Adatkezelési megállapodás

1. Tárgy és időtartam

A feldolgozás tárgya a WaiverKit digitális lemondási platform biztosítása az Adatkezelő számára. A feldolgozás mindaddig folytatódik, ameddig az Adatkezelő aktív fiókkal rendelkezik, és a 11. szakaszban leírt, a felmondás utáni megőrzési időszakra.

2. A feldolgozás jellege és célja

Az Adatfeldolgozó a személyes adatokat kizárólag a WaiverKit szolgáltatás tárolására, szállítására, biztonságossá tételére és támogatására dolgozza fel: aláírt lemondások gyűjtése és tárolása, PDF rekordok generálása, tranzakciós e-mailek küldése, felhasználók hitelesítése, fizetések feldolgozása és elemzések készítése az Adatkezelő nevében.

3. A személyes adatok típusai és az érintettek kategóriái

A kezelt személyes adatok a következők lehetnek:

• Az aláíró személyazonossági adatai (név, születési dátum, cím, email, telefon)
• Aláírási képek és gépelt aláírások
• Gyámi adatok kiskorú aláírók számára
• Business felhasználói fiók adatai (név, e-mail cím, hitelesítési azonosítók, IP-cím)

Az érintettek kategóriái: a lemondó nyilatkozatot aláíró résztvevők, kiskorú résztvevők gondviselői, valamint az Adatkezelő alkalmazottai vagy jogosult felhasználói.

4. Az adatkezelő kötelezettségei és jogai

Az Adatkezelő felelős a személyes adatok gyűjtésének és feldolgozásának jogszerűségéért, az érintettek esetleges hozzájárulásának beszerzéséért, az Adatfeldolgozónak adott utasítások pontosságáért, valamint azért, hogy az általa konfigurált lemondási sablonok és munkafolyamatok megfeleljenek a vonatkozó jogszabályoknak. Az Adatkezelő minden jogát fenntartja a személyes adatokkal kapcsolatban, és bármikor dokumentált utasításokat adhat az Adatfeldolgozónak.

5. Alfeldolgozók

Az Adatkezelő felhatalmazza az Adatfeldolgozót, hogy a szolgáltatás nyújtásához a következő al-feldolgozókat vegyen igénybe:

• Clerk (hitelesítés, munkamenet-kezelés és felhasználói címtár).
• Stripe (fizetés feldolgozása és előfizetés számlázása).
• Resend (tranzakciós e-mail kézbesítés).
• Cloudflare R2 (objektumtárolás aláírásképekhez és PDF műtermékekhez).
• Vercel (alkalmazástárhely, szélső hálózat és kérés-útválasztás).
• Neon (Postgres) (felügyelt Postgres adatbázis-tárhely strukturált adatokhoz).

Az Adatfeldolgozó értesíti az Adatkezelőt az al-feldolgozók bármely tervezett kiegészítéséről vagy cseréjéről, ésszerű lehetőséget biztosítva arra, hogy jogos okból kifogásoljon.

6. Biztonsági intézkedések

Az Adatfeldolgozó megfelelő technikai és szervezési intézkedéseket hajt végre a személyes adatok védelme érdekében, beleértve:

• Titkosítás átvitel közben (TLS 1.2+) és nyugalmi állapotban adatbázis- és objektumtároláshoz
• Szerep alapú hozzáférés-vezérlés és a legkisebb jogosultságokkal rendelkező IAM az egész infrastruktúrában
• Bérlői elkülönítés kényszerítve az alkalmazás- és lekérdezési rétegben
• Az adminisztratív műveletek és a személyazonossági adatokhoz való hozzáférés naplózása
• Rendszeres biztonsági mentések, automatikus függőségi vizsgálat és incidensreakciós eljárások

7. Érintett jogai

Figyelembe véve az adatkezelés jellegét, az Adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt abban, hogy teljesítse az adatkezelő azon kötelezettségét, hogy válaszoljon az érintettek kérelmeire, akik gyakorolják a GDPR 15-22.

8. Értesítés adatsértésről

Az Adatfeldolgozó indokolatlan késedelem nélkül, de mindenképpen 72 órán belül értesíti az Adatkezelőt az Adatkezelő adatait érintő személyes adatvédelmi incidensről. Az értesítésben ismertetni kell a jogsértés természetét, a valószínű következményeket, a megtett vagy javasolt intézkedéseket, valamint a kapcsolattartási pontot a további információkért.

9. Nemzetközi átutalások

Ha a személyes adatokat az Európai Gazdasági Térségen, az Egyesült Királyságon vagy Svájcon kívülre, megfelelőségi határozat nélkül továbbítják egy országba, az ilyen továbbításra az Európai Bizottság általános szerződési kikötései (SCC) és adott esetben az Egyesült Királyság nemzetközi adattovábbítási kiegészítése és a svájci kiegészítés, valamint az átviteli hatásvizsgálat által megkövetelt kiegészítő intézkedések vonatkoznak.

10. Könyvvizsgálati jogok

Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsát minden olyan információt, amely ésszerűen szükséges a jelen DPA betartásának bizonyításához, és lehetővé teszi és hozzájárul az Adatkezelő vagy az Adatkezelő által megbízott könyvvizsgáló által végzett auditokhoz, beleértve az ellenőrzéseket is, az ésszerű titoktartási kötelezettségek betartása mellett, és naptári évenként legfeljebb egyszer, kivéve dokumentált biztonsági incidens vagy hatósági kérés esetén.

11. Felmondás, visszaküldés és törlés

A szerződés megszűnésekor az Adatfeldolgozó az Adatkezelő választása szerint törli vagy visszaküldi az Adatkezelő nevében kezelt összes személyes adatot, és törli a meglévő másolatokat, kivéve, ha a vonatkozó jogszabályok a folyamatos tárolást írják elő. A személyes adatokat tartalmazó biztonsági másolatok a biztonsági mentések megőrzési ciklusának szokásos során törlődnek.