Adatfeldolgozási Megállapodás

A jelen adatfeldolgozási megállapodás (a továbbiakban: „Adatfeldolgozási Megállapodás”) az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK elválaszthatatlan mellékletét képezi. Az Adatfeldolgozási Megállapodás az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEKKEL együtt, annak elfogadásával válik a felek közötti szerződés részévé. Az Adatfeldolgozási Megállapodás törzsszövegéhez az I. MELLÉKLET (a felek és az adatfeldolgozás leírása), a II. MELLÉKLET (technikai és szervezési intézkedések) és a III. MELLÉKLET (Al-adatfeldolgozói nyilvántartás) kapcsolódik. A mellékletek a jelen törzsszöveggel együtt értelmezendők. Általános adatvédelmi kikötéseket tartalmazó külön melléklet nem képezi a jelen megállapodás részét; harmadik országba történő továbbítás esetén a 11. fejezet és a III. MELLÉKLETBEN megjelölt szolgáltatói garancia az irányadó.

1. Tárgy és szerepek

1.1. A jelen fejezetben és az Adatfeldolgozási Megállapodás egészében a Kereskedő az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: „GDPR”) 4. cikk 7. pontja szerinti adatkezelőként (a továbbiakban: „Adatkezelő”), a Szolgáltató pedig a GDPR 4. cikk 8. pontja szerinti adatfeldolgozóként (a továbbiakban: „Adatfeldolgozó”) jár el. Az Adatkezelő és az Adatfeldolgozó a továbbiakban együttesen: a „Felek”, külön-külön: a „Fél”.

1.2. Az Adatfeldolgozási Megállapodás tárgya azon személyes adatok Adatfeldolgozó által végzett feldolgozásának szabályozása, amelyeket az Adatkezelő a Platform és a Szolgáltatás igénybevétele során, saját adatkezelési céljaira bíz az Adatfeldolgozóra, ideértve különösen, de nem kizárólag a Webáruház üzemeltetésével, a megrendelések kezelésével és az Adatkezelő által aktivált további funkciók nyújtásával összefüggő feldolgozást. Az Adatfeldolgozási Megállapodás a GDPR 28. cikk (3) bekezdése szerinti szerződésnek minősül.

1.3. Az Adatfeldolgozási Megállapodás nem terjed ki azokra az adatkezelésekre, amelyek tekintetében a Szolgáltató önálló adatkezelőként jár el, így különösen a Kereskedővel kötött szerződés megkötéséhez és teljesítéséhez, a számlázáshoz, a Szolgáltató saját weboldalainak és értékesítési tevékenységének működtetéséhez, a Szolgáltató saját ügyfélszolgálati és támogatási kapcsolattartásához a Kereskedővel és Felhasználóival, valamint a jogellenes tartalomra vonatkozó bejelentésekhez, a moderációs döntésekhez és az ezekkel összefüggő levelezéshez kapcsolódó adatkezelésekre. Ezen adatkezelésekre a Szolgáltató ADATKEZELÉSI TÁJÉKOZTATÓJA irányadó. Ha a támogatási megkeresés Feldolgozott Személyes Adatot tartalmaz, arra az I. MELLÉKLET Támogatás funkciócsoportja irányadó. Hangsúlyozandó, hogy az Adatfeldolgozó a jelen pontban írt elhatárolástól függetlenül az Adatfeldolgozási Megállapodás hatálya alá tartozó személyes adatokat saját céljaira nem használhatja fel, kivéve a csalásmegelőzési jelzéseket, amelyeket a Szolgáltató a MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4. pontja szerint, önálló adatkezelőként kezel.

1.4. A Felek azonosítását, kapcsolattartóit és értesítési elérhetőségeit az I. MELLÉKLET tartalmazza. Az Adatfeldolgozási Megállapodás az adatfeldolgozási szolgáltatás nyújtásáig, valamint ezt követően a 13. fejezet szerinti visszajuttatás vagy törlés teljesítéséig, illetve az ezután jogszerűen megőrzött adatok tekintetében a megőrzési idő lejártáig alkalmazandó.

2. Fogalommeghatározások

2.1. Az Adatfeldolgozási Megállapodásban alkalmazott, az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEKBEN meghatározott fogalmak – ideértve különösen a Szolgáltató, a Kereskedő, a Platform, a Szolgáltatás, a Webáruház, az Adminisztrációs Felület, a Vásárló és a Megrendelési Rekord fogalmát – az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK szerinti jelentéssel bírnak. A jelen fejezet kizárólag a GDPR szerinti fogalmakat, valamint az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEKBEN nem szabályozott fogalmakat határozza meg.

2.2. „Személyes Adat”: a GDPR 4. cikk 1. pontja szerinti személyes adat, amely az Adatfeldolgozási Megállapodás hatálya alá tartozó feldolgozás tárgyát képezi (a továbbiakban szükség szerint: „Feldolgozott Személyes Adat”).

2.3. „Feldolgozás”: a GDPR 4. cikk 2. pontja szerinti adatkezelési művelet vagy műveletek összessége, amelyet az Adatfeldolgozó az Adatkezelő nevében végez.

2.4. „Érintett”: a GDPR 4. cikk 1. pontja szerinti azonosított vagy azonosítható természetes személy, akire a Feldolgozott Személyes Adat vonatkozik.

2.5. „Adatvédelmi Incidens”: a GDPR 4. cikk 12. pontja szerinti, a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt Feldolgozott Személyes Adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

2.6. „Dokumentált Utasítás”: az Adatkezelő által az Adatfeldolgozó részére írásban – ideértve az elektronikus formát is –, az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEKBEN, az Adatfeldolgozási Megállapodásban, vagy a Szolgáltatás rendeltetésszerű használata útján, így különösen az Adminisztrációs Felületen megtett beállításokkal és az egyes funkciók aktiválásával adott utasítás.

2.7. „Al-adatfeldolgozó”: az Adatfeldolgozó által a 7. fejezettel összhangban igénybe vett további adatfeldolgozó a GDPR 28. cikk (2) és (4) bekezdése értelmében.

2.8. „Technikai és Szervezési Intézkedések”: a GDPR 32. cikke alapján az Adatfeldolgozó által alkalmazott, a II. MELLÉKLETBEN meghatározott intézkedések (a továbbiakban: „TOM”).

2.9. „SCC”: az Európai Bizottság által a GDPR 46. cikk (2) bekezdés c) pontja alapján elfogadott általános adatvédelmi kikötések (standard contractual clauses; az (EU) 2021/914 bizottsági végrehajtási határozat szerinti általános szerződési feltételek), ha azokat az érintett Al-adatfeldolgozó adatfeldolgozási feltételei tartalmazzák, vagy azok alkalmazása a Felek között szükségessé válik.

2.10. Az Adatfeldolgozási Megállapodásban alkalmazott egyéb, a GDPR-ban meghatározott fogalmak a GDPR szerinti jelentéssel bírnak.

3. Az Adatkezelő utasításai

3.1. Az Adatfeldolgozó a Feldolgozott Személyes Adatokat kizárólag az Adatkezelő Dokumentált Utasításai alapján dolgozza fel, a GDPR 28. cikk (3) bekezdés a) pontjával összhangban. Az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK és az Adatfeldolgozási Megállapodás megkötése, valamint a Szolgáltatás rendeltetésszerű használata az I. MELLÉKLETBEN leírt feldolgozás tekintetében Dokumentált Utasításnak minősül. Az Adatfeldolgozó a Feldolgozott Személyes Adatokat saját célra – ideértve különösen, de nem kizárólag modellbetanítást vagy egyéb, az Adatkezelő utasításán túlmutató felhasználást – nem használja fel; ez alól kizárólag az 1.3. pont szerinti csalásmegelőzési jelzések képeznek kivételt.

3.2. Az Adatfeldolgozó a Feldolgozott Személyes Adatok harmadik országba történő továbbítását kizárólag Dokumentált Utasítás alapján és a 11. fejezettel összhangban végezheti, kivéve, ha az adattovábbítást az Adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő. Utóbbi esetben az Adatfeldolgozó a feldolgozást megelőzően tájékoztatja az Adatkezelőt e jogi követelményről, kivéve, ha az alkalmazandó jog fontos közérdekből kifejezetten tiltja az ilyen tájékoztatást.

3.3. Ha az Adatfeldolgozó megítélése szerint az Adatkezelő valamely utasítása sérti a GDPR-t vagy az egyéb alkalmazandó uniós vagy tagállami adatvédelmi rendelkezéseket, az Adatfeldolgozó erről haladéktalanul tájékoztatja az Adatkezelőt, a GDPR 28. cikk (3) bekezdésének második albekezdésével összhangban. A tájékoztatás nem minősül az Adatkezelő valamennyi utasításának általános jogi ellenőrzésére vonatkozó vállalásnak. Ha az Adatkezelő a tájékoztatás ellenére fenntartja az utasítást, az Adatfeldolgozó jogosult az érintett feldolgozás teljesítését a jogszerűség helyreállításáig felfüggeszteni, és erről az Adatkezelővel egyeztetni.

3.4. Az Adatkezelő felel a feldolgozás céljainak és eszközeinek meghatározásáért, az adatkezelés jogalapjának meglétéért, az Érintettek részére nyújtandó tájékoztatásért, valamint utasításai jogszerűségéért. Az Adatkezelő a Szolgáltatást kizárólag az irányadó jogszabályi rendelkezésekkel összhangban jogosult igénybe venni, és köteles a Feldolgozott Személyes Adatok tekintetében fennálló jogait és felhatalmazásait a feldolgozás teljes időtartama alatt fenntartani.

3.5. Ha az Adatfeldolgozót hatóság, bíróság vagy más harmadik személy a Feldolgozott Személyes Adatok közlésére hívja fel, az Adatfeldolgozó – feltéve, hogy azt az alkalmazandó jog nem tiltja – erről indokolatlan késedelem nélkül tájékoztatja az Adatkezelőt, és a közlést a jogszabály által kötelezően előírt mértékre korlátozza.

4. A feldolgozás meghatározása

4.1. A GDPR 28. cikk (3) bekezdésével összhangban a feldolgozás tárgyát és időtartamát, a feldolgozás jellegét és célját, a Feldolgozott Személyes Adatok típusait, az Érintettek kategóriáit, valamint az Adatkezelő jogait és kötelezettségeit részletesen az I. MELLÉKLET határozza meg. Az Adatfeldolgozó tevékenysége különösen a Platform és a Webáruház tárhelyének és működtetésének biztosítására, a megrendelések és a vásárlói kommunikáció technikai kezelésének támogatására, valamint az Adatkezelő által aktivált további funkciók – ideértve különösen, de nem kizárólag a hozzájárulás-kezelési eszközt és az AI Szolgáltatásokat – nyújtására terjed ki. Az Adatfeldolgozó az egyes funkciókat kizárólag az Adatkezelő általi aktiválás, illetve beállítás esetén és annak keretei között nyújtja.

4.2. A feldolgozás időtartama az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK alapján fennálló szerződés időtartamához igazodik, azzal, hogy a szerződés megszűnése esetén a 13. fejezet rendelkezései az irányadók. Az Adatfeldolgozó a Feldolgozott Személyes Adatokat az I. MELLÉKLETBEN megjelölt időtartamnál és céloknál tovább, illetve azoktól eltérően nem dolgozza fel.

4.3. Az Adatkezelő köteles az I. MELLÉKLET adatait naprakészen tartani, és a feldolgozás tárgyát, a Feldolgozott Személyes Adatok típusait vagy az Érintettek kategóriáit érintő érdemi változást – ideértve különösen a személyes adatok különleges kategóriáinak a GDPR 9. cikke szerinti bevonását – csak előzetes egyeztetést és szükség esetén az I. MELLÉKLET módosítását követően bevezetni. Ellenkező megállapodás hiányában az Adatkezelő a Szolgáltatással összefüggésben a GDPR 9. cikke szerinti különleges adatot és a GDPR 10. cikke szerinti adatot nem ad át feldolgozásra.

