Adatfeldolgozói szerződés (DPA)

Jelen Adatfeldolgozói Szerződés (a továbbiakban: DPA) az általános adatvédelmi rendelet (GDPR – 2016/679/EU) 28. cikke alapján szabályozza az Adatkezelő (a NextWeblapon boltot üzemeltető természetes vagy jogi személy, a bolt-tulajdonos) és az Adatfeldolgozó (NextSoft Kft.) közötti adatfeldolgozási tevékenységet.

1. A felek

Adatfeldolgozó: NextSoft Kft. (székhely: 2131 Göd, Pesti út 104.; cégjegyzékszám: 13-09-249751; adószám: 33144102-2-13; e-mail: [email protected]).

Adatkezelő: a NextWeblap szolgáltatáson boltot alapító és üzemeltető természetes vagy jogi személy, akinek adatkezelői minőségéről a bolt beállításaiban megadott bolt-adatok (üzemeltető neve, címe, elérhetősége) adnak felvilágosítást.

2. A szerződés tárgya és időtartama

Az Adatfeldolgozó az Adatkezelő utasítása alapján, kizárólag a NextWeblap szolgáltatás — az Adatkezelő boltjának — nyújtása érdekében kezel személyes adatokat, a bolt fennállásának teljes időtartama alatt, az ÁSZF szerint.

3. Az adatkezelés természete és célja

Az adatfeldolgozás célja az Adatkezelő boltjának működtetése: a vásárlói fiókok és rendelések tárolása, a kosár és a pénztár működtetése, a rendelés-visszaigazoló és állapot-értesítő e-mailek küldése az Adatkezelő nevében, a hírlevél-feliratkozások és a vásárlói vélemények tárolása, a szállítási címkék előállítása az Adatkezelő által bekapcsolt futárszolgálatnál, valamint a szolgáltatás megfelelő működésének és biztonságának biztosítása. Az Adatfeldolgozó a vásárlók adatait saját célra — így különösen marketingre vagy profilalkotásra — nem használja.

4. Az érintettek köre, adatkategóriák

Érintettek: az Adatkezelő boltjának vásárlói és regisztrált felhasználói, hírlevél-feliratkozói, vélemény-írói; az Adatkezelő munkatársai, akik az adminfelületet használják.

Adatkategóriák: név, e-mail-cím, telefonszám, szállítási és számlázási cím, jelszó (nem visszafejthető formában), a rendelések tételei és összegei, a választott fizetési és szállítási mód, a csomagpont azonosítója, kosár- és kívánságlista-tartalom, hűségpont-egyenleg, vélemények, hírlevél-feliratkozás ténye és időpontja, valamint technikai adatok (IP-cím, böngésző, időbélyegek). Különleges adatot a szolgáltatás nem kér és nem tárol.

5. Az Adatfeldolgozó kötelezettségei

• Kizárólag az Adatkezelő dokumentált utasításai — ideértve a szolgáltatás beállításait — alapján kezel adatot (kivéve, ha uniós vagy tagállami jog másra kötelezi).
• Biztosítja, hogy az adatkezelésre jogosult személyek titoktartási kötelezettséget vállaljanak.
• A GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmaz: HTTPS/TLS minden felületen, hash-alapú jelszótárolás a vásárlói fiókoknál, az Adatkezelő fizetési szolgáltatói kulcsainak titkosított tárolása, bolt-szintű adatelkülönítés (minden lekérdezés a bolt azonosítójára szűr), az adminfelület Nextsoft-fiókos belépése kétlépcsős azonosítás lehetőségével, az érzékeny műveletek naplózása, rendszeres biztonsági mentés, EU-szerveres tárolás (NextHub / DeploysApp, Magyarország).
• Segíti az Adatkezelőt az érintetti jogok érvényesítésében (hozzáférés, helyesbítés, törlés, hordozhatóság): a vásárlói fiókok és rendelések az adminfelületen kezelhetők és exportálhatók.
• Adatvédelmi incidens esetén indokolatlan késedelem nélkül, legkésőbb 72 órán belül értesíti az Adatkezelőt.
• Segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében (DPIA, előzetes konzultáció a hatósággal).
• Az Adatkezelő választása szerint a szerződés megszűnésekor minden személyes adatot töröl vagy visszaad (9. pont).
• Az Adatkezelő által végzett megfelelőség-ellenőrzéshez (audit) szükséges információkat rendelkezésre bocsátja.

