ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
Wellmatic Kft.
ADATVÉDELMI ÉS ADATBIZTONSÁGI
SZABÁLYZATA
Székhely:
1181 Budapest, Darányi Ignác utca 12.
Képviseli:
Juhász Gergely ügyvezető
Cégjegyzékszá
m:
01-09-864661
Adószám:
13619275-2-43
Hatályba lépett: 2021. március 25. napján
1
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
2
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
I. A SZABÁLYZAT CÉLJA
Jelen szabályzat (továbbiakban: Szabályzat) célja az Wellmatic Kft.(továbbiakban: Társaság) adatvédelmi és
adatkezelési politikáját rögzítő belső szabályok megállapítása a természetes személyeknek a személyes adatok
kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet
hatályon kívül helyezéséről szóló AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE
(2016. április 27.) (továbbiakban: GDPR), valamint az információs önrendelkezési jogról és
információszabadságról szóló 2011. évi CXII. törvény által meghatározott adatvédelmi és adatkezelési
rendelkezések betartásával.
Társaságunk jelen szabályzatban határozza meg a természetes személyek személyes adatainak védelmével és
kezelésével kapcsolatos irányelveket és kötelezettségeket.
A jelen Szabályzat rendelkezéseinek érvényesítésével a Társaság valamennyi tevékenysége, szolgáltatásának
igénybevétele során biztosítja az érintettek személyes adatok védelméhez való jogának teljes körű és maradéktalan
érvényesülését.
A Szabályzat hatálya alá tartozó személyek kötelesek tehát a tevékenységük során tudomásukra jutott személyes
adatokat a mindenkori jogszabályi rendelkezéseknek megfelelően kezelni. E személyek kötelesek továbbá az
olyan tevékenységük során, amely szükségszerűen együtt jár személyes adatok kezelésével teljes körűen a jelen
szabályzat rendelkezései szerint eljárni.
A jelen Adatkezelési szabályzat a www.wellmatic.hu honlapon kerül közzétételre.
A jelen Adatvédelmi szabályzatot a Társaság bármikor, egyoldalúan módosíthatja. A szabályzat módosításai a
fenti honlapon történő közzététellel lépnek hatályba.
II. A SZABÁLYZAT HATÁLYA
1. Személyi hatály
Jelen szabályzat hatálya kiterjed
(1) a Társaságra,
(2) a Társaság tagjaira,
(3) a Társaság munkavállalóira,
(4) azon természetes személyekre, akiknek személyes adatait a jelen Szabályzat hatálya alá tartozó adatkezelések
tartalmazzák, továbbá
(5) azon személyekre, akik jogait vagy jogos érdekeit a jelen Szabályzat hatálya alá tartozó adatkezelés érinti.
Jelen szabályzat rendelkezései a Társaságra, a Társaság tagjaira és munkavállalóira nézve kötelezőek,
maradéktalanul alkalmazandóak és teljes körűen érvényesítendőek.
2. Időbeli hatály
Jelen Szabályzat időbeli hatálya a megállapításának napjától további rendelkezésig, vagy a szabályzat
visszavonásának napjáig áll fenn.
III. FOGALOMMEGHATÁROZÁSOK
1. „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely
információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely
azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi,
fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több
tényező alapján azonosítható;
2. „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon
végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás,
átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb
3
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve
megsemmisítés;
3. „az adatkezelés korlátozása”: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;
4. „profilalkotás”: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a
személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére,
különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz,
érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők
elemzésére vagy előre jelzésére használják;
5. „álnevesítés”: a személyes adatok olyan módon történő kezelése, amelynek következtében további
információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes
személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési
intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a
személyes adatot nem lehet kapcsolni;
6. „nyilvántartási rendszer”: a személyes adatok bármely módon – centralizált, decentralizált, funkcionális
vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;
7. „adatkezelő”: az a természetes vagy jogi személy, vagy bármely egyéb szerv, amely a személyes adatok
kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és
eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó
különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
8. „adatfeldolgozó”: az a természetes vagy jogi személy, vagy bármely egyéb szerv, amely az adatkezelő
nevében személyes adatokat kezel;
9. „címzett”: az a természetes vagy jogi személy, vagy bármely egyéb szerv, akivel vagy amellyel a személyes
adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat
keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek
címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés
céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;
10. „harmadik fél”: az a természetes vagy jogi személy, vagy bármely egyéb szerv, amely nem azonos az
érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy
adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;
11. „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és
egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező
cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
12. „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt
személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését
vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
13. „biometrikus adat”: egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó
minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a
természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat;
14. „vállalkozás”: gazdasági tevékenységet folytató természetes vagy jogi személy, függetlenül a jogi
formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket
is.