4.4. A hozzájárulás-kezelési funkció igénybevétele esetén az Adatfeldolgozó technikai eszközt biztosít az Adatkezelő Webáruházában alkalmazandó hozzájárulási kategóriák kezeléséhez és az opcionális kódok hozzájáruláshoz kötött betöltéséhez, az I. MELLÉKLETBEN leírtak szerint. A sütik és hasonló technológiák jogszerű alkalmazásáért, a saját süti- és adatkezelési tájékoztatás tartalmáért, valamint a hozzájárulások bizonyíthatóságához szükséges, az Adatkezelő saját hatáskörébe tartozó intézkedésekért az Adatkezelő felel. Hangsúlyozandó, hogy a technikai eszköz biztosítása önmagában nem helyettesíti az Adatkezelő tájékoztatási és bizonyítási kötelezettségeinek teljesítését.

4.5. Ha az Adatkezelő olyan funkciót aktivál, amelynek nyújtásához a Feldolgozott Személyes Adatok Al-adatfeldolgozó részére történő továbbítása szükséges, a funkció aktiválása az I. és a III. MELLÉKLETBEN leírt körben Dokumentált Utasításnak minősül. Az Al-adatfeldolgozók igénybevételének rendjét a 7. fejezet, a harmadik országba történő továbbítás szabályait a 11. fejezet határozza meg.

4.6. Az Adatkezelő köteles a Szolgáltatásba kizárólag olyan Feldolgozott Személyes Adatot feltölteni, illetve ott tárolni, amelynek kezelésére jogszerű felhatalmazással rendelkezik, és köteles a pontatlan vagy szükségtelen adatokat saját hatáskörben helyesbíteni, illetve törlésüket kezdeményezni, az Adminisztrációs Felületen rendelkezésre álló eszközök használatával.

5. Titoktartás és hozzáférésre jogosult személyek

5.1. Az Adatfeldolgozó biztosítja, hogy a Feldolgozott Személyes Adatok feldolgozására feljogosított személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak, a GDPR 28. cikk (3) bekezdés b) pontjával összhangban.

5.2. Az Adatfeldolgozó a Feldolgozott Személyes Adatokhoz történő hozzáférést a feladatkör ellátásához feltétlenül szükséges körre korlátozza, a jogosultságokat dokumentált rendben kezeli, és a jogosultság megszűnése esetén a hozzáférést haladéktalanul visszavonja, a II. MELLÉKLET hozzáférés-kezelési rendelkezéseivel összhangban. Az Adatfeldolgozó munkatársai támogatási célból az Adatkezelő adataihoz kizárólag a szolgáltatásnyújtáshoz, hibajavításhoz vagy biztonsági intézkedéshez szükséges mértékben és időtartamban férhetnek hozzá.

5.3. A jelen fejezet szerinti titoktartási kötelezettség a feldolgozás befejezését és az Adatfeldolgozási Megállapodás megszűnését követően is fennáll, a jogszerűen megőrzött adatok tekintetében a megőrzési idő lejártáig. A titoktartási kötelezettség nem terjed ki az olyan információ közlésére, amelyet jogszabály, bírósági vagy hatósági döntés kötelezően előír; ilyen esetben a 3.5. pont az irányadó.

6. Biztonság és technikai és szervezési intézkedések

6.1. Az Adatfeldolgozó a GDPR 28. cikk (3) bekezdés c) pontjával összhangban megtesz minden, a GDPR 32. cikke alapján szükséges intézkedést. Ennek keretében az Adatfeldolgozó a tudomány és technológia állásához, a megvalósítási költségekhez, a feldolgozás jellegéhez, hatóköréhez, körülményeihez és céljaihoz, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázatokhoz igazodó Technikai és Szervezési Intézkedéseket alkalmaz, a GDPR 32. cikk (1)–(2) bekezdés figyelembevételével.

6.2. Az alkalmazott konkrét intézkedések – ideértve különösen, de nem kizárólag a titkosításra, a hozzáférés-kezelésre, az Adatkezelőnkénti elkülönítésre, a naplózásra, valamint a mentésre és helyreállításra vonatkozó intézkedéseket – körét kizárólag a II. MELLÉKLET határozza meg. A jelen törzsszöveg e tárgyban általános kötelezettséget rögzít, és konkrét technikai paramétert a II. MELLÉKLETRE történő utaláson túl nem tartalmaz.

6.3. Az Adatfeldolgozó a TOM-ot rendszeresen felülvizsgálja, és jogosult azt a technológiai fejlődéshez és a kockázatok változásához igazítva fejleszteni, feltéve, hogy a módosítás összességében nem csökkenti a Feldolgozott Személyes Adatok védelmének szintjét. A védelmi szintet összességében csökkentő érdemi módosításra a 14. fejezet szerinti módosítási rend alkalmazandó.

6.4. Az Adatkezelő a Szolgáltatás igénybevétele előtt, valamint a feldolgozás időtartama alatt saját hatáskörben értékeli, hogy a II. MELLÉKLETBEN meghatározott intézkedések – az általa meghatározott adatkezelési célokhoz és kockázatokhoz mérten – megfelelő garanciát nyújtanak-e, a GDPR 28. cikk (1) bekezdésével összhangban. Az Adatkezelő tudomásul veszi, hogy az Adminisztrációs Felület saját felhasználói jogosultságainak kiosztásáért és hitelesítő adatainak védelméért saját hatáskörben felel.

7. Al-adatfeldolgozók

7.1. Az Adatkezelő a GDPR 28. cikk (2) bekezdésével összhangban ezúton általános írásbeli felhatalmazást ad az Adatfeldolgozó részére további adatfeldolgozók igénybevételére, a GDPR 28. cikk (3) bekezdés d) pontjában foglaltak szerint, a jelen fejezetben meghatározott feltételekkel. A felhatalmazás kizárólag a III. MELLÉKLET szerinti Al-adatfeldolgozói nyilvántartásban jogi személyként egyedileg megnevezett Al-adatfeldolgozókra, valamint a 7.6. pont szerinti sürgős esetben igénybe vett Al-adatfeldolgozóra terjed ki; ez utóbbi esetben az Adatfeldolgozó a nyilvántartásba vételt indokolatlan késedelem nélkül pótolja. Az Al-adatfeldolgozó nyilvántartásba vétele és igénybevételének megkezdése a 7.4–7.6. pontban meghatározott rend szerint történhet. Szolgáltatói kategóriára, funkcióleírásra vagy szolgáltatáscsoportra történő utalás önmagában nem minősül felhatalmazásnak, és annak alapján Al-adatfeldolgozó nem vehető igénybe.

7.2. Az Adatfeldolgozó Al-adatfeldolgozót kizárólag akkor vehet igénybe, ha az Al-adatfeldolgozó megfelelő garanciákat nyújt arra, hogy a feldolgozás megfelel a GDPR követelményeinek és biztosítja az Érintettek jogainak védelmét, a GDPR 28. cikk (1) bekezdésével összhangban. Az Adatfeldolgozó az Al-adatfeldolgozóval olyan szerződést köt, amely ugyanolyan adatvédelmi kötelezettségeket telepít az Al-adatfeldolgozóra, mint amelyek az Adatfeldolgozási Megállapodás alapján az Adatfeldolgozót terhelik, a GDPR 28. cikk (4) bekezdés első mondata szerint, ideértve különösen, de nem kizárólag a Dokumentált Utasításokhoz kötöttség, a titoktartás, a TOM alkalmazása, a további adatfeldolgozók igénybevételének korlátozása, az incidensértesítés, az érintetti jogtámogatás, az audit és a törlés szabályait. Ha az Al-adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, az Al-adatfeldolgozót megbízó Adatfeldolgozó teljes felelősséggel tartozik az Adatkezelő felé az Al-adatfeldolgozó kötelezettségeinek teljesítéséért, a GDPR 28. cikk (4) bekezdés második mondata szerint; a Felek egymás közötti viszonyában a felelősség terjedelmére a 14.5. pont az irányadó.

7.3. Az Al-adatfeldolgozók mindenkor irányadó körét a III. MELLÉKLET szerinti Al-adatfeldolgozói nyilvántartás tartalmazza. Külön élő nyilvántartás közzétételére nem kerül sor. A nyilvántartás Al-adatfeldolgozónként legalább a jogi személy nevét, az igénybevétel célját, a kezelt adatok körét, a feldolgozás, illetve adattovábbítás helyét, valamint harmadik ország érintettsége esetén az alkalmazandó adattovábbítási garanciát tartalmazza. Az igénybevétel kezdőnapjára a III. MELLÉKLET 1.4. és 3.1. pontja, változás esetén pedig a 7.4. pont szerinti értesítés az irányadó, míg a 7.6. pont szerinti sürgős esetben az igénybevétel kezdőnapja a tényleges igénybevétel megkezdésének napja. A feldolgozás helyét a nyilvántartás az Európai Gazdasági Térségen belüli feldolgozás esetén az Európai Unióra, illetve az Európai Gazdasági Térségre utalással, harmadik ország érintettsége esetén az érintett harmadik ország megjelölésével rögzíti; az Európai Gazdasági Térségen belüli helyszínváltozás a 7.4. pont alkalmazásában nem minősül a feldolgozási hely bővítésének, kivéve, ha a nyilvántartás az érintett feldolgozást kizárólag az Európai Unióra korlátozta; ilyen esetben az Unión kívüli, de az Európai Gazdasági Térségbe tartozó helyszín bővítésnek minősül. A változás 7.4–7.6. pont szerinti hatályosulását követően az Adatfeldolgozó a változást a III. MELLÉKLET mindenkor irányadó változatában átvezeti; az átvezetésig az érintett Adatkezelőre a 7.4–7.6. pont szerint közölt és hatályosult állapot az irányadó.

7.4. Ha a változás olyan jogi személyre való átterelést jelent, amely a 7.3. pont szerinti nyilvántartásban a változás előtt már egyedileg megnevezett Al-adatfeldolgozóként szerepelt, és az átterelés a nyilvántartásban rögzített funkció, adatkör, feldolgozási hely és adattovábbítási garancia körén belül marad, az Adatfeldolgozó a változást előzetes kivárási idő nélkül végrehajthatja. Az azonos igénybevételi céllal, adatkörrel, feldolgozási hellyel és adattovábbítási garanciával szereplő Al-adatfeldolgozók közötti, a nyilvántartás rögzített tartalmát nem érintő terhelés- és kapacitásmegosztás nem minősül a jelen pont szerinti változásnak; az Adatfeldolgozó az egyes Al-adatfeldolgozók tényleges igénybevételét belső nyilvántartásában rögzíti, és arról az Adatkezelő kérelmére tájékoztatást ad. A jelen pont szerinti változásnak minősülő átterelés esetén az Adatfeldolgozó az Adatkezelőt legkésőbb a változás hatályosulásával egyidejűleg, írásban (ideértve az I. MELLÉKLETBEN megjelölt értesítési e-mail-címre küldött értesítést) tájékoztatja, és a változást a III. MELLÉKLETBEN a 7.3. pont szerint kizárólag akkor vezeti át, ha a III. MELLÉKLET tartalma ténylegesen változik vagy a korábbi szolgáltató kikerül a nyilvántartásból. Olyan jogi személy esetén, amely a nyilvántartásban korábban nem szerepelt, vagy ha a változás a már rögzített funkció, adatkör, feldolgozási hely vagy adattovábbítási garancia körét bővíti, az Adatfeldolgozó a tervezett változásról legalább tizennégy naptári nappal az igénybevétel tervezett kezdőnapja előtt írásban tájékoztatja az Adatkezelőt; az Adatkezelő Feldolgozott Személyes Adatai az érintett Al-adatfeldolgozó részére a tizennégy naptári nap elteltéig – a 7.5. pont szerinti kifogás esetén az ott meghatározott időpontig – nem tehetők hozzáférhetővé, a 7.6. pont szerinti kivétellel. Az értesítés tartalmazza a 7.3. pont szerinti adatokat és a változás indokát. Az igénybevétel megkezdése előtt az Adatfeldolgozó a 7.2. pont szerinti szerződéses és adattovábbítási feltételek fennállását belső nyilvántartásában rögzíti.

