Adatfeldolgozási feltételek

1. A felek és a feltételek jellege

Ezek az Adatfeldolgozási feltételek (Feltételek) az Általános Szerződési Feltételek (ÁSZF) részét képezik, és az általános adatvédelmi rendelet (GDPR) 28. cikke szerinti adatfeldolgozási szerződésnek minősülnek az Előfizető mint adatkezelő és a Dendora Bt. (2500 Esztergom, 48-as tér 11., cégjegyzékszám: 11-06-011289) mint adatfeldolgozó (Adatfeldolgozó) között.

Az ÁSZF elfogadásával az Előfizető ezeket a Feltételeket is elfogadja. A személyes adatok kezelésére ezek a Feltételek irányadók, ha az ÁSZF-től eltérnek.

2. Az adatfeldolgozás tárgya, célja és időtartama

Az Adatfeldolgozó az Előfizető vendégeinek adatait a Stayfellow szolgáltatás nyújtásához kezeli: a foglalások nyilvántartása, a vendéglink és a vendégüzenetek, az online bejelentkezés, a vendégszámlák kiállítása az Előfizető saját Számlázz.hu fiókjában, valamint az adatcsere az Előfizető által bekötött foglalási platformokkal.

Az adatfeldolgozás az ÁSZF szerinti szerződés fennállásáig, ezt követően a 9. pontban írt törlésig tart.

3. Érintettek és adatkategóriák

Érintettek: az Előfizető vendégei és útitársaik, valamint a vendégszámlák vevői.

Adatok: név, létszám, érkezés és távozás, e-mail cím, telefonszám, megjegyzés, a foglalás összege és forrása; a vendégekkel váltott üzenetek; ajtókódok; online bejelentkezéskor név, nem, születési idő és hely, állampolgárság, az okmány típusa és száma; vendégszámlán a vevő neve, címe, e-mail címe, adószáma és a számla tételei; a bekötött foglalási platformokról érkező foglalási adatok.

A Stayfellow különleges kategóriájú személyes adatot nem kér. Az Előfizető ilyet a szabad szöveges mezőkben (megjegyzés, üzenet) se rögzítsen.

4. Az Előfizető utasításai

Az Adatfeldolgozó az adatokat kizárólag az Előfizető dokumentált utasításai szerint kezeli. Utasításnak minősül az ÁSZF, ez a dokumentum, valamint minden művelet, amelyet az Előfizető és a felhasználói a Stayfellow-ban végeznek (például foglalás rögzítése, vendéglink küldése, platform bekötése, számla kiállítása). További utasítást az owner e-mailben adhat az info@dendora.hu címre.

Ha az Adatfeldolgozó szerint egy utasítás jogszabályba ütközik, erről haladéktalanul tájékoztatja az Előfizetőt.

Az utasítások az EGT-n kívüli adattovábbításra is kiterjednek, a 7. pontban megnevezett szolgáltatók és garanciák szerint; ettől eltérő továbbításhoz újabb utasítás kell.

Ha uniós vagy tagállami jog az adatok más célú kezelésére kötelezi, erről a kezelés előtt tájékoztatja az Előfizetőt, kivéve ha a jog ezt tiltja.

5. Titoktartás

Az adatokhoz csak azok férnek hozzá az Adatfeldolgozónál, akiknek erre a szolgáltatás üzemeltetéséhez, a hibaelhárításhoz vagy az Előfizető kérésének teljesítéséhez szükségük van, és akik titoktartásra kötelezettek.

6. Adatbiztonság

Az Adatfeldolgozó a GDPR 32. cikke szerinti intézkedéseket alkalmazza, különösen: minden kapcsolat titkosított (HTTPS); az adatbázis uniós joghatóságú tárhelyen, titkosítva tárolódik; az ajtókódokat, az online bejelentkezés adatait és a Számla Agent kulcsot külön, alkalmazásszintű titkosítással (AES-GCM) tárolja.

Belépés jelszó helyett passkeyjel; a munkamenetek azonosítóját csak lenyomatként tárolja, a munkamenetek 7 nap után lejárnak. Az Előfizetők adatai minden lekérdezésben el vannak különítve egymástól; a fiókon belül owner és staff szerepkör van, az ajtókódokat és a fiókbeállításokat csak owner kezelheti.

Az online bejelentkezés adatait a távozás napja után egy évvel automatikusan törli. Az intézkedéseket a technika fejlődésével felülvizsgálja; a védelem szintje ezáltal nem csökkenhet.

7. További adatfeldolgozók

Az Előfizető általános felhatalmazást ad további adatfeldolgozók igénybevételére. A vendégadatokat jelenleg ezek érintik: Cloudflare, Inc. (USA; tárhely és adatbázis, az adatbázis uniós joghatóságban); Plus Five Five, Inc. (Resend, USA; e-mailek kézbesítése a vendégeknek); Channex.io LTD (Egyesült Királyság, a foglalási platformok bekötése, csak ha az Előfizető platformot köt be).

Az Adatfeldolgozó a további adatfeldolgozókra szerződésben ugyanezeket az adatvédelmi kötelezettségeket rója, és felel a teljesítésükért. Az Európai Gazdasági Térségen kívülre csak a GDPR V. fejezete szerinti garanciákkal (megfelelőségi határozat vagy általános adatvédelmi kikötések) továbbít adatot.

Új további adatfeldolgozó igénybevételéről vagy cseréjéről a tudomásszerzés után haladéktalanul, de legalább 7 nappal a bevonás előtt e-mailben értesíti az ownereket, megadva a szolgáltatót, a feladatát, az adatkezelés helyét és a továbbítás garanciáját. Az Előfizető adatvédelmi indokkal kifogást emelhet; ha nincs megfelelő megoldás, a bevonás előtt díjmentesen felmondhat, és a fel nem használt, előre kifizetett díjat arányosan visszakapja.

Nem további adatfeldolgozók a foglalási platformok (például Booking.com, Airbnb, Szallas.hu), amelyek saját adatkezelőként kezelik a vendégadatokat, és a Számlázz.hu, amely az Előfizető saját szerződése alapján jár el; ezekhez a Stayfellow csak az Előfizető utasítására továbbít adatot.

8. Közreműködés az Előfizetővel

Az érintettek kérelmeit (hozzáférés, helyesbítés, törlés, korlátozás, adathordozás, tiltakozás) az Előfizető teljesíti. A Stayfellow-ban az adatok megtekinthetők és javíthatók; amit a felületen nem lehet elvégezni, például egy vendég adatainak törlését vagy kiadását, azt az Adatfeldolgozó az owner kérésére indokolatlan késedelem nélkül, rendszerint 10 napon belül elvégzi. Ha érintett közvetlenül az Adatfeldolgozóhoz fordul, a kérelmet haladéktalanul továbbítja az Előfizetőnek.

Adatvédelmi incidensről az Adatfeldolgozó a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az ownereket, a GDPR 33. cikk (3) bekezdése szerinti, akkor ismert információkkal, és közreműködik a kivizsgálásban és a kár enyhítésében.

Az Adatfeldolgozó megadja az Előfizetőnek azokat az információkat, amelyek az adatbiztonsághoz, az incidensek bejelentéséhez, az adatvédelmi hatásvizsgálathoz és a hatósággal folytatott előzetes konzultációhoz szükségesek.

9. Az adatok törlése és átadása

A fiók megszüntetésekor (ÁSZF, Lemondás és megszűnés) az Adatfeldolgozó az Előfizető választása szerint a vendégadatokat géppel olvasható formában (CSV vagy JSON) átadja, majd törli, vagy átadás nélkül törli. Utasítás hiányában előbb megkérdezi az ownert. Az aktív rendszerekből a törlés legkésőbb 30 nappal az átadás után, illetve az adatkiadási idő lejárta után történik meg, a további adatfeldolgozóknál tárolt példányokra is kiterjedően. Az adatbázis-visszaállítási pontokból az adatok legkésőbb további 30 napon belül törlődnek; addig rendes használatra nem állítjuk vissza őket.

Kivétel csak az, amit az Adatfeldolgozóra irányadó uniós vagy tagállami jog megőrizni rendel; saját előfizetési számláinak megőrzése nem jogosítja fel a vendégadatok további tárolására. A törlésről kérésre írásban igazolást ad.

10. Ellenőrzés

Az Adatfeldolgozó kérésre rendelkezésre bocsát minden információt, amely e Feltételek teljesítésének igazolásához szükséges. Az Előfizető, vagy az általa megbízott, titoktartásra kötelezett független auditor, évente egyszer, legalább 30 nappal előre jelezve, saját költségén ellenőrzést végezhet; adatvédelmi incidens, hatósági eljárás vagy megalapozott megfelelési kétely esetén ezen felül is, rövidebb határidővel. Ha az ellenőrzés az Adatfeldolgozónak felróható lényeges szabálytalanságot tár fel, a feltárás és a javítás indokolt költségét az Adatfeldolgozó viseli.

11. Felelősség és egyéb rendelkezések

A felek felelősségére az ÁSZF irányadó, a GDPR 82. cikkének sérelme nélkül. A Feltételek módosítására az ÁSZF módosítására vonatkozó szabályok érvényesek, de a módosítás nem csökkentheti a GDPR által megkövetelt védelmet; a további adatfeldolgozók változására a 7. pont vonatkozik.

Kapcsolat adatvédelmi ügyekben: info@dendora.hu.