Adatfeldolgozási feltételek

A felek és a szerepük

1. Adatkezelő: az Előfizető, azaz a Gondnokot telepítő vállalkozás, illetve — ügynökségi használat esetén — az a webáruház- üzemeltető, akinek a nevében az ügynökség eljár.
2. Adatfeldolgozó: a BITNEX GROUP Korlátolt Felelősségű Társaság (székhely: 4400 Nyíregyháza, Dózsa György utca 9. 3. emelet; cégjegyzékszám: 15-09-069325).
3. Az Adatkezelő határozza meg az adatkezelés céljait és eszközeit. Az Adatfeldolgozó kizárólag az Adatkezelő nevében, annak dokumentált utasításai szerint kezel személyes adatot.
4. Az Adatkezelő az e dokumentumban és az ÁSZF-ben foglaltakat, valamint a Szolgáltatás felületén megadott beállításait (az egyes ellenőrzések üzemmódjai, a jelentés címzettje, az ütemezés) dokumentált utasításnak tekinti. Ezen kívüli utasítás e-mailben adható.
5. Ha az Adatfeldolgozó úgy ítéli meg, hogy egy utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt, erről az Adatkezelőt haladéktalanul tájékoztatja, és az utasítás végrehajtását az egyeztetésig felfüggesztheti.

Mi az, amit valójában feldolgozunk

1. A feldolgozás tárgya: a webáruház katalógusának és működésének automatizált átvizsgálása, a talált eltérések javítása vagy döntésre előterjesztése, jelentés küldése.
2. A feldolgozás jellege és célja: adatok lekérése a Shoprenter rendszeréből, összevetés szabályokkal, tárolás, javítási javaslat készítése, a jóváhagyott módosítás visszaírása, jelentés összeállítása és kézbesítése.
3. A feldolgozás időtartama: a Szerződés hatálya, majd az azt követő 30 nap (a törlési határidő).
4. Az érintettek kategóriái: a webáruház kapcsolattartói és a Szolgáltatás felhasználói; közvetve — a rendelésekhez kapcsolódó technikai adatokon keresztül — a webáruház vásárlói.
5. A kezelt személyes adatok kategóriái:
   • a jelentést fogadó kapcsolattartó e-mail-címe és a felületen végzett műveleteinek naplója;
   • a rendelésekből tárolt technikai sorok: rendelésazonosító, cikkszám, mennyiség, egységár és időpont. Vásárlói nevet, címet, e-mail-címet, telefonszámot és fizetési adatot nem tárolunk.
6. Különleges adat: a Szolgáltatás nem irányul a GDPR 9. cikke szerinti különleges adatok kezelésére. Ha ilyen adat a termékadatok között mégis megjelenik (például egészségügyi vonatkozású termékleírásban), azt az Adatfeldolgozó tartalom szerint nem elemzi.
7. Az Adatfeldolgozó a Shoprenter felületén az Adatkezelő által engedélyezett jogosultságok révén technikailag szélesebb adatkörhöz is hozzáférhet, mint amit ténylegesen tárol. Az adatminimalizálás elve alapján a hozzáférést a Szolgáltatás működéséhez szükséges lekérdezésekre korlátozza.

Az Adatfeldolgozó kötelezettségei

1. A személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli, ideértve a harmadik országba történő továbbítást is — kivéve, ha uniós vagy tagállami jog kötelezi másra; ilyenkor a feldolgozás előtt tájékoztat, ha a jog ezt nem tiltja.
2. Biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaljanak, és csak a feladatuk ellátásához szükséges mértékben férjenek hozzá.
3. Végrehajtja a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket (lásd a 7. pontot).
4. Az Adatkezelő számára megfelelő technikai és szervezési intézkedésekkel segítséget nyújt az érintetti kérelmek (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) teljesítéséhez. Ha érintetti kérelem közvetlenül az Adatfeldolgozóhoz érkezik, azt önállóan nem teljesíti, hanem haladéktalanul továbbítja az Adatkezelőnek.
5. Segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségek teljesítésében: az adatbiztonságban, az incidensek kezelésében, az adatvédelmi hatásvizsgálatban és az előzetes konzultációban — a rendelkezésére álló információk figyelembevételével.
6. Adatvédelmi incidens esetén az Adatkezelőt indokolatlan késedelem nélkül, legkésőbb a tudomásszerzéstől számított 48 órán belül értesíti, és megadja a GDPR 33. cikk (3) bekezdése szerinti információkat, amennyiben azok rendelkezésre állnak. Az értesítés a nyilvántartott kapcsolattartói e-mail-címre történik.
7. Az Adatkezelő rendelkezésére bocsát minden információt, amely a jelen pont szerinti kötelezettségek teljesítésének igazolásához szükséges, és lehetővé teszi az Adatkezelő vagy az általa megbízott, titoktartásra kötelezett auditor által végzett ellenőrzést. Az ellenőrzés évente legfeljebb egyszer, legalább harminc nappal korábbi írásbeli bejelentés után, munkaidőben, a Szolgáltatás üzemszerű működésének zavarása nélkül tartható; incidens után soron kívül is.
8. Nyilvántartást vezet az Adatkezelő nevében végzett adatkezelési tevékenységekről (GDPR 30. cikk (2) bekezdés).

Az Adatkezelő kötelezettségei

1. Az Adatkezelő szavatolja, hogy az általa átadott vagy hozzáférhetővé tett személyes adatok kezelésére megfelelő jogalappal rendelkezik, és hogy az érintetteket a saját adatkezelési tájékoztatójában megfelelően tájékoztatta — ideértve azt is, hogy a webáruház üzemeltetéséhez adatfeldolgozót vesz igénybe.
2. Az Adatkezelő felel a Szolgáltatás beállításaiért: azért, hogy mely ellenőrzés fut automatikusan, és ki kapja a jelentést.
3. Az Adatkezelő gondoskodik arról, hogy a jelentést fogadó postafiókhoz csak arra jogosult személy férjen hozzá, mivel a jelentés döntési gombjai bejelentkezés nélkül működnek.

Alfeldolgozók

1. Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók (alfeldolgozók) igénybevételére, a jelen pontban foglalt feltételekkel.
2. Az igénybe vett alfeldolgozók a következők:

1. Az Adatfeldolgozó minden alfeldolgozóval olyan szerződést köt, amely a jelen dokumentumban foglaltakkal azonos szintű adatvédelmi kötelezettségeket telepít rá. Az alfeldolgozó teljesítéséért az Adatfeldolgozó úgy felel, mintha maga járt volna el.
2. Új alfeldolgozó bevonásáról vagy alfeldolgozó cseréjéről az Adatfeldolgozó a változás hatálybalépése előtt legalább 30 nappal e-mailben értesíti az Adatkezelőt.
3. Az Adatkezelő a bejelentéstől számított 30 napon belül, indokolással kifogást emelhet. Ha a felek a kifogást nem tudják rendezni, az Adatkezelő a Szerződést a Szolgáltatás érintett részére nézve — vagy egészében — felmondhatja; ilyenkor az időarányos, fel nem használt díjat az Adatfeldolgozó visszatéríti.

Adattovábbítás harmadik országba

1. Az alfeldolgozók az Egyesült Államokban letelepedett vállalkozások, ezért harmadik országba történő adattovábbítás megvalósulhat akkor is, ha a tárolás technikailag európai adatközpontban történik.
2. A továbbítás garanciája az Európai Bizottság megfelelőségi határozata az EU–USA adatvédelmi keretről (Data Privacy Framework), ha az adott szolgáltató annak tanúsított résztvevője; emellett — és a határozat esetleges megszűnésére felkészülve — az Európai Bizottság 2021/914 végrehajtási határozata szerinti általános szerződési feltételek (SCC).
3. Kiegészítő intézkedésként az adatátvitel titkosított csatornán történik, és az Adatfeldolgozó a szükségesnél több adatot nem továbbít.

Technikai és szervezési intézkedések

Az Adatfeldolgozó a GDPR 32. cikke szerinti védelmi szint biztosítására a következő intézkedéseket alkalmazza.

1. Bizalmasság. Minden hálózati kommunikáció TLS titkosítással történik. Az adatbázis nyugalmi állapotban titkosítva tárolódik. A hozzáférési kulcsok és tokenek környezeti változóként, forráskódtól elkülönítve élnek. Az üzemeltetői hozzáférés kétlépcsős azonosításhoz kötött, és a szükséges legszűkebb körre korlátozott.
2. Integritás és visszaállíthatóság. A webáruházban végzett minden módosítás előtt pillanatkép készül az érintett mezők korábbi értékéről, így minden művelet visszavonható. A műveletek naplózottak: rögzül, mit, mikor és kinek a jóváhagyásával módosított a rendszer.
3. Rendelkezésre állás. Az adatbázisról a szolgáltató rendszeres, pontszerű visszaállítást lehetővé tevő biztonsági mentést készít.
4. Adatminimalizálás. A rendelésekből csak a készletgazdálkodáshoz szükséges technikai sorok kerülnek tárolásra; vásárlói személyazonosító adatot a rendszer nem ment el. A nyelvi modellnek küldött kérés termékadatot tartalmaz, személyes adatot nem.
5. Elkülönítés. Az egyes webáruházak adatai logikailag elkülönítve, boltazonosítóhoz kötve tárolódnak; a lekérdezések boltazonosítóra szűrnek.
6. Tesztelés és felülvizsgálat. Az Adatfeldolgozó automatizált tesztekkel ellenőrzi a védelmi szempontból kritikus működést (így az írási jogok korlátozását és a visszavonhatóságot), és az intézkedéseket évente felülvizsgálja.

Az adatok törlése és visszaadása

1. A Szerződés megszűnését követően az Adatfeldolgozó — az Adatkezelő választása szerint — a személyes adatokat visszaadja vagy törli, és a meglévő másolatokat is törli, kivéve, ha uniós vagy tagállami jog az adatok tárolását írja elő.
2. A választásra az Adatkezelőnek 30 nap áll rendelkezésére. Nyilatkozat hiányában az Adatfeldolgozó a 30. nap elteltével törli az adatokat.
3. A biztonsági mentésekben megmaradó adatok a mentési ciklus lejártával, legkésőbb 30 nappal a törlés után szűnnek meg véglegesen.

Felelősség és egyéb rendelkezések

1. A felek felelősségére a GDPR 82. cikke irányadó. Az ÁSZF felelősségi korlátozásai nem érintik a felek GDPR szerinti, érintettekkel szemben fennálló felelősségét.
2. A jelen dokumentum az ÁSZF elválaszthatatlan része. Ha a jelen dokumentum és az ÁSZF között a személyes adatok kezelése tekintetében ellentmondás van, a jelen dokumentum az irányadó.
3. A jelen dokumentum módosítására az ÁSZF 18. pontja irányadó.
4. Adatvédelmi kérdésekben elérhetőségünk: info@bitnex.hu. A Szolgáltató saját adatkezeléseiről az Adatkezelési tájékoztató szól.