Ez az adatfeldolgozási megállapodás ("DPA") a Multiuniversal UAB ("Adatfeldolgozó") és az ügyfél ("Adatkezelő") közötti szolgáltatási szerződés részét képezi. Automatikusan alkalmazandó minden olyan megbízásra, amelyben a Multiuniversal az Adatkezelő nevében személyes adatokat dolgoz fel. Külön aláírás nem szükséges — a szolgáltatási megbízás megkezdése e feltételek elfogadását jelenti.
Az ezzel az adatfeldolgozási megállapodással kapcsolatos kérdésekért keressen minket a privacy@multiuniversal.com címen.
- Fogalommeghatározások
- Hatály és szerepkörök
- Az Adatfeldolgozó kötelezettségei
- Az Adatkezelő kötelezettségei
- Alfeldolgozók
- Biztonsági intézkedések
- Érintetti jogok
- Személyesadat-incidensek
- Nemzetközi adattovábbítások
- Auditjogok
- Időtartam és megszűnés
- Irányadó jog
- Feldolgozási ütemterv
Fogalommeghatározások
Ebben a DPA-ban:
- Az "Adatkezelő" az az ügyfél, aki meghatározza a személyes adatok feldolgozásának céljait és eszközeit.
- Az "Adatfeldolgozó" a Multiuniversal UAB, amely az Adatkezelő utasításai szerint jár el.
- A "Személyes adat", az "Érintett", az "Adatkezelés", a "Felügyeleti hatóság" és a "Személyesadat-incidens" fogalmak a RODO-ban meghatározott jelentéssel bírnak.
- A "RODO" az Európai Parlament és a Tanács (EU) 2016/679 rendeletét jelenti.
- A "Szolgáltatások" az Adatfeldolgozó által az alkalmazandó szolgáltatási szerződés alapján nyújtott AI-infrastruktúra, automatizálási vagy integrációs szolgáltatásokat jelenti.
- Az "Alfeldolgozó" bármely olyan harmadik felet jelent, akit az Adatfeldolgozó az Adatkezelő nevében végzett feldolgozási tevékenységek elvégzésére vesz igénybe.
Hatály és szerepkörök
Az Adatfeldolgozó olyan AI-infrastruktúra-szolgáltatásokat nyújt, amelyek magukban foglalhatják a személyes adatok feldolgozását az Adatkezelő nevében. Ebben az összefüggésben:
- Az Adatkezelő az az adatkezelő, aki felelős a feldolgozás jogalapjának és céljának meghatározásáért.
- Az Adatfeldolgozó kizárólag az Adatkezelő dokumentált utasításai alapján és semmilyen más célból nem dolgoz fel személyes adatokat.
- A feldolgozott személyes adatok konkrét kategóriáit, a feldolgozás jellegét és időtartamát az egyes megbízásokhoz egyeztetett Feldolgozási Ütemterv határozza meg.
Az Adatfeldolgozó kötelezettségei
Az Adatfeldolgozó:
- Kizárólag az Adatkezelő dokumentált utasításai alapján dolgozza fel a személyes adatokat, kivéve, ha ezt uniós vagy tagállami jog megköveteli.
- Biztosítja, hogy a személyes adatok feldolgozására felhatalmazott személyek titoktartási kötelezettségek hatálya alatt álljanak.
- Megfelelő technikai és szervezési biztonsági intézkedéseket vezet be.
- Segíti az Adatkezelőt az érintettek kéréseire való válaszadási kötelezettségeinek teljesítésében.
- Segíti az Adatkezelőt a RODO 32–36. cikke szerinti kötelezettségeinek (biztonság, incidens-bejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció) betartásában.
- Az Adatkezelő választása szerint törli vagy visszaszolgáltatja az összes személyes adatot az Adatkezelőnek a Szolgáltatások megszűnésekor, és törli a meglévő másolatokat, kivéve, ha uniós vagy tagállami jog megőrzést ír elő.
- Rendelkezésre bocsát minden szükséges információt e DPA-nak való megfelelés igazolásához, és együttműködik az auditokban.
- Azonnal értesíti az Adatkezelőt, ha az Adatfeldolgozó véleménye szerint egy utasítás sérti a RODO-t vagy más alkalmazandó adatvédelmi jogot.
Az Adatkezelő kötelezettségei
Az Adatkezelő:
- Biztosítja, hogy érvényes jogalappal rendelkezzen a RODO 6. cikke szerint minden, az Adatfeldolgozónak átadott személyes adathoz.