7.5. Az Adatkezelő a 7.4. pont szerinti értesítés kézhezvételétől számított 30 naptári napon belül írásban kifogást terjeszthet elő. A kifogáshoz adatvédelmi ok külön megjelölése vagy indokolás nem szükséges; az Adatkezelő a kifogás okát a megoldás keresése érdekében az egyeztetés során közölheti. Ha a kifogás a 7.4. pont szerinti tizennégy naptári napos előzetes értesítési időn belül érkezik, az érintett új vagy bővített igénybevétel az Adatkezelő Feldolgozott Személyes Adatai tekintetében nem kezdhető meg a megoldásban való megállapodásig, megoldás hiányában pedig az alább meghatározott tizenöt napos egyeztetési időt követő további tizenöt nap elteltéig, illetve – ha az Adatkezelő ezen időn belül felmondja a szerződést – a felmondás hatályosulásáig. Kifogás esetén a Felek haladéktalanul egyeztetnek; az Adatfeldolgozó megvizsgálja különösen azt, hogy az érintett feldolgozás más Al-adatfeldolgozóval, vagy az Adatkezelő Feldolgozott Személyes Adatainak a vitatott változás hatálya alóli jövőbeni kizárásával teljesíthető-e. Ha a kifogás közlésétől számított tizenöt napon belül megoldás nem érhető el, az Adatkezelő jogosult az érintett szolgáltatásrészt, illetve – ha az érintett feldolgozás a Szolgáltatástól észszerűen nem választható el – a Felek közötti szerződést – az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.8. pontja szerinti póthatáridő tűzése nélkül – írásban, azonnali hatállyal felmondani; a díjak visszatérítésére a CSOMAG- ÉS DÍJSZABÁSI MELLÉKLET 9.4.1. pontja az irányadó. A kifogás jogkövetkezményei a jövőre nézve alkalmazandók. A 7.4. pont szerinti előzetes értesítés esetén kifogás hiányában a változás a tizennégy naptári nap elteltével hatályosulhat; ez az értesítéstől számított 30 naptári napon belül később előterjesztett kifogást nem zárja ki. A III. MELLÉKLET puszta szerkesztési jellegű pontosítása – amely az Al-adatfeldolgozó jogi személyét, a feldolgozás tárgyát, helyét vagy garanciáját nem érinti – külön értesítést nem igényel; az ilyen pontosítást az Adatfeldolgozó belső változásnaplójában rögzíti, és a III. MELLÉKLET soron következő változatában átvezeti.

7.6. Ha az Al-adatfeldolgozó haladéktalan leváltása biztonsági incidens, szolgáltatáskiesés vagy az Al-adatfeldolgozó tevékenységének megszűnése miatt elkerülhetetlen, és a tizennégy naptári napos előzetes értesítési idő kivárása a Szolgáltatás biztonságát vagy folytonosságát érdemben veszélyeztetné, az Adatfeldolgozó a változást a 7.4. pont szerinti előzetes idő kivárása nélkül végrehajthatja. A sürgős változás csak a biztonság vagy folytonosság helyreállításához szükséges legszűkebb adatkörre és időtartamra terjedhet ki; harmadik országba történő továbbításra csak a 11. fejezet szerinti garancia fennállása esetén kerülhet sor. Az Adatfeldolgozó az értesítést – a sürgősség okának, a 7.3. pont szerinti adatoknak és az alkalmazott garanciáknak a megjelölésével – a változás végrehajtásával egyidejűleg, ennek hiányában legkésőbb negyvennyolc órán belül teljesíti, és a változást a III. MELLÉKLETBEN a 7.3. pont szerint átvezeti. A 7.5. pont szerinti kifogás joga ilyen esetben az értesítéstől számított harminc napig gyakorolható, jövőre irányuló jogkövetkezményekkel.

8. Segítség az érintetti jogok gyakorlásához

8.1. Az Adatfeldolgozó a GDPR 28. cikk (3) bekezdés e) pontjával összhangban, a feldolgozás jellegének figyelembevételével és a rendelkezésére álló információk erejéig, megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt abban, hogy teljesítse az Érintetteknek a GDPR 15–22. cikke szerinti jogainak – ideértve különösen a hozzáféréshez, a helyesbítéshez, a törléshez, az adatkezelés korlátozásához, az adathordozhatósághoz és a tiltakozáshoz való jogot – gyakorlására irányuló kérelmek megválaszolásához kapcsolódó kötelezettségeit.

8.2. Az Adatfeldolgozó az Adatkezelő számára az Adminisztrációs Felületen önkiszolgáló eszközöket biztosít különösen az alábbiakhoz: az egyes Vásárlók személyes adatainak exportálása strukturált formátumban, a törlés kezdeményezése a törlést esetlegesen akadályozó körülmények – így különösen jogszabályi megőrzési kötelezettség fennállása – megjelenítése mellett, a kezdeményezett törlés tíz (10) napos visszavonási időablakban történő visszavonása, valamint az érintetti kérelmek teljesítési határidejének nyomon követése. A törlést az Adatfeldolgozó a visszavonási időablak elteltét követően, az akadályozó körülmények hiányában hajtja végre.

8.3. Az Adatfeldolgozó a 8.2. pontban írt eszközökön túlmenően az Érintettek joggyakorlásához az Adminisztrációs Felületen és a Webáruházban a ténylegesen megvalósított funkciók körében nyújt támogatást. Hangsúlyozandó, hogy a jelen fejezet alapján az Adatfeldolgozó teljes szervezeti vagy teljes Webáruház-szintű, valamennyi adatkört felölelő, teljes körű adatkivitel biztosítására nem köteles, és ilyen vállalás a Felek közötti szerződés más rendelkezéséből sem vezethető le. Az önkiszolgáló eszközök körébe nem tartozó, eseti segítséget igénylő kérések teljesítésére az Adatkezelő megrendelése alapján, a 9.3. pont szerinti rendben kerülhet sor.

8.4. Ha az Érintett kérelmével közvetlenül az Adatfeldolgozóhoz fordul, az Adatfeldolgozó a kérelmet indokolatlan késedelem nélkül, de legkésőbb öt munkanapon belül továbbítja az Adatkezelő részére, és az Érintettet az Adatkezelőhöz irányítja. Az Adatfeldolgozó a kérelemre az Adatkezelő Dokumentált Utasítása hiányában érdemi választ nem ad, és érdemi intézkedést nem tesz, kivéve, ha erre jogszabály kötelezi.

8.5. Az érintetti kérelmek elbírálásáról és a GDPR 12. cikke szerinti határidők betartásáról az Adatkezelő gondoskodik. Az Adatfeldolgozó az Adatkezelő utasítása alapján végzett törlési, helyesbítési vagy korlátozási műveletet a Feldolgozott Személyes Adatok valamennyi, saját rendelkezése alatt álló előfordulására kiterjedően hajtja végre, a mentési példányokra és a jogszabályi megőrzésre vonatkozóan a 13. fejezetben foglaltak szerint, és a teljesítésről az Adatkezelőt visszaigazolással tájékoztatja.

9. Segítség biztonsági és hatásvizsgálati kötelezettségekhez

9.1. Az Adatfeldolgozó a GDPR 28. cikk (3) bekezdés f) pontjával összhangban, a feldolgozás jellegének és a rendelkezésére álló információknak a figyelembevételével segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében, így különösen a feldolgozás biztonságának garantálásával (32. cikk), az adatvédelmi incidensek felügyeleti hatóságnak történő bejelentésével és az Érintettek tájékoztatásával (33–34. cikk), az adatvédelmi hatásvizsgálat lefolytatásával (35. cikk), valamint a felügyeleti hatósággal történő előzetes konzultációval (36. cikk) összefüggésben.

9.2. A 9.1. pont szerinti segítség keretében az Adatfeldolgozó az Adatkezelő indokolt kérelmére rendelkezésre bocsátja különösen a feldolgozásra alkalmazott TOM leírását a II. MELLÉKLET szerint, az adatáramlásra és az Al-adatfeldolgozókra vonatkozó, az I. és III. MELLÉKLETBEN foglalt információkat, valamint Adatvédelmi Incidens esetén a 10. fejezet szerinti információkat. Az adatvédelmi hatásvizsgálat és az előzetes konzultáció elvégzése és az azokkal kapcsolatos döntések meghozatala az Adatkezelő feladata marad.

9.3. A 8. és a jelen fejezet alapján nyújtott, az önkiszolgáló eszközök és a mellékletek által lefedett információszolgáltatás körét meghaladó eseti segítségnyújtást az Adatfeldolgozó az Adatkezelő részletes Dokumentált Utasítása alapján, főszabályként kizárólag a segítség terjedelmének, teljesítési határidejének és díjának előzetes írásbeli elfogadását követően köteles megkezdeni és teljesíteni. Ha az eseti segítség elmaradása az Adatkezelő jogszabályban meghatározott, határidőhöz kötött kötelezettsége teljesítését közvetlenül veszélyeztetné, az Adatfeldolgozó a határidő tartásához minimálisan szükséges segítséget a díj előzetes elfogadását megelőzően is megkezdi; a Felek a díjról ezt követően, a ténylegesen ráfordított munka észszerű díja alapján tételesen elszámolnak. A már rendelkezésre álló, a mellékletekben rögzített információ és dokumentum átadása nem minősül díjas eseti segítségnyújtásnak. A jelen pont nem köti külön díjhoz az Adatfeldolgozó által a GDPR és az Adatfeldolgozási Megállapodás alapján kötelezően nyújtandó alapvető segítséget, ideértve különösen a 10. fejezet szerinti incidensértesítést. A jelen pont szerinti díjelszámolás kizárólag a Felek között irányadó, és nem érinti az Érintett GDPR 12. cikk (5) bekezdése szerinti díjmentességét. Ha az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.19. pontja alkalmazandó, a 18.19. pont szerinti szolgáltatóváltáshoz kapcsolódó segítségnyújtás díjazására nem a jelen pont, hanem az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.19.6. pontja az irányadó.

10. Adatvédelmi incidens

10.1. Ha Adatvédelmi Incidens jut az Adatfeldolgozó tudomására, az Adatfeldolgozó arról a GDPR 33. cikk (2) bekezdésével összhangban, a tudomásszerzést követően indokolatlan késedelem nélkül értesíti az Adatkezelőt. Az Adatfeldolgozó az értesítést belső eljárása szerint a tudomásszerzéstől számított negyvennyolc (48) órás célhatáridőben teljesíti, amely célhatáridő az „indokolatlan késedelem nélkül” követelményt nem helyettesíti és nem hosszabbítja meg. Ha az értesítésre a célhatáridőn túl kerül sor, az Adatfeldolgozó közli az Adatkezelővel a tudomásszerzésének időpontját és a késedelem okát. Az értesítés az I. MELLÉKLETBEN megjelölt incidensértesítési elérhetőségre történik.

10.2. Az Adatfeldolgozó a 10.1. pont szerinti értesítésben – a rendelkezésére álló információk erejéig, szükség esetén részletekben, azok rendelkezésre állásának ütemében – tájékoztatja az Adatkezelőt különösen az alábbiakról: az Adatvédelmi Incidens jellege, az Érintettek és az érintett adatrekordok kategóriái és hozzávetőleges száma, az Adatvédelmi Incidens valószínűsíthető következményei, valamint a kezelésére és esetleges káros hatásainak enyhítésére tett vagy tervezett intézkedések, továbbá az a kapcsolattartó, akitől további tájékoztatás kérhető, a GDPR 33. cikk (3) bekezdésében foglalt tartalmi elemekkel összhangban.

10.3. Az Adatfeldolgozó a tudomásszerzést követően haladéktalanul megkezdi az Adatvédelmi Incidens kivizsgálását, elhatárolását és orvoslását, a további károk megelőzése érdekében szükséges intézkedéseket megteszi, az eseményt és a megtett intézkedéseket dokumentálja, és az Adatkezelőt a vizsgálat érdemi fejleményeiről folyamatosan tájékoztatja, amíg az Adatkezelő a GDPR 33–34. cikke szerinti feladatainak ellátásához szükséges valamennyi, az Adatfeldolgozónál rendelkezésre álló információt meg nem kapta. Al-adatfeldolgozónál felmerült Adatvédelmi Incidens esetén az Adatfeldolgozó biztosítja, hogy az Al-adatfeldolgozó az incidensről őt indokolatlan késedelem nélkül tájékoztassa, és az így kapott információkat a jelen fejezet szerint továbbítja.

