Adatvédelem
ADATKEZELÉSI SZABÁLYZAT VILEAL KORLÁTOLT FELELŐSSÉGŰ TÁRSASÁG
1. Bevezetés
A VILEAL Korlátolt Felelősségű Társaság (székhely: 9023 Győr, Kodály Zoltán utca 45. 5. em. 3. a, a továbbiakban VILEAL Kft., szolgáltató, adatkezelő, Társaság), mint adatkezelő, magára nézve kötelezőnek ismeri el jelen adatvédelmi szabályzat tartalmát, valamint kötelezettséget vállal arra, hogy a szolgáltatásaival összefüggő minden adatkezelés a jelen adatkezelési szabályzatban és a hatályos jogszabályokban meghatározottaknak megfelel. A VILEAL Kft. adatkezelési szabályzatával garanciát vállal arra, hogy a személyes adatokat bizalmasan kezeli, és megtesz minden olyan biztonsági, szervezési és technikai intézkedést, amely az adatok biztonságát megóvja.
A VILEAL Kft. adatkezelési elveit jelen adatkezelési szabályzat tartalmazza, amely összhangban van az adatvédelemmel kapcsolatos hatályos jogszabályokkal, különös tekintettel az alábbiakkal:
– az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. tv.
– az Európai Parlament és Tanács 2016/679 rendelete (GDPR)
Jelen adatvédelmi tájékoztató folyamatosan elérhető a VILEAL Kft. weboldalán. a www.vileal.hu cím alatt.
A VILEAL Kft. fenntartja magának a jogot jelen tájékoztató módosítására. Az esetleges módosításokról minden érintett kellő időben tájékoztatást kap.
2. Fogalmak
Személyes adat: azonosított vagy azonosítható természetes személyre (érintett) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen és közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó, egy vagy több tényező alapján azonosítható
Érintett: bármely meghatározott, személyes adat alapján azonosított vagy – közvetlenül vagy közvetve – azonosítható természetes személy.
Hozzájárulás: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok közléséhez.
Tiltakozás: az érintett nyilatkozata, amellyel személyes adatainak kezelését kifogásolja és az adatkezelés megszüntetését, illetve a kezelt adatok törlését kéri.
Adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan, vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó külön szempontokat az uniós vagy a tagállami jog is meghatározhatja.
Adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.
Adattovábbítás: ha az adatot meghatározott harmadik személy számára hozzáférhetővé teszik
Nyilvánosságra hozatal: ha az adatot bárki számára hozzáférhetővé teszik.
Adattörlés: az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges.
Adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel
Harmadik fél: olyan természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak.
Címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek. Az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak.
Harmadik ország: minden olyan állam, amely nem EGT-állam.
3. A VILEAL Kft. adatkezelési alapelvei
A személyes adatok kezelését jogszerűen, tisztességesen, valamint az érintett számára átlátható módon lehet végezni, a gyűjtés, kezelés csak meghatározott, egyértelmű és jogszerű célból történhet. Az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, a szükségesre kell korlátozódniuk. Személyes adatot csak meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében lehet kezelni. Az adatkezelésnek minden szakaszában meg kell felelnie e célnak. Az adatoknak
pontosnak és lehetőség szerint naprakésznek kell lenniük, a pontatlan személyes adatokat haladéktalanul törölni vagy helyesbíteni kell. Tárolásuk csak a kezelés céljainak eléréshez szükséges ideig történik, kivéve, ha a hosszabb tárolást nemzeti vagy uniós jogszabály írja elő vagy engedi meg. Az adatkezelés technikailag oly módon történik, hogy a személyes adatok biztonsága biztosítva legyen.(„integritás és bizalmas jelleg”)
4. Adatkezelés
A Társaság által végzett valamennyi adatkezelés adatvédelem hatálya alá tartozik. A Társaság személyes adatok vonatkozásában adatkezelésre csak akkor jogosult, ha arra jogcímmel rendelkezik.
