Kreedl - Adatfeldolgozási szerződés

A „személyes adat”, „adatkezelő”, „adatfeldolgozó”, „adatkezelés”, „érintett”, „adatvédelmi incidens” és „felügyeleti hatóság” kifejezések jelentése megegyezik az Európai Parlament és a Tanács (EU) 2016/679 rendeletében (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről („általános adatvédelmi rendelet” vagy „GDPR”) meghatározott jelentéssel. „Ügyfél személyes adatai”: azok a személyes adatok, amelyeket az Ügyfél átad vagy hozzáférhetővé tesz a Kreedl számára, vagy amelyeket a Kreedl a szolgáltatások nyújtása során az Ügyfél nevében gyűjt, ideértve a kommunikáció tartalmát, a felvételeket és az átiratokat, függetlenül attól, hogy az adatok az Ügyfelet vagy az Ügyféllel szerződéses jogviszonyba lépő harmadik személyt azonosítják-e. „További adatfeldolgozó”: bármely harmadik fél, akit a Kreedl az Ügyfél személyes adatainak kezelésére igénybe vesz. „UK GDPR”: az általános adatvédelmi rendelet az Egyesült Királyság jogában megtartott formájában.

Az Ügyfél személyes adatainak adatkezelője az Ügyfél. A Kreedl ezen adatok adatfeldolgozója. A Kreedl kizárólag az Ügyfél saját fiók-, számlázási, használati és marketingadatai tekintetében, vagy abban az esetben önálló adatkezelő, ha egy harmadik személy úgy veszi igénybe a Kreedl szolgáltatásait, hogy nem lépett szerződéses jogviszonyba az Ügyféllel. A tevékenységeket részletesebben a Kreedl kreedl.com/hu/privacy címen elérhető, Adatvédelmi tájékoztató című dokumentuma („Adatvédelmi tájékoztató”) ismerteti.

Tárgy és cél. Olyan AI-asszisztens működtetése, amely az Ügyfél nevében telefonon, WhatsAppon, SMS-ben és e-mailben kommunikál bérlőkkel, lakókkal, létesítményhasználókkal, jelentkezőkkel, szolgáltatókkal és más személyekkel, és elvégzi az Ügyfél által jóváhagyott műveleteket.

Az adatkezelés jellege. A kommunikáció fogadása, rögzítése, átiratának elkészítése, tárolása, elemzése és összefoglalása; az Ügyfél nyilvántartásainak beolvasása vagy tárolása a választott mód szerint (4. pont); időpontok foglalása; szolgáltatók kiküldése; valamint - utasítás esetén - jelentkezők rangsorolása vagy a leendő bérlőkre vonatkozó, nyilvánosan elérhető információk összefoglalása.

Az érintettek kategóriái. Bérlők, lakók, leendő bérlők vagy vevők, üzletvezetők és létesítményhasználók, szolgáltatók és szerelők, az Ügyfél munkavállalói és képviselői, valamint bármely más személy, aki a Kreedl által kiszolgált épülettel lép kapcsolatba.

A személyes adatok típusai. Név, elérhetőségek, épület és lakás, a bérleti jogviszony időtartama és feltételei, a bérleti díj összege és a fizetések állapota, bérleti szerződés dokumentumai, hibabejelentések, fényképek, hangüzenetek, hívásfelvételek, átiratok, üzenettartalom és metaadatok. Leendő bérlők vagy vevők esetében ezen felül a várható beköltözési dátum, a háztartás mérete, a foglalkoztatás, a jövedelem, a finanszírozás módja és a referenciák, amennyiben az Ügyfél ezeket a jelentkezés elbírálásához megköveteli. Ha az Ügyfél személyazonosság-ellenőrzésre ad utasítást, a cseh személyi azonosító szám utolsó négy számjegye összevethető az Ügyfél nyilvántartásával; a teljes számot nem tároljuk. A Kreedl nem kezel ajtókódokat vagy más fizikai belépési azonosítókat.

