Adatfeldolgozói szerződés (DPA)

Jelen Adatfeldolgozói Szerződés (a továbbiakban: DPA) az általános adatvédelmi rendelet (GDPR — 2016/679/EU) 28. cikke alapján szabályozza az Adatkezelő(a NextBill.hu Szolgáltatást használó természetes vagy jogi személy) és az Adatfeldolgozó(Miszterek Fix Kft.) közötti adatfeldolgozási tevékenységet.

1. A felek

Adatfeldolgozó: Miszterek Fix Kft. (székhely: 2600 Vác, Dózsa György út 68. 2/a; cégjegyzékszám: 13-09-219548; adószám: 27810929-2-13; e-mail: [email protected]).

Adatkezelő: a NextBill.hu Szolgáltatást regisztráción keresztül igénybe vevő természetes vagy jogi személy, akinek adatkezelői minőségéről a regisztrációkor megadott szervezeti adatok adnak felvilágosítást.

2. A szerződés tárgya és időtartama

Az Adatfeldolgozó az Adatkezelő utasítása alapján, kizárólag a NextBill.hu Szolgáltatás nyújtása érdekében kezel személyes adatokat, az ÁSZF szerinti előfizetési időszak teljes hossza alatt.

3. Az adatkezelés természete és célja

Az adatfeldolgozás célja az Adatkezelő által kibocsátott számlák tárolása, NAV Online Számla felé történő adatszolgáltatás, e-mailek küldése (számla, fizetési emlékeztető), valamint a Szolgáltatás megfelelő működésének biztosítása.

4. Az érintettek köre, adatkategóriák

• Érintettek: az Adatkezelő vevői, ügyfelei, üzleti partnerei (jellemzően természetes személyek vagy egyéni vállalkozók); az Adatkezelő munkatársai, akik a Szolgáltatást használják.
• Adatkategóriák: név, cím, adószám/EU-adószám, e-mail, telefonszám, banki adatok, számlán szereplő tételek és összegek; bejövő számlák esetén a NAV-ból letöltött szállítói adatok.

5. Az Adatfeldolgozó kötelezettségei

• Kizárólag az Adatkezelő dokumentált utasításai alapján kezel adatot (kivéve uniós/tagállami jog kötelezése).
• Biztosítja, hogy az adatkezelésre jogosult személyek titoktartási kötelezettséget vállaljanak.
• A GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmaz: HTTPS/TLS, hash-alapú jelszótárolás, AES-256 titkosítás az érzékeny mezőkre (NAV / SMTP jelszavak), 2FA, audit log, szerepkör-alapú hozzáférés-szabályozás, EU-szerveres tárolás (DeploysApp, Magyarország).
• Segíti az Adatkezelőt az érintetti jogok teljesítésében (hozzáférés, helyesbítés, törlés, hordozhatóság).
• Adatvédelmi incidens esetén indokolatlan késedelem nélkül, legkésőbb 72 órán belül értesíti az Adatkezelőt.
• Segíti az Adatkezelőt a GDPR 32-36. cikkek szerinti kötelezettségei teljesítésében (DPIA, hatóságközi konzultáció).
• Az Adatkezelő választása szerint a szerződés megszűnésekor minden személyes adatot töröl vagy visszaad, kivéve, ha jogszabály (pl. Áfa tv. 169.§ — 8 év) eltérő tárolást ír elő.
• Az Adatkezelő megfelelőség-ellenőrzéséhez (audit) szükséges információkat rendelkezésre bocsátja.

6. További adatfeldolgozók (sub-processorok)

Az Adatfeldolgozó a következő alvállalkozókat veszi igénybe; az Adatkezelő a regisztrációval ezen alvállalkozók igénybevételéhez általános hozzájárulást ad. Új alvállalkozó bevonása esetén az Adatkezelőt előzetesen értesítjük, és kifogás esetén lehetőséget biztosítunk a szerződés felmondására.

• DeploysApp (Miszterek Fix Kft. saját üzemeltetésű hosting platformja, EU/Magyarország) — alkalmazás- és adatbázis-hosting.
• NAV Online Számla rendszer — kötelező adatszolgáltatás Magyarországon, jogszabályon alapul, nem klasszikus „sub-processor”, hanem önálló adatkezelő.
• Stripe Payments Europe Ltd. (Írország) — előfizetési díj feldolgozása. Csak a fizetéshez szükséges minimális adat (e-mail, cégnév, adószám) kerül továbbításra.
• SMTP szolgáltató — e-mailek kézbesítése. Alapértelmezetten a Szolgáltató saját Postfix szerverét használjuk, EU-on belül; az Adatkezelő saját SMTP-szervert is beállíthat a Szolgáltatás beállításai között.
• Cloudflare — CDN, DDoS-védelem, e-mail-routing, Turnstile (CAPTCHA). EU-régiós kiszolgáláson.

7. Nemzetközi adattovábbítás

Az adatok elsődlegesen az EU területén kerülnek tárolásra. EU-n kívüli adattovábbítás csak megfelelő garanciák (pl. EU SCC) mellett történik, jelenleg ilyen tevékenységet nem végzünk.

8. Adatmegőrzés és törlés

Az Adatkezelő fiókjának törlése esetén a személyes adatok 30 napon belül törlésre kerülnek, kivéve a számviteli bizonylatokat (számla, PDF-archív) — ezekre az Áfa tv. 169.§ szerinti 8 éves megőrzés vonatkozik. Ezt a kötelezettséget a Szolgáltató vagy a fiók végleges törlése után az Adatkezelő rendelkezésére bocsátott export útján biztosítja.

9. Felelősség

A felek a saját felelősségi körükben tartoznak helytállni. Az Adatfeldolgozó által okozott károkért a GDPR 82. cikke szerint felel; a felelősség mértéke a vonatkozó előfizetési időszakra fizetett díj kettős értékére korlátozódik, kivéve a GDPR-ban kötelezően előírt eseteket.

10. Záró rendelkezések

Jelen DPA a NextBill.hu ÁSZF elfogadásával és a regisztráció során tett külön elfogadással válik a felek között hatályossá. A DPA szövegének módosításáról az Adatfeldolgozó legalább 15 nappal a hatálybalépés előtt értesíti az Adatkezelőt.

Kérdés esetén: [email protected]. Kapcsolódó dokumentumok: ÁSZF · Adatkezelési tájékoztató · Impresszum.