Adatfeldolgozási szerződés minden partnerrel, online aláírva

1. A szerződés tárgya

1. A Felek között a következő szerződés (a továbbiakban: Alapszerződés) van hatályban, vagy azt a jelen szerződéssel egyidejűleg kötik meg: Az alapszerződés megnevezése.
2. Az Alapszerződés teljesítése során az Adatfeldolgozó az Adatkezelő nevében és megbízásából személyes adatokat kezel. A jelen szerződés a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR) 28. cikkének megfelelően rögzíti az adatfeldolgozás feltételeit.
3. A jelen szerződésben használt fogalmak (különösen: személyes adat, adatkezelés, adatkezelő, adatfeldolgozó, érintett, adatvédelmi incidens) a GDPR 4. cikkében meghatározott jelentéssel bírnak.
4. A Felek kijelentik, hogy a jelen szerződést gazdasági, illetve szakmai tevékenységük körében kötik, és a nevükben aláíró személy a szerződés megkötésére jogosult.

2. Az adatfeldolgozás részletei

1. Az adatfeldolgozás célja: Az adatfeldolgozás célja.
2. Az adatkezelési műveletek jellege: Az adatkezelési műveletek jellege.
3. A személyes adatok típusai: A személyes adatok típusai.
4. Az érintettek kategóriái: Az érintettek kategóriái.
5. Az adatkezelés helye (az adatok tárolásának és elérésének helye szerinti ország vagy országok): Az adatkezelés helye.
6. Az adatfeldolgozás időtartama: az Alapszerződés hatálya, ezt követően pedig a személyes adatok 11. fejezet szerinti törléséig vagy visszaadásáig tartó időszak.
7. Ha az Adatkezelő a GDPR 9. cikke szerinti különleges kategóriájú vagy a 10. cikke szerinti, büntetőjogi felelősség megállapítására vonatkozó személyes adatot kíván az Adatfeldolgozóval kezeltetni, erről az Adatfeldolgozót előzetesen tájékoztatja, és a Felek az ehhez szükséges további intézkedésekben írásban állapodnak meg.

3. Az Adatkezelő jogai és kötelezettségei

1. Az Adatkezelő felel azért, hogy az általa az Adatfeldolgozó rendelkezésére bocsátott személyes adatok kezelésének megfelelő jogalapja legyen, és hogy az érintetteket az adatkezelésről a GDPR szerint tájékoztassa.
2. Az Adatkezelő az adatfeldolgozással kapcsolatos utasításait írásban (e-mailben is) adja meg. A jelen szerződés és az Alapszerződés az Adatkezelő dokumentált utasításának minősül. Az Alapszerződés körén túlmenő, többletráfordítást igénylő utasítás teljesítésének díjazásáról a Felek előzetesen megállapodnak; ez nem érinti az Adatfeldolgozónak a GDPR-ból eredő kötelezettségeit.
3. Az Adatkezelő jogosult a jelen szerződésben foglaltak teljesítését a 10. fejezet szerint ellenőrizni.

4. Az Adatfeldolgozó kötelezettségei

1. Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli – ideértve a személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítását is –, kivéve, ha az adatkezelést az Adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő. Ez utóbbi esetben az Adatfeldolgozó az adatkezelést megelőzően tájékoztatja az Adatkezelőt e jogi előírásról, kivéve, ha a tájékoztatást az adott jogszabály fontos közérdekből tiltja (GDPR 28. cikk (3) bekezdés a) pont).
2. Az Adatfeldolgozó a személyes adatokat nem használhatja fel saját céljára, és az adatkezelés céljait és eszközeit nem határozhatja meg.
3. Az Adatfeldolgozó haladéktalanul tájékoztatja az Adatkezelőt, ha megítélése szerint valamely utasítása sérti a GDPR-t vagy más uniós vagy tagállami adatvédelmi rendelkezést.
4. Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak, vagy jogszabályon alapuló megfelelő titoktartási kötelezettség hatálya alatt álljanak, a személyes adatokhoz csak a feladatuk ellátásához szükséges mértékben férjenek hozzá, és azokat kizárólag az Adatkezelő utasításainak megfelelően kezeljék (GDPR 28. cikk (3) bekezdés b) pont, 29. cikk).
5. Az Adatfeldolgozó a GDPR 30. cikkének (2) bekezdése szerinti nyilvántartást vezet az Adatkezelő nevében végzett adatkezelési tevékenységekről, és a felügyeleti hatósággal – annak megkeresésére – együttműködik (GDPR 31. cikk).
6. Ha hatóság, bíróság vagy más harmadik személy az Adatkezelő nevében kezelt személyes adatok kiadását kéri, az Adatfeldolgozó erről – ha jogszabály nem tiltja – az Adatkezelőt késedelem nélkül tájékoztatja, és az adatokat csak jogszabályi kötelezettség alapján, a szükséges mértékben adja ki.

