PhotoRobot Adatfeldolgozási Megállapodás (DPA)

Ez a dokumentum a PhotoRobot Adatfeldolgozási Megállapodást: Verzió 1.0 — PhotoRobot Edition, uni-Robot Ltd., Csehország.

‍

‍

1. Felek

Ez az Adatfeldolgozási Megállapodás ("DPA") a következők között kötött meg:

Irányító (ügyfél)
Az a személy vagy jogi személy, amely belépett a PhotoRobot Szolgáltatási Feltételeibe és használja a szolgáltatást.

és

Processzor:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Prága 1
Cseh Köztársaság
Cégazonosító: 01478061
ÁFA azonosító: CZ01478061
E-mail: legal@photorobot.com

Az ezekben közösen "Feleknek" nevezzük.

Ez a DPA kiegészíti a PhotoRobot szolgáltatási feltételeit, és akkor érvényes, ha a PhotoRobot az Ügyfél nevében dolgozza fel személyes adatokat.

‍

‍

2. A feldolgozás témája és természete

A PhotoRobot ("Processzor") felhőalapú szolgáltatásokat, helyi szoftverbővítményeket, firmware-kezelést és hóter-infrastruktúrát biztosít, amelyek szükségesek a képek, metaadatok és kapcsolódó digitális tartalom feldolgozásához, amelyeket az ügyfél ("Vezérlő") feltölt.

A feldolgozás magában foglalja:

• Gyűjtemény
• Tárolás
• Átadás
• Metaadat-kivonás
• szinkronizálás a CL ↔ Cloud között
• Az ügyfél által feltöltött tartalmak hosztolását
• Naplók és diagnosztika létrehozása
• Biztonsági műveletek

A feldolgozás kizárólag a Felelős nevében történik, a dokumentált utasításai szerint.

‍

‍

3. Időtartam

Ez a DPA a felek közötti szerződéses kapcsolat időtartama alatt érvényben marad, és azután addig addig, amíg a feldolgozó személyes adatokat tárol vagy feldolgoz az Irányító nevében.

‍

‍

4. Személyes adatok és az adatalanyok kategóriái

4.1. Személyes adatok típusai

A szolgáltatás használatától függően a feldolgozott adatok a következőket tartalmazhatják:

• Azonosító adatok (név, vezetéknév, vállalat)
• Kapcsolattartási adatok (e-mail, telefon)
• Vizuális tartalom (képek, videók)
• Metaadat, amely a feltöltött tartalomhoz kapcsolódik
• naplóadatok, IP-címek, műszaki azonosítók
• Projektszintű adatok
• Credentials (hashelve), hozzáférési tokenek

A feldolgozó nem követeli meg vagy nem dolgozza fel szándékosan speciális adatkategóriákat (GDPR 9. cikk).

‍

4.2. Az adatalanyok kategóriái

• Ügyfél alkalmazottai
• Az ügyfél ügyfelei vagy partnerei
• Jogosult felhasználók
• Bármely személy, amelyet a Ügyfél feltöltött vizuális tartalommal mutat be

Az ügyfél egyedül felelős az adatok jogszerű gyűjtéséért az adatalanyoktól.

‍

‍

5. Utasítások a Kontrollertől

A feldolgozó csak a személyes adatokat dolgozza fel:

1. a Controller dokumentált utasításai szerint,
2. ahogy a szolgáltatás nyújtásához szükséges,
3. a rendszerek biztonságának, integritásának és elérhetőségének biztosítása érdekében,
4. ahogy az EU vagy a cseh jog megköveteli.

Ha a feldolgozó jogellenesnek tart egy utasítást, értesítenie kell a kezelőt.

‍

‍

6. Titoktartás

Feldolgozó biztosítja, hogy minden személy, aki jogosult a személyes adatok feldolgozására:

• titoktartási kötelezettségek alá tartoznak,
• megfelelő képzést kaptak,
• kizárólag az irányító utasításai alapján dolgozza fel az adatokat.

‍

‍

7. Alprocesszorok

A feldolgozó bizonyos harmadik feleket ("Alfeldolgozók") használ a szolgáltatás támogatására.

‍

7.1. Jóváhagyott alfeldolgozók

A Kontroller általános felhatalmazást ad a Processzornak a következő alfeldolgozó kategóriák kezelésére:

• Felhőinfrastruktúra szolgáltatók (pl. Google Cloud Platform)
• E-mail szolgáltatók
• Analitikai szolgáltatók
• Jegyrendszerek
• Biztonsági megfigyelő szolgáltatások
• Biztonsági mentési és katasztrófa-helyreállítási rendszerek

A teljes lista a PhotoRobot Alprocesszor listáján található, és frissíthető.

