Adatfeldolgozási megállapodás

Ez az adatfeldolgozási megállapodás („DPA”) része a(z) Passport Digital Limited („mi”, az adatfeldolgozó) és az ügyfél („Ön”, az adatkezelő) közötti Szolgáltatási feltételek dokumentumnak. Minden esetben alkalmazandó, amikor a MyProductPassport nyújtása során az Ön nevében személyes adatokat kezelünk, és megfelel a UK GDPR, illetve adott esetben az EU GDPR 28. cikkének. Ha egy partner kezeli a munkaterületét és nála van a szerződése, ugyanezen feltételekkel a partner alfeldolgozói vagyunk.

1. Az adatkezelés részletei

• Tárgy és időtartam: a MyProductPassport nyújtása Önnek a szerződés időtartama alatt, és amíg az adatokat az alábbiak szerint nem töröljük.
• Jelleg és cél: termékadatai és útlevelei tárolása, közzététele, fordítása és megjelenítése; útlevél-megtekintési statisztikák készítése; támogatás; és biztonsági mentések.
• Ha Ön használja őket, továbbá: információkérés az Ön által kiválasztott beszállítóktól, az egyes közzétett útlevelek aláírt előzményeinek megőrzése, valamint csapata tagjainak bejelentkeztetése az Ön identitásszolgáltatóján keresztül.
• Érintett személyek: munkatársai és csapattagjai; a termékadataiban és dokumentumaiban megnevezett személyek; valamint a közzétett útleveleit megtekintő személyek.
• A személyes adatok típusai: nevek, üzleti elérhetőségek és munkakörök; minden személyes adat, amelyet termékadatokban vagy dokumentumokban ad meg; valamint az útlevelek megtekintőinél az ország, az eszköztípus, a böngésző, az operációs rendszer, a hivatkozó oldal és egy kódolt látogatóazonosító (soha nem az IP-cím).
• Ha bekapcsolja az értékesítés utáni szolgáltatást: termékei tulajdonosainak regisztrálása és jótállási adataik vezetése, a szervizkérések, az Ön válaszai és ügyfelei fotóinak továbbítása Ön és ők között, a termék tulajdonos általi továbbadása, valamint egy darab eredetiségének ellenőrzése.
• Érintett személyek, ha az értékesítés utáni szolgáltatást használja: akik regisztrálják valamelyik termékét, szervizkérést küldenek Önnek, a tulajdonostól kapnak meg egy terméket, vagy ellenőrzik egy darab eredetiségét.
• A rájuk vonatkozó személyes adatok típusai: név és e-mail-cím; amit maguk megadnak, például telefonszám, ország, a vásárlás dátuma és helye, sorozatszám, üzenetek és fotók; hogy kérnek-e híreket Öntől, a pontos szöveggel, amelyet láttak; eredetiség-ellenőrzésnél pedig az ország és egy kódolt látogatóazonosító (soha nem az IP-cím).
• Ha információt kér a beszállítóitól: beszállítóinak kapcsolattartói (név, e-mail-cím és cég), valamint az általuk küldött válaszok és fájlok. Ha egyszeri bejelentkezést használ: az identitásszolgáltatója által az egyes személyekről küldött név és e-mail-cím. Az útlevél aláírt előzményei minden közzétett verziót a közzétételkori állapotában őriznek meg, beleértve a mezők korábbi értékeit is. Az előzmények a munkaterületével együtt törlődnek, és ha személyes adatokat kell törölni a korábbi verziókból, az Ön utasítására eltávolítjuk azokat.

A szolgáltatás nem különleges adatkategóriákhoz (például egészségügyi adatokhoz) készült. Kérjük, ne töltse fel őket.

Ön dönti el, mit tudnak meg az ügyfelei. Adatvédelmi tájékoztatója minden értékesítés utáni űrlapon és e-mailben linkként szerepel, és ezek a funkciók kikapcsolva maradnak, amíg meg nem adja. Az ügyfeleinek szóló e-mailek az Ön nevében, az Ön válaszcímével, kiküldési szolgáltatónkon keresztül mennek ki.