10.4. Az Adatvédelmi Incidens felügyeleti hatóság részére történő, a GDPR 33. cikk (1) bekezdése szerinti bejelentéséről – ideértve a hetvenkét (72) órás határidő betartását –, valamint az Érintetteknek a GDPR 34. cikke szerinti tájékoztatásáról az Adatkezelő dönt és gondoskodik. Az Adatfeldolgozó az Adatkezelő helyett felügyeleti hatósági bejelentést és érintetti tájékoztatást nem tesz, kivéve, ha erre az Adatkezelőtől kifejezett Dokumentált Utasítást kap, és annak teljesítésére jogszabály vagy hatósági előírás alapján jogosult.

10.5. Az a sikertelen biztonsági esemény, amely a Feldolgozott Személyes Adatok bizalmasságát, sértetlenségét vagy rendelkezésre állását nem sértette, nem minősül Adatvédelmi Incidensnek. Ilyen eseményről az Adatfeldolgozó az Adatkezelőt annak indokolt kérelmére, a 9. fejezet szerinti keretek között tájékoztatja.

11. Harmadik országba történő adattovábbítás

11.1. Az Adatfeldolgozó Feldolgozott Személyes Adatot harmadik országba vagy nemzetközi szervezet részére – ideértve a harmadik országból történő távoli hozzáférést is – kizárólag az Adatkezelő Dokumentált Utasítása alapján és a GDPR V. fejezetének (44–49. cikk) feltételeinek teljesülése esetén továbbíthat. A feldolgozás és az adattovábbítás mindenkor irányadó helyét az I. és a III. MELLÉKLET határozza meg. Hangsúlyozandó, hogy az Adatfeldolgozási Megállapodás kizárólagos európai uniós feldolgozási helyre vagy adattárolási rezidenciára vonatkozó vállalást nem tartalmaz; a feldolgozási hely tekintetében kizárólag a mellékletekben egyedileg megjelölt adatok az irányadók.

11.2. Ha a címzett ország, terület, ágazat vagy nemzetközi szervezet tekintetében az Európai Bizottság a GDPR 45. cikke szerinti megfelelőségi határozatot fogadott el, a továbbítás e határozat hatálya alatt végezhető. Az EU–US Data Privacy Framework (a továbbiakban: „EU–US DPF”) alapján történő továbbítás e körbe kizárólag akkor esik, ha a címzett szervezet érvényes tanúsítással rendelkezik, és a továbbítás a tanúsítás és a megfelelőségi határozat hatálya alá tartozik. Az Adatfeldolgozó a megfelelőségi határozat alapján igénybe vett címzetteket a III. MELLÉKLETBEN, a garancia megjelölésével tartja nyilván.

11.3. Megfelelőségi határozat hiányában vagy annak hatályán kívül eső továbbítás esetén a továbbításra kizárólag a GDPR 46. cikkével összhangban, a III. MELLÉKLETBEN megjelölt szolgáltatói garancia alapján kerülhet sor. Al-adatfeldolgozó igénybevételével megvalósuló továbbítás esetén az Al-adatfeldolgozó saját adatfeldolgozási feltételeibe foglalt garancia az irányadó, ideértve az ott foglalt SCC-t is; külön SCC-melléklet vagy külön SCC-tárgyalás nem képezi a jelen megállapodás részét. Ha az Adatkezelő az Európai Gazdasági Térségen kívül található, és a Felek közötti adatközlés maga megfelelőségi határozattal nem lefedett, harmadik országba történő továbbításnak minősül, ilyen továbbításra mindaddig nem kerül sor, amíg a Felek a GDPR 46. cikke szerinti garanciát – szükség esetén az alkalmazandó SCC-modult, a Felek szerepét és függelékeit – külön írásban nem rögzítették. Ilyen külön rögzítés hiányában a jelen megállapodás a Felek között SCC-t nem tartalmaz; rögzítése esetén az SCC és az Adatfeldolgozási Megállapodás eltérésekor a harmadik országba történő adattovábbítás tekintetében az SCC az irányadó.

11.4. A 11.3. pont szerinti továbbítást megelőzően az Adatfeldolgozó – az Adatkezelővel együttműködve – dokumentált transzfervizsgálatot végez, amely a címzett ország jogának és gyakorlatának, az adattovábbítás körülményeinek és az alkalmazandó garancia hatékonyságának értékelésére terjed ki, és szükség esetén kiegészítő technikai, szerződéses vagy szervezési intézkedéseket alkalmaz. A dokumentált transzfervizsgálatot az Adatfeldolgozó az Adatkezelő indokolt kérelmére rendelkezésre bocsátja, a más ügyfelek adatainak és az üzleti titkot képező részleteknek a kitakarásával. Ha a transzfervizsgálat alapján a védelem lényegében egyenértékű szintje a GDPR 44. cikke szerint nem biztosítható, az Adatfeldolgozó a továbbítást nem végzi el, illetve azt felfüggeszti, és erről az Adatkezelőt haladéktalanul tájékoztatja.

11.5. A GDPR 49. cikke szerinti eltérésen alapuló továbbításra kizárólag kivételesen, eseti jelleggel és az Adatkezelő előzetes, kifejezett Dokumentált Utasítása alapján kerülhet sor. Az Adatfeldolgozó eltérés alapján rendszeres, tömeges vagy strukturális továbbítást nem végez.

11.6. Ha a megfelelőségi határozat, az EU–US DPF szerinti tanúsítás vagy az egyéb alkalmazott garancia hatálya megszűnik vagy felfüggesztik, illetve a garancia érdemben módosul, az Adatfeldolgozó erről az Adatkezelőt indokolatlan késedelem nélkül tájékoztatja, a 7. fejezet értesítési és kifogásolási rendjét alkalmazza, és jogszerű garancia hiányában az érintett továbbítást felfüggeszti.

12. Audit és információszolgáltatás

12.1. Az Adatfeldolgozó a GDPR 28. cikk (3) bekezdés h) pontjával összhangban az Adatkezelő rendelkezésére bocsát minden olyan információt, amely az Adatfeldolgozási Megállapodásban és a GDPR 28. cikkében meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá lehetővé teszi és elősegíti az Adatkezelő vagy az általa megbízott más ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is, a jelen fejezetben meghatározott észszerű keretek között.

12.2. Az Adatkezelő naptári évenként legfeljebb egy alkalommal kezdeményezhet rutinauditot, legalább 30 nappal korábban megküldött írásbeli értesítéssel. A naptári évenként egy alkalomra vonatkozó korlát nem alkalmazandó, ha az auditot az Adatkezelő Adatvédelmi Incidens, felügyeleti hatóság vagy bíróság bizonyítékszolgáltatásra irányuló felhívása, okirattal alátámasztott és megalapozott súlyos szerződésszegési gyanú, vagy egy korábbi auditban feltárt hiányosság orvoslásának egyszeri, célzott dokumentumalapú utóellenőrzése miatt kezdeményezi; az ilyen kivételes audit kizárólag a kiváltó okhoz kapcsolódó feldolgozási körre terjedhet ki. Kivételes audit esetén az előzetes írásbeli értesítési idő öt munkanap; Adatvédelmi Incidens esetén a dokumentumalapú vizsgálat az értesítést követően haladéktalanul megkezdhető. Az audit elsődlegesen az Adatfeldolgozó által rendelkezésre bocsátott dokumentumok alapján történik; helyszíni vizsgálatra kizárólag akkor kerülhet sor, ha a dokumentumalapú vizsgálat az audit céljához nem elégséges. A helyszíni vizsgálat időpontjáról, terjedelméről és résztvevőiről a Felek előzetesen, észszerű időn belül egyeztetnek; az Adatfeldolgozó a helyszíni vizsgálat időpontját indokolatlanul nem késleltetheti, és ahhoz a dokumentumvizsgálat elégtelenségén túl további beleegyezése nem szükséges. Az auditra munkaidőben, az Adatfeldolgozó működését indokolatlanul nem zavaró módon, előzetes egyeztetést követően kerülhet sor. Az ellenőrt és az auditban részt vevő személyeket titoktartási kötelezettség terheli, és tevékenységük során kötelesek az Adatfeldolgozó észszerű biztonsági előírásait betartani. Az audit más Kereskedők adataihoz történő hozzáférésre nem terjedhet ki; az Adatfeldolgozó ezeket az adatokat az audit köréből kizárja, illetve az átadott anyagokból kitakarja.

12.3. Az Adatfeldolgozó az audit céljaira rendelkezésre bocsáthatja különösen a II. MELLÉKLETBEN meghatározott intézkedések leírását, a feldolgozási nyilvántartások releváns kivonatait, valamint – rendelkezésre állásuk esetén – a független tanúsítások, vizsgálati jelentések és összefoglalóik másolatait. A jelentések rendelkezésre bocsátása önmagában az Adatkezelő 12.1. pont szerinti auditjogát nem szünteti meg. Az audit költségeit minden Fél maga viseli, ideértve saját ellenőre és más megbízottja díját és költségeit is. A már meglévő dokumentumok és nyilvántartáskivonatok átadására a 9.3. pont szerinti előzetes díjelfogadás nem alkalmazandó. Ténylegesen új adatgyűjtést vagy előkészítést igénylő, rendkívüli munka díjazására a 9.3. pont szerinti, előzetes írásbeli elfogadás rendje alkalmazandó, azzal, hogy a díj elfogadásának hiánya a 12.1. pont szerinti kötelező közreműködést nem akadályozza, és a 9.3. pont második mondata megfelelően alkalmazandó.

12.4. Ha az audit az Adatfeldolgozási Megállapodás megsértését tárja fel, az Adatkezelő erről írásban, indokoltan tájékoztatja az Adatfeldolgozót, és az Adatfeldolgozó a jogsértést észszerű határidőn belül orvosolja, valamint az orvosláshoz szükséges lépéseket és azok tervezett teljesítési határidejét az Adatkezelővel írásban közli. A jelen fejezet nem korlátozza sem az Adatkezelő más szerződéses vagy jogszabályi jogait, sem a felügyeleti hatóság hatáskörét. Az Adatfeldolgozó a GDPR 31. cikkével összhangban együttműködik a felügyeleti hatósággal, és az Adatkezelőt a Feldolgozott Személyes Adatokat érintő hatósági megkeresésről a 3.5. pont szerint tájékoztatja.

13. Visszajuttatás és törlés

13.1. Az adatfeldolgozási szolgáltatás nyújtásának befejezésekor az Adatfeldolgozó a GDPR 28. cikk (3) bekezdés g) pontjával összhangban, az Adatkezelő választása szerint és a 13.2. pontban meghatározott rendben visszajuttatja az Adatkezelőnek az összes Feldolgozott Személyes Adatot, vagy azokat törli, és törli a meglévő másolataikat is, kivéve, ha az uniós vagy tagállami jog előírja azok tárolását. A MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4. pontja szerinti, a Szolgáltató által önálló adatkezelőként kezelt csalás- és visszaélés-megelőzési hálózati jelzések nem minősülnek Feldolgozott Személyes Adatnak, és nem tartoznak a jelen pont szerinti visszajuttatási vagy törlési rend hatálya alá; e jelzések kezelésére, megőrzésére és törlésére kizárólag a MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4–4.5. pontja az irányadó.

13.2. Az adatfeldolgozási szolgáltatás nyújtásának általános megszűnése esetén az Adatkezelő a 13.1. pont szerinti választását legkésőbb az adatfeldolgozási szolgáltatás befejezésétől számított 30 naptári napon belül köteles írásban közölni, amely határidő egybeesik az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.13. pontja szerinti 30 napos exportidőszakkal. A visszajuttatás az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.14. pontja szerint, az Adminisztrációs Felületen elérhető exportfunkciók útján vagy ügyfélszolgálati kérelemre kiadott exportállomány útján történik; az adatkörök és formátumok szerződéses rendjét az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.14. pontja határozza meg. Az abban nem szereplő Feldolgozott Személyes Adatokat az Adatfeldolgozó az Adatkezelő kérésére díjmentesen, a nála rendelkezésre álló, strukturált, géppel olvasható formátumban juttatja vissza; a 9.3. pont szerinti díjazás kizárólag az Adatkezelő által kért egyedi formátumra vagy feldolgozásra alkalmazható. Ha az Adatkezelő a határidőn belül a törlést választja, az Adatfeldolgozó az éles rendszerekben tárolt Feldolgozott Személyes Adatokat a választás közlésétől számított 30 naptári napon belül, de legkésőbb az adatfeldolgozási szolgáltatás befejezésétől számított 60. napig törli; az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.7. pontja szerinti azonnali megszüntetés esetén a törlésre az ott írt helyreállítási határidő az irányadó, kivéve, ha az Adatkezelő a törlésválasztásban a helyreállítás lehetőségéről kifejezetten lemond. Ha az Adatkezelő a visszajuttatást választja, az Adatfeldolgozó a visszajuttatás teljesítését követően fennmaradó éles rendszerbeli másolatokat legkésőbb az adatfeldolgozási szolgáltatás befejezésétől számított 60. napig törli. A választás közlésének hiányában az Adatfeldolgozó az éles rendszerekben tárolt Feldolgozott Személyes Adatokat a választási határidő lejártától számított további 30 naptári napon belül törli, és erről az Adatkezelőt előzetesen tájékoztatja; a mentési példányokra a 13.3. pont és a II. MELLÉKLET rendje, a kötelező megőrzésre a 13.4. pont az irányadó.