Személyes adat akkor kezelhető, ha
a. ahhoz az érintett hozzájárul egy vagy több konkrét cél miatt
b. az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megkötéséhez szükséges
c. az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges
d. az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges
e. az adatkezelés közérdekből szükséges feladat végrehajtásához szükséges
f. az adatkezelés az adatkezelő vagy harmadik fél jogos érdekeinek érvényesítéséhez szükséges
Törvényes képviselő hozzájárulása szükséges a cselekvőképtelen és korlátozottan cselekvőképes kiskorú személy nyilatkozatához, kivéve azokat a szolgáltatási részeket, ahol a nyilatkozat a mindennapi életben tömegesen előforduló regisztrációt céloz és különösebb megfontolást nem igényel. Az érintettel az adatkezelés megkezdése előtt közölni kell, hogy az adatkezelés hozzájáruláson alapul vagy kötelező. Kötelező adatkezelés esetén a tájékoztató a jogszabályi rendelkezésre való utalás nyilvánosságra hozatalával is megvalósul. Az érintettet – egyértelműen és részletesen – tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról az adatkezelésre jogosult személyről, az adatkezelés időtartamáról, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is.
A Társaság adatkezelési tevékenysége során adatfeldolgozót igénybe vehet.
[Online látogatókkal kapcsolatos adatkezelés]
A Szolgáltató kezelésében álló [www.vileal.hu] honlap a honlapra történő látogatás tényénél fogva a Felhasználó végberendezésében sütik segítségével adattárolást, illetve adatkezelést hajthat végre a Felhasználó azonosítása, a Felhasználó további látogatásainak megkönnyítése, a Felhasználó részére célzott reklám és egyéb célzott tartalom eljuttatása és piackutatás céljából. A sütik használatához a Felhasználónak minden esetben hozzájárulását kell adni a honlapon megjelenő „Ez a weboldal sütiket (cookie-kat) használ” tájékoztató szöveg mellett, e hozzájárulás kinyilvánítására megadott „Megértettem az adatkezelési tájékoztatóban foglaltakat, elfogadom a sütik használatát” ikon
aktiválásával.
A Felhasználónak a sütik alkalmazására szóló hozzájárulását nem kötelező megadni ahhoz, hogy a honlapot látogatni tudja, ugyanakkor a hozzájárulás megadásának hiányában előfordulhat, hogy a honlap vagy annak egyes aloldalai nem működnek majd megfelelően, illetve a Felhasználó egyes adatokhoz való hozzáférését a honlap megtagadhatja. A „Megértettem az adatkezelési tájékoztatóban foglaltakat, elfogadom a sütik használatát” ikon mellett elhelyezett „További információt kérek” ikon aktiválásával a Felhasználót a weboldal az Adatkezelési Szabályzat weboldal használatával kapcsolatos része kivonatát tartalmazó aloldalára irányítja.
A honlap használata során bizonyos felhasználói adatok automatikusan a Társaság kezelésébe
kerülnek. Ezek a következő adatok:
a) Felhasználó honlappal való nyílt hálózaton keresztüli csatlakozást biztosító eszközének egyes adatai;
b) Felhasználó által használt IP cím.
Ezen adatok kezelésének kizárólagos célja, hogy a Társaság honlap-látogatottsági adatokhoz jusson, illetve a honlappal kapcsolatban felmerülő esetleges hibákat, továbbá támadási kísérleteket megfelelően észlelni és naplózni tudja. Az ilyen adatkezelés jogalapja egyrészt a Felhasználó hozzájárulása, másrészt a Társaság jogos érdekének védelme. A Társaság az adatkezelésre vonatkozó tájékoztatást jelen alfejezet tartalmának honlapon történő közzétételével teljesíti, és a Felhasználó tudomásulvételét és hozzájárulását e körben a honlapra történő látogatásával mint ráutaló magatartással adja meg a Társaság részére. Felhasználó kizárólagos felelősséggel tartozik azért, hogy a Társaság által üzemeltetett honlapon belépéshez használt felhasználó nevét és jelszavát jogosulatlan harmadik személy számára hozzáférhetővé ne tegye, ilyen személlyel azt ne közölje, ne semmisítse meg, ne veszítse el. A Társaság nem vállal felelősséget azért, ha a Felhasználó felhasználói nevét és jelszavát vagy a honlapon megadott egyéb adatait a jelen Szabályzat, valamint az adatvédelemre vonatkozó mindenkor hatályos jogszabályok rendelkezéseitől eltérően kezeli, jogosulatlan harmadik személy számára hozzáférhetővé teszi, ilyen személlyel azt közli, megsemmisíti, elveszíti, és ebből közvetlenül vagy közvetetten joghátrány kockázata keletkezik számára.
