Adatfeldolgozási megállapodás
1. Felek, hatály és jogállás
Ez a megállapodás az OrsunPay szolgáltatási szerződésében megnevezett üzleti ügyfél (az „Ügyfél”) és az alábbi fél közötti adatfeldolgozási feltételeket rögzíti: Orsun Tech OÜ, nyilvántartási szám: 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia („OrsunPay”). Csak akkor válik kötelezővé, ha mindkét fél által elfogadott megállapodásba foglalják, kitöltött adatfeldolgozási és biztonsági mellékletekkel.
Az itt szabályozott adatfeldolgozás céljait és lényeges eszközeit az Ügyfél határozza meg, az OrsunPay pedig az Ügyfél nevében dolgozza fel a személyes adatokat. Ha az Ügyfél maga is adatfeldolgozó, az OrsunPay megbízásához rendelkeznie kell saját adatkezelője felhatalmazásával. Az OrsunPay saját webhelyéhez, üzleti kapcsolataihoz és fiókadminisztrációjához kapcsolódó adatkezelést az alábbi dokumentum ismerteti: adatkezelési tájékoztatónk.
A „személyes adat”, „adatkezelő”, „adatfeldolgozó” és kapcsolódó fogalmak jelentését az alkalmazandó adatvédelmi jog határozza meg, ideértve a GDPR-t, ahol alkalmazandó. Ez a DPA elsőbbséget élvez az általa szabályozott adatfeldolgozásra vonatkozó ellentétes szolgáltatási feltételekkel szemben; az alkalmazandó kötelező adattovábbítási kikötések elsőbbséget élveznek.
2. Az adatfeldolgozás leírása
| Tétel | Az adatfeldolgozás köre |
|---|---|
| Tárgy | Az Ügyfél megállapodás szerinti fizetési orkesztrációs szolgáltatásain és a kapcsolódó támogatáson keresztül kezelt személyes adatok. |
| A műveletek jellege | Rekordok fogadása, rögzítése, rendszerezése, lekérdezése, továbbítása és megjelenítése; útválasztási és működési utasítások végrehajtása; hibaelhárítás; valamint adatok visszaadása vagy törlése. |
| Célok | Beállított fizetési munkafolyamatok működtetése, információcsere kiválasztott szolgáltatókkal, tranzakciós és webhookrekordok fenntartása, engedélyezett hozzáférés biztosítása és szolgáltatási problémák kivizsgálása. |
| Érintettek | Az Ügyfél vásárlói és más fizetési résztvevők, valamint az Ügyfél felhatalmazott felhasználói vagy képviselői, amennyiben adataikat az ő utasítására dolgozzák fel. |
| Adatkategóriák | Ügyfél- és tranzakcióhivatkozások, megadott kapcsolati adatok, összegek és pénznemek, fizetési és visszatérítési állapotok, szolgáltatói hivatkozások, tokenizált vagy maszkolt fizetésimód-adatok, technikai kapcsolati adatok és releváns támogatási anyagok. A végleges mellékletnek a tényleges integrációt kell tükröznie. |
| Időtartam és gyakoriság | A szolgáltatás használata és a megállapodott visszaadási vagy törlési időszak alatt; folyamatos vagy eseményvezérelt adatfeldolgozás a használt funkciók szerint. |
| Érzékeny adatok | A különleges adatok, a bűncselekményekre vonatkozó adatok és a teljes fizetési hitelesítő adatok nem tartoznak ezen általános leírás körébe, kivéve, ha külön írásbeli hatókör és megfelelő ellenőrzések kifejezetten lefedik őket. |
3. Utasítások és az Ügyfél felelőssége
A szolgáltatási szerződés, a kitöltött mellékletek, az engedélyezett beállítások és a dokumentált API-kérések alkotják az Ügyfél utasításait. Az OrsunPay az érintett adatokat kizárólag ezen utasítások alapján dolgozza fel, beleértve az adattovábbításra vonatkozó utasításokat is, kivéve, ha az alkalmazandó jog másként rendelkezik. Az adatfeldolgozás előtt tájékoztatja az Ügyfelet a jogi követelményről, kivéve, ha a jog ezt a tájékoztatást tiltja.
Az Ügyfélnek jogszerű utasításokat, szükséges adatvédelmi tájékoztatást és érvényes jogalapot kell biztosítania az általa kért gyűjtéshez és adatfeldolgozáshoz. A megadott adatokat a szolgáltatáshoz szükséges körre kell korlátoznia, és megfelelő fiókjogosultságokat kell fenntartania. Az OrsunPay tájékoztatja az Ügyfelet, ha egy utasítást az alkalmazandó adatvédelmi jogba ütközőnek tart, és a kérdés rendezéséig felfüggesztheti az érintett adatfeldolgozást.
4. Titoktartás és biztonság
Az OrsunPay a hozzáférést olyan felhatalmazott személyekre korlátozza, akiknek arra a szolgáltatás elvégzéséhez szükségük van, és biztosítja titoktartási kötelezettségüket. Az adatok jellegének és az adatfeldolgozás kockázatainak megfelelő technikai és szervezési intézkedéseket tart fenn.
A biztonsági mellékletnek dokumentálnia kell a hozzáférés-szabályozást, hitelesítést, titkosítási megoldásokat, ügyfélkörnyezetek elkülönítését, naplózást, incidenskezelést, mentést és helyreállítást, törlést, valamint ezen intézkedések értékelésének folyamatát. Meg kell különböztetnie a telepített és tervezett ellenőrzéseket, és azonosítania kell az alkalmazandó szolgáltatási kört. E megállapodás közzététele önmagában nem foglal magában audittanúsítványt vagy biztonsági igazolást.
