Adatfeldolgozási szerződés (DPA)
1. Szerződő felek
A(z) LLC "DataPrime", Ukrajna államban bejegyzett társaság, az a társaság, amely a Lingverra szolgáltatást üzemelteti. A „Lingverra” az a kereskedelmi megnevezés, amely alatt a társaság a szolgáltatást nyújtja, és nem önálló jogi személy; e dokumentumban a „Lingverra” vagy „mi” a(z) LLC "DataPrime" társaságot jelenti.
A jelen adatfeldolgozási szerződés („DPA”) az alábbi felek között jön létre:
Adatfeldolgozó:
LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ukrajna
Nyilvántartási szám: 46215708
E-mail: support@lingverra.com
(a továbbiakban: „Adatfeldolgozó”)
Adatkezelő:
Az a hiteles/felhatalmazott fordító vagy fordítóiroda, amely elfogadja az
Általános Szerződési Feltételeket, és felhasználói fiókot
regisztrált a Lingverra platformon (a továbbiakban: „Ügyfél” vagy „Adatkezelő”). A
szolgáltatás kizárólag vállalkozásoknak szól (B2B); fogyasztóknak nem.
A jelen DPA az Általános Szerződési Feltételek része, és azokba beépül. Az Általános Szerződési Feltételek elfogadásával az Adatkezelő a jelen DPA-t is elfogadja. A DPA abban az időpontban lép hatályba, amikor az Adatkezelő elfogadja az Általános Szerződési Feltételeket.
2. A szerepek megosztása (adatkezelő / adatfeldolgozó)
Az Ügyfél által feltöltött dokumentumokban szereplő személyes adatok tekintetében (az Ügyfél megrendelői, az iratokban megnevezett személyek, harmadik személyek) az Ügyfél az adatkezelő a GDPR 4. cikk 7. pontja értelmében, a Lingverra pedig az adatfeldolgozó a GDPR 4. cikk 8. pontja értelmében. Az Ügyfél határozza meg ezen adatok kezelésének céljait és eszközeit; a Lingverra azokat kizárólag a fordítási szolgáltatás nevében történő nyújtása érdekében kezeli.
2.1 Dokumentált utasítás dokumentum feltöltésével
A platform használata önkéntes, és azt mindig az Ügyfél kezdeményezi. Mielőtt bármely dokumentum feldolgozásra kerülne, az Ügyfélnek regisztrálnia kell, el kell fogadnia az Általános Szerződési Feltételeket, ideértve a jelen DPA-t, és hozzájárulást kell adnia a platformon; a szolgáltatás munkafelülete csak ezt követően válik elérhetővé. A dokumentum fordításra való minden egyes feltöltése az Adatkezelő önálló, tudatos és dokumentált utasításának minősül az Adatfeldolgozó felé a GDPR 28. cikk (3) bekezdés a) pontja értelmében, amelyet a 2.2. pontban és az adatfeldolgozók listájában leírt technikai eszközök előzetes ismeretében ad meg. Az Adatfeldolgozó mindaddig nem kezel semmilyen dokumentumtartalmat, amíg az Adatkezelő ilyen utasítást nem ad a dokumentum feltöltésével.
2.2 Az Adatfeldolgozó kizárólag a végrehajtás technikai eszközeit határozza meg
Az Adatkezelő határozza meg az adatkezelés célját (hogy fordítanak-e, miért és melyik dokumentumot), és megtartja az ellenőrzést a tartalom és az érintettek felett. Az Adatfeldolgozó kizárólag az utasítás végrehajtásának nem lényegi, technikai eszközeit határozza meg, nevezetesen: az alkalmazott MI-fordítómodellt („Claude”) és azt az uniós csatornát és régiót, amelyen keresztül elérhető (lásd az adatfeldolgozók listáját), a megőrzési időt, amelynek elteltével a tartalom automatikusan törlődik, a titkosítási megoldást (minden dokumentumhoz külön kulcs) és a tárhely-infrastruktúrát. A lényegi és nem lényegi eszközök közötti bevett megkülönböztetéssel összhangban (lásd az EDPB 07/2020. sz. iránymutatását az adatkezelő és az adatfeldolgozó fogalmáról) az ilyen technikai eszközök adatfeldolgozó általi meghatározása nem teszi az adatfeldolgozót adatkezelővé.