Időtartam. A személyes adatok kezelése a megrendelt szolgáltatás időtartama alatt, majd ezt követően a 12. pont szerinti visszaadás és törlés befejezéséig tart. A felek az adatmegőrzési határidőket úgy állapítják meg, hogy azok a nyújtott szolgáltatás sajátos jellegét tükrözzék. Az adatmegőrzési határidők különösen, de nem kizárólagosan figyelembe veszik az Ügyfél és harmadik személyek közötti bérleti jogviszonyok megszűnését, az Adatkezelőnek az ingatlanával kapcsolatos jogos érdekeinek védelmét, valamint az általánosan kötelező jogszabályokban előírt kötelező megőrzési időket.

4.1 Az Ügyfél az Adatvédelmi tájékoztatóban leírt három mód egyikét választja. A mód - nincs hozzáférés az Ügyfél nyilvántartásaihoz. B mód - olvasási hozzáférés az Ügyfél rendszereihez a nyilvántartások tárolása nélkül. C mód - az Ügyfél nyilvántartásait a Kreedl tárolja. A Kreedl minden módban tárolja a kommunikáció tartalmát, a felvételeket, az átiratokat és a vele kommunikáló személyek elérhetőségeit.

4.2 Az Ügyfél dokumentált utasításai a következők: a választott mód, a bevezetéskor egyeztetett konfiguráció, az Ügyfél által a Kreedl alkalmazásban megadott beállítások, az Ügyfél által feltöltött vagy hozzáférhetővé tett adatok, valamint a [email protected] címre küldött bármely írásbeli utasítás. Az adatok feltöltése, az előfizetés aktiválása, profil létrehozása vagy az adatok más módon történő átadása a Kreedl részére az Ügyfél arra vonatkozó utasításának minősül, hogy a Kreedl ezeket az adatokat a 3. pontban meghatározott célokra kezelje.

4.3 Az Ügyfél a módot vagy utasításait bármikor módosíthatja e-mailben, az alkalmazásban, vagy olyan magatartással, amelyből a változtatás egyértelműen kitűnik. A Kreedl a változtatásokat 14 napon belül végrehajtja.

4.4 A Kreedl megtagadhatja azt az utasítást, amely észszerű megítélése szerint sérti az általános adatvédelmi rendeletet vagy más jogszabályt, és erről tájékoztatja az Ügyfelet. A Kreedl az Ügyfél személyes adatait akkor is kezelheti, ha ezt uniós vagy tagállami jog előírja; ebben az esetben tájékoztatja az Ügyfelet, kivéve, ha a jogszabály ezt tiltja.

