Adatkezelési szabályzat

AGRO-LAZSU Kft.
székhely: 4132 Tépe, Fő utca 60.
telefon: +36/70-421-8001
e-mail: HYPERLINK „mailto:parizsiudvardeb@gmail.com” parizsiudvardeb@gmail.com
web:

ADATKEZELÉSI SZABÁLYZAT

Jelen Szabályzat a AGRO-LAZSU Kft. adatkezelési tevékenységének belső szabályait tartalmazza AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETÉNEK – (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) – való megfelelés céljából, de egyúttal az információs önrendelkezési jogról szóló HYPERLINK „http://njt.hu/cgi_bin/njt_doc.cgi? docid=139257.245254” 2011. évi CXII. törvény szabályainak is megfelelve.

A Szabályzat megállapítása és módosítása az ügyvezető hatáskörébe tartozik. Kiadva:

Debrecen, 2022. szeptember 28.

Deák László Ügyvezető

TARTALOMJEGYZÉK

I. FEJEZET – ÁLTALÁNOS RENDELKEZÉSEK

1. Bevezetés
2. A Szabályzat célja
3. A Szabályzat irányelvei 4. A Szabályzat hatálya
5. Fogalommeghatározások

II. FEJEZET – AZ ADATKEZELÉS JOGSZERŰSÉGÉNEK BIZTOSÍTÁSA AZ ÉRINTETT HOZZÁJÁRULÁSA ALAPJÁN

6. Adatkezelés az érintett hozzájárulása alapján

III. FEJEZET – MUNKAVISZONNYAL KAPCSOLATOS ADATKEZELÉSEK

7. Munkaügyi, személyzeti nyilvántartás
8. Alkalmassági vizsgálatokkal kapcsolatos adatkezelés
9. Felvételre jelentkező munkavállalók adatainak kezelése, pályázatok, önéletrajzok
10. E-mail fiók használatának ellenőrzésével kapcsolatos adatkezelés
11. Számítógép, laptop, tablet ellenőrzésével kapcsolatos adatkezelés
12. A munkahelyi internethasználat ellenőrzésével kapcsolatos adatkezelés
13. Céges mobiltelefon használatának ellenőrzésével kapcsolatos adatkezelés IV. FEJEZET – SZERZŐDÉSHEZ KAPCSOLÓDÓ ADATKEZELÉSEK
14. Szerződött és egyéb üzleti partnerek adatainak kezelése – vevők, szállítók és egyéb partnerek nyilvántartása
15. Jogi személy ügyfelek, vevők, szállítók természetes személy képviselőinek elérhetőségi adatai
16. Az ügyfélszolgálat telefonos hangfelvétel készítése
17. Látogatói adatkezelés a Társaság honlapján – Tájékoztatás sütik (cookie) alkalmazásáról
18. Regisztráció a Társaság honlapján
19. Hírlevél szolgáltatáshoz kapcsolódó adatkezelés
20. Ajándéksorsolás szervezésével kapcsolatos adatkezelés
21. Direkt marketing célú adatkezelés
V. FEJEZET – JOGI KÖTELEZETTSÉGEN ALAPULÓ ADATKEZELÉSEK
22. Adatkezelés adó- és számviteli kötelezettségek teljesítése céljából
23. Kifizetői adatkezelés
24. A Levéltári törvény szerint maradandó értékű iratokra vonatkozó adatkezelés 25. Adatkezelés pénzmosás elleni kötelezettségek teljesítése céljából
VI. FEJEZET – ADATBIZONSÁGI INTÉZKEDÉSEK
26. Adatbiztonsági intézkedések
VII. FEJEZET – A TÁRSASÁG ADATFELDOLGOZÓ TEVÉKENYSÉGE
27. Adatfeldolgozó tevékenységek
28. Adatfeldolgozói garancianyújtás

29. A megbízó (adatkezelő) kötelezettségei és jogai
30. Társaságunk, mint adatfeldolgozó kötelezettségei és jogai
VIII. FEJEZET – ADATVÉDELMI INCIDENSEK KEZELÉSE
31. Az adatvédelmi incidens fogalma
32. Adatvédelmi incidensek kezelés, orvoslása
33. Adatvédelmi incidensek nyilvántartása
IX. FEJEZET – AZ ÉRINTETT SZEMÉLY JOGAI
34. Összefoglaló tájékoztatás az érintett jogairól
35. Részletes tájékoztatás az érintett jogairól
X. FEJEZET – AZ ÉRINTETT KÉRELMÉNEK ELŐTERJESZTÉSE, AZ ADATKEZELŐ INTÉZKEDÉSEI
36. Intézkedések az érintett kérelme alapján
XI. FEJEZET – AZ ADATVÉDELMI TISZTVISELŐ
37. Az adatvédelmi tisztviselő jogállása, feladatai
38. Az adatvédelmi tisztviselő kijelölése, adatvédelmi felelős
XII. FEJEZET – NYILVÁNTARTÁSI RENDSZER
39. Az adatkezelési tevékenységek nyilvántartása
XIII. FEJEZET – ZÁRÓ RENDELKEZÉSEK
40. A Szabályzat megállapítása és módosítása
41. Intézkedések a szabályzat megismertetése

MELLÉKLETEK

1. melléklet Adatkérő lap személyes adatok hozzájáruláson alapuló kezeléséhez

3. melléklet Tájékoztató munkavállaló részére alkalmassági vizsgálatáról

page4image4664496 page4image4662624

2. melléklet

Adatkezelési tájékoztató az érintett természetes személy jogairól személyes adatai kezelése vonatkozásában

page4image4667200 page4image4667616

1. Bevezetés

I. FEJEZET ÁLTALÁNOS RENDELKEZÉSEK

A Társaság kinyilvánítja, hogy adatkezelési tevékenységét – a megfelelő belső szabályok, technikai és szervezési intézkedések meghozatalával – úgy végzi, hogy az minden körülmények között feleljen meg AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETÉNEK – (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet, a továbbiakban: Rendelet) – továbbá az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) rendelkezéseinek.

2. A Szabályzat célja

2.1. A Szabályzat célja azon belső szabályok megállapítása és intézkedések megalapozása, amelyek biztosítják, hogy a Társaság adatkezelő tevékenysége megfeleljen a Rendelet, és az Info tv. rendelkezéseinek.

2.2. A Szabályzat célja továbbá, hogy a Rendeletnek, és az abban megfogalmazott, a személyes adatok kezelésére vonatkozó elveknek (5. cikk) való megfelelés Társaság kapcsolataiban is érvényre jusson, a Társaság a vele kapcsolatot létesítő természetes személyek adatainak átadása során is már a Rendelet szerint járjon el, s mindez megfelelően igazolt és alátámasztott legyen.

3. A Szabályzat irányelvei

3.1. A személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni.

3.2. A személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet.

3.3. A személyes adatok kezelésének célja megfelelő és releváns legyen, és csak a szükséges mértékű lehet.

3.4. A személyes adatoknak pontosnak és naprakésznek kell lenniük. A pontatlan személyes adatokat haladéktalanul törölni kell.

3.5. A személyes adatok tárolásának olyan formában kell történnie, hogy az érintettek azonosítását csak szükséges ideig tegye lehetővé. A személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, ha a tárolás közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történik.

3.6. A személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.

3.7. Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell.

3.8. A szervezet adatkezelést végző alkalmazottja fegyelmi, kártérítési, szabálysértési és büntetőjogi felelősséggel tartozik a személyes adatok jogszerű kezeléséért. Amennyiben az érintett tudomást szerez arról, hogy az általa kezelt személyes adat hibás, hiányos, vagy időszerűtlen, köteles azt helyesbíteni, vagy helyesbítését az adat rögzítéséért felelős munkatársnál kezdeményezni.

3.9. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési és/vagy rendszeres felülvizsgálati határidőket állapít meg. A szervezet vezetője által megállapított általános rendszeres felülvizsgálati határidő az adatvédelmi rendszer egésze tekintetében: 1 év.

3.10. A Társaság nem gyűjt és nem kezel természetes személyek faji, vagy etnikai származására, politikai véleményére, vallási meggyőződésére, szexuális életére, vagy irányultságára irányuló, ill. a munkavégzési képességgel összefüggő adatokon túl egészségügyi állapotára vonatkozó adatokat.

4. A Szabályzat hatálya

4.1. E Szabályzat hatálya természetes személyre vonatkozó személyes adatoknak a Társaság általi kezelésére terjed ki.

4.2. Egyéni vállalkozó, egyéni cég, egyéni ügyvéd, őstermelő ügyfeleket, partnereket, vevőket, szállítókat e szabályzat alkalmazásában természetes személynek kell tekinteni a vállalkozásuk adatait (elnevezés, székhely, a vállalkozás adószáma, statisztikai száma, bankszámlaszáma, vállalkozói igazolvány, vagy más hasonló, a vállalkozás nyilvántartását, azonosítását segítő igazolvány száma, székhely, telephely címe) meghaladó adatok tekintetében.

4.3. A Szabályzat hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre vonatkozik, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat. (GDPR (14))

5. Fogalommeghatározások

E Szabályzat alkalmazásában irányadó fogalommeghatározásokat a Rendelet 4. cikke tartalmazza. Ennek megfelelően emeljük ki a főbb fogalmakat:

5.1. „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

5.2. „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;

5.3. „az adatkezelés korlátozása”: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;

5.4. „profilalkotás”: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják;

5.5. „álnevesítés”: a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni;

5.6. „nyilvántartási rendszer”: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;

5.7. „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az

adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

5.8. „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel;

5.9. „címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;

5.10. „harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;

5.11. „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;

5.12. „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

II. FEJEZET
AZ ADATKEZELÉS JOGSZERŰSÉGÉNEK BIZTOSÍTÁSA AZ ÉRINTETT HOZZÁJÁRULÁSA ALAPJÁN

6. Adatkezelés az érintett hozzájárulása alapján

6.1. A hozzájáruláson alapuló adatkezelés esetén az érintett hozzájárulását személyes adatai kezeléséhez az 1. számú melléklet szerinti adatkérő lapon kell kérni.

6.2. Hozzájárulásnak minősül az is, ha az érintett a Társaság internetes honlapjának megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre

page8image4672976

vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak.

6.3. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell kérni és meg kell adni.

6.4. Ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik – pl. értékesítési, szolgáltatási szerződés megkötése – a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti a Rendeletet, kötelező erővel nem bír.

6.5. A Társaság nem kötheti szerződés megkötését, teljesítését olyan személyes adatok kezeléséhez való hozzájárulás megadásához, amelyek nem szükségesek a szerződés teljesítéséhez, illetve a nem vagy nem szerződésszerű teljesítésből eredő jogok gyakorlásához.

6.6. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását. Ezen visszavonás nem érinti a visszavonást megelőző adatkezelés jogszerűségét, illetve visszavonás ellenére fennmaradó, a Rendeletben foglalt adatkezelési lehetőséget.

6.7. Ha a személyes adat felvételére az érintett hozzájárulásával került sor, az adatkezelő a felvett adatokat törvény eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti.

6.8. A Társaság a 2. számú melléklet szerinti általános adatkezelési tájékoztatóját a honlapján elérhetővé teszi az érintettek számára, ill. az ügyfélforgalom számára kialakított nyilvános helyiségében kifüggeszti. E tájékoztató célja, hogy az érintetteket e nyilvánosan is elérhető formában az adatkezelés megkezdése előtt és annak folyamán is egyértelműen tájékoztassa az adataik kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, arról, ha az érintett személyes adatait az adatkezelő az Info tv. 6. § (5) bekezdése alapján kezeli, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatás kiterjed az

page9image4433248

érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is. Ezen adatkezelési tájékoztatót a legfontosabb adatkezelési lépések mindegyikénél külön linkkel jelölve megismerhetővé kell tenni (például egy regisztráció esetében a regisztráció előtt, a regisztráció folyamatánál stb.). E tájékoztató elérhetőségéről az érintetteket tájékoztatni kell – ez történhet olyan egyszerűsített tájékoztató útján is, amely az érintett legfontosabb jogai mellett tartalmazza a Tájékoztató és a jelen Szabályzat megismerési lehetőségeit is.

6.9. A jogi kötelezettség teljesítése jogcímén alapuló adatkezelés az érintett hozzájárulásától független, mivel az adatkezelést törvény határozta meg. Az érintettel az adatkezelés megkezdése előtt ez esetben közölni kell, hogy az adatkezelés kötelező, továbbá az érintettet az adatkezelés megkezdése előtt egyértelműen és részletesen tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, arról, ha az érintett személyes adatait az adatkezelő a rá vonatkozó jogi kötelezettség alapján kezeli, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is. Kötelező adatkezelés esetén a tájékoztatás megtörténhet az előbbi információkat tartalmazó jogszabályi rendelkezésekre való utalás nyilvánosságra hozatalával is.