A szolgáltatás egyetlen, szabványosított technikai konfiguráció útján valósul meg; az Adatfeldolgozó nem kínál, az Ügyfél pedig nem választ alternatív eszközöket (modell, régió, megőrzés vagy titkosítás). A jelen DPA elfogadásával és egy dokumentum feltöltésével az Adatkezelő arra utasítja az Adatfeldolgozót, hogy az adatkezelést pontosan ezen technikai eszközökkel végezze el. Az egyes eszközök közötti választás hiánya a szolgáltatás szabványosított, eszközjellegű természetét tükrözi, és nem ruház az Adatfeldolgozóra semmilyen döntési jogkört az adatkezelés céljai felett. Az a döntés, hogy egyáltalán igénybe veszi-e az Adatfeldolgozó által kínált technikai eszközöket, teljes egészében az Adatkezelőt illeti: az Adatkezelő szabadon dönt arról, hogy egy adott dokumentum kezeléséhez alkalmazza-e az Adatfeldolgozó eszközeit, és bármikor eltekinthet a szolgáltatás használatától. Az eszközöket így az Adatkezelő rendelkezésére bocsátjuk, és azok adatkezelésre való alkalmazása az Adatkezelő saját, önkéntes döntése; az adatkezelés megvalósulását ez az Adatkezelő általi önkéntes választás, nem pedig az Adatfeldolgozó bármilyen egyoldalú meghatározása szabályozza.
2.3 A tartalom saját célú felhasználásának hiánya
Az Adatfeldolgozó a dokumentumok tartalmát kizárólag az Adatkezelő által elrendelt fordítás elvégzése érdekében kezeli. Az Adatfeldolgozó a dokumentumok tartalmát nem használja fel semmilyen saját célra, nem elemzi és nem készít belőle profilt, nem adja ki a szolgáltatás nyújtásához szükséges további adatfeldolgozókon kívüli harmadik személyeknek (6. pont), és a tartalmat nem használjuk fel mesterségesintelligencia-modellek betanítására, finomhangolására vagy fejlesztésére. Az Adatfeldolgozó a tartalomból a szerződött szolgáltatás nyújtásán túl semmilyen önálló előnyre nem tesz szert.
Az Ügyfél saját felelősségére gyakorolja a hivatását, és egyedül dönt arról, hogy feltölti-e — és milyen jogalapon — a megrendelője dokumentumát a platformra fordítás céljából. A Lingverra nem ellenőrzi, és nem is felel azért, hogy az Ügyfél jogosult-e az adott adatok továbbítására; ez a felelősség kizárólag az Ügyfelet mint adatkezelőt terheli (lásd a 13. pontot).
A Lingverra csak addig jár el adatfeldolgozóként, amíg az adott tartalmat birtokolja. Miután a tartalmat a 11. ponttal összhangban törölték (alapértelmezés szerint a kézbesítést követő 72 óra elteltével), vagy korábban, ha az Adatkezelő a fiókjában törli, a Lingverra ezt a tartalmat többé nem kezeli, és arra nézve megszűnik adatfeldolgozóként eljárni.
3. Az adatkezelés tárgya és célja
A Lingverra felhőalapú, szoftver mint szolgáltatás platformot üzemeltet hivatalos és egyéb dokumentumok MI-vel támogatott fordítására, hiteles vagy felhatalmazott fordítók számára. Az Adatfeldolgozó az Adatkezelő nevében csak az e szolgáltatás nyújtásához szükséges mértékben kezel személyes adatokat.
Árajánlatok (költségbecslések). Ugyanez irányadó akkor is, ha az Adatkezelő azért tölt fel dokumentumot, hogy megbecsültesse a terjedelmét, és árazott ajánlat készüljön az Adatkezelő saját fejlécével. Egy különbség lényeges, és azt itt rögzítjük a kétségek elkerülése végett: e funkcióban semmilyen mesterségesintelligencia-modell nem vesz részt, és semmilyen adat nem kerül át modellszolgáltatóhoz. A szöveget az Adatfeldolgozó saját, EU/EGT-n belüli infrastruktúráján futó szövegfelismerő szoftver olvassa ki a dokumentumból. A feltöltött fájlt töröljük, amint a becslés elkészült; a létrehozott PDF tárolás közben titkosítva van, és 72 óra után törlődik (11. pont).
Számlák az Adatkezelő saját megrendelőjének. Ugyanez irányadó akkor is, ha az Adatkezelő mentett árajánlatból számlát készít. Az Adatkezelő megrendelőjének nevét és címét, amelyet az Adatkezelő e célból ad meg, az Adatfeldolgozó kizárólag azért kezeli, hogy azokat a számlán megjelenítse; a címet titkosítva tároljuk. A számlát az Adatkezelő fejlécével és az Adatkezelő nevében állítják ki: az Adatfeldolgozó annak sem kibocsátója, sem szerződő fele, számlaszámot nem oszt ki, és a számlát nem továbbítja a címzettnek. A létrehozott PDF és a megrendelő címe 72 óra után törlődik; addig az Adatkezelő a fiókjában bármikor törölheti az árajánlatot vagy a számlát; a számlának az Adatkezelőre irányadó jogszabályi határidőkig történő megőrzése az Adatkezelő saját kötelezettsége.
