Adatfeldolgozói szerződés

A jelen adatfeldolgozói szerződés (a továbbiakban: Adatfeldolgozói Szerződés) a dmconverts Általános Szerződési Feltételeinek (a továbbiakban: ÁSZF) része, és a Flowstart Kft. (a továbbiakban: Szolgáltató) és az ÁSZF-et elfogadó vállalkozás (a továbbiakban: Megrendelő) között jön létre. Az ÁSZF-fel együtt fogadja el, amikor regisztrál vagy használja a Szolgáltatást. Minden olyan esetben alkalmazni kell, amikor a Szolgáltató a Megrendelő nevében személyes adatot kezel. Ha adatvédelmi kérdésben eltér az ÁSZF-től, ez az Adatfeldolgozói Szerződés az irányadó.

Az „adatkezelő”, „adatfeldolgozó”, „személyes adat”, „adatkezelés” és „adatvédelmi incidens” kifejezések jelentése az EU általános adatvédelmi rendeletében (GDPR) meghatározott jelentés.

1. Szerepek

Azoknak a személyeknek az adatai tekintetében, akik a Megrendelő Instagram-fiókjára kommentelnek vagy üzennek, valamint a Megrendelő webshopjából érkező rendelési adatok tekintetében (a továbbiakban: Megrendelői Személyes Adatok) a Megrendelő az adatkezelő. A Szolgáltató ezeket adatfeldolgozóként kezeli.

A Megrendelő saját fiókja, csapattagjai és számlázása tekintetében a Szolgáltató az adatkezelő. Ezt az adatkezelést az Adatkezelési tájékoztató szabályozza, nem ez a szerződés.

2. Az adatfeldolgozás tárgya és célja

Az 1. melléklet tartalmazza az adatfeldolgozás tárgyát, időtartamát, jellegét és célját, a személyes adatok típusait és az érintettek körét.

3. A Megrendelő utasításai

A Szolgáltató a Megrendelői Személyes Adatokat kizárólag a Megrendelő dokumentált utasításai alapján kezeli. Utasításnak minősül az ÁSZF, ez a szerződés és mindaz, amit a Megrendelő a Szolgáltatásban beállít: kampányszabályok, üzenetszövegek, kuponkészletek és kontaktok törlése. Ha uniós vagy tagállami jog ettől eltérő adatkezelést ír elő, a Szolgáltató erről előzetesen tájékoztatja a Megrendelőt, kivéve, ha ezt a jog tiltja.

Ha a Szolgáltató szerint egy utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt, erről tájékoztatja a Megrendelőt, és az utasítás végrehajtását felfüggesztheti, amíg a Megrendelő meg nem erősíti vagy meg nem változtatja.

4. A Megrendelő kötelezettségei

A Megrendelő felel azért, hogy:

• az adatkezeléshez érvényes jogalappal rendelkezzen, ahol szükséges, a kommentelők hozzájárulásával;
• a kommentelőket tájékoztassa, legalább azzal az adatvédelmi linkkel, amelyet minden kampánynak tartalmaznia kell;
• csak jogszerű utasítást adjon;
• ne indítson olyan kampányt, amely különleges adatot (például egészségi állapotra, vallásra vagy politikai véleményre vonatkozó adatot) vagy gyermekek adatait kéri a kommentelőktől.

5. Titoktartás

A Megrendelői Személyes Adatokhoz csak azok férnek hozzá, akiknek erre a Szolgáltatás működtetéséhez szükségük van. Mindegyikükre szerződés vagy jogszabály alapján titoktartási kötelezettség vonatkozik.

6. Biztonság

A Szolgáltató fenntartja a 2. mellékletben felsorolt technikai és szervezési intézkedéseket, és felülvizsgálja őket, ha a Szolgáltatás vagy a kockázatok változnak. Egy intézkedést legalább ugyanolyan védelmet nyújtó másikkal válthat fel.

7. További adatfeldolgozók

A Megrendelő hozzájárul a 3. mellékletben felsorolt további adatfeldolgozók igénybevételéhez.

Mielőtt a Szolgáltató új további adatfeldolgozót vesz igénybe a Megrendelői Személyes Adatokhoz, vagy lecserél egy meglévőt, legalább 30 nappal előbb e-mailben értesíti a Megrendelő fiókjának tulajdonosát. A Megrendelő ezen időn belül, észszerű adatvédelmi indokkal, írásban tiltakozhat. Ha a tiltakozást nem sikerül rendezni, a Megrendelő a változás hatálybalépése előtt felmondhatja az érintett előfizetést, és a Szolgáltató visszafizeti a felmondás utáni időszakra előre kifizetett díjat.

A Szolgáltató minden további adatfeldolgozóra legalább az ebben a szerződésben foglaltakkal azonos szintű adatvédelmi kötelezettségeket ró. A további adatfeldolgozók munkájáért a Szolgáltató felel a Megrendelő felé.

8. Adattovábbítás az EGT-n kívülre

Ha egy további adatfeldolgozó az Európai Gazdasági Térségen kívül kezel Megrendelői Személyes Adatot, a továbbítás megfelelőségi határozaton (például az EU–USA adatvédelmi keretrendszeren) vagy az Európai Bizottság általános szerződési feltételein (SCC) alapul.

9. Segítségnyújtás

Ha egy kommentelő a GDPR szerinti jogát gyakorolja, a Megrendelő maga is intézkedhet a Szolgáltatásban: törölheti a kontaktot, CSV-be exportálhatja a kontaktokat és a rendeléseket, a leiratkozó kulcsszavak pedig minden további üzenetet leállítanak az adott személy felé. Ha egy kérelem közvetlenül a Szolgáltatóhoz érkezik, azt indokolatlan késedelem nélkül továbbítja a Megrendelőnek, és a Megrendelő kérése nélkül nem válaszol rá.

