Tájékoztató jellegű fordítás. Eltérés esetén az eredeti angol nyelvű változat az irányadó, Írország joghatósága alatt (Cuandeoro Limited, CRO 813028).
A Veripass Adatfeldolgozási Megállapodása
Az Általános Szerződési Feltételek részét képezi.
1. Felek és szerepek. Az Ügyfél az adatkezelő. A Cuandeoro Limited t/a Veripass az Ügyfél dokumentumaiban és fiókjának tartalmában szereplő személyes adatok adatfeldolgozója ("Ügyfél Személyes Adatai").
2. Tárgy, jelleg és cél. Termék- és akkumulátorútlevél-adatok tárolása, kinyerése, elemzése és közzététele, kizárólag a Szolgáltatás nyújtása érdekében.
3. Időtartam. Az előfizetés időtartama, valamint a 11. pontban foglalt törlési időszak.
4. Az érintettek kategóriái. Az Ügyfél munkatársai és felhasználói; a feltöltött dokumentumokban megnevezett, az Ügyfél beszállítóinak, ügyfeleinek és laboratóriumainak kapcsolattartói.
5. Az adatok kategóriái. A dokumentumokban szereplő nevek, üzleti elérhetőségek, beosztások, aláírások és azonosítók; felhasználói fiókadatok. Különleges adatkategóriák nem várhatók. Az Ügyfél nem tölt fel ilyet.
5A. Az Ügyfél kötelezettségei. Az Ügyfél biztosítja, hogy az adatkezeléshez jogszerű jogalappal rendelkezik, jogszerű utasításokat ad, szükség szerint tájékoztatja az érintetteket, és nem tölt fel különleges adatkategóriákat.
6. Az adatfeldolgozó kötelezettségei. A Veripass:
- (a) kizárólag az Ügyfél dokumentált utasításai alapján kezeli az adatokat, ideértve a harmadik országba történő továbbítást is, kivéve ha uniós vagy tagállami jog ezt előírja, ebben az esetben a Veripass az adatkezelés előtt tájékoztatja az Ügyfelet erről a jogi követelményről, kivéve ha az adott jog fontos közérdekből tiltja ezt;
- (b) biztosítja, hogy az adatkezelésre feljogosított személyek titoktartásra kötelezettek;
- (c) végrehajtja a 2. mellékletben foglalt technikai és szervezési intézkedéseket;
- (d) segíti az Ügyfelet az érintetti kérelmekkel és a GDPR 32–36. cikkével kapcsolatban, figyelembe véve az adatkezelés jellegét;
- (e) rendelkezésre bocsátja a megfelelés igazolásához szükséges információkat;
- (f) haladéktalanul tájékoztatja az Ügyfelet, ha egy utasítás sérti az adatvédelmi jogszabályokat.
7. Alfeldolgozók.
- Az Ügyfél általános felhatalmazást ad a 3. mellékletben szereplő alfeldolgozókra.
- A Veripass az új alfeldolgozókról 30 nappal előre e-mailben értesít. Az Ügyfél észszerű indokkal kifogást emelhet, és ha nem születik megoldás, szankció nélkül felmondhatja a szerződést.
- A Veripass minden alfeldolgozóra egyenértékű adatvédelmi kötelezettségeket ró, és értük felelős marad.
8. Nemzetközi adattovábbítások. Az Ügyfél Személyes Adatait az Egyesült Államokban a Veripass tárhelyszolgáltatója (Cloud Clusters, Inc.) és a Google (Gemini API, fizetős szint) kezelheti az általános szerződési feltételek (az (EU) 2021/914 bizottsági határozat), valamint adott esetben az EU–USA adatvédelmi keretrendszer alapján, kiegészítő intézkedésekkel (titkosítás továbbítás közben és tároláskor). A demó fájlokat 24 óra elteltével töröljük.
9. MI-alapú feldolgozás. A dokumentumokat a 3. mellékletben szereplő MI-szolgáltatók olyan feltételek mellett dolgozzák fel, amelyek nem engedik meg számukra az Ügyfél adatainak modelljeik betanítására való felhasználását. Dokumentumait és adatait nem használjuk semmilyen MI-modell betanítására.
10. Adatvédelmi incidensek. A Veripass indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesíti az Ügyfelet, miután tudomást szerzett az Ügyfél Személyes Adatait érintő incidensről, a GDPR 33. cikk (3) bekezdése szerinti információkkal, amint azok rendelkezésre állnak.
11. Visszaadás és törlés. Az Ügyfél választása szerint a Veripass visszaadja vagy törli az Ügyfél Személyes Adatait. A megszűnéstől számított 60 napon belül az Ügyfél exportálhatja adatait. Ezt követően a Veripass 30 napon belül törli az Ügyfél Személyes Adatait, ideértve a biztonsági mentéseket is azok forgatási cikluson belül (legfeljebb 35 nap), kivéve ha uniós vagy tagállami jog tárolást ír elő.
12. Auditok. A Veripass lehetővé teszi és elősegíti az auditokat, ideértve a helyszíni vizsgálatokat is, amelyeket az Ügyfél vagy az általa megbízott, titoktartásra kötelezett független auditor végez. Az auditokra 12 havonta egyszer kerül sor 30 napos előzetes értesítéssel (incidens után vagy ha a felügyeleti hatóság megköveteli, gyakrabban), munkaidőben és az Ügyfél költségére. Ha elegendő, először írásbeli kérdőívet küldenek.
13. Felelősség. Az Általános Szerződési Feltételekben foglalt korlátozásoknak megfelelően, kivéve ha a GDPR nem engedi a korlátozást.
14. Elsőbbség. Ellentmondás esetén jelen Adatfeldolgozási Megállapodás az adatvédelmi kérdésekben elsőbbséget élvez a Feltételekkel szemben.
1. melléklet · Az adatkezelés részletei
A 2–5. pontban foglaltak szerint.
2. melléklet · Technikai és szervezési intézkedések
- TLS 1.2 vagy újabb továbbítás közben; AES-256 titkosítás tároláskor.
- Szerepkör-alapú hozzáférés, MFA a munkatársak számára, a legkisebb jogosultság elve.
- Az ügyféladatok fiókonként logikailag elkülönítve.
- Jóváhagyások és közzétételek auditnaplója.
- Napi titkosított mentések, 35 napos forgatás.
- A demó fájlok törlése 24 h után.
- A kritikus sebezhetőségek javítása 7 napon belül.
- Ezen intézkedések éves felülvizsgálata.
3. melléklet · Alfeldolgozók
| Alfeldolgozó | Cél | Helyszín |
|---|---|---|
| Cloud Clusters, Inc. | Az alkalmazás és az útlevéloldalak üzemeltetése | Egyesült Államok |
| Google (Gemini API, fizetős szint) | Dokumentumok adatkinyerése | Egyesült Államok |
| Cloud Clusters, Inc. (saját levelezőszerver, mailcow) | Egyesült Államok |
A Stripe a Veripass saját számlázási adatait kezeli; a dokumentumokban szereplő Ügyfél Személyes Adatait nem kezeli.