13.2.1. A nem élesített és díjfizetéssel nem érintett Webáruház inaktivitás miatti megszűnése esetén a 13.2. pont szerinti általános választási rend, valamint az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.13. pontja szerinti utólagos exportidőszak nem alkalmazandó. Ezen megszűnésre a figyelmeztetések rendje (a zárolást megelőzően 1 nappal, a törlést megelőzően 7 és 1 nappal küldött értesítés), a zárolás feloldása, valamint a törlés előtti export – mint a visszajuttatás választásának lehetősége – tekintetében az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 3.8.2. és 18.12. pontja az irányadó. Ha a zárolás feloldására a 30 napos zárolási időszak alatt nem kerül sor, az Adatfeldolgozó a Webáruház éles rendszerekben tárolt adatait a zárolási időszak lejártát követően, legkésőbb 7 napon belül törli. A mentési példányokra a 13.3. pont és a II. MELLÉKLET rendje, a jogszabály alapján kötelezően megőrzendő adatokra pedig a 13.4. pont változatlanul irányadó.

13.2.2. A szerződés szolgáltatóváltással (az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.19. pontja szerinti eljárással) történő megszűnése esetén a megszűnést követő első 30 nap az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.13. és 18.19.5. pontja szerinti adatvisszanyerési és exportidőszak, valamint a 13.1. pont szerinti választás egyidejű időszaka. Ha az Adatkezelő ezen 30 napos időszak alatt a törlést választja, vagy választást nem közöl, az Adatfeldolgozó az éles rendszerekben tárolt Feldolgozott Személyes Adatokat legkésőbb a következő 30 napon belül, azaz összesen legkésőbb a szerződés megszűnésétől számított 60. napig törli. Ha az Adatkezelő a visszajuttatást választja, az Adatfeldolgozó a visszajuttatás teljesítését követően fennmaradó éles rendszerbeli másolatokat legkésőbb a szerződés megszűnésétől számított 60. napig törli. A személyes adatnak nem minősülő adatok törlésére kizárólag az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.19.5. pontja az irányadó; a jelen pont e kört nem szabályozza. A mentési példányokra a 13.3. pont és a II. MELLÉKLET rendje, a kötelező megőrzésre pedig a 13.4. pont ebben az esetben is változatlanul irányadó.

13.3. Az Adatfeldolgozó a törlést az éles rendszerekben hajtja végre. Hangsúlyozandó, hogy a mentési példányokban és a helyreállítási célra fenntartott másolatokban lévő Feldolgozott Személyes Adatok célzott, azonnali eltávolítása technikailag nem végezhető el; ezek az adatok a törléstől kezdve kizárólag a sértetlenség, a biztonság és a felülíródási ciklus végrehajtása céljából tárolhatók, aktív feldolgozásukra nem kerülhet sor, és azok a II. MELLÉKLETBEN rögzített mentési felülíródási rendnek megfelelően, abban rögzített határidőben felülíródnak, illetve megsemmisülnek. A felülíródási határidő elteltét megelőzően végleges, minden másolatra kiterjedő fizikai törlés nem követelhető.

13.4. Az uniós vagy tagállami jog alapján kötelezően megőrzendő adatok tekintetében az Adatfeldolgozó az adatokat kizárólag a megőrzést előíró célból és időtartamban tárolja, azokra a jelen Adatfeldolgozási Megállapodás titoktartásra és biztonságra vonatkozó rendelkezéseit továbbra is alkalmazza, és a megőrzési idő lejártát követően azokat törli. A Szolgáltató mint önálló adatkezelő saját számlázási, számviteli és szerződésbizonyítási nyilvántartásaira az 1.3. pont az irányadó; ezen nyilvántartások nem képezik a 13.1. pont szerinti visszajuttatás vagy törlés tárgyát.

13.5. Az Adatfeldolgozó az Adatkezelő írásbeli kérelmére a 13.1–13.3. pont szerinti visszajuttatás vagy törlés teljesítéséről írásbeli visszaigazolást ad. Az Al-adatfeldolgozóknál lévő Feldolgozott Személyes Adatok tekintetében az Adatfeldolgozó a 7.2. pont szerinti szerződések útján biztosítja, hogy az Al-adatfeldolgozók a visszajuttatási, illetve törlési utasítást a jelen fejezet szerinti ütemezésben végrehajtsák.

14. Vegyes rendelkezések

14.1. Az Adatfeldolgozási Megállapodás a GDPR 28. cikk (9) bekezdésével összhangban írásban, elektronikus formában jön létre. Az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK elfogadásával – a regisztráció során, illetve a Megrendeléskor – történő megkötésének tényét, az irányadó szöveg hatálybalépési dátumát és az elfogadás időpontját az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 4.7.3. pontja szerinti nyilvántartás rögzíti. Az elektronikus forma megfelel az írásbeliség követelményének.

14.2. Adatfeldolgozási kérdésekben a Felek szerződéses dokumentumai közötti ellentmondás esetén az irányadó sorrend: a 11.3. pont alapján külön rögzített SCC alkalmazhatósága esetén az SCC, ezt követően az Adatfeldolgozási Megállapodás törzsszövege és mellékletei, majd az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK; a Felek egymás közötti felelősségére a 14.5. pont az irányadó. A Felek által külön, kifejezetten elfogadott, az Adatfeldolgozási Megállapodást érintő egyedi rendelkezésekre az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 5.4–5.5. pontja szerinti rangsori szabály az irányadó, azzal, hogy a GDPR kötelező rendelkezéseivel ellentétes kikötés nem alkalmazható. A jelen pont az AI Szolgáltatásokra vonatkozó rendelkezéseknél a MESTERSÉGES INTELLIGENCIA MELLÉKLET elsőbbségét nem érinti, azonban az AI Szolgáltatásokkal összefüggő személyesadat-feldolgozás során az Adatfeldolgozási Megállapodás szabályai minden esetben alkalmazandók.

14.3. Az Adatkezelő tudomásul veszi, hogy az Adatfeldolgozó a TOM (II. MELLÉKLET) módosításának a 6.3. pont feltételei szerinti, az Al-adatfeldolgozói nyilvántartás (III. MELLÉKLET) módosításának pedig a 7.4–7.6. pont szerinti jogát fenntartja. Az Adatfeldolgozási Megállapodás minden egyéb módosítására az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 18.2–18.4. pontja alkalmazandó; a módosítás kizárólag új, keltezett változat közzétételével, az Adatkezelő előzetes értesítése mellett történhet, és a korábbi változatok a jogi központban tartósan előhívhatók maradnak. Az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 5.3. pontja alá eső kikötést érintő módosításra az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 5.6. pontja az irányadó; kifejezett elfogadás hiányában a korábbi kikötés marad hatályban, a GDPR 28. cikke szerinti kötelező tartalom sérelme nélkül.

14.4. Ha az Adatfeldolgozási Megállapodás bármely rendelkezése a GDPR vagy más kötelezően alkalmazandó jogszabály rendelkezésével ellentétes, vagy érvénytelen, az a többi rendelkezés érvényességét nem érinti; az érvénytelen rendelkezés helyett a jogszabály kötelező tartalma, ennek hiányában a Felek céljával leginkább összhangban álló érvényes szabály alkalmazandó. Az Adatfeldolgozási Megállapodás semmilyen rendelkezése nem értelmezhető úgy, hogy az az Érintettek GDPR-on alapuló jogait – ideértve különösen a GDPR 82. cikke szerinti kártérítéshez való jogát – korlátozná.

14.5. A Felek egymás közötti felelősségére – ideértve a 7.2. pontban rögzített, a GDPR 28. cikk (4) bekezdése szerinti felelősséget és a GDPR 82. cikk (5) bekezdése szerinti megtérítési igényt is – kizárólag az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 15. fejezete az irányadó; a GDPR és a kötelezően alkalmazandó egyéb jogszabályok eltérést nem engedő rendelkezéseit ez nem érinti.

14.6. A jelen fejezetben nem szabályozott kérdésekben – ideértve különösen az értesítések kézbesítését, az irányadó jogot és a joghatóságot – az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK rendelkezései az irányadók. Az Adatfeldolgozási Megállapodás alapján teljesítendő értesítések az I. MELLÉKLETBEN megjelölt kapcsolattartói elérhetőségekre küldendők; a Felek kötelesek elérhetőségeik változását haladéktalanul közölni.

14.7. Az 5. fejezet szerinti titoktartás, a 13. fejezet szerinti visszajuttatás és törlés, valamint a jelen fejezet rendelkezései az Adatfeldolgozási Megállapodás megszűnését követően is fennmaradnak a 13. fejezet teljesítéséig, illetve a jogszerűen megőrzött adatok tekintetében a megőrzési idő lejártáig.

I. melléklet – A felek és az adatfeldolgozás leírása

A jelen I. melléklet az Adatfeldolgozási Megállapodás elválaszthatatlan részét képezi.

1. A felek

1.1. Adatkezelőként jár el az a Kereskedő, amelynek azonosító és kapcsolattartási adatait a felek közötti szerződéshez tartozó Megrendelési Rekord tartalmazza (a továbbiakban: „Adatkezelő”).

1.2. Adatfeldolgozóként jár el WZZ Lab Informatikai és Szolgáltató Korlátolt Felelősségű Társaság (rövidített elnevezése: WZZ Lab Kft.) (székhely: 9700 Szombathely, Kassák Lajos utca 32/B 2. em. 3. ajtó, cégjegyzékszám: 18-09-116842, nyilvántartó bíróság: a Szombathelyi Törvényszék Cégbírósága, adószám: 33150176-2-18, közösségi adószám: HU33150176, e-mail-cím: hello@poltura.com) mint Szolgáltató (a továbbiakban: „Adatfeldolgozó”).

1.3. A felek adatvédelmi kapcsolattartási pontként az alábbi elérhetőségeket jelölik meg:

az Adatkezelő részéről: a Megrendelési Rekordban rögzített adatvédelmi kapcsolattartási pont, értesítési e-mail-cím és incidensértesítési elérhetőség;
az Adatfeldolgozó részéről: az Adatfeldolgozó adatvédelmi kapcsolattartási pontja, hello@poltura.com.

1.4. Az Adatfeldolgozó adatvédelmi tisztviselőt nem jelöl ki; adatvédelmi kérdésekben az 1.3. pont szerinti kapcsolattartási ponton érhető el. Ha az Adatkezelő adatvédelmi tisztviselőt jelöl ki, annak elérhetőségét a Megrendelési Rekordban vagy írásban közli az Adatfeldolgozóval.

1.5. A jelen mellékletben nagy kezdőbetűvel használt, itt külön meg nem határozott fogalmak az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEKBEN, illetve az Adatfeldolgozási Megállapodás törzsszövegében meghatározottak szerint értelmezendők. A személyes adatok kezelésére vonatkozó fogalmak tekintetében az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: „GDPR”) fogalommeghatározásai az irányadók.

2. A feldolgozás tárgya és időtartama

2.1. A feldolgozás tárgya a Szolgáltatás Adatkezelő részére történő nyújtása az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK és az Adatkezelő által választott Csomag szerint, ideértve különösen, de nem kizárólag a Webáruház működtetését, az Adminisztrációs Felület biztosítását, valamint a 3. pontban meghatározott funkciócsoportok üzemeltetését.

