Adatfeldolgozói szerződés (DPA)

Jelen Adatfeldolgozói Szerződés (a továbbiakban: DPA) az általános adatvédelmi rendelet (GDPR – 2016/679/EU) 28. cikke alapján szabályozza az Adatkezelő(a NextBill.hu Szolgáltatást használó természetes vagy jogi személy) és az Adatfeldolgozó(Miszterek Fix Kft.) közötti adatfeldolgozási tevékenységet.

1. A felek

Adatfeldolgozó: Miszterek Fix Kft. (székhely: 2600 Vác, Dózsa György út 68. 2/a; cégjegyzékszám: 13-09-219548; adószám: 27810929-2-13; e-mail: [email protected]).

Adatkezelő: a NextBill.hu Szolgáltatást regisztráción keresztül igénybe vevő természetes vagy jogi személy, akinek adatkezelői minőségéről a regisztrációkor megadott szervezeti adatok adnak felvilágosítást.

2. A szerződés tárgya és időtartama

Az Adatfeldolgozó az Adatkezelő utasítása alapján, kizárólag a NextBill.hu Szolgáltatás nyújtása érdekében kezel személyes adatokat, az ÁSZF szerinti előfizetési időszak teljes hossza alatt.

3. Az adatkezelés természete és célja

Az adatfeldolgozás célja az Adatkezelő által kibocsátott számlák tárolása, NAV Online Számla felé történő adatszolgáltatás, e-mailek küldése (számla, fizetési emlékeztető), valamint a Szolgáltatás megfelelő működésének biztosítása.

4. Az érintettek köre, adatkategóriák

• Érintettek: az Adatkezelő vevői, ügyfelei, üzleti partnerei (jellemzően természetes személyek vagy egyéni vállalkozók); az Adatkezelő munkatársai, akik a Szolgáltatást használják.
• Adatkategóriák: név, cím, adószám/EU-adószám, e-mail, telefonszám, banki adatok, számlán szereplő tételek és összegek; bejövő számlák esetén a NAV-ból letöltött szállítói adatok.

5. Az Adatfeldolgozó kötelezettségei

• Kizárólag az Adatkezelő dokumentált utasításai alapján kezel adatot (kivéve, ha uniós vagy tagállami jog másra kötelezi).
• Biztosítja, hogy az adatkezelésre jogosult személyek titoktartási kötelezettséget vállaljanak.
• A GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmaz: HTTPS/TLS, hash-alapú jelszótárolás, az érzékeny mezők (NAV- és SMTP-jelszavak) AES-256 titkosítása, 2FA, auditnapló, szerepkör-alapú hozzáférés-szabályozás, EU-szerveres tárolás (DeploysApp, Magyarország).
• Segíti az Adatkezelőt az érintetti jogok érvényesítésében (hozzáférés, helyesbítés, törlés, hordozhatóság).
• Adatvédelmi incidens esetén indokolatlan késedelem nélkül, legkésőbb 72 órán belül értesíti az Adatkezelőt.
• Segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében (DPIA, előzetes konzultáció a hatósággal).
• Az Adatkezelő választása szerint a szerződés megszűnésekor minden személyes adatot töröl vagy visszaad, kivéve, ha jogszabály (pl. Szt. 169. § – 8 év) további megőrzést ír elő.
• Az Adatkezelő által végzett megfelelőség-ellenőrzéshez (audit) szükséges információkat rendelkezésre bocsátja.

6. További adatfeldolgozók (sub-processorok)

Az Adatfeldolgozó a következő további adatfeldolgozókat veszi igénybe; az Adatkezelő a regisztrációval ezen alvállalkozók igénybevételéhez általános hozzájárulást ad. Új alvállalkozó bevonása esetén az Adatfeldolgozó előzetesen értesíti az Adatkezelőt, és kifogás esetén lehetőséget ad a szerződés felmondására.

• DeploysApp (a Miszterek Fix Kft. saját üzemeltetésű tárhelyplatformja, EU/Magyarország) – alkalmazás- és adatbázis-hosting.
• NAV Online Számla rendszer – jogszabályon alapuló, kötelező magyarországi adatszolgáltatás; a NAV nem „sub-processor”, hanem önálló adatkezelő.
• Stripe Payments Europe Ltd. (Írország) – az előfizetési díj beszedése. Csak a fizetéshez szükséges minimális adatot (e-mail, cégnév, adószám) továbbítja.
• SMTP-szolgáltató – e-mailek kézbesítése. Alapértelmezetten a Szolgáltató saját, EU-n belüli Postfix-szerverét használja; az Adatkezelő saját SMTP-szervert is beállíthat a Szolgáltatás beállításai között.
• Cloudflare – CDN, DDoS-védelem, e-mail-továbbítás, Turnstile (CAPTCHA); EU-s régióból kiszolgálva.

7. Nemzetközi adattovábbítás

Az adatok elsődlegesen az EU területén kerülnek tárolásra. EU-n kívüli adattovábbítás csak megfelelő garanciák (pl. EU SCC) mellett történik, jelenleg ilyen tevékenységet nem végzünk.

8. Adatmegőrzés és törlés

Az Adatkezelő fiókjának törlése esetén a személyes adatok 30 napon belül törlésre kerülnek, kivéve a számviteli bizonylatokat (számla, PDF-archív) – ezekre az Szt. 169. §-a szerinti 8 éves megőrzés vonatkozik. Ezt a kötelezettséget az Adatfeldolgozó a saját archívumában, a fiók végleges törlése után pedig az Adatkezelő rendelkezésére bocsátott exporttal teljesíti.

9. Felelősség

A felek a saját felelősségi körükben tartoznak helytállni. Az Adatfeldolgozó az általa okozott károkért a GDPR 82. cikke szerint felel; a felelősség mértéke a vonatkozó előfizetési időszakra fizetett díj kétszeresére korlátozódik, kivéve a GDPR-ban kötelezően előírt eseteket.

10. Záró rendelkezések

Jelen DPA a NextBill.hu ÁSZF elfogadásával és a regisztráció során tett külön elfogadással válik a felek között hatályossá. A DPA szövegének módosításáról az Adatfeldolgozó legalább 15 nappal a hatálybalépés előtt értesíti az Adatkezelőt.

Kérdés esetén: [email protected]. Kapcsolódó dokumentumok: ÁSZF · Adatkezelési tájékoztató · Impresszum.