T h i n k   w i s e .  S h a r e   s m a r t .

 

A SHARITY MOBILE APPLICATION

ZÁRTKÖRŰEN MŰKÖDŐ RÉSZVÉNYTÁRSASÁG

Adatvédelmi- és Adatbiztonsági Szabályzata

 

• Bevezetés

 

A Sharity Mobile Application Zrt. (a továbbiakban: Adatkezelő, Társaság, Sharity Mobile Application Zrt.) üzleti, gazdasági tevékenysége során fokozottan ügyel a személyes adatok védelmére, a kötelező jogi rendelkezések betartására, a biztonságos és tisztességes adatkezelésre. A Sharity Mobile Application Zrt. ezért a jelen szabályzatban foglaltak szerint a személyes adatokat bizalmasan kezeli, és megtesz minden olyan biztonsági, technikai és szervezési intézkedést, mely az adatok biztonságát és az adatvédelmi, adatbiztonsági előírások érvényesülését garantálja. Az Adatkezelő fontosnak tartja Partnerei és Ügyfelei, továbbá minden egyéb érintett természetes személy (a továbbiakban: Érintett) adatkezeléshez kapcsolódó jogának tiszteletben tartását és érvényre juttatását.

 

Az Adatkezelő ezért kötelezettséget vállal arra, hogy szolgáltatásával kapcsolatos adatkezelése megfelel a jelen szabályzatban és a hatályos jogszabályokban meghatározott elvárásoknak. A Sharity Mobile Application Zrt. az érintett személyes adatainak kezelése, nyilvántartása, feldolgozása és továbbítása során az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.), valamint a 2016/679/EU Rendelet (továbbiakban: GDPR Rendelet) vonatkozó rendelkezései, illetve az egyéb vonatkozó jogszabályi előírások rendelkezései szerint és azok betartása mellett jár el.

A jelen szabályzat a következő hatályos jogszabályok alapján került kialakításra:

 

• Magyarország Alaptörvénye (2011. április 25.),
• évi CXII. törvény – az információs önrendelkezési jogról és az információszabadságról (a továbbiakban: Info tv.),
• 2016/679/EU Rendelet (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK Rendelet hatályon kívül helyezéséről,
• évi I. törvény – a Munka törvénykönyvéről (új Mt.),
• évi V. törvény – a Polgári Törvénykönyvről (új Ptk.),
• évi CVIII. tv. az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről,
• évi CXXXIII. törvény a személy és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól.

 

Jelen Adatvédelmi és Adatbiztonsági Szabályzat az Adatkezelő minden olyan belső szabályzataihoz kapcsolódik és azokkal együttesen értelmezendő, amelyeknek van adatvédelemi vonatkozása.

 

1. Az Adatkezelő adatai

 

Sharity Mobile Application Zártkörűen Működő Részvénytársaság

Cégjegyzékszáma: 17-10-001325

Székhely: 7090 Tamási, Petőfi Sándor utca 12.

Adószám: 28751843-2-17

Adatkezelő e-elérhetősége: office@sharity.hu  

Adatkezelő képviselője: Dr. Bujdosó Arnold, igazgatósági tag       

Dr. Horváth Helena Zsuzsanna, igazgatósági tag

Dr. Bársony Farkas igazgatóság elnöke

Adatvédelmi tisztviselő neve és elérhetősége: Dr. Bársony Farkas, Igazgatóság elnöke

e-mail: office@sharity.hu

Honlap: www.sharity.hu, app.sharity.hu, adomany.sharity.hu

Az Adatkezelő a rendelkezésére bocsátott személyes adatokat minden esetben a hatályos magyar és európai jogszabályoknak és etikai elvárásoknak eleget téve kezeli, minden esetben megteszi azokat a technikai és szervezési-, biztonsági intézkedéseket, amelyek a megfelelő biztonságos adatkezeléshez szükségesek, amelyek az adatok biztonságát megóvják.

 

Az Adatkezelő vállalja a Jelen Szabályzat egyoldalú betartását és kéri, hogy Ügyfelei is fogadják el a szabályzat rendelkezéseit.

 

Az adatvédelmi szabályzat mindenkor hatályos változata elérhető a www.sharity.hu oldalon az Adatvédelem menüpont alatt, valamint a helyben szokásos módon a titkárságon megtekinthető.

 

A Társaság kiemelten fontosnak tartja a tevékenységével összefüggésben megvalósuló adatkezelés magyarországi jogszabályi feltételeinek való megfelelést és fenntartja magának a jogot jelen szabályzat megváltoztatására, azzal, hogy a módosított szabályzatot nyilvánosan – saját honlapján – közzéteszi.

 

A Szabályzattal és annak értelmezésével kapcsolatos, illetve a Sharity Mobile Application Zrt. szolgáltatásainak igénybevétele során felmerült kérdésekről, esetleges problémákról tájékoztatást az Applikációban a Segítség menüpont alatt, illetve elektronikus formában az office@sharity.hu e-mailen kaphatnak.

 

 

III. Az adatvédelem általános szabályai

 

III.1. Az adatvédelem célja, hatálya

 

Az Adatvédelmi és Adatbiztonsági Szabályzat célja, hogy meghatározza az Adatkezelőnél zajló adatkezelések törvényes kereteit, biztosítsa az adatvédelem alkotmányos elveinek és az információs önrendelkezési jognak az érvényesítését, elősegítse az adatbiztonság követelményeinek való megfelelést, továbbá megakadályozza a jogosulatlan adatkezelést.

A jelen Adatvédelmi és Adatbiztonsági Szabályzat kialakítja az adatvédelem szempontjából fontos feladatokat, felelősségi viszonyokat az adatbiztonságban.

 

Jelen Szabályzat hatálya kiterjed és a benne foglalt szabályok irányadóak a Sharity Mobile Application Zrt., mint Adatkezelő által igénybe vett adatfeldolgozók felé irányuló adatáramlásra, valamint az Adatkezelő és más adatkezelőkkel való személyes adatokat érintő kommunikációra is.  Eszerint a jelen Szabályzat személyi hatálya kiterjed az Adatkezelőre, az alkalmazottjaira, valamint a vele szerződéses vagy egyéb kapcsolatban álló személyes adatkezelést, adatfeldolgozást végző személyekre, gazdasági társaságokra. A Szabályzat hatálya a jogi személyekre, illetve a jogi személyeknek nem minősülő szervezetek adataival kapcsolatos adatkezelésre, adatfeldolgozásra nem terjed ki.  Jelen szabályzat hatálya kiterjed továbbá az Adatkezelő székhelyén folyó – kizárólag természetes személyeket (foglalkoztatottakat) érintő – valamennyi adatkezelésre, adattovábbításra, információ átadásra, az ezen adatkezelés, információátadás tárgyát képező adat jelen Szabályzatban meghatározottak szerinti, üzleti titokként való kezelésével és védelmével kapcsolatos tevékenységekre.

 

A Szabályzat tárgyi hatálya kiterjed az Adatkezelő által kezelt valamennyi – természetes személyhez köthető – személyes adatra, a rajtuk végzett adatkezelési műveletek teljes körére, keletkezésük, kezelésük, feldolgozásuk helyétől, valamint megjelenési formájuktól függetlenül, így attól, hogy az elektronikusan és/vagy papíralapon történik. Jelen tájékoztató hatálya kiterjed egyrészt a Társaság www.sharity.hu címen megtalálható online portálján, másrészt a Társaság székhelyén átadott személyes adatok kezelésére, az Applikációra és az admin felületre.