Az Ügyfél kijelenti és vállalja, hogy -

• rendelkezik érvényes jogalappal - és azt megfelelően meg is határozza - az általa megszerzett és a Kreedl részére továbbított valamennyi személyes adat, valamint minden olyan kommunikáció tekintetében, amelynek kezdeményezésére a Kreedlt utasítja. Az adatok átadásához vagy továbbításához szükséges jogalap hiányáért kizárólag az Ügyfél felel;
• teljesíti az érintettek tájékoztatására vonatkozó, az általános adatvédelmi rendelet 12., 13. és 14. cikke szerinti kötelezettségét, ideértve a Kreedl Megfelelőségi feltételeinek A. részében foglalt, hívóknak szóló tájékoztatás közzétételét, és ezt a kötelezettséget egyedül viseli, függetlenül attól, hogy a Kreedl az adott tevékenységről közzétesz-e információt Adatvédelmi tájékoztatójában. Ez nem érinti a Kreedl önálló adatkezelőként fennálló tájékoztatási kötelezettségét;
• ha a Kreedlt a leendő bérlőkre vonatkozó, nyilvánosan elérhető információk gyűjtésére utasítja, az érintetteket legkésőbb az első kapcsolatfelvételkor tájékoztatja az adatok forrásáról;
• ha cseh személyi azonosító számokat ad át, betartja a 133/2000. sz. cseh törvény 13c. §-át;
• felel az általa meghatározott autonómiakorlátokért és az eszkalációk kezeléséért;
• olyan műszaki és végrehajtási intézkedéseket fogad el, amelyek az érintettek személyes adatainak a lehető legmagasabb szintű védelmét biztosítják, és ezekért kizárólag ő felel, kivéve, ha az adatokat kizárólag a Kreedl birtokában lévő vagy általa üzemeltetett eszközön vagy adatbázisban tárolják;
• utasításai megfelelnek a jogszabályoknak. Az utasításai jogszerűségéért és a jogszabályok be nem tartásával összefüggő szankciókért kizárólag az Ügyfél felel. Ha bármelyik fél arra a következtetésre jut, hogy az Ügyfél valamely utasításának végrehajtása adatvédelmi hatásvizsgálathoz kötött lehet, az utasítás végrehajtását mindaddig elhalasztják, amíg annak jogszerűségét adatvédelmi hatásvizsgálat alapján jóvá nem hagyják; ennek költségeit az Ügyfél viseli. A Kreedl ugyanakkor nem köteles az Ügyfél utasításainak jogszerűségét aktívan vizsgálni vagy más módon ellenőrizni.

A Kreedl -

• az Ügyfél személyes adatait kizárólag az Ügyfél dokumentált utasításai alapján és csak a 3. pontban meghatározott célokra kezeli;
• biztosítja, hogy az Ügyfél személyes adatainak kezelésére feljogosított személyeket - amennyiben a Kreedl feljogosította őket az adatkezelés elvégzésére - titoktartási megállapodás kösse;
• végrehajtja az 1. mellékletben foglalt technikai és szervezési intézkedéseket;
• az Ügyfél személyes adatait nem használja fel semmilyen AI-modell betanítására vagy finomhangolására;
• az adatkezelés jellegének figyelembevételével segíti az Ügyfelet az érintetti kérelmek (9. pont), az adatbiztonság, az adatvédelmi incidensek bejelentése és az adatvédelmi hatásvizsgálatok (10. pont) terén;
• a 12. pontnak megfelelően törli vagy visszaadja az Ügyfél személyes adatait;
• az Ügyfél rendelkezésére bocsátja az általános adatvédelmi rendelet 28. cikkének való megfelelés igazolásához szükséges információkat, és a 11. pont szerint lehetővé teszi az auditokat;
• az Ügyfél által hozzáférhetővé tett adatokat elkülönítve kezeli azoktól az adatoktól, amelyeket önálló adatkezelőként kezel;
• olyan műszaki és végrehajtási intézkedéseket fogad el, amelyek az érintettek személyes adatainak a lehető legmagasabb szintű védelmét biztosítják, ha az adatokat kizárólag a Kreedl birtokában lévő vagy általa üzemeltetett eszközön vagy adatbázisban tárolják.

7.1 Az Ügyfél általános felhatalmazást ad a Kreedlnek további adatfeldolgozók igénybevételére. Az aktuális lista a kreedl.com/hu/privacy címen elérhető Adatvédelmi tájékoztató 7. pontjában található.

7.2 A Kreedl további adatfeldolgozó bevonásáról vagy cseréjéről legalább 14 nappal a változás hatálybalépése előtt e-mailben értesíti az Ügyfelet.

7.3 Ha az Ügyfél az értesítéstől számított 14 napon belül megalapozott adatvédelmi okokból kifogást emel, a Kreedl alternatívát javasolhat. Ha nem jön létre megállapodás, az Ügyfél kizárólagos jogorvoslata az érintett szolgáltatások írásbeli felmondása, a megszüntetett rész tekintetében kötbér nélkül, a további adatfeldolgozó cseréjének hatálybalépése napjával. A Kreedl nem köteles a további adatfeldolgozót lecserélni.