4
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
IV. ALAPELVEK
A Társaság jelen szabályzat elfogadásával deklarálja a AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU)
2016/679 RENDELETE (2016. április 27.) – továbbiakban „GDPR” – 5. cikkében foglalt személyes adatok
kezelésére vonatkozó elvek teljeskörű és maradéktalan betartását az alábbiak szerint:
A személyes adatok
a. kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni
(„jogszerűség, tisztességes eljárás és átláthatóság”);
b. gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a
célokkal össze nem egyeztethető módon; („célhoz kötöttség”);
c. az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell
korlátozódniuk („adattakarékosság”);
d. pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak
érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék
vagy helyesbítsék („pontosság”);
e. tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok
kezelése céljainak eléréséhez szükséges ideig teszi lehetővé („korlátozott tárolhatóság”);
f.
kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával
biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes
kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve
(„integritás és bizalmas jelleg”).
g. Az adatkezelő felelős az adatkezelési elveknek való megfelelésért, továbbá képesnek kell lennie e
megfelelés igazolására
(„elszámoltathatóság
”).
V. AZ ADATKEZELÉS JOGALAPJA
A személyes adatok kezelése jogszerűen a GDPR 6. cikkben rögzített indokokon, így különösen, de nem
kizárólagosan az érintett hozzájárulásán, szerződés teljesítésén, vagy valamely vonatkozó jogszabályi
rendelkezésen alapulhat.
1. Az érintett hozzájárulása
(1) Az érintett hozzájárulása alapján történő adatkezelés esetén az érintett a személyes adatainak kezeléséhez való
hozzájárulását a következő formában adhatja meg:
a) írásban, személyes adatkezeléshez hozzájárulást adó nyilatkozati formában,
b) elektronikus úton, a Társaság internetes weboldalán megvalósított kifejezett magatartásával, jelölőnégyzet
kipipálásával, vagy bármely egyéb olyan nyilatkozattal vagy cselekedettel, amely az adott összefüggésben
az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi,
c) mobilalkalmazás esetén annak letöltésekor megvalósított kifejezett magatartásával, jelölőnégyzet
kipipálásával, vagy bármely egyéb olyan nyilatkozattal vagy cselekedettel, amely az adott összefüggésben
az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi.
(2) Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra
vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek,
egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét,
amely vonatkozásában a hozzájárulást kérik.
(3) Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a
hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét.
2. Az adatkezelés jogszerűsége
Az adatkezelés akkor minősül jogszerűnek, ha:
a) az olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését
megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
5
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
b) az adatkezelőre vonatkozó jogi kötelezettség teljesítése, vagy az érintett, illetve más természetes személy
létfontosságú érdekeinek védelme indokolja
VI. AZ ADATOK MEGISMERÉSÉRE JOGOSULTAK KÖRE
A személyes adatokat a Társaság vonatkozó adatkezelési célhoz kapcsolódó hozzáférési jogosultságokkal
rendelkező munkavállalói, illetve a Társaság részére szolgáltatási szerződések alapján adatfeldolgozási
tevékenységet végző személyek, szervezetek ismerhetik meg a Társaság által meghatározott terjedelemben és a
tevékenységük végzéséhez szükséges mértékben.
VII. AZ ÉRINTETT SZEMÉLY JOGAI
1. Tájékoztatáshoz való jog
(1) Az érintett jogosult arra, hogy adatainak kezelésére irányuló tevékenység megkezdését megelőzően
tájékoztatást kapjon az adatkezeléssel összefüggő információkról.
(2) Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik:
a. az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b. az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c. a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d. a GDPR 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél
jogos érdekei;
e. adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f. adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére
kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak
hiánya, vagy a GDPR 46. cikkben, a 47. cikkben vagy a GDPR 49. cikk (1) bekezdésének második
albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az
azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.
(3) A (2) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének
időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő
kiegészítő információkról tájékoztatja:
a. a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam
meghatározásának szempontjairól;
b. az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való
hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes
adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
c. a GDPR 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló
adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jogáról, amely nem
érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d. a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
e. arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy
szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni,
továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
f.
a GDPR 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan
érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható
következményekkel bír.
(4) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a
következő információkat:
a.
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b.
az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c.
a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d.
az érintett személyes adatok kategóriái;
e.
a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f.
adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely
nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság
megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a GDPR 47. cikkben vagy a 49.
6
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas
garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az
elérhetőségükre való hivatkozás.
(5) A (4) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre
nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
a.
a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának
szempontjai;
b.
ha az adatkezelés a GDPR 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél
jogos érdekeiről;
c.
az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való
hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok
kezelése ellen, valamint az érintett adathordozhatósághoz való joga;
d.
a GDPR 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló
adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a
visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
e.
a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
f.
a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból
származnak-e; és
g.
a GDPR 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó
érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható
következményekkel bír.
2. Az érintett hozzáférési joga
(1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes
adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes
adatokhoz és a következő információkhoz hozzáférést kapjon:
a.
az adatkezelés céljai;
b.
az érintett személyes adatok kategóriái;
c.
azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy
közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;
d.
adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen
időtartam meghatározásának szempontjai;
e.
az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését,
törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
f.
a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
g.
ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
h.
a GDPR 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó
érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen
várható következményekkel jár.
(2) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja.
Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű
díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben
használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.
3. Az érintett helyesbítéshez és törléshez való joga
3.1. A helyesbítéshez való jog
(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá
vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy
kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.
7
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
3.2. A törléshez való jog („az elfeledtetéshez való jog”)
(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó
személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat
indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:
a. a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon
kezelték;
b. az érintett visszavonja a GDPR 6. cikk (1) bekezdésének a) pontja (hozzájárulás személyes adatok
kezeléséhez) vagy a GDPR 9. cikk (2) bekezdésének a) pontja értelmében (kifejezett hozzájárulás adása)
az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;
c. az érintett a GDPR 21. cikk (1) bekezdése alapján (tiltakozáshoz való jog) tiltakozik az adatkezelése
ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a rendelet 21. cikk (2)
bekezdése alapján (üzletszerzés érdekében történő személyes adatkezelés elleni tiltakozás) tiltakozik az
adatkezelés ellen;
d. a személyes adatokat jogellenesen kezelték;
e. a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség
teljesítéséhez törölni kell;
f.
a személyes adatok gyűjtésére a GDPR 8. cikk (1) bekezdésében említett, információs társadalommal
összefüggő szolgáltatások kínálásával kapcsolatosan került sor.
(2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az érintett kérelmére azt törölni köteles, az
elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható
lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő
adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e
személyes adatok másolatának, illetve másodpéldányának törlését.
(3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:
a. a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;
b. a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti
kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány
gyakorlása keretében végzett feladat végrehajtása céljából;
c. a GDPR 9. cikk (2) bekezdése h) és i) pontjának, valamint a rendelet 9. cikk (3) bekezdésének
megfelelően a népegészségügy területét érintő közérdek alapján;
d. a GDPR 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és
történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog
valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy
e. jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.
4. Az adatkezelés korlátozásához való jog
(1) Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike
teljesül:
a. az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik,
amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;
b. az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának
korlátozását;
c. az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli
azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy
d. az érintett a GDPR 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás
arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai
elsőbbséget élveznek-e az érintett jogos indokaival szemben.
(2) Ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás
kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy
védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve
valamely tagállam fontos közérdekéből lehet kezelni.
(3) Az adatkezelő az érintettet, akinek a kérésére az (1) bekezdés alapján korlátozták az adatkezelést, az
adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.
8
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
5. A személyes adatok helyesbítéséhez, vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó
értesítési kötelezettség
(1) Az adatkezelő minden olyan címzettet tájékoztat a helyesbítésről, törlésről vagy adatkezelés-korlátozásról,
akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy
erőfeszítést igényel.
(2) Az érintettet kérésére az adatkezelő tájékoztatja e címzettekről.
6. Az adathordozhatósághoz való jog
(1) Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes
adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy
ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek
a személyes adatokat a rendelkezésére bocsátotta, ha:
a. az adatkezelés a GDPR 6. cikk (1) bekezdésének a) pontja (érintett hozzájárulása a személyes adatok
kezeléséhez) vagy a GDPR 9. cikk (2) bekezdésének a) pontja (érintett kifejezett hozzájárulása az
adatkezeléshez) szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen
alapul; és
b. az adatkezelés automatizált módon történik.
(2) Az adatok hordozhatóságához való jog (1) bekezdés szerinti gyakorlása során az érintett jogosult arra, hogy –
ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.
(3) Az e cikk (1) bekezdésében említett jog gyakorlása nem sértheti a GDPR 17. cikkét. Az említett jog nem
alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi
jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.
(4) Az (1) bekezdésben említett jog nem érintheti hátrányosan mások jogait és szabadságait.
7. A tiltakozáshoz való jog
(1) Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes
adatainak a közérdekű vagy közhatalmi jogosítvány gyakorlásának keretében megvalósuló adatkezelése, illetve az
adatkezelő, vagy harmadik fél jogos érdekeinek érvényesítéséhez szükséges adatkezelés (a GDPR 6. cikk (1)
bekezdésének e) vagy f) pontján alapuló adatkezelés) ellen, ideértve az említett rendelkezéseken alapuló
profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az
adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget
élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez,
érvényesítéséhez vagy védelméhez kapcsolódnak.
(2) Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy
bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is,
amennyiben az a közvetlen üzletszerzéshez kapcsolódik.
(3) Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a
személyes adatok a továbbiakban e célból nem kezelhetők.
(4) Az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten
fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól
elkülönítve kell megjeleníteni.
(5) Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK
irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is
gyakorolhatja.
(6) Ha a személyes adatok kezelésére a GDPR 89. cikk (1) bekezdésének megfelelően tudományos és történelmi
kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos
okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű
okból végzett feladat végrehajtása érdekében van szükség.
8. Az automatizált döntéshozatal alóli mentesség joga
(1) Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a
profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős
mértékben érintené.