A Szolgáltató a rendelkezésére álló információk alapján segíti a Megrendelőt a biztonsággal, az incidensbejelentéssel, az adatvédelmi hatásvizsgálattal és a felügyeleti hatósággal folytatott előzetes konzultációval kapcsolatos kötelezettségei teljesítésében (GDPR 32–36. cikk). Azért a segítségért, amely túlmegy azon, amit a Szolgáltatás magától elvégez, előre egyeztetett díjat kérhet.

10. Adatvédelmi incidens

Ha a Szolgáltató tudomást szerez a Megrendelői Személyes Adatokat érintő adatvédelmi incidensről, indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesíti a Megrendelőt. Az értesítés leírja, mi történt, mely adatokat és személyeket érinti, mik a valószínű következmények, és milyen intézkedéseket tett vagy javasol a Szolgáltató. Ha még nem ismert minden részlet, a Szolgáltató elküldi, amit tud, és a többit utólag pótolja.

11. Törlés a szerződés végén

Az ÁSZF megszűnése után a Szolgáltató 30 napon belül törli a Megrendelői Személyes Adatokat. A Megrendelő ezt megelőzően CSV-be exportálhatja a kontaktjait és rendeléseit.

A Szolgáltató csak azt őrzi meg, amit jogszabály vagy a kommentelők védelme megkövetel, az Adatkezelési tájékoztató megőrzési táblázata szerint:

• a leiratkozási nyilvántartást (kulcsolt, egyirányú hash), hogy a leiratkozott személy soha többé ne kapjon üzenetet;
• a Meta törlési kérelmeinek nyilvántartását, amely a törlést igazolja;
• a számlákat és számlázási adatokat a magyar számviteli jogszabályok szerinti ideig.

12. Ellenőrzés

A Szolgáltató kérésre átadja azokat az információkat, amelyekből a Megrendelő ellenőrizheti, hogy a Szolgáltató betartja ezt a szerződést, jellemzően írásos válaszok és dokumentumok formájában. Ha ez nem elegendő, vagy felügyeleti hatóság kéri, a Megrendelő vagy egy titoktartásra kötelezett független auditor évente egyszer, 30 nappal korábbi írásos értesítés után, munkaidőben és a Megrendelő költségén ellenőrzést tarthat. Az ellenőrzés nem adhat hozzáférést más megrendelők adataihoz.

13. Felelősség és időtartam

Az ÁSZF felelősségkorlátozásai erre a szerződésre is vonatkoznak, amennyiben a GDPR ezt megengedi. Ez a szerződés addig hatályos, amíg a Szolgáltató a Megrendelő nevében Megrendelői Személyes Adatot kezel.

A Szolgáltató módosíthatja ezt a szerződést, ha jogszabály, felügyeleti hatóság vagy a Szolgáltatás változása ezt szükségessé teszi, az ÁSZF módosítására irányadó értesítési idővel. A módosítás nem csökkentheti a Megrendelői Személyes Adatok védelmének szintjét.

1. melléklet: Az adatfeldolgozás részletei

2. melléklet: Technikai és szervezési intézkedések

• A Szolgáltató az Instagram hozzáférési tokeneket és a webshop-hozzáférési adatokat AES-256-GCM titkosítással tárolja.
• A Szolgáltatás minden forgalma HTTPS-en keresztül zajlik.
• A Szolgáltatás a Metától és a Stripe-tól érkező webhookokat csak érvényes aláírással fogadja el.
• Az adatbázis szervezetenként elkülöníti a megrendelők adatait. Az alkalmazás minden kérésnél ellenőrzi, hogy a bejelentkezett tag ahhoz a szervezethez tartozik-e, amelynek adatait kéri, és a tagoknak szerepkörük van a szervezeten belül.
• A kattintási naplók az IP-címet csak hash formában tárolják. A törlés után megmaradó leiratkozási nyilvántartás csak az IGSID kulcsolt, egyirányú hash-ét tartalmazza.
• A Szolgáltató a nyers webhook-adatokat 14 nap után törli.
• A háttérfeladatokat futtató szolgáltatás (Inngest) csak azonosítókat kap, üzenetszöveget, nevet vagy e-mail-címet soha.
• A Szolgáltató a szerveroldali hibajelentéseket a Sentryhez küldés előtt megtisztítja, így azok nem tartalmaznak üzenetszöveget, tokent, kéréstörzset, sütit vagy IP-címet. A böngészős munkamenet-visszajátszás minden szöveget elmaszkol és minden médiát kitakar.
• Az alkalmazás az EU-ban (Frankfurtban) fut, és az adatbázis is ott van.
• Az éles rendszerekhez csak a Szolgáltatást üzemeltető személyek férnek hozzá.

3. melléklet: További adatfeldolgozók

Az alábbi további adatfeldolgozók kezelnek Megrendelői Személyes Adatot. Az Adatkezelési tájékoztató minden igénybe vett szolgáltatót felsorol, azokat is, amelyek csak a Szolgáltató saját ügyfél- és számlázási adatait kezelik (például a Stripe és a Resend).

A Meta (Instagram) és a Megrendelő webshop-platformja nem a Szolgáltató további adatfeldolgozója. A Megrendelő velük kötött saját szerződése alapján használja őket, és ezek a Megrendelő kérésére küldenek adatot a Szolgáltatónak.