7.4 A Kreedl minden további adatfeldolgozóra legalább olyan szigorú adatvédelmi kötelezettségeket ró, mint amilyeneket ez az ASZ tartalmaz, és felelős azok teljesítéséért.

7.5 Ha a Kreedl új további adatfeldolgozót vesz igénybe, a Kreedl felel azért, hogy az új további adatfeldolgozó kilétét feltüntesse az Adatvédelmi tájékoztatóban, és a 7.2. pont szerint értesítse az Ügyfelet, hogy az Ügyfél teljesíthesse az 5. pont szerinti tájékoztatási kötelezettségét.

A Kreedl az Ügyfél személyes adatait az Európai Unióban tárolja. Az AI-feldolgozásban és a telefóniában részt vehetnek az EGT-n vagy az Egyesült Királyságon kívüli szolgáltatók is. Minden ilyen adattovábbítás esetén a Kreedl az uniós általános szerződési feltételekre, megfelelőségi határozatra (ideértve az EU-USA adatvédelmi keretrendszert, ha a szolgáltató tanúsítvánnyal rendelkezik), illetve az Egyesült Királyságból származó adatok esetében az Egyesült Királyság nemzetközi adattovábbítási kiegészítésére (International Data Transfer Addendum) támaszkodik. A Kreedl írásbeli kérésre kizárólag uniós adatkezelési konfigurációt kínál; ennek kérése az Ügyfél felelőssége. Az Ügyfél felhatalmazza a Kreedlt, hogy nevében a további adatfeldolgozókkal megkösse az általános szerződési feltételeket. Az egyesült királyságbeli kiegészítés kérésre rendelkezésre áll.

Ha a Kreedlhez az Ügyfél személyes adataival kapcsolatos érintetti kérelem érkezik, azt 3 munkanapon belül továbbítja az Ügyfélnek, és utasítás nélkül érdemben nem válaszol rá. A Kreedl észszerű segítséget nyújt ahhoz, hogy az Ügyfél a jogszabályi határidőkön belül válaszolhasson. A havi öt kérelmet meghaladó, illetve az észszerű erőfeszítésnél többet igénylő segítségnyújtásért a Kreedl aktuális óradíja alapján számít fel díjat.

10.1 A Kreedl az Ügyfél személyes adatait érintő adatvédelmi incidensről indokolatlan késedelem nélkül, de legkésőbb az arról való tudomásszerzést követő 48 órán belül értesíti az Ügyfelet. Az első értesítés az adott időpontban ismert információkat tartalmazza. A felek az általános adatvédelmi rendelet 33. és 34. cikke alapján megadják egymásnak a szükséges segítséget a kockázatok, az incidens következményei és a felügyeleti hatósági bírságok elhárításához, valamint az incidens eredményes kivizsgálásához.

10.2 A felügyeleti hatóság és az érintettek értesítése annak a félnek a felelőssége, amely azt az adatbázist vagy eszközt kezeli, amelyben az adatvédelmi incidens bekövetkezett.

10.3 Ha az Ügyfélnek adatvédelmi hatásvizsgálatot kell végeznie, a Kreedl átadja neki az adatkezelés leírását, az 1. mellékletben foglalt intézkedéseket, valamint a hatásvizsgálat elkészítéséhez feltétlenül szükséges további észszerű információkat. A hatásvizsgálatot az Ügyfél készíti el, hagyja jóvá, és az az Ügyfél felelősségi körébe tartozik. A hatásvizsgálat elkészítésének költségeit az Ügyfél viseli.

10.4 Az Ügyfél 10.3. pont szerinti jóváhagyásától függetlenül a Kreedl nem köteles végrehajtani az Ügyfél utasítását, ha a hatásvizsgálat megléte ellenére észszerű okkal feltételezi, hogy az utasítás jogellenes, hogy a hatásvizsgálat elkészítése során nem vették kellően figyelembe az adattakarékosság elvét, vagy hogy a vizsgálat minősége és megalapozottsága hiányos.