5. További adatfeldolgozók
Az OrsunPay további adatfeldolgozókat csak az Ügyfél előzetes egyedi vagy általános írásbeli engedélyével bízhat meg. A végleges jóváhagyott melléklet azonosítja a jogi személyt, a funkciót és a releváns adatfeldolgozási helyszíneket. A szállítói nyilvántartás kiegészítő információ, amely webhelyszállítókat és felülvizsgálat alatt álló megoldásokat is tartalmaz; a felvétel önmagában nem jelent ügyfélengedélyt.
Általános engedély esetén az OrsunPay előzetes írásbeli értesítést ad a tervezett új megbízásokról vagy cserékről, és az új adatfeldolgozás megkezdése előtt érdemi lehetőséget biztosít az Ügyfélnek adatvédelmi okból kifogást emelni. Az aláírt mellékletnek meg kell határoznia az értesítési időt, kézbesítési csatornát és rendezési eljárást. Ha a kifogás nem rendezhető, a felek jogszerű alternatívában állapodnak meg, vagy szerződésük szerint megszüntetik az érintett szolgáltatást.
Az OrsunPay szerződésben írja elő az alkalmazandó adatvédelmi kötelezettségeket minden további adatfeldolgozó számára, és a jog által előírtak szerint felelős marad e kötelezettségek teljesítéséért.
6. Segítségnyújtás és adatvédelmi incidensek
Az adatfeldolgozás és a rendelkezésére álló információk figyelembevételével az OrsunPay segíti az Ügyfelet az érintetti kérelmek, biztonsági kötelezettségek, hatásvizsgálatok és illetékes hatóságokkal folytatott konzultációk terén. Ha az Ügyfél adataira vonatkozó kérelmet kap, értesíti az Ügyfelet, és érdemben csak utasítás alapján vagy jogszabályi kötelezettség esetén válaszol.
Az OrsunPay indokolatlan késedelem nélkül értesíti az Ügyfelet, miután tudomást szerzett az érintett adatokat érintő adatvédelmi incidensről. A rendelkezésre álló információk leírják az incidenst, az érintett adatokat és személyeket, a valószínű következményeket, az enyhítő intézkedéseket és az utánkövetési kapcsolattartót. Az információk a vizsgálat előrehaladtával szakaszosan is megadhatók. Az OrsunPay együttműködik az Ügyfél válaszintézkedéseiben; az Ügyfél felelős marad a jogilag rá háruló értesítésekért.
7. Nemzetközi adattovábbítások
Mielőtt az adatfeldolgozás korlátozott adattovábbítással járna, a feleknek azonosítaniuk kell az adatexportőrt, adatimportőrt, célországokat és a megfelelő adattovábbítási mechanizmust. Adott esetben ez magában foglal egy alkalmazandó megfelelőségi határozatot vagy kitöltött általános szerződési feltételeket a megfelelő modullal, mellékletekkel és kiegészítő intézkedésekkel. Az Egyesült Királyság vagy Svájc követelményeit alkalmazandóságuk esetén kezelni kell.
Egy szállító DPA-jára mutató hivatkozás önmagában nem teszi teljessé az Ügyfél adattovábbítási dokumentációját. Az aláírt mellékletnek tartalmaznia kell a tényleges megoldásokat, ideértve a távoli hozzáférést és a további adattovábbításokat is.
8. Visszaadás, törlés és megőrzés
Az adatfeldolgozás végén az OrsunPay az Ügyfél választása szerint visszaadja vagy törli az érintett személyes adatokat, és törli a fennmaradó másolatokat, kivéve, ha az alkalmazandó jog megőrzést ír elő. A feleknek az adatfeldolgozási mellékletben meg kell állapodniuk az exportformátumban, az igénylési folyamatban, a teljesítési időben és a biztonsági mentések lejáratában.
Jogszabály által előírt megőrzés esetén az OrsunPay, ahol megengedett, megjelöli a követelményt, a megőrzött adatokat e célra korlátozza, és a kötelezettség megszűnésekor törli őket. Az ütemezett lejáratra váró biztonsági másolatoknak védettnek és szokásos használatra hozzáférhetetlennek kell maradniuk. Az OrsunPay kérésre igazolja a teljesítést.
9. Információk és auditok
Az OrsunPay rendelkezésre bocsátja az adatfeldolgozói kötelezettségei teljesítésének igazolásához szükséges információkat, és lehetővé teszi, valamint támogatja az auditokat, ideértve az Ügyfél vagy megbízott auditora ellenőrzéseit. A felek összehangolják az észszerű előzetes értesítést, a titoktartást és a többi ügyfél információit védő intézkedéseket. A gyakorlati megoldások nem akadályozhatják a jog vagy illetékes hatóság által előírt auditot.
10. A megállapodás véglegesítése
Aláírás előtt a feleknek ki kell tölteniük a szolgáltatásspecifikus adatkategóriákat, adatfeldolgozási helyszíneket, jóváhagyott további adatfeldolgozókat, adattovábbítási dokumentumokat, biztonsági intézkedéseket, megőrzési és visszaadási megoldásokat, értesítési kapcsolattartókat és a szállítóváltozási eljárást. A felelősségi és irányadó jogi rendelkezések a jogszerűség keretein belül az aláírt szolgáltatási szerződést követik; e megállapodás nem vonja el az érintettek törvényes jogait. Szerződéssel és DPA-val kapcsolatos kérdések az alábbi csatornán küldhetők: Kapcsolat.