2.2. Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő utasítására, a Szolgáltatás nyújtásához szükséges körben és mértékben dolgozza fel. Az utasításadás rendjét az Adatfeldolgozási Megállapodás törzsszövege szabályozza; a jelen melléklet e rendelkezéseket nem ismétli.

2.3. A feldolgozás időtartama a felek közötti, a Szolgáltatás igénybevételére irányuló szerződés fennállásának időtartama. A szerződés megszűnését követő visszajuttatásra, törlésre, valamint az esetleges átmeneti megőrzésre az Adatfeldolgozási Megállapodás törzsszövegének rendelkezései az irányadók.

2.4. A feldolgozás a Szolgáltatás jellegéből adódóan folyamatos és ismétlődő. A feldolgozási műveletek az irányadó rendelkezésekkel összhangban különösen a gyűjtésre, a rögzítésre, a tárolásra, a rendszerezésre, a lekérdezésre, a továbbításra, az Adatkezelő rendelkezésére bocsátásra, valamint a törlésre és a megsemmisítésre terjednek ki.

3. A feldolgozás jellege és célja funkciócsoportonként

3.1. A feldolgozás jellege és célja funkciócsoportonként az alábbiak szerint határozható meg. Az egyes funkciócsoportokhoz kapcsolódó feldolgozásra kizárólag akkor és olyan mértékben kerül sor, amilyen mértékben az az Adatkezelő által választott Csomag, aktivált funkció vagy adott utasítás alapján a Szolgáltatás részét képezi. A felsorolás nem kizárólagos: a Szolgáltatás részét képező további funkciókhoz kapcsolódó feldolgozás a jelen pont rendjébe tartozik, ha a 4. pont szerinti adattípusok és az 5. pont szerinti érintetti kategóriák körén belül marad.

Funkciócsoport	A feldolgozás jellege	A feldolgozás célja
Webáruház-üzemeltetés és rendeléskezelés	A Webáruház nyilvános felületének kiszolgálása, a termékkatalógus, a kosár- és vásárlóifiók-műveletek, valamint a megrendelések fogadása, nyilvántartása és állapotkezelése; a Vásárlók hozzájárulási választásainak rögzítése és érvényesítése; a rendelések csalás- és visszaéléskockázatának értékelése rendelési, számlázási és szállítási adatok, valamint használati és hálózati jelzések alapján, ideértve szükség esetén nyilvánosan elérhető webes források gépi ellenőrzését és kockázati jelzés képzését (csaláskockázat-értékelés); a teljesítéshez szükséges adatok továbbítása az Adatkezelő által aktivált integrációk felé az Adatkezelő utasítása szerint	Annak lehetővé tétele, hogy az Adatkezelő termékeit és szolgáltatásait online kínálja, megrendeléseit teljesítse, nyomon kövesse és ellenőrizze, ideértve a visszaélések és csalárd megrendelések kockázatának felmérését, valamint a vásárlói hozzájárulási választások érvényesítésének technikai támogatását
Ügyfélszolgálati kommunikáció és levelezés	A Vásárlók és az Adatkezelő közötti üzenetek és levelek fogadása, tárolása, rendszerezése és az Adatkezelő rendelkezésére bocsátása, csatolmányok kezelése; tranzakciós és az Adatkezelő utasítására küldendő egyéb elektronikus levelek összeállítása, kiküldése, kézbesítési eseményeinek rögzítése és a levelezés archiválása	Annak lehetővé tétele, hogy az Adatkezelő a megkereséseket megválaszolja és kezelje, és a megrendelésekhez, fiókműveletekhez kapcsolódó értesítéseket eljuttassa a címzettekhez
Támogatás	Az Adatkezelő támogatási megkereséseiben megosztott, illetve a II. MELLÉKLET 4.3. pontja szerinti támogatási hozzáférés során megismert Feldolgozott Személyes Adatok kezelése, valamint a megkereséshez kapcsolódó nyilvántartás megőrzése az ügy lezárásától számított egy évig	Az Adatkezelő támogatási megkeresésének teljesítése
AI Szolgáltatások	Az Adatkezelő vagy Felhasználói által megadott bemeneti adatok feldolgozása az Adatfeldolgozó által igénybe vett külső modellszolgáltató útján – személyes adatot tartalmazó feladat esetén kizárólag a III. MELLÉKLETBEN erre megjelölt modellszolgáltatónál –, és az így előálló Kimenet rendelkezésre bocsátása	Az Adatkezelő munkájának támogatása, ideértve különösen ügyfélszolgálati választervezetek, fordítások, katalógusadatok és egyéb tartalmak előállításának segítését

3.2. Hangsúlyozandó, hogy a csaláskockázat-értékelési funkció a jelen melléklet szerint kockázati jelzés és értékelés rendelkezésre bocsátására irányul az Adatkezelő részére. A jelen melléklet e funkció tekintetében automatizált döntéshozatalra vonatkozó vállalást nem rögzít; a MESTERSÉGES INTELLIGENCIA MELLÉKLET 8.2. pontja szerinti, az Adatkezelő által beállított küszöbön alapuló automatikus jóváhagyás az Adatkezelő előzetes, általános döntésének végrehajtása; magas kockázati szintnél és minden hátrányos következménnyel járó esetben a döntést – a MESTERSÉGES INTELLIGENCIA MELLÉKLET rendelkezéseivel összhangban – az Adatkezelő hozza meg. A jelen melléklet szerinti csaláskockázat-értékelési adatfeldolgozástól szigorúan elkülönülnek a MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4. pontja szerinti, Platform-szintű csalás- és visszaélés-megelőzési hálózati jelzések, amelyeket a Szolgáltató a törzsszöveg 1.3. pontjával, az ÁLTALÁNOS SZERZŐDÉSI FELTÉTELEK 12.2. pontjával és a MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4. pontjával összhangban önálló adatkezelőként kezel; ezen önálló adatkezelői hálózati jelzések nem képezik az Adatkezelőnek nyújtott adatfeldolgozás tárgyát, azokra a Szolgáltató ADATKEZELÉSI TÁJÉKOZTATÓJA és a MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4–4.5. pontja az irányadó.

3.3. Az AI Szolgáltatások igénybevétele során a bemeneti adatok – a funkció rendeltetésétől függően – személyes adatokat is tartalmazhatnak, így különösen ügyfélszolgálati beszélgetések tartalmát vagy rendelési összefüggéseket. Az ilyen továbbítás kizárólag a III. melléklet szerinti nyilvántartásban szereplő Al-adatfeldolgozók útján, az Adatfeldolgozási Megállapodás törzsszövegének rendelkezéseivel összhangban történhet.

3.4. Az Adatkezelő által saját nevében aktivált, külső szolgáltatásokkal fennálló kapcsolódások – ideértve különösen a fizetési, szállítási és számlázási szolgáltatásokat – útján történő adattovábbítás az Adatkezelő utasításának minősül. Az ilyen szolgáltatók adatvédelmi szerepét nem a jelen melléklet, hanem a tényleges adatáramlás és az Adatkezelő velük fennálló jogviszonya határozza meg; e szolgáltatók a III. MELLÉKLET szerinti nyilvántartásban kizárólag akkor szerepelnek, ha őket az Adatfeldolgozó veszi igénybe.

4. A személyes adatok típusai

4.1. A feldolgozás – a 3. pont szerinti funkciócsoportoktól és az Adatkezelő Szolgáltatás-használatától függően – a személyes adatok alábbi típusaira terjedhet ki:

azonosítási és kapcsolattartási adatok, ideértve különösen a nevet, az e-mail-címet és a telefonszámot;
címadatok, ideértve különösen a számlázási és szállítási címet, valamint szervezet nevében történő eljárás esetén a szervezetre és kapcsolattartójára vonatkozó adatokat;
fiók- és hozzáférési adatok, ideértve különösen a felhasználói azonosítót, a hitelesítést szolgáló adatokat védett formában, valamint a szerepkör- és jogosultsági adatokat;
rendelési és tranzakciós adatok, ideértve különösen a megrendelt termékekre és szolgáltatásokra, a megrendelés összegére és állapotára, továbbá a fizetés megtörténtének tényére, összegére és időpontjára vonatkozó adatokat;
kommunikációs adatok, ideértve különösen az ügyfélszolgálati üzenetek és elektronikus levelek tartalmát, címzettjeit, csatolmányait és kézbesítési eseményeit;
az AI Szolgáltatásokba bevitt bemeneti adatok és az azokból előálló Kimenet, ha azok személyes adatot tartalmaznak;
technikai és használati adatok, ideértve különösen az internetprotokoll-címet, az eszköz- és böngészőadatokat, a munkamenet- és naplóadatokat, valamint a Webáruház használatával összefüggő eseményadatokat;
a csaláskockázat-értékelés körében a rendelés körülményeire, a hálózati kapcsolatra és a korábbi rendelési magatartásra vonatkozó jelzések, valamint az ezekből képzett kockázati értékelés (azzal, hogy a MESTERSÉGES INTELLIGENCIA MELLÉKLET 4.4. pontja szerinti, a Szolgáltató által önálló adatkezelőként kezelt hálózati jelzések nem minősülnek Feldolgozott Személyes Adatnak);
az érintetti jogok gyakorlásával és az adatvédelmi incidensek kezelésével összefüggésben az Adatkezelő által rendelkezésre bocsátott vagy az eljárás során keletkező adatok az Adatfeldolgozási Megállapodás törzsszövege szerinti közreműködés körében.

4.2. A 4.1. pont szerinti felsorolás az adatok típusait határozza meg, és nem jelenti azt, hogy valamennyi adattípus feldolgozására minden Adatkezelő és minden funkciócsoport tekintetében sor kerül.

5. Az érintettek kategóriái

5.1. A feldolgozás az érintettek alábbi kategóriáira vonatkozhat:

a Vásárlók, ideértve a Webáruházban megrendelést leadó, vásárlói fiókkal rendelkező, valamint az Adatkezelővel kapcsolatba lépő személyeket;
az Adatkezelő munkavállalói, megbízottjai és kapcsolattartói, akik a Szolgáltatást az Adatkezelő nevében Felhasználóként használják vagy kapcsolattartóként eljárnak;
az Adatkezelő üzleti partnereinek kapcsolattartói, meghatalmazottjai és képviselői, ha adataik a Szolgáltatás rendeltetésszerű használata során kerülnek a Platformra.

6. Különleges adatok kizárása

6.1. A feldolgozás nem terjed ki a személyes adatok GDPR 9. cikke szerinti különleges kategóriáiba tartozó adatokra, valamint a büntetőjogi felelősség megállapítására vonatkozó határozatokkal és a bűncselekményekkel kapcsolatos, a GDPR 10. cikke szerinti személyes adatokra.

6.2. Az Adatkezelő ilyen adatot a Szolgáltatásba kizárólag a felek előzetes, írásbeli megállapodása alapján, az abban rögzített feltételekkel vihet be. Ilyen megállapodás hiányában az Adatfeldolgozó a tudomására jutó, a 6.1. pont szerinti adatot haladéktalanul jelzi az Adatkezelő felé, és az Adatkezelő utasítása szerint jár el.

7. A feldolgozás helyére vonatkozó utalás

7.1. A feldolgozás helyét, valamint az igénybe vett Al-adatfeldolgozókat a III. MELLÉKLET szerinti Al-adatfeldolgozói nyilvántartás határozza meg. A jelen melléklet adatrezidenciára vonatkozó önálló vállalást nem rögzít.

II. melléklet – Technikai és szervezési intézkedések

A jelen II. melléklet az Adatfeldolgozási Megállapodás elválaszthatatlan részét képezi.

1. Általános rendelkezések

1.1. A jelen melléklet azokat a technikai és szervezési intézkedéseket határozza meg, amelyeket az Adatfeldolgozó a feldolgozás biztonsága érdekében, az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: „GDPR”) 32. cikkével összhangban alkalmaz. Az intézkedések az I. melléklet szerinti feldolgozás egészére vonatkoznak, eltérő rendelkezés hiányában valamennyi funkciócsoport tekintetében.

1.2. Az Adatfeldolgozó az intézkedéseket a tudomány és technológia állására, a megvalósítás költségeire, valamint a feldolgozás jellegére, hatókörére, körülményeire és céljaira, továbbá az érintettek jogaira és szabadságaira jelentett kockázatra tekintettel alakítja ki és tartja fenn.