2. Kötelezettségeink

Vállaljuk, hogy:

• a személyes adatokat csak az Ön dokumentált utasításai alapján kezeljük, amelyek e feltételek és a szolgáltatás Ön általi használata, kivéve, ha jogszabály mást ír elő; ebben az esetben erről előzetesen tájékoztatjuk, hacsak jogszabály ezt nem tiltja;
• tájékoztatjuk, ha úgy véljük, hogy egy utasítás sérti az adatvédelmi jogszabályokat;
• biztosítjuk, hogy mindenki, akit az adatok kezelésére felhatalmazunk, titoktartásra kötelezett legyen;
• alkalmazni az alább leírt biztonsági intézkedéseket;
• alfeldolgozókat kizárólag az alábbiak szerint igénybe venni;
• segítünk válaszolni a jogaikat gyakorló személyek kérelmeire;
• segítünk teljesíteni a biztonsággal, az incidensek bejelentésével, az adatvédelmi hatásvizsgálatokkal és az előzetes konzultációval kapcsolatos kötelezettségeit, a rendelkezésünkre álló információk figyelembevételével;
• a szerződés megszűnésekor törölni vagy visszaadni a személyes adatokat az alábbiak szerint;
• rendelkezésre bocsátjuk az ezen kötelezettségek teljesítésének igazolásához szükséges információkat, és lehetővé tesszük az alábbiak szerinti auditokat.

3. Alfeldolgozók

Felhatalmaz minket az alábbi alfeldolgozók igénybevételére:

• DigitalOcean a Cloudwayson keresztül: tárhely, adatbázisok és biztonsági mentések (London, Egyesült Királyság).
• Cloudflare: hálózat, biztonság és tartalomkézbesítés (globális hálózat).
• Brevo (Sendinblue SAS): szolgáltatási e-mailek küldése Önnek és csapatának, valamint az értékesítés utáni szolgáltatás használatakor az ügyfeleinek (Franciaország).
• OpenAI: a közzétett útlevélszövegek automatikus fordítása, valamint az útlevélbe importálni kívánt dokumentumok olvasása (Egyesült Államok).
• Sentry (Functional Software, Inc.): hibafigyelés (Németország, EU-s adatrégió).
• Microsoft (Microsoft 365): e-mail a támogatási levelezéshez.

Minden alfeldolgozóra legalább ezzel a DPA-val egyenértékű adatvédelmi kötelezettségeket rovunk, és továbbra is felelünk Önnek a munkájukért. Új alfeldolgozóról e-mailben vagy az alkalmazásban legalább 30 nappal a munka megkezdése előtt tájékoztatjuk. Észszerű adatvédelmi okból kifogást emelhet; ha a kifogást nem tudjuk rendezni, megszüntetheti az érintett szolgáltatást, és visszatérítjük a megszűnés utáni időszakra fizetett díjakat.

4. Nemzetközi adattovábbítás

Adatait az Egyesült Királyságban tároljuk, amelyről az Európai Bizottság elismeri, hogy megfelelő védelmet biztosít. Ha egy alfeldolgozó megfelelőségi határozattal nem rendelkező országban kezel személyes adatokat, az Európai Bizottság általános szerződési feltételeire támaszkodunk a UK International Data Transfer Addendummal együtt, vagy az alfeldolgozó EU–USA adatvédelmi keretrendszer és annak egyesült királysági kiterjesztése szerinti tanúsítására.

5. Magánszemélyek kérelmei

A szolgáltatásban Ön maga tekintheti meg, javíthatja, exportálhatja és törölheti az adatokat. Ha valaki az Ön által kezelt személyes adatokkal kapcsolatban keres meg minket, a kérést indokolatlan késedelem nélkül továbbítjuk Önnek, és magunk nem válaszolunk rá, hacsak Ön nem kéri.

A regisztrált termékek tulajdonosai maguk is leiratkozhatnak marketing e-mailjeiről, és törölhetik regisztrációjukat a tulajdonosi oldalukon.