A jelen Szerződésen kívül: leendő megrendelők megkeresései. Az Adatfeldolgozó külön működtet a nyilvános weboldalán egy űrlapot, amelyen keresztül a hiteles fordítást kereső személy kérheti, hogy összekössék egy fordítóval. E kapcsolattartási adatok tekintetében az Adatfeldolgozó önálló adatkezelőként jár el, az adott személy hozzájárulása alapján, nem pedig az Adatkezelő adatfeldolgozójaként, és a jelen Szerződés rájuk nem alkalmazandó. Ha az Adatkezelő ilyen megkeresést fogad el, az Adatkezelő szintén a kapott kapcsolattartási adatok önálló adatkezelőjévé válik, és egyedül dönt arról, mit kezd velük; az Adatfeldolgozó e tekintetben nem ad utasítást, és az ezt követő megbízásból nem részesedik. Ezt az adatkezelést az Adatkezelési tájékoztató 3.5. pontja írja le.
Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli, kivéve, ha az adatkezelést uniós vagy tagállami jog írja elő. Ilyen esetben az Adatfeldolgozó az adatkezelést megelőzően tájékoztatja az Adatkezelőt e jogi követelményekről, kivéve, ha az adott jog e tájékoztatást fontos közérdekből tiltja (GDPR 28. cikk (3) bekezdés a) pont).
4. Az adatok jellege, köre és kategóriái
4.1 Az adatkezelés jellege és célja
Az Adatfeldolgozó az Adatkezelő nevében a következő célokból kezel személyes adatokat:
- az Adatkezelő által feltöltött dokumentumok és fájlok tárolása és kezelése;
- a dokumentumok tartalmának MI-vel támogatott fordítása. A fordítási szolgáltatás nyújtásához a dokumentumok tartalmát a „Claude” nyelvi modell kezeli az adatfeldolgozók listájában szereplő uniós csatornán keresztül; e csatorna szolgáltatója a 6. pont szerinti további adatfeldolgozóként jár el. Az adatkezelés az EGT-n belül marad, bármelyik felsorolt csatorna szolgálja is ki a kérést. Ez az adatkezelés a szolgáltatás szerves és szükséges része; nélküle fordítás nem nyújtható. A dokumentum fordításra való feltöltésével az Adatkezelő olyan dokumentált utasítást ad (GDPR 28. cikk (3) bekezdés a) pont), amely erre a további adatfeldolgozásra is kiterjed. A dokumentumok tartalma az EGT-n belül marad, azt csak ideiglenesen, a fordítás céljából kezelik, és nem használják fel modellek betanítására;
- a lefordított dokumentum és egy kéthasábos összehasonlító/utószerkesztő felület biztosítása az Adatkezelő általi ellenőrzéshez;
- a forrásdokumentum és a fordítás ideiglenes tárolása a megőrzési idő tartamára (lásd a 11. pontot), hogy az Adatkezelő újra megnyithassa az eredményt;
- naplók (auditnaplók) vezetése az Adatkezelő fiókjában bekövetkező, biztonsági szempontból releváns eseményekről;
- egy dokumentum terjedelmének megbecslése és árazott árajánlat készítése az Adatkezelő fejlécével. A szöveget az Adatfeldolgozó saját, EU/EGT-n belüli infrastruktúráján futó szövegfelismerő szoftver olvassa ki a dokumentumból; semmilyen MI-modell és semmilyen modellszolgáltató nem vesz részt benne, szemben a fenti fordítási funkcióval;
- számla készítése mentett árajánlatból, az Adatkezelő fejlécével és az Adatkezelő nevében, az Adatkezelő megrendelőjének e célból megadott nevével és címével; az Adatfeldolgozó ezeket az adatokat megjeleníti a számlán, és semmi mást nem tesz velük.
4.2 A személyes adatok kategóriái
A feltöltött dokumentumokban szereplő adatokat az Adatkezelő határozza meg, és azok természetüknél fogva magukban foglalhatnak a GDPR 9. cikke szerinti különleges kategóriájú személyes adatokat (pl. egészségügyi adatok orvosi igazolásokban, vallási vagy világnézeti meggyőződésre utaló adatok, biometrikus adatok személyazonosító okmányokban), valamint a GDPR 10. cikke szerinti, büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó személyes adatokat (pl. erkölcsi bizonyítvány). A Lingverrának nincs tudomása a dokumentumok konkrét tartalmáról, és azt semmilyen módon nem értékeli.
| Kategória | Adatelemek |
|---|---|
| Dokumentumadatok (tartalom) | Feltöltött fájlok (PDF, képek), az MI által kinyert és lefordított szöveg, a dokumentum metaadatai. Tartalmazhatnak különleges kategóriájú adatokat (GDPR 9. cikk): egészségügyi adatok, vallási/világnézeti adatok, személyazonosító okmányokból származó biometrikus adatok; valamint büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatokat (GDPR 10. cikk): pl. erkölcsi bizonyítvány. |
| Az érintettek azonosító adatai | A dokumentumokban megnevezett nevek, születési idők, címek, ügyirat- és iktatószámok, aláírások |
| Az Ügyfél fiók- és profiladatai | E-mail-cím, név, szakmai adatok (kinevezés, nyelvek, hitelesítési záradék) |
| Technikai adatok | IP-címek, böngészőazonosító, munkamenet-azonosítók, auditnapló-bejegyzések |
| Számlázási adatok | A lefordított normál oldalak száma, egyenleg, fizetési előzmények |
Megjegyzés: magának az Ügyfélnek a fiók-, profil-, technikai és számlázási adatait a Lingverra saját adatkezelőként kezeli (szerződés teljesítése, GDPR 6. cikk (1) bekezdés b) pont); e tekintetben az Adatkezelési tájékoztató irányadó. A jelen DPA tárgyát a dokumentumokban szereplő harmadik személyek adatai képezik, amelyek tekintetében az Ügyfél az adatkezelő.
4.3 Az érintettek kategóriái
- az Ügyfél megrendelői (természetes személyek);
- a dokumentumokban megnevezett harmadik személyek (pl. iratokban felsorolt személyek, aláírók, kiállító személyek);
- maga az Ügyfél, amennyiben a dokumentumai az ő személyes adatait tartalmazzák.
4.4 Az adatkezelés időtartama
Az adatkezelés a szerződéses jogviszony tartama alatt történik. Ezen túlmenően a forrásdokumentum és a fordítás tartalma a megőrzési idő lejárta után automatikusan törlődik (lásd a 11. pontot). A Szerződés megszűnésekor a személyes adatokat a 11. pont szerint töröljük vagy anonimizáljuk.
5. Az Adatfeldolgozó kötelezettségei
Az Adatfeldolgozó vállalja, hogy:
- a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli;
- biztosítja, hogy az adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaltak, vagy megfelelő jogszabályi titoktartási kötelezettség alatt állnak (GDPR 28. cikk (3) bekezdés b) pont);
- a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket hozza (lásd a 7. pontot);
- betartja a további adatfeldolgozók igénybevételére vonatkozó, 6. pont szerinti feltételeket;
- megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében;
- az Adatkezelő választása szerint az adatkezelés befejezése után minden személyes adatot töröl vagy visszajuttat (lásd a 11. pontot);
- az Adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikkének való megfelelés igazolásához szükséges;
- haladéktalanul tájékoztatja az Adatkezelőt, ha az Adatfeldolgozó megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezést.
6. További adatfeldolgozók
Az Adatkezelő ezennel általános írásbeli felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók igénybevételére. Az Adatfeldolgozó legalább 30 nappal előre, írásban tájékoztat minden tervezett új vagy cserélt további adatfeldolgozóról. Az Adatkezelő a tájékoztatástól számított 30 napon belül kifogással élhet. Ha az Adatfeldolgozó a kifogást nem tudja orvosolni, az Adatkezelő jogosult a Szerződést 30 napos felmondási idővel, hátrány nélkül megszüntetni.
A további adatfeldolgozók aktuális listája — ideértve az MI-fordítási csatorna szolgáltatóját és az infrastruktúra-/tárhelyszolgáltatót is — nyilvánosan elérhető itt: /legal/subprocessors.
További adatfeldolgozók igénybevétele esetén az Adatfeldolgozó szerződésben ugyanolyan adatvédelmi kötelezettségeket ró rájuk (GDPR 28. cikk (4) bekezdés). Az Adatfeldolgozó felel az Adatkezelő felé azért, hogy a további adatfeldolgozó teljesíti kötelezettségeit.
7. Technikai és szervezési intézkedések (TOM)
Az Adatfeldolgozó a GDPR 32. cikke alapján a következő technikai és szervezési intézkedéseket alkalmazza:
| Intézkedés | Megvalósítás |
|---|---|
| Titkosítás átvitel közben | TLS 1.2+ minden adatátvitelnél; HTTPS kikényszerítése minden végponton |
| Titkosítás tárolás közben | Külön AES-256-GCM kulcs minden egyes dokumentumhoz és árajánlathoz (nem pusztán felhasználónként egy kulcs), így egyetlen kulcs sem nyit többet annál az elemnél, amelyhez tartozik. Ugyanaz a kulcs fedi le a feltöltött fájlt, az adatbázisban tárolt lefordított szöveget és az árajánlat PDF-jét; titkosított munkamenet-tárolás; titkosított biztonsági mentések |
| Kriptográfiai törlés | A megőrzési idő lejártakor, valamint az Adatkezelő általi törléskor az adott dokumentum kulcsát a törléssel azonos tranzakcióban megsemmisítjük. A titkosított szöveg bármely, az alkalmazás hatókörén kívüli másolata — rövid életű biztonsági mentés, tárhelyréteg-pillanatfelvétel, a meghajtó által kivont flashcellák — ezáltal véglegesen visszafejthetetlenné válik, az Adatfeldolgozó számára éppúgy, mint bárki más számára. A dokumentumonkénti kulcsok ki vannak zárva az adatbázis-mentésből: a mentést hosszabb ideig őrizzük, mint a fájlmentést, és egy olyan kulcs, amely túléli az általa nyitott dokumentumot, névlegessé tenné az intézkedést |
| Kulcskezelés | A felhasználónkénti kulcsokat (amelyek pedig az egyes dokumentumok kulcsát burkolják) burkoló mesterkulcsot az EU területén működő felügyelt kulcsszolgáltatás (AWS KMS) őrzi, nem az alkalmazásszerver vagy az adatbázis; minden visszafejtés kifejezett kulcsszolgáltatás-hívás, amelyet auditnyomvonal (CloudTrail) rögzít. Önmagában az adatbázis vagy a lemez kompromittálódása nem tárja fel a tartalmat, és a tartalomhoz való hozzáférés nem történhet meg naplóbejegyzés nélkül |
| Nincs rutinszerű hozzáférés (hozzáférés csak kivételként, mindig naplózva) | Az Adatfeldolgozónak nincs funkcionális szüksége a dokumentumtartalom olvasására, és a szokásos működés során ezt nem is teszi; a visszafejtést technikailag a kulcsszolgáltatás korlátozza, szervezetileg pedig nem használjuk (a fejlesztés soha nem használ ügyféldokumentumokat). A rendszergazdák nem olvassák a tartalmat; teljes szerverjogosultsággal a hozzáférés technikailag lehetséges volna, egy dokumentum visszafejtéséhez azonban a kulcsszolgáltatás meghívása szükséges, amely ezt az auditnaplójában rögzíti; a fejlesztő nem tud visszafejteni egy dokumentumot auditbejegyzés hátrahagyása nélkül |
| A tulajdonos munkamenetéhez kötött visszafejtés | A dokumentum-hozzáférés kódszinten az adatok tulajdonosához van kötve (minden dokumentum-útvonal a tulajdonos felhasználói azonosítójára szűr); a felhasználónkénti kulcs a szokásos működés során kizárólag a tulajdonos hitelesített munkamenetén belül oldódik fel. Minden kulcsfeloldást rögzítünk az adatok tulajdonosával és a kezdeményező szereplővel együtt. Minden nem tulajdonos (pl. munkatárs) által kezdeményezett feloldást kivételként jelölünk meg, és belső riasztást vált ki; az egyetlen várt, nem tulajdonos általi hozzáférés az érintett által kért adatexport, amelyet az indokával együtt naplózunk. Ezáltal igazolható, hogy a szokásos menetben a kulcsot az érintett kéri, nem pedig a személyzet |
| Álnevesítés / anonimizálás | A személyes adatokat a fiók törlésekor anonimizáljuk; a dokumentumok tartalmát a megőrzési idő lejárta után automatikusan töröljük (az előzményekben dátummal ellátott bejegyzés marad, a dokumentum és annak bármely szövegrésze nélkül) |
| Hozzáférés-szabályozás | Szerepköralapú hozzáférés-szabályozás (fordító / adminisztrátor / könyvelő); szigorú elkülönítés felhasználói szinten; a legszűkebb jogosultság elve |
| Hitelesítés | Jelszavak hashelése; kétlépcsős hitelesítés (TOTP); megbízható eszközök tokenjei; munkamenet lejárata |
| Védelem a kártékony szoftverek ellen | A feltöltött fájlok vírusellenőrzése; a fájltípus és az aláírás ellenőrzése a feldolgozás előtt |
| CSRF-védelem | CSRF-token minden állapotot módosító kérésnél |
| Tartalombiztonsági szabályzat | Szigorú Content-Security-Policy unsafe-inline nélkül (a script-src és a style-src a 'self' értékre és egy kérésenkénti nonce-ra korlátozva); beágyazott szkriptek és stílusok nélkül, csökkentve a cross-site scripting (XSS) és az injektálás kockázatát a frontenden |
| Naplózás | WORM-védelemmel ellátott auditnaplók (az adatbázis-triggerek megakadályozzák a módosítást és a törlést); a hozzáférési és az üzleti naplók elkülönítése |