III. FEJEZET MUNKAVISZONNYAL KAPCSOLATOS ADATKEZELÉSEK

7. Munkaügyi, személyzeti nyilvántartás

7.1. A munkavállalóktól kizárólag olyan adatok kérhetők és tarthatók nyilván, valamint olyan munkaköri orvosi alkalmassági vizsgálatok végezhetők, amelyek munkaviszony létesítéséhez, fenntartásához és megszüntetéséhez, illetve a szociális-jóléti juttatások biztosításához szükségesek és a munkavállaló személyhez fűződő jogait nem sértik.

7.2. A Társaság munkáltatói jogos érdekeinek érvényesítése, jogcímén munkaviszony létesítése, teljesítése vagy megszűnése céljából, továbbá jogszabályi előírások teljesítéseként a munkavállalót érintő egyes adózási-, és társadalombiztosítási, nyugdíjbiztosítási jogviszonyokban felmerülő kötelezettségek teljesítése céljából kezeli a munkavállaló alábbi adatait:

1. név
2. születési név,
3. születési ideje, 4. anyja neve,
5. lakcíme,
6. állampolgársága,

7. adóazonosító jele,
8. TAJ száma,
9. nyugdíjas törzsszám (nyugdíjas munkavállaló esetén),
10. telefonszám,
11. e-mail cím,
12. személyi igazolvány száma,
13. lakcímet igazoló hatósági igazolvány száma,
14. bankszámlaszáma (amennyiben a munkaviszonyból eredő juttatások bankszámlára történő utalással történnek),
15. online azonosító (ha van)
16. munkába lépésének kezdő és befejező időpontja,
17. munkakör,
18. iskolai végzettségét, szakképzettségét igazoló okmány másolata,
19. fénykép,
20. önéletrajz,
21. munkabérének összege, a bérfizetéssel, egyéb juttatásaival kapcsolatos adatok,
22. a munkavállaló munkabéréből jogerős határozat vagy jogszabály, illetve írásbeli hozzájárulása alapján levonandó tartozást, illetve ennek jogosultságát, 23. a munkavállaló munkájának értékelése,
24. a munkaviszony megszűnésének módja, indokai,
25. munkakörtől függően erkölcsi bizonyítványa
26. a munkaköri alkalmassági vizsgálatok összegzése,
27. magánnyugdíjpénztári és önkéntes kölcsönös biztosító pénztári tagság esetén a pénztár megnevezése, azonosító száma és a munkavállaló tagsági száma,
28. külföldi munkavállaló esetén útlevélszám; munkavállalási jogosultságot igazoló dokumentumának megnevezését kiállítóját és számát, érvényességi idejét;
29. munkavállalót ért balesetek jegyzőkönyveiben rögzített adatokat;
30. a jóléti szolgáltatás, kereskedelmi szálláshely igénybe vételéhez szükséges adatokat;
31. a Társaságnál biztonsági és vagyonvédelmi célból alkalmazott kamera és beléptető rendszer, illetve a helymeghatározó rendszerek által rögzített adatokat.

7.3. Betegségre és szakszervezeti tagságára vonatkozó adatokat a munkáltató csak a Munka Törvénykönyvben meghatározott jog, vagy kötelezettség teljesítése céljából kezel.

7.4. A személyes adatok címzettjei: a munkáltató vezetője, munkáltatói jogkör gyakorlója, a Társaság munkaügyi feladatokat ellátó munkavállalói és adatfeldolgozói, továbbá hatósági és bírósági eljárások esetén az eljáró bíróságok hatóságok, amennyiben erre felhívó végzést kap a Társaság.

7.5. A Társaság tulajdonosai részére csak a vezető állású munkavállalók

személyes adatai továbbíthatók.

7.6. A személyes adatok tárolásának időtartama: a munkaviszony megszűnését követő 3 év, adózást érintő körben a megszűnés éve és azt követő 7 év, míg a nyugdíjbiztosítással összefüggő adatkezelést években meghatározott időhatár nélkül a munkavállaló haláláig végzi a munkáltató Társaság.

7.7. Az érintettel az adatkezelés megkezdése előtt közölni kell, hogy az adatkezelés jogszabályon, a Munka törvénykönyvén és a vonatkozó adó- és társadalombiztosítási jogszabályokon, valamint a munkáltató jogos érdekeinek érvényesítésén alapul.

7.8. A munkáltató a munkaszerződés megkötésével egyidejűleg Tájékoztató átadásával tájékoztatja a munkavállalót személyes adatainak kezeléséről és személyhez fűződő jogokról.

8. Alkalmassági vizsgálatokkal kapcsolatos adatkezelés

8.1. A munkavállalóval szemben csak olyan alkalmassági vizsgálat alkalmazható, amelyet munkaviszonyra vonatkozó szabály ír elő, vagy amely munkaviszonyra vonatkozó szabályban meghatározott jog gyakorlása, kötelezettség teljesítése érdekében szükséges. A vizsgálat előtt részletesen tájékoztatni kell a munkavállalókat többek között arról, hogy az alkalmassági vizsgálat milyen készség, képesség felmérésére irányul, a vizsgálat milyen eszközzel, módszerrel történik. Amennyiben jogszabály írja elő a vizsgálat elvégzését, akkor tájékoztatni kell a munkavállalókat a jogszabály címéről és a pontos jogszabályhelyről is. E Tájékoztatáshoz kapcsolódó adatkezelési tájékoztató mintáját jelen szabályzat 3. számú melléklete tartalmazza.

8.2. A munkaalkalmasságra, felkészültségre irányuló tesztlapok a munkáltató mind a munkaviszony létesítése előtt, mind pedig a munkaviszony fennállása alatt kitöltetheti a munkavállalókkal.

8.3. Az egyértelműen munkaviszonnyal kapcsolatos, a munkafolyamatok hatékonyabb ellátása, megszervezése érdekében csak akkor tölthető ki a munkavállalók nagyobb csoportjával pszichológiai, vagy személyiségjegyek kutatására alkalmas tesztlap, ha az elemzés során felszínre került adatok nem köthetők az egyes konkrét munkavállalókhoz, vagyis anonim módon történik az adatok feldolgozása.

8.4. A kezelhető személyes adatok köre: a munkaköri alkalmasság ténye, és az ehhez szükséges feltételek.

8.5. Az adatkezelés jogalapja: a munkáltató jogos érdeke.

page12image4664912

8.6. A személyes adatok kezelésének célja: munkaviszony létesítése, fenntartása, munkakör betöltése.

8.7. A személyes adatok címzettjei, illetve a címzettek kategóriái: A vizsgálat eredményt a vizsgált munkavállalók, illetve a vizsgálatot végző szakember ismerhetik meg. A munkáltató csak azt az információt kaphatja meg, hogy a vizsgált személy a munkára alkalmas-e vagy sem, illetve milyen feltételek biztosítandók ehhez. A vizsgálat részleteit, illetve annak teljes dokumentációját azonban a munkáltató nem ismerheti meg.

8.8. A személyes adatok kezelésének időtartama: a munkaviszony megszűnését követő 3 év. illetve amennyiben a munkavállaló és a Társaság között jogvita van folyamatban, ezen jogvita jogerős lezárultának, illetve a jogerős határozat végrehajthatóságának elévülési idejéig.

9. Felvételre jelentkező munkavállalók adatainak kezelése, pályázatok, önéletrajzok

9.1. A kezelhető személyes adatok köre: a természetes személy neve, születési ideje, helye, anyja neve, lakcím, képesítéssel, iskolai végzettséggel, szakmai gyakorlattal kapcsolatos adatok, fénykép, telefonszám, e-mail cím, a jelentkezőről készített munkáltatói feljegyzés (ha van).

9.2. A személyes adatok kezelésének célja: jelentkezés, pályázat elbírálása, a kiválasztottal munkaszerződés kötése. Az érintettet tájékoztatni kell arról, ha a munkáltató nem őt választotta az adott állásra.

9.3. Az adatkezelés jogalapja: az érintett hozzájárulása.

9.4. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaságnál munkáltatói jogok gyakorlására jogosult vezető, munkaügyi feladatokat ellátó munkavállalók.

9.5. A személyes adatok tárolásának időtartama: A jelentkezés, pályázat elbírálásáig. A ki nem választott jelentkezők személyes adatait törölni kell. Törölni kell annak adatait is, aki jelentkezését, pályázatát visszavonta.

9.6. A munkáltató csak az érintett kifejezett, egyértelmű és önkéntes hozzájárulása alapján őrizheti meg a pályázatokat, feltéve, ha azok megőrzésére a jogszabályokkal összhangban álló adatkezelési célja elérése érdekében szükség van. Ilyennek tekintendő a munkáltatói érdek, ha az adott állás, vagy ahhoz igen hasonló betöltésének szükségessége várhatóan rövidesen ismét felmerül a munkáltatónál, illetve – munkaerő-kölcsönzés céljából meghirdetett állások, pályázatok esetén – partnereinél. Erről a munkáltató a pályázót tájékoztatni köteles az ezen indokkal kért adatkezelési hozzájárulás alkalmával, s

a hozzájárulás megadása esetén a továbbiakban a jelen Szabályzat II. fejezetében foglaltak szerint kell az adatkezelést végezni.

10. E-mail fiók használatának ellenőrzésével kapcsolatos adatkezelés

10.1. Ha a Társaság e-mail fiókot bocsát a munkavállaló rendelkezésére – ezen e-mail címet és fiókot a munkavállaló kizárólag munkaköri feladatai céljára használhatja, annak érdekében, hogy a munkavállalók ezen keresztül tartsák egymással a kapcsolatot, vagy a munkáltató képviseletében levelezzenek az ügyfelekkel, más személyekkel, szervezetekkel.

10.2. A munkavállaló az e-mail fiókot személyes célra nem használhatja, a fiókban személyes leveleket nem tárolhat, amennyiben ilyet mégis kapna azt haladéktalanul törölni köteles, azonban ellőtte azt továbbíthatja saját e- mailfiókjába, ugyanakkor a küldőt köteles felhívni, hogy ezen e-mail címen munkavállaló nem fogad személyes leveleket.

10.3. A munkáltató jogosult az e-mail fiók teljes tartalmát és használatát rendszeresen – hetente – ellenőrizni, ennek során az adatkezelés jogalapja a munkáltató jogos érdeke. Az ellenőrzés célja az e-mail fiók használatára vonatkozó munkáltatói rendelkezés betartásának ellenőrzése, továbbá a munkavállalói kötelezettségek (Mt. 8.§, 52. §) ellenőrzése.

10.4. Az ellenőrzésre a munkáltató vezetője, vagy a munkáltatói jogok gyakorlója jogosult.

10.5. Amennyiben az ellenőrzés körülményei nem zárják ki ennek lehetőségét, biztosítani kell, hogy a munkavállaló jelen lehessen az ellenőrzés során.

10.6. Az ellenőrzés előtt tájékoztatni kell a munkavállalót arról, hogy milyen munkáltatói érdek miatt kerül sor az ellenőrzésre, munkáltató részéről ki végezheti az ellenőrzést, – milyen szabályok szerint kerülhet sor ellenőrzésre (fokozatosság elvének betartása) és mi az eljárás menete, – milyen jogai és jogorvoslati lehetőségei vannak a az e-mail fiók ellenőrzésével együtt járó adatkezeléssel kapcsolatban.

10.7. Az ellenőrzés során a fokozatosság elvét kell alkalmazni, így elsődlegesen az e-mail címéből és tárgyából kell megállapítani, hogy az a munkavállaló munkaköri feladatával kapcsolatos, és nem személyes célú. Nem személyes célú e-mailek tartalmát a munkáltató korlátozás nélkül vizsgálhatja.

10.8. Ha jelen szabályzat rendelkezéseivel ellentétben az állapítható meg, hogy a munkavállaló az e-mail fiókot személyes célra használta, avagy a 10.2 pont

rendelkezéseit egyéb módon megsértette, fel kell szólítani a munkavállalót, hogy a személyes adatokat haladéktalanul törölje, illetve a szabályzat betartására. A munkavállaló távolléte, vagy együttműködésének hiánya esetén a személyes adatokat az ellenőrzéskor a munkáltató törli. Az e-mail fiók jelen szabályzattal ellentétes használata miatt a munkáltató a munkavállalóval szemben munkajogi jogkövetkezményeket alkalmazhat.

10.9. A munkavállaló az e-mail fiók ellenőrzésével együtt járó adatkezeléssel kapcsolatban e szabályzatnak az érintett jogairól szóló fejezetében írt jogokkal élhet.