5. A személyes adatok jogosultjainak jogai
Azokat a természetes személyeket, akinek a személyes adatait a Társaság – bármely oknál fogva – kezeli, a Társaság adatkezelését illetően a következő jogosultságok illetik:
a.) tájékoztatáshoz való jog;
b.) helyesbítéshez való jog;
c.) elfeledtetéshez való jog;
d.) adatkezelés korlátozásához való jog;
e.) adathordozhatósághoz való jog;
f.) tiltakozáshoz való jog.
A személyes adat jogosultja a jelen fejezetben meghatározott jogát a Társasághoz eljuttatott kérelmével gyakorolhatja. A személyes adat jogosultja kérelmét elektronikusan, papír alapon egyetemes postai szolgáltatás igénybevételével, vagy papír alapon a Társaság székhelyén a Társaság képviseletére jogosult vezető tisztségviselőjének, munkavállalójának vagy a Társasággal foglalkoztatásra irányuló jogviszonyban álló egyéb személynek történő átadással terjesztheti elő. A kérelem átvételére jogosult személy a kérelmet a beérkezését következően haladéktalanul köteles továbbítani a Társaság adatkezelési felelősének ügyintézés céljából. A Társaság adatkezelési felelőse a kérelmet – annak kézhezvételét követően haladéktalanul megvizsgálja – és amennyiben azt állapítja meg, hogy az nyilvánvalóan alaptalan vagy jogosulatlan személytől érkezett, úgy annak érdemi megvizsgálását elutasítja. Amennyiben a kérelem nem nyilvánvalóan alaptalan, illetve jogosult személy terjesztette elő, az adatvédelem felelős a kérelmet érdemben megvizsgálja. Az adatkezelési felelős a kérelem kézhezvételétől számított legkésőbb 30 napon belül értesíti a kérelmet előterjesztőt a kérelem elbírálásáról (a kérelem elutasításáról vagy a kérelem teljesítéséről), illetve a megtett, illetve kezdeményezett intézkedésekről.
A Társaság a helyesbítésről és a törlésről az érintett, továbbá mindazokat értesíti, akiknek korábban az adatot adatkezelés céljára továbbították. Az értesítés mellőzhető, ha ez az adatkezelés céljára való tekintettel az érintett jogos érdekét nem sérti.
5.A. [Helyesbítéshez való jog]
Amennyiben a Társaság pontatlanul vagy hiányosan kezeli a személyes adat jogosultjának valamely személyes adatát, úgy a jogosult kérheti a Társaságot, hogy a pontatlanul kezelt személyes adatot haladéktalanul helyesbítse, illetve a hiányosan kezelt személyes adatot haladéktalanul egészítse ki a jogosult által szolgáltatott és igazolt adatok alapján. A személyes adat jogosultja (vagy képviseletében eljáró és igazolt meghatalmazottja) a helyesbítés iránti kérelmét nyilatkozat megtételével és a Társaság részére történő megküldésével terjesztheti elő. Amennyiben a személyes adatot közokirat (pl. hatósági igazolvány) tartalmazza, úgy a kérelmező köteles felmutatni, illetve másolatban a Társaság részére átadni a személyes adat tartalmát igazoló közokiratot.
5.B. [Elfeledtetéshez való jog]
A személyes adatok jogosultja jogosult a Társaságtól kérni személyes adatainak törlését a Társaság valamennyi nyilvántartásából. A Társaság e kérelem beérkezését követően haladéktalanul törli a törölni kért személyes adatokat, ha az alábbi indokok egyike fennáll:
a) a személyes adatra nincsen szükség abból a célból, amely az adatkezelés alapját képezte;
b) a személyes adatok jogosulja adatkezeléshez hozzájáruló nyilatkozatát visszavonta, és az adatkezelésnek nincs egyéb jogalapja;
c) bebizonyosodik, hogy a személyes adatokat a Társaság jogellenesen kezelte;
d) jogszabályi kötelezettségnél fogva a Társaság köteles a személyes adatok törlésére.
A személyes adat jogosultja a törlés iránti kérelmét nyilatkozat megtételével és a Társaság
részére történő megküldésével terjesztheti elő.
A Társaság a személyes adat törlését megtagadhatja, amennyiben a GDPR 17. cikk (3)
bekezdésében meghatározott körülmények valamelyike fennáll.
