Adatfeldolgozási szerződés (AVV)

Szerződés személyes adatok megbízás alapján történő kezeléséről, az adatkezelő Ügyfél és az adatfeldolgozó Zerovia GmbH között.

Bevezetés

Ez az adatfeldolgozási szerződés („AVV” vagy „Megállapodás”) része a Használati feltételeknek és az Előfizetési feltételeknek, amelyeket az Ügyfél („Ügyfél” vagy „Adatkezelő”) és a Zerovia GmbH, Via Casti 52, 7151 Schluein, Svájc („ZEROvia” vagy „Adatfeldolgozó”) között kötnek, együttesen a „Felek”.

Tekintettel arra, hogy

• az Ügyfél a ZEROvia platformját használja, és közben olyan személyes adatokat visz be, amelyek tekintetében adatkezelőként jár el;
• a ZEROvia ezeket a személyes adatokat kizárólag az Ügyfél megbízásából és utasítása szerint kezeli;
• a Felek a svájci adatvédelmi törvény („DSG”) 9. cikke és a (EU) 2016/679 rendelet („GDPR (DSGVO)”) 28. cikke szerint kívánják rögzíteni e kezelés feltételeit;
• az a kezelés, amelyért a ZEROvia maga felel (különösen a weboldal, az ügyfélkezelés és a számlázás az Adatvédelmi nyilatkozat szerint), nem tartozik e megállapodás hatálya alá,

a Felek a következőkben állapodnak meg:

1. cikk · Fogalmak

1.1 „Megállapodás” ezt az AVV-t jelenti az 1–3. mellékletekkel együtt. „Ügyfél személyes adatai” azok a személyes adatok, amelyeket a ZEROvia az Ügyfél megbízásából a szolgáltatásokkal összefüggésben kezel (1. melléklet). „Adatvédelmi jogszabályok” a DSG és annak rendelete (DSV), a GDPR (DSGVO) és egyéb alkalmazandó rendelkezések. „Szolgáltatások” a ZEROvia digitális szolgáltatásai a Használati és az Előfizetési feltételek szerint, különösen a zerovia.app platform. „További adatfeldolgozó” minden olyan személy, aki a ZEROvia részéről vagy megbízásából kezeli az Ügyfél személyes adatait.

1.2 Az olyan fogalmak, mint „adatkezelő”, „érintett”, „személyes adat”, „adatvédelmi incidens” és „kezelés”, a DSG, illetve a GDPR (DSGVO) szerinti jelentéssel bírnak.

2. cikk · Tárgy, jelleg, cél és időtartam

2.1 A ZEROvia az Ügyfél személyes adatait kizárólag a főszerződés (a Használati és az Előfizetési feltételek, valamint az esetleges egyedi megállapodások) szerinti szolgáltatások nyújtásához kezeli.

2.2 A kezelés tárgya, jellege és célja, az érintettek kategóriái és a személyes adatok kategóriái az 1. mellékletben vannak meghatározva.

2.3 Az időtartam a főszerződés futamideje, a 10. cikk szerinti határidőkkel együtt.

2.4 Adatkampányok. Ha az Ügyfél vevőként a szolgáltatásokon keresztül szállítókat hív meg, ő az adatkezelő az általa importált kapcsolattartási adatokra, valamint a fiókjában kezelt megosztott adatokra. A ZEROvia ezeket az adatokat a vevő adatfeldolgozójaként kezeli. A szállító felel azokért az adatokért, amelyeket a saját fiókjában rögzít és oszt meg; ezekre a ZEROvia-val kötött saját szerződése vonatkozik.

3. cikk · Utasítások

3.1 A ZEROvia az Ügyfél személyes adatait kizárólag az Ügyfél dokumentált utasítása szerint kezeli, kivéve, ha jogszabály más kezelésre kötelezi. Ebben az esetben erről a jogszabály tilalma hiányában előzetesen tájékoztatja az Ügyfelet.

3.2 Dokumentált utasításnak minősül a főszerződés, valamint az Ügyfél által a szolgáltatások használata és konfigurálása, beleértve a szerepeket, jogosultságokat, jóváhagyásokat és hozzájárulásokat.

