Adatfeldolgozási szerződés (DPA) minta

1. Felek

• Adatkezelő („Ügyfél”): Cégnév, Cím, Kapcsolattartó és e-mail
• Adatfeldolgozó („QRVesta”): QRVesta, info@qrvesta.com

2. Tárgy és időtartam

A QRVesta a dinamikus QR-kód kezelő szolgáltatás (felhasználási feltételek) nyújtása során az Ügyfél nevében kezel személyes adatokat. A szerződés a Szolgáltatás nyújtásának idejére és azt követően az adatok törléséig hatályos.

3. Az adatkezelés jellege

• Cél: QR-kódok létrehozása és tárolása, beolvasáskor a célra irányítás vagy a tartalom megjelenítése, beolvasási statisztikák, felhasználó- és jogosultságkezelés.
• Érintettek: az Ügyfél panelfelhasználói; azok a személyek, akiknek adatait az Ügyfél QR-tartalomba írja (pl. névjegyek tulajdonosai); az Ügyfél kódjait beolvasó személyek.
• Adattípusok: felhasználónév és megjelenített név; nem kötelező értesítési e-mail-cím; QR-tartalom (pl. név, telefonszám, e-mail, cím, hivatkozások, Wi-Fi-jelszavak); beolvasási rekordok (időpont, ország, eszköztípus, operációs rendszer; IP-cím nélkül); tevékenységnapló (a bejelentkezési események rövidített IP-címével és országával).
• Különleges adatok: kezelésük nem cél; az Ügyfél ilyen adatot nem ír QR-tartalomba.
• Megőrzés: az adatvédelmi tájékoztató szerinti időtartamok.

4. Utasítások és titoktartás

A QRVesta a személyes adatokat kizárólag az Ügyfél dokumentált utasításai (e szerződés, a felhasználási feltételek és az Ügyfél panelen végzett műveletei) alapján kezeli. Az üzemeltető egy munkaterület adatait csak az Ügyfél kérésére vagy a Szolgáltatás megszűnésekor exportálja. Tájékoztatja az Ügyfelet, ha egy utasítást jogellenesnek tart. Az adatokhoz hozzáférő személyeket titoktartási kötelezettség terheli.

5. Biztonsági intézkedések

A QRVesta legalább az alábbi technikai és szervezési intézkedéseket alkalmazza:

• kizárólag HTTPS; jelszavak sózott PBKDF2-lenyomatként; a jelszótalálgatás korlátozása;
• szkriptek által nem olvasható, webhelyek között nem küldött munkamenet-sütik; munkamenet-időkorlátok;
• szerepkör- és projektalapú hozzáférés-szabályozás; a fontos műveletek tevékenységnaplója;
• szigorú tartalombiztonsági irányelv; máshonnan betöltött szkriptek nélkül;
• IP-címek nélküli beolvasási rekordok és rövidített IP-címek a tevékenységnaplóban (adattakarékosság); Wi-Fi-jelszavak csak a kódokat szerkeszthető szerepköröknek; robotvédelem a panel bejelentkezésénél;
• a lejárt adatok napi automatikus törlése; az éjszakai mentések AES-256 titkosítása egy csak az üzemeltetőnél lévő kulccsal, csak a legutóbbi 14 mentés megőrzése a Cloudflare R2-ben (EU joghatóság); az éles környezethez csak az üzemeltető fér hozzá.

6. További adatfeldolgozók

Az Ügyfél általános felhatalmazást ad az adatfeldolgozók oldalon felsorolt szolgáltatók igénybevételére. A QRVesta új adatfeldolgozót legalább 30 nappal előre bejelent az Ügyfél által e szerződésben megadott e-mail-címen; az Ügyfél alapos okkal tiltakozhat, és ha a tiltakozás nem rendezhető, megszüntetheti a Szolgáltatást. A QRVesta az e szerződésben foglaltakkal egyenértékű kötelezettségeket ír elő adatfeldolgozóinak.

7. Nemzetközi adattovábbítás

Az adatok a Cloudflare infrastruktúráján, az adatbázis nyugat-európai helymegjelöléssel található, és az EGT-n és Törökországon kívül is kezelhetők. A továbbítás a GDPR V. fejezetének és a KVKK 9. cikkének garanciáin (általános szerződési feltételek) alapul.

8. Közreműködés és incidensbejelentés

A QRVesta ésszerű mértékben közreműködik az érintetti kérelmek megválaszolásában, a hatásvizsgálatokban és a felügyeleti hatóságokkal való kapcsolattartásban, a hozzá érkező kérelmeket pedig továbbítja az Ügyfélnek. Személyesadat-incidensről tudomásszerzését követően indokolatlan késedelem nélkül, az e szerződésben megadott e-mail-címen tájékoztatja az Ügyfelet az incidens jellegéről, az érintett adatokról és a megtett intézkedésekről.

9. Tájékoztatás és ellenőrzés

A QRVesta rendelkezésre bocsátja az e szerződésnek való megfelelés igazolásához szükséges információkat. Az Ügyfél ésszerű előzetes értesítéssel, saját költségén, évente legfeljebb egyszer (incidens után ezen felül is) ellenőrzést végezhet vagy végeztethet.

10. A szerződés megszűnése

A Szolgáltatás megszűnésekor a QRVesta az Ügyfél választása szerint exportálással visszaadja az adatokat, és 30 napon belül törli őket, kivéve, ha jogszabály megőrzésüket írja elő. A titkosított éjszakai mentésekben lévő másolatok a legutóbbi 14 mentés cseréjével, 14 napon belül törlődnek; a Cloudflare D1 időpontra visszaállító másolatai legfeljebb 7 napon belül maguktól megszűnnek.

11. Aláírások