Adatfeldolgozói megállapodás

Jelen megállapodás az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 28. cikke szerinti adatfeldolgozói megállapodás a ReserveMe Platformra előfizető vállalkozás (a továbbiakban: Adatkezelő) és a Platform szolgáltatója, Dobra Dániel e.v. (székhely: 6723 Szeged, Budapesti krt. 9/B; e-mail: reservemesystem@gmail.com; a továbbiakban: Adatfeldolgozó) között. A megállapodás az Előfizetői ÁSZF elválaszthatatlan melléklete, a regisztrációval az ÁSZF-fel együtt jön létre, és az előfizetési jogviszony fennállásáig hatályos.

1. A feldolgozás tárgya, jellege és célja

Az Adatfeldolgozó az Adatkezelő megbízásából, a Platform rendeltetésszerű működtetése révén tárolja, rendszerezi, megjeleníti, e-mailben/értesítésben továbbítja és bizonylatokba rendezi az Adatkezelő ügyfeleinek és munkatársainak személyes adatait. Cél: időpontfoglalás, ügyfél- és munkatárs-nyilvántartás, emlékeztetők, hűségprogram, bizonylatkiállítás és az ehhez kapcsolódó NAV-adatszolgáltatás, online fizetés lebonyolítása, statisztikák és biztonsági mentés.

2. Az érintettek és az adatok köre

• Érintettek: az Adatkezelő ügyfelei és érdeklődői, munkatársai, a bizonylatok vevői.
• Adatok: név, telefonszám, e-mail cím, születési dátum (ha megadják), foglalási előzmények és megjegyzések, hűség- és bérlet-adatok, számlázási adatok (név, cím, adószám), fizetési mód, a foglaláskor megadott egyedi válaszok, digitális beleegyező nyilatkozat és aláírás, munkatársi profil és munkarend.
• Különleges adat: a Platform nem kifejezetten ilyen adat kezelésére készült; ha az Adatkezelő mégis ilyet rögzít (pl. egészségi állapottal összefüggő megjegyzés), azért saját jogalapja megteremtése és a szükséges mérték betartása az Adatkezelő felelőssége.

3. Az Adatfeldolgozó kötelezettségei

• Az adatokat kizárólag az Adatkezelő dokumentált utasítása szerint (a Platform használata és beállításai) kezeli; ha úgy ítéli, hogy egy utasítás jogszabályba ütközik, erről értesíti az Adatkezelőt.
• Biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak.
• Megfelelő technikai és szervezési intézkedéseket alkalmaz (titkosított kapcsolat, jelszó-hash, szerepkör-alapú hozzáférés, adatbázis-szabályok, rendszeres mentés) – részletesen az Adatkezelési tájékoztató 6. pontja szerint.
• Segíti az Adatkezelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) teljesítésében – a Platform adatexport- és törlési funkcióival, valamint kérésre egyedi támogatással.
• Segíti az Adatkezelőt a biztonsági, incidens-bejelentési, hatásvizsgálati és előzetes konzultációs kötelezettségek teljesítésében.
• Adatvédelmi incidensről az Adatkezelőt indokolatlan késedelem nélkül, lehetőség szerint 48 órán belül értesíti, a rendelkezésre álló információkkal (az incidens jellege, érintettek és adatok köre, valószínű következmények, elhárító intézkedések).
• Az Adatkezelő kérésére az adatkezelés megszűnésekor az adatokat törli vagy visszaadja (a Platform adatexportjával); a biztonsági mentésekből a törlés legfeljebb 30 napon belül történik meg. A jogszabályi megőrzési kötelezettség (pl. számviteli törvény: 8 év) alá eső adatok kivételek.
• Az Adatkezelő kérésére rendelkezésre bocsát minden, a megfelelés igazolásához szükséges információt, és lehetővé teszi az auditot (előzetes egyeztetéssel, ésszerű időpontban és terjedelemben, a többi ügyfél adatainak védelme mellett).
• Az adatmegőrzési időket automatikusan kikényszeríti: az 5 évnél régebbi foglalások és ügyfélprofilok személyes adatai anonimizálódnak, a hozzájárulási naplók IP-címe törlődik (Adatkezelési tájékoztató 4. pont).

4. További adatfeldolgozók (alvállalkozók)

Az Adatkezelő általános felhatalmazást ad az alábbi további adatfeldolgozók igénybevételére: Google Ireland Limited (Firebase/Google Cloud – tárolás és hitelesítés; Google Maps/Places), Vercel Inc. (tárhely és teljesítménymérés), Resend (tranzakciós e-mail), Stripe Payments Europe, Ltd. (online fizetés, ha az Adatkezelő használja), valamint – kizárólag az érintett engedélyével – a böngésző-/operációsrendszer-gyártók push-szolgáltatásai. Az Adatfeldolgozó velük a GDPR 28. cikk (4) bekezdése szerinti, azonos szintű védelmet biztosító adatfeldolgozási feltételeket (DPA) köt/fogad el. A lista módosításáról az Adatkezelőt legalább 15 nappal előre értesíti, aki ez idő alatt indokoltan kifogást emelhet; megoldás hiányában az Adatkezelő jogosult az előfizetést a hatálybalépés előtt felmondani.

5. Adattovábbítás harmadik országba

Az adatok elsődlegesen az EGT-ben tárolódnak. Harmadik országba (pl. USA) történő hozzáférés/továbbítás kizárólag megfelelő garanciákkal történik (EU–US Data Privacy Framework vagy Általános Szerződési Feltételek – SCC), lásd az Adatkezelési tájékoztató 7. pontját.

6. Az Adatkezelő kötelezettségei

Az Adatkezelő felel azért, hogy az érintetteket megfelelően tájékoztatja, az adatkezeléshez jogalappal rendelkezik, az utasításai jogszerűek, valamint hogy a Platformon rögzített adatok pontosak és a célhoz szükségesek. Az Adatkezelő a saját adatkezelői nyilvántartásáért (GDPR 30. cikk) maga felel.

7. Felelősség, hatály, irányadó jog

A felelősségre az ÁSZF rendelkezései és a GDPR 82. cikke irányadó. A megállapodás az előfizetés megszűnésével, az adatok törlésével/visszaadásával szűnik meg; a titoktartási és megőrzési kötelezettségek a megszűnés után is fennmaradnak. Irányadó jog a magyar jog; az EU-s adatvédelmi szabályok kötelező rendelkezéseit nem érinti.