5. Adatbiztonság

1. Az Adatfeldolgozó – a tudomány és a technológia állására, a megvalósítás költségeire, az adatkezelés jellegére, hatókörére, körülményeire és céljaira, valamint az érintettek jogait és szabadságait érintő kockázatokra figyelemmel – megteszi a GDPR 32. cikke szerinti, a kockázat mértékének megfelelő szintű adatbiztonságot garantáló technikai és szervezési intézkedéseket.
2. Ezek az intézkedések az adatfeldolgozás jellegétől függően különösen a következőket foglalják magukban: a hozzáférési jogosultságok szerepkör szerinti korlátozása és naplózása; erős hitelesítés alkalmazása; a személyes adatok titkosítása az adattovábbítás során és – ahol indokolt – a tárolás során; rendszeres biztonsági mentés és a helyreállíthatóság biztosítása; a rendszerek naprakészen tartása és kártevők elleni védelme; a munkatársak adatvédelmi oktatása; az intézkedések hatékonyságának rendszeres felülvizsgálata.
3. Az Adatfeldolgozó az alkalmazott intézkedéseket a technológia fejlődésének és a kockázatok változásának megfelelően felülvizsgálja és aktualizálja; a biztonsági szint csökkentésével járó változtatásról az Adatkezelőt előzetesen tájékoztatja.

6. További adatfeldolgozó igénybevétele

1. Az Adatkezelő általános írásbeli felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozó igénybevételére (GDPR 28. cikk (2) bekezdés). A jelen szerződés megkötésekor igénybe vett további adatfeldolgozók: Igénybe vett további adatfeldolgozók.
2. Az Adatfeldolgozó további adatfeldolgozó igénybevételét vagy cseréjét a tervezett változás előtt legalább tizenöt nappal írásban bejelenti az Adatkezelőnek, aki e határidőn belül, indokolással kifogást emelhet a változással szemben. Kifogás esetén a Felek egyeztetnek; ha nem jutnak megegyezésre, az Adatkezelő jogosult az Alapszerződést az érintett szolgáltatás tekintetében felmondani.
3. Az Adatfeldolgozó a további adatfeldolgozóval kötött írásbeli szerződésben ugyanazokat az adatvédelmi kötelezettségeket köti ki, amelyeket a jelen szerződés az Adatfeldolgozóra ró, különösen a megfelelő technikai és szervezési intézkedések végrehajtására vonatkozó garanciákat. Ha a további adatfeldolgozó adatvédelmi kötelezettségeit nem teljesíti, az Adatkezelővel szemben az Adatfeldolgozó teljes felelősséggel tartozik (GDPR 28. cikk (4) bekezdés).

7. Adattovábbítás harmadik országba

1. Az Adatfeldolgozó – és az általa igénybe vett további adatfeldolgozó – a személyes adatokat az Európai Gazdasági Térségen kívüli országba (harmadik országba) vagy nemzetközi szervezet részére csak az Adatkezelő dokumentált utasítása vagy a 6. fejezet szerint jóváhagyott további adatfeldolgozó igénybevétele alapján, és csak akkor továbbíthatja, ha a továbbítás megfelel a GDPR V. fejezetének.
2. Harmadik országba történő továbbításra különösen akkor kerülhet sor, ha az Európai Bizottság az adott országra megfelelőségi határozatot hozott (GDPR 45. cikk), vagy ha a továbbítás a GDPR 46. cikke szerinti megfelelő garanciák – így különösen az Európai Bizottság által elfogadott általános adatvédelmi kikötések – alapján történik.
3. Az Adatfeldolgozó az Adatkezelő kérésére tájékoztatást ad a harmadik országba történő továbbításokról és az alkalmazott garanciákról.