3.3 A ZEROvia haladéktalanul tájékoztatja az Ügyfelet, ha álláspontja szerint egy utasítás sérti az adatvédelmi jogszabályokat, és felfüggesztheti a nyilvánvalóan jogellenes utasítás végrehajtását.

4. cikk · A ZEROvia kötelezettségei

4.1 A ZEROvia vállalja, hogy

4.1.1 betartja az alkalmazandó adatvédelmi jogszabályokat;

4.1.2 az Ügyfél személyes adatait csak utasítás szerint és csak a szolgáltatások nyújtásához kezeli;

4.1.3 az Ügyfél személyes adatait nem használja saját céljaira, különösen nem harmadik felek számára hozzáférhető AI-modellek tanítására; az anonimizált összesített adatokat a ZEROvia belső fejlesztéshez csak az Ügyfél kifejezett, előzetes hozzájárulása (opt-in) alapján használja;

4.1.4 minden, az adatkezelésre jogosult személyt titoktartásra kötelez;

4.1.5 az Ügyfél személyes adataihoz való hozzáférést azokra a személyekre korlátozza, akiknek a feladatukhoz szükségük van rájuk; a támogatás és a fejlesztés az ügyféladatokhoz csak dokumentált indokkal, határidőhöz kötötten és naplózva férhet hozzá;

4.1.6 végrehajtja az 5. cikk szerinti technikai és szervezési intézkedéseket;

4.1.7 amennyiben ez megengedett, tájékoztatja az Ügyfelet a személyes adatokra vonatkozó, hatóságok által kötelezően előírt megkeresésekről, és a közlést a jogilag szükséges mértékre korlátozza.

5. cikk · Technikai és szervezési intézkedések

5.1 A ZEROvia a technika állását, a költségeket, valamint a kezelés jellegét, terjedelmét és célját figyelembe véve megfelelő intézkedéseket tesz a kockázatnak megfelelő védelmi szint biztosítására (DSG 8. cikk az 1. cikktől kezdődő DSV-rendelkezésekkel együtt; GDPR (DSGVO) 32. cikk).

5.2 Az intézkedéseket a 2. melléklet írja le. Az infrastrukturális intézkedések egy részét további adatfeldolgozók, különösen az Infomaniak biztosítják, és ezt a ZEROvia szerződésben biztosítja.

5.3 A ZEROvia folyamatosan felülvizsgálja és fejleszti az intézkedéseket, és módosíthatja őket, ha a védelmi szint nem csökken.

6. cikk · További adatfeldolgozók

6.1 Az Ügyfél általános engedélyt ad a ZEROvia-nak további adatfeldolgozók igénybevételére. Az igénybe vett további adatfeldolgozókat a 3. melléklet sorolja fel, amelyet a zerovia.ch/unterauftragsverarbeiter/ alatt vezetnek.

6.2 A ZEROvia legalább 30 nappal egy további adatfeldolgozó igénybevétele vagy cseréje előtt e-mailben és ezen az oldalon tájékoztatja az Ügyfelet. Az Ügyfél 30 napon belül, fontos adatvédelmi okból írásban tiltakozhat (e-mail is elegendő). Ha a tiltakozás megakadályozza a szolgáltatás folytatását, bármelyik fél felmondhatja az érintett szolgáltatást.

6.3 A ZEROvia minden további adatfeldolgozóval szerződésben vállaltatja, hogy legalább egyenértékű adatvédelmi kötelezettségeket tartson be, és az Ügyfél felé továbbra is felel azok betartásáért.

7. cikk · Az érintettek jogai

7.1 A ZEROvia a technikai lehetőségek keretein belül segíti az Ügyfelet az érintettek kérelmeinek megválaszolásában.

7.2 Ha egy érintett kérelmével a ZEROvia-hoz fordul, a ZEROvia azt haladéktalanul továbbítja az Ügyfélnek, és csak az Ügyfél utasítására, vagy ha jogszabály kötelezi, válaszol rá.