- Dokumentált utasításokat ad a feldolgozáshoz, és haladéktalanul értesíti az Adatfeldolgozót bármely változásról.
- Biztosítja, hogy az érintetteket a RODO 13. és 14. cikke szerint tájékoztassák a feldolgozásról.
- Nem utasítja az Adatfeldolgozót olyan feldolgozás végzésére, amely sértené az alkalmazandó jogot.
Alfeldolgozók
Az Adatfeldolgozó nem vesz igénybe alfeldolgozókat az Adatkezelő személyes adatainak feldolgozására az Adatkezelő előzetes írásos engedélye nélkül. Amennyiben az Adatkezelő általános írásos felhatalmazást ad, az Adatfeldolgozó értesíti az Adatkezelőt az alfeldolgozók hozzáadására vagy cseréjére vonatkozó bármely tervezett változásról, lehetőséget adva az Adatkezelőnek, hogy 14 napon belül kifogást emeljen.
Az igénybe vett alfeldolgozók az e DPA-ban foglaltakkal egyenértékű adatvédelmi kötelezettségek hatálya alatt állnak. Az Adatfeldolgozó teljes mértékben felelős marad az Adatkezelő felé az alfeldolgozók teljesítéséért.
A szabványos szolgáltatási megbízásokban használt jóváhagyott alfeldolgozók aktuális listáját a privacy@multiuniversal.com címen tartjuk karban, és kérésre rendelkezésre bocsátjuk. Amennyiben az AI-modell-következtetés a szolgáltatásnyújtás részét képezi, az érintett alfeldolgozókat ugyanabban a nyilvántartásban soroljuk fel, és az 5.1. pont szerint értesítjük az Adatkezelőket.
Biztonsági intézkedések
Az Adatfeldolgozó a kockázatnak megfelelő technikai és szervezési intézkedéseket vezet be, beleértve:
| Intézkedés | Megvalósítás |
|---|---|
| Titkosítás átvitel közben | TLS 1.2+ minden adatátvitelhez |
| Titkosítás nyugalmi állapotban | Titkosított tárolás a személyes adatokat tartalmazó adatbázisokhoz |
| Hozzáférés-szabályozás | Szerepkör-alapú hozzáférés; a legkisebb jogosultság elve; erős hitelesítés |
| Adatminimalizálás | Csak a meghatározott célhoz szükséges adatok kerülnek feldolgozásra |
| AI-feldolgozási kontrollok | Az AI-következtetés a megbízás peremén belül történik; a hozzáférés-szabályozás és a naplózás összhangban van az adatkezelési stack többi részével |
| Incidenskezelés | Dokumentált incidensfelismerési és -elhárítási eljárások |
Az Adatfeldolgozó ezeket az intézkedéseket a technológiai fejlődés és a feldolgozott adatok jellege alapján időszakosan felülvizsgálja és frissíti.
Érintetti jogok
A feldolgozás jellegét figyelembe véve az Adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt abban, hogy teljesítse az érintettek RODO III. fejezete szerinti jogaik (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) gyakorlásával kapcsolatos kéréseire való válaszadási kötelezettségét.
Amennyiben az Adatfeldolgozó közvetlenül az Adatkezelő adataira vonatkozó érintetti kérelmet kap, haladéktalanul továbbítja azt az Adatkezelőnek, és nem válaszol közvetlenül az érintettnek, kivéve, ha erre utasítást kap.
Személyesadat-incidensek
Az Adatfeldolgozó indokolatlan késedelem nélkül — de minden esetben 48 órán belül — értesíti az Adatkezelőt, miután tudomást szerzett az Adatkezelő adatait érintő Személyesadat-incidensről. Az értesítés a rendelkezésre álló mértékben tartalmazza:
- Az incidens jellegének leírását, beleértve az érintett érintettek és nyilvántartások kategóriáit és hozzávetőleges számát
- Az Adatfeldolgozó adatvédelmi kapcsolattartójának nevét és elérhetőségét
- Az incidens valószínű következményeinek leírását
- Az incidens kezelésére tett vagy javasolt intézkedések leírását
Az Adatfeldolgozó együttműködik az Adatkezelővel, és ésszerű lépéseket tesz az incidens hatásainak mérséklésére. Az Adatkezelő felelős marad a felügyeleti hatóságoknak és az érintetteknek a RODO 33. és 34. cikke szerinti bejelentésekért.