6. Biztonsági intézkedések

• Titkosítás átvitel közben: TLS minden kapcsolaton, HTTP Strict Transport Securityvel.
• Titkosítás tároláskor: a felhasználói fiókokban tárolt cégjegyzékszám, adószám és telefonszám az alkalmazásban titkosítva van; a jelszavakat csak egyirányú hash-ként tároljuk.
• Hozzáférés: szerepköralapú hozzáférés a munkaterületeken (tulajdonos, adminisztrátor, szerkesztő, megtekintő), opcionális kétlépcsős hitelesítés és korlátozott bejelentkezési kísérletek. Az éles szerverekhez csak név szerint kijelölt adminisztrátorok férnek hozzá.
• Naplózás: a jelentős műveleteket a felhasználóval, az időponttal és az IP-címmel együtt rögzítjük, és 90 napig őrizzük.
• Útlevél-megtekintők: IP-címeket soha nem tárolunk; csak egy titkos kulccsal készült kódolt azonosítót.
• Értékesítés utáni szolgáltatás: a darabok rejtett kódjai, a biztonságos címkék kulcsai és az ügyfeleinek küldött e-mailek privát linkjei titkosítva vannak az alkalmazásban; az ügyfelek által küldött fotókat privát módon tároljuk, és csak az Ön csapata és a beküldő ügyfél látja őket.
• Ellenállóképesség: napi adatbázis-mentések és Cloudflare-védelem a szolgáltatásmegtagadással járó támadások ellen.
• Alkalmazásbiztonság: szigorú tartalombiztonsági szabályzat (CSP) a megsértések jelentésével.

7. Adatvédelmi incidensek

Ha tudomást szerzünk az Ön adatait érintő adatvédelmi incidensről, akkor:

• indokolatlan késedelem nélkül, de legkésőbb 48 órán belül tájékoztatjuk e-mailben a munkaterülete tulajdonosát;
• megadjuk azokat az információkat, amelyekre szüksége van ahhoz, hogy 72 órán belül értesítse az Information Commissioner’s Office-t vagy felügyeleti hatóságát, és frissítjük azokat, ahogy többet megtudunk;
• együttműködünk Önnel az incidens kivizsgálásában és megfékezésében, és rögzítjük, mi történt és mit tettünk.

Feltételezett biztonsági problémát a [email protected] címen jelenthet nekünk.

8. Auditok

Válaszolunk az e DPA betartására vonatkozó észszerű írásos kérdésekre. Ha ez nem elegendő, saját költségén auditot végezhet:

• legalább 30 napos írásbeli értesítéssel;
• szokásos munkaidőben;
• titoktartásra kötelezett könyvvizsgálók által;
• legfeljebb évente egyszer, kivéve, ha egy incidens vagy hatóság továbbit követel meg.

9. Az adatok visszaadása és törlése

Adatait bármikor exportálhatja, és a szerződés megszűnésekor teljes exportot kérhet (lásd „Átállás másik szolgáltatóhoz” a Szolgáltatási feltételek dokumentumban). Amikor törli fiókját, a benne lévő személyes adatok azonnal törlődnek. Ha a szerződés más módon szűnik meg, az adatokat a megszűnés után 30 nappal töröljük. A biztonsági mentésekben lévő másolatok ezt követően 60 napon belül felülíródnak. Csak azt őrizzük meg, amit a jogszabály előír, például a számlákat, és kérésére írásban megerősítjük a törlést.

2026. október 26-tól az akkumulátor-útlevelek a fiók törlése után is elérhetők maradnak, a Szolgáltatási feltételekben leírtak szerint ((EU) 2023/1542 rendelet 78. cikkének e) pontja).

Értékesítés utáni adatok: a senki által meg nem erősített regisztrációt 30 nap után töröljük, a meghívott új tulajdonos adatait pedig, amint az átruházást elfogadták, visszavonták vagy lejárt. A tulajdonosok maguk is törölhetik regisztrációjukat a tulajdonosi oldalukon, Ön pedig az irányítópulton eltávolíthat egy regisztrációt vagy törölhet egy szervizkérést. Egyébként ezek az adatok a munkaterülettel együtt törlődnek.

10. Irányadó jog

Erre a DPA-ra Anglia és Wales joga irányadó, akárcsak a Szolgáltatási feltételeinkre. Ahol az EU GDPR előírja, hogy egy uniós tagállam joga legyen irányadó, az ír jog alkalmazandó, és Írország bíróságai rendelkeznek joghatósággal. Ha ez a DPA ellentmond a Szolgáltatási feltételeknek, a személyes adatok kezelése tekintetében ez a DPA az irányadó.

Kérdések ezzel az adatfeldolgozási megállapodással kapcsolatban: [email protected].