8. Együttműködés és az érintettek jogai

1. Az Adatfeldolgozó az adatkezelés jellegének figyelembevételével, megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az Adatkezelőt abban, hogy teljesíteni tudja az érintettek GDPR III. fejezetében meghatározott jogainak gyakorlására irányuló kérelmek megválaszolására vonatkozó kötelezettségét. Az Adatfeldolgozóhoz közvetlenül beérkező érintetti kérelmet az Adatfeldolgozó késedelem nélkül továbbítja az Adatkezelőnek, és arra csak az Adatkezelő utasítása szerint válaszol.
2. Az Adatfeldolgozó az adatkezelés jellegének és a rendelkezésére álló információknak a figyelembevételével segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségek (adatbiztonság, adatvédelmi incidens bejelentése és az érintettek tájékoztatása, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében.

9. Adatvédelmi incidens

1. Az Adatfeldolgozó az adatvédelmi incidenst a tudomásszerzést követően indokolatlan késedelem nélkül, lehetőség szerint huszonnégy órán belül bejelenti az Adatkezelőnek (GDPR 33. cikk (2) bekezdés). A bejelentés – a rendelkezésre álló mértékben – tartalmazza az incidens jellegét, az érintettek és az érintett adatok körét és hozzávetőleges számát, a valószínűsíthető következményeket, a megtett és a javasolt intézkedéseket, valamint a kapcsolattartó elérhetőségét. A később rendelkezésre álló információkat az Adatfeldolgozó késedelem nélkül pótolja.
2. Az Adatfeldolgozó megteszi az incidens következményeinek elhárításához és enyhítéséhez tőle elvárható intézkedéseket, a bizonyítékokat megőrzi, és az incidenst dokumentálja. Az incidenssel kapcsolatban a felügyeleti hatóság és az érintettek felé nyilatkozatot – jogszabályi kötelezettség esetét kivéve – csak az Adatkezelő tesz.
3. Az incidens bejelentése az Adatkezelőnek a szerződő felek adatai között megjelölt e-mail-címére, valamint – ha a bejelentés sürgőssége indokolja – telefonon történik.

10. Ellenőrzés

1. Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsát minden olyan információt, amely a jelen szerződésben és a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges (GDPR 28. cikk (3) bekezdés h) pont).
2. Az Adatfeldolgozó lehetővé teszi és elősegíti az Adatkezelő által vagy az általa megbízott, titoktartásra kötelezett ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is. Az Adatkezelő az ellenőrzést – a sürgős eseteket kivéve – legalább tizenöt nappal előre jelzi, és azt úgy végzi, hogy az Adatfeldolgozó működését szükségtelenül ne zavarja, valamint más ügyfelei adatainak és üzleti titkainak védelmét ne sértse.
3. Az ellenőrzés saját költségeit mindegyik Fél maga viseli. Ha az ellenőrzés az Adatfeldolgozó jelen szerződésbe ütköző, lényeges mulasztását tárja fel, az Adatfeldolgozó a mulasztást késedelem nélkül orvosolja.

11. Az adatfeldolgozás befejezése

1. Az adatfeldolgozási szolgáltatás nyújtásának befejezését követően az Adatfeldolgozó az Adatkezelő választása szerint minden személyes adatot töröl vagy visszajuttat az Adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha uniós vagy tagállami jog a személyes adatok további tárolását írja elő (GDPR 28. cikk (3) bekezdés g) pont). Az Adatkezelő a választását a befejezést követő tizenöt napon belül közli; ennek hiányában az Adatfeldolgozó a személyes adatokat törli.
2. Visszajuttatás esetén az Adatfeldolgozó az adatokat általánosan használt, géppel olvasható formátumban adja át. A biztonsági mentésekben szereplő adatokat az Adatfeldolgozó a mentések szokásos megújítási rendjében, de legkésőbb kilencven napon belül törli; addig azokat más célra nem használja.
3. Az Adatfeldolgozó a törlést vagy a visszajuttatást az Adatkezelő kérésére írásban igazolja.