2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha a döntés:
a. az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
9
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
b. meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az
érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő
intézkedéseket is megállapít; vagy
c. az érintett kifejezett hozzájárulásán alapul.
(3) A (2) bekezdés a) és c) pontjában említett esetekben az adatkezelő köteles megfelelő intézkedéseket tenni az
érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében, ideértve az érintettnek legalább azt a
jogát, hogy az adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben
kifogást nyújtson be.
(4) A (2) bekezdésben említett döntések nem alapulhatnak a személyes adatoknak a GDPR 9. cikk (1)
bekezdésében említett különleges kategóriáin, kivéve, ha a 9. cikk (2) bekezdésének a) vagy g) pontja
alkalmazandó, és az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében megfelelő
intézkedések megtételére került sor.
9. Az érintett panasztételhez és jogorvoslathoz való joga
9.1. A felügyeleti hatóságnál történő panasztételhez való jog.
(1) Az érintett a GDPR 77. cikke alapján jogosult arra, hogy panaszt tegyen a felügyeleti hatóságnál, ha az érintett
megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a GDPR-t.
(2) Panasztételhez való jogát az érintett az alábbi elérhetőségeken gyakorolhatja:
Nemzeti Adatvédelmi és Információszabadság Hatóság cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c,
Telefon: +36 (1) 391-1400, FAX: +36 (1) 391-1410, http://www.naih.hu, e-mail: ugyfelszolgalat@naih.hu
(3) A felügyeleti hatóság, amelyhez a panaszt benyújtották, köteles tájékoztatni az ügyfelet a panasszal
kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy a GDPR 78. cikk alapján az
ügyfél jogosult bírósági jogorvoslattal élni.
9.2. A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog
(1) Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden természetes és
jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű
döntésével szemben.
(2) Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden érintett jogosult
a hatékony bírósági jogorvoslatra, ha az illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három
hónapon belül nem tájékoztatja az érintettet a GDPR 77. cikke alapján benyújtott panasszal kapcsolatos eljárási
fejleményekről vagy annak eredményéről.
(3) A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell
megindítani.
(4) Ha a felügyeleti hatóság olyan döntése ellen indítanak eljárást, amellyel kapcsolatban az egységességi
mechanizmus keretében a Testület előzőleg véleményt bocsátott ki vagy döntést hozott, a felügyeleti hatóság
köteles ezt a véleményt vagy döntést a bíróságnak megküldeni.
9.3. Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog
(1) A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti
hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül, minden érintett hatékony bírósági
jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak, e GDPRnek nem megfelelő kezelése
következtében megsértették az e rendelet szerinti jogait.
(2) Az adatkezelővel vagy az adatfeldolgozóval szembeni eljárást az adatkezelő vagy az adatfeldolgozó
tevékenységi helye szerinti tagállam bírósága előtt kell megindítani. Az ilyen eljárás megindítható az érintett
szokásos tartózkodási helye szerinti tagállam bírósága előtt is, kivéve, ha az adatkezelő vagy az adatfeldolgozó
valamely tagállamnak a közhatalmi jogkörében eljáró közhatalmi szerve.
10. A Társaság az érintett adatainak jogellenes kezelésével vagy az adatbiztonság követelményeinek
megszegésével másnak okozott kárt köteles megtéríteni. Az érintettel szemben az adatkezelő felel az
adatfeldolgozó által okozott károkért, illetve személyiségi jogsértés esetén a sérelemdíjért is.
10
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
11. Az adatvédelmi incidensről történő tájékoztatás
(1) Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és
szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi
incidensről.
(2) Az (1) bekezdésben említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni
kell az adatvédelmi incidens jellegét, és közölni kell legalább
– az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit,
– az adatvédelmi incidensből eredő, valószínűsíthető következményeket, az adatkezelő által az adatvédelmi
incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő
esetleges hátrányos következmények enyhítését célzó intézkedéseket.
(3) Az érintettet nem kell az (1) bekezdésben említettek szerint tájékoztatni, ha a következő feltételek bármelyike
teljesül:
a. az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az
intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat
az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való
hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;
b. az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják,
hogy az érintett jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a
továbbiakban valószínűsíthetően nem valósul meg;
c. a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan
közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja
az érintettek hasonlóan hatékony tájékoztatását.
(4) Ha az adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután
mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett
tájékoztatását, vagy megállapíthatja a (3) bekezdésben említett feltételek valamelyikének teljesülését.
VIII. A TÁRSASÁG ADATKEZELÉSSEL ÉRINTETT TEVÉKENYSÉGEI ÉS A KEZELT
ADATKÖRÖK
1. Információkérés, ajánlatkérés során végzett adatkezelés
(1) A Társaság által nyújtott szolgáltatások, illetőleg értékesített termékekkel kapcsolatosan a Társaság harmadik
személyek számára információkérésre, ajánlatkérésre nyújt lehetőséget.
