GDPR dokumentáció

1. Adatfeldolgozási szerződés (DPA)

1.1 A szerződés felei

Jelen adatfeldolgozási szerződés (a továbbiakban „DPA”) a Resovu rendszert használó vállalkozás üzemeltetője (a továbbiakban „Adatkezelő”) és Lubomír Unar, IČO 05000386 (a továbbiakban „Adatfeldolgozó”) között jön létre. A DPA a Resovu szolgáltatás használati feltételeinek szerves része.

1.2 Az adatkezelés tárgya és időtartama

Az Adatfeldolgozó az Adatkezelő ügyfeleinek személyes adatait a foglalási rendszer nyújtása céljából kezeli. Az adatkezelés a szolgáltatási szerződés időtartama alatt történik. Érintettek kategóriái: az Adatkezelő foglalást végző ügyfelei, szálláshelyek esetében az együtt utazó vendégek is, gyermekprogramok esetében pedig a gyermekek törvényes képviselői. Adatkategóriák: név, vezetéknév, e-mail, telefon, foglalási és tartózkodási adatok, opcionális egyéni mezők, hűségpontok, értékelések és az ügyfeleknek kiállított bizonylatok. Szálláshelyek esetében az Adatkezelő beállításaitól függően a vendégnyilvántartási adatok is (születési idő és hely, nem, állampolgárság, cím, a személyazonosító okmány típusa és száma, vízum, a tartózkodás célja), valamint a vendég hozzájárulásával a Stripe-nál mentett bankkártyára mutató hivatkozás (azonosító, márka, utolsó négy számjegy) és a hozzájárulás nyilvántartása.

1.3 Az adatfeldolgozó kötelezettségei

Az Adatfeldolgozó kötelezettséget vállal: a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezelni; biztosítani, hogy az adatkezelésre jogosult személyek titoktartási kötelezettséget vállaljanak; a GDPR 32. cikke szerinti összes intézkedést megtenni; az al-adatfeldolgozó bevonásának feltételeit betartani; az Adatkezelőnek a GDPR 32–36. cikke szerinti kötelezettségek teljesítésében segítséget nyújtani; a szerződés megszűnésekor minden személyes adatot törölni vagy visszaszolgáltatni; az Adatkezelőnek minden szükséges információt megadni a kötelezettségek teljesítésének igazolásához.

1.4 Az adatkezelő utasításai

Az Adatkezelő általános utasítást ad az Adatfeldolgozónak a személyes adatok kezelésére a Resovu szolgáltatás nyújtásához szükséges mértékben. Az Adatkezelő további utasításokat adhat a rendszer adminisztrációs felületén keresztül. Az Adatfeldolgozó haladéktalanul tájékoztatja az Adatkezelőt, ha úgy véli, hogy az utasítás sérti a GDPR-t.

1.5 Al-adatfeldolgozók

Az Adatkezelő általános hozzájárulást ad az Adatfeldolgozónak az Al-adatfeldolgozók listája részben felsorolt további adatfeldolgozók (al-adatfeldolgozók) bevonásához. Az Adatfeldolgozó tájékoztatja az Adatkezelőt al-adatfeldolgozók hozzáadásával vagy cseréjével kapcsolatos tervezett változásokról. Az Adatkezelőnek 30 napon belül van lehetősége kifogást emelni a változásokkal szemben. Ha az Adatkezelő saját SMS-szolgáltatói fiókot csatlakoztat (pl. BulkGate vagy seven.io), az Adatfeldolgozó az Adatkezelő utasítására átadja ennek a szolgáltatónak a telefonszámot és az emlékeztető szövegét; ez a szolgáltató az Adatkezelővel kötött szerződés alapján az Adatkezelő adatfeldolgozója, és nem az Adatfeldolgozó al-adatfeldolgozója. Ugyanez vonatkozik az Adatkezelő által maga csatlakoztatott további szolgáltatásokra (foglalási portálok iCal-naptáron keresztül, PriceLabs, webhookok, Zapier): az Adatfeldolgozó az Adatkezelő utasítására továbbít nekik adatokat, és ezek nem az Adatfeldolgozó al-adatfeldolgozói.

1.6 Biztonsági intézkedések

Az Adatfeldolgozó megfelelő technikai és szervezési intézkedéseket alkalmaz: AES-256-GCM adattitkosítás érzékeny mezőkhöz; HTTPS/TLS minden adatátvitelhez; bérlői adatok elkülönítése Row Level Security segítségével; szerepkör alapú hozzáférés-vezérlés (RBAC); IP-címek hashelése; személyes adatok automatikus törlése a megőrzési idő lejárta után; biztonsági fejlécek (CSP, HSTS, X-Frame-Options); rate limiting a visszaélés elleni védelemhez.