‍

7.2. Változások értesítése

A feldolgozónak legalább 15 nappal előre értesítenie kell a Vezérlőt az Alfeldolgozókban tervezett módosításokról, így az Irányító ésszerű okokból tiltakozhat.

‍

‍

8. Nemzetközi adatátvitelek

Ha az alfeldolgozók vagy infrastruktúra az EEA-n kívül helyezkednek el, a feldolgozó biztosítja:

• a Standard Contract Clauses (SCC 2021) alkalmazása,
• kiegészítő műszaki és szervezeti garanciák,
• minimális hozzáférés és titkosítás,
• megfelelési auditokat az alapulszolgáló szolgáltató részéről.

A Google Cloud Platform a következőket nyújtja:

• ISO 27001, ISO 27017, ISO 27018
• SOC 1/2/3 jelentései
• GDPR megfelelőségi dokumentáció

Részletek elérhetők a https://cloud.google.com/security. oldalon.

‍

‍

9. Biztonsági intézkedések

A feldolgozónak ipari szabványú műszaki és szervezeti intézkedéseket (TOM-okat) kell bevezetnie, többek között:

‍

9.1. Műszaki intézkedések

• TLS titkosítás az adatátvitel során
• Biztonságos tárolás titkosított hozzáférési tokenekkel
• Izolált feldolgozó környezetek
• Jelszó hashing
• Sebességhatárok és behatolásérzékelő rendszerek
• Többrétegű tűzfal
• fizikai adatközpont biztonság (Google Cloudon keresztül)

‍

9.2. Szervezeti Intézkedések

• Szerepalapú hozzáférés-vezérlés
• Hozzáférési naplózás és monitoring
• Adatkezelési belső irányelvek
• Munkavállalói titoktartási kötelezettségek
• Időszakos biztonsági képzés
• Gyártói kockázatkezelés

A TOM-ok teljes listája kérésre elérhető.

‍

‍

10. Adatalanyok jogai

A processzor segíti a Controllert a következő kérdésekre reagálni:

• Hozzáférési kérelmek
• Rectification
• Törlés
• Korlátozás
• adathordozhatóság
• Ellenvetések

A feldolgozó bármely közvetlen kérést továbbítani kell az Adatkezelőnek indokolatlan késlekedés nélkül.

‍

‍

11. Adatvédelmi incidensről szóló értesítés

Személyes adatvédelmi incidens esetén a feldolgozó értesíti:

• Indokolatlan késlekedés nélkül,
• beleértve az összes információt, amelyet a GDPR 33. cikke előír,
• és folyamatos frissítéseket nyújtson a helyreállítás befejezéséig.

A kezelő továbbra is felelős a hatóságok és az érintett személyek értesítéséért.

‍

‍

12. Adatok törlése vagy visszaküldése

A szerződés megszűnésekor:

• A feldolgozó 30 nap után törli az ügyféladatokat,
• hacsak a Irányító másként nem utasítja,
• kivéve, ha a törvény megköveteli a megtartást.

A biztonsági mentéseket a normál életciklusuk során felülírják.

‍

‍

13. Auditok

A vezérlőnek joga van a következőkre:

• kapja meg a GDPR-megfelelést igazoló dokumentációt
• jelentést kérek a TOM-okról
• ésszerű auditokat végezzen, évente egyszer korlátozva
• harmadik féltől származó tanúsítványokra támaszkodni (Google Cloud ISO/SOC jelentései)

Az auditok nem veszélyeztethetik a biztonságot vagy nem zavarhatják meg a működést.

‍

‍

14. Felelősség

A felek felelőssége a szolgáltatási feltételek szerint működik.
A feldolgozó csak a GDPR-kötelezettségek megsértése miatt felelős a megsértésért.

‍

‍

15. Szabályozó jog és joghatóság

Ezt a DPA-t a Cseh Köztársaság törvényei szabályozzák.

A vitákat a prágai bíróságok rendezik meg, Csehországban.

‍

‍

16. Szabványos szerződéses záradékok (SCC)

Szükség esetén az SCC 2021 (2. modul: Vezérlő → processzor) mellékletként alkalmazható ehhez a DPA-hoz.

PhotoRobot:

• hivatkozva tartalmazza az SCC-t,
• tartalmazza az összes kötelező záradékot,
• kiegészítő műszaki intézkedéseket vezet be
• biztosítja az átadások megfelelőségét az EEA-n kívüli alfeldolgozó cégeknek.

Az SCC teljes egészében kérhetően elérhető.

‍

‍

17. Kapcsolat

uni-Robot Ltd.
Vodičkova 710/31
110 00 Prága 1
Cseh Köztársaság

E-mail: legal@photorobot.com

‍