellett kezelhető.

7. Az Ügyfél dokumentált utasításai

Az Ügyfél utasításának minősül különösen:

• az adatok RentPilotba történő rögzítése;
• funkció használata;
• felhasználói jogosultság beállítása;
• adat módosítása;
• export indítása;
• törlési művelet;
• támogatási kérelemben adott írásbeli utasítás;
• jelen ÁSZF és az Egyedi szerződés.

A Szolgáltató kizárólag az Ügyfél dokumentált utasítása alapján kezel személyes adatot, kivéve, ha uniós vagy magyar jogszabály eltérő adatkezelést ír elő.

Kötelező jogszabályi adatkezelés esetén a Szolgáltató az Ügyfelet – ha azt jogszabály nem tiltja – előzetesen tájékoztatja.

Amennyiben a Szolgáltató megítélése szerint egy utasítás sérti az adatvédelmi jogszabályt, erről tájékoztatja az Ügyfelet, és az utasítás végrehajtását a jogszerű helyzet tisztázásáig felfüggesztheti.

8. Titoktartás

A személyes adatokhoz kizárólag olyan személy férhet hozzá, akinek az a feladata teljesítéséhez szükséges.

A Szolgáltató biztosítja, hogy az adatokhoz hozzáférő személyek:

• titoktartási kötelezettség alatt álljanak;
• megfelelő jogosultsággal rendelkezzenek;
• kizárólag a feladatukhoz szükséges adatot érjék el;
• adatbiztonsági tájékoztatást kapjanak.

A titoktartási kötelezettség a szerződés megszűnése után is fennmarad.

9. Technikai és szervezési intézkedések

A Szolgáltató a kockázatokkal arányos biztonsági intézkedéseket alkalmaz.

Ezek különösen:

• titkosított HTTPS-adatkapcsolat;
• jelszavak biztonságos lenyomatként történő tárolása;
• hozzáférés- és jogosultságkezelés;
• szerepköralapú hozzáférés;
• a Szervezetek adatainak logikai elkülönítése;
• adminisztrátori hozzáférések korlátozása;
• technikai és műveleti naplózás;
• sikertelen hozzáférési kísérletek figyelése;
• biztonsági frissítések;
• adatbázis és infrastruktúra hozzáférésének védelme;
• biztonsági mentés;
• helyreállítási intézkedések;
• incidenskezelési folyamat;
• hozzáférések rendszeres felülvizsgálata;
• munkatársak és közreműködők titoktartása;
• szükségtelen adatgyűjtés korlátozása;
• biztonsági események dokumentálása.

A biztonsági intézkedések a technológiai fejlődéshez, a költségekhez és az adatkezelés kockázataihoz igazodva módosíthatók, feltéve, hogy a védelem általános szintje nem csökken indokolatlanul.

10. További adatfeldolgozók

Az Ügyfél általános írásbeli felhatalmazást ad további adatfeldolgozó igénybevételére.

A jelenlegi alapvető további adatfeldolgozó:

Hetzner Online GmbH

Cím: Industriestr. 25, 91710 Gunzenhausen, Németország Feladat: szerverinfrastruktúra, tárhely, hálózat és biztonsági mentési infrastruktúra. Elsődleges adatkezelési régió: Európai Gazdasági Térség.

A Szolgáltató új, az Ügyféladatokhoz érdemben hozzáférő további adatfeldolgozó bevonásáról főszabály szerint legalább 15 nappal korábban tájékoztatja az Ügyfelet.

Az Ügyfél adatvédelmi szempontból megalapozott okból tiltakozhat.

Tiltakozás esetén a felek megkísérelnek:

• alternatív technikai megoldást találni;
• az érintett funkció használatát korlátozni;
• másik szolgáltatót alkalmazni;
• az érintett szolgáltatásrészt megszüntetni.

Amennyiben észszerű alternatíva nem áll rendelkezésre, bármelyik fél megszüntetheti az érintett szolgáltatást.

A Szolgáltató a további adatfeldolgozóval legalább a jelen mellékletben foglaltakkal egyenértékű adatvédelmi kötelezettségeket tartalmazó szerződést köt.

A Szolgáltató felel a további adatfeldolgozó adatfeldolgozási kötelezettségeinek teljesítéséért a GDPR által meghatározott körben.

11. Harmadik országba történő adattovábbítás

A Szolgáltató elsődlegesen az Európai Gazdasági Térségben végez adatfeldolgozást.

Az Európai Gazdasági Térségen kívüli adattovábbítás csak:

• az Ügyfél dokumentált utasítása;
• megfelelőségi határozat;
• általános adatvédelmi kikötések;
• kötelező erejű vállalati szabályok;
• vagy más, a GDPR V. fejezete szerinti jogszerű garancia

alapján történhet.

A Szolgáltató kérésre tájékoztatást ad az alkalmazott adattovábbítási garanciákról.

12. Érintetti kérelmek támogatása

Amennyiben az érintett kérelme az Ügyfél által kezelt adatra vonatkozik, a kérelem teljesítéséért az Ügyfél mint adatkezelő felel.

A Szolgáltató az adatkezelés jellegét és a rendelkezésére álló információt figyelembe véve segíti az Ügyfelet:

• hozzáférési kérelem;
• helyesbítés;
• törlés;
• korlátozás;
• adathordozhatóság;
• tiltakozás;
• automatizált döntéssel kapcsolatos kérelem

teljesítésében.

A Szolgáltató a hozzá közvetlenül beérkező kérelmet indokolatlan késedelem nélkül továbbíthatja az Ügyfélnek.