(2) Az adatkezelés jogalapja információkérés, ajánlatkérés esetén az érintett hozzájárulása.
(3) Az érintetti kör információkérés, ajánlatkérés esetén: minden olyan természetes személy, aki a Társaság
szolgáltatásaival, termékeivel kapcsolatban információt, ajánlatot kér és megadja személyes adatait.
(4) A kezelt személyes adatok köre: név, cím, telefonszám, e-mail cím.
(5) Az adatkezelés célja információkérés esetén: azonosítás, kapcsolattartás
(6) Az adatkezelési cél ajánlatkérés esetén: ajánlatadás, kapcsolattartás.
(7) Az adatok címzettjei (akik megismerhetik az adatokat) információkérés, ajánlatkérés esetén a Társaság
felhatalmazott munkatársai a jelen tájékoztatóban foglaltak alapján.
(8) Az adatkezelés időtartama információkérés, ajánlatkérés esetén: az információ szolgáltatását, illetve az ajánlat
nyújtását követő 30 nap elteltével a Társaság törli a személyes adatokat.
2. Szerződés megkötésével kapcsolatos adatkezelési tevékenység
(1) A Társaság a vele szerződő természetes személyek – érintettek – személyes adatainak kezelését ellátja a
szerződéses jogviszonnyal összefüggésben. A személyes adatok kezeléséről az érintettet tájékoztatni kell.
(2) Az érintettek köre: mindazon természetes személyek, akik a Társasággal szerződéses kapcsolatot létesítenek.
(3) Az adatkezelés jogalapja szerződés teljesítése, az adatkezelés célja a kapcsolattartás, azonosítás, a
szerződésből eredő igényérvényesítés, szerződéses kötelezettségeknek megfelelés biztosítása.
(4) A személyes adatok címzettjei: a személyes adatokat a Társaságnak az erre felhatalmazott munkatársai
kezelhetik a jelen szabályzatban foglaltak alapján.
(5) A kezelt személyes adatok köre: név, lakcím, rendszám, telefonszám, e-mail cím, adóazonosító jel,
bankszámlaszám, számlázási név és cím, PIN kód.
(6) Az adatkezelés időtartama: a szerződés megszűnésétől számított 5 év.
11
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
3. Szolgáltatás teljesítésével kapcsolatos adatkezelési tevékenység
(1) A Társaság a Szolgáltatást igénybe vevő természetes személyek – érintettek – személyes adatainak kezelését
ellátja a szerződéses jogviszonnyal összefüggésben. A személyes adatok kezeléséről az érintettet tájékoztatni kell.
(2) Az érintettek köre: mindazon természetes személyek, akik a Szerződés aláírását követően a Szolgáltatást
igénybe veszik.
(3) Az adatkezelés jogalapja és célja a Szolgáltatás teljesítése.
(4) A személyes adatok címzettjei: a személyes adatokat a Társaságnak az erre felhatalmazott munkatársai
kezelhetik a jelen szabályzatban foglaltak alapján.
(5) A kezelt személyes adatok köre: Ügyfélszám, Jelszó, rendszám, parkolás helye (zónakód), vásárolt parkolási
tranzakció adatai, felhasználói PIN kód.
(6) Az adatkezelés időtartama: a szerződés megszűnésétől számított 5 év.
IX. A TÁRSASÁG ADATKEZELÉSSEL KAPCSOLATOS KÖTELEZETTSÉGEI
A Társaság, mint adatkezelő az érintett kérésére:
(1) tájékoztatást ad személyes adatai kezeléséről,
(2) elvégzi személyes adatainak helyesbítését,
(3) törli vagy zárolja személyes adatait a jogszabályban előírt kötelező adatkezelés kivételével.
A Társaság a személyes adatot törli az ügyviteltől független nyilvántartásából, ha:
(1) a kezelése jogellenes;
(2) azt az érintett kéri, feltéve, hogy a törlést törvény nem zárja ki;
(3) az adat hiányos vagy téves és ez az állapot jogszerűen nem korrigálható;
(4) az adatkezelés célja megszűnt, vagy az adatok tárolásának törvényben meghatározott határideje lejárt;
(5) azt a bíróság, vagy a Hatóság jogerős, a Társaság által jogorvoslati útra nem terelt határozata elrendelte.
X. AZ ÉRINTETT KÉRELME ESETÉN ALKALMAZANDÓ ELJÁRÁS
(1) A Társaság elősegíti az érintett jogainak gyakorlását, az érintett jelen szabályzatban is rögzített jogainak
gyakorlására irányuló kérelem teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll
módjában azonosítani.
(2) A Társaság indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy
hónapon belül tájékoztatja az érintettet a kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe
véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A
határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől
számított egy hónapon belül tájékoztatja az érintettet.
(3) Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell
megadni, kivéve, ha az érintett azt másként kéri.
(4) Ha a Társaság nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a
kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól,
valamint arról, hogy az érintett panaszt nyújthat be a felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.
(5) A Társaság a Rendelet 13. és 14. cikke szerinti, jelen szabályzat VI. fejezet 1. pontban részletezett
információkat és a Rendelet 15–22. és 34. cikk szerinti tájékoztatást és intézkedést (visszajelzés a személyes
adatok kezeléséről, hozzáférés a kezelt adatokhoz, adatok helyesbítése, kiegészítése, törlése, adatkezelés
korlátozása, adathordozhatóság, tiltakozás az adatkezelés ellen, az adatvédelmi incidensről való tájékoztatás)
díjmentesen biztosítja az érintett számára.
(6) Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az
adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával
járó adminisztratív költségekre: 5000,- Ft összegű díjat számíthat fel, vagy megtagadhatja a kérelem alapján
történő intézkedést.
(7) A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.
(8) A GDPR 11. cikkének sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a GDPR 15–21.
cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett
személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.
12
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
XI. ADATVÉDELMI INCIDENS ESETÉN ALKALMAZANDÓ ELJÁRÁS
(1) Adatvédelmi incidens a GDPR értelmében a biztonság olyan sérülése, amely a továbbított, tárolt vagy más
módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását,
jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
(2) Adatvédelmi incidensnek minősül különösen, de nem kizárólagosan a személyes adatokat tartalmazó eszköz
(laptop, mobiltelefon) elvesztése, vagy ellopása, az adatkezelő által titkosított állomány visszafejtésére szolgáló
kód elvesztése, hozzáférhetetlenné válása, zsarolóvírus általi fertőzés, amely a váltságdíj megfizetéséig
hozzáférhetetlenné teszi az adatkezelő által kezelt adatokat, az informatikai rendszer megtámadása, tévesen
elküldött személyes adatokat tartalmazó e-mail, címlista nyilvánosságra hozatala stb.
(3) Az adatvédelmi incidens észlelése esetén a Társaság képviselője haladéktalanul vizsgálatot folytat le az
adatvédelmi incidens azonosítása és lehetséges következményeinek megállapítása céljából. A károk elhárítása
érdekében a szükséges intézkedéseket meg kell tenni.
(4) Az adatvédelmi incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy
az adatvédelmi incidens a tudomására jutott, bejelenteni köteles az illetékes felügyeleti hatóságnál, kivéve, ha az
adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira
nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló
indokokat is.
(5) Az adatfeldolgozó az adatvédelmi incidenst, az arról való tudomásszerzését követően indokolatlan késedelem
nélkül bejelenti az adatkezelőnek.
(6) Az (3) bekezdésben említett bejelentésben legalább:
a. ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és
hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;
b. közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és
elérhetőségeit;
c. ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;
d. ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket,
beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését
célzó intézkedéseket.
(7) Ha és amennyiben nem lehetséges az információkat egyidejűleg közölni, azok további indokolatlan
késedelem nélkül később részletekben is közölhetők.
(8) Az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó
tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti
hatóság ellenőrizze a GDPR 33. cikkében foglalt követelményeknek való megfelelést.
XII. ADATKEZELÉSSEL ÉRINTETT EGYÉB TEVÉKENYSÉGEK ÉS KEZELT ADATKÖRÖK
1. Számviteli kötelezettségek teljesítéséhez szükséges adatkezelés
(1) A Társaság természetes személy ügyfeleinek, vevőinek adatai kezelésének jogalapja jogi kötelezettség
teljesítése, (2007. évi CXXVII. törvény 159. § (1) bek.) az adatok felhasználási célja számla kötelező
adattartalmának megállapítása, számla kibocsátása, kapcsolódó könyvviteli feladatok ellátása.
(2) Az adatkezeléssel érintettek köre: a Társaság természetes személy ügyfelei, vevői.
(3) A kezelt adatok köre: a Társaság természetes személy ügyfeleinek, vevőinek neve, címe, adóazonosító jele
illetve adószáma
(4) A címzettek köre: a személyes adatokat a Társaságnak az erre felhatalmazott munkatársai kezelhetik a jelen
Adatvédelmi szabályzatban foglaltak alapján.
(5) A Társaság a szerződés (üzleti kapcsolat) megszűnésétől számított 8 évig jogosult az fentiekben megjelölt jogi
kötelezettség teljesítése során rögzített személyes adatok kezelésére.
2. A Társaság által üzemeltetett weboldallal összefüggő adatkezelés
2.1. A Társaság honlapjára látogatók adataival kapcsolatos tájékoztatás
(1) A Társaság honlapján tett látogatások során egy vagy több cookie – apró információcsomag, amelyet a szerver
küld a böngészőnek, majd a böngésző visszaküld a szervernek minden, a szerver felé irányított kérés alkalmával –
kerül küldésre a honlapot meglátogató személy számítógépére, amely(ek) révén annak böngészője egyedileg
azonosítható lesz, amennyiben ehhez a honlapot meglátogató személy világos és egyértelmű tájékoztatást
követően kifejezett (aktív) hozzájárulását adta a honlap további böngészésére irányuló magatartásával.
