Adatfeldolgozási szerződés (AVV)

1. Tárgy és időtartam

A megállapodás tárgya a személyes adatok feldolgozása a LogCon mint software as a service szolgáltatás nyújtása során. Az időtartam a főszerződés időtartamának felel meg.

2. Az adatfeldolgozás jellege és célja

Fuvarszervezés, MI-alapú megrendeléskezelés, diszpozíció, kommunikáció ügyfelekkel, fuvarozókkal és sofőrökkel, dokumentumkészítés, vám-előkészítés és számlázás.

3. Adatkategóriák és érintettek

• Az adatkezelő munkatársai: név, e-mail, telefon, szerepkör, nyelv, bejelentkezési adatok
• Sofőrök (saját és alvállalkozói): név, telefon, nyelv, képesítések, pozícióadatok fuvar közben
• Ügyfelek és fuvarozók kapcsolattartói: név, elérhetőségek, kommunikáció tartalma
• Megrendelési, dokumentum-, vám- és számlaadatok személyes vonatkozással

4. Az adatfeldolgozó kötelezettségei

• Feldolgozás kizárólag az adatkezelő dokumentált utasításai alapján
• Titoktartási kötelezettség minden felhatalmazott személy számára
• A technikai és szervezési intézkedések (1. melléklet) végrehajtása
• Támogatás az érintetti jogok, az adatvédelmi hatásvizsgálatok és a bejelentési kötelezettségek terén
• Az adatkezelő tájékoztatása, ha egy utasítás az adatfeldolgozó megítélése szerint sérti az adatvédelmi jogot

5. Alfeldolgozók

Az adatkezelő jóváhagyja a 2. mellékletben felsorolt alfeldolgozókat. Az adatfeldolgozó a tervezett változásokról legalább 30 nappal előre tájékoztatja az adatkezelőt; az adatkezelő adatvédelmi jogi okból tiltakozhat.

6. Technikai és szervezési intézkedések (1. melléklet)

• Fizikai beléptetés-ellenőrzés: EU-s, ISO 27001 tanúsítvánnyal rendelkező adatközpont, az adatfeldolgozó munkatársainak fizikai belépése nélkül
• Rendszer-hozzáférés ellenőrzése: bcrypt-tel hashelt jelszavak, kétfaktoros hitelesítés, zárolás sikertelen próbálkozás után, lejáró érvényességű JWT, API-kulcsok kizárólag hash formában tárolva
• Adathozzáférés ellenőrzése: szerepkör-alapú jogosultságok, a legkisebb jogosultság elve, platformszintű adminisztráció csak az adatbázisban ellenőrzött jogosultságokkal
• Elkülönítés ellenőrzése: bérlőazonosító minden táblán, bérlőnkénti elkülönített tárolási útvonalak
• Titkosítás: TLS az átvitel során, AES-256-GCM az integrációs hozzáférési adatokhoz, lemeztitkosítás a hostingszolgáltatónál
• Bevitel-ellenőrzés: auditnapló előtte/utána állapottal a módosításokhoz és az MI-akciókhoz
• Továbbítás-ellenőrzés: HMAC-cel aláírt webhookok, kimenő e-mailek csak konfigurált szervereken keresztül
• Rendelkezésre állás: az adatbázis és a dokumentumok napi titkosított mentése, 7 napi, 4 heti és 12 havi mentés megőrzésével, titkosított, telephelyen kívüli (off-site) másolat egy második szolgáltatónál, dokumentált helyreállítási eljárás, monitorozás
• Adatvédelmi irányítás: adatkezelési tevékenységek nyilvántartása, törlési koncepció, incidenskezelési folyamat

7. Adatvédelmi incidensek bejelentése

Az adatfeldolgozó a személyes adatokat érintő jogsértéseket indokolatlan késedelem nélkül, legkésőbb a tudomásszerzéstől számított 24 órán belül jelenti, a GDPR 33. cikk (3) bekezdése szerinti információkkal.

8. Ellenőrzési jogok

Az adatkezelő jogosult ellenőrizni e megállapodás betartását bizonyítékok és jelentések áttekintésével, valamint kellő időben történő előzetes bejelentést követően helyszíni ellenőrzésekkel.

9. Törlés és visszaadás

A szerződés megszűnése után az adatfeldolgozó 30 napig biztosít teljes adatexportot, majd törli az adatkezelő valamennyi adatát, beleértve a másolatokat is, és a törlést visszaigazolja. A törvényi megőrzési kötelezettségek ettől nem érintettek; a titkosított mentési másolatok a rendszeres rotációs ciklusban, legkésőbb 12 hónap elteltével felülíródnak.

10. Harmadik országba történő továbbítás

Harmadik országba történő továbbítás kizárólag a GDPR 44. és azt követő cikkeinek feltételei mellett, különösen megfelelőségi határozat vagy általános szerződési feltételek alapján történik.

11. MI-átláthatóság (4. melléklet)

Az MI-ügynökök javaslatokat készítenek, vagy – az adatkezelő által beállított autonómiaszinttől függően – akciókat hajtanak végre. Minden MI-akció naplózásra kerül modell, időpont, megbízhatóság és előtte/utána állapot megjelölésével; az automatikus akciók visszavonhatók. Az ügyféladatokat nem használjuk MI-modellek tanítására.

12. Záró rendelkezések

Ellentmondás esetén ez a megállapodás adatvédelmi kérdésekben elsőbbséget élvez a főszerződéssel szemben. Az osztrák jog alkalmazandó; a joghatóság helye Wien.

2. melléklet: alfeldolgozók

Lásd a következő táblázatot.