Adatfeldolgozási megállapodás

1. Tárgy, jelleg és cél

A személyes adatokat kizárólag a Szolgáltatás Ügyfél részére történő nyújtása céljából kezeljük: fiókok és helyek kezelése, MI-jártassági képzés nyújtása, tesztek és felmérések értékelése, tanúsítványok kiállítása és ellenőrzése, e-mailek küldése, a képzési igazolások és az auditnapló vezetése, valamint jelentések és exportok biztosítása. Az adatkezelés magában foglalja a gyűjtést, tárolást, rendszerezést, felhasználást, az alább felsorolt további adatfeldolgozók részére történő továbbítást, törlést és az e célokhoz szükséges egyéb műveleteket.

2. Időtartam

Ez a DPA mindaddig alkalmazandó, amíg az Ügyfél számára személyes adatokat kezelünk: az előfizetés időtartama alatt és az azt követő, a 11. pontban leírt, törlésig tartó időszakban.

3. Érintettek és adatkategóriák

• Érintettek: az Ügyfél azon munkavállalói, akikhez hely van rendelve, valamint az Ügyfél adminisztrátorai.
• Azonosító és kapcsolattartási adatok: név, e-mail-cím, részleg, munkakör és előnyben részesített nyelv.
• Fiókadatok: jelszókivonat (Argon2id), a kétlépcsős azonosítás adatai, ha használják, bejelentkezési időpontok és IP-címek.
• Képzési adatok: kiosztott kurzusok, haladás és a leckékben töltött idő, teszt- és felmérési válaszok, eredmények és próbálkozások, tanúsítványok, az Ügyfél MI-szabályzatának elfogadásai.
• Az Ügyfél által megadott nyilvántartások: az MI-eszközök nyilvántartása és az adminisztrátorok által megadott egyéb adatok.
• A fontos műveletek auditnaplója időponttal és végrehajtóval.

A Szolgáltatás nem a személyes adatok különleges kategóriáinak (GDPR 9. cikk) kezelésére készült, és az Ügyfél ilyen adatokat nem ad meg.

4. Az Ügyfél utasításai

Az adatokat kizárólag az Ügyfél dokumentált utasításai alapján kezeljük. Az Ügyfél teljes körű utasításait ez a DPA, a Felhasználási feltételek, valamint az Ügyfél adminisztrátorainak a Szolgáltatásban megtett beállításai és műveletei képezik. Tájékoztatjuk az Ügyfelet, ha véleményünk szerint egy utasítás sérti az adatvédelmi jogszabályokat, és más módon csak akkor kezelhetünk adatokat, ha azt uniós vagy tagállami jog előírja; ilyen esetben erről előzetesen tájékoztatjuk az Ügyfelet, kivéve, ha jogszabály ezt tiltja.

5. Titoktartás

Az adatokhoz csak azok a személyek férnek hozzá, akiknek erre a Szolgáltatás üzemeltetéséhez vagy támogatásához szükségük van, és őket titoktartási kötelezettség terheli.

6. Biztonsági intézkedések

• A Szolgáltatás és minden adat egy németországi (EU) adatközpontban lévő szerveren fut.
• Titkosított kapcsolatok (HTTPS); a jelszavak kizárólag Argon2id-kivonatként tárolva; aláírt, csak HTTP-n keresztül elérhető munkamenet-sütik.
• Az ügyfelek szigorú elkülönítése: minden kérést a bejelentkezett felhasználóval és annak cégével vetünk össze.
• Kétlépcsős azonosítás az adminisztrátorok számára, amely saját támogatói fiókjainknál kötelező, és az Ügyfél minden adminisztrátora számára elérhető.
• A bejelentkezési, jelszó-visszaállítási és tanúsítványellenőrzési kísérletek számának korlátozása.
• A tárolt titkok, például az e-mail-feladó hozzáférési adatai és a kétlépcsős azonosítás kulcsai titkosítva vannak (AES-256-GCM).
• A tesztválaszokat a szerveren értékeljük; a helyes válaszok soha nem jutnak el a böngészőbe.
• A fontos műveletek auditnaplója és 30 napig megőrzött biztonsági eseménynapló.
• Legfeljebb 30 napig megőrzött biztonsági mentések és dokumentált eljárás a biztonsági incidensekre.

