Letöltés PDF formátumban

Axon Produkt Kft. – Adatfeldolgozói Megállapodás (DPA)

Verzió: 1.0

Hatálybalépés: 2026. november 5.

1. Felek és szerződéses kapcsolat

1.1. Megbízó: az Axon egyedi szolgáltatási szerződésében vagy elfogadott megrendelésében azonosított ügyfél, a megrendelésben megadott képviselőjével és kapcsolattartójával. A megrendelés azonosítója, az alkalmazott DPA-verzió és annak elfogadási bizonyítéka együttesen azonosítják a megállapodást. A Megbízó adatkezelőként vagy – saját adatkezelője felhatalmazása alapján – adatfeldolgozóként jár el.

1.2. Adatfeldolgozó: Axon Produkt Kft.; székhely: 6791 Szeged, Majális utca 9.; levelezési cím: 6791 Szeged, Ballada utca 2/A.; cégjegyzékszám: 06-09-011094; adószám: 13888501-2-06; képviselő: Sántha Bence Dániel ügyvezető. Adatvédelmi és incidenskapcsolat: ugyfel@axonltd.hu; technikai támogatás: +36 62 202 680. Az ügyfélportál azonosított hibajegycsatornája is használható.

1.3. Főszerződés: az adott szolgáltatás egyedi megállapodása, elfogadott megrendelése, alkalmazandó ÁSZF-je és szolgáltatásleírása. Jelen DPA kizárólag arra a személyesadat-kezelésre alkalmazandó, amelyet az Axon a Megbízó nevében végez. Nem terjeszt ki automatikusan mentési vagy üzemeltetési szolgáltatást olyan csomagra, amelynek az nem része.

1.4. Adatfeldolgozási kérdésben a DPA a főszerződés általános rendelkezéseivel szemben elsőbbséget élvez. Egyedi adatfeldolgozási eltérés csak írásban, a GDPR kötelező szabályainak sérelme nélkül alkalmazható. A díjat, kapacitást, támogatási kört és rendelkezésre állást egyébként a főszerződés határozza meg.

2. Szerepek és hatáskörök

2.1. A Megbízó határozza meg saját adatkezelésének célját, jogalapját, lényeges eszközeit, az érintetteket, az adatköröket és a megőrzési igényt. Az Axon a szolgáltatás teljesítéséhez szükséges technikai műveleteket végzi az írásban dokumentált utasítások szerint. A rendszergazdai hozzáférés puszta lehetősége nem teszi az Axont az ügyféltartalom önálló adatkezelőjévé.

2.2. Ha a Megbízó maga adatfeldolgozó, az Axon további adatfeldolgozó. A Megbízó köteles igazolni, hogy az igénybevételre és utasításadásra felhatalmazása van, és a saját adatkezelőjétől kapott, az Axon feladatait érintő követelményeket előzetesen közölni. Az Axon nem vállalhat olyan feltételt, amely a teljes láncon alkalmazandó kötelező védelmet csökkenti.

2.3. Az Axon saját ügyfélfiókja, szerződéskötése, számlázása, követeléskezelése, szükséges kapcsolattartása, jogi kötelezettsége és saját célú infrastruktúra-biztonsági naplózása során önálló adatkezelőként járhat el. Ezekre a külön adatkezelési tájékoztató vonatkozik. Az ügyfél alkalmazásnaplóját és a szolgáltató saját biztonsági naplóját rendeltetésük alapján kell megkülönböztetni, nem pusztán a tárolási hely alapján.

2.4. A szerepet a tényleges feladat és döntési jog határozza meg. Ha az Axon valamely feldolgozott adatot saját, új céljára kívánna használni, annak önálló jogszerűségét és tájékoztatását külön rendezni kell; jelen DPA ilyen felhasználásra nem ad általános engedélyt.

3. Tárgy, cél, adatkör, időtartam

3.1. Az adatfeldolgozás tárgya a megrendelt tárhely-, levelezési, szerver-, mentési, migrációs vagy menedzselt szolgáltatás teljesítése. A szolgáltatásonkénti műveleteket, adatokat, érintetti köröket és hatásköröket az M1 melléklet részletezi.