5.C. [Adatkezelés korlátozásához való jog]
A személyes adatok jogosultja jogosult kérni a Társaságot, hogy személyes adataira vonatkozó adatkezelést korlátozza amennyiben:
a.) a személyes adatok jogosultja vitatja a Társaság által gyűjtött és tárolt személyes adatai pontosságát, ezen adatok pontosságának vizsgálatára vonatkozó időtartamra; vagy
b.) a Társaság által végzett adatkezelés jogellenes, és a személyes adatok jogosultja a gyűjtött és tárolt személyes adatainak törlését ellenzi; vagy
c.) az adatkezelés célja megszűnt, és a Társaságnak nincs szüksége a gyűjtött és tárolt személyes adatokra, de a személyes adatok jogosultja jogi igénye előterjesztése, érvényesítése vagy védelme érdekében kéri a további (korlátozott) adatkezelést; vagy
d.) a személyes adatok jogosultja tiltakozási jogával él, a tiltakozási jog jogszerűségének kivizsgálásának idejére.
A személyes adat jogosultja (vagy képviseletében eljáró és igazolt meghatalmazottja) a korlátozás iránti kérelmét nyilatkozat megtételével és a Társaság részére történő
megküldésével terjesztheti elő. A korlátozás alá eső személyes adatot a Társaság kizárólag tárolni jogosult. A korlátozás alá eső személyes adaton adatkezelést végrehajtani a Társaság kizárólag a jogosult előzetes írásbeli hozzájárulása vagy jogi érdekének előterjesztése, érvényesítése vagy védelme érdekében, továbbá az Európai Unió vagy tagállama fontos közérdekéből jogosult. Amennyiben a személyes adat korlátozásának feltételei nem állnak fenn, úgy a Társaság a korlátozást feloldja, és erről előzetesen köteles tájékoztatni a személyes adatok jogosultját.
5.D. [Adathordozhatósághoz való jog]
Az olyan személyes adat vonatkozásában, amelyet a Társaság a személyes adat jogosultjának hozzájárulása alapján automatizált módon kezel a személyes adat jogosultja kérheti a Társaságot, hogy az általa rendelkezésre bocsátott személyes adatait a Társaság elektronikus formátumban – a GDPR 20. cikk (1) bekezdésében meghatározottak szerint – a rendelkezésére bocsássa. A Társaság a gyűjtött és tárolt személyes adatok elektronikus formában történő átadásánál köteles figyelemmel lenni arra, hogy a személyes adatok jogosultja az elektronikus formában átadott gyűjtött és tárolt személyes adatait jogosult átadni másik adatkezelőnek, vagy a Társaságot felkérni arra, hogy e személyes adatokat közvetlenül küldje meg másik adatkezelőnek. A személyes adat jogosultja (vagy képviseletében eljáró és igazolt meghatalmazottja) az adathordozás iránti kérelmét nyilatkozat megtételével és a Társaság részére történő megküldésével terjesztheti elő.
5.E. [Tiltakozáshoz való jog]
A személyes adat jogosultja tiltakozhat a személyes adatainak Társaság általi adatkezelése ellen, amennyiben a Társaság az adatkezelést a Társaság vagy harmadik felé jogos érdekének érvényesítése érdekében hajtja végre. A személyes adat jogosultja (vagy képviseletében eljáró és igazolt meghatalmazottja) a tiltakozás iránti kérelmét nyilatkozat megtételével és a Társaság részére történő megküldésével terjesztheti elő. A tiltakozó nyilatkozat Társaság általi elfogadását követően a Társaság nem jogosult az érintett személyes adatot a Társaság vagy harmadik fél jogos érdekének érvényesítése érdekében kezelni, kivéve, ha a Társaság bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos ok igazolja, amelyek elsőbbséget élvez az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyik jogi igények előterjesztéséhez, érvényesítéséhez vagy
védelméhez kapcsolódik
Korlátozás nélkül használható, általános és egységes személyazonosító jel alkalmazása tilos. A személyes adatok akkor továbbíthatóak, valamint a különböző adatkezelések akkor kapcsolhatók össze, ha az érintett ahhoz hozzájárul, vagy törvény azt megengedi, és ha az adatkezelés feltételei minden egyes személyes adatra nézve teljesülnek.
Személyes adat (beleértve a különleges adatot is ) az országból – az adathordozótól vagy az adatátvitel módjától függetlenül – harmadik országban lévő adatkezelő vagy adatfeldolgozó részére akkor továbbítható, ha ahhoz az érintett kifejezetten hozzájárult, vagy azt törvény lehetővé teszi, és a harmadik országban az átadott adatok kezelése, illetőleg feldolgozása során biztosított a személyes adatok megfelelő szintű védelme. Az EGT-államokba irányuló adattovábbítást úgy kell tekinteni, mintha a Magyar Köztársaság területén belüli adattovábbításra kerülne sor. A bíróság, az ügyész és a nyomozó hatóság, illetőleg jogszabályi felhatalmazás alapján más szervek megkereshetik a VILEAL Kft –t tájékoztatás adása, adatok közlése, átadása, illetőleg iratok rendelkezésre bocsátása céljából. A megkeresésben az adatkezelés pontos célját és a kért adatok körét meg kell jelölni. A megkeresés csak annyi és olyan személyes adatra vonatkozhat, amely a megkeresés céljának megvalósításához elengedhetetlenül szükséges.
6. A személyes adatok kezelésének célja, jogalapja, időtartama és köre
6.1. Adatkezelési célok:
6.1.1. fuvarozási, szállítmányozási, logisztikai tevékenység nyújtásához kapcsolódóan a szolgáltatást igénybevevők adatai mint jogi kötelezettség teljesítése és ügyfélkapcsolat fenntartása céljából.
6.1.2. fuvarozási, szállítmányozási, logisztikai tevékenység gyakorlásához kapcsolódóan alvállalkozók, egyéb, a teljesítésben közreműködők adatai, valamint a velük kapcsolatban álló természetes személyek (pl. sofőrök) adatai mint jogi kötelezettség teljesítése és kapcsolattartása céljából.
6.2.A kezelt adatok köre: név, telefonszám, e-mail cím, esetleges egyéb számlázási adatok
6.3.Az adatkezelés jogalapja: az adatkezelések az érintettek önkéntes hozzájárulásán alapulnak, illetve a vonatkozó (fuvarozásra, számlázásra stb.) jogszabályokon alapulnak. Amennyiben az adatot közlő nem saját személyes adatait adja meg, az adatközlő kötelessége az érintett igazolható hozzájárulásának beszerzése.
6.4.Az adatkezelés időtartama: az érintett írásos törlési kérelméig, illetve a teljesítésig, folyamatos üzleti kapcsolat esetén az üzleti kapcsolat fennállásáig szükséges ideig tart. Amennyiben jogszabály hosszabb ideig tartó adatkezelést ír elő, a jogszabályban meghatározott ideig tart.
7.A személyes adatok tárolása, biztonsága
A VILEAL Kft. számítástechnikai rendszere és más adatmegőrzési helye a székhelyén a 9023 Győr, Kodály Zoltán utca 45. 5. em. 3. a. sz alatt található meg. A VILEAL Kft. informatikai eszközeinek kiválasztásakor, beszerzésekor és üzemeltetésekor figyelembe veszi, biztosítja, hogy a kezelt személyes adat csak a feljogosítottak számára legyen hozzáférhető, eredete igazolható, hiteles legyen. A VILEAL Kft. informatikai rendszere és hálózata egyaránt védelemmel van ellátva a számítógéppel támogatott csalás, kémkedés, szabotázs, vandalizmus, tűz és árvíz, továbbá a számítógépvírusok, a számítógépes betörések és a szolgálatmegtagadásra vezető támadások ellen, valamint a VILEAL Kft. a biztonságról szerverszintű és alkalmazásszintű védelmi eljárásokkal gondoskodik. A VILEAL Kft. tájékoztatja a felhasználókat, hogy az interneten továbbított elektronikus üzenetek, protokolltól (e-mail, web, ftp, stb.) függetlenül sérülékenyek az olyan hálózati fenyegetésekkel szemben, amelyek tisztességtelen tevékenységre, szerződés vitatására, vagy az információ felfedésére, módosítására vezetnek. Az ilyen fenyegetésektől megvédendő a VILEAL Kft megtesz minden tőle elvárható óvintézkedést. A rendszereket megfigyeli annak érdekében, hogy minden biztonsági eltérést rögzíthessen és bizonyítékkal szolgálhasson. A Társaság az adatkezelési, valamint ezzel kapcsolatos szervezési tevékenysége során figyelembe veszi a tudomány és technológia mindenkori állását és fejlődését. Törekszik arra, hogy az adatbiztonság fenntartása érdekében a lehető legbiztonságosabb, illetve a kockázat mértékének megfelelő adatbiztonságot garantáló technológiát alkalmazza a természetes személyek jogainak és szabadságainak védelme érdekében. Eszköz lopás esetén, 15 percen belül az ellopott gép felhasználójának letiltása megoldott az ügyvezető által.
8. Adatvédelmi incidens esetén követendő protokoll
Adatvédelmi incidens – a GDPR 4. cikk 12. pontjával összhangban – a biztonság olyan sérülése, amely lehet
a) a bizalmasság sérülése, így a továbbított, tárolt vagy más módon kezelt személyes adat jogosulatlan közlése vagy az ahhoz való jogosulatlan hozzáférés;
b) a hozzáférés sérülése, így a továbbított, tárolt vagy más módon kezelt személyes adat véletlen vagy jogellenes megsemmisítése, elvesztése;
c) az integritás sérülése, így a továbbított, tárolt vagy más módon kezelt személyes adat megváltoztatása.
Amennyiben a Társaság munkavállalója, illetve a Társasággal foglalkoztatásra irányuló jogviszonyban álló egyéb személy azt tapasztalja, hogy a Társaság által gyűjtött, tárolt személyes adatok vonatkozásában fennállhat a biztonság sérülésének a lehetősége, haladéktalanul köteles az ügyvezetőt erről tájékoztatni (a továbbiakban: Jelzés). Biztonság sérülése minden olyan körülmény, amelynek eredményeként a Társaság adatkezelő rendszerében, nyilvántartásaiban sérülés következik be az adatbiztonsági rendelkezésekkel ellentétes módon. A biztonság sérülése nem jelenti feltétlenül adatvédelmi incidens bekövetkeztének a tényét is. Az ügyvezető (továbbiakban: Adatkezelési felelős) a Jelzést megtételét követően haladéktalanul köteles megvizsgálni és értékelni a helyzetet. A vizsgálatnak ki kell terjedni a biztonság sérülésének lehetőségeként jelzett körülmény valamennyi elemére, illetve a Jelzéssel érintett valamennyi nyilvántartás, így személyes adatok helyzetének vizsgálatára. Az Adatkezelési felelős vizsgálata során elsődlegesen azt köteles megállapítani, hogy a biztonság sérülése ténylegesen megtörtént-e. Amennyiben az Adatkezelési felelős azt állapítja meg, hogy a biztonság nem sérült, úgy eljárását megszünteti és a vizsgálata eredményéről jelentést készít. Amennyiben az Adatkezelési felelős azt állapítja meg, hogy a biztonság megsérült, úgy másodsorban köteles megvizsgálni, hogy adatvédelmi incidens történt-e. Amennyiben az Adatkezelési felelős azt állapítja meg, hogy adatvédelmi incidens nem történt, úgy köteles megtenni mindazon intézkedést, amely a biztonság helyreállítása érdekében szükséges, továbbá eljárását megszünteti és a vizsgálat eredményéről jelentést készít. Amennyiben az Adatkezelési felelős azt állapítja meg, hogy a biztonság sérülésével egy időben adatvédelmi incidens is történt, úgy köteles harmadsorban megvizsgálni, hogy az adatvédelmi incidens az érintett személyes adatok jogosultjainak jogaira és szabadságaira kockázatot jelent-e. Amennyiben azt állapítja meg, hogy ilyen kockázatot az adatvédelmi incidens nem jelent, úgy köteles megtenni mindazon intézkedést, amely a biztonság helyreállítása érdekében szükséges, továbbá eljárását megszünteti és a vizsgálat eredményéről jelentést készít. Amennyiben az Adatkezelési felelős azt állapítja meg, hogy a biztonság sérülésével egy időben az adatvédelmi incidens kockázatot jelent az érintett személyes adat jogosultjainak jogai és szabadságaira, úgy az Adatkezelési felelős azt köteles megvizsgálni, hogy ez a kockázat milyen mértékű. Amennyiben az adatvédelmi incidens az érintett személyes adat jogosultjai jogaira és szabadságaira kockázatot jelent, úgy köteles vizsgálata eredményéről jelentést készíteni, illetve a Hatóság, vagy – szükség esetén – egyéb tagállami adatvédelmi hatóság részére bejelenteni. Amennyiben az Adatkezelési felelős vizsgálata azt állapítja meg, hogy az adatvédelmi incidens az érintett személyes adat jogosultjai jogaira és szabadságaira magas kockázatot jelent, úgy köteles vizsgálata eredményéről jelentést készíteni,, illetve a Hatóság, vagy – szükség esetén – egyéb tagállami adatvédelmi hatóság részére bejelenteni, továbbá az érintett személyes adatok jogosultjait az adatvédelmi incidensről tájékoztatni.
A Társaság mint adatkezelő az Adatkezelési felelős útján bejelentési kötelezettségét indokolatlan késedelem nélkül, de legkésőbb az adatvédelmi incidens tudomására jutásától számított 72 órán belül köteles teljesíteni. A Társaság mint adatkezelő akkor jut az adatvédelmi incidens tudomására, amikor az Adatkezelési felelős kellő bizonyossággal meg tudja állapítani a biztonság sérülésének tényét. Az Adatkezelési felelős a biztonság sérülése ténye megállapítását követően haladéktalanul köteles értékelni a helyzetet. Amennyiben az Adatkezelési felelős 72 órán belül nem tudja lefolytatni vizsgálatát, úgy köteles a határidőn belül megtenni a bejelentését, illetve tájékoztatását, és vizsgálatát köteles tovább folytatni. Amennyiben a vizsgálat eredménye az Adatkezelési felelős rendelkezésére áll, úgy arról kiegészítő bejelentést/kiegészítő tájékoztatást vagy módosító bejelentést/módosító tájékoztatást köteles tenni. Az Adatvédelmi felelős a Társaság képviseletében legalább a GDPR rendelet 33. cikk (3) bekezdésében felsorolt információkat, adatokat köteles megadni bejelentésében. Az Adatkezelési felelős nem köteles bejelentést tenni, amennyiben az adatvédelmi incidens
valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira. A kockázat fennállására vonatkozó értékelést az Adatkezelési felelős az eset összes körülményének figyelembevételével köteles teljesíteni. Azt a körülményt, hogy az adatvédelmi incidens a természetes személyek jogaira és szabadságaira kockázattal nem jár, bizonyítani és jelentésbe foglalni, valamint a biztonság helyreállítása érdekében szükséges intézkedéseket megtenni köteles.
Az Adatkezelési felelős a következőkről köteles tájékoztatni a személyes adat jogosultjait:
a) az adatvédelmi incidens ténye, jellege;
b) az Adatkezelési felelős neve és elérhetőségei;
c) az adatvédelmi incidens lehetséges következményei;
d) az adatvédelmi incidens eredményeként elállt magas kockázat mérséklésére és az incidens előtti állapot helyreállítására a Társaság mint adatkezelő által igénybe vett eszközök.
Az Adatkezelési felelős a tájékoztatását a személyes adatok jogosultjai által (köz)érthető és egyszerű megfogalmazással, releváns nyelven és késedelem nélkül köteles megtenni olyan kommunikációs csatornán, amelyen az Adatkezelési felelős értékelése alapján a tájékoztatás a leghamarabb megérkezik a személyes adatok jogosultjaihoz. Az Adatkezelési felelős egyszerre akár több kommunikációs formát is igénybe vehet a tájékoztatási kötelezettség teljesítése érdekében. Az Adatkezelési felelős a személyes adatok jogosultjainak szóló tájékoztatást akkor mellőzheti, ha
a) az adatvédelmi incidens a személyes adatok jogosultjainak jogaira és szabadságaira magas kockázatot nem jelent, mert például a jogosulatlan harmadik személlyel közölt személyes adathoz e személy hozzáférni (titkosítás okán) nem tud, és az adatkezelő birtokában van az érintett személyes adatokról másolat;
b) az adatvédelmi incidens lehetőségéről való tudomásszerzést követően haladéktalanul megtett intézkedések eredményeként a magas kockázat lehetősége fel sem került;
c) az adatvédelmi incidens eredményeként előállt kockázat egyéb okból nem tekinthető magasnak.
Az adatvédelmi incidensekről nyilvántartást kell vezetni.
9. Jogorvoslat
Amennyiben a személyes adat jogosultja a személyes adatai kezelése vonatkozásában azt tapasztalja, hogy a Társaság megsérti az adatvédelmi jogszabályokban meghatározottakat, úgy jogai védelme érdekében jogorvoslati kérelemmel fordulhat a területileg illetékes bírósághoz, vagy a Nemzeti Adatvédelmi és Információszabadság Hatósághoz 1125 Budapest, Szilágyi Erzsébet fasor 22/c.