Az Ügyfél naptári évente egyszer, 30 napos előzetes írásbeli értesítéssel kérheti a Kreedl kitöltött biztonsági kérdőívét, az 1. melléklet másolatát, valamint az ennek az ASZ-nek való megfelelést igazoló rendelkezésre álló dokumentációt. Helyszíni ellenőrzésre csak olyan helyen és időben kerül sor, ahol és amikor azt felügyeleti hatóság vagy jogszabály előírja, titoktartás mellett, más Ügyfelek adataihoz való hozzáférés nélkül és az Ügyfél költségére. A Kreedl nem rendelkezik ISO 27001 vagy SOC 2 tanúsítvánnyal, nem szavatolja, hogy belső vizsgálatait ilyen tanúsítványnak megfelelően végzi, és az Ügyfél ezt tudomásul veszi.

12.1 Az Ügyféllel kötött szerződés megszűnésekor, valamint írásbeli kérésre bármikor a Kreedl strukturált, géppel olvasható formátumban (JSON; a felvételek esetében hangfájlok) exportálja az Ügyfél személyes adatait, és a megszűnéstől számított 30 napon belül törli azokat. A titkosított biztonsági mentéseket 90 napon belül töröljük. A Kreedl kérésre írásban megerősíti a törlést. A Kreedl az adatokat akkor őrizheti meg, ha ezt jogszabály előírja, és kizárólag erre a célra.

12.2 Ha megszűnik az a jogalap, amely alapján az Ügyfél egy harmadik személy adatait e harmadik személlyel kapcsolatban kezeli, az Ügyfél erről tájékoztatja a Kreedlt, és e tájékoztatás megadásáért kizárólag ő felel. A Kreedl a törlést a személyes adatok megőrzési határidőinek megfelelően végzi el, kivéve, ha az Ügyfél valamely jogos érdeke alapján ragaszkodik a nyilvántartás megőrzéséhez; ebben az esetben az Ügyfél igazolja jogos érdekét. Az Ügyfél felel minden olyan közigazgatási vagy egyéb szankcióért, amely abból ered, hogy nem tájékoztatta a Kreedlt a jogalap megszűnéséről, vagy abból, hogy érdeke nem jogos, amennyiben ez az érdek az adatmegőrzés meghosszabbításának alapja.

13.1 A jogszabályok által megengedett legteljesebb mértékben a Kreedl ebből az ASZ-ből eredő vagy azzal összefüggő teljes felelőssége - ideértve a közigazgatási bírságokat és az érintettek igényeit is - az Ügyfél által az igényt megalapozó eseményt megelőző tizenkét hónapban megfizetett összegre korlátozódik, és a Kreedl nem felel a közvetett vagy következményi károkért, az elmaradt haszonért, az adatvesztésért vagy a jó hírnévben bekövetkezett kárért.

13.2 A Kreedlt nem terheli kártalanítási kötelezettség az Ügyféllel szemben.

13.3 Az Ügyfél kártalanítja a Kreedlt minden olyan igény, bírság, veszteség vagy költség tekintetében (ideértve az észszerű ügyvédi díjakat, továbbá azt az esetet is, amikor a Kreedlnek semmilyen módon fel nem róható magatartás következtében a Kreedl a 13.1. pont szerinti felelősségi korlátot meghaladó kárt szenved, vagy ilyen összegű igény vagy bírság megfizetésére válik kötelezetté a 13.1. pont alapján), amely abból ered, hogy az Ügyfél megszegi ezt az ASZ-t vagy az általános adatvédelmi rendeletet, az Ügyfél valamely utasításából, a jogalap nélkül vagy - ha ez az ASZ kifejezetten így rendelkezik - az érintettek előírt tájékoztatása nélkül átadott adatokból, vagy az Ügyfél által választott autonómiabeállításokból.

Ez az ASZ az Ügyféllel kötött szerződés megszűnését követően is hatályban marad mindaddig, amíg az ezen ASZ szerinti jogokkal és kötelezettségekkel közvetlenül vagy közvetve összefüggő utolsó lehetséges igény a cseh jog szerint el nem évül. Az ASZ-re a Cseh Köztársaság joga az irányadó, és a kizárólag ebből az ASZ-ből eredő jogvitákban a prágai illetékes bíróságok döntenek. Az ASZ angol és cseh nyelven kerül közzétételre; az angol nyelvű változat az irányadó, kivéve, ha az Ügyféllel kötött szerződés másként rendelkezik. Ez a magyar nyelvű változat tájékoztató jellegű fordítás. A Kreedl ezt az ASZ-t egyoldalúan, az Ügyfeleknek küldött 14 napos e-mailes értesítéssel módosíthatja; a hatálybalépés napját követő további használat elfogadásnak minősül.

Titkosítás. Az Ügyfél személyes adatai tárolt állapotban (AES-256 vagy azzal egyenértékű) és továbbítás közben (TLS 1.2 vagy újabb) is titkosítva vannak. A hívásfelvételeket és fájlokat titkosított objektumtárban tároljuk.

Hozzáférés-szabályozás. Szerepkörön alapuló hozzáférés. Csak azok a Kreedl-munkatársak férnek hozzá, akiknek erre a szolgáltatás működtetéséhez szükségük van. A többtényezős hitelesítés minden Kreedl-munkatárs és az infrastruktúrához való minden adminisztratív hozzáférés esetében kötelező. A hozzáféréseket személyi változások esetén, valamint legalább negyedévente felülvizsgáljuk.

Naplózás és ellenőrizhetőség. Az AI-asszisztens minden műveletét és a munkatársak minden, az Ügyfél személyes adataihoz való hozzáférését időponttal és azonosítással naplózzuk. A naplókat 12 hónapig őrizzük meg, és saját adatai tekintetében az Ügyfél hozzáfér azokhoz.

Titokkezelés. A szolgáltatói hozzáférési adatokat és API-kulcsokat titokkezelő rendszerben tároljuk, soha nem a kódban, és soha nem tesszük hozzáférhetővé a felhasználók számára; munkatárs távozásakor vagy kompromittálódás gyanúja esetén lecseréljük azokat.

Az Ügyfelek elkülönítése. Minden Ügyfél adatai logikailag elkülönítve vannak. Egyik Ügyfél sem fér hozzá egy másik Ügyfél adataihoz.

Biztonsági mentések. Legalább napi titkosított biztonsági mentés, 90 napos megőrzéssel; a visszaállítást legalább évente teszteljük.

AI-modell-szolgáltatók. A modellszolgáltatóknak szerződés tiltja az Ügyfél személyes adatainak betanításra való felhasználását. A Kreedl nem tanít be és nem finomhangol modelleket az Ügyfél személyes adatain.

Személyzet. Minden munkatárs és alvállalkozó titoktartási megállapodást ír alá, és a hozzáférés megadása előtt adatvédelmi képzésen vesz részt. A hozzáférést a távozás napján visszavonjuk.

Incidenskezelés. Dokumentált eljárás felelős személlyel, az Ügyfél 48 órán belüli értesítésével és az incidenst követő felülvizsgálattal.

Fizikai biztonság. Az infrastruktúrát az Adatvédelmi tájékoztatóban felsorolt szolgáltatók tanúsított adatközpontjai (szolgáltatói szinten ISO 27001 / SOC 2) üzemeltetik. A Kreedl nem üzemeltet saját adatközpontot.

Törlés. Automatikus megőrzési szabályok törlik a kommunikációs adatokat 12 hónap elteltével, vagy az Ügyfél által a 3. pont és a 12.2. pont alapján meghatározott más határidőn belül. A megszűnéskor történő törlés 30 napon belül, a biztonsági mentéseké 90 napon belül történik.