6. Az Adatkezelő kötelezettségei

• Az Adatkezelő felel azért, hogy a vásárlók adatait jogszerűen, megfelelő jogalappal és tájékoztatással kezeli; a boltban közzétett adatkezelési tájékoztató és süti-tájékoztató tartalmáért az Adatkezelő felel (a szolgáltatás mintaszöveget ad, amelyet az Adatkezelő igazít a saját tevékenységére).
• Az Adatkezelő a hírlevél-küldést és a látogatottságmérést csak érvényes hozzájárulás birtokában kapcsolja be.
• Az Adatkezelő a saját fizetési szolgáltatójával (Stripe) és futárszolgálatával (pl. Foxpost) közvetlen szerződéses viszonyban áll; e szolgáltatók az Adatkezelő saját adatfeldolgozói, az Adatfeldolgozó csak a műszaki kapcsolatot biztosítja az Adatkezelő által megadott kulcsokkal.
• Az Adatkezelő gondoskodik az adminfelülethez hozzáférő munkatársai megfelelő felhatalmazásáról és fiókjaik biztonságáról.

7. További adatfeldolgozók (sub-processorok)

Az Adatfeldolgozó a következő további adatfeldolgozókat veszi igénybe; az Adatkezelő a bolt alapításával ezen alvállalkozók igénybevételéhez általános hozzájárulást ad. Új alvállalkozó bevonása esetén az Adatfeldolgozó előzetesen, e-mailben értesíti az Adatkezelőt, és kifogás esetén lehetőséget ad a szerződés felmondására.

• NextHub / DeploysApp (a NextSoft Kft. saját üzemeltetésű tárhelyplatformja, EU/Magyarország) – alkalmazás- és adatbázis-hosting, biztonsági mentések, valamint a tranzakciós e-mailek kézbesítése a saját, EU-n belüli levelezőszerverről.
• Nextsoft-fiók (NextID) (a NextSoft Kft. saját bejelentkezési rendszere, EU/Magyarország) – az Adatkezelő és munkatársai azonosítása; a vásárlók adatait nem éri el.
• Cloudflare, Inc. – DNS, CDN, DDoS-védelem és Turnstile robotvédelem; EU-s régióból kiszolgálva. A bolt saját domainje esetén a tanúsítványt a NextHub állítja ki.
• Stripe Payments Europe Ltd. (Írország) – a bolt kártyás fizetése (Kártyás fizetés modul), az Adatkezelő saját Stripe-fiókján keresztül: a Stripe e körben az Adatkezelő közvetlen szerződéses partnere és adatfeldolgozója, a NextWeblap a fizetési munkamenetet indítja és az eredményt fogadja.
• Foxpost Zrt. (Magyarország) – csomagpontos szállítás, kizárólag ha az Adatkezelő a boltjában bekapcsolja; a címke előállításához a vásárló neve, telefonszáma, e-mail-címe, valamint a csomagpont azonosítója vagy házhoz szállításnál a szállítási cím kerül átadásra.

8. Nemzetközi adattovábbítás

Az adatok az EU területén kerülnek tárolásra. EU-n kívüli adattovábbítás csak megfelelő garanciák (pl. EU általános szerződési feltételek, SCC) mellett történhet; az Adatfeldolgozó jelenleg ilyen tevékenységet nem végez.

9. Adatmegőrzés és törlés

Az Adatkezelő a boltja fennállása alatt a vásárlói fiókokat és rendeléseket az adminfelületen bármikor exportálhatja. A bolt törlése esetén a bolt teljes tartalma — a vásárlói és rendelési adatokkal együtt — 30 napon belül törlődik az Adatfeldolgozó rendszeréből, a biztonsági mentésekből pedig azok szokásos forgási idejével. A vásárlói rendelésekről kiállított számlák és nyugták megőrzése (Szt. 169. §) az Adatkezelő kötelezettsége és az ő rendszerében történik; a NextWeblap ilyen bizonylatot nem állít ki.

10. Felelősség

A felek a saját felelősségi körükben tartoznak helytállni. Az Adatfeldolgozó az általa okozott károkért a GDPR 82. cikke szerint felel; a felelősség mértéke a vonatkozó előfizetési időszakra fizetett díj kétszeresére — ingyenes csomag esetén 50 000 Ft-ra — korlátozódik, kivéve a GDPR-ban kötelezően előírt eseteket.

11. Záró rendelkezések

Jelen DPA a NextWeblap ÁSZF elfogadásával, a bolt alapításakor tett kifejezett elfogadással válik a felek között hatályossá. A DPA szövegének módosításáról az Adatfeldolgozó legalább 15 nappal a hatálybalépés előtt értesíti az Adatkezelőt.

Kérdés esetén: [email protected]. Kapcsolódó dokumentumok: ÁSZF · Adatkezelési tájékoztató · Impresszum.