11. Számítógép, laptop, tablet ellenőrzésével kapcsolatos adatkezelés

11.1. A Társaság által a munkavállaló részére munkavégzés céljára rendelkezésre bocsátott számítógépet, laptopot, tabletet a munkavállaló kizárólag munkaköri feladata ellátására használhatja, ezek magáncélú használatát a Társaság megtiltja, ezen eszközökön a munkavállaló semmilyen személyes adatot, levelezését (a 10.2. pont megfelelő alkalmazásával) nem kezelheti, és nem tárolhatja. A munkáltató ezen eszközökön tárolt adatokat rendszeresen – hetente – ellenőrizheti. Ezen eszközök munkáltató általi ellenőrzésére és jogkövetkezményire egyebekben az előbbi 10. pont rendelkezései irányadók.

12. A munkahelyi internethasználat ellenőrzésével kapcsolatos adatkezelés

12.1. A munkavállaló csak a munkaköri feladatával kapcsolatos honlapokat tekintheti meg, a személyes célú munkahelyi internethasználatot a munkáltató megtiltja.

12.2. A munkaköri feladatként a Társaság nevében elvégzett internetes regisztrációk jogosultja a Társaság, a regisztráció során a társaságra utaló azonosítót, jelszót kell alkalmazni. Amennyiben a személyes adatok megadása is szükséges a regisztrációhoz, a munkaviszony megszűnésekor azok törlését köteles kezdeményezni a Társaság.

12.3. A munkavállaló munkahelyi internethasználát a munkáltató ellenőrizheti, amelyre és jogkövetkezményire a 10. pont rendelkezései irányadók.

13. Céges mobiltelefon használatának ellenőrzésével kapcsolatos adatkezelés

13.1. A munkáltató nem engedélyezi a céges mobiltelefon magáncélú használatát (kivéve a bejövő hívásokat és üzeneteket, mely utóbbi üzeneteket

munkavállaló azok elolvasását követően törölni köteles, azokat nem továbbíthatja), a mobiltelefon csak munkavégzéssel összefüggő célokra használható, és a munkáltató valamennyi kimenő hívás hívószámát és adatait, továbbá a mobiltelefonon tárolt adatokat ellenőrizheti.

13.2. A munkavállaló köteles bejelenteni a munkáltatónak, ha a céges mobiltelefont magáncélra használta. Ez esetben az ellenőrzés akként folytatható le, hogy a munkáltató hívásrészletezőt kér a telefonszolgáltatótól és felhívja a munkavállalót arra, hogy a dokumentumon a magáncélú hívások esetében a hívott számokat tegye

felismerhetetlenné. A munkáltató előírhatja, hogy a magáncélú hívások költségeit a munkavállaló viselje, munkabérből történő levonás útján.

13.3. Egyebekben az ellenőrzésre és jogkövetkezményire a 10. pont rendelkezései irányadók.

IV. FEJEZET
SZERZŐDÉS JOGVISZONYOKHOZ KAPCSOLÓDÓ ADATKEZELÉSEK

14. § Szerződött és egyéb üzleti partnerek adatainak kezelése – vevők, szállítók és egyéb partnerek nyilvántartása

14.1. A Társaság szerződés teljesítése jogcímén a szerződés megkötése, teljesítése, megszűnése, szerződési kedvezmény nyújtása, egyes határidők betartása céljából kezeli a vele vevőként, szállítóként szerződött természetes személy nevét, születési nevét, születési idejét, anyja nevét, lakcímét, adóazonosító jelét, adószámát, vállalkozói, őstermelői igazolvány számát, személyi igazolvány számát, lakcímét, székhely, telephely címét, telefonszámát, e-mail címét, honlap-címét, bankszámlaszámát, vevőszámát (ügyfélszámát, rendelésszámát), online azonosítóját (vevők, szállítók listája, törzsvásárlói listák), valamint a szolgáltatás ellátása érdekében szükségesen tudomására jutott egészségügyi adatait (így különösen, de nem kizárólag meglévő betegségeivel kapcsolatos információk, gyógyszerérzékenység, gyógyszerszedési szokások esetleges várandósság, szoptatás stb.). Ezen adatkezelés jogszerűnek minősül akkor is, ha az adatkezelés a szerződés megkötését megelőzően az érintettel folytatott kommunikáció alapján megkötendő szerződés létrehozása, a tervezett szerződés megvalósítása érdekében célszerű lépések megtételéhez szükséges.

Erre tekintettel ilyen esetekben az érintett hozzájáruló nyilatkozata az adatkezeléshez nem szükséges, azonban a szerződéskötés meghiúsulása esetén az ilyen jogi alapon kezelt személyes adatokat haladéktalanul törölni kell. A személyes adatok címzettjei: a Társaság ügyfélkiszolgálással kapcsolatos feladatokat ellátó munkavállalói, könyvelési, adózási feladatokat ellátó munkavállalói, és adatfeldolgozói. A személyes adatok tárolásának időtartama a vonatkozó számviteli és adóügyek elévülési idejére tekintettel: a szerződés megszűnését követő év + 7 év. illetve amennyiben a partner és a Társaság között jogvita van folyamatban, ezen jogvita jogerős lezárultának, illetve a jogerős határozat végrehajthatóságának elévülési ideje.

14.2. Az ezt igénylők részére Ajánlatadás, a Társaság tevékenységéről történő tájékoztatás céljából is sor kerülhet a Társaság részéről személyes adatok kezelésére, ilyen esetben azonban erre az előző bekezdésben foglaltakhoz képest korlátozott körben kerülhet sor: a természetes személy nevét, lakcímét, vállalkozói, őstermelői igazolvány számát, adószámát, személyi igazolvány számát, lakcímét, székhely, telephely címét, telefonszámát, e-mail címét kezeli a Társaság. Az érintett természetes személytől erre az adatkezelésre hozzájáruló nyilatkozatot kell kérni, ennek hiányában az adatkezelésre nem kerülhet sor. A hozzájáruló nyilatkozat kérésével egyidejűleg tájékoztatni kell az érintett természetes személyt a Társaság adatkezelési tevékenységének legfontosabb jellemzőiről, szabályairól, különösen a személyes adatok törlésének lehetőségéről, az ezzel összefüggő szabályokról. A hozzájáruló nyilatkozat megkérésével együtt a Társaság köteles azt is közölni az érintettel, hogy a hozzájárulás kérése egyszeri ajánlatadás, vagy a Társaság tevékenységéről való tájékoztatás céljából történik-e. Az utóbbi esetben annak rögzítése is szükséges, hogy egyszeri, vagy rendszeres tájékoztatáshoz kéri a társaság a hozzájárulást, s ez utóbbi esetben a partner részére lehetőséget kell biztosítani a hozzájáruló megtételével együtt arra is, hogy nyilatkozatában meghatározhassa a tájékoztatás küldési lehetőség időtartamát. Egyszeri ajánlatadás, vagy egyszeri tájékoztatás esetén az érintett természetes személy adatait a Társaság 30 napon belül törli, rendszeres tájékoztatáshoz való hozzájárulás esetén e 30 napos törlési határidő pedig azon időponttól, vagy eseménytől számított 30. nap, amely napon az érintett természetes személy hozzájáruló nyilatkozata szerint megszűnik a tájékoztatási lehetőség, vagy amely napon a természetes személy az adatai kezeléséhez való hozzájárulását visszavonta, vagy kifejezetten kérte adatai törlését. Ha a tájékoztatás az érintett természetes személy adott státusához, tevékenységéhez kötődik, a hozzájárulást visszavontnak tekinti a Társaság azon a napon, amely napon tudomására jut, hogy az adott természetes személy e tevékenységét befejezte, adott, érintett státusa megszűnt.

14.3. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfél kapcsolatokkal összefüggő feladatokat ellátó munkavállalói.

15. Jogi személy ügyfelek, vevők, szállítók természetes személy

képviselőinek elérhetőségi adatai

15.1. A kezelhető személyes adatok köre: a természetes személy neve, címe, telefonszáma, e-mail címe, online azonosítója.

15.2. A személyes adatok kezelésének célja: a Társaság jogi személy partnerével kötött szerződés teljesítése, üzleti kapcsolattartás, jogalapját a partnerrel kötött szerződés teremti meg. Az érintett képviselő személyes adatainak kezelője elsődlegesen az általa képviselt, a Társaság részére az adatot megadó üzleti partner – a Társaság vélelmezi, hogy a partner által megadott személyes adat közlése adatvédelmi szempontból is jogszerű volt, ezért az érintett külön hozzájáruló nyilatkozatára nincs szükség. A nyilvános cégiratokban, egyéb más hasonló nyilvános adatbázisban megjelölt képviselő esetében a partner adatközlése hiányában, önmagában az adatbázis nyilvánossága megalapozza az abban szereplő személyes adatok tekintetében a jogszerű adatkezelés vélelmét.

15.3. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfél kapcsolatokkal összefüggő feladatokat ellátó munkavállalói.

15.4. A személyes adatok tárolásának időtartama: az üzleti kapcsolat, illetve az érintett képviselői minőségének megszűnésével érintett év vége és az azt követő 7 év, illetve amennyiben az érintett és a Társaság között jogvita van folyamatban, ezen jogvita jogerős lezárulta, illetve a jogerős határozat végrehajthatóságának elévülési ideje.

16. Az ügyfélszolgálat telefonos hangfelvétel készítése

16.1. A Társaság az ügyfélszolgálatával történő telefonos kommunikációt az értékesítések, szolgáltatások teljesítése, illetve az arról való tájékoztatás céljából hangfelvétellel rögzítheti. Ezen adatkezelés jogalapja az érintett hozzájárulása.

16.2. A hangfelvétel készítéséről a hívás elején tájékoztatni kell, és hozzájárulását kell kérni.

16.3. A telefonbeszélgetések rögzítésénél az alábbi adatokat tároljuk: telefonszám, a hívás időpontja, a rögzített beszélgetés hangfelvétele, a beszélgetés során megadott személyes adatok.

16.4. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfélszolgálattal kapcsolatos feladatokat ellátó munkavállalói.

16.5. A telefonbeszélgetéseket 5 évig őrizzük, illetve amennyiben az érintett és a Társaság között jogvita van folyamatban, ezen jogvita jogerős lezárultának,

illetve a jogerős határozat végrehajthatóságának elévülési idejéig. A rögzített hanganyagok telefonszám és a beszélgetés dátuma alapján visszakereshetők.

17. Látogatói adatkezelés a Társaság honlapján – Tájékoztatás sütik (cookie) alkalmazásáról

17.1. Mivel a természetes személyek összefüggésbe hozhatók az általuk használt készülékek, alkalmazások, eszközök és protokollok által rendelkezésre bocsátott online azonosítókkal, például IP-címekkel és cookie-azonosítókkal, ezért ezek az adatok egyéb információkkal összekapcsolva alkalmasak és felhasználhatók a természetes személyek profiljának létrehozására és az adott személy azonosítására.

17.2. A Sütik (cookie-k) rövid adatfájlok, melyeket a meglátogatott honlap helyez el a felhasználó számítógépén. A cookie célja, hogy az adott infokommunikációs, internetes szolgáltatást megkönnyítse, kényelmesebbé tegye. Számos fajtája létezik, de általában két nagy csoportba sorolhatóak. Az egyik az ideiglenes cookie, amelyet a honlap csak egy adott munkamenet során (pl.: egy internetes bankolás biztonsági azonosítása alatt) helyez el a felhasználó eszközén, a másik fajtája az állandó cookie (pl.: egy honlap nyelvi beállítása), amely addig a számítógépen marad, amíg a felhasználó le nem törli azt. Az Európai Bizottság irányelvei alapján cookie-kat [kivéve, ha azok az adott szolgáltatás használatához elengedhetetlenül szükségesek] csak a felhasználó engedélyével lehet a felhasználó eszközén elhelyezni.

17.3. A felhasználó hozzájárulását nem igénylő sütik esetében a honlap első látogatása során kell tájékoztatást nyújtani. Nem szükséges, hogy a sütikre vonatkozó tájékoztató teljes szövege megjelenjen a honlapon, elegendő, ha a honlap üzemeltetői röviden összefoglalják a tájékoztatás lényegét, és egy linken keresztül utalnak a teljes körű tájékoztató elérhetőségére.

17.4. A hozzájárulást igénylő sütik esetében a tájékoztatás kapcsolódhat a honlap első látogatásához is abban az esetben, ha a sütik alkalmazásával együtt járó adatkezelés már az oldal felkeresésével megkezdődik. Amennyiben a süti alkalmazására a felhasználó által kifejezetten kért funkció igénybevételéhez kapcsolódik, akkor a tájékoztatás is megjelenhet e funkció igénybevételéhez kapcsolódóan. Ebben az esetben sem szükséges az, hogy a sütikre vonatkozó tájékoztató teljes szövege megjelenjen a honlapon, elegendő egy rövid összefoglaló a tájékoztatás lényegéről, és egy linken keresztül utalás a teljes körű tájékoztató elérhetőségére.