7. Támogatói hozzáférés

A MadHoney jogosult támogató munkatársai bejelentkezhetnek az Ügyfél adminisztrátori fiókjába a fiók beállítása vagy egy probléma megoldása céljából az Ügyfél kérésére, vagy ha ez a Szolgáltatás védelméhez szükséges. Ez a hozzáférés az adminisztrátori felületre korlátozódik (soha nem a munkavállalók nevében végzett leckékre, tesztekre vagy tanúsítványokra), időben korlátozott, és az Ügyfél auditnaplójában rögzítésre kerül.

8. További adatfeldolgozók

• Hostinger International Ltd. (Ciprus) - a Szolgáltatást futtató virtuális magánszerver bérlése; adatközpont Németországban (EU).
• ZONER a.s. (Csehország) - SMTP-szerver az e-mailek (meghívók, emlékeztetők, értesítések) kézbesítéséhez; adatközpontok Brnóban.

Az Ügyfél általános felhatalmazást ad további adatfeldolgozók igénybevételére. Mindegyikükre ezzel a DPA-val egyenértékű adatvédelmi kötelezettségeket rovunk. Legalább 30 nappal egy további adatfeldolgozó felvétele vagy cseréje előtt e-mailben tájékoztatjuk az Ügyfél adminisztrátorait; az Ügyfél alapos okból kifogást emelhet, és ha a kifogást nem tudjuk rendezni, a változás hatálybalépése előtt lemondhatja az előfizetést.

A Paddle.com Market Ltd a fizetési és számlázási adatokat önálló adatkezelőként (Merchant of Record) kezeli, és nem kap adatot az Ügyfél munkavállalóiról.

9. Az Ügyfél segítése

Az adminisztrátorok közvetlenül a Szolgáltatásban tekinthetik meg, helyesbíthetik, exportálhatják és törölhetik munkavállalóik adatait. Az adatkezelés jellegét figyelembe véve segítjük az Ügyfelet az érintetti kérelmek megválaszolásában és a GDPR 32-36. cikke szerinti kötelezettségei teljesítésében (biztonság, incidensbejelentés, adatvédelmi hatásvizsgálat és előzetes konzultáció). A hozzánk érkező munkavállalói kérelmeket továbbítjuk az Ügyfélnek.

10. A személyes adatok biztonságát érintő incidensek

A személyes adatok biztonságát érintő incidensről indokolatlan késedelem nélkül, de legkésőbb a tudomásunkra jutástól számított 48 órán belül értesítjük az Ügyfél adminisztrátorait a GDPR 33. cikk (3) bekezdése szerint rendelkezésre álló információkkal, és ezeket további tények ismertté válásával kiegészítjük. Intézkedéseket teszünk az incidens megfékezésére és következményeinek enyhítésére.

11. Az adatok törlése és visszaadása

Az előfizetés alatt az Ügyfél bármikor exportálhatja jelentéseit, képzési igazolásait és auditnaplóját. Az előfizetés megszűnése után az adminisztrátorok még 90 napig bejelentkezhetnek, kizárólag az adatok exportálása céljából; ezt követően a cég és annak minden adata automatikusan törlődik, kivéve, ha az Ügyfél korábbi törlést kér. A biztonsági mentésekben lévő másolatok 30 napon belül felülíródnak. E pont nem vonatkozik azokra az adatokra, amelyeket jogszabály alapján meg kell őriznünk (pl. számlák).

12. Auditok

Az Ügyfél rendelkezésére bocsátjuk az e DPA-nak való megfelelés igazolásához szükséges információkat, és lehetővé tesszük az Ügyfél vagy egy titoktartásra kötelezett auditor által végzett auditokat, beleértve a helyszíni vizsgálatokat is. Az auditokra észszerű előzetes írásbeli értesítés után, munkaidőben, legfeljebb évente egyszer (kivéve személyes adatok biztonságát érintő incidenst követően) és az Ügyfél költségére kerül sor, a Szolgáltatás megzavarása és más ügyfelek adataihoz való hozzáférés nélkül.

13. Az Ügyfél kötelezettségei

Az Ügyfél felelős azért, hogy az adatkezeléshez jogalappal rendelkezzen, tájékoztassa munkavállalóit, valamint az általa nekünk átadott adatok és utasítások jogszerűségéért.

14. Felelősség és irányadó jog

Az e DPA szerinti felelősség a Felhasználási feltételeket követi, kivéve, ha a GDPR másként rendelkezik. Erre a DPA-ra a cseh jog irányadó; az ebből eredő jogvitákat a székhelyünk szerint illetékes cseh bíróságok döntik el. Adatvédelmi ügyekben elérhetőség: sales@guard-ai.eu.