A Szolgáltató az Ügyfél előzetes utasítása nélkül nem ad ki érdemi választ az érintettnek, kivéve, ha ezt jogszabály írja elő.

A szokásos rendszerfunkcióval teljesíthető segítség a szolgáltatás részét képezi. Jelentős, egyedi vagy aránytalan technikai közreműködés külön díjazás tárgya lehet.

13. Adatvédelmi incidens

A Szolgáltató az Ügyféladatokat érintő adatvédelmi incidensről az Ügyfelet indokolatlan késedelem nélkül tájékoztatja.

A tájékoztatás az akkor rendelkezésre álló mértékben tartalmazza:

• az incidens jellegét;
• az érintettek hozzávetőleges körét;
• az érintett adatok kategóriáit;
• a várható következményeket;
• a megtett vagy tervezett intézkedéseket;
• a további kapcsolattartás módját.

A Szolgáltató együttműködik az incidens kivizsgálásában és az Ügyfél hatósági, illetve érintetti tájékoztatási kötelezettségének teljesítésében.

Az incidens felügyeleti hatóságnak történő bejelentéséről és az érintettek tájékoztatásáról főszabály szerint az Ügyfél mint adatkezelő dönt.

14. Hatásvizsgálat és hatósági konzultáció

A Szolgáltató az adatkezelés jellegét és a rendelkezésére álló információt figyelembe véve észszerű segítséget nyújt:

• adatvédelmi hatásvizsgálathoz;
• előzetes hatósági konzultációhoz;
• adatbiztonsági kockázatértékeléshez;
• incidens utáni vizsgálathoz.

A szokásos dokumentáció átadása a szolgáltatás része lehet. Jelentős egyedi szakértői vagy fejlesztési közreműködés külön díjazás tárgya lehet.

15. Ellenőrzés és audit

A Szolgáltató az Ügyfél rendelkezésére bocsátja a GDPR 28. cikke szerinti megfelelés igazolásához észszerűen szükséges információkat.

Az Ügyfél évente legfeljebb egy alkalommal, legalább 15 munkanapos előzetes értesítéssel auditot kezdeményezhet, kivéve:

• súlyos incidens;
• hatósági megkeresés;
• megalapozott súlyos jogsértési gyanú esetén.

Az auditot lehetőség szerint először dokumentumvizsgálattal vagy távoli ellenőrzéssel kell lefolytatni.

Helyszíni audit csak akkor kérhető, ha a távoli ellenőrzés nem elegendő.

Az audit:

• nem veszélyeztetheti más ügyfelek adatbiztonságát;
• nem fedheti fel a Szolgáltató üzleti titkát indokolatlanul;
• nem akadályozhatja aránytalanul a szolgáltatás működését;
• megfelelő titoktartás mellett végezhető.

Az audit észszerű költsége az Ügyfelet terheli, kivéve, ha az audit a Szolgáltató lényeges szerződésszegését igazolja.

16. Adatok visszaadása és törlése

A szerződés megszűnésekor az Ügyfél választása szerint kérheti:

• az Ügyféladatok exportját;
• az Ügyféladatok törlését;
• az adatok exportját követő törlést.

A Szolgáltató főszabály szerint:

1. legfeljebb 30 napos exportidőszakot biztosít;
2. ezt követően törli az aktív rendszerben található adatot;
3. a biztonsági mentésekben lévő adatot a mentési ciklus végén, legfeljebb további 90 napon belül törli vagy felülírja.

A törlés nem vonatkozik arra az adatra, amelynek megőrzését jogszabály írja elő.

A megőrzött adatot a Szolgáltató elkülöníti, és kizárólag a kötelező megőrzési célból kezeli.

17. Az Ügyfél adatkezelői kötelezettségei

Az Ügyfél köteles:

• meghatározni az adatkezelés célját és jogalapját;
• biztosítani az érintettek megfelelő tájékoztatását;
• kizárólag szükséges és arányos adatot rögzíteni;
• biztosítani az adatok pontosságát;
• meghatározni a megfelelő megőrzési időt;
• kezelni az érintetti kérelmeket;
• szükség esetén hatásvizsgálatot végezni;
• az adatkezelési nyilvántartását vezetni;
• az Engedélyezett felhasználók hozzáférését kezelni;
• az incidenseket értékelni és szükség esetén bejelenteni;
• a RentPilotot saját adatkezelési tájékoztatójában adatfeldolgozóként feltüntetni;
• a különleges adatok feltöltésére vonatkozó tilalmat betartani;
• a jogellenes utasítástól tartózkodni.

Az Ügyfél felel az általa megadott utasítás jogszerűségéért.

18. Felelősség és elsőbbség

Az adatvédelmi jogszabályok alapján az érintettekkel és a felügyeleti hatóságokkal szemben fennálló kötelező felelősséget a jelen melléklet nem korlátozza.

A felek egymás közötti felelősségére a jelen ÁSZF felelősségi rendelkezései irányadók, amennyiben kötelező jogszabály eltérően nem rendelkezik.

Amennyiben a jelen melléklet és az ÁSZF más rendelkezése adatfeldolgozási kérdésben eltér, a jelen melléklet rendelkezése alkalmazandó.

19. A melléklet hatálya

Jelen adatfeldolgozási melléklet az ÁSZF elfogadásával lép hatályba, és addig marad alkalmazandó, amíg a Szolgáltató az Ügyfél nevében személyes adatot kezel.

A melléklet megszűnése nem érinti a titoktartási, törlési, együttműködési és felelősségi kötelezettségeket, amelyek jellegüknél fogva a megszűnés után is fennmaradnak.