17.5. A honlapon a sütik alkalmazásáról a látogatót a 2. számú melléklet szerinti adatkezelési tájékoztatóban tájékoztatni kell. E tájékoztatóval a Társaság biztosítja, hogy a látogató a honlap információs társadalommal összefüggő szolgáltatásainak igénybevétele előtt és az igénybevétel során

page19image4427008 page19image4430128

bármikor megismerhesse, hogy a Társaság mely adatkezelési célokból mely adatfajtákat kezel, ideértve az igénybe vevővel közvetlenül kapcsolatba nem hozható adatok kezelését is.

18. Regisztráció a Társaság honlapján

18.1. A honlapon a regisztráló természetes személy az erre vonatkozó négyzet bejelölésével adhatja meg hozzájárulását személyes adatai kezeléséhez. Tilos a négyzet előre bejelölése.

18.2. A kezelhető személyes adatok köre: a természetes személy neve (vezetéknév, keresztnév), címe, telefonszáma, e-mail címe, online azonosító.

18.3. A személyes adatok kezelésének célja:
1. A honlapon nyújtott szolgáltatások teljesítése.
2. Kapcsolatfelvétel, elektronikus, telefonos, SMS, és postai megkereséssel.
3. Tájékoztatás a Társaság termékeiről, szolgáltatásairól, szerződési feltételeiről, akcióiról.
4. Reklám-küldemény a tájékoztatás során elektronikusan és postai úton küldhető.
5. A honlap használatának elemzése.

18.4. Az adatkezelés jogalapja az érintett hozzájárulása.

18.5. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfélszolgálattal, marketing tevékenységével kapcsolatos feladatokat ellátó munkavállalói, adatfeldolgozóként a Társaság IT szolgáltatója tárhelyszolgáltatást végző munkavállalói.

18.6. A személyes adatok tárolásának időtartama: a regisztráció / szolgáltatás fennállásáig, vagy az érintett hozzájárulása visszavonásáig (törlési kérelméig).

19. Hírlevél szolgáltatáshoz kapcsolódó adatkezelés

19.1. A honlapon a hírlevél szolgáltatásra regisztráló természetes személy az erre vonatkozó négyzet bejelölésével adhatja meg hozzájárulását személyes adatai kezeléséhez. Tilos a négyzet előre bejelölése. A feliratkozás során az Adatkezelési tájékoztatót (2. melléklet) egy linkkel elérhetővé kell tenni. A hírlevéről az érintett a hírlevél „Leiratkozás” alkalmazásának használatával írásban vagy e-mailben tett nyilatkozattal bármikor leiratkozhat, amely a hozzájárulás visszavonását jelenti. Ilyen esetben a leiratkozó minden adatát haladéktalanul törölni kell.

19.2. A kezelhető személyes adatok köre: a természetes személy neve (vezetéknév, keresztnév), e-mail címe.

19.3. A személyes adatok kezelésének célja:
1. Hírlevél küldése a Társaság termékei, szolgáltatásai tárgyában 2. Reklámanyag küldése

19.4. Az adatkezelés jogalapja: az érintett hozzájárulása.

19.5. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfélszolgálattal, marketing tevékenységével kapcsolatos feladatokat ellátó munkavállalói, adatfeldolgozóként a Társaság IT szolgáltatója munkavállalói a tárhelyszolgáltatás teljesítése céljából.

19.6. A személyes adatok tárolásának időtartama: a hírlevél-szolgáltatás fennállásáig, vagy az érintett hozzájárulása visszavonásáig (törlési kérelméig).

20. Ajándéksorsolás szervezésével kapcsolatos adatkezelés

20.1. Ha a társaság ajándéksorsolást (1991. évi XXXIV. törvény 23.§) szervez, hozzájárulása alapján kezelheti az érintett természetes személy nevét, címét, telefonszámát, e-mail címét, online azonosítóját. A játékban való részvétel önkéntes. Az adatkezelési hozzájárulás a jelen szabályzat 1. számú melléklete szerinti adatkérő lap szerinti tartalommal kérhető.

20.2. A személyes adatok kezelésének célja: nyereményjáték nyertesének megállapítása, értesítése, a nyeremény megküldése. Az adatkezelés jogalapja: az érintett hozzájárulása.

20.3. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfélszolgálattal kapcsolatos feladatokat ellátó munkavállalói, adatfeldolgozóként a Társaság IT szolgáltatója szerverszolgáltatást végzőmunkavállalói, futárszolgálat munkavállalói.

20.4. A személyes adatok tárolásának időtartama: az ajándéksorolás végelszámolásáig, illetve amennyiben az érintett és a Társaság között jogvita van folyamatban, ezen jogvita jogerős lezárultának, illetve a jogerős határozat végrehajthatóságának elévülési idejéig.

21. Direkt marketing célú adatkezelés

21.1. Ha külön törvény eltérően nem rendelkezik, reklám természetes személynek, mint reklám címzettjének közvetlen megkeresése módszerével (közvetlen üzletszerzés), így különösen elektronikus levelezés vagy azzal egyenértékű más egyéni kommunikációs eszköz útján – a 2008. évi XLVIII. törvényben meghatározott kivétellel – kizárólag akkor közölhető, ha ahhoz a

reklám címzettje előzetesen egyértelműen és kifejezetten hozzájárult.

21.2. A Társaság által reklám-címzetti megkeresés céljára kezelhető személyes adatok köre: a természetes személy neve, címe, telefonszáma, e-mail címe, online azonosító.

21.3. A személyes adatok kezelésének célja a Társaság tevékenységéhez kapcsolódó direkt marketing tevékenység folytatása, azaz reklámkiadványok, hírlevelek, aktuális ajánlatok nyomtatott (postai) vagy elektronikus formában (e- mail) történő rendszeres vagy időszakonkénti megküldése a regisztrációkor megadott elérhetőségekre.

21.4. Az adatkezelés jogalapja: az érintett hozzájárulása.

21.5. A személyes adatok címzettjei, illetve a címzettek kategóriái: a Társaság ügyfélszolgálattal kapcsolatos feladatokat ellátó munkavállalói, adatfeldolgozóként a Társaság IT szolgáltatója szerverszolgáltatást végzőmunkavállalói, postai kézbesítés esetén a Posta munkavállalói.

21.6. A személyes adatok tárolásának időtartama: a hozzájárulás visszavonásáig, illetve amennyiben az érintett és a Társaság között jogvita van folyamatban, ezen jogvita jogerős lezárultának, illetve a jogerős határozat végrehajthatóságának elévülési idejéig.

21.7. A direkt marketing célú adatkezeléshez való hozzájárulásra a jelen szabályzat 1. melléklete szerinti adatkérő lap alkalmazható.

V. FEJEZET
JOGI KÖTELEZETTSÉGEN ALAPULÓ ADATKEZELÉSEK

22. Adatkezelés adó- és számviteli kötelezettségek teljesítése céljából

22.1. A Társaság jogi kötelezettség teljesítése jogcímén, törvényben előírt adó és számviteli kötelezettségek teljesítése (könyvelés, adózás) céljából kezeli a vevőként, szállítóként vele üzleti kapcsolatba lépő természetes személyek törvényben meghatározott adatait. A kezelt adatok az általános forgalmi adóról szóló 2017. évi CXXVII. tv. 169.§, és 202.§-a alapján különösen: adószám, név, cím, adózási státusz, a számvitelről szóló 2000. évi C. törvény 167.§-a alapján: név, cím, a gazdasági műveletet elrendelő személy vagy szervezet megjelölése, az utalványozó és a rendelkezés végrehajtását igazoló személy, valamint a szervezettől függően az ellenőr aláírása; a készletmozgások bizonylatain és a pénzkezelési bizonylatokon az átvevő, az ellennyugtákon a befizető aláírása, a személyi jövedelemadóról szóló 1995. évi CXVII. törvény alapján: vállalkozói igazolvány száma, őstermelői igazolvány száma, adóazonosító jel.

22.2. A személyes adatok tárolásának időtartama a jogalapot adó jogviszony

page22image4668864

megszűnését követő 8 év.

22.3. A személyes adatok címzettjei: a Társaság adózási, könyvviteli, bérszámfejtési, társadalombiztosítási feladatait ellátó munkavállalói és adatfeldolgozói.

23. Kifizetői adatkezelés

23.1. A Társaság jogi kötelezettség teljesítése jogcímén, törvényben előírt adó és járulékkötelezettségek teljesítése (adó-, adóelőleg, járulékok megállapítása, bérszámfejtés, társadalombiztosítási, nyugdíj ügyintézés) céljából kezeli azon érintettek – munkavállalók, családtagjaik, foglalkoztatottak, egyéb juttatásban részesülők – adótörvényekben előírt személyes adatait, akikkel kifizetői (2017. évi CL. törvény az adózás rendjéről (Art.) 7.§ 31.) kapcsolatban áll. A kezelt adatok körét az Art. 50.§-a határozza meg, külön is kiemelve ebből: a természetes személy természetes személyazonosító adatait (ideértve az előző nevet és a titulust is), nemét, állampolgárságát, a természetes személy adóazonosító jelét, társadalombiztosítási azonosító jelét (TAJ szám). Amennyiben az adótörvények ehhez jogkövetkezményt fűznek, a Társaság kezelheti a munkavállalók egészségügyi (Szja tv. 40.§) és szakszervezeti (Szja 47.§(2) b./) tagságra vonatkozó adatokat adó és járulékkötelezettségek teljésítés (bérszámfejtés, társadalombiztosítási ügyintézés) céljából.

23.2. A személyes adatok tárolásának időtartama a jogalapot adó jogviszony megszűnését követő 8 év.

23.3. A személyes adatok címzettjei: a Társaság adózási, bérszámfejtési, társadalombiztosítási (kifizetői) feladatait ellátó munkavállalói és adatfeldolgozói.

24. A Levéltári törvény szerint maradandó értékű iratokra vonatkozó adatkezelés

24.1. A Társaság jogi kötelezettsége teljesítése jogcímén kezeli a köziratokról, a közlevéltárakról és a magánlevéltári anyag védelméről szóló 1995. évi LXVI. törvény (Levéltári törvény) szerint maradandó értékűnek minősülő iratait abból a célból, hogy a Társaság irattári anyagának maradandó értékű része épségben és használható állapotban a jövő nemzedékei számára is fennmaradjon. Az adattárolás ideje: a közlevéltár részére történő átadásig.

24.2. A személyes adatok címzettjeire és az adatkezelés egyéb kérdéseire a Levéltári törvény irányadó.

25. Adatkezelés pénzmosás elleni kötelezettségek teljesítése céljából

25.1. A Társaság jogi kötelezettség teljesítése jogcímén, pénzmosás és terrorizmus-finanszírozása megelőzése és megakadályozása céljából kezeli ügyfelei, ezek képviselői, és a tényleges tulajdonosoknak a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvényben (Pmt.) meghatározott adatait: a) természetes személy a) családi és utónevét, b) születési családi és utónevét, c) állampolgárságát, d) születési helyét, idejét, e) anyja születési nevét, f) lakcímét, ennek hiányában tartózkodási helyét, g)azonosító okmányának típusát és számát; lakcímet igazoló hatósági igazolványa számát, a bemutatott okiratok másolatát. (7.§).

25.2. A személyes adatok címzettjei: a Társaság ügyfélkiszolgálással kapcsolatos feladatokat ellátó munkavállalói, a Társaság vezetője és a Társaság Pmt. szerinti kijelölt személye.

25.3. A személyes adatok tárolásának időtartama az üzleti kapcsolat megszűnésétől, illetve az ügyleti megbízás teljesítésétől számított 8 év. (Pmt. 56.§(2))

VI. FEJEZET

ADATBIZONSÁGI RENDELKEZÉSEK

26. Adatbiztonsági rendelkezések

Az adatvagyont – legyen az informatikai módszerrel, okirati vagy más formában tárolt adat – megfelelő intézkedésekkel és eljárási szabályokkal védeni kell a GDPR rendelet és az Info tv. rendelkezéseinek megfelelő módon különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés, továbbá az alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válás ellen.

A nyilvántartásokban elektronikusan kezelt adatállományok védelme érdekében megfelelő technikai megoldással biztosítani kell, hogy a nyilvántartásokban tárolt adatok közvetlenül ne legyenek összekapcsolhatók és az érintetthez rendelhetők.

A vállalkozás a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat

mértékének megfelelő szintű adatbiztonságot garantálja.

Több lehetséges adatkezelési megoldás közül azt kell választani, amely a személyes adatok magasabb szintű védelmét biztosítja, kivéve, ha az aránytalan nehézséget jelentene az adatkezelőnek.