| Biztonsági mentés és helyreállítás | Rendszeres automatikus biztonsági mentések; titkosított mentéstárolás; dokumentált helyreállítási eljárás |
| Ellenállóképesség | Üzemeltetés dedikált szerveren, szolgáltatásonkénti erőforráskorlátokkal; alkalmazásszintű hibakezelés és monitorozás |
| Sérülékenységkezelés | Az operációs rendszer, a függőségek és az alkalmazás rendszeres biztonsági frissítése |
| Személyzet és képzés | A személyes adatokhoz hozzáférő valamennyi személy titoktartásra kötelezett; a hozzáférési jogosultságokat rendszeresen felülvizsgáljuk |
| Biztonságos törlés | A személyes adatokat anonimizálással vagy biztonságos felülírással töröljük; a biztonsági mentések megőrzése összhangban áll a törlési szabályzattal |
| Környezetek elkülönítése | Az éles, valamint a teszt-/fejlesztői környezetek szigorúan elkülönülnek; a tesztkörnyezetekben nem használunk valós személyes adatokat |
| Incidenskezelés | Eljárások az adatvédelmi incidensek észlelésére, eszkalálására és bejelentésére; az Adatkezelő értesítése indokolatlan késedelem nélkül, a tudomásszerzést követően (GDPR 33. cikk (2) bekezdés) |
8. Ellenőrzési és auditjogok
Az Adatkezelő jogosult a jelen DPA és a GDPR 28. cikkének betartását auditokkal ellenőrizni, az alábbi feltételek mellett:
- Gyakoriság: naptári évenként legfeljebb egyszer, kivéve, ha alapos ok áll fenn (pl. adatvédelmi incidens vagy hatósági vizsgálat);
- Értesítés: legalább 30 nappal előre, írásban, a terjedelem és a cél megjelölésével;
- Költségek: az Adatkezelő költségére, kivéve, ha az audit az Adatfeldolgozó lényeges jogsértését tárja fel;
- Titoktartás: az auditornak a rendszerekhez vagy adatokhoz való hozzáférés előtt titoktartási megállapodást kell aláírnia;
- Bizonyítékok: az Adatfeldolgozó az auditkötelezettséget érvényes tanúsítványok vagy auditjelentések átadásával is teljesítheti (pl. elismert szabványok szerint); a helyszíni audit annyiban továbbra is lehetséges, amennyiben a konkrét aggályokat a jelentések nem oszlatják el.
9. Az érintettek jogai
Az Adatfeldolgozó megfelelő technikai intézkedésekkel segíti az Adatkezelőt az érintettek GDPR III. fejezete (15–22. cikk) szerinti jogainak teljesítésében. Az érintetti kérelmek megválaszolásáért az Adatkezelő felel. Ha egy érintett közvetlenül az Adatfeldolgozóhoz fordul, az Adatfeldolgozó a kérelmet indokolatlan késedelem nélkül továbbítja az Adatkezelőnek.
10. Adatvédelmi incidensek bejelentése
Az Adatfeldolgozó minden adatvédelmi incidensről indokolatlan késedelem nélkül értesíti az Adatkezelőt, miután arról tudomást szerzett (GDPR 33. cikk (2) bekezdés), és minden esetben 24 órán belül. Ez a határidő szándékosan marad el az Adatkezelőt a felügyeleti hatóság felé terhelő 72 órás határidőtől (33. cikk (1) bekezdés): az a határidő attól a pillanattól fut, amikor az Adatkezelő tudomást szerez, így egy a 72. órában érkező értesítés semennyi időt nem hagyna az Adatkezelőnek a cselekvésre. Ha a teljes kép még nem ismert, az Adatfeldolgozó a rendelkezésre álló tényekről értesít, és azokat a felmerülésük szerint egészíti ki, ahelyett hogy az első értesítést késleltetné. Az értesítés tartalmazza, amennyiben az Adatfeldolgozó előtt ismert:
- az incidens jellegét, ideértve az érintettek és az érintett adatrekordok kategóriáit és hozzávetőleges számát;
- az Adatfeldolgozó adatvédelmi kapcsolattartási pontjának nevét és elérhetőségeit;
- az incidens valószínű következményeit;
- a megtett vagy tervezett, orvoslást célzó intézkedéseket.
Az illetékes felügyeleti hatóság felé tett bejelentés és az érintettek tájékoztatása a GDPR 33. és 34. cikke szerint az Adatkezelőt terheli.
11. Az adatok törlése és visszajuttatása
A forrásdokumentum és a fordítás tartalmát csak ideiglenesen tároljuk, és a megőrzési idő lejárta után automatikusan és véglegesen töröljük (alapértelmezés szerint a kézbesítést követő 72 óra elteltével), vagy korábban, ha az Adatkezelő a fiókjában törli; az előzményekben csupán egy dátummal ellátott bejegyzés marad arról, hogy egy dokumentumot feldolgoztunk — a dokumentum és annak bármely szövegrésze nélkül. A pontos megőrzési időt az Adatkezelési tájékoztató tartalmazza. A tartalom törlését követően az Adatfeldolgozó azt többé nem birtokolja, nem ellenőrzi és nem fér hozzá, és e tartalom Adatfeldolgozó általi kezelése véget ér; az Adatfeldolgozónak a jelen DPA szerinti, a törölt tartalommal kapcsolatos kötelezettségei ezzel teljesülnek (GDPR 28. cikk (3) bekezdés g) pont).