 

Vonatkozó jog alkalmazása:

A Társaság és a szolgáltatásaival kapcsolatos bármilyen jogvita a magyar joghatóság, a magyar bíróságok illetékessége alá tartozik a magyar jogszabályok alapul vételével.

 

IRÁNYÍTÁS/FELÜGYELET: A jelen Szabályzatot a Sharity Mobile Application Zrt. Igazgatósága hagyja jóvá és tárolja. A Szabályzat legalább évente felülvizsgálatra és jóváhagyásra kerül. A Szabályzat valamennyi foglalkoztatott és Ügyfél számára elektronikus formában a társaság honlapján (www.sharity.hu), az Applikációban és az admin felületen elérhető.

 

FELELŐSSÉG ÉS JELENTÉS: A jelen Szabályzat végrehajtásáért az igazgatósági tagok felelősek. Valamennyi foglalkoztatott kötelezettsége annak bejelentése, ha a Szabályzat megkerüléséről vagy megsértéséről szerez tudomást, vagy ennek gyanúja merül fel. Bejelentés elsődlegesen a szokásos bejelentési csatornákon teendő, vagyis az adatvédelemért felelős vezető megkeresésével.

 

 

III.2. Adatkezelési alapelvek és az adatkezelés jogalapja

 

Adatkezelés Alapelvei:

 

Célhoz kötöttség elve – személyes adat kizárólag meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető.

 

Tisztességes adatkezelés elve – az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok felvételének és kezelésének tisztességesnek és törvényesnek kell lennie.

 

Adatminimalizálás elve – csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas.

 

Szükségesség elve – a személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető.

 

Adatminőség elve – az adatkezelés során biztosítani kell az adatok pontosságát, teljességét és – ha az adatkezelés céljára tekintettel szükséges – naprakészségét.

 

Adatvédelem elve – az adatkezelő, illetve tevékenységi körében az adatfeldolgozó egyrészről köteles biztosítani az érintettek magánszférájának védelmét, másrészről pedig gondoskodni az adatok biztonságáról, köteles továbbá megtenni azokat a technikai és szervezési intézkedéseket és kialakítani azokat az eljárási szabályokat, amelyek az Info tv., valamint az egyéb adat- és titokvédelmi szabályok érvényre juttatásához szükségesek.

 

 

Adatkezelés jogalapja:

 

Személyes adat tehát – a felsorolt alapelvek figyelembevételével – akkor kezelhető, ha ahhoz az érintett hozzájárul, vagy azt törvény vagy – törvény felhatalmazása alapján, az abban meghatározott körben – helyi önkormányzat rendelete elrendeli.^[1] Személyes adatot kezelni csak meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében lehet. Az adatkezelésnek minden szakaszában meg kell felelnie e célnak.

 

A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

 

• az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
• az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
• az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
• az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
• az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
• az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

 

 

Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas, csak a cél megvalósulásához szükséges mértékben és ideig. A személyes adatok akkor továbbíthatók, valamint a különböző adatkezelések akkor kapcsolhatók össze, ha az érintett ahhoz hozzájárult, vagy törvény azt megengedi, és ha az adatkezelés feltételei minden egyes személyes adatra nézve teljesülnek.

 

Személyes adat az országból – az adathordozótól vagy az adatátvitel módjától függetlenül – harmadik országban lévő adatkezelő vagy adatfeldolgozó részére akkor továbbítható, ha ahhoz az érintett kifejezetten hozzájárult, vagy azt törvény lehetővé teszi, és a harmadik országban az átadott adatok kezelése, illetőleg feldolgozása során biztosított a személyes adatok megfelelő szintű védelme.

 

Kötelező adatkezelés esetén az adatkezelés célját és feltételeit, a kezelendő adatok körét és megismerhetőségét, az adatkezelés időtartamát, valamint az adatkezelő személyét az adatkezelést elrendelő törvény vagy önkormányzati rendelet határozza meg.

 

Törvény közérdekből – az adatok körének kifejezett megjelölésével – elrendelheti a személyes adat nyilvánosságra hozatalát. Minden egyéb esetben az érintett hozzájárulása, különleges adat esetében írásbeli hozzájárulása szükséges az adatok nyilvánosságra hozatalához. Kétség esetén azt kell vélelmezni, hogy az érintett a hozzájárulását nem adta meg. Az érintett hozzájárulását megadottnak kell tekinteni az érintett közszereplése során általa közölt vagy a nyilvánosságra hozatal céljából általa átadott adatok tekintetében. Az érintett kérelmére indult eljárásban a szükséges adatainak kezeléséhez való hozzájárulását vélelmezni kell. Erre a tényre az érintett figyelmét fel kell hívni. Az érintett a hozzájárulását az Adatkezelővel írásban kötött szerződés keretében is megadhatja a szerződésben foglaltak teljesítése céljából. Ebben az esetben a szerződésnek tartalmaznia kell minden olyan információt, amelyet a személyes adatok kezelése szempontjából az érintettnek ismernie kell, így különösen a kezelendő adatok meghatározását, az adatkezelés időtartamát, a felhasználás célját, az adatok továbbítását, adatfeldolgozó igénybevételét. A szerződésnek félreérthetetlen módon tartalmaznia kell, hogy az érintett aláírásával hozzájárul adatainak a szerződésben meghatározottak szerinti kezeléséhez.

 

A személyes adatok védelméhez fűződő jogot és az érintett személyiségi jogait – ha törvény kivételt nem tesz – az adatkezeléshez fűződő más érdekek, ideértve a közérdekű adatok nyilvánosságát is, nem sérthetik.

 

III.3. Adatkezelés alapjai

 

Az Adatkezelő tevékenységei során a személyes adatok kezelése minden esetben törvényen vagy önkéntes hozzájáruláson alapul.

 

Az előzetes és kifejezett hozzájárulás kizárólag akkor tekinthető jog szerint elfogadhatónak, ha mindhárom tartalmi követelményt, tehát

 

• az önkéntességet,
• a határozottságot (egyértelműséget) és
• a tájékozottságot is teljesíti.

 

A hozzájáruláson alapuló adatkezelés esetén az Érintett hozzájárulását személyes adatai kezeléséhez írásban kell kémi. Az adatkezeléshez való hozzájárulás megadható az Érintett erre vonatkozó írásbeli nyilatkozatával, vagy az Adatkezelő erre rendszeresített formanyomtatványának kitöltésével és aláírásával.

 

Az adatkezeléshez való hozzájárulásnak minősül az is, ha az Érintett a Társaság internetes honlapjának megtekintése során bejelöli az ezen hozzájárulás megadására vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az Érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az Adatkezelő által előre bejelölt négyzet vagy a nem cselekvés nem minősül hozzájárulásnak.

 

A hozzájárulás a megadás módjától függetlenül az ugyanazon cél(ok) érdekében végzett valamennyi adatkezelési tevékenységre kiterjed. Amennyiben az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást valamennyi adatkezelési célra vonatkozóan meg kell adni.

 

Ha az Érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az Érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti a GDPR-rendeletet, nem bír kötelező erővel.

 

Az Adatkezelő jogügylet létrehozását, szerződés megkötését, teljesítését nem kötheti olyan személyes adat kezeléséhez való hozzájáruláshoz, amely a jogügylet létrehozásához, szerződés megkötéséhez, teljesítéséhez nem szükségesek.

 

A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.

Ha a személyes adat felvételére az Érintett hozzájárulásával került sor, az Adatkezelő a felvett adatokat törvény eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, valamint az Érintett hozzájárulásának visszavonását követően is kezelheti.