8. cikk · Az Ügyfél támogatása

8.1 A ZEROvia támogatja az Ügyfelet az adatbiztonságban, az adatvédelmi incidensek bejelentésében, az adatvédelmi hatásvizsgálatban és a felügyeleti hatósággal folytatott előzetes konzultációban, amennyiben az információk a ZEROvia rendelkezésére állnak.

9. cikk · Adatvédelmi incidensek

9.1 A ZEROvia az Ügyfél személyes adatait érintő adatvédelmi incidensről a lehető leggyorsabban, legkésőbb a tudomásszerzéstől számított 48 órán belül tájékoztatja az Ügyfelet, és rendelkezésére bocsátja azokat az információkat, amelyekre az Ügyfélnek a saját bejelentéseihez szüksége van.

9.2 A ZEROvia együttműködik az Ügyféllel, és megfelelő intézkedéseket tesz a vizsgálat, a korlátozás és a hiba elhárítása érdekében.

9.3 A bejelentést a fiókban megadott kapcsolattartási címre vagy az Ügyfél adatvédelmi kapcsolattartójának kell küldeni; a ZEROvia részéről a privacy@zerovia.ch címre.

10. cikk · Törlés és visszaadás

10.1 Az Ügyfél választása szerint a ZEROvia törli az Ügyfél személyes adatait vagy visszaadja azokat, amint a szolgáltatások megszűnnek, legkésőbb a megszűnést követő 30 napon belül, amennyiben nincs jogszabályi megőrzési kötelezettség.

10.2 Az Ügyfél a megszűnés előtt elvégzi a szükséges exportokat; a ZEROvia ebben a technikailag lehetséges keretek között segíti.

10.3 A ZEROvia kérésre írásban megerősíti a törlést.

11. cikk · Igazolások és auditok

11.1 A ZEROvia rendelkezésre bocsátja a megfelelőség igazolásához szükséges információkat.

11.2 Ha ezek nem elegendőek, a ZEROvia lehetővé teszi, hogy az Ügyfél vagy a titoktartásra kötelezett ellenőr megfelelő feltételek mellett és megfelelő előzetes értesítéssel ellenőrzéseket végezzen, anélkül, hogy veszélyeztetné más ügyfelek biztonságát. Ésszerű többletköltségek felszámíthatók.

12. cikk · Adattovábbítás külföldre

12.1 Az Ügyfél személyes adatait elsősorban Svájcban kezelik (tárhely az Infomaniaknál, Genf). Az AI-feldolgozás 01.12.2026-tól az EU-ban történik. Svájc és az EU, illetve az EGT között kölcsönösen elismert megfelelő védelmi szint áll fenn; az ilyen továbbításokhoz nincs szükség további garanciákra.

12.2 Más államokban lévő további adatfeldolgozókhoz történő továbbítás csak megfelelő garanciákkal történik, különösen az Európai Bizottság szabványos szerződéses záradékai (SCC) szerint, az EDÖB által elismert kiegészítésekkel, átvitelhatás-értékeléssel (Transfer Impact Assessment) és technikai védelmi intézkedésekkel kiegészítve, vagy tanúsított címzettek esetén a Swiss-U.S. Data Privacy Framework alapján. A 3. melléklet további adatfeldolgozónként tünteti fel az alkalmazott mechanizmust.

13. cikk · Felelősség

13.1 A felelősség a főszerződés szerint alakul. Az érintettekkel és a felügyeleti hatóságokkal szemben a GDPR (DSGVO) 82. cikke, illetve a DSG rendelkezései szerinti felelősségmegosztás irányadó.

14. cikk · Időtartam és elsőbbség

14.1 Ez a megállapodás a főszerződéssel együtt hatályos, és a 10. cikk szerinti utóhatásokra is kiterjed.

14.2 Az adatfeldolgozással kapcsolatos kérdésekben ez a megállapodás megelőzi a Használati és az Előfizetési feltételeket. Egyebekben a következő sorrend érvényes: egyedi megállapodás, Előfizetési feltételek, ez az AVV, Használati feltételek.

14.3 A módosításokhoz szöveges forma szükséges. Ha valamely rendelkezés érvénytelen, a többi rendelkezés hatályban marad.