3.2. A műveletek közé tartozhat a tárolás, technikai rendszerezés, kiszolgálás, továbbítás, jogosultságkezelés, mentés, visszaállítás, migráció, technikai naplókezelés, hibaelhárítás és törlés. Az Axon az adatokat nem használja saját marketingre, értékesítésre, profilalkotásra vagy a megrendelt szolgáltatástól eltérő önálló célra.

3.3. A feldolgozás a szolgáltatás és az elfogadott technikai átadási, törlési és mentési életciklus alatt tarthat. Jogszabályi kötelezésből eredő további megőrzéshez az érintett adatot, jogalapot, célt és időtartamot külön kell azonosítani. Az időtartamokat az M3 melléklet és a 12. pont rögzíti; a megállapodás a még fennmaradó feldolgozásra a főszerződés megszűnése után is alkalmazandó.

3.4. A Megbízó köteles az M1 szerinti általános kategóriákat saját szolgáltatására szűkíteni, és előzetesen jelezni az eltérő kockázatot. Az általános kategóriajegyzék nem felhatalmazás szükségtelen vagy jogellenes adatgyűjtésre.

4. Dokumentált utasítások

4.1. Utasításnak minősül a főszerződés, jelen DPA és a szolgáltatás rendeltetésszerű használatára vonatkozó elfogadott dokumentáció, továbbá a jogosult személy ügyfélportálon, hibajegyben vagy azonosított e-mailben adott utasítása. Az Axon a lényeges, adatkiadással, törléssel vagy jogosultsággal járó utasítás eredetét ellenőrzi és az elvégzést dokumentálja.

4.2. Az Axon a személyes adatot csak az utasítás körében kezeli, beleértve a harmadik országba továbbítást is. Kivétel az Axonra alkalmazandó uniós vagy tagállami jogi kötelezettség; erről a Megbízót előzetesen tájékoztatja, ha a jogszabály ezt fontos közérdekből nem tiltja.

4.3. Ha egy utasítás az Axon megítélése szerint adatvédelmi jogszabályba ütközik, az Axon indokolatlan késedelem nélkül jelzi a problémát, és a vitatott műveletet a jogszerűség tisztázásáig felfüggeszti. A Megbízó puszta ismételt megerősítése nem tesz jogszerűvé tiltott adatkezelést. Sürgős védelmi intézkedésnél csak a szükséges és arányos művelet végezhető, utólagos tájékoztatással és dokumentálással.

4.4. A szerződés keretein kívüli új utasítást a felek kapacitás, biztonság, díj és teljesítési idő szempontjából egyeztetik. Ez nem szolgálhat a kötelező adatvédelmi segítségnyújtás vagy jogszerű ellenőrzés általános megtagadására.

5. Titoktartás és hozzáférés

5.1. Az Axon gondoskodik arról, hogy az adatokhoz hozzáférő munkavállalója és közreműködője megfelelő szerződéses vagy jogszabályi titoktartás alatt álljon. E kötelezettség a hozzáférés megszűnése után is fennmarad.

5.2. Hozzáférés csak a feladathoz szükséges személynek, szükséges terjedelemben és ideig adható. Az adminisztratív hozzáféréseket nyilván kell tartani, felül kell vizsgálni, megszűnő feladat esetén vissza kell vonni. Távoli vagy rendkívüli hozzáférésre is e szabályok irányadók.

5.3. Az ügyféladatokhoz az Axon kizárólag a szolgáltatás teljesítéséhez, a jogszerű utasításhoz vagy a szükséges hibaelhárításhoz és biztonsági intézkedéshez kapcsolódóan fér hozzá. A vizsgálat során a feladathoz elegendő legkisebb adatkört használja, és lehetőség szerint személyes adattól megtisztított mintát alkalmaz. A hozzáférés okát és jogosultságát a művelet kockázatához igazodóan rögzíti.