26.1. Előzőek értelmében a vállalkozás köteles garantálni az általa kezelt adatok bizalmasságát, sérthetetlenségét és rendelkezésre állását. A Társaság a személyes adatokat bizalmas adatként minősíti és kezeli.

26.2. A megfelelő szintű adatbiztonsági intézkedések meghatározása érdekében a vállalkozás a kezelésében lévő minden egyes adatállományt a védelmi igény szempontjából értékel, és biztonsági fokozatba sorol. A személyes adatokhoz való hozzáférést a Vállalkozás jogosultsági szintek megadásával korlátozza.

26.3. Az egyes adatkezelések biztonsági fokozatának és a jogosultsági szintek megállapításához elemezni kell:

a) a kezelt személyes adatok jogosulatlan megismerésével, megváltoztatásával, törlésével, fizikai vagy más módon történő megsemmisítésével a hardver- és szoftvereszközök megrongálásával járó kockázatot és a várható kárt;

b) azt, hogy helyreállítható-e a sérült adatállomány, valamint az esetleges helyreállítás ráfordításait, a személyes adatok reprodukálásához szükséges adatforrások rendelkezésre állását, a manuális háttérnyilvántartásból az elveszített adatok pótlásának lehetőségét;

c) azt, hogy a kezelt személyes adatok jellegére tekintettel indokolt-e megkülönböztetett biztonsági előírásokat alkalmazni;
d) az adatbiztonságot veszélyeztető más kockázati elemeket;

26.4. Az adatkezelés biztonsága megvalósítása érdekében a vállalkozás fizikai, logikai és adminisztratív kontrollokat alkalmaz együttesen.

26.5. A vállalkozás legalább az alábbi fizikai kontrollokat alkalmazza:

a) a vállalkozás a jogosulatlan személyek belépésének kiszűrésére alkalmas beléptetési rendszer működtetésével biztosítja, hogy épületébe/irodájába jogosulatlan személyek ne léphessenek be [ez lehet elektronikus beléptetési rendszer működtetés; vagy egyszerű kulcsos beléptetés, ahol a kulcs csak belépésre jogosultaknak áll rendelkezésre; vagy bármi más, olyan módszer, amely a cél megvalósulását biztosítja]

b) a vállalkozás az általa mind elektronikusan, mind pedig papír alapon kezelt adatokhoz való jogosulatlan hozzáférés elkerülése érdekében biztosítja,

hogy a kezelt adatokhoz fizikailag ne férhessen hozzá arra jogosulatlan személy, illetve gondoskodik a személyes adatok védelme érdekében az elektronikus úton folytatott bejövő és kimenő kommunikáció ellenőrzéséről, biztosítja az adatok és az azokat hordozó eszközök, iratok megfelelő fizikai védelmét. [irodák, adattárolásra, adatokat tartalmazó okiratok tárolására használt szekrények, páncélszekrények, a vállalkozás által használt szerver szobák, az arra alkalmas adathordozók fizikai zárása és a nyitó kulcsoknak, engedélyeknek az arra jogosult, a vállalkozás által kijelölt személy(ek)nél történő elhelyezése; monitor fóliák alkalmazása; monitorok olyan módon történő elhelyezése, hogy az azon szereplő adatokra kizárólag a jogosultak láthassanak rá; csak a vállalkozás által auditált adathordozót lehessen a számítógépekhez csatlakoztatni; vagy bármi más, olyan módszer, amely a cél megvalósulását biztosítja].

26.6. A vállalkozás legalább az alábbi logikai és informatikai kontrollokat alkalmazza:

a) a vállalkozás biztosítja, hogy az általa kezelt adatokhoz kizárólag az arra megfelelő jogosultsággal rendelkezők férjenek hozzá [jogosultsági szintek meghatározása munkakörönként; számítógépes adatbázisokhoz való hozzáférés jogosultsági szinteknek megfelelő beállítása; a belső számítógépes hálózatba való belépés felhasználó névhez és jelszóhoz kötése; fizikai zárral ellátott védelem esetén a nyitó kulcsoknak a vállalkozás által kijelölt személy(ek)nél történő elhelyezése illetőleg a hozzáférés megfelelő védelemmel ellátott korlátozása vagy bármi más, olyan módszer, amely a cél megvalósulását biztosítja]

b) A vállalkozás az informatikai rendszereket tűzfallal védi, és vírusvédelemmel látja el, az adatokról biztonsági mentést készít, az adatkezelés pontosságának céljából.

26.7. A vállalkozás legalább az alábbi adminisztratív kontrollokat alkalmazza:

a) a vállalkozás biztosítja, hogy a személyes adatokhoz való esetleges hozzáférés dokumentációkban nyomon követhető legyen [tevékenység logolás; épületbe/irodába való beengedés naplózása (akár papír alapon); vagy bármi más, olyan módszer, amely a cél megvalósulását biztosítja]

b) a vállalkozás biztosítja olyan iratkezelési eljárásrend kialakítását, hogy a hozzá tévesen beérkező személyes adatokat tartalmazó iratok a lehető leghanarabb kiszűrésre kerüljenek és azoka a lehető legszűkebb személyi kör ismerje meg [amennyiben a postabontó úgy ítéli meg, hogy ilyen adatot tartalmazó irat birtokába jutott, úgy azt kizárólag erre vagy bármi más, olyan módszer, amely a cél megvalósulását biztosítja]

26.8. A Vállalkozás köteles garantálni az általa használt rendszerek folyamatos

bizalmas jellegét, integritását, rendelkezésre állását és ellenálló képességének fenntartását.

a) Folyamatos bizalmi jelleg, a rendszer integritásának megőrzése: A Vállalkozás az elektronikus adatfeldolgozást, nyilvántartást számítógépes program útján végzi, amely megfelel az adatbiztonság követelményeinek. A program biztosítja, hogy az adatokhoz csak célhoz kötötten, ellenőrzött körülmények között csak azon személyek férjenek hozzá, akiknek a feladataik ellátása érdekében erre szükségük van vagy akiket erre az Adatkezelő kijelölt.

A személyes adatok automatizált feldolgozása során – amennyiben ilyenre sor kerül – az Adatkezelő és az Adatfeldolgozó további intézkedésekkel biztosítja:
– a jogosulatlan adatbevitel megakadályozását;
– az automatikus adatfeldolgozó rendszerek jogosulatlan személyek általi, adatátviteli berendezés segítségével történő használatának megakadályozását; – annak ellenőrizhetőségét és megállapíthatóságát, hogy a személyes adatokat adatátviteli berendezés alkalmazásával mely szerveknek továbbították vagy továbbíthatják;

– annak ellenőrizhetőségét és megállapíthatóságát, hogy mely személyes adatokat, mikor és ki vitte be az automatikus adatfeldolgozó rendszerekbe;
– a telepített rendszerek üzemzavar esetén történő helyreállíthatóságát és
– azt, hogy az automatizált feldolgozás során fellépő hibákról jelentés készüljön. [A bizalmas jelleg és az integritás biztosítása körében használható álnevesítés, titkosítás vagy bármilyen más, a rendszer bizalmi jellegének megőrzését biztosító védelem. E körbe tartozik továbbá az adatkezeléssel, adatfeldolgozással megbízott személyek kijelölésének protokollja, e protokoll betartás és betartatása.]

b) A rendelkezésre állás: Az adatokat kezelő rendszernek alkalmasnak kell lennie arra, hogy az bármikor vagy minimális késedelemmel hozzáférhető legyen az arra jogosultak számára, illetve hogy azon az érintett személy kérésére, jogainak gyakorlása során a szükséges intézkedéseket meglehessen tenni. [Ennek érdekében az adatokat olyan számítógépes rendszerben kell tárolni vagy olyan fizikai megőrzésre alkalmas rendszerben, ami az arra jogosult számára késedelem és a védelemhez szükséges biztosításon felül további nehézségek nélkül hozzáférhető, az adatok elérhetőek.]

26.9. A Vállalkozás köteles garantálni, hogy fizikai vagy műszaki incidens esetén az adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani. [Bármely arra alkalmas szoftveres megoldással gondoskodni szükséges a számítógépes rendszerben tárolt adatok időszakos vagy folyamatos biztonsági mentéséről és sérülés vagy megsemmisülés esetén a visszaállíthatóságának lehetőségéről.]

26.10. A megfelelő védelem érdekében köteles a Vállalkozás a technikai és

szervezési intézkedések hatékonyságának rendszeres tesztelésre, felmérésre és értékelésére szolgáló eljárás bevezetése. [E körben a Vállalkozás kidolgozza a védelem időszakos teszteléséhez szükséges protokollokat, melyek során többek között ellenőrzi a fizikai kulccsal elzárt adatok esetén a kulcsok kezelését és a fizikai zárak épségét, míg az általa alkalmazott szoftveres védelem esetén – pl. vírusírtók, kémprogramok elleni szoftverek, tűzfalak, stb… – biztosítja és ellenőrzi a védelem folyamatos fennállását és a szoftverek frissítését, napra készségét, ellenőrzi és elemzi a védelem által kiszűrt támadásokat és azok potenciális veszélyét. A Vállalkozás köteles továbbá az általa adatkezeléssel, adatfeldolgozással feljogosított személyek eljárást, a védelmi intézkedések és szabályok általuk történő betartását, betartatását is ellenőrizni időszakosan.]

26.11. Megfelelő intézkedéseket tesz a Vállalkozás annak biztosítására, hogy az Adatkezelő, Adatfeldolgozó irányítása alatt álló, a személyes adatokhoz hozzáféréssel rendelkező személyek kizárólag az adatkezelő utasításainak megfelelően kezelhessék az adatokat. [Ennek során az Adatkezelő Vállalkozás gondoskodik a megfelelő és védett utasítási rend (pl. csak személyesen vagy írásban, a megadott kapcsolattartási címekre küldött utasításokkal) kidolgozásáról, az adatkezeléssel és adatfeldolgozással megbízott személyek megfelelő oktatásáról, az adatkezeléshez, adatfeldolgozáshoz szükséges adatkezelési célok, eljárási információk biztosításáról, átadásáról, illetve időszakonként ellenőrzi az adatkezelésre, adatfeldolgozásra adott utasítások és a jelen Szabályzat betartását.]

VII. FEJEZET
A TÁRSASÁG ADATFELDOLGOZÓ TEVÉKENYSÉGE

27. Adatfeldolgozó tevékenységek

A Társaság az alábbi tevékenységek tekintetében végez adatfeldolgozást:

46.21 ’08 Gabona, dohány, vetőmag, takarmány nagykereskedelme
01.11 ’08 Gabonaféle (kivéve: rizs), hüvelyes növény, olajos mag termesztése 01.61 ’08 Növénytermesztési szolgáltatás
01.63 ’08 Betakarítást követő szolgáltatás
01.64 ’08 Vetési célú magfeldolgozás
03.22 ’08 Édesvízihal-gazdálkodás
46.11 ’08 Mezőgazdasági termék ügynöki nagykereskedelme
46.17 ’08 Élelmiszer, ital, dohányáru ügynöki nagykereskedelme
49.41 ’08 Közúti áruszállítás
52.10 ’08 Raktározás, tárolás
52.24 ’08 Rakománykezelés
52.29 ’08 Egyéb szállítást kiegészítő szolgáltatás
63.11 ’08 Adatfeldolgozás, web-hoszting szolgáltatás
68.20 ’08 Saját tulajdonú, bérelt ingatlan bérbeadása, üzemeltetése
70.22 ’08 Üzletviteli, egyéb vezetési tanácsadás

74.90 ’08 M.n.s. egyéb szakmai, tudományos, műszaki tevékenység 77.11 ’08 Személygépjármű kölcsönzése
77.12 ’08 Gépjárműkölcsönzés (3,5 tonna fölött)
77.39 ’08 Egyéb gép, tárgyi eszköz kölcsönzése