13
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
(2) A cookie-k kizárólag a felhasználói élmény javítása, a belépési folyamat automatizálása érdekében működnek.
A honlapon használt sütik személy szerinti beazonosításra alkalmas információt nem tárolnak, a Társaság
személyes adatkezelést e körben nem folytat.
XIII. AZ ADATFELDOLGOZÁSSAL KAPCSOLATOS SZABÁLYOK
(1) Társaság az általa kezelt személyes adatok körében megbízott külső adatfeldolgozót vesz igénybe a következő
feladatok ellátása céljából:
– TÁRHELYSZOLGÁLTATÁS
Adatfeldolgozó megnevezése és elérhetősége: ATW Internet Kft.
Cím: H-1138 Budapest, Esztergomi út 66. fsz. 1.
E-mail: support@atw.co.hu
Telefon: +36 1 6000289
A kezelt adatok köre: Az érintett által megadott valamennyi személyes adat.
Az érintettek köre: A Társaság szolgáltatásait igénybevevő érintett.
Az adatkezelés célja: A Társaság által nyújtott szolgáltatások zavartalan és folyamatos biztosítása.
Az adatkezelés időtartama: A Társaság és az adatfeldolgozó közötti megállapodás megszűnéséig, vagy az
érintettnek törlési kérelméig tart.
Az adatfeldolgozás jogalapja: a GDPR 6. cikk (1) bekezdés f) pontja, illetve az elektronikus kereskedelemi
szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló
2001. évi CVIII. törvény 13/A. § (3) bekezdése.
– RENDSZER ÜZEMELTETÉSE, KARBANTARTÁSA
Adatfeldolgozó megnevezése és elérhetősége:
Név Info-Baranya Kft.
Cím: 7631 Pécs, Hosszú-földi utca 58.
E-mail: barna@baranya.hu
Telefon: +36203210941
A kezelt adatok köre: Az érintett által megadott valamennyi személyes adat.
Az érintettek köre: A Társaság szolgáltatásait igénybevevő érintett.
Az adatkezelés célja: A Társaság internetes honlapjának üzemeltetése, fejlesztése és karbantartása.
Az adatkezelés időtartama: A Társaság és az adatfeldolgozó közötti megállapodás megszűnéséig, vagy az
érintettnek törlési kérelméig tart.
Az adatfeldolgozás jogalapja: a GDPR 6. cikk (1) bekezdés f) pontja, illetve az elektronikus kereskedelemi
szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló
2001. évi CVIII. törvény 13/A. § (3) bekezdése.
– SZÁMLÁZÁS
Adatfeldolgozó megnevezése és elérhetősége:
Név KBOSS.hu Kft
Cím: 1031 Budapest, Záhony utca 7/C..
E-mail: info@szamlazz.hu
Telefon: +36-30-35-44-789
A kezelt adatok köre: Az érintett neve, számlázási adatai, e-mail címe.
Az érintettek köre: A Társaság szolgáltatásait igénybevevő érintett.
Az adatkezelés célja: Az elektronikus számla kiállítása.
Az adatkezelés időtartama: A Társaság és az adatfeldolgozó közötti megállapodás megszűnéséig, vagy az
érintettnek törlési kérelméig tart.
Az adatfeldolgozás jogalapja: a GDPR 6. cikk (1) bekezdés f) pontja, illetve az elektronikus kereskedelemi
szolgáltatások, az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi
CVIII. törvény 13/A. § (3) bekezdése.
(2) Az érintettet jelen Szabályzat VII. fejezetében rögzített jogok az adatfeldolgozóval szemben is teljes körűen és
maradéktalanul megilletik.
(3) A Társaság deklarálja, hogy az adatfeldolgozó a tudomására jutott személyes adatokat kizárólag az adatkezelő
rendelkezései szerint dolgozhatja fel, saját céljára adatfeldolgozást nem végezhet, továbbá a személyes adatokat az
adatkezelő rendelkezései szerint köteles tárolni és megőrizni.
(4) Társaság az adatfeldolgozónak további adatfeldolgozó igénybevételére felhatalmazást nem
ad.
(5) Társaság fenntartja a jogot, hogy a jövőben további adatfeldolgozókat vonjon be az adatkezelésbe, amelyről a
jelen Szabályzat módosításával tájékoztatja az érintetteket.
14
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
(6)Társaság a részére rendelkezésre bocsátott személyes adatokat a jelen pontban foglaltakon kívül harmadik
félnek illetve feleknek nem továbbítja, ide nem értve, ha arra jogszabályi kötelezettség alapján valamely hatóság,
állami, közigazgatási szerv, bíróság felszólítja, és Társaság a vonatkozó jogszabályok alapján azt nem jogosult
megtagadni.
XIV. AZ ADATBIZTONSÁGRA VONATKOZÓ RENDELKEZÉSEK
1. Az adatbiztonság megvalósításának elvei
(1) A Társaság személyes adatot csak a jelen Szabályzatban rögzített szabályok maradéktalan betartásával, a
Szabályzatban rögzített tevékenységekkel összhangban, az adatkezelés céljának megfelelően, a szükséges
időtartamban kezelhet.
