Adatfeldolgozási megállapodás

Ez a DPA szabályozza, hogyan dolgozza fel a HansaChat az Ügyfél személyes adatait a szolgáltatás nyújtása érdekében. A tárgyat, a feldolgozás jellegét, célját, az adatkategóriákat, az érintetteket és az időtartamot az 1. melléklet határozza meg.

Az Ügyfél határozza meg a munkaterület tartalmának feldolgozási céljait és lényeges eszközeit. A HansaChat ezeket az adatokat az Ügyfél nevében dolgozza fel. Ez a DPA nem terjed ki azokra a személyes adatokra, amelyeket a HansaChat önálló adatkezelőként kezel a számlázás, a fiókadminisztráció, a szolgáltatásbiztonság, a visszaélések megelőzése, a támogatás adminisztrációja vagy a jogszabályi megfelelés érdekében; ezt a feldolgozást az Adatvédelmi nyilatkozat írja le.

A HansaChat az Ügyfél személyes adatait kizárólag az Ügyfél dokumentált utasításai alapján dolgozza fel, beleértve a Szolgáltatási szerződést, ezt a DPA-t, a szolgáltatás Ügyfél általi használatát és konfigurációját, valamint a szöveges formában küldött további utasításokat. A HansaChat akkor is feldolgozhat adatokat, ha azt az Unió vagy egy tagállam joga megköveteli, és erről a feldolgozás előtt tájékoztatja az Ügyfelet, kivéve, ha a jog fontos közérdekből tiltja ezt a tájékoztatást.

A HansaChat haladéktalanul tájékoztatja az Ügyfelet, ha véleménye szerint egy utasítás sérti a GDPR-t vagy más alkalmazandó uniós vagy tagállami adatvédelmi jogot, és az érintett utasítást annak megerősítéséig vagy módosításáig felfüggesztheti.

A HansaChat biztosítja, hogy minden olyan személy, aki az Ügyfél személyes adatainak feldolgozására jogosult, titoktartási kötelezettség vagy megfelelő jogszabályi kötelezettség hatálya alatt álljon, és csak akkor kapjon hozzáférést, ha az a szolgáltatás üzemeltetéséhez, karbantartásához, hibaelhárításához, biztonságához, a visszaélések megelőzéséhez, a jogszabályi megfeleléshez vagy az Ügyfél által kért támogatáshoz szükséges.

Ha a német távközlési digitális szolgáltatások adatvédelmi törvényének (TDDDG) 3. §-a alkalmazandó, a HansaChat a kommunikáció tartalmát és körülményeit távközlési titokként is védi. A HansaChat nem szerez tudomást a kommunikációs szolgáltatás nyújtásához vagy technikai rendszerei védelméhez szükségesnél többről, és az így szerzett tudomást más célra csak akkor használja fel, ha azt jogszabály a távközlés vonatkozásában kifejezetten megengedi.

A titoktartási kötelezettség a személy munkavégzésének és a Szolgáltatási szerződés megszűnését követően is fennmarad.

Figyelembe véve a technológia aktuális szintjét, a bevezetés költségeit, valamint a feldolgozás jellegét, hatókörét, összefüggéseit és céljait, a HansaChat a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket tart fenn. A jelenlegi intézkedéseket a 2. melléklet és a Biztonság oldal ismerteti.

A HansaChat ezeket az intézkedéseket a technológia és a kockázatok változásával frissítheti, feltéve, hogy a védelem általános szintje a Szolgáltatási szerződés időtartama alatt nem csökken lényegesen.

Az Ügyfél általános írásbeli felhatalmazást ad a HansaChatnek a 3. mellékletben felsorolt alfeldolgozók igénybevételére. A HansaChat minden alfeldolgozóra lényegében azonos adatvédelmi kötelezettségeket ír elő, felelősséget vállal azok e DPA szerinti teljesítéséért, és naprakészen tartja a listát.

A HansaChat az Ügyfél személyes adatait kezelő alfeldolgozó hozzáadása vagy cseréje előtt legalább 30 nappal korábban e-mailben értesíti az Ügyfél fiókkapcsolattartóját, vagy a szolgáltatásban jól láthatóan közzéteszi az értesítést. Sürgős biztonsági, jogi vagy rendelkezésre állási kockázat kezelése esetén rövidebb időszak alkalmazható; ebben az esetben a HansaChat az értesítést a reálisan lehető leghamarabb megküldi.

Az Ügyfél az értesítési időszak alatt észrevételt tehet megalapozott adatvédelmi okokra hivatkozva. A felek jóhiszeműen, kereskedelmileg észszerű megoldáson dolgoznak. Ha ilyen nem áll rendelkezésre, az Ügyfél az új alfeldolgozó feldolgozásának megkezdése előtt megszüntetheti az érintett szolgáltatást, az érintett szolgáltatás előre fizetett, fel nem használt ideje után kötbér vagy egyéb szankció nélkül.

A munkaterületek elsődleges tárolója Németországban található. A titkosított Restic-mentési másolatok Frankfurtban és Stockholmban tárolódnak. A hálózati kézbesítés és az opcionális kiegészítő funkciók a 3. mellékletben foglaltak szerint egyéb helyeket is érinthetnek.