46.75 ’08 Vegyi áru nagykereskedelme
82.99 ’08 M.n.s. egyéb kiegészítő üzleti szolgáltatás
81.22 ’08 Egyéb épület-, ipari takarítás
81.30 ’08 Zöldterület-kezelés
81.29 ’08 Egyéb takarítás
62.09 ’08 Egyéb információ-technológiai szolgáltatás
43.34 ’08 Festés, üvegezés
91.03 ’08 Történelmi hely, építmény, egyéb látványosság működtetése
43.29 ’08 Egyéb épületgépészeti szerelés
62.01 ’08 Számítógépes programozás
43.33 ’08 Padló-, falburkolás
56.29 ’08 Egyéb vendéglátás
43.22 ’08 Víz-, gáz-, fűtés-, légkondicionáló-szerelés
43.32 ’08 Épületasztalos-szerkezet szerelése
43.21 ’08 Villanyszerelés
63.12 ’08 Világháló-portál szolgáltatás
56.21 ’08 Rendezvényi étkeztetés
46.69 ’08 Egyéb m.n.s. gép, berendezés nagykereskedelme
43.39 ’08 Egyéb befejező építés m.n.s.
45.20 ’08 Gépjárműjavítás, -karbantartás
43.12 ’08 Építési terület előkészítése
56.10 ’08 Éttermi, mozgó vendéglátás
96.04 ’08 Fizikai közérzetet javító szolgáltatás
42.99 ’08 Egyéb m.n.s. építés
85.51 ’08 Sport, szabadidős képzés
42.21 ’08 Folyadék szállítására szolgáló közmű építése
55.90 ’08 Egyéb szálláshely-szolgáltatás
43.31 ’08 Vakolás
55.20 ’08 Üdülési, egyéb átmeneti szálláshely-szolgáltatás
93.29 ’08 M.n.s. egyéb szórakoztatás, szabadidős tevékenység
41.20 ’08 Lakó- és nem lakó épület építése
43.91 ’08 Tetőfedés, tetőszerkezet-építés
46.73 ’08 Fa-, építőanyag-, szaniteráru-nagykereskedelem
43.99 ’08 Egyéb speciális szaképítés m.n.s.
69.20 ’08 Számviteli, könyvvizsgálói, adószakértői tevékenység
41.10 ’08 Épületépítési projekt szervezése
42.11 ’08 Út, autópálya építése
01.43 ’08 Ló, lóféle tenyésztése
47.76 ’08 Dísznövény, vetőmag, műtrágya, hobbiállat-eledel kiskereskedelme 47.41 ’08 Számítógép, periféria, szoftver kiskereskedelme
61.10 ’08 Vezetékes távközlés

61.20 ’08 Vezeték nélküli távközlés
62.03 ’08 Számítógép-üzemeltetés
95.11 ’08 Számítógép, -periféria javítás
72.19 ’08 Egyéb természettudományi, műszaki kutatás, fejlesztés 72.20 ’08 Társadalomtudományi, humán kutatás, fejlesztés

01.13 ’08 Zöldségféle, dinnye, gyökér-, gumósnövény termesztése

28. Adatfeldolgozói garancianyújtás

28.1. A Társaság adatfeldolgozóként garantálja – különösen a szakértelem, a megbízhatóság és az erőforrások tekintetében – hogy a Rendelet követelményeinek teljesülését biztosító technikai és szervezési intézkedéseket végrehajtja, ideértve az adatkezelés biztonságát is.

28.2. Az Adatfeldolgozó tevékenysége során biztosítja, hogy az érintett személyes adatokhoz való hozzáférésre feljogosított személyek – ha jogszabályon alapuló megfelelő titoktartási kötelezettség hatálya alatt egyébként nem állnak – az általuk megismert személyes adatok vonatkozásában titoktartási kötelezettséget vállaljanak.

28.3. A Társaság megfelelő hardver és szoftver eszközökkel rendelkezik, az adatkezelés jogszerűségének és az érintettek jogai védelmének biztosítására alkalmas műszaki és szervezési intézkedések végrehajtására kötelezettséget vállal.

28.4 A Társaság az állami szervekkel való elektronikus kapcsolattartás jogi és technikai feltételeivel rendelkezik.

28.5. Társaságunk vállalja, hogy a megbízó adatkezelő rendelkezésére bocsát minden olyan információt, amely az adatfeldolgozó igénybevételére vonatkozó jogi rendelkezéseknek való megfelelés igazolásához szükséges.

29. A megbízó (adatkezelő) kötelezettségei és jogai

29.1. Adatkezelő jogosult ellenőrizni Adatfeldolgozónál a szerződés szerinti tevékenység végrehajtását.

29.2. Adatkezelőnek a szerződésben meghatározott feladatokkal kapcsolatos utasításai jogszerűségéért az Adatkezelőt terheli felelősség, ugyanakkor az Adatfeldolgozó köteles haladéktalanul jelezni az Adatkezelőnek, amennyiben Adatkezelő utasítása vagy annak végrehajtása jogszabályba ütközne.

29.3. Az Adatkezelő kötelezettsége, hogy az érintett természetes személyeket jelen szerződés szerinti adatfeldolgozásról tájékoztassa, ha jogszabály előírja,

hozzájárulásukat beszerezze.

30. Társaságunk, mint adatfeldolgozó kötelezettségei és jogai
30.1. Utasítási jog: Az Adatfeldolgozó tevékenysége során kizárólag az

Adatkezelő írásbeli utasítása alapján jár el.

30.2. Titoktartás: Az Adatfeldolgozó tevékenysége során biztosítja, hogy az érintett személyes adatokhoz való hozzáférésre feljogosított személyek – ha jogszabályon alapuló megfelelő titoktartási kötelezettség hatálya alatt egyébként nem állnak – az általuk megismert személyes adatok vonatkozásában titoktartási kötelezettséget vállaljanak.

30.3. Adatbiztonság: Az Adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelőtechnikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. Az Adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket. Az Adatfeldolgozó gondoskodik arról, hogy a tárolt adatokhoz belső rendszeren keresztül vagy közvetlen hozzáférés útján kizárólag az arra feljogosított személyek, és kizárólag az adatkezelés céljával összefüggésben férjenek hozzá. Az Adatfeldolgozó gondoskodik a felhasznált eszközök szükséges, rendszeres karbantartásáról, fejlesztéséről. Az adatokat tároló eszközt megfelelő fizikai védelemmel ellátott zárt helyiségben helyezi el, gondoskodik annak fizikai védelméről is. Adatfeldolgozó a szerződésben meghatározott feladatok ellátása érdekében megfelelő ismerettel és gyakorlattal rendelkező személyeket köteles igénybe venni. Köteles továbbá gondoskodni az általa igénybe vett személyek felkészítéséről a betartandó adatvédelmi jogszabályi rendelkezések, a jelen szerződésben foglalt kötelezettségek, valamint az adatfelvétel célja és módja tekintetében.

30.4. További adatfeldolgozó igénybevétele: Az Adatfeldolgozó vállalja, hogy további adatfeldolgozót csak a Rendeletben és az Infotv-ben meghatározott feltételek teljesítése mellett vesz igénybe. Az adatkezelő jelen szerződésben általános felhatalmazást ad az Adatfeldolgozónak, hogy további adatfeldolgozót (alvállalkozót) vegyen igénybe. Az Adatfeldolgozó a további adatfeldolgozó igénybevételét megelőzően tájékoztatja az adatkezelőt a további adatfeldolgozó személyéről, valamint a további adatfeldolgozó által végzendő tervezett feladatokról. Ha az adatkezelő ezen tájékoztatás alapján a további adatfeldolgozó igénybevételével szemben kifogást emel, a további

page31image4592928 page31image4592304

adatfeldolgozó igénybevételére az adatfeldolgozó kizárólag a kifogásban megjelölt feltételek teljesítése esetén jogosult. Ha az adatfeldolgozó bizonyos, az adatkezelő nevében végzett konkrét adatkezelési tevékenységekhez további adatfeldolgozó szolgáltatásait is igénybe veszi, erre köteles írásba foglalt szerződést kötni, és abban a további adatfeldolgozóra is ugyanazokat az adatvédelmi kötelezettségeket telepíteni, mint amelyek az adatkezelő és az adatfeldolgozó között létrejött jelen szerződésben szerepelnek, különösen úgy, hogy a további adatfeldolgozónak megfelelő garanciákat kell nyújtania a megfelelő technikai és szervezési intézkedések végrehajtására, és ezáltal biztosítania kell, hogy az adatkezelés megfeleljen e rendelet követelményeinek. Ha a további adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, az őt megbízó adatfeldolgozó teljes felelősséggel tartozik az adatkezelő felé a további adatfeldolgozó kötelezettségeinek a teljesítéséért.

30.5. Együttműködés az Adatkezelővel:

a) Társaságunk, mint adatfeldolgozó tevékenysége során minden megfelelő eszközzel segíti az Adatkezelőt az érintettek jogai érvényesítésének elősegítése, ezzel kapcsolatos kötelezettségei teljesítése érdekében.
b) Társaságunk, mint Adatfeldolgozó segíti az adatkezelőt a Rendelet 32–36. cikk (Adatbiztonság, Adatvédelmi hatásvizsgálat és előzetes konzultáció) szerinti kötelezettségek teljesítésében, figyelembe véve az adatkezelés jellegét és az adatfeldolgozó rendelkezésére álló információkat.

c) Társaságunk, mint adatfeldolgozó az adatkezelő rendelkezésére bocsát minden olyan információt, amely a Rendelet 28. cikkében (Az adatfeldolgozó) meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá amely lehetővé teszi és elősegíti az adatkezelő által vagy az általa megbízott más ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is. Ezen ponttal kapcsolatban az adatfeldolgozó haladéktalanul tájékoztatja az adatkezelőt, ha úgy véli, hogy annak valamely utasítása sérti ezt a rendeletet vagy a tagállami vagy uniós adatvédelmi rendelkezéseket.

VIII. FEJEZET
ADATVÉDELMI INCIDENSEK KEZELÉSE, ADATBIZTONSÁGI INTÉZKEDÉSEK

31. Az adatvédelmi incidens fogalma

31.1. Adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi; (Rendelet 4. cikk 12.)

31.2. A leggyakoribb jelentett incidensek lehetnek például: a laptop vagy mobil telefon elvesztése, személyes adatok nem biztonságos tárolása (pl. szemetesbe

dobott fizetési papírok); adatok nem biztonságos továbbítása, ügyfél- és vevő– partnerlisták illetéktelen másolása, továbbítása, szerver elleni támadások, honlap feltörése.

32. Adatvédelmi incidensek kezelés, orvoslása

32.1. Adatvédelmi incidensek megelőzése, kezelése, a vonatkozó jogi előírások betartása a Társaság ügyvezetőjének feladata.

32.2. Az informatikai rendszereken naplózni kell a hozzáféréseket és hozzáférési kisérleteket, és ezeket folyamatosan elemezni kell.

32.3. Amennyiben a társaság ellenőrzésre jogosult munkavállalói a feladataik ellátása során adatvédelmi incidenst észlelnek, haladéktalanul értesíteniük kell a Társaság vezetőjét.

32.4. A Társaság munkavállalói, adatfeldolgozói kötelesek jelenteni a Társaság vezetőjének, vagy a munkáltatói jogok gyakorlójának, ha adatvédelmi incidenst, vagy arra utaló eseményt észlelnek.

32.5. Adatvédelmi incidens bejelenthető a Társaság e célt szolgáló, deakla@gmail.com e-mail címén, amelyen a munkavállalók, szerződő partnerek, érintettek jelenteni tudják az alapul szolgáló eseményeket, biztonsági gyengeségeket.

32.6. Adatvédelmi incidens bejelentése esetén a Társaság vezetője – az informatikai, pénzügyi és működési vezető bevonásával – haladéktalanul megvizsgálja a bejelentést, ennek során azonosítani kell az incidenst, el kell

dönteni, hogy valódi incidensről, vagy téves riasztásról van szó. vizsgálni és meg kell állapítani:
a. az incidens bekövetkezésének időpontját és helyét,
b. az incidens leírását, körülményeit, hatásait,

Meg kell

c. az incidens során kompromittálódott adatok körét, számosságát,
d. a kompromittálódott adatokkal érintett személyek körét,
e. az incidens elhárítása érdekében tett intézkedések leírását,
f. a kár megelőzése, elhárítása, csökkentése érdekében tett intézkedések leírását.

32.7. Adatvédelmi incidens bekövetkezése esetén az érintett rendszereket, személyeket, adatokat be kell határolni és el kell különíteni és gondoskodni kell az incidens bekövetkezését alátámasztó bizonyítékok begyűjtéséről és megőrzéséről. Ezt követően lehet megkezdeni a károk helyreállítását és a jogszerű működés visszaállítását.

32.8. Adatvédelmi incidens esetén a Társaság vezetője köteles bejelentést tenni

a felügyeleti hatóság (39.15.) felé. A Társaság indokolatlan késedelem nélkül – ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, – meg kell tenni a bejelentést a felügyeleti hatóságnak, kivéve akkor, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személy jogait tekintve. Ha a bejelentés 72 órán belül nem tehető meg, abban meg kell jelölni a késedelem okát, az előírt információkat pedig –

további indokolatlan késedelem nélkül – részletekben is közölni lehet.

32.9. A 32.8. pontban említett bejelentésben legalább ismertetni kell az
– adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát;
– valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát; — közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit;
– ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;
– ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

32.10. Ha és amennyiben nem lehetséges az információkat egyidejűleg közölni, azok további indokolatlan késedelem nélkül később részletekben is közölhetők.

32.11. Az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést.

32.12. Az érintett személyt késedelem nélkül tájékoztatni kell, ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személy jogaira és szabadságára nézve, annak érdekében, hogy megtehesse a szükséges óvintézkedéseket. Az tájékoztatásnak tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, valamint az érintett a természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó javaslatokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehetőleghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és betartva az általa vagy más érintett hatóságok például bűnüldöző hatóságok által adott útmutatást. Például az érintettek sürgős tájékoztatása a kár közvetlen veszélyének mérsékléséhez szükséges, azonban annak megelőzése több időt igényelhet, hogy a folyamatos vagy azonos jellegű adatvédelmi incidens esetében megfelelő intézkedéseket kell végrehajtani.

32.13. Az érintettet nem kell tájékoztatni, ha a következő feltételek bármelyike teljesül:

a Társaság megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;

a Társaság az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, a magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;
a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.

32.14. Amennyiben a Társaság adatfeldolgozási tevékenységet is végez, úgy a nála bekövetkezett adatvédelmi incidensről haladéktalanul tájékoztatja az adatkezelőt, akinek a számára az adatfeldolgozási tevékenységet végzi.

32.15. Amennyiben a Társaság adatfeldolgozót alkalmaz, úgy az adatfeldolgozó szerződésben ki kell kötni, hogy az adatfeldolgozó köteles a nála bekövetkezett adatvédelmi incidenst haladéktalanul bejelenteni a Társaságnak.

32.16. A Társaság a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja.

32.17. A Társaság a jogosulatlan személyek belépésének kiszűrésére alkalmas beléptetési rendszer működtetésével biztosítja, hogy épületébe/irodájába jogosulatlan személyek ne léphessenek be.

32.18. A Társaság az általa mind elektronikusan, mind pedig papír alapon kezelt adatokhoz való jogosulatlan hozzáférés elkerülése érdekében biztosítja, hogy a kezelt adatokhoz fizikailag ne férhessen hozzá arra jogosulatlan személy.

32.19. A Társaság biztosítja, hogy az általa kezelt adatokhoz kizárólag az arra megfelelő jogosultsággal rendelkezők férjenek hozzá.

32.20. A Társaság biztosítja, hogy a személyes adatokhoz való esetleges hozzáférés dokumentációkban nyomon követhető legyen.

32.21. A Társaság biztosítja olyan iratkezelési eljárásrend kialakítását, hogy a hozzá tévesen beérkező személyes adatokat tartalmazó iratok a lehető

leghamarabb kiszűrésre kerüljenek és azokra a lehető legszűkebb személyi kör ismerje meg.

33. Adatvédelmi incidensek nyilvántartása

33.1. Az adatvédelmi incidensekről nyilvántartást kell vezetni, amely tartalmazza:
a) az érintett személyes adatok körét,
b) az adatvédelmi incidenssel érintettek körét és számát,

c) az adatvédelmi incidens időpontját,
d) az adatvédelmi incidens körülményeit, hatásait,
e) az adatvédelmi incidens orvoslására megtett intézkedéseket,
f) az adatkezelést előíró jogszabályban meghatározott egyéb adatokat.

33.2. A nyilvántartásban szereplő adatvédelmi incidensekre vonatkozó adatokat 5 évig meg kell őrizni.

IX. FEJEZET
AZ ÉRINTETT SZEMÉLY JOGAI

34. Összefoglaló tájékoztatás az érintett jogairól

34.1. E pontban az áttekinthetőség és átláthatóság kedvéért röviden összefoglaljuk az érintett jogait, amelyek gyakorlására vonatkozó részletes tájékoztatást a következő fejezetben adjuk meg.

34.2. Előzetes tájékozódáshoz való jog

Az érintett jogosult arra, hogy az adatkezeléssel összefüggő tényekről és információkról az adatkezelés megkezdését megelőzően tájékoztatást kapjon. (Rendelet 13-14. cikk)
A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.3. Az érintett hozzáférési joga

Az érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a Rendeletben meghatározott kapcsolódó információkhoz hozzáférést kapjon. (Rendelet 15. cikk).

A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.4. A helyesbítéshez való jog

Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő –

kiegészítését. (Rendelet 16. cikk).

34.5. A törléshez való jog („az elfeledtetéshez való jog”)

Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az Adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha a Rendeltben meghatározott indokok valamelyike fennáll. (Rendelet 17. cikk)

A részletszabályokról a következő szakaszban adunk tájékoztatást.

34.6. Az adatkezelés korlátozásához való jog

Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha a rendeltben meghatározott feltételek teljesülnek. (Rendelet 18. cikk)
A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.7. A személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség
Az Adatkezelő minden olyan címzettet tájékoztat valamennyi helyesbítésről, törlésről vagy adatkezelés-korlátozásról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére az Adatkezelő tájékoztatja e címzettekről.

(Rendelet 19. cikk)

34.8. Az adathordozhatósághoz való jog

A Rendeletben írt feltételekkel az érintett jogosult arra, hogy a rá vonatkozó, általa egy Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik Adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az Adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta. (Rendelet 20. cikk)

A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.9. A tiltakozáshoz való jog

Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a Rendelet 6. cikk (1) bekezdésének e) pontján (az adatkezelés közérdekű vagy az Adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges) vagy f) pontján (az adatkezelés az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükség.

(Rendelet 21. cikk)
A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.10. Automatizált döntéshozatal egyedi ügyekben, beleértve a

profilalkotást

Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené. (Rendelet 22. cikk)

A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.11. Korlátozások

Az Adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban (Rendelet 23. cikk).

A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.12. Az érintett tájékoztatása az adatvédelmi incidensről

Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.

(Rendelet 34. cikk)
A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.13. A felügyeleti hatóságnál történő panasztételhez való jog (hatósági jogorvoslathoz való jog)

Az érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a Rendeletet. (Rendelet 77. cikk)

A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.14. A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

Minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben, vagy ha a felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

(Rendelet 78. cikk)
A részletszabályokról a következő fejezetben adunk tájékoztatást.

34.15. Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

Minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait. (Rendelet 79. cikk)
A részletszabályokról a következő fejezetben adunk tájékoztatást.

35. Részletes tájékoztatás az érintett jogairól

35.1. Előzetes tájékozódáshoz való jog

Az érintett jogosult arra, hogy az adatkezeléssel összefüggő tényekről és információkról az adatkezelés megkezdését megelőzően tájékoztatást kapjon

35.2. Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik

35.2.1. Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő (ha van ilyen), vagy adatvédelmi felelős elérhetőségei;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

d) a Rendelet 6. cikk (1) bekezdésének f) pontján (jogos érdek érvényesítés) alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a Rendelet 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

35.2.2. Az 1. pontban említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;
b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése

ellen, valamint az érintett adathordozhatósághoz való jogáról;
c) a Rendelet 6. cikk (1) bekezdésének a) pontján (az érintett hozzájárulása) vagy a 9. cikk (2) bekezdésének a) pontján (az érintett hozzájárulása) alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
f) a Rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

35.2.3. Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

35.2.4. Az 1-3. pontok nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.
(Rendelet 13. cikk)

35.3. Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg

35.3.1. Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) az érintett személyes adatok kategóriái;
e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a Rendelet 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás.

35.3.2. Az 1. pontban említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

b) ha az adatkezelés a Rendelet 6. cikk (1) bekezdésének f) pontján (jogos érdek) alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;
c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;

d) a Rendelet 6. cikk (1) bekezdésének a) pontján (az érintett hozzájárulása) vagy a 9. cikk (2) bekezdésének a) pontján (az érintett hozzájárulása) alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és
g) a Rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

35.3.3. Az adatkezelő az 1. és 2. pont szerinti tájékoztatást az alábbiak szerint adja meg:
a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül;

b) ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy
c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor.

35.3.4. Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a 2. pontban említett minden releváns kiegészítő információról.

35.3.5. Az 1-5. pontot nem kell alkalmazni, ha és amilyen mértékben:
a) az érintett már rendelkezik az információkkal;
b) a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás

céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a Rendelet 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében;

c) az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy
d) a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia.

(Rendelet 14. cikk)

35.4. Az érintett hozzáférési joga

35.4.1. Az érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai;
b) az érintett személyes adatok kategóriái;
c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;
d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
e) az érintett azon joga, hogy kérelmezheti az Adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
h) a Rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

35.4.2. Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a Rendelet 46. cikk szerinti megfelelő garanciákról.

35.4.3. Az Adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az Adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. A másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.

(Rendelet 15. cikk)

35.5. A törléshez való jog („az elfeledtetéshez való jog”)

35.5.1. Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az Adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
b) az érintett visszavonja a Rendelet 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c) az érintett a Rendelet 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték;

e) a személyes adatokat az Adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;
f) a személyes adatok gyűjtésére a Rendelet 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

35.5.2. Ha az Adatkezelő nyilvánosságra hozta a személyes adatot, és az előbbi 1. pont értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő Adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

35.5.3. Az 1. és 2. pont nem alkalmazandó, amennyiben az adatkezelés szükséges:
a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;

b) a személyes adatok kezelését előíró, az Adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az Adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

c) a Rendelet 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a Rendelet 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az 1. pontban említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy

e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. (Rendelet 17. cikk)

35.6. Az adatkezelés korlátozásához való jog

35.6.1. Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:
a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát;

b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
c) az Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy

d) az érintett a Rendelet 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

35.6.2. Ha az adatkezelés az 1. pont alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

35.6.3. Az Adatkezelő az érintettet, akinek a kérésére az 1. pont alapján korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.
(Rendelet 18. cikk)

35.7. Az adathordozhatósághoz való jog

35.7.1. Az érintett jogosult arra, hogy a rá vonatkozó, általa egy Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt,

géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik Adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az Adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha: a) az adatkezelés a Rendelet 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul; és

b) az adatkezelés automatizált módon történik.

35.7.2. Az adatok hordozhatóságához való jog 1. pont szerinti gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok Adatkezelők közötti közvetlen továbbítását.

35.7.3. E jog jog gyakorlása nem sértheti a Rendelet 17. cikkét. Az említett jog nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az Adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.

35.7.4. Az 1. pontban említett jog nem érintheti hátrányosan mások jogait és szabadságait.
(Rendelet 20. cikk)

35.8. A tiltakozáshoz való jog

35.8.1. Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a Rendelet 6. cikk (1) bekezdésének e) pontján (az adatkezelés közérdekű vagy az Adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges) vagy f) pontján (az adatkezelés az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges) alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az Adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az Adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

35.8.2. Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik.

35.8.3. Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők.

35.8.4. Az 1. és 2. pontokban említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.

35.8.5. Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja.

35.8.6. Ha a személyes adatok kezelésére a Rendelet 89. cikk (1) bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.

(Rendelet 21. cikk)

35.9 Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást

35.9.1. Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.

35.9.2. Az 1. pont nem alkalmazandó abban az esetben, ha a döntés:
a) az érintett és az Adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
b) meghozatalát az Adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy
c) az érintett kifejezett hozzájárulásán alapul.

35.9.3. A 2. pont a) és c) pontjában említett esetekben az Adatkezelő köteles megfelelő intézkedéseket tenni az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében, ideértve az érintettnek legalább azt a jogát, hogy az Adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.

35.9.4. A 2. pontban említett döntések nem alapulhatnak a személyes adatoknak a Rendelet 9. cikk (1) bekezdésében említett különleges kategóriáin, kivéve, ha a 9. cikk (2) bekezdésének a) vagy g) pontja alkalmazandó, és az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében megfelelőintézkedések megtételére került sor.

(Rendelet 22. cikk)

35.10. Korlátozások

35.10.1. Az Adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a Rendelet 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban: a) nemzetbiztonság;

b) honvédelem;
c) közbiztonság;
d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;
e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;
f) a bírói függetlenség és a bírósági eljárások védelme;
g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása;
h) az a)–e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;
i) az érintett védelme vagy mások jogainak és szabadságainak védelme;
j) polgári jogi követelések érvényesítése.

35.10.2. Az 1. pontban említett jogalkotási intézkedések adott esetben részletes rendelkezéseket tartalmaznak legalább:
a) az adatkezelés céljaira vagy az adatkezelés kategóriáira,
b) a személyes adatok kategóriáira,

c) a bevezetett korlátozások hatályára,
d) a visszaélésre, illetve a jogosulatlan hozzáférésre vagy továbbítás megakadályozását célzó garanciákra,
e) az Adatkezelő meghatározására vagy az Adatkezelők kategóriáinak meghatározására,
f) az adattárolás időtartamára, valamint az alkalmazandó garanciákra, figyelembe véve az adatkezelés vagy az adatkezelési kategóriák jellegét, hatályát és céljait,
g) az érintettek jogait és szabadságait érintő kockázatokra, és
h) az érintettek arra vonatkozó jogára, hogy tájékoztatást kapjanak a korlátozásról, kivéve, ha ez hátrányosan befolyásolhatja a korlátozás célját.