1.3. Az Adatfeldolgozó jogosult az intézkedéseket a védelmi szint csökkenése nélkül továbbfejleszteni és korszerűbb eljárásokkal felváltani. A védelmi szintet érdemben érintő változásról az Adatfeldolgozó az Adatkezelőt az Adatfeldolgozási Megállapodás törzsszövegében meghatározott rend szerint tájékoztatja.

2. Titkosítás

2.1. Titkosítás a továbbítás során

2.1.1. A nyilvános hálózaton elérhető felületek és szolgáltatások kizárólag titkosított kapcsolaton keresztül vehetők igénybe. A fájlok és egyéb tartalmak tárolását szolgáló tárhellyel folytatott adatforgalom szintén kizárólag titkosított kapcsolaton zajlik.

2.1.2. A Platform belső szolgáltatásai közötti hívások kriptográfiai eljárással hitelesítettek. Az üzemeltetői munkameneteknél a hitelesítést az adott munkamenethez kötött kriptográfiai igazolás egészíti ki.

2.2. Titkosítás nyugalmi állapotban

2.2.1. A Feldolgozott Személyes Adatok nyugalmi állapotú titkosítása nem általános. Az Adatfeldolgozó a vásárlói és rendelési adatokat, valamint a feltöltött fájlokat az elsődleges rendszerekben alapértelmezésben nyugalmi állapotú titkosítás nélkül tárolja.

2.2.2. A 2.2.1. ponttól eltérően az Adatfeldolgozó az érzékeny hitelesítő adatokat, valamint a levelezési archívumokat titkosítottan tárolja.

2.2.3. Az Adatfeldolgozó a biztonsági mentéseket titkosítottan tárolja. A jelen melléklet az alkalmazott titkosítás típusát és műszaki kialakítását nem részletezi, és az elsődleges tárolásra átfogó nyugalmi állapotú vagy adatbázis-szintű titkosítási vállalást nem tartalmaz.

3. Bérlői elkülönítés

3.1. A Platform több-bérlős működésében az egyes Webáruházak adatai és futtatási környezetei elkülönítettek. Az elkülönítés számítási környezet szintjén az alábbiak szerint valósul meg:

minden Webáruház saját, elkülönített futtatási környezetben működik, amelyre alapértelmezésben tiltó hálózati szabályok vonatkoznak;
a nem az Adatfeldolgozó által ellenőrzött megjelenítési kód elkülönített futtatási környezetben, felügyelt és korlátozott kimenő hálózati hozzáféréssel fut.

3.2. Az elkülönítés adatbázis szintjén az alábbiak szerint valósul meg:

az Adatfeldolgozó minden Webáruház adatait saját, kizárólag az adott Webáruházhoz rendelt adatbázisban tárolja, az adott Webáruházhoz rendelt, elkülönített hozzáférési szerepkörrel;
az adatbázis-kapcsolatokat kezelő réteg beállítása kizárja, hogy egy kapcsolat munkamenet-beállításai másik Webáruház kiszolgálásába átszivárogjanak.

3.3. Egyes közös szolgáltatások – ideértve különösen a levelezést és az ügyfélszolgálati kommunikációt – közös rendszerekben, Webáruházankénti logikai elkülönítéssel működnek. Ilyen esetben a hozzáférés minden műveletnél az adott Webáruházhoz tartozó hatókör ellenőrzésével történik.

4. Hozzáférés-kezelés és hitelesítés

4.1. A Platformhoz és az Adminisztrációs Felülethez történő hozzáférés szerepköralapú jogosultságkezelésen alapul. Minden Felhasználó kizárólag a szerepköréhez rendelt jogosultságok körében érheti el az adatokat és funkciókat.

4.2. A Platform támogatja a kétfaktoros hitelesítést időalapú egyszeri kód, valamint a jelkód nélküli, eszközhöz kötött hitelesítési kulcs (passkey) útján. Hangsúlyozandó, hogy a kétfaktoros hitelesítés bekapcsolása a Felhasználó, illetve az Adatkezelő rendelkezésétől függ; annak kereskedői szintű kötelező voltára a jelen melléklet vállalást nem rögzít.

4.3. Az Adatfeldolgozó munkatársainak támogatási célú hozzáférése az alábbi feltételekkel történhet:

a hozzáférés kizárólag indokolt támogatási vagy hibaelhárítási célból, az adott feladathoz szükséges körben engedélyezhető;
a hozzáférést rövid, legfeljebb néhány percig érvényes, delegált jogosultság biztosítja, amely érvényességi idejének lejártával önmagától megszűnik;
érzékeny műveletek végzéséhez ismételt, emelt szintű (megerősítő) hitelesítés szükséges;
a támogatási hozzáférés megadásáról és az annak keretében végzett műveletekről naplóbejegyzés készül az 5. pont szerint.

5. Naplózás

5.1. Az Adatfeldolgozó a Platform üzemeltetési és adminisztrációs funkciói körében végzett lényeges műveletekről ellenőrzési naplót vezet. A napló a művelet tényét, idejét és végzőjét rögzíti, és a biztonsági események kivizsgálását, valamint a feldolgozás elszámoltathatóságát szolgálja.

5.2. Az alkalmazásnaplók strukturált formában készülnek. A naplóbejegyzésekben felismerhető érzékeny adatelemeket – ideértve különösen az e-mail-címet, a telefonszámot, a fizetési kártya számát, a bankszámlaszámot és a hozzáférési azonosítókat – az Adatfeldolgozó rendszere rögzítés előtt automatikusan elfedi annak érdekében, hogy a naplók szükségtelen személyes adatot ne tartalmazzanak.

5.3. A naplókhoz kizárólag az arra jogosult üzemeltetői szerepkörök férhetnek hozzá, a 4. pont szerinti hozzáférés-kezelési szabályokkal összhangban.

6. A feltöltött fájlok biztonsága

6.1. A Platformra feltöltött fájlok kiszolgálás előtt automatizált biztonsági vizsgálaton esnek át, amely kiterjed – ideértve különösen – a kártékony kód és az ismert kártékony minták ellenőrzésére.

6.2. A vizsgálat részeként a rendszer a tömörített állományokat méret- és darabszámkorlátozással bontja ki. A képfájlokat a rendszer újrakódolja, és az újrakódolás során eltávolítja a képbe ágyazott kiegészítő adatokat. A PDF-állományokat a rendszer a vizsgálatot követően újraépített formában tárolja.

6.3. Ha a vizsgálat kártékony tartalmat állapít meg, az Adatfeldolgozó az érintett fájl kiszolgálását leállítja, és a szükséges intézkedések megtétele érdekében rögzíti, hogy a fájlt korábban letöltötték-e.

7. Védelem túlterhelés és automatizált visszaélés ellen

7.1. Az Adatfeldolgozó a Platform szolgáltatásaira lekérésszám-korlátozást (a kérések gyakoriságának korlátozását) alkalmazza, amely Webáruházanként és az alkalmazásprogramozási felületek szintjén is érvényesül.

7.2. Meghatározott nyilvános folyamatokon – ideértve különösen a regisztrációt és a nyilvános űrlapokat – automatizált visszaélést és gépi terhelést nehezítő ellenőrzés működik.

8. Mentés és helyreállítás

8.1. Az Adatfeldolgozó az adatbázisokról folyamatos tranzakciósnapló-archiválást, valamint napi rendszerességű mentéseket készít. A mentések megőrzési ideje 14 nap. A mentési rend lehetővé teszi az adatbázis egy korábbi időpont szerinti állapotának visszaállítását.

8.2. A visszaállítási eljárás működőképességének ellenőrzésére automatizált próbaeszköz áll rendelkezésre.

8.3. A jelen 8. pont technikai mentési rendet ír le, és önmagában nem állapít meg szerződéses adatvesztési mértéket vagy helyreállítási határidőt. Ilyen vállalás kizárólag a RENDELKEZÉSRE ÁLLÁSI ÉS TÁMOGATÁSI MELLÉKLETBEN, saját méréssel és visszaállítási próbával alátámasztva rögzíthető; a jelen pontból rendelkezésre állási, adatvesztési vagy helyreállítási garancia önmagában nem következik.

9. Sebezhetőség- és függőségkezelés

9.1. Az Adatfeldolgozó a Platform szoftverfüggőségeinek frissítését automatizált javaslatokkal követi nyomon, és a biztonsági frissítéseket a fejlesztési folyamat részeként veszi át.

9.2. Az Adatfeldolgozó a kiadott szoftverkomponenseket ellenőrizhető kriptográfiai lenyomattal rögzíti annak érdekében, hogy a futtatott változat azonossága és változatlansága megállapítható legyen. A függőségek rögzített jegyzékének épségét és a közzétett interfészleírásnak való megfelelést a fejlesztési folyamat automatizált ellenőrzései vizsgálják, és eltérés esetén a folyamat a kiadást megakadályozza.

III. melléklet – Al-adatfeldolgozói nyilvántartás

A jelen III. melléklet az Adatfeldolgozási Megállapodás elválaszthatatlan részét képezi.

1. A nyilvántartás rendeltetése és irányadó állapota

1.1. A jelen melléklet az Adatfeldolgozó által igénybe vett Al-adatfeldolgozók nyilvántartása, az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: „GDPR”) 28. cikkének rendelkezéseivel összhangban. Külön élő nyilvántartás közzétételére nem kerül sor.

1.2. A nyilvántartás mindenkor irányadó állapotát a jelen melléklet mindenkor hatályos változata tartalmazza. Az Adatfeldolgozási Megállapodás 7.4–7.6. pontja szerint közölt és hatályosult változás az érintett Adatkezelőre annak a jelen mellékletben történő átvezetéséig az értesítés szerinti tartalommal irányadó.

1.3. Al-adatfeldolgozóként kizárólag olyan szolgáltató vehető igénybe, amely a nyilvántartásban jogi személye szerint, az igénybevétel céljával, a kezelt adatok körével és a feldolgozás helyével szerepel. A nyilvántartásban szolgáltatáskategória önmagában, az azt nyújtó jogi személy megjelölése nélkül nem szerepeltethető engedélyezett Al-adatfeldolgozóként. Kivételt képez az Adatfeldolgozási Megállapodás 7.6. pontja szerinti sürgős eset, amelyben az Adatfeldolgozó a jelen mellékletben történő átvezetést indokolatlan késedelem nélkül pótolja.

1.4. A 3. pont szerinti táblázatban szereplő Al-adatfeldolgozók igénybevételének kezdőnapját a 3.1. pont határozza meg; változással bevezetett igénybevétel esetén az igénybevétel kezdőnapja az Adatfeldolgozási Megállapodás 7.4. pontja szerinti értesítésben megjelölt tervezett kezdőnap, míg a 7.6. pont szerinti sürgős csere esetén a tényleges igénybevétel megkezdésének napja.

1.5. Ugyanazon jogi személy célban, adatkörben, feldolgozási helyben, adattovábbítási garanciában vagy aktiválási feltételekben eltérő szolgáltatásai külön sorban szerepelnek. Az Adatfeldolgozási Megállapodás 7.1., valamint 7.4–7.5. pontja szerinti felhatalmazás, értesítés és kifogás soronként alkalmazandó; az egyik sorban rögzített kör másik szolgáltatás igénybevételére nem ad felhatalmazást.

2. A változás rendje

2.1. A nyilvántartás az Al-adatfeldolgozók között aktív és készenléti státusz szerinti különbséget nem tesz. A nyilvántartásban szereplő szolgáltató az Adatfeldolgozási Megállapodás törzsszövegében meghatározott feltételekkel, az 1.4. pont szerinti igénybevételi kezdőnaptól vehető igénybe.

2.2. A nyilvántartás változására – ideértve új Al-adatfeldolgozó felvételét, meglévő Al-adatfeldolgozó cseréjét, valamint a feldolgozás helyének változását – az értesítés, a kifogás és a kifogás következményei tekintetében az Adatfeldolgozási Megállapodás törzsszövegének rendelkezései az irányadók. A jelen melléklet e tárgyban önálló határidőt vagy eljárási szabályt nem állapít meg.

2.3. Ha egy Al-adatfeldolgozó a feldolgozásban további adatfeldolgozót vesz igénybe, az Adatfeldolgozó ezt az Adatfeldolgozási Megállapodás törzsszövegével összhangban tartja nyilván, és az Adatkezelő kérelmére a feldolgozói láncra vonatkozó azonosító adatokat rendelkezésre bocsátja.

3. A nyilvántartás tartalma

3.1. A nyilvántartásban szereplő Al-adatfeldolgozókat az alábbi táblázat rögzíti. A táblázatban szereplő jogi személyek adatait az Adatfeldolgozó 2026. október 31-i és november 1-jei ellenőrzés alapján rögzítette. A jelen melléklet hatálybalépésekor rögzített táblázatban szereplő Al-adatfeldolgozók igénybevételének kezdőnapja az Adatfeldolgozási Megállapodás hatálybalépésének napja.

Al-adatfeldolgozó jogi személye	Igénybevétel célja	Kezelt adatok köre	Feldolgozás helye / régió	A harmadik országba történő adattovábbítás garanciája
UpCloud Oy	Szerver- és virtuálisszerver-szolgáltatás a Szolgáltatás nyújtásához	A Szolgáltatás nyújtása során a szolgáltató szerverein, illetve virtuális szerverein tárolt vagy feldolgozott Feldolgozott Személyes Adatok	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
Rackforest Zrt.	Szerver- és virtuálisszerver-szolgáltatás a Szolgáltatás nyújtásához	A Szolgáltatás nyújtása során a szolgáltató szerverein, illetve virtuális szerverein tárolt vagy feldolgozott Feldolgozott Személyes Adatok	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
dataforest GmbH	Szerver- és virtuálisszerver-szolgáltatás a Szolgáltatás nyújtásához	A Szolgáltatás nyújtása során a szolgáltató szerverein, illetve virtuális szerverein tárolt vagy feldolgozott Feldolgozott Személyes Adatok	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
SCALEWAY SAS	Szerver- és virtuálisszerver-szolgáltatás a Szolgáltatás nyújtásához	A Szolgáltatás nyújtása során a szolgáltató szerverein, illetve virtuális szerverein tárolt vagy feldolgozott Feldolgozott Személyes Adatok	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
netcup GmbH	Szerver- és virtuálisszerver-szolgáltatás a Szolgáltatás nyújtásához	A Szolgáltatás nyújtása során a szolgáltató szerverein, illetve virtuális szerverein tárolt vagy feldolgozott Feldolgozott Személyes Adatok	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
Hetzner Online GmbH	Szerver- és virtuálisszerver-szolgáltatás a Szolgáltatás nyújtásához	A Szolgáltatás nyújtása során a szolgáltató szerverein, illetve virtuális szerverein tárolt vagy feldolgozott Feldolgozott Személyes Adatok	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
Google Cloud EMEA Limited (Vertex AI)	Mesterséges intelligencia modellszolgáltatás (AI Szolgáltatás); személyes adatot tartalmazó AI-feladat modellszolgáltatóként kizárólag e szolgáltatóhoz irányítható	Az AI Szolgáltatások bemeneti adatai és Kimenete a funkció szerinti körben	Globális helyszínek: a szolgáltató közzétett helyszínlistája szerinti országok, különösen az Amerikai Egyesült Államok; EU-adatrezidenciát kérő Webáruház esetén a modellszámítás és az adattárolás helye az Európai Unió, a szolgáltató globális karbantartási és támogatási infrastruktúrája mellett	EU–USA adatvédelmi keretrendszer (Google LLC tanúsítása); kiegészítőleg általános szerződési feltételek ((EU) 2021/914, 3. modul) a Google Cloud adatfeldolgozási feltételei szerint
OpenRouter, Inc.	Mesterséges intelligencia modellszolgáltatók felé irányuló átjáró (AI Szolgáltatás) sablonkód, katalógusadatok, valamint megjelenési és arculati feladatok körében; személyes adatot tartalmazó AI-feladat nem irányítható ide	A feladat nem személyes adatot tartalmazó bemenete és Kimenete; személyes adatot tartalmazó feladat ide nem irányítható, és az esetlegesen mégis megadott személyes adat továbbítására a jelen sor nem ad felhatalmazást	Amerikai Egyesült Államok; mögöttes modellszolgáltatók kizárólag: DigitalOcean és Cloudflare, valamint – az OpenRouter saját szerződéses láncában – a Google Vertex AI	Az OpenRouter adatfeldolgozási megállapodásának 13.2. pontjába foglalt általános szerződési feltételek ((EU) 2021/914)
Amazon Web Services EMEA SARL – SES	Elektronikus levelek kiküldése és kézbesítési események kezelése	Címzettek adatai, levéltartalom, csatolmányok, kézbesítési események	Európai Unió	Nem releváns (EGT-n belüli feldolgozás)
Google Cloud EMEA Limited (Google Workspace)	A Webáruházak vásárlói levelezési csatornájára érkező elektronikus levelek fogadása és a Platform ügyfélszolgálati rendszerébe történő továbbításához szükséges tárolása; továbbá az Adatkezelő által az Adatfeldolgozó támogatási csatornáján elektronikus levélben megosztott Feldolgozott Személyes Adatok fogadása	A bejövő vásárlói levelekben, illetve az Adatkezelő támogatási megkereséseiben szereplő Vásárlói adatok (cím- és fejlécadatok, levéltartalom és csatolmányok)	Európai Unió és a szolgáltató közzétett helyszínlistája szerinti harmadik országok, különösen az Amerikai Egyesült Államok (globális infrastruktúra, karbantartás és támogatás)	EU–USA adatvédelmi keretrendszer (Google LLC tanúsítása); kiegészítőleg általános szerződési feltételek ((EU) 2021/914, 3. modul) a Google adatfeldolgozási feltételei szerint
BunnyWay d.o.o.	Tartalomkézbesítés, gyorsítótárazás, képtárolás, konténeres futtatás és tartománynév-kiszolgálás	A Webáruház nyilvános felületének forgalma, képi tartalmak, kapcsolati és naplóadatok	Tárolás és futtatás: Európai Unió; tartalomkiszolgálás és gyorsítótárazás: a szolgáltató közzétett kiszolgálópont-listája szerinti országok, harmadik országokat is ideértve	A BunnyWay meglévő adatfeldolgozási megállapodásában rögzített központi európai uniós feldolgozás és kiszolgálóponti adatkezelési feltételek
Cloudflare, Inc.	Tartománynév-kiszolgálás, hálózati védelem és tartalomkézbesítés, kódfuttatás a hálózat peremén, objektumtárolás, automatizált visszaélés elleni ellenőrzés, valamint – az OpenRouter mögött – mesterséges intelligencia modellszolgáltatás	Az Adminisztrációs Felület és a Platform kapcsolódó vezérlési felületeinek forgalma és az azzal továbbított adatok, a Felhasználók hálózati és kapcsolati adatai, biztonsági naplók, a tárolt fájlok, valamint a peremhálózaton futó kód által feldolgozott adatok	Globális hálózat: a szolgáltató közzétett helyszínlistája szerinti országok, a naplók és metaadatok tekintetében különösen az Amerikai Egyesült Államok	EU–USA adatvédelmi keretrendszer (Cloudflare, Inc. tanúsítása); kiegészítőleg általános szerződési feltételek ((EU) 2021/914, 3. modul) a Cloudflare ügyféladatfeldolgozási megállapodása szerint
PostHog, Inc.	A Webáruházak nyilvános felületének forgalmi és használati elemzése, a látogató hozzájárulása esetén munkamenet-rögzítés, valamint hibakövetés	Webáruházanként elkülönített, álnevesített azonosítóhoz kötött látogatói és vásárlói események, böngésző- és eszközadatok, a hozzájárulás állapota, maszkolt munkamenet-rögzítés, valamint a közvetlen azonosítóktól megtisztított hibaesemények; az IP-cím anonimizált	Európai Unió (elsődleges tárolás és feldolgozás) és Amerikai Egyesült Államok (támogatási hozzáférés és kiszolgáló infrastruktúra)	EU–USA adatvédelmi keretrendszer (PostHog, Inc. tanúsítása); kiegészítőleg általános szerződési feltételek ((EU) 2021/914, 2. modul) a PostHog adatfeldolgozási megállapodása szerint

3.2. A táblázatban AI Szolgáltatásként külön megjelölt szolgáltatók személyes adatot kizárólag az adott mesterségesintelligencia-funkció nyújtása körében dolgoznak fel. Az egyes funkciók elérhetőségét, aktiválásának módját és az azokra irányadó feltételeket a MESTERSÉGES INTELLIGENCIA MELLÉKLET 2.1.1–2.1.2. pontja rögzíti; az adott funkció igénybevétele hiányában az ahhoz kapcsolódó feldolgozás nem történik meg.

4. Elhatárolás a Kereskedő által aktivált szolgáltatásoktól

4.1. A jelen nyilvántartás kizárólag az Adatfeldolgozó által a feldolgozás körében igénybe vett Al-adatfeldolgozókat tartalmazza. Az Adatkezelő által saját nevében aktivált külső szolgáltatások – ideértve különösen a fizetési, szállítási, számlázási és hirdetési szolgáltatásokat – pusztán azáltal nem válnak e nyilvántartás részévé, hogy a Platformmal összekapcsolhatók; adatvédelmi szerepük az I. MELLÉKLET 3.4. pontja szerint ítélendő meg.

4.2. A Szolgáltató a saját díjainak Kereskedőktől történő beszedéséhez és számlázásához fizetési és számlázási szolgáltatókat vesz igénybe, ideértve különösen kártyás fizetés és SEPA-beszedés esetén a Stripe Technology Europe, Limited és – a technológiai platformszolgáltatás körében – a Stripe Payments Europe, Limited, átutalásos fizetés esetén a Wise Europe SA, valamint a számlakiállítás körében a Billingo Technologies Zrt. szolgáltatásait. A Szolgáltató e szolgáltatókat saját adatkezelői hatókörében veszi igénybe, és nem veszi igénybe őket a jelen Adatfeldolgozási Megállapodás hatálya alá tartozó Feldolgozott Személyes Adatoknak az Adatkezelő nevében történő feldolgozására, ezért a jelen nyilvántartásban Al-adatfeldolgozóként nem szerepelnek. E szolgáltatókra és az általuk kezelt adatokra a Szolgáltató ADATKEZELÉSI TÁJÉKOZTATÓJA tartalmaz tájékoztatást.

4.3. A Kereskedő által a Platformon kezdeményezett tartománynév-műveletekhez a Szolgáltató a Hosting Concepts B.V. (Openprovider) tartománynév-regisztrátori szolgáltatását veszi igénybe. A művelethez a Szolgáltató a Kereskedő, illetve a tartománynév használójaként megjelölt személy azonosító és kapcsolattartási adatait dolgozza fel, a Szolgáltató és a Kereskedő közötti szerződés teljesítése céljából, a Szolgáltató saját adatkezelői hatókörében; a jelen Adatfeldolgozási Megállapodás hatálya alá tartozó Feldolgozott Személyes Adatokat a Szolgáltató e körben nem dolgozza fel az Adatkezelő nevében, ezért az Openprovider a jelen nyilvántartásban Al-adatfeldolgozóként nem szerepel. Az adatokat a választott végződés – önálló adatkezelőként eljáró – nyilvántartója is megkapja; erről és az esetleges harmadik országba történő továbbításról a Szolgáltató ADATKEZELÉSI TÁJÉKOZTATÓJA tartalmaz tájékoztatást.

4.4. A Szolgáltató a nyilvántartásban szereplő egyes szolgáltatókat – így különösen a Google Workspace szolgáltatást saját általános, támogatási és DSA szerinti levelezésére – saját adatkezelői hatókörében is igénybe veszi. E saját célú igénybevételre a Szolgáltató ADATKEZELÉSI TÁJÉKOZTATÓJA irányadó; a 3.1. pont szerinti sorok kizárólag az Adatkezelő nevében végzett feldolgozásra vonatkoznak.

5. Harmadik országba történő továbbítás

5.1. Ha valamely Al-adatfeldolgozó igénybevétele a személyes adatok harmadik országba történő továbbításával jár, az kizárólag az Adatfeldolgozási Megállapodás törzsszövegében meghatározott feltételekkel, a GDPR V. fejezetével összhangban történhet. A jelen melléklet adattovábbítási garanciára vonatkozó önálló vállalást nem rögzít.

Termék

Tudásbázis