Adatfeldolgozási megállapodás

A Certando szolgáltatás használata során az Előfizető minősül adatkezelőnek (ő dönt a feltöltött adatok céljáról), a Szolgáltató pedig adatfeldolgozónak (az Előfizető megbízásából és utasításai szerint tárolja, rendszerezi az adatokat).

A jelen megállapodás a GDPR ((EU) 2016/679) 28. cikk (3) bekezdése szerinti írásbeli adatfeldolgozási szerződés. A Szolgáltató saját felhasználói adatkezeléséről (fiókadatok) külön dokumentum szól: Adatkezelési tájékoztató.

• Tárgya és célja: a kiberbiztonsági megfelelés nyilvántartása — kontroll-állapotok, bizonyítékok, kockázatok, incidensek, beszállítói regiszter, adatkezelési tevékenységek nyilvántartása, ISO-állapotok, rendszer-nyilvántartás (EIR) és eltérések, szervezeti kérdőív, valamint a tevékenységnapló vezetése az Előfizető megbízásából.
• Kezelt adatkategóriák: az Előfizető munkatársainak és meghívott auditorainak neve és email-címe; a naplóbejegyzésekben rögzített tevékenység-adatok; a feltöltött bizonyíték-dokumentumok tartalma (amely az Előfizető döntése szerint tartalmazhat személyes adatot); incidens-leírások.
• Érintettek köre: az Előfizető munkatársai, megbízottjai és auditorai.
• Időtartam: az előfizetés fennállása alatt, valamint a megszűnést követő, 7. pont szerinti türelmi időben.

• Az adatokat kizárólag az Előfizető dokumentált utasításai (a Szolgáltatás rendeltetésszerű működtetése) alapján dolgozza fel, saját célra nem használja.
• Az adatokhoz hozzáférő személyek titoktartásra kötelezettek.
• A GDPR 32. cikke szerinti biztonsági intézkedéseket alkalmaz: titkosított átvitel (TLS) és tárolás, szervezetenkénti adat-elkülönítés (RLS), hash-láncolt, manipulálhatatlan tevékenységnapló, egyirányúan titkosított jelszavak, szerepkör-alapú hozzáférések.
• Segíti az Előfizetőt az érintetti jogok (hozzáférés, törlés, helyesbítés stb.) teljesítésében és a GDPR 32–36. cikk szerinti kötelezettségeiben.
• A tudomására jutott adatvédelmi incidensről az Előfizetőt indokolatlan késedelem nélkül, de legkésőbb 72 órán belül értesíti, a GDPR 33. cikk (3) szerinti tartalommal.
• Az Előfizető számára lehetővé teszi a megfelelés ellenőrzését: kérésre a jelen megállapodás teljesítésével kapcsolatos információkat rendelkezésre bocsátja.

Az Előfizető a regisztrációval általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére:

Új al-adatfeldolgozó bevonásáról a Szolgáltató a bejelentkezett Előfizetőket emailben, legalább 15 nappal előre értesíti; az Előfizető kifogással élhet, és kifogása esetén a szerződést hátrányos következmény nélkül felmondhatja.

Az érdemi adatok (nyilvántartás, bizonyítékok, napló) kizárólag EU-s adatközpontban tárolódnak. Az USA-beli al-adatfeldolgozók (email-küldés, tartalomkiszolgálás) igénybevétele a GDPR V. fejezete szerinti garanciákkal (EU–USA adatvédelmi keret, illetve általános szerződési feltételek) történik.

A Szolgáltatót érintő adatvédelmi incidens esetén a Szolgáltató haladéktalanul megkezdi az elhárítást, és az érintett Előfizetőket indokolatlan késedelem nélkül — legkésőbb a tudomásszerzéstől számított 72 órán belül — értesíti az incidens jellegéről, az érintett adatkörökről és a megtett intézkedésekről, hogy az Előfizető a saját (adatkezelői, illetve kiberbiztonsági) bejelentési kötelezettségeit határidőben teljesíthesse.

Az előfizetés megszűnésekor az Előfizető az adatait a Szolgáltatásból exportálhatja (auditkész export, bizonyíték-letöltés). A Szolgáltató a megszűnést követő 90 nap elteltével az Előfizető valamennyi adatát véglegesen törli, kivéve, ha jogszabály hosszabb megőrzést ír elő. A türelmi idő alatt az Előfizető kérheti az azonnali törlést is.

A jelen megállapodás az ÁSZF elválaszthatatlan melléklete, és azzal együtt lép hatályba — a regisztráció során tett nyilatkozattal, illetve papíralapú vagy elektronikusan aláírt megrendelés esetén a megrendelőlap aláírásával. Ez utóbbi esetben a Felek a jelen megállapodást a GDPR 28. cikk (9) bekezdése szerinti írásbeli formában megkötöttnek tekintik. A megállapodásra az ÁSZF rendelkezései (irányadó jog, vitarendezés, módosítás) megfelelően alkalmazandók. Hatályos: 2026. július 24-től (piszkozatként). Kérdés esetén: hello@certando.com.