(Rendelet 23. cikk)

35.11. Az érintett tájékoztatása az adatvédelmi incidensről

35.11.1. Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.

35.11.2. Az 1. pontban említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a Rendelet 33. cikk (3) bekezdésének b), c) és d) pontjában említett információkat és intézkedéseket.

35.11.3. Az érintettet nem kell az 1. pontban említettek szerint tájékoztatni, ha a következő feltételek bármelyike teljesül:
a) az Adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;

b) az Adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, az 1. pontban említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;

c) a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.

35.11.4. Ha az Adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett tájékoztatását, vagy megállapíthatja a 3. pontban említett feltételek valamelyikének teljesülését.

(Rendelet 34. cikk)

35.12. A felügyeleti hatóságnál történő panasztételhez való jog

35.12.1. Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

35.12.2. Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, köteles tájékoztatni az ügyfelet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy a Rendelet 78. cikk alapján az ügyfél jogosult bírósági jogorvoslattal élni.

(Rendelet 77. cikk)

35.13. A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

35.13.1. Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.

35.13.2. Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden érintett jogosult a hatékony bírósági jogorvoslatra, ha a Rendelet 55. vagy 56. cikk alapján illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a 77. cikk alapján benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

35.13.3. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani.

35.13.4. Ha a felügyeleti hatóság olyan döntése ellen indítanak eljárást, amellyel kapcsolatban az egységességi mechanizmus keretében a Testület előzőleg véleményt bocsátott ki vagy döntést hozott, a felügyeleti hatóság köteles ezt a véleményt vagy döntést a bíróságnak megküldeni.

(Rendelet 78. cikk)

35.14. Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

35.14.1. A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, Rendelet 77. cikk szerinti jog – sérelme nélkül, minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait.

35.14.2. Az adatkezelővel vagy az adatfeldolgozóval szembeni eljárást az adatkezelő vagy az adatfeldolgozó tevékenységi helye szerinti tagállam bírósága előtt kell megindítani. Az ilyen eljárás megindítható az érintett szokásos tartózkodási helye szerinti tagállam bírósága előtt is, kivéve, ha az adatkezelő

vagy az adatfeldolgozó valamely tagállamnak a közhatalmi jogkörében eljáró közhatalmi szerve.
(Rendelet 79. cikk)

35.15. Az adatkezeléssel kapcsolatos jogérvényesítési lehetőség:

Adatkezeléssel összefüggő jogsérelme esetén az érintett Társaságunkhoz fordulhat helyreigazítást, törlést, vagy egyéb jogorvoslat igénylésével. Ennek eredménytelensége esetén az igényelt, panaszait az alábbi hatóságnál terjesztheti elő:

Nemzeti Adatvédelmi és Információszabadság Hatóság (Felügyeleti hatóság) Postacím: 1530 Budapest, Pf.: 5.
Cím: 1055 Budapest, Falk Miksa u. 9-11.
Telefon: +36 (1) 391-1400

Fax: +36 (1) 391-1410
E-mail: ugyfelszolgalat (kukac) naih.hu URL https://naih.hu
koordináták: É 47°30’56”; K 18°59’57”

Az érintett a jogainak megsértése esetén az adatátvevő az adatkezelő ellen bírósághoz fordulhat. A bíróság az ügyben soron kívül jár el. A pert az érintett – választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja.

X. FEJEZET
AZ ÉRINTETT KÉRELMÉNEK ELŐTERJESZTÉSE, AZ ADATKEZELŐ INTÉZKEDÉSEI

36. Intézkedések az érintett kérelme alapján

36.1. A Társaságunk, mint adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a jogai gyakorlására irányuló kérelme nyomán hozott intézkedésekről.

36.2. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az Adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet.

36.3. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

36.4. Ha az Adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

36.5. Társaságunk, mint Adatkezelő a Rendelet 13. és 14. cikk szerinti információkat és az érintett jogairól szóló tájékoztatást (Rendelt 15-22. és 34. cikk) és intézkedést díjmentesen biztosítja. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az Adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre:

a) díjat számíthat fel, vagy
b) megtagadhatja a kérelem alapján történő intézkedést.
A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az Adatkezelőt terheli.

36.6. Ha Társaságunknak, mint Adatkezelőnek megalapozott kétségei vannak a kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

XI. FEJEZET
AZ ADATVÉDELMI TISZTVISELŐ

37. Az adatvédelmi tisztviselő jogállása, feladatai

37.1. Az adatkezelőnek biztosítania kell, hogy az adatvédelmi tisztviselő a személyes adatok védelmével kapcsolatos összes ügybe megfelelő módon és időben bekapcsolódjon. Biztosítani kell, hogy az adatvédelmi tisztviselő szakértői szintű ismereteinek fenntartásához szükséges források rendelkezésre álljanak.

37.2. Az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől nem fogadhat el. Az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval sem sújthatja. Az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

37.3. Az érintettek a személyes adataik kezeléséhez és jogaik gyakorlásához kapcsolódó valamennyi kérdésben az adatvédelmi tisztviselőhöz fordulhatnak.

37.4. Az adatvédelmi tisztviselőt feladatai teljesítésével kapcsolatban titoktartási kötelezettség vagy az adatok bizalmas kezelésére vonatkozó kötelezettség köti.

37.5. Az adatvédelmi tisztviselő más feladatokat is elláthat, de a feladatokkal

kapcsolatban összeférhetetlenség ne álljon fenn. Az adatvédelmi tisztviselő

Tájékoztat és szakmai tanácsot ad az adatkezelő vagy az adatfeldolgozó, továbbá az adatkezelést végző alkalmazottak részére;

Ellenőrzi az adatkezelő vagy az adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést;

Kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat elvégzését;

Együttműködik a felügyeleti hatósággal.

38. Az adatvédelmi tisztviselő kijelölése, adatvédelmi felelős

38.1. Adatvédelmi tisztségviselő kijelölése kötelező, ha
– az adatkezelést közhatalmi szerv, vagy egyéb közfeladatot ellátó szerv végzi (kivéve bíróság),
– adatkezelő olyan adatkezelési műveleteket is végez, mely jellegénél, hatáskörénél, vagy céljainál fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszi szükségessé,
– adatkezelő, feldolgozó fő tevékenysége a személyes adatok különleges kategóriáinak megállapítására vonatkozó adatok nagy számban való kezelését foglalja magában.

38.2. A Társaságnál adatvédelmi tisztviselő kijelölésére nem kerül sor, mivel nem állnak fenn azok a körülmények, melyek ezt kötelezővé tennék. A Társaság ügyvezetője ugyanakkor az adatkezelési tevékenységének jogszerűsége érdekében adatvédelmi felelős feladattal bízza meg egy főállású munkavállalóját.

38.3. Az adatvédelmi felelős feladataira, jogállására az adatvédelmi tisztségviselővel kapcsolatosan a jelen szabályzatban, valamint a Rendeletben írtakat alkalmazni kell azzal az eltéréssel, hogy az adatvédelmi felelős személyét nem kell a hatóságnál regisztráltatni.

XII. FEJEZET NYILVÁNTARTÁSI RENDSZER

39. Az adatkezelési tevékenységek nyilvántartása

39.1. Az adatkezelési tevékenységek nyilvántartását a Társaság az

elszámoltathatóság elvéből következően annak érdekében végzi, hogy az GDPR-nak való megfelelést nyomon tudja követni, és igazolni tudja.

39.2. A Társaság a felelősségébe tartozóan végzett adatkezelési tevékenységekről legalább az alábbi nyilvántartásokat vezeti:

adattovábbítás nyilvántartása
érintetti jogok érvényesítése iránti kérelmek és az arra a Társaság által adott válaszok nyilvántartása
hatósági megkeresések és az arra a Társaság által adott válaszok nyilvántartása adatkezelés megszüntetése iránti kérelmek nyilvántartása
ügyfelek nyilvántartása
marketing célú megkeresések nyilvántartása
munkaviszonnyal összefüggő személyes adatok kezelésének nyilvántartása munkaerő-felvétel nyilvántartása
adatvédelmi incidensek nyilvántartása.

39.3. A Társaság a tevékenysége körében végzett adatkezelésre vonatkozó, a GDPR és a jogszabályok által előírt kötelezettségeknek megfelelő technikai és szervezési intézkedések megalkotása céljából nyilvántartási rendszert készít. A nyilvántartási rendszer tartalmazza a Társaság által kezelt összes adatkört.

39.4. A Társaság a felelősségébe tartozóan végzett, a 2. pontban meghatározott adatkezelési tevékenységekről vezetett nyilvántartásait az alábbi tartalommal vezeti:

a Társaság neve és elérhetősége, valamint – ha van ilyen – a Társaság képviselőjének és az adatvédelmi tisztviselőnek a neve és elérhetősége;
az adatkezelés céljai;
az érintettek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetése;

olyan címzettek kategóriái, akikkel a személyes adatokat közlik vagy közölni fogják
adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására vonatkozó információk;

ha lehetséges, a különböző adatkategóriák törlésére előirányzott határidők; ha lehetséges, a technikai és szervezési intézkedések általános leírása.

39.5. A Társaság adatkezelési tevékenységével összefüggésben a nyilvántartási rendszerben meghatározásra kerülnek az alábbiak is:

az érintett [például ügyfél, munkavállaló]
az adatkezelés megnevezése és célja [például jogszabályi kötelezettségen alapuló könyvvizsgálói tevékenység ellátása, munkahelyi adatkezelés]
a kezelt adatok köre [például név, lakcím, telefonszám, e-mail cím,

munkabér]
esetlegesen kezelt különleges adatok köre [például szakszervezeti tagság, egészségügyi adatok]
az adatkezelés jogalapja [például szerződés, jogszabály, jogos érdek]
az adatkezelés időtartama [például számviteli törvény szerinti 8 év]
kik férhetnek hozzá a személyes adatokhoz a Társaság szervezetén belül [például könyvvizsgáló, könyvvizsgáló asszisztens, adminisztrációt végző munkatárs, minőségellenőr]
ki számára kerülhet az adat továbbításra [például kamara, egyéb hatóság] alkalmaz-e a Társaság adatfeldolgozót, ha igen kit, milyen célra és milyen személyes adatokhoz férhet hozzá és mennyi ideig tárolhatja a személyes adatokat [például bérszámfejtő, szerver üzemeltető, honlap üzemeltető]

39.6. A Társaság adatfeldolgozási tevékenységével összefüggésben (amennyiben van ilyen) a nyilvántartási rendszerben meghatározásra kerülnek az alábbiak:

mely tevékenységéhez kötötten minősül a Társaság adatfeldolgozónak;
ki az adatkezelő, akinek a nevében az adatfeldolgozási tevékenységet végzi; milyen személyes adatokhoz fér hozzá;
mennyi ideig tárolhatja a személyes adatokat.

39.7. Amennyiben a Társaság adatfeldolgozóként is végez tevékenységet, úgy a Társaság nyilvántartást vezet a Társaság nevében végzett adatkezelési tevékenységek valamennyi kategóriájáról. Ez a nyilvántartás a következő információkat tartalmazza:

az adatfeldolgozó vagy adatfeldolgozók és azok képviselőinek neve és elérhetőségei;
a Társaság nevében végzett adatkezelési tevékenységek kategóriái;
adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása.

39.8. A nyilvántartásokat a Társaság írásban vezeti, papír alapon vagy elektronikus formátumban.

XIII. FEJEZET ZÁRÓ RENDELKEZÉSEK

40. A Szabályzat megállapítása és módosítása

A Szabályzat megállapítására és módosítására a Társaság ügyvezetője jogosult.

41. Intézkedések a szabályzat megismertetése

E Szabályzat rendelkezéseit meg kell ismertetni a Társaság valamennyi munkavállalójával (foglalkoztatottjával), ennek érdekében a Társaság köteles saját munkavállalói részére rendszeres oktatásokat tartani legalább 2 évente. Amennyiben e Szabályzat lényeges rendelkezései módosításra kerülnek, a munkavállalók részére e tárgyban rendkívüli oktatást kell tartani. A Társaság munkavállalóinak munkavégzésre irányuló szerződéseiben elő kell írni, hogy e Szabályzat mindenkor hatályos rendelkezéseink betartása és érvényesítése minden munkavállaló (foglalkoztatott) lényeges munkaköri kötelezettsége.

PAGE

PAGE 11. oldal

ADATKEZELÉSI SZABÁLYZAT

________________________________________________________________
_________________

________________________________________________________________________
_________________