A HansaChat az Ügyfél személyes adatait harmadik országba vagy nemzetközi szervezetnek csak akkor továbbítja, ha azt az Ügyfél utasítja, egy engedélyezett szolgáltatásfunkció nyújtásához szükséges, vagy jogszabály megköveteli, és kizárólag akkor, ha a GDPR V. fejezetének követelményei teljesülnek. Az alkalmazandó biztosítékok közé tartozhatnak a megfelelőségi határozat, az Európai Bizottság szabványos szerződéses záradékai, valamint kiegészítő technikai és szervezési intézkedések.

Ha a HansaChat az Ügyfél személyes adataival kapcsolatos érintetti kérelmet kap, azt haladéktalanul továbbítja az Ügyfélnek, és csak az Ügyfél felhatalmazása vagy jogszabályi kötelezettség esetén válaszol.

A feldolgozás jellegére és a rendelkezésre álló információkra tekintettel a HansaChat észszerű segítséget nyújt az Ügyfélnek az érintetti jogok gyakorlásában, valamint a GDPR 32–36. cikke szerinti kötelezettségeinek teljesítésében, ideértve a biztonságot, az incidensek értékelését, az adatvédelmi hatásvizsgálatokat és az előzetes konzultációt.

A HansaChat az Ügyfél személyes adatait érintő adatvédelmi incidens tudomására jutását követően késedelem nélkül értesíti az Ügyfelet. Az értesítés tartalmazza a HansaChat számára rendelkezésre álló azon információkat, amelyekre az Ügyfélnek a GDPR 33. és 34. cikke szerinti kötelezettségeihez észszerűen szüksége van, a további információk pedig szakaszosan, ahogy elérhetővé válnak, megküldhetők.

A HansaChat észszerű lépéseket tesz az incidens elkülönítésére, kivizsgálására, elhárítására és mérséklésére, és együttműködik az Ügyféllel. Az értesítés nem jelent hibát vagy felelősség elismerését.

Az Ügyfél választása szerint a HansaChat a feldolgozási szolgáltatások befejezése után visszaadja vagy törli az Ügyfél személyes adatait, és törli a meglévő másolatokat, kivéve, ha az Unió vagy egy tagállam joga a megőrzést megköveteli. Az Ügyfélnek a visszaadást a munkaterület törlési dátuma előtt kell kérnie; ha az Ügyfél nem ad utasítást, a törlés kerül kiválasztásra.

A lemondott fizetős és próbaidőszakos munkaterületek az aktuális fizetős vagy próbaidőszak végéig használhatók maradnak, majd 90 napig csak olvashatók, ezután törlésre kerülnek. A tulajdonos által kezdeményezett törlés esetén a munkaterület azonnal csak olvashatóvá válik, és 30 napos türelmi időszak után törlésre kerül, kivéve, ha a tulajdonos visszavonja a kérést. A demó munkaterületek 24 óra után törlésre kerülnek. Az ingyenes munkaterületek írhatóak maradnak, és 90 nap tartósított üzenet nélkül törlésre kerülnek. A munkaterület-adatbázisokat és a feltöltött objektumokat a vonatkozó törlési folyamat távolítja el; a törölt munkaterület-adatok a 2. melléklet ütemterve szerint öregszenek ki a titkosított mentésekből.

A HansaChat rendelkezésre bocsátja a GDPR 28. cikke és e DPA szerinti megfelelés igazolásához észszerűen szükséges információkat. Az Ügyfél a lefedett feldolgozást maga auditálhatja, vagy titoktartásra kötelezett, független, képesített auditor útján.

Az auditok jellemzően a rendelkezésre álló dokumentációval és távoli áttekintéssel kezdődnek. Helyszíni vizsgálat akkor vehető igénybe, ha a dokumentáció nem elegendő, vagy a nem megfelelésre vonatkozóan észszerű jelek vannak, észszerű előzetes értesítéssel, és úgy, hogy más ügyfeleket, a biztonságot vagy üzleti titkokat nem veszélyezteti. Az audit észszerű költségeit az Ügyfél viseli, kivéve, ha az audit a HansaChat lényeges szerződésszegését állapítja meg. A felügyelő hatóságok jogosultságait ez nem korlátozza.

Ez a DPA a Szerződéses állapot szakasz szerinti kötelezővé váláskor kezdődik, és addig marad hatályban, amíg a HansaChat az Ügyfél összes személyes adatát törölte. Ha a HansaChat nem tud ennek a DPA-nak megfelelni, haladéktalanul tájékoztatja az Ügyfelet. Az Ügyfél felfüggesztheti a feldolgozást, vagy megszüntetheti az érintett szolgáltatást, ha a lényeges szerződésszegést észszerű időn belül nem orvosolják.

A felelősség, az irányadó jog és a hatáskör a Szolgáltatási szerződést követi, kivéve, ha a kötelező adatvédelmi jog eltérően rendelkezik. Ebben a DPA-ban semmi nem korlátozza az érintettek jogait vagy az illetékes felügyelő hatóságok jogosultságait.