1.7 Biztonsági incidens bejelentése

Az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesíti az Adatkezelőt a személyes adatok biztonságát érintő bármilyen sérülésről annak tudomásra jutását követően. Az értesítés tartalmazza: a sérülés jellegének leírását, az érintettek kategóriáit és hozzávetőleges számát, a valószínű következményeket és a megtett intézkedéseket.

1.8 Együttműködés az érintetti jogok gyakorlásánál

Az Adatfeldolgozó segítséget nyújt az Adatkezelőnek a GDPR III. fejezete szerinti érintetti joggyakorlási kérelmek megválaszolásának kötelezettségében. A rendszer lehetővé teszi: az ügyféladatok exportálását (20. cikk), adatok anonimizálását/törlését (17. cikk), a kezelt adatok áttekintését (15. cikk).

1.9 Audit

Az Adatfeldolgozó lehetővé teszi az Adatkezelő vagy az általa megbízott auditor számára az auditok és ellenőrzések elvégzését, és hozzájárul ezekhez. Az Adatfeldolgozó megadja az Adatkezelőnek a GDPR 28. cikkében meghatározott kötelezettségek betartásának igazolásához szükséges összes információt. Az audit évente egyszer végezhető el 30 napos előzetes értesítéssel.

1.10 Az adatkezelés időtartama és törlés

A szolgáltatásnyújtás befejezése után az Adatfeldolgozó 30 napon belül töröl minden személyes adatot, kivéve, ha az EU vagy tagállami jog megőrzésüket írja elő. Az Adatkezelő a megszűnés előtt exportálhatja összes adatát a rendszer adminisztrációs felületén elérhető GDPR export funkcióval.

2. Az adatkezelési tevékenységek nyilvántartása (ROPA)

A GDPR 30. cikke szerinti nyilvántartás a Resovu rendszeren keresztül végzett adatkezelési tevékenységekről.

3. Személyes adatok biztonságának megsértésénél követendő eljárás

3.1 Felismerés és bejelentés

A Resovu monitorozó rendszereket alkalmaz a biztonsági incidensek felismerésére. Minden alkalmazott és együttműködő köteles azonnal jelenteni az adatbiztonsági sérülés bármely gyanúját a vezetőségnek.

3.2 Súlyosság értékelése

Az incidens megállapítása után a felelős személy haladéktalanul értékeli: az érintett adatok körét, az érintettek számát, a jogokra és szabadságokra gyakorolt valószínű hatást, az adatok titkosítottságát, a hatás enyhítésének lehetőségét.

3.3 Bejelentés a felügyeleti hatóságnak

Ha a biztonsági sérülés valószínűleg kockázatot jelent a természetes személyek jogaira és szabadságaira, a Resovu a tudomásszerzéstől számított 72 órán belül bejelenti az incidenst az illetékes felügyeleti hatóságnak. A bejelentés tartalmazza: a sérülés jellegének leírását, a DPO elérhetőségeit, a valószínű következmények leírását, a megtett intézkedések leírását. Felügyeleti hatóságok: ÚOOÚ – www.uoou.cz (Csehország), ÚOOU SR – www.dataprotection.gov.sk (Szlovákia), BfDI – www.bfdi.bund.de (Németország), UODO – www.uodo.gov.pl (Lengyelország), NAIH – www.naih.hu (Magyarország), AEPD – www.aepd.es (Spanyolország), Datatilsynet – www.datatilsynet.no (Norvégia), CNIL – www.cnil.fr (Franciaország).

3.4 Értesítés az érintettek számára

Ha a sérülés valószínűleg magas kockázatot jelent a természetes személyek jogaira és szabadságaira, a Resovu indokolatlan késedelem nélkül tájékoztatja az érintetteket. Az értesítés közérthető nyelven készül, és tartalmazza a hatás enyhítésére vonatkozó ajánlásokat.

3.5 Dokumentáció

Minden biztonsági incidens a belső nyilvántartásban kerül rögzítésre, beleértve: a felismerés dátumát, az incidens leírását, az érintett adatokat és személyeket, a megtett intézkedéseket, a felügyeleti hatóság és érintettek értesítésére vonatkozó döntést, a vizsgálat eredményeit.

3.6 Incidensbejelentési kapcsolat

Biztonsági incidenseket a security@resovu.com címre jelentsen. A tárgyban tüntesse fel: „Biztonsági incidens”. Adjon meg minél több információt az incidens jellegéről és kiterjedéséről.

4. Al-adatfeldolgozók listája