A törlés a fizikai mellett kriptográfiai is: a bájtokat felülírjuk ott, ahol az alkalmazás eléri őket, és az adott dokumentumhoz tartozó kulcsot megsemmisítjük. A fenti állítás — hogy az Adatfeldolgozó már nem fér hozzá a törölt tartalomhoz — ezért nem a biztonsági mentéseken, pillanatfelvételeken és tárolóhardveren átívelő felülírás teljességén nyugszik, hanem azon, hogy nincs olyan kulcs, amellyel a tartalom olvasható volna.
Árajánlatok. A becslés céljából feltöltött dokumentumot töröljük, amint a becslés elkészült — azt nem őrizzük meg a fordításokra vonatkozó 72 órás időablak alatt, mert a munkafolyamatban ezt követően semmi nem teszi szükségessé. A létrehozott árajánlat-PDF tárolás közben titkosítva van, és 72 óra után törlődik, meghagyva az Adatkezelő saját üzleti feljegyzését az ajánlatról (szám, címzett, végösszegek), amely már nem tartalmazza a megrendelő dokumentumát. Az Adatkezelő az árajánlatot addig bármikor törölheti.
A Szerződés megszűnésekor a következők irányadók:
- Törlés (alapértelmezés): a személyes adatokat anonimizáljuk vagy biztonságosan töröljük. A megszűnés előtt az Adatkezelő a platform önkiszolgáló exportálási funkcióival lekérheti adatait;
- Visszajuttatás (kérésre): valamennyi személyes adat hivatalos visszajuttatása géppel olvasható formátumban, a megszűnés előtt írásban előterjesztett kérelemre.
Az Adatfeldolgozó minimális törlési nyilvántartást őriz meg (dátum, kiváltó ok, visszaigazolások) a GDPR-nak megfelelő törlés bizonyítékaként a GDPR 28. cikk (3) bekezdés g) pontja alapján; ez a nyilvántartás nem tartalmazza az Adatkezelő érintettjeinek személyes adatait.
12. Harmadik országokba történő továbbítás
A dokumentumtartalom kezelése (azon adatoké, amelyeket az Adatfeldolgozó az Adatkezelő nevében kezel, ideértve az MI-vel támogatott fordítási lépést is) az EU/EGT területén lévő szervereken történik, és azt nem továbbítjuk harmadik országba. Tárolás közben az EU-ban tartott kulccsal titkosítva van, így az infrastruktúra üzemeltetése önmagában nem tárja fel a tartalmat. Az MI-fordítás a /legal/subprocessors oldalon szereplő uniós csatornán keresztül fut; a kérés az EU/EGT területén lévő modellútvonalra irányul, és nem kerül az Egyesült Államokba. A csatorna és az útvonal megválasztását fail-closed módon ellenőrizzük: az Unión kívüli régiót, végpontot vagy útvonalat elutasítjuk, nem szolgáljuk ki.
- Fizetési szolgáltatók: kizárólag fizetési adatok továbbítása (soha nem a dokumentumtartalom). A kártyás fizetéseket az ukrán elfogadó bank, a ПУМБ (hutko) dolgozza fel, amely önálló adatkezelő; csak az összeg és egy rendelési hivatkozás kerül továbbításra, a GDPR 49. cikk (1) bekezdés b) pontja alapján.
Az Adatfeldolgozó Ukrajnában telepedett le, amely harmadik ország, uniós megfelelőségi határozat nélkül. Ez nem érinti a dokumentumtartalmat, amely a fentiek szerint titkosítva marad az EU-ban. Az Ügyfél fiókadatai és számlázási adatai Ukrajnából az Adatfeldolgozó saját munkatársai számára, a feladataikhoz szükséges mértékben hozzáférhetők. A dokumentumtartalom Ukrajnából rendes működés során nem hozzáférhető. Ahhoz csak kivételes esetben, dokumentált okból lehet hozzáférni (különösen az Ügyfél saját kérésére, pl. egy adott dokumentumra vonatkozó ügyfélszolgálati megkeresés alapján); minden ilyen hozzáféréshez az EU-ban tárolt titkosító kulcs használata szükséges, amelyet a kulcskezelő szolgáltatás naplóz (AWS CloudTrail). A számlázási adatokat az Adatfeldolgozó a jogszabályi számvitel céljából kezeli a GDPR 6. cikk (1) bekezdés b) és f) pontja alapján (a szerződés teljesítése és a jogszabályi számviteli kötelezettségek teljesítéséhez fűződő jogos érdek). Az Adatfeldolgozó jogszabályi könyvvezetését vagy vezetősége, vagy Ukrajnában letelepedett külső könyvviteli szolgáltató végzi. Ha ilyen szolgáltatót vesz igénybe, az a számviteli bizonylatokat közvetlen azonosítóktól megfosztva kapja meg — az ügyfél neve helyett semmitmondó hivatkozási kóddal, név, e-mail-cím vagy postai cím nélkül —, és nem rendelkezik sem az Adatfeldolgozó adatbázisával, sem azzal a kulccsal, amelyből a kódok származnak. Ennélfogva semmilyen személyes adatot nem kap, nem további adatfeldolgozó a GDPR 28. cikke értelmében, és ebből a megoldásból nem keletkezik személyesadat-továbbítás. Az Adatfeldolgozó rendszereiben tárolt mögöttes számlázási adatokhoz való hozzáférés csak olvasható és naplózott. Ezen túlmenően az Adatfeldolgozó nem továbbít személyes adatokat harmadik országokba anélkül, hogy a GDPR V. fejezete szerinti megfelelő védelmi szintet biztosítaná.
