Adatfeldolgozási szerződés (GDPR 28. cikk)

1. Felek és tárgy

1.1 Az adatkezelő a felhasználó (a továbbiakban: „megbízó”), az adatfeldolgozó az iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Németország (a továbbiakban: „iBeekeeper”).

1.2 Az iBeekeeper a megbízó megbízásából kezel személyes adatokat, amennyiben a megbízó azokat a felhasználási szerződés (ÁSZF) keretében a szolgáltatásban tárolja. Időtartam: a felhasználási szerződés időtartama, valamint a 9. pont szerinti határidők.

2. Az adatkezelés jellege, célja és terjedelme

3. Utasítások

Az iBeekeeper az adatokat kizárólag a megbízó dokumentált utasításai alapján kezeli. Az utasításokat a felhasználási szerződés, valamint a szolgáltatásnak a megbízó által használt beállításai és funkciói kimerítően meghatározzák. További utasításokat a megbízó szöveges formában ad a service@ibeekeeper.de címre. Ha az iBeekeeper valamely utasítást jogellenesnek tart, erről haladéktalanul tájékoztatja a megbízót (GDPR 28. cikk (3) bekezdés 3. mondat).

4. Titoktartás

Az iBeekeeper csak olyan személyeket vesz igénybe, akik titoktartásra kötelezettséget vállaltak, vagy akiket jogszabályon alapuló titoktartási kötelezettség terhel.

5. Technikai és szervezési intézkedések

Az iBeekeeper megteszi a GDPR 32. cikke szerinti, az 1. mellékletben leírt intézkedéseket, és azokat a technika állásához igazítja, a védelmi szint csökkentése nélkül.

6. További adatfeldolgozók

6.1 A megbízó jóváhagyja a 2. mellékletben megnevezett további adatfeldolgozókat.

6.2 Az iBeekeeper minden tervezett igénybevételről vagy cseréről legalább 30 nappal korábban szöveges formában tájékoztatja a megbízót. A megbízó ezen határidőn belül fontos adatvédelmi okból tiltakozhat. Ha a felek nem tudnak megegyezni, a megbízó a felhasználási szerződést a változás időpontjára felmondhatja.

6.3 Az iBeekeeper minden további adatfeldolgozóra szerződésben ugyanazokat az adatvédelmi kötelezettségeket rója.

7. A megbízó támogatása

Az iBeekeeper megfelelő intézkedésekkel támogatja a megbízót az érintettek kérelmeinek megválaszolásában (GDPR 12–22. cikk), különösen a szolgáltatás exportálási, módosítási és törlési funkcióival, valamint a GDPR 32–36. cikke szerinti kötelezettségek teljesítésében. Ha egy érintett közvetlenül az iBeekeeperhez fordul, az iBeekeeper a kérelmet továbbítja a megbízónak.

8. Adatvédelmi incidensek

Az iBeekeeper a megbízási adatokat érintő adatvédelmi incidenst haladéktalanul, lehetőség szerint a tudomásszerzéstől számított 48 órán belül bejelenti a megbízónak, a GDPR 33. cikk (3) bekezdése szerinti adatokkal, amennyiben azok ismertek.

9. Törlés és visszaadás

A megbízó az adatokat bármikor maga exportálhatja és törölheti. A felhasználási szerződés megszűnése, illetve a fiók törlése után az iBeekeeper a megbízási adatokat az ÁSZF-ben meghatározott határidők (9.7. pont) szerint törli, amennyiben nem áll fenn jogszabályi tárolási kötelezettség. A napi mentések 30 nap után, naptári hónaponként egy állapot 12 hónap után törlésre kerül. A mentések titkosítottak, és kizárólag helyreállításra szolgálnak; helyreállítás után az időközben törölt adatok ismét törlésre kerülnek.

10. Igazolások és ellenőrzések

Az iBeekeeper kérésre a megbízó rendelkezésére bocsátja az e kötelezettségek betartásának igazolásához szükséges információkat, és lehetővé teszi a megbízó vagy az általa megbízott, titoktartásra kötelezett ellenőr általi vizsgálatokat, észszerű határidővel történő előzetes bejelentés után, munkaidőben. Az igazolás elsősorban dokumentumok és tájékoztatás útján történik.

11. Felelősség és záró rendelkezések

A felelősségre a GDPR 82. cikke irányadó; egyebekben az ÁSZF alkalmazandó. Ellentmondás esetén – amennyiben a személyes adatok védelméről van szó – ez a szerződés elsőbbséget élvez az ÁSZF-fel szemben.

1. melléklet: Technikai és szervezési intézkedések

• Belépés és fizikai biztonság: szerverek kizárólag az OVHcloud adatközpontjaiban, szerződő fél az OVH GmbH, Köln; a belépés ellenőrzését az OVHcloud végzi az adatfeldolgozási szerződése szerint (2025. október 17-i változat).
• Rendszerhozzáférés: bejelentkezés jelszóval, a jelszavak kizárólag hash-értékként tárolva; a szerverekhez adminisztrátori hozzáférés kizárólag SSH-kulccsal.
• Adathozzáférés: fiókonkénti jogosultságok a szolgáltatásban, megosztás kizárólag a felhasználó által; az adminisztratív hozzáférések naplózásra kerülnek (adminisztrációs alkalmazás, az ügyfélműveletek naplója).
• Továbbítás: TLS szállítási titkosítás minden kapcsolatnál; fotók metaadatok nélkül.
• Bevitel ellenőrzése: változásnapló a pénztárkönyvhöz és a kimenő számlákhoz, módosíthatatlan tárolás ellenőrzőösszeggel.
• Rendelkezésre állás: az adatbázis és a médiafájlok napi mentése elkülönített tárolóra (az OVHcloud németországi objektumtárolója); a napi mentések 30 nap után, naptári hónaponként egy állapot 12 hónap után törlésre kerül; a mentések titkosítottak, és kizárólag helyreállításra szolgálnak; a helyreállítást évente legalább egyszer kipróbálják, és az eredményt dokumentálják.
• Elkülönítés: több bérlős (multi-tenant) adattárolás, fiókonkénti lekérdezések.
• Felülvizsgálat: a szerverek és a függőségek biztonsági frissítései, az intézkedések évenkénti felülvizsgálata.

2. melléklet: További adatfeldolgozók

Az OVH GmbH a maga részéről az OVHcloud-csoport társaságait veszi igénybe, ügyfélszolgálatra és karbantartásra az OVH Hébergement Inc.-et (Kanada) és az OVH Limitedet (Egyesült Királyság) is; az aktuális lista a https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf címen érhető el.

Nem további adatfeldolgozók: a Mollie, az Apple és a Google (fizetés, illetve kézbesítés a felhasználóval fennálló saját jogviszonyukban, megbízási adatok nélkül).