Adatfeldolgozási szerződés

1. Tárgy és időtartam

Az adatfeldolgozó tárolja és feldolgozza azokat a személyes adatokat, amelyeket a szervezet a Gallában rögzít, mindaddig, amíg a szervezet a szolgáltatást használja, és az adatai törléséig.

2. Mi kerül feldolgozásra

• Érintettek: a szervezet munkatársai, a vendégek és azok a csoportok, amelyekkel együtt meghívást kaptak, a beszállítók és szponzorok kapcsolattartói, a jegyvásárlók és a várólistán szereplő személyek.
• Adatok: nevek, elérhetőségek, válaszok, menüválasztások, étrendi és allergiás megjegyzések (amelyekből egészségi állapotra vagy vallásra lehet következtetni), ülőhelyek, jegyek és fizetések, fényképek, üzenetek, fájlok, támogatási kérések és az auditnapló.
• Cél: a szervezet rendezvényeinek megtervezése és lebonyolítása a Gallával, valamint a szervezet támogatása, ha az kéri.

3. Az adatfeldolgozó kötelezettségei

• Az adatokat kizárólag a szervezet dokumentált utasításai alapján kezeli (ez a Galla használata és a jelen feltételek), ideértve az adattovábbítást is, kivéve, ha az Európai Unió vagy valamely tagállam joga másként rendelkezik; ilyenkor erről előzetesen tájékoztatja a szervezetet, hacsak az adott jog ezt nem tiltja; továbbá jelzi a szervezetnek, ha valamely utasítás véleménye szerint sérti az adatvédelmi jogszabályokat.
• Gondoskodik arról, hogy minden hozzáféréssel rendelkező személyt titoktartási kötelezettség terheljen, és hogy a Galla munkatársai egy szervezet adataiba csak annak támogatása céljából tekintsenek be, olyan indoklással, amelyet a tulajdonosok a hozzáférési naplóban elolvashatnak.
• Az adatokat a 6. pontban leírt intézkedésekkel védi.
• Kizárólag a további adatfeldolgozók oldalán felsorolt további adatfeldolgozókat veszi igénybe, amelyekhez a szervezet általános felhatalmazást ad. Új további adatfeldolgozó bevonását vagy cseréjét 30 nappal előre bejelenti a tulajdonosoknak az adminfelületen és az említett oldalon. A szervezet észszerű adatvédelmi okokból kifogást emelhet; ha nem születik megoldás, a változás hatálybalépése előtt megszüntetheti a szolgáltatást, miután letöltötte az adatait. Minden további adatfeldolgozót ugyanazokra a kötelezettségekre kötelez, és felelős marad érte.
• Segít a szervezetnek megválaszolni az érintettek kérelmeit: a vendégadatok exportálása és törlése, a vendégek, beszállítók és szponzorok számára elérhető „Az Ön adatai” űrlapok, valamint a szervezet adatainak exportálása.
• Indokolatlan késedelem nélkül, de legkésőbb 48 órán belül tájékoztatja a szervezetet, miután tudomást szerzett az adatait érintő adatvédelmi incidensről, megadva az ismert információkat (az incidens jellege, az érintett személyek és nyilvántartások, a valószínű következmények, a megtett intézkedések, egy kapcsolattartó), és ezeket kiegészíti, amint újabb információk válnak ismertté.
• Szükség esetén segít az adatvédelmi hatásvizsgálatokban és az előzetes konzultációkban, és nyilvántartást vezet a szervezet megbízásából végzett adatkezelésről.
• A szerződés végén törli az adatokat (a szervezet előbb letöltheti azokat): az adatok a tulajdonos kérését követő 14. napon törlődnek, a biztonsági mentésekből pedig további 37 napon belül kikerülnek. Csak a jogszabály által előírt adatok maradnak meg, például a számlák.
• A szervezet rendelkezésére bocsátja a megfelelés igazolásához szükséges információkat, és lehetővé teszi az észszerű auditokat.

4. A szervezet kötelezettségei

A szervezet jogalappal rendelkezik az általa gyűjtött adatok kezeléséhez (az étrendi és allergiás megjegyzések esetében pedig a 9. cikk valamely feltételével, például az érintett kifejezett hozzájárulásával), tájékoztatja az érintetteket, eldönti, hogy munkatársai közül ki láthatja az érzékeny megjegyzéseket, és megválaszolja az érintettek kérelmeit.

5. Adattovábbítás

Az adatok tárolása az Európai Unióban történik. Egy további adatfeldolgozó az adatok egy részét csak a GDPR V. fejezete szerinti garancia alapján kezelheti az EU-n kívül: megfelelőségi határozat alapján, például tanúsított szolgáltató esetében az EU–USA adatvédelmi keretrendszerről szóló határozat alapján, vagy az Európai Bizottság által elfogadott általános adatvédelmi kikötések alapján. A további adatfeldolgozók oldala mindegyiküknél megnevezi az alkalmazott garanciát.

6. Biztonsági intézkedések

• Az egyes szervezetek adatsorait az adatbázis sorszintű biztonsága választja el egymástól; az alkalmazás adatbázis-szerepköre ezt nem tudja megkerülni.
• Titkosítás az átvitel során (kizárólag HTTPS) és tároláskor; az étrendi és allergiás megjegyzéseket, valamint a szervezetek titkos adatait az alkalmazás külön is titkosítja.
• A munkatársak második azonosítási lépéssel jelentkeznek be; a szerepkörök korlátozzák, ki mit láthat; a vendéglinkek véletlenszerűek, kizárólag hash-értékként tárolódnak, és soha nem kerülnek naplókba.
• A vendégek, válaszok, ülőhelyek és fizetések módosításai bekerülnek az auditnaplóba; a támogatási célú hozzáférések naplózásra kerülnek a tulajdonosok számára.
• Napi biztonsági mentések egy második uniós régióban, adott időpontra történő visszaállítás lehetősége, és hetente elvégzett visszaállítási teszt.
• Felügyelet és riasztások, valamint írásos incidenskezelési eljárás.