6. Adatbiztonság

6.1. Az Axon a kockázattal arányos technikai és szervezési intézkedéseket alkalmaz a GDPR 32. cikke szerint. Figyelembe veszi az adatkezelés jellegét, körülményeit, célját, a technika állását és a természetes személyeket érintő kockázatot. A vállalt intézkedéseket az M2 melléklet tartalmazza.

6.2. Az intézkedések védik a bizalmasságot, sértetlenséget, rendelkezésre állást és a helyreállíthatóságot. A rendszer frissítését vagy az intézkedés más megoldásra cserélését az Axon elvégezheti, ha az összességében nem csökkenti a vállalt védelmi szintet. Lényeges, ügyféloldali alkalmazkodást igénylő változásról előzetesen tájékoztat.

6.3. A Megbízó saját alkalmazása, jelszavai, felhasználói szerepkörei, klienseszközei és tartalomkezelője biztonságáért saját hatáskörében felel. Menedzselt szolgáltatásnál e feladatokból csak az írásban átvállalt kör kerül az Axonhoz. Az Axon infrastruktúra-biztonsági kötelezettségei a Megbízó feladataitól függetlenül fennmaradnak.

6.4. Különleges, bűnügyi vagy más fokozott kockázatú adatkezelés előtt a Megbízó jelzi az igényt, és a felek a szükséges védelmet egyeztetik. A megállapodott szolgáltatás műszaki és biztonsági alkalmasságát az adott adatkör és kockázat alapján kell értékelni. A csomagválasztás nem helyettesíti a Megbízó adatvédelmi kockázatértékelését.

7. További adatfeldolgozók

7.1. A Megbízó az M4 mellékletben azonosított további adatfeldolgozók igénybevételéhez általános írásbeli felhatalmazást ad. Az Axon a közreműködő személyét, feladatát, a kezelt adatkört és a feldolgozás helyét az M4 mellékletben közli. A további adatfeldolgozó bevonására és változására a következő pontok irányadók.

7.2. Új további adatfeldolgozó vagy lényeges feladat-/helyszínváltozás előtt az Axon legalább 30 nappal írásban tájékoztatja a Megbízót. A Megbízó 15 napon belül indokolt adatvédelmi kifogást tehet. Az Axon időben rendelkezésre bocsátja az értékeléshez szükséges adatokat; a kifogási lehetőség nem lehet pusztán formális.

7.3. A felek megalapozott kifogás esetén megfelelő alternatívát keresnek. Ha az érintett feladat jogszerűen nem rendezhető, a Megbízó az érintett szolgáltatást az új feldolgozás megkezdése előtt többletteher nélkül megszüntetheti; a fel nem használt díjat elszámolják. E jog nem korlátozza az egyéb kötelező igényeket. Sürgős változás esetén sem mellőzhetők a GDPR felhatalmazási követelményei.

7.4. Az Axon a további adatfeldolgozóval olyan kötelező megállapodást köt, amely a feladatára alkalmazandó, lényegében azonos adatvédelmi kötelezettségeket és megfelelő biztonsági garanciákat ír elő. Az Axon felel a további adatfeldolgozó adatvédelmi kötelezettségeinek teljesítéséért a GDPR szerint. Az ellenőrzéshez szükséges szerződéses információkat üzleti és más ügyfelek adatait védő kitakarással átadja.

7.5. Az Axon saját számlázási, könyvelési vagy ügyfélkapcsolati szolgáltatói nem válnak automatikusan e DPA szerinti további adatfeldolgozóvá. A szerepet az határozza meg, hogy a Megbízó tartalmának kezelésében ténylegesen részt vesznek-e.

8. Helyszínek és nemzetközi adattovábbítás

8.1. A megosztott webtárhely-szolgáltatás elsődleges helye Budapest, Magyarország, BIX adatközpont. A távoli mentések elhelyezése Frankfurt, Németország. A tartalom feldolgozásába bevont infrastruktúra-szolgáltatókat az M4 melléklet tartalmazza. Az Axon más feldolgozási helyszínre vagy új, tartalomhoz hozzáférő további adatfeldolgozóra a 7–8. pont szerint térhet át.

8.2. EGT-n kívüli tárolás vagy ilyen hozzáféréssel járó támogatás csak a dokumentált ügyfélutasítás/felhatalmazás és a GDPR V. fejezetében megkövetelt jogszerű továbbítási feltétel együttes fennállásával történhet, kivéve a jogszerű kötelezést. Egy technikai beszállító uniós cégneve önmagában nem bizonyítja valamennyi hozzáférés EGT-n belüli jellegét.

8.3. Szükség esetén megfelelőségi határozatot, megfelelő szerződéses garanciát, továbbítási értékelést és kiegészítő védelmet kell alkalmazni. Egy megfelelő garancia megléte nem helyettesíti a dokumentált utasítást, és fordítva. Lényeges helyszínváltozásra a 7. pont értesítési rendje is irányadó.

9. Érintetti kérelmek

9.1. Az Axon a lehetséges mértékben, a feldolgozás jellegéhez és rendelkezésre álló eszközökhöz igazodóan segíti a Megbízót a hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság és tiltakozás kezelésében. A segítség lehet adatkinyerés, technikai törlés, jogosultságmódosítás, mentésből visszaállítás utáni törlési utasítás érvényesítése vagy szükséges technikai információ.

9.2. A Megbízó tartalmára vonatkozó közvetlen érintetti kérelmet az Axon indokolatlan késedelem nélkül a Megbízónak továbbítja, ha az azonosítható. A kérelmet nem dönti el érdemben önállóan, kivéve kötelező jogszabály alapján. A saját adatkezelését érintő kérelmet külön, saját felelősségére intézi.

9.3. Az Axon az ügyfél által közölt jogszerű határidő betartását segítő ütemben működik közre. A törvényes segítségnyújtást nem zárja ki, hogy az ügyfélnek más, nem vitatott díjtartozása van. A rendes szolgáltatási körön kívüli egyedi munka előzetesen közölt, arányos díja külön megállapodhat; ez nem akadályozhatja a kötelező jogok tényleges érvényesítését.

10. Adatvédelmi incidens

10.1. Az Axon a Megbízó nevében kezelt adatokat érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül értesíti a Megbízó kijelölt kapcsolattartóját, az ügyfélportálon és/vagy a nyilvántartott e-mailen. A kapcsolattartási adat naprakészen tartása mindkét fél feladata. Az Axon a kezdeti értesítést nem halasztja valamennyi tény teljes kivizsgálásáig.

10.2. Az első, illetve kiegészítő értesítés a rendelkezésre álló adatok szerint megjelöli az esemény idejét és jellegét, az érintett szolgáltatást, adatkategóriákat, becsült érintetti/adatállományi nagyságrendet, valószínű következményeket, megtett és tervezett intézkedéseket és kapcsolattartót. Az információkat a vizsgálat előrehaladtával frissíti.

10.3. Az Axon védi a bizonyítékot, megszünteti vagy csökkenti a további kitettséget, dokumentálja a történteket, és segíti a Megbízó GDPR 33–34. cikk szerinti döntését. A hatósági bejelentésről és az érintettek tájékoztatásáról a Megbízó dönt saját szerepkörében, kivéve az Axont közvetlenül terhelő kötelezést. Az adatkezelő 72 órás határideje nem az adatfeldolgozó értesítésének kivárható határideje.

10.4. Nem minden üzemzavar adatvédelmi incidens, de az eseményt tartalma szerint kell vizsgálni. Az értesítés nem jelenti önmagában kártérítési felelősség elismerését, és e fenntartás nem késleltetheti a tényszerű tájékoztatást. A Megbízó is haladéktalanul jelzi, ha az Axon környezetét érintő kompromittálódást észlel.

11. Hatásvizsgálat, nyilvántartás, ellenőrzés

11.1. Az Axon a rendelkezésére álló információk és a feladat jellege alapján segíti a Megbízót a GDPR 32–36. cikke szerinti kötelezettségekben, ideértve a hatásvizsgálatot és az előzetes konzultációt. Ez műszaki és adatfeldolgozási információ átadását jelenti; külön megállapodás nélkül nem az ügyfél teljes adatvédelmi tanácsadását vagy teljes hatásvizsgálatának elkészítését.

11.2. Az Axon vezeti a rá alkalmazandó adatfeldolgozói nyilvántartást, dokumentálja a lényeges utasításokat, további adatfeldolgozókat, hozzáférési és biztonsági folyamatokat, incidenseket, valamint a törlési és ellenőrzési műveleteket. A megfelelés igazolásához szükséges információkat a Megbízó rendelkezésére bocsátja.

11.3. A Megbízó vagy titoktartásra kötelezett, független megbízott ellenőre auditot végezhet, szükség esetén helyszíni vizsgálattal. A felek főszabály szerint legalább 15 nappal korábban egyeztetik a célt, terjedelmet, biztonságos módot és időpontot. Incidens, hatósági megkeresés vagy megalapozott súlyos gyanú esetén ennél rövidebb, a sürgősséghez igazodó idő szükséges. Éves gyakorisági vagy díjmegállapodás nem zárhatja ki az indokolt rendkívüli vizsgálatot.

11.4. Elsőként megfelelő dokumentum, távoli bemutatás vagy független ellenőrzési jelentés is alkalmazható, ha az a konkrét kérdést ténylegesen igazolja. Az Axon más ügyfelek adatait, üzleti titkát és rendszerbiztonságát elkülönítéssel, kitakarással és kísért hozzáféréssel védi; e védelem nem szolgálhat a teljes auditjog megtagadására. Tanúsítvány önmagában nem helyettesít minden esetben ellenőrzést.

11.5. A saját rendes auditköltségét a Megbízó viseli. Az Axon különleges többletmunkájának indokolt, előre ismertetett díja egyeztethető, de az Axon felróható kötelezettségszegése miatt szükséges feltárás és korrekció nem hárítható általánosan a Megbízóra. A hatóság törvényes ellenőrzési jogosultságát e kikötések nem korlátozzák.

12. Adatvisszaadás, törlés és mentési másolatok

12.1. A Megbízó a szolgáltatás befejezésekor választása szerint visszaadást vagy törlést kérhet; visszaadás után a fennmaradó másolatokat is törölni kell az M3 szerinti, jogszerűen indokolt technikai ütemezéssel. A szükséges exportformátumot és jogosultat egyeztetik. A szolgáltatásban eleve biztosított szabványos export önmagában nem rendkívüli egyedi fejlesztés.

12.2. A Megbízó a megszűnés utáni 14 napon belül közli a visszaadáshoz szükséges részletes utasítást. Az aktívadat-állomány átadását és törlését az Axon a megszűnéstől számított 30 napon belül befejezi. Korábbi jogszerű törlési utasítás, külön elfogadott eljárás vagy kötelező adatváltási rendelkezés elsőbbséget élvez. Tisztázatlan utasítás esetén az Axon a közelgő törlés előtt figyelmezteti a Megbízót; az általános ügyintézési idő önmagában nem szünteti meg a Megbízó jogszabályból eredő visszaadási jogát.

12.3. Közös mentés egyetlen ügyfélhez tartozó része nem minden esetben távolítható el az archívum sértetlensége vagy más ügyfelek adatainak veszélyeztetése nélkül. Az elkülönített mentési másolatot az Axon ilyenkor csak helyreállítási/biztonsági célból, korlátozott hozzáféréssel tartja fenn az M3 szerint. Nem használja új, rendes adatkezelési célra. Az időzített kivezetés nem lehet határozatlan idejű.

12.4. A mentési lánc valamennyi rétegét figyelembe kell venni: egy későbbi távoli archívum korábbi helyi példányt is tartalmazhat. A távoli archívum névleges kora önmagában nem igazolja a benne lévő adat törlését. A tényleges életciklusnak meg kell felelnie az M3 szerinti végső határidőnek.

12.5. Helyreállításkor az Axon figyelembe veszi a közben dokumentált törlési és korlátozási utasításokat, és a helyreállított, már törlendő adatot a rendes használatba vétel előtt ismét kivezeti, ahol ez műszakilag lehetséges. Szükség esetén a Megbízóval egyeztetett, ellenőrzött utólagos törlést végez. A visszaállítás nem indíthatja újra korlátlanul a megőrzési időt.

12.6. Jogi kötelezés esetén kizárólag az érintett, szükséges adatkört kell elkülöníteni és a szükséges ideig megtartani. Az Axon közli az okot és az időtartamot, ha jogszabály nem tiltja. Saját számlázási vagy szerződéses iratának jogszerű megőrzése nem jogosít a Megbízó teljes ügyféladatbázisának megőrzésére.

12.7. Az Axon a törlés vagy átadás befejezését kérésre írásban igazolja, külön jelezve az esetleg még fennálló mentési ciklust vagy kötelező jogi megőrzést. Kötelező adatexport-, szolgáltatóváltási vagy fogyasztói szabály eltérését alkalmazni kell.

13. Díjak és felelősség

13.1. A rendes adatfeldolgozási feladatok a vállalt szolgáltatás részei. Egyedi, többletmunka díját az Axon előzetesen, tételesen ismerteti; az elvégzendő kötelező segítségnyújtás és a díjazási vita külön kezelendő. Az Axon saját hibájának elhárítását nem számolhatja el automatikusan fizetős ügyfélutasításként.

13.2. A felelősségre a GDPR, az alkalmazandó jog és a főszerződés jogszerű kikötései irányadók. Az érintett GDPR szerinti kártérítési joga, a hatóság jogköre és a kötelező felelősségmegosztás nem korlátozható. A Megbízó jogalapokra és alkalmazására vonatkozó felelőssége nem mentesíti az Axont saját feldolgozói kötelezettségei alól.

14. Hatály, módosítás és megszűnés

14.1. A DPA az alkalmazandó verzió bizonyítható elfogadásával vagy aláírásával, a főszerződéshez kapcsolva lép hatályba. Új ügyfélnél ezt a megrendelési folyamatnak biztosítania kell. Korábbi szerződéshez nem csatlakozik visszamenőleg puszta webes közzététellel.

14.2. A Megbízó teljesítés közben is kérheti a saját adatkezelési körülményeinek dokumentálását. A törlési, titoktartási, incidenskezelési, ellenőrzési és együttműködési kötelezettségek a természetükből adódó időtartamig a megszűnés után fennmaradnak.

14.3. Módosításról a főszerződésben és jogszabályban előírt módon kell tájékoztatni; további adatfeldolgozónál a 7. pont külön eljárása alkalmazandó. A módosítás nem csökkentheti a kötelező védelmi szintet. Jogvita esetén magyar jog irányadó az alkalmazandó uniós és kötelező joghatósági szabályok sérelme nélkül.

M1 melléklet – Adatfeldolgozási leírás

M1.1. Közös adatkörök és érintettek

Érintettek az adott megrendelés szerint lehetnek a Megbízó saját ügyfelei, érdeklődői, munkavállalói, kapcsolattartói, honlaplátogatói, felhasználói, levélküldői és címzettjei, illetve más, jogszerűen kezelt személyek. Adatkör lehet azonosító és kapcsolattartási adat, felhasználói profil, kommunikáció, szerződéses adat, űrlap, dokumentum, alkalmazásadat, IP-cím és más technikai azonosító. A pontos kategóriákért a Megbízó felel; különleges vagy bűnügyi adatot a 6.4. pont szerint jelezni kell.

M1.2. Egyedi adatkezelési profil

A konkrét megrendelésben vagy azonosított kiegészítő hibajegyben rögzítendő:

• Megbízó és szolgáltatás azonosítója; a Megbízó adatkezelői vagy adatfeldolgozói szerepe.

• Tényleges érintetti és adatkategóriák; kiemelt kockázat vagy speciális ágazati követelmény.

• Megrendelt műveletek, menedzselt és nem menedzselt hatáskörök; mentés vagy migráció külön terjedelme.

