Adatfeldolgozói szerződés (DPA)

Jelen Adatfeldolgozói Szerződés (a továbbiakban: DPA) az általános adatvédelmi rendelet (GDPR – 2016/679/EU) 28. cikke alapján szabályozza az Adatkezelő(a NextBill.hu Szolgáltatást használó természetes vagy jogi személy) és az Adatfeldolgozó(NextSoft Kft.) közötti adatfeldolgozási tevékenységet.

1. A felek

Adatfeldolgozó: NextSoft Kft. (székhely: 2131 Göd, Pesti út 104.; cégjegyzékszám: 13-09-249751; adószám: 33144102-2-13; e-mail: [email protected]).

Adatkezelő: a NextBill.hu Szolgáltatást regisztráción keresztül igénybe vevő természetes vagy jogi személy, akinek adatkezelői minőségéről a regisztrációkor megadott szervezeti adatok adnak felvilágosítást.

2. A szerződés tárgya és időtartama

Az Adatfeldolgozó az Adatkezelő utasítása alapján, kizárólag a NextBill.hu Szolgáltatás nyújtása érdekében kezel személyes adatokat, az ÁSZF szerinti előfizetési időszak teljes hossza alatt.

3. Az adatkezelés természete és célja

Az adatfeldolgozás célja az Adatkezelő által kibocsátott számlák tárolása, NAV Online Számla felé történő adatszolgáltatás, e-mailek küldése (számla, fizetési emlékeztető), valamint a Szolgáltatás megfelelő működésének biztosítása.

4. Az érintettek köre, adatkategóriák

• Érintettek: az Adatkezelő vevői, ügyfelei, üzleti partnerei (jellemzően természetes személyek vagy egyéni vállalkozók); az Adatkezelő munkatársai, akik a Szolgáltatást használják.
• Adatkategóriák: név, cím, adószám/EU-adószám, e-mail, telefonszám, banki adatok, számlán szereplő tételek és összegek; bejövő számlák esetén a NAV-ból letöltött szállítói adatok.

5. Az Adatfeldolgozó kötelezettségei

• Kizárólag az Adatkezelő dokumentált utasításai alapján kezel adatot (kivéve, ha uniós vagy tagállami jog másra kötelezi).
• Biztosítja, hogy az adatkezelésre jogosult személyek titoktartási kötelezettséget vállaljanak.
• A GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmaz: HTTPS/TLS, belépés a Next-család közös fiókjával (NextID — a Szolgáltatás jelszót nem tárol), az érzékeny mezők (NAV- és SMTP-jelszavak) AES-256 titkosítása, auditnapló, szerepkör-alapú hozzáférés-szabályozás, EU-szerveres tárolás (NextHub, Magyarország), rendszeres, titkosított biztonsági mentés.
• Segíti az Adatkezelőt az érintetti jogok érvényesítésében (hozzáférés, helyesbítés, törlés, hordozhatóság).
• Adatvédelmi incidens esetén indokolatlan késedelem nélkül, legkésőbb 72 órán belül értesíti az Adatkezelőt.
• Segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében (DPIA, előzetes konzultáció a hatósággal).
• Az Adatkezelő választása szerint a szerződés megszűnésekor minden személyes adatot töröl vagy visszaad, kivéve, ha jogszabály (pl. Szt. 169. § – 8 év) további megőrzést ír elő.
• Az Adatkezelő által végzett megfelelőség-ellenőrzéshez (audit) szükséges információkat rendelkezésre bocsátja.

6. További adatfeldolgozók (sub-processorok)

Az Adatfeldolgozó a következő további adatfeldolgozókat veszi igénybe; az Adatkezelő a regisztrációval ezen alvállalkozók igénybevételéhez általános hozzájárulást ad. Új alvállalkozó bevonása esetén az Adatfeldolgozó előzetesen értesíti az Adatkezelőt, és kifogás esetén lehetőséget ad a szerződés felmondására.

• NextHub (a NextSoft Kft. saját üzemeltetésű tárhelyplatformja, EU/Magyarország) – alkalmazás- és adatbázis-hosting.
• NAV Online Számla rendszer – jogszabályon alapuló, kötelező magyarországi adatszolgáltatás; a NAV nem „sub-processor”, hanem önálló adatkezelő.
• E-mailek kézbesítése – ha az Adatkezelő a Szolgáltatás beállításai között saját SMTP-szervert ad meg, a számlákat azon keresztül küldjük; ennek hiányában a Szolgáltató saját levélküldő szolgáltatásán (NextHub, Magyarország), [email protected] feladóval és az Adatkezelő válaszcímével.
• Cloudflare, Inc. (Amerikai Egyesült Államok) – a forgalom továbbítása és védelme (CDN, DDoS-védelem), Turnstile, valamint a titkosított biztonsági mentések EU-s tárolása (Cloudflare R2, EU-joghatóság).

A bankkártyás előfizetési díjat a Stripe Payments Europe Ltd. (Írország) szedi be; ehhez az Adatkezelő saját adatait (e-mail cím, név) kezeli, a számlákon szereplő vevői adatokhoz nem fér hozzá. Ez nem a jelen DPA szerinti adatfeldolgozás — erről az Adatkezelési tájékoztató szól.

7. Nemzetközi adattovábbítás

Az adatokat az EU területén (Magyarországon) tároljuk, a biztonsági mentéseket EU-joghatóság alatt. A Cloudflare, Inc. amerikai székhelyű vállalat, amelyen a Szolgáltatás forgalma áthalad; az ezzel járó EU-n kívüli adattovábbítás jogi garanciáját az Európai Bizottság által elfogadott általános szerződési feltételek (EU SCC), illetve a szolgáltató adatfeldolgozási feltételei biztosítják.

8. Adatmegőrzés és törlés

A felhasználói fiók törlésekor a felhasználó személyes adatait azonnal anonimizáljuk. A szervezet számláit, a számlákon szereplő vevői adatokat és a PDF-archívumot — mint számviteli bizonylatokat — az Szt. 169. §-a szerinti 8 éves megőrzési idő végéig megőrizzük, azt követően töröljük. A biztonsági mentésekből az adatok a mentések megőrzési idejének lejártával (az EU-s felhőmentésből 30 nap, a titkosított saját mentésből legfeljebb 8 év) tűnnek el. Az Adatkezelő a fiók törlése előtt az adatait géppel olvasható formátumban exportálhatja.

9. Felelősség

A felek a saját felelősségi körükben tartoznak helytállni. Az Adatfeldolgozó az általa okozott károkért a GDPR 82. cikke szerint felel; a felelősség mértéke a vonatkozó előfizetési időszakra fizetett díj kétszeresére korlátozódik, kivéve a GDPR-ban kötelezően előírt eseteket.

10. Záró rendelkezések

Jelen DPA a NextBill.hu ÁSZF elfogadásával és a regisztráció során tett külön elfogadással válik a felek között hatályossá. A DPA szövegének módosításáról az Adatfeldolgozó legalább 15 nappal a hatálybalépés előtt értesíti az Adatkezelőt.

Kérdés esetén: [email protected]. Kapcsolódó dokumentumok: ÁSZF · Adatkezelési tájékoztató · Impresszum.