12. Felelősség

1. A Felek a jelen szerződés megszegésével, illetve a GDPR megsértésével okozott kárért a GDPR 82. cikke és a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) szerint felelnek. Az Adatfeldolgozó az adatkezeléssel okozott kárért csak akkor felel, ha nem tartotta be a GDPR-ban kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az Adatkezelő jogszerű utasításait figyelmen kívül hagyta, illetve azokkal ellentétesen járt el (GDPR 82. cikk (2) bekezdés).
2. Ha az érintett kárát valamelyik Fél teljes egészében megtérítette, az a másik Féltől követelheti a kártérítés azon részét, amely a másik Fél kárért való felelősségének felel meg (GDPR 82. cikk (5) bekezdés).
3. Ha az Adatfeldolgozó a GDPR-t megsértve maga határozza meg az adatkezelés céljait és eszközeit, az adott adatkezelés tekintetében adatkezelőnek minősül (GDPR 28. cikk (10) bekezdés).

13. Értesítések, jogviták

1. A Felek a jelen szerződéssel kapcsolatos nyilatkozataikat írásban, a szerződő felek adatai között megjelölt e-mail-címre vagy székhelyükre küldik; a jelen szerződés alkalmazásában az e-mail is írásbeli nyilatkozatnak minősül. A Felek az elérhetőségeik – különösen az incidensek bejelentésére szolgáló elérhetőség – megváltozásáról egymást késedelem nélkül tájékoztatják.
2. A Felek a szerződéssel kapcsolatos vitáikat elsősorban tárgyalás útján rendezik. Ha a tárgyalás nem vezet eredményre, bármelyik Fél a polgári perrendtartásról szóló 2016. évi CXXX. törvény szerint hatáskörrel és illetékességgel rendelkező bírósághoz fordulhat. Ez nem érinti az érintettek és a felügyeleti hatóság GDPR szerinti jogait.

14. Záró rendelkezések

1. A jelen szerződés az utolsó aláírás napján lép hatályba, és az Alapszerződés megszűnésével – a 11. fejezetben foglalt kötelezettségek teljesítéséig fennmaradó hatállyal – szűnik meg. A titoktartási kötelezettség a szerződés megszűnése után is fennmarad.
2. Ha a jelen szerződés és az Alapszerződés rendelkezései között a személyes adatok kezelését érintően eltérés van, a jelen szerződés rendelkezései az irányadók.
3. Az Adatfeldolgozó a jelen szerződés szerinti kötelezettségeit az Alapszerződés szerinti díj ellenében teljesíti; külön díjazásra csak akkor jogosult, ha az Alapszerződés vagy a 3.2. pont szerinti megállapodás így rendelkezik.
4. A jelen szerződés módosítása csak írásban, mindkét Fél aláírásával érvényes (Ptk. 6:191. §). Ha az alkalmazandó adatvédelmi jogszabályok megváltoznak, vagy a felügyeleti hatóság eltérő követelményt támaszt, a Felek a jelen szerződést a szükséges mértékben, egymással együttműködve módosítják.
5. Ha a szerződés valamely rendelkezése érvénytelen, az a többi rendelkezés érvényességét nem érinti, kivéve, ha feltehető, hogy a Felek a szerződést az érvénytelen rész nélkül nem kötötték volna meg (Ptk. 6:114. §).
6. A jelen szerződésre a magyar jog az irányadó. A szerződésben nem szabályozott kérdésekben a GDPR, a vonatkozó magyar adatvédelmi jogszabályok és a Ptk. rendelkezései irányadók.
7. A Felek a szerződést elektronikus úton kötik meg és írják alá; a szerződés a GDPR 28. cikk (9) bekezdése szerinti, elektronikus formában írásba foglalt szerződésnek minősül. Az aláírt szerződést mindkét Fél elektronikus dokumentumként (PDF formátumban) megkapja.
8. A Felek a szerződést elolvasták, annak tartalmát megértették, és mint akaratukkal mindenben egyezőt aláírták.