(2) A Társaság az adatok biztonságáról gondoskodik, e körben kötelezettséget vállal arra, hogy megteszi
mindazon technikai és szervezési intézkedéseket, amelyek szükségesek az adatbiztonságra vonatkozó
jogszabályok, adat- és titokvédelmi szabályok maradéktalan érvényre juttatásához, illetőleg kialakítja a fentiekben
meghatározott jogszabályok érvényesüléséhez szükséges eljárási szabályokat.
(3) A Társaság által végrehajtandó technikai és szervezési intézkedések a következőkre irányulnak:
a. a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének
biztosítása, integritása, rendelkezésre állása és ellenálló képességének fennállása;
b. fizikai vagy műszaki incidens esetén az arra való képesség, hogy a személyes adatokhoz való hozzáférést
és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
c. az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának
rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárás alkalmazása,
(4) A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből
eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok
véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra
hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.
(5) A Társaság az adatokat megfelelő intézkedésekkel védi a jogosulatlan hozzáférés, megváltoztatás, továbbítás,
nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés, továbbá az
alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válás ellen.
(6) A Társaság az általa kezelt adatokat az irányadó jogszabályoknak megfelelően tartja nyilván, biztosítva, hogy
az adatokat csak azok a munkavállalók, és egyéb a Társaság érdekkörében eljáró személyek ismerhessék meg,
akiknek erre munkakörük, feladatuk ellátása érdekében szükségük van.
(7) A Társaság az egyes adatkezelési tevékenység során megadott személyes adatokat más adatoktól elkülönítetten
tárolja, azzal, hogy – összhangban a fenti rendelkezéssel – az elkülönített adatállományokat kizárólag a megfelelő
hozzáférési jogosultsággal rendelkező munkavállalók ismerhetik meg.
(8) A Társaság vezetői, munkavállalói a személyes adatokat harmadik személynek nem továbbítják, a jogosulatlan
hozzáférés kizárása érdekében a szükséges intézkedéseket megteszik.
(9) A Társaság azon munkavállalóinak enged hozzáférést személyes adatokhoz, akik a kezelt személyes adatkörök
tekintetében titoktartási nyilatkozat tételével vetették alá magukat az adatbiztonsági szabályok megtartásával
kapcsolatos kötelezettségnek.
(10) A Társaság az adatok biztonságát szolgáló intézkedések meghatározásakor és alkalmazásakor tekintettel van
a technika mindenkori fejlettségére, több lehetséges adatkezelési megoldás esetén a személyes adatok magasabb
szintű védelmét biztosító megoldást választja, kivéve, ha az aránytalan nehézséget jelentene.
2
. A Társaság informatikai nyilvántartásainak védelme
(1) A Társaság az informatikai nyilvántartásai tekintetében az adatbiztonság megvalósulásához a következő
szükséges intézkedéseket foganatosítja:
a. Ellátja az általa kezelt adatállományokat számítógépes vírusok elleni állandó védelemmel, (valós idejű
vírusvédelmi szoftvert alkalmaz.)
b. Gondoskodik az informatikai rendszer hardver eszközeinek fizikai védelméről, beleértve az elemi károk
elleni védelmet,
c. Gondoskodik az informatikai rendszer jogosulatlan hozzáférés elleni védelméről, mind a szoftver mind a
hardver eszközök tekintetében,
d. Megteszi mindazokat az intézkedéseket, amelyek az adatállományok helyreállításához szükségesek,
rendszeres biztonsági mentést hajt végre, továbbá a biztonsági másolatok elkülönített, biztonságos
kezelését végrehajtja.
15
ÁSZF Melléklet
Adatvédelmi és adatbiztonsági szabályzat
3. A Társaság papíralapú nyilvántartásainak védelme
(1) A Társaság a papíralapú nyilvántartások védelme érdekében megteszi a szükséges intézkedéseket különösen a
fizikai biztonság, illetve tűzvédelem tekintetében.
(2) A Társaság vezetője, munkavállalói, és egyéb, a Társaság érdekében eljáró személyek az általuk használt, vagy
birtokukban lévő, személyes adatokat is tartalmazó adathordozókat, függetlenül az adatok rögzítésének módjától,
kötelesek biztonságosan őrizni, és védeni a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra
hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés ellen.
XV. EGYÉB RENDELKEZÉSEK
(1) A Társaság vezérigazgatója köteles a Társaság valamennyi munkavállalója részére ismertetni jelen szabályzat
rendelkezéseit.
(2) A Társaság vezérigazgatója köteles gondoskodni arról, hogy a Társaság valamennyi munkavállalója betartsa
jelen szabályzatban foglalt rendelkezéseket.
(3) Jelen szabályzat megállapítása, illetőleg módosítása a Társaság vezérigazgatójának feladatkörébe tartozik.
16