• Jogosult kapcsolattartó és incidenscím; utasításadás és export jóváhagyója.

• Eltérő megőrzés, exportformátum vagy külön védelmi követelmény elfogadott feltétele.

Egy általános tárhely megrendelésénél az elfogadott csomag és e melléklet megfelelően meghatározza a műveleteket; lényeges eltérést a feldolgozás megkezdése előtt kell rögzíteni.

M2 melléklet – Technikai és szervezési intézkedések

Az Axon az alábbi technikai és szervezési intézkedéseket alkalmazza az általa kezelt szolgáltatói környezetben, a szolgáltatás jellegének és a feldolgozás kockázatának megfelelően.

M2.1. Szervezeti keretek. Kijelölt felelősségi körök, feladat szerinti titoktartás, belépési/kilépési hozzáférési folyamat, incidenskezelési és helyreállítási eljárás. Az adatkezelési és adatfeldolgozói szerepek, további adatfeldolgozók és lényeges utasítások dokumentálása. Adatkezelési igény esetén az arra jogosult munkatárs bevonása.

M2.2. Hozzáférés. Egyedi kezelői azonosítók, legkisebb szükséges jogosultság, a kiemelt hozzáférések korlátozása és felülvizsgálata. Többtényezős azonosítás a támogatott adminisztratív rendszereken, kulcsalapú vagy más megfelelően védett távoli hozzáférés. Jelszó és titkos kulcs nem közölhető nyilvános felületen vagy védelem nélküli hibajegyben.

M2.3. Rendszervédelem. A szolgáltatói hatáskörben álló platformok és támogatott komponensek frissítése, hálózati szűrés, kártékony kód és rendellenes működés elleni, a környezetnek megfelelő védelem. Ügyfélfiókok logikai és fájlrendszer-jogosultsági elkülönítése. Az elavult futtatókörnyezet kezelésére előzetes tájékoztatási és migrációs eljárás.

M2.4. Adatátvitel és titkosítás. Az adminisztratív felületek és a szolgáltatás által támogatott adatátvitel titkosított kapcsolattal védett. A távoli biztonsági másolatok titkosított formában, védett átvitellel kerülnek elkülönített tárolásra. A kulcsokhoz kizárólag a szükséges üzemeltetői kör férhet hozzá. A szolgáltatói kulcskezelés biztosítja a jogosult helyreállítás lehetőségét. A teljes éles adattárolás külön titkosítása vagy az ügyfél alkalmazásszintű titkosítása csak kifejezett megállapodás esetén része a szolgáltatásnak.

M2.5. Mentés és helyreállítás. Az Axon ellenőrzi az ütemezést, a mentés sikerességét, frissességét és a mentésbe bevont fiókok lefedettségét. Hiba esetén dokumentált intézkedést tesz. Figyeli a mentési tárhely kapacitását és a megőrzési időket. A helyreállítási eljárást kockázathoz igazodó rendszerességgel vizsgálja; az ellenőrzés időpontját és eredményét dokumentálja.

M2.6. Napló és bizonyíték. Lényeges adminisztratív és biztonsági események naplózása a rendszer képességeihez igazodóan, korlátozott naplóhozzáféréssel, időszinkronnal és meghatározott megőrzéssel. Naplóban kerülni kell jelszó, hitelesítési titok vagy szükségtelen teljes ügyféltartalom rögzítését. Adatbiztonsági bizonyítékot az eredeti céljától eltérő marketingre nem lehet használni.

M2.7. Fizikai védelem. A szolgáltatás adatközponti elhelyezéssel, korlátozott fizikai hozzáféréssel működik. Az Axon az igénybe vett helyszín szerződéses feltételei szerinti tápellátási és környezeti védelmet veszi igénybe. A hozzáférési jogosultságokat és az adatot érintő fizikai beavatkozást a feladathoz szükséges körre korlátozza.

M2.8. Biztonságos kivezetés. Hozzáférés-visszavonás, export ellenőrzött átadása, az aktív adatok és munkapéldányok törlése, mentési ciklusból kivezetés. Adathordozó újrafelhasználásánál vagy selejtezésénél a visszanyerhetőség kockázatához igazodó eljárás és annak igazolása szükséges.

M3 melléklet – Megőrzés, törlés és a mentési lánc

Az alábbi felső megőrzési határidők valamennyi egymásra épülő rendes szolgáltatói másolatra alkalmazandók. A megtartott példányok számán alapuló mentési rend nem hosszabbíthatja meg e határidőket.

M3.1. Teljes időszámítás. Ha az aktív adatot a megszűnés utáni 30. napon törlik, a rendes mentési lánc 49 napos kivezetésével a végső másolat legfeljebb a megszűnést követő 79. napig maradhat. Ha az aktív törlés korábban megtörténik, a 49 nap ettől a korábbi időponttól számít. Nem 49 napos új éles szolgáltatásról van szó.

M3.2. E határidők nem vonatkoznak az ügyfél saját, más szolgáltatónál vagy saját eszközén tartott exportjára. Külön szolgáltatási mentés eltérő rendje csak előzetesen, jogszerűen megállapítva és a Megbízó konkrét utasításával alkalmazható. A más csomaghoz tartozó önálló mentési tárhelyre a megosztott webtárhely hét napi és négy heti távoli mentési rendje nem automatikusan érvényes.

M3.3. Késedelmes vagy sikertelen új mentés, elmaradt tömörítés, lemezhiány, félbemaradt törlés és azonos tartalom ismételt archiválása esetén is ellenőrizni kell az adat tényleges korát. A szükséges védelmi másolat megőrzése és a törlési követelmény ütközését dokumentált, arányos, a Megbízóval közölt eljárással kell rendezni, nem hallgatólagos határozatlan hosszabbítással.

M4 melléklet – További adatfeldolgozók és helyszínek

Az Axon az alábbi infrastruktúra-szolgáltatókat veszi igénybe a megosztott tárhelyhez kapcsolódó távoli mentések elhelyezéséhez. A műveletek a szükséges szolgáltatásbiztosításra, tárolásra, védelemre és helyreállításra korlátozódnak. A mentett ügyféltartalom titkosított formában kerül átadásra.

A székhely és a tényleges adattárolás helye külön adat. A fenti tevékenységhez új, tartalomhoz hozzáférő közreműködő vagy új ország bevonására a 7–8. pont értesítési és felhatalmazási feltételei alkalmazandók. Saját pénzügyi feladatában eljáró bank, fizetési szolgáltató vagy domainregisztrátor nem pusztán e szerepe miatt minősül a Megbízó tárhelytartalmát feldolgozó további adatfeldolgozónak.

M5 melléklet – Megrendeléskori elfogadás és egyedi kiegészítés mintája

Elektronikus elfogadás: „Megismertem és a megrendelt szolgáltatás adatfeldolgozási feltételeiként elfogadom az Axon DPA jelen, 1.0 verziójú dokumentumát és M1–M5 mellékleteit. Megismertem az M4-ben szereplő további adatfeldolgozókat és a változásukra vonatkozó eljárást. Nyilatkozom, hogy adatkezelőként vagy az adatkezelőm megfelelő felhatalmazásával járok el.”

Az elfogadást az adott ügyfélhez és megrendeléshez kell kötni, időponttal és dokumentumverzióval, tartósan bizonyítható módon. A DPA elfogadása nem helyettesít marketing-hozzájárulást, és nem minősül az érintettek adatkezelési hozzájárulásának.

Egyedi kiegészítés mezői: megrendelésazonosító; Megbízó és szerepe; alkalmazandó szolgáltatás; adatkör és érintettek; különleges kockázat; jóváhagyott egyedi utasítás; export és megőrzés eltérése; kapcsolattartók; elfogadás dátuma és módja.

Papíralapú külön aláírás is választható, de megfelelő elektronikus, írásbeli és bizonyítható elfogadás mellett nem minden ügyfélnél kötelező. Az ügyfél nem maradhat az elfogadott mellékletekhez való hozzáférés nélkül.