Nemzetközi adattovábbítások
Az Adatfeldolgozó infrastruktúrája és személyzete Litvániában, az Európai Unió egyik tagállamában található. Az e DPA alapján feldolgozott személyes adatokat alapértelmezés szerint nem továbbítjuk az Európai Gazdasági Térségen kívülre.
Amennyiben egy adott megbízás megköveteli a személyes adatok harmadik országba történő továbbítását, az Adatfeldolgozó előzetesen értesíti az Adatkezelőt. Az ilyen továbbítás a RODO V. fejezete szerinti megfelelő garanciák (például általános szerződési feltételek vagy megfelelőségi határozat) hatálya alá tartozik, amelyeket a továbbítás előtt vezetnek be.
Auditjogok
Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsát minden olyan információt, amely ésszerűen szükséges e DPA-nak való megfelelés igazolásához. Az Adatkezelő (vagy az Adatkezelő által megbízott auditor) auditokat vagy vizsgálatokat végezhet az Adatfeldolgozó feldolgozási tevékenységeivel kapcsolatban, az alábbiak szerint:
- Legalább 14 napos ésszerű írásos értesítés
- Az audit rendes munkaidőben és olyan módon történik, amely nem zavarja indokolatlanul az Adatfeldolgozó működését
- Az auditor az e DPA-ban foglaltakkal egyenértékű titoktartási kötelezettségek hatálya alatt áll
Az audit költségeit az Adatkezelő viseli, kivéve, ha az audit az Adatfeldolgozó részéről e DPA lényeges megsértését tárja fel.
Időtartam és megszűnés
Ez a DPA az alkalmazandó szolgáltatási szerződés időtartama alatt marad hatályban. A szolgáltatási szerződés megszűnésekor vagy lejártakor az Adatfeldolgozó 30 napon belül, az Adatkezelő választása szerint, visszaszolgáltatja vagy törli az összes személyes adatot. Az Adatfeldolgozó a megszűnést követően legfeljebb 3 évig megőrizhet egy másolatot vitarendezés, audit és jogi igények céljából — ezt követően azt biztonságosan törli. Az ilyen megőrzési időszak alatt a feldolgozás kizárólag ezekre a célokra korlátozódik. Az Adatkezelő bármikor kérheti a korábbi törlést.
Amennyiben a 3 évnél hosszabb megőrzést az alkalmazandó uniós vagy tagállami jog megköveteli, az Adatfeldolgozó tájékoztatja az Adatkezelőt a jogi követelményről, és a feldolgozást a megfeleléshez szükséges minimumra korlátozza.
Irányadó jog
Ez a DPA a Litván Köztársaság jogának hatálya alá tartozik, és azzal összhangban értelmezendő. Az e DPA-ból eredő bármely jogvita a vilniusi (Litvánia) bíróságok kizárólagos joghatósága alá tartozik, kivéve, ha az alkalmazandó szolgáltatási szerződés másként rendelkezik.
Amennyiben az Adatkezelő egy másik uniós tagállam jogának hatálya alá tartozik, e DPA egyetlen rendelkezése sem korlátozza az Adatkezelő jogát arra, hogy panaszt nyújtson be a helyi felügyeleti hatóságához.
Feldolgozási ütemterv
Az alábbi ütemtervet minden megbízáshoz kitöltjük, és az e DPA részét képezi. Az aláírt másolatot az Adatkezelő megkapja a feldolgozás megkezdése előtt.
| Az Adatkezelő neve és címe | Megbízásonként kitöltendő |
| A szolgáltatások leírása | Megbízásonként kitöltendő |
| A feldolgozás célja | Megbízásonként kitöltendő |
| A személyes adatok kategóriái | Megbízásonként kitöltendő |
| Az érintettek kategóriái | Megbízásonként kitöltendő |
| Megőrzési időszak | Megbízásonként kitöltendő |
| Jóváhagyott alfeldolgozók | Alapértelmezés szerint nincs; felsorolva, ha alkalmazandó |
| Nemzetközi adattovábbítások | Alapértelmezés szerint nincs; a mechanizmus felsorolva, ha alkalmazandó |
Ha egy kitöltött Feldolgozási Ütemtervet kér a megbízásához, vagy meg szeretné vitatni e DPA bármely aspektusát, keressen minket a privacy@multiuniversal.com címen.