13. Az Adatkezelő kötelezettségei
Az Adatkezelő szavatolja és vállalja, hogy:
- a platformra feltöltött valamennyi személyes adat tekintetében rendelkezik a GDPR 6. cikke szerinti érvényes jogalappal;
- amennyiben a GDPR 9. cikke szerinti különleges kategóriájú személyes adatok kezelésére kerül sor (különösen egészségügyi adatok, vallási/világnézeti adatok, személyazonosító okmányokból származó biometrikus adatok), rendelkezik a GDPR 9. cikk (2) bekezdése szerinti érvényes jogalappal, és megfelelő garanciákat vezetett be;
- amennyiben a GDPR 10. cikke szerinti, büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó személyes adatok kezelésére kerül sor (különösen erkölcsi bizonyítvány), az ilyen adatkezelés hatóság ellenőrzése mellett történik, vagy azt megfelelő garanciákat biztosító uniós vagy tagállami jog teszi lehetővé;
- kizárólagosan felel az Adatfeldolgozónak adott adatkezelési utasítások jogszerűségéért;
- teljesítette a saját érintettjeivel szembeni tájékoztatási kötelezettségeit a GDPR 13. és 14. cikke szerint;
- a platformot kizárólag jogszerű célokra és az alkalmazandó adatvédelmi joggal összhangban használja;
- kizárólagosan felel a fiókjában lévő hozzáférések kezeléséért;
- haladéktalanul tájékoztatja az Adatfeldolgozót a jelen DPA betartását érintő változásokról.
14. Felelősség
Mindegyik fél felel az alkalmazandó adatvédelmi jog azon megsértéseiért, amelyekért felelős. Ha az Adatfeldolgozót az Adatkezelő utasításán vagy magatartásán alapuló jogsértésért vonják felelősségre, az Adatkezelő olyan mértékben mentesíti az Adatfeldolgozót, amilyen mértékben az Adatfeldolgozónak nem róható fel felelősség.
Az Adatfeldolgozó jelen DPA szerinti szerződéses felelősségére az Általános Szerződési Feltételekben kikötött felelősségkorlátozás irányadó. Az Adatfeldolgozónak az érintettekkel szembeni, a GDPR 82. cikke szerinti törvényes felelőssége érintetlen marad. A GDPR 83. cikke szerinti bírságokat az a fél viseli, akivel szemben azokat a felügyeleti hatóság kiszabja; azok szerződéssel nem háríthatók át.
15. Irányadó jog és joghatóság
A jelen DPA-ra annak az országnak a joga irányadó, ahol az adatfeldolgozó be van jegyezve (Ukrajna). A jelen DPA-ból eredő jogvitákra ezen ország bíróságai rendelkeznek joghatósággal, kivéve, ha az Adatkezelő helye szerinti kógens rendelkezések másként rendelkeznek. E joghatósági kikötés nem érinti az érintettek azon jogát, hogy a GDPR 79. cikk (2) bekezdésében említett bíróságok előtt indítsanak eljárást.
Az Adatfeldolgozó nemzeti adatvédelmi joga. A GDPR mellett az Adatfeldolgozó ukrajnai adatkezelési tevékenységeire az ukrán személyesadat-védelmi törvény (2297-VI. sz.) is alkalmazandó.
16. Kapcsolat
LLC "DataPrime"vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ukrajna
E-mail: support@lingverra.com
EN · CS · DE · ES · FR · HU · IT · NL · PL · PT · RO · SK · UK
Ez a fordítás kizárólag a könnyebb érthetőséget szolgálja. Eltérés esetén a(z) EN nyelvű változat az irányadó: EN
Version: v1.2 · As of: 2026-10-15 · HU