15. cikk · Jog és joghatóság

15.1 Kizárólag svájci jog alkalmazandó.

15.2 Joghatóság: Chur (GR).

Ez a megállapodás a főszerződés megkötésével elektronikusan lép hatályba, és aláírás nélkül is érvényes. Nagyvevők számára kiegészítésképpen aláírható.

1. melléklet · A kezelés részletei

Szempont	Leírás
Tárgy	A zerovia.app platform biztosítása: profil és megosztás, jelentések és klíma, termék-CO₂, ügyfélmegkeresések, beszállítók és adatkampányok, partneri hozzáférés
A kezelés jellege	Gyűjtés, rögzítés, tárolás, strukturálás, kiolvasás AI-val, szövegfogalmazás AI-val, megjelenítés, továbbítás a vevő jóváhagyása után, e-mailek küldése a vevő nevében, törlés
Cél	Kizárólag az Ügyfél által megrendelt szolgáltatások nyújtása
Érintettek	Az Ügyfél felhasználói és munkatársai; a profilban szereplő kapcsolattartók; az Ügyfél beszállítóinak kapcsolattartói, az adatkampányokban is; a feltöltött dokumentumokban vagy a beszállító-átvilágítás (screening) nyilvános webforrásaiban szereplő személyek
Személyes adatok	Kapcsolattartási és törzsadatok (név, beosztás, üzleti e-mail, telefon), fiók- és használati adatok, naplóadatok, feltöltött dokumentumok tartalma, a meghívók küldési és kattintási eseményei. Különösen védendő személyes adatok csak akkor, ha az Ügyfél viszi be; ennek a Használati feltételek szerint el kell maradnia
Időtartam	A főszerződés futamideje, a 10. cikk szerinti határidőkkel együtt

2. melléklet · Technikai és szervezési intézkedések

Kategória	Megvalósítás
Belépés	Működtetés az Infomaniak svájci adatközpontjaiban, belépés-korlátozással és fizikai biztonsági intézkedésekkel
Bejelentkezés	Kétfaktoros bejelentkezés alapértelmezetten, helyreállító kódokkal; zárolás sikertelen próbálkozások után; jelszabályok; kétfaktoros bejelentkezés kötelező az adminisztrátorok számára
Jogosultság	Szerepek és jogok (Owner, Admin, Tagok; Category Manager csak olvasásra); a minimális jogosultság elve; a támogatás ügyféladatokhoz való hozzáférése csak indokkal, határidővel és naplózva
Elkülönítés	Az ügyfélfiókok logikai elkülönítése; jóváhagyás ügyfelenként és szakaszonként
Titkosítás	Titkosított átvitel (TLS) és a nyugalmi állapotú adatok titkosítása a technika állása szerint
AI	Az ügyféladatok nem használhatók nyilvános modellek tanítására; AI-szolgáltatók az EU-ban 01.12.2026-tól; forrással megjelölt javaslatok, az Ügyfél általi jóváhagyással
Nyomon követhetőség	Módosítási napló (audit log), a biztonsággal kapcsolatos események és az adminisztratív hozzáférések naplózása
Rendelkezésre állás	Redundáns tárolás és rendszeres mentések az Infomaniaknál; helyreállítási folyamatok
Incidensek	Folyamat az adatvédelmi incidensek felismerésére, bejelentésére és elhárítására (9. cikk)
Ellenőrzés	Belső ellenőrzések és külső biztonsági tesztek; ISO 27001 előkészítés alatt
Megbízás-ellenőrzés	A további adatfeldolgozók szerződéses kötelezése egyenértékű kötelezettségekre
Törlés	Törlési és megőrzési folyamatok a 10. cikk szerint
Személyzet	Titoktartási kötelezettség minden hozzáférésre jogosult személy számára

3. melléklet · További adatfeldolgozók

A jóváhagyott további adatfeldolgozók székhelye, célja és továbbítási mechanizmusa a További adatfeldolgozók oldalon található, a módosítási előzményekkel együtt.

EU-képviselő (GDPR (DSGVO) 27. cikk): iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Wien, Ausztria, privacy@zerovia.ch. Illetékes svájci felügyeleti hatóság: Szövetségi Adatvédelmi és Információszabadság Biztos (EDÖB), Bern.