 

Az Adatkezelő általános adatkezelési tájékoztatót tesz közzé a honlapján, amely részletesen tájékoztatja az Érintetteket az adataik kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, továbbá arról, ha az Érintett személyes adatait az adatkezelő az Info tv. 6. § (5) bekezdése alapján kezeli, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az Érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is. A tájékoztató elérhetőségéről az Érintetteket tájékoztatni kell.

 

Személyes adat akkor is kezelhető, ha az érintett hozzájárulásának beszerzése lehetetlen vagy aránytalan költséggel járna és a személyes adat kezelése az Adatkezelőre vonatkozó jogi kötelezettség teljesítése céljából szükséges, vagy az Adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából szükséges és ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll.

 

Ha az érintett cselekvőképtelensége folytán vagy más elháríthatatlan okból nem képes hozzájárulását megadni, akkor a saját vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges mértékben a hozzájárulás akadályainak fennállása alatt az érintett személyes adatai kezelhetőek.

 

Ha a személyes adat felvételére az érintett hozzájárulásával került sor, az Adatkezelő a felvett adatokat törvény eltérő rendelkezésének hiányában, a rá vonatkozó jogi kötelezettség teljesítése céljából, vagy az Adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából, ha ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti.

 

Egyes esetekben az adatkezelés, hozzájárulás hiányában egyéb jogalapon vagy a GDPR rendelet 6. cikkén nyugszik.

 

III.4. Az adatok tárolása

 

A kezelt adatokat úgy kell tárolni, hogy azokhoz illetéktelenek ne férhessenek hozzá.

Papír alapú adathordozók esetében a fizikai tárolás, irattárazás rendjének kialakításával, elektronikus formában kezelt adatok esetén központi jogosultságkezelő rendszer alkalmazásával. A papír alapú adathordozókat iratmegsemmisítő segítségével, vagy külső, iratmegsemmisítésre szakosodott vállalkozó igénybevételével kell a személyes adatoktól megfosztani.

 

Az adatok informatikai módszerrel történő tárolási módját úgy kell megválasztani, hogy azok törlése – az esetleg eltérő törlési határidőre is tekintettel – az adattörlési határidő lejártakor, illetve, ha az egyéb okból szükséges, elvégezhető legyen. A törlésnek visszaállíthatatlannak kell lennie. Elektronikus adathordozók (merevlemezek, optikai adathordozók, mágneses adathordozók, nyomtatók, multifunkciós gépek háttértárai, flasch (NAND) adathordozók, SIM kártyák, mobileszközök, telefonok, PDA-k, Tablet-ek, laptopok stb.) esetében az elektronikus adathordozók selejtezésére vonatkozó szabályok szerint kell gondoskodni a fizikai megsemmisítésről, illetve szükség szerint előzetesen az adatoknak a biztonságos és visszaállíthatatlan törléséről. Az adathordozók megsemmisítését ellenőrizni, dokumentálni kell, valamint a dokumentációt visszakereshető módon kell megőrizni, illetve selejtezni.

 

 

III.5. Az Érintettek jogai

 

Az Érintett jogosult az Adatkezelőtől bármikor tájékoztatást kémi az Adatkezelő által kezelt, rá vonatkozó személyes adatokról, a személyes adatainak helyesbítését kérni, személyes adatainak – a kötelező adatkezelés kivételével – törlését, visszavonását, az adatkezelés korlátozását kémi, továbbá jogosult adathordozási-, tiltakozási- és jogorvoslati jogával élni az Adatkezelő jelen szabályzatban rögzített e-mail címére küldött levél útján, az alábbiak szerint:

 

III.5.1. Előzetes tájékoztatáshoz való jog

 

Az Érintett jogosult arra, hogy az adatkezeléssel összefüggő tényekről és információkról az adatkezelés megkezdését megelőzően tájékoztatást kapjon. (GDPR rendelet 13-14. cikk)

 

A.) Rendelkezésre bocsátandó információk, ha a személyes adatokat az Érintettől gyűjtik:

 

Az újonnan megkezdett adatkezelés esetében, amennyiben az Érintettre vonatkozó személyes adatokat az Adatkezelő az Érintettől gyűjti, a személyes adatok megszerzésének időpontjában, – amennyiben az Érintett utólag kér tájékoztatást, ezen tájékoztatás megadásakor is – az Érintett rendelkezésére kell bocsátani az alábbi információkat:

1. az Adatkezelő és amennyiben ilyen kijelölésre kerül, képviselőjének kiléte és elérhetőségei;
2. az adatvédelmi tisztviselő (adatvédelemért felelős személy) elérhetőségei;
3. a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja
4. ha az adatkezelés jogos érdeken alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;
5. a személyes adatok címzettjei, amennyiben van ilyen, a címzettek kategóriái;
6. adott esetben annak a ténye, ha az Adatkezelő harmadik országba, vagy nemzetközi szervezet részére kívánja az adatokat továbbítani, a vonatkozó megfelelőségi határozat léte vagy hiánya, vagy ilyen adattovábbítás esetén megfelelő és alkalmas garanciák megjelölése, valamint azok másolatának megszerzésére szolgáló módokra vagy azok elérhetőségére való hivatkozás;
7. a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
8. az Érintett azon jogáról történő tájékoztatása, hogy kérelmezheti az Adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését, vagy kezelésének korlátozását (zárolás), és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az Érintett adathordozhatósághoz való jogát;
9. amennyiben az adatkezelés az Érintett hozzájárulásán alapul, az arról való tájékoztatást, hogy hozzájárulását bármely időpontban visszavonhatja, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
10. az Érintettnek joga van felügyeleti hatósághoz címzett panasz benyújtására;
11. azt, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint, hogy az Érintett köteles-e személyes adatokat megadni továbbá, hogy milyen lehetséges következményekkel járhat az adatszolgáltatás elmaradása;
12. amennyiben ez releváns, az automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó közlés, hogy az ilyen adatkezelés milyen jelentőséggel és az Érintettre nézve milyen várható következményekkel bír.

 

B.) Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az Érintettől szerezték meg

 

Ha az Érintettre vonatkozó személyes adatokat az Adatkezelő nem az Érintettől gyűjti, a személyes adatok megszerzésének időpontjában, illetőleg a tájékoztató elkészítésekor az Érintett rendelkezésére bocsátja a fenti információkat, továbbá azokon túl a személyes adatok forrását és azt, hogy az adatok nyilvánosan hozzáférhető forrásból származnak-e.

 

Az előzetes tájékoztatás-adás rendje:

 

Az Érintett kérelmére az Adatkezelő tájékoztatást ad az Érintett általa kezelt személyes adatairól, továbbá a fentiekről. A tájékoztató az Adatkezelő jelen szabályzatban megjelölt e-mail címen kérhető.

 

 

 

Az Adatkezelő köteles:

 

1. a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől, illetve a kérelem benyújtásától számított ésszerű határidőn belül, de legfeljebb 1 hónapon belül,

 

2. ha a személyes adatokat az Érintettel való kapcsolattartás céljára használják, legalább az Érintettel való első kapcsolatfelvétel alkalmával; vagy

 

3. ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor közérthető formában, az Érintett erre irányuló kérelmére írásban megadni a tájékoztatást.

 

A tájékoztatást az Érintett által kért módon kell az Érintetthez eljuttatni, erre irányuló kifejezett kérés hiányában elsősorban email-en keresztül, másodsorban postai küldeményként kell megadni, amennyiben az Adatkezelő számára rendelkezésre áll a kommunikációs forma használatához szükséges adat és amennyiben az Érintett személyazonossága kétséget kizáróan megállapítható. Ha az Érintett kétséget kizáró módon nem azonosítható, erről lehetőség szerint őt az Adatkezelő megfelelő módon tájékoztatja. Ilyen esetekben az Érintett jogait az Adatkezelő akkor biztosítja, ha az Érintett abból a célból, hogy a jogát gyakorolja az azonosítását lehetővé tevő kiegészítő információkat nyújt.

Amennyiben az Adatkezelő a személyes adatokon a gyűjtésük céljától eltérő további célból adatkezelést kíván végezni és erre lehetősége van, a GDPR rendelet vonatkozó szabályaira tekintettel a további adatkezelést megelőzően tájékoztatja az Érintettet erről az eltérő célról és minden, a fenti pontokban megfogalmazott információkról.

 

Az Érintett tájékoztatását az adatkezelő csak a jogszabályban meghatározott esetekben és mértékben tagadhatja meg, így ha és amilyen mértékben:

 

1. az Érintett már rendelkezik az információkkal;

 

2. a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a vonatkozó feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben ezen kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az Érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében;

 

3. az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az Érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy

 

4. a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia.

 

A tájékoztatás megtagadása esetén az Adatkezelő írásban közli az Érintett-tel, hogy a felvilágosítás megtagadására mely jogszabály, mely rendelkezése alapján került sor. A felvilágosítás megtagadása esetén az Adatkezelő tájékoztatja az Érintettet a bírósági jogorvoslat, továbbá a hatósághoz fordulás lehetőségéről.

 

A tájékoztatás ingyenes, ha a tájékoztatást kérő a folyó évben azonos adatkörre vonatkozóan tájékoztatási kérelmet az Adatkezelőhöz még nem nyújtott be. Egyéb esetekben, továbbá, amennyiben a kérelem egyértelműen megalapozatlan, vagy különösen ismétlődő jellege miatt – túlzó, költségtérítés állapítható meg, vagy az Adatkezelő megtagadhatja a kérelem alapján történő további intézkedést.

 

A már megfizetett költségtérítést vissza kell téríteni, ha az adatokat jogellenesen kezelték, vagy a tájékoztatás kérése helyesbítéshez vezetett.

 

 

 

 

 

 

III.5.2.  Az Érintett hozzáféréshez való joga

 

Az Érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

 

1. az adatkezelés céljai;

 

2. az Érintett személyes adatainak kategóriái;

 

3. azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes

adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

 

4. adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

 

5. az Érintett azon joga, hogy kérelmezheti az Adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

 

6. a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;

 

7. ha az adatokat nem az Érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;

 

8. az automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az Érintettre nézve milyen várható következményekkel jár.

 

9. Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az Érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan előírt garanciákról.

III.5.3. Helyesbítéshez való jog

 

Az Érintett bármikor jogosult a helytelenül, vagy pontatlanul rögzített adatainak helyesbítését kémi.

Amennyiben az Érintett jelzi, hogy az Adatkezelő által kezelt bármely adata nem felel meg a valóságnak, az adatvédelemért felelős személy azonosítja az Érintettet és gondoskodik az adat helyesbítéséről, az adat helyesbítésére vonatkozó igényt az Adatkezelő érintett informatikai rendszerének rendszergazdája felé jelzi, megjelölve a helyes adatot.

 

Amennyiben a helyes adat nem áll rendelkezésre, az adatvédelemért felelős személy az Érintettől kér felvilágosítást a helyes adatról. Ha a helyes adat nem állapítható meg, az adatvédelemért felelős személy gondoskodik a helytelen adat zárolásáról, valamint értesíti az Érintetett, hogy az adat helyesbítésére a helyes adat hiányában nincs mód, de az adat zárolásra került.

 

III.5.4. Törléshez való jog (,,az elfeledtetéshez való jog”)

 

A.) Az Érintett jogosult kémi, hogy az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az Adatkezelő pedig köteles arra, hogy az Érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll;

 

1. a személyes adatokra már nincs szükség abból a célból, amelyekből azokat gyűjtötték vagy más módon kezelték;

 

2. az Érintett visszavonja az adatkezelés alapját szolgáló hozzájárulását és az adatkezelésnek más jogalapja nincs;

 

3. az Érintett a közérdekű, valamint az Adatkezelő vagy harmadik fél jogos érdekeinek érvényesítéséhez szükséges adatkezelés ellen tiltakozik és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az Érintett a közvetlen üzletszerzés céljából beszerzett adatainak kezelése ellen tiltakozik;

 

4. a személyes adatokat jogellenesen kezelte az Adatkezelő;

 

5. a személyes adatokat az Adatkezelő-re alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

 

6. a személyes adatok gyűjtésére a Rendelet szerinti, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

 

Amennyiben az Adatkezelő nyilvánosságra hozta a személyes adatot, és azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő Adatkezelőket, hogy az Érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

 

B.) A törlést nem kell teljesíteni, amennyiben az adatkezelés

 

1. véleménynyilvánítás szabadságához, vagy a tájékoztatáshoz való jog gyakorlása céljából szükséges,

 

2. jogi kötelezettség teljesítése miatt szükséges,

 

3. népegészségügy területét érintő közérdek alapján,

 

4. közérdekű archiválás, tudományos, vagy történelmi kutatás, statisztikai célból szükséges és az adattörlés lehetetlenné tenné, vagy komolyan veszélyeztetné az adatkezelés céljának teljesítését,

 

5. jogi igények előterjesztéséhez, érvényesítéséhez és védelméhez szükséges.

 

Adatkezelő továbbá törli, vagy anonimizálja az Érintettre vonatkozó, az informatikai rendszereiben, valamint papír alapú dokumentációiban szereplő személyes adatokat, ha jogszabály máshogy nem rendelkezik és a személyes adat kezeléséhez fűződő cél megszűnt.

 

C.) Amennyiben a személyes adat törlése nem valósítható meg az azt tartalmazó irat sérelme nélkül:

 

1. amennyiben az irat megőrzéséhez az Adatkezelő, vagy harmadik személy jogos érdeke fűződik, az iratot az Adatkezelő az iratkezelési szabályok szerinti időtartamig megőrzi törlési kérelem esetén az iratot zártan kezeli és erről az Érintettet értesíti, és az iratot a személyes adattal együtt az iratkezelési szabályban meghatározott időtartam lejártát követően megsemmisíti,

 

2. amennyiben az irat megőrzéséhez az Adatkezelőnek és harmadik személynek sem fűződik jogos érdeke, az iratot a személyes adattal együtt megsemmisíti.

 

Az adatok törlése iránt minden esetben az adatvédelemért felelős személy a személyes adat kezelésével kapcsolatban Érintett szervezeti egységgel, informatikai rendszer rendszergazdájával együttműködésben intézkedik.

 

Az Adatkezelő informatikai rendszereiből a személyes adatot, amennyiben lehetséges, visszaállíthatatlanul törli, továbbá gondoskodik arról, hogy az informatikai rendszer archivált változatában is átvezetésre kerüljön a személyes adat törlése. A törlésért az informatikai rendszerért felelős személy felel.

 

Amennyiben a helyreállíthatatlan törlés informatikai okból nem kivitelezhető, Adatkezelő az adat logikai törlését hajtja végre. A logikai törlés keretében a személyes adatot olyan azonosítóra kell lecserélni, amely megakadályozza, hogy a személyes adathoz tartozó további adatok a későbbiekben kapcsolatba hozhatók legyenek az Érintettel.

 

A papír alapú dokumentációk esetében azok jegyzőkönyvvel rögzített megsemmisítéséről kell gondoskodni. A jegyzőkönyvben rögzíteni kell: a megsemmisített iratok típusát, a megsemmisített iratok beazonosíthatóságához szükséges információkat, a megsemmisítés időpontját és a megsemmisítést végző személy nevét, beosztását, külső partner esetén a külső partner nevét.

 

Amennyiben az adatok törlése jogszabályi előírás, de az az Érintett jogos érdeke miatt nem lehetséges, a személyes adatot, illetve a személyes adatot tartalmazó elektronikus, vagy papír alapú dokumentációt zárolni kell. Ez esetben az informatikai rendszerben tárolt adathoz, illetve dokumentumhoz csak az informatikai rendszer rendszergazdája vagy az adatvédelemért felelős személy rendelkezhet hozzáféréssel. Papír alapú dokumentációk esetén pedig a dokumentum őrzését zárható szekrényben kell megvalósítani. A papír alapú dokumentációk belső rendszerbe feltöltött elektronikus példányához az Adatkezelő a felhasználók hozzáférését megszünteti.

 

III.5.5. Az adatkezelés elleni tiltakozáshoz való jog

 

Az Érintett részére biztosítani kell, hogy bármikor tiltakozhasson személyes adatának a GDPR-rendelet 6. cikk (1) bekezdésének e) pontján (az adatkezelés közérdekű vagy az Adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges) vagy t) pontján (az adatkezelés az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges) alapuló kezelése ellen.

 

Ebben az esetben az Adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az Adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

 

Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az Érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. Ilyen esetben a személyes adatok a továbbiakban e célból nem kezelhetők.

 

A fenti jogokra legkésőbb az Érintett-tel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.

 

Ha a személyes adatok kezelésére tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az Érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozzon a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.

 

Az Érintett a tiltakozását – jogszabály eltérő rendelkezése hiányában – e-mail útján közölheti az Adatkezelővel. Az adatvédelemért felelős személy a legrövidebb időn belül azonosítja az Érintettet, a tiltakozást a kérelem benyújtásától számított legrövidebb időn belül megvizsgálja, annak megalapozottsága kérdésében döntést hoz, és döntéséről a kérelmezőt tájékoztatja.

 

III.5.6. Az adatkezelés korlátozásához való jog

 

Az Érintett jogosult arra, hogy kérésére Adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

 

1. az Érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát;

 

2. az adatkezelés jogellenes, és az Adatkezelő ellenzi az adatok törlését, és e helyett kéri azok felhasználásának korlátozását;

 

3. Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az Érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez;

 

4. az Érintett tiltakozott az adatkezelés ellen, de az Adatkezelő jogos érdeke is megalapozhatja az adatkezelést, ez esetben, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokai elsőbbséget élveznek-e az Érintett jogos indokaival szemben, az adatkezelést korlátozni kell.

 

Ha az adatkezelés korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az Érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

 

Adatkezelő az Érintettet, akinek a kérésére az adatkezelést korlátozták, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.

 

III.5.7. Az adathordozhatósághoz való jog

 

Az Érintett jogosult arra, hogy a rá vonatkozó személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik Adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az Adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha:

 

1. az adatkezelés hozzájáruláson, vagy szerződésen alapul és
2. az adatkezelés automatizált módon történik.

 

Az adatok hordozhatóságához való jog gyakorlása során az Érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok Adatkezelők közötti közvetlen továbbítását.

 

E jog gyakorlása nem sértheti a törléshez való jogra vonatkozó rendelkezéseket, nem érintheti hátrányosan mások jogait és szabadságait és nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az Adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.

 

III.5.8. Automatizált döntéshozatallal, profilalkotással kapcsolatos Érintetti jogok

 

Az Érintett jogosult kérni, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené, kivéve, ha a döntés:

 

1. az Érintett és az Adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
2. meghozatalát az Adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az Érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy

 

3. az Érintett kifejezett hozzájárulásán alapul.

 

Az 1. és 3. pontokban említett esetekben az Adatkezelő köteles megfelelő intézkedéseket tenni az Érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében, ideértve az Érintettnek legalább azt a jogát, hogy az Adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.

 

III.5.9. Helyesbítéshez, törléséhez, az adatkezelés korlátozásához kapcsolódó értesítés

 

Az Adatkezelő minden olyan címzettet tájékoztat valamennyi helyesbítésről, törlésről vagy adatkezelés korlátozásról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az Érintettet kérésére az Adatkezelő tájékoztatja e címzettekről.

 

III.5.10. Az Érintett tájékoztatása az adatvédelmi incidensről

 

Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő indokolatlan késedelem nélkül tájékoztatja az Érintettet az adatvédelmi incidensről.

 

A tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit, ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket és az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

 

Az Érintettet nem kell tájékoztatni, ha a következő feltételek bármelyike teljesül:

 

1. az Adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása-, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;

 

2. az Adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az Érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;

 

3. a tájékoztatás aránytalan erőfeszítést tenne szükségessé.

 

Ilyen esetekben az Érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az Érintettek hasonlóan hatékony tájékoztatását.

 

Amennyiben az Adatkezelő még nem értesítette az Érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az Érintett tájékoztatását, vagy megállapíthatja, hogy fennáll olyan feltétel, amely alapján tájékoztatás nem szükséges.

 

III.5.11. Jogorvoslathoz való jog

 

A felügyeleti hatóságnál történő panasztételhez való jog (hatósági jogorvoslathoz való jog)

Az Érintett jogosult arra, hogy panaszt tegyen a felügyeleti hatóságnál, ha a megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a GDPR rendeletet. Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, köteles tájékoztatni az ügyfelet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy az ügyfél jogosult bírósági jogorvoslattal élni.

 

 

 

A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

Minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben, vagy ha a felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az Érintettet a benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

 

 

Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

Minden Érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak a GDPR rendeletnek nem megfelelő kezelése következtében megsértették a rendelet szerinti jogait.

 

Az érintett a jogainak megsértése esetén az adatkezelő ellen bírósághoz vagy az adatvédelmi hatósághoz fordulhat. Jogorvoslati lehetőséggel, panasszal a következő elérhetőségeken lehet élni:

 

 

Nemzeti Adatvédelmi és Információszabadság Hatóság

Cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c.

Telefon: 06- 1-391-1400 Fax: 06-1-391-1410

E-mail: ugyfelszolgalat@naih.hu

Weboldal: naih.hu

III.5.12. Az Érintett kérelmének előterjesztése, az Adatkezelő intézkedései

 

Az Adatkezelő elősegíti az Érintett e fejezetben és jogszabályban rögzített jogainak gyakorlását. Az Érintett jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az Érintettet nem áll módjában azonosítani.

 

Az Adatkezelő indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított 25 napon belül tájékoztatja az Érintettet a jogai gyakorlására irányuló kérelme nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az Adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az Érintettet.

 

A tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az Érintett azt másként kéri.

 

Ha az Adatkezelő nem tesz intézkedéseket az Érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított 25 napon belül tájékoztatja az Érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az Érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

 

Adatkezelő a személyes adatkezelésre vonatkozó információkat, az Érintett jogairól szóló tájékoztatást és az intézkedést díjmentesen biztosítja. Ha az Érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az Adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre:

 

1. díjat számíthat fel, vagy
2. megtagadhatja a kérelem alapján történő intézkedést.

 

A felszámítható díj 1.000 Ft/adatkérés.

 

A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az Adatkezelőt terheli. Ha az Adatkezelőnek megalapozott kétségei vannak a kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az Érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

 

III.5.13. Adatkezelés során alkalmazandó intézkedések

 

Az Adatkezelő informatikai rendszerének felhasználói, valamint a személyes adatokkal egyéb módon kapcsolatba kerülő személyek a személyes adatok védelme érdekében kötelesek megtartani az alábbi előírásokat.

 

A munkavégzés során keletkezett személyes adatot is tartalmazó dokumentumokat csak a munkavégzés céljára szolgáló számítástechnikai eszközökön nyithatják meg. A munkavégzés céljára szolgáló eszközök hozzáférési kódjait a munkavállalók bizalmasan kötelesek kezelni.

 

A munkavégzés céljára szolgáló mobiltelefonokra érkező, személyes adatot is tartalmazó dokumentumot is tartalmazó levelek esetén a dokumentumot lehetőség szerint csak asztali számítógépen lehet megnyitni. Amennyiben a mobiltelefonon keresztüli megnyitás szükséges, akkor a mobiltelefonról a helyi másolatot minden esetben törölni kell. A munkavégzésre használt mobiltelefont, amelyen az Adatkezelő által kezelt, vagy feldolgozott személyes adat is megtalálható, minden esetben a mobiltelefonba épített ábrás, vagy kódos védelemmel kell használni.

 

A munkavégzés céljára átadott notebook-ok és egyéb munkaállomások esetében az eszközöket csak a felhasználók használhatják, hozzátartozóik, vagy más személy számára nem engedélyezett azok használata.

 

A papír alapú munkadokumentumokat, ha azok használata már nem szükséges olyan módon kell megsemmisíteni (pl.: irat ledarálásával), hogy a megsemmisítést követően ne lehessen azok tartalmát megállapítani.

 

A munkavállaló jogviszonya megszűnése esetén minden személyes adatot is tartalmazó papír alapú és elektronikus iratot, adatot köteles a jogviszonya utolsó napját megelőzően az Adatkezelő részére visszaszolgáltatni, azokról másolatot nem tarthat magánál.

 

Tilos magánhasználatú eszközön az Adatkezelő kezelésében, vagy feldolgozásában lévő személyes adatot tárolni, kivéve, ha a tárolás a munkavégzéshez elengedhetetlenül szükséges, arra az Adatkezelő képviselője engedélyt adott és a tárolást a munkavégzést követően haladéktalanul és helyrehozhatatlanul megszüntetik.

 

Minden munkavállaló köteles az általa használt munkaterületet olyan módon használni, hogy azon az Adatkezelő kezelésében, vagy feldolgozásában lévő, személyes adatot is tartalmazó dokumentumok lehetőség szerint szabadon ne legyenek hozzáférhetők. Ilyen intézkedésnek minősül különösen: számítástechnikai eszközök jelszavas védelme, az irodahelyiség zárása, az iratok elhelyezése védett helyre.

 

Személyes adatok csak biztonságos kommunikációs csatorna alkalmazásával, vagy megfelelő titkosítási megoldással adhatók át más személynek. Ellenkező jelzésig az Adatkezelő belső levelezési rendszerén belüli adatáramlás biztonságos kézbesítési csatornának tekintendő. Külső adatátadás során gondoskodni kell a személyes adatok titkosításáról, papír alapon pedig zárt borítékon keresztüli átadással.

 

Amennyiben az Adatkezelő más Adatkezelőtől, az adathoz kapcsolódó rendelkezéssel fogad személyes adatot, valamennyi, az adattal érintkező felhasználónak kötelessége az adattovábbító rendelkezéseit figyelembe venni.

 

Személyes adat továbbítása esetén 3 munkanapon belül el kell juttatni az adatvédelemért felelős személy számára elektronikus levélben mindazokat az információkat, amelyek az adattovábbítási nyilvántartás vezetéséhez szükségesek.

 

Külső személynek nem adható át személyes adat.

 

1. A Sharity Mobile Application Zrt. adatvédelmi rendszere

 

Az Adatkezelő üzleti, gazdasági tevékenységére és az azzal kapcsolatos egyéb feladatellátásaira is figyelemmel határozza meg a Társaságon belüli adatvédelem szervezetét, valamint az azzal összefüggő tevékenyégre vonatkozó egyedi feladat- és hatásköröket, és kijelöli az adatkezelés, adatvédelem felügyeletét ellátó személyt.

 

A Sharity Mobile Application Zrt. adatvédelmi rendszerének felügyeletét az Igazgatóság tagjai látják el a kijelölt belső adatvédelmi tisztviselő útján. A Társaság belső adatvédelmi tisztviselője: Dr. Bujdosó Arnold (e-mail: office@sharity.hu)

 

AZ ADATVÉDELEMMEL KAPCSOLATOS HATÁSKÖRÖK ÉS FELADATOK

 

A Sharity Mobile Application Zrt. Igazgatóságának tagjai az adatvédelemmel kapcsolatosan:

 

• felelős(ek) az érintetteknek a GDPR-ben, illetve az Info tv.-ben meghatározott jogainak gyakorlásához szükséges feltételek biztosításáért;
• felelős(ek) a Társaság által kezelt személyes adatok védelméhez szükséges személyi, tárgyi és technikai feltételek biztosításáért;
• felelős(ek) az adatkezelésre irányuló ellenőrzés során esetlegesen feltárt hiányosságok vagy jogszabálysértő körülmények megszüntetéséért, a személyi felelősség megállapításához szükséges eljárás kezdeményezéséért, illetve lefolytatásáért;
• felügyeli(k) a belső adatvédelmi tisztviselő tevekénységét;
• vizsgálatot rendelhet(nek) el;
• kiadja(ák) a Társaság adatvédelemmel, adatbiztonsággal kapcsolatos belső szabályait és utasításait;
• különösen súlyos törvénysértés esetén a munkajogi szabályok alapján fegyelmi eljárást indít(anak) a személyes adatot jogszabálysértő módon kezelő személy ellen.

 

Az adatkezelésben érintett munkatársak

 

• kötelesek a jelen Szabályzat előírásai szerint kezelni a személyes adatokat;
• felelősek feladatkörükben eljárva a személyes adatok jelen Szabályzat szerinti feldolgozásáért, megváltoztatásáért, törléséért, továbbításáért és nyilvánosságra hozataláért, valamint az adatok pontos és követhető dokumentálásáért;
• amennyiben szükséges, előzetesen egyeztetnek a felettesükkel és a belső adatvédelmi tisztviselővel a személyes adatok kezelését érintő ügyekben;
• a tudomásukra jutott adatkezeléssel kapcsolatos jogsértésekről haladéktalanul tájékoztatják a felettesüket.

 

A Sharity Mobile Application Zrt. belső adatvédelmi tisztviselőjének az adatvédelemmel kapcsolatos feladatait és hatásköreit a jelen szabályzat V.7. számú fejezete szabályozza részletesen.

 

 

1. Adatkezelési tevékenységek és azok megvalósulása a Sharity Mobile Application Zrt.-nél

 

– valamint ezek alapja, jogalapja, az ahhoz való hozzájárulás és a meglévő adatok tárolása, megsemmisítése –

 

V.1. A Sharity Mobile Application Zrt.-nél, mint Adatkezelőnél az alábbi adatkezelési tevékenységek folynak:

 

Az itt felsorolt adatkezelési folyamatok, tevékenységek részletes leírását és az érintett, kezelt személyes adatok tételes felsorolását, valamint annak ismérveit a jelen Adatvédelmi és Adatbiztonsági Szabályzat elválaszthatatlan részét és 2. számú mellékletét képező adatkezelési tevékenységek nyilvántartása elnevezésű dokumentum tartalmazza. Az adatkezelési folyamatok, tevékenységek részletes leírása az alábbi ismérvek szerint került a nyilvántartásban rögzítésre és kidolgozásra:

 

• mi az adatkezelés célja,
• mi az adatkezelés jogalapja,
• kik az érintettek (ld.: az érintettek kategóriái),
• milyen személyes adatok kerülnek kezelésre (ld.: kezelt személyes adatok kategóriája),
• adattörlési határidők,
• adattárolás formájának meghatározása, adattárolás helyének megnevezése.

 

V.1.1. Foglalkoztatotti jogviszony (munkajogviszony) kapcsán folyó adatkezelések:

 

• álláspályázatok útján begyűjtött és kezelt adatok,
• munkajogviszony létesítése során begyűjtött és kezelt adatok,
• munkajogviszony fennállása alatt kezelt adatok (munkaszerződés módosítás),
• munkajogviszony megszűnése során kezelt adatok.

 

V.1.2.  Egyéb foglalkoztatotti jogviszony kapcsán folyó adatkezelések:

 

• megbízási, vállalkozási jogviszonyban foglalkoztatottak adatainak kezelése.

 

V.1.3. Ügyfelekkel és kommunikációs feladatokkal kapcsolatos adatkezelések:

 

• ügyfélkapcsolatok, partnerkapcsolatok kezelése, természetes személyekkel kapcsolatos -(kedvezményezettek, támogatók, ügyfelek, partnerek, stb.) adatnyilvántartások, ügykezelések, panaszkezelések,
• szerződéses kapcsolattartással és kommunikációs feladatok ellátásával összefüggő adatkezelések,
• társadalmi szerepvállalással kapcsolatos feladatok ellátása során végzett adatkezelések,
• ügyfélkapcsolatok kezelése,
• pénztári kifizetések, banki tranzakciók, bizonylatolások, számlázás során végzett adatkezelési tevékenységek.

 

 

V.1.4.  Honlappal kapcsolatos adatkezelések:

 

• honlap (sharity.hu, app.sharity.hu, adomany.sharity.hu) használatával kapcsolatos adatkezelés.

 

V.2. Az Adatkezelő tevékenységéhez az alábbi Adatfeldolgozók közreműködését és szolgáltatásait veszi igénybe:

 

Adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség, vagy bármely szerv, amely az Adatkezelő nevében személyes adatokat kezel.

 

A Társaság az általa kezelt adatok feldolgozására külső Adatfeldolgozót abban az esetben vehet igénybe, ha az adatfeldolgozó tevékenysége illetve az adatfeldolgozás során használt rendszer a jelen Szabályzatban meghatározott adatvédelmi és adatbiztonsági követelményeknek megfelel. Így a Társaság és az Adatfeldolgozó között létrejövő szerződésnek részét kell, hogy képezze azon rendelkezés, hogy az adatvédelmi és adatbiztonsági jogszabályi előírásokat és jelen Szabályzatban foglalt rendelkezéseit tudomásul veszi, azokat a tevékenysége során betartja illetve azt is, hogy ennek ellenőrzésére az Adatkezelő Társaság jogosult.

 

Az Adatfeldolgozó igénybevételéhez nem kell az Érintett(ek) előzetes beleegyezése, de szükséges a tájékoztatásuk. Eszerint a jelen szabályzatban foglaltan a Társaság Adatfeldolgozóinak tekintetében az alábbi tájékoztatást adjuk a jelenleg megbízott Adatfeldolgozóinkról:

 

Adatfeldolgozó megnevezése	Elérhetősége (cím, telefonszám és/vagy e-mail cím)	Adatfeldolgozás célja
könyvvizsgáló, könyvelő, bérszámfejtő	Kocsis Józsefné (székhely: 7090 Tamási, Szarkahegy u. 48/A., mobil: +36 20 5886040, e-mail: fortunakonyvelo@gmail.com)   (Könyvelő Iroda)	könyvelési és bérszámfejtési feladatok ellátása szerződés szerint az Adatkezelő számára
Független könyvvizsgáló	Dr. Hegedűs László Bergmann Könyvelő Iroda Kft. H-1065 Budapest, Bajcsy-Zsilinszky út 37. Tel: 0620/7457080 Mobil: 0620/3597894 Fax: 238-90-10 E-mail: laszlo.hegedus@bergmann.hu	A működési kézikönyv szerinti kézikönyvben meghatározott ellenőrzési feladatok teljesítésében részt vesz.
ügyvéd	Dr. Bujdosó Arnold 7090 Tamási, Petőfi Sándor utca 12. bujdoso.arnold@bujdosoiroda.com +36304007470	A társaság jogi ügyeihez kapcsolódó ügyintézések szerződés szerint.
fejlesztők	PWC Magyarország Kft. József Mári   PwC | Digital Consulting | Manager Mobile: +36 70 685 0294 Email: jozsef.mari@pwc.com PricewaterhouseCoopers Magyarország Kft. 1055 Budapest, Bajcsy-Zsilinszky út 78. http://www.pwc.com/hu   Neosoft Kft. Schöffer Viktor | értékesítési vezető | NeoSoft Kft. | webfejlesztés 20 év tapasztalattal | mobil: +36 20 466 3093 | iroda: +36 22 503 603 | email: viktor@neosoft.hu | web: neosoft.hu | címünk: 8000 Székesfehérvár, Távírda utca 2/A	A Sharity Applikációba való regisztráció biztosítása és szerződéskötés, az Applikáció működtetése, ideértve a Felhasználókkal történő kapcsolattartást, valamint az ÁSZF (Általános Szerződési Feltételek) szerinti Szolgáltatások nyújtása. Az adatkezeléshez szorosan kapcsolódó informatikai szolgáltatás nyújtása (Applikáció fejlesztése).
informatikus	Még nem ismert.	A Társaság számítógépes rendszereihez tartozó rendszergazdai és karbantartási feladatok ellátása.
munkaerő közvetítő személy/szervezet	Még nem ismert.	A társaság leendő munkavállalóihoz / munkavállalóihoz kapcsolódó adatok kezelése. Az általa közvetített személlyel a munkaviszony létrejöttének igazolása és az ehhez szükséges adatok továbbítása.
üzemorvos	Még nem ismert.	Az üzemorvosi tevékenység ellátásához szükséges adatok ellátáshoz kapcsolódó adatok kezelése.
szerződött partnerek	Még nem ismert.	Informatikai szerverek és Cloud szolgáltatásokat biztosító szerződött partnerek részére történő adattovábbítás adatok tárolására.

 

 

 

 

 

 

V.3. Adatbiztonság

 

A Társaság, mint Adatkezelő gondoskodik az adatok biztonságáról, megteszi azokat a technikai és szervezési intézkedéseket és kialakítja azokat az eljárási szabályokat, amelyek az Info tv., valamint az egyéb adat- és titokvédelmi szabályok érvényre juttatásához szükségesek.

 

Az Adatkezelő a személyes adatokat védi a jogosulatlan hozzáféréstől; jogosulatlan megváltoztatástól; jogosulatlan továbbítástól; jogosulatlan nyilvánosságra hozataltól; jogosulatlan vagy véletlen törléstől, megsemmisítéstől; sérüléstől; valamint az alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válástól.

 

A Sharity Mobile Application Zrt., mint Adatkezelő:

 

• az adatokat megfelelő intézkedésekkel védi a véletlen vagy jogellenes megsemmisítés, elvesztés, megváltoztatás, sérülés, jogosulatlan nyilvánosságra hozatal vagy az azokhoz való jogosulatlan hozzáférés ellen,
• a személyes adatokat bizalmas adatként minősíti és kezeli, így a munkavállalókkal a személyes adatok kezelésére vonatkozó titoktartási kötelezettséget ír elő,
• a személyes adatokhoz való hozzáférést jogosultsági szintek megadásával korlátozza,
• az informatikai rendszereit tűzfallal védi és vírusvédelemmel látja el,
• az elektronikus adatfeldolgozást, nyilvántartás számítógépes program útján végzi, amely megfelel az adatbiztonság követelményeinek. Így a program biztosítja, hogy az adatokhoz csak célhoz kötötten, ellenőrzötten és csak azon személyek férjenek hozzá, akiknek a munkakörük, feladatuk ellátásához érdekében erre szükségük vagy felhatalmazásuk van,
• a személyes adatok védelme érdekében gondoskodik az elektronikus úton folytatott bejövő és kimenő kommunikáció ellenőrzéséről,
• az általa kezelt személyes adatokat a székhelyén fizikai védelemmel ellátott szerveren tárolja, amely szerverhez való elektronikus hozzáférés kizárólag egyedi azonosító név és jelszó megadását követően lehetséges,
• biztosítja az adatok és az azokat hordozó eszközök, iratok megfelelő fizikai védelmét.
• a folyamatban lévő munkavégzés, feldolgozás alatt lévő iratokhoz csak az illetékes ügyintézők férhetnek hozzá, a személyzeti-, a bér-, a munkaügyi és egyéb személyes adatokat tartalmazó iratokat biztonságosan elzárva kell tárolni.

 

A papíralapon kezelt és tárolt személyes adatok biztonsága érdekében a Sharity Mobile Application Zrt. az alábbi intézkedéseket alkalmazza:

 

• az adatokat csak az arra jogosultak ismerhetik meg, azokhoz más nem férhet hozzá, más számára fel nem tárhatók,
• az iratokat, dokumentumokat jól zárható, a biztonsági előírásoknak megfelelő helyiségben helyezik el, a zárható szekrényekben tárolt iratokhoz való hozzájutás korlátozott, így a folyamatos és aktív kezelésben lévő iratokhoz csak az arra – feladat- vagy munkavégzése, illetve munkaköre alapján – illetékesek férhetnek hozzá,
• az aktuális adatkezelést végző munkatárs a nap folyamán csak úgy hagyhatja el a helyiséget, ahol az adatkezelés folyik, hogy az irodát bezárja, vagy a rá bízott iratokat elzárja, a munka-, feladatvégzés befejeztével pedig az adatkezelés alapjául szolgáló iratokat elzárja,
• amennyiben a papíralapon kezelt személyes adatok digitalizálásra kerülnek, úgy a digitálisan, elektronikusan tárolt dokumentumokra és elektronikus adatkezelésre vonatkozó informatikai-biztonsági szabályok alkalmazása az irányadó.

 

A számítógépen illetve belső hálózaton tárolt személyes adatok biztonsága érdekében az alábbi intézkedéseket alkalmazza a Társaság:

 

• az adatkezelés során használt személyi számítógépek és laptopok (együttes említésük a továbbiakban: számítógépek) a Társaság tulajdonát képezik vagy azok fölött tulajdonosi jogkörrel megegyező joggal bír,
• a számítógépeken található adatokhoz csak érvényes, személyre szóló, azonosítható jogosultsággal, felhasználói névvel és jelszóval lehet hozzáférni, a jelszavak cseréjéről szükség esetén a Társaság gondoskodik,
• az adatokkal történő minden számítógépes rekord nyomon követhetően naplózásra kerül,
• a hálózati kiszolgáló gépen (továbbiakban: szerver) tárolt adatokhoz csak megfelelő jogosultsággal és kizárólag a Társaságnál az arra kijelölt személyek férhetnek hozzá,
• a személyes adatokat tartalmazó adatbázisok aktív adataiból heti mentést végez, a mentés a központi szerver teljes adatállományára vonatkozik és mágneses adathordozóra történik, amely adathordozókat az erre kijelölt helyen tárolják,
• a személyes adatokat kezelő hálózaton a Társaság folyamatosan gondoskodik a vírusvédelemről,
• amennyiben az adatkezelés célja megvalósult, vagy az adatkezelés határideje letelt, úgy az adatokat tartalmazó fájl(ok) visszaállíthatatlanul törlésre kerül(nek), az adatok újra vissza nem nyerhetőek,
• a rendelkezésre álló számítástechnikai eszközökkel, illetve azok alkalmazásával megakadályozza a Társaság az illetéktelen személyek hálózati hozzáférését.

 

V.3.1. Az adatbiztonság alapelvei

 

Bizalmasság elve:

Az adatok bizalmasságának megvédése, annak garanciája, hogy az adatokhoz jogosulatlanul vagy illetéktelenül nem juthatnak hozzá.

 

Sértetlenség elve:

Az adatok sértetlensége (integritása) azt jelenti, hogy azokat csak az arra jogosultak változtathatják meg.

 

Rendelkezésre állás elve:

Annak a biztosítása, hogy az adatok mindig elérhetőek legyenek, jogtalanul ne semmisítsék meg, ne töröljék azokat.

 

V.3.2. Az adatbiztonsági ellenőrzés

 

 A Társaság az általa kezelt személyes adatok biztonságának megteremtéséhez szükség szerint, de évente legalább egy alkalommal adatbiztonsági ellenőrzést hajt végre, melynek keretében az adatok biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságát tesztelni, felmérni és értékelni szükséges. Az adatbiztonsági ellenőrzést az adatvédelmi tisztviselő vezeti.

 

Az ellenőrzésről jegyzőkönyv felvételére kerül sor. A jegyzőkönyvet az ellenőrzés során jelen lévő személyek aláírásukkal látják el. A jegyzőkönyv alapján az adatvédelmi tisztviselő értékelést és intézkedési tervet készíttet, melyet átad a Társaság vezetőjének. 

 

Az adatbiztonsági ellenőrzés folyamata:

 

1. A védelmi igény feltárása: ki kell választani az Társaság lényeges adatkezeléssel érintett rendszereit, amelyeket a Társaság védeni akar.

 

1. Fenyegetettség-elemzés: azoknak a fenyegető tényezőknek a feltárása, amelyek az előbbi adatokra, alkalmazásokra veszélyesek lehetnek.

 

• Kockázatelemzés: az informatikai rendszerre ható fenyegető tényezők megvizsgálása, meghatározni a lehetséges károk bekövetkezésének gyakoriságát és a kárértékeket.

 

Kockázatkezelés: a megfelelő intézkedések kiválasztása és értékelése a károk csökkentésére.

V.3.3. A védelmi igény feltárása

 

A társasági adatkezelés védelme három összetevőjű, fizikai védelemből, eljárásvédelemből és informatikai védelemből áll.

• A fizikai védelem a helyiségek, objektumok védelméből, valamint a papír alapú és más hagyományos dokumentumok védelméből áll.

 

• Az eljárásvédelem az adatvédelmi és adatbiztonsági szabályok meghatározását, betartását és betartásának ellenőrzését, a Társasági foglalkoztatottjai tudatosságának fejlesztését foglalja magában.

 

• Az informatikai védelem a hardver és szoftvervédelemből áll.

V.3.4. Fenyegetettség-elemzés

 

Azoknak a fenyegető tényezőknek a feltárása, amelyek a védendő adatokra, alkalmazásokra veszélyesek lehetnek. Az adatbiztonsági ellenőrzési jegyzőkönyvben a fenyegető tényezőket rögzíteni kell.

Az adatbiztonságot veszélyeztető főbb kockázati elemek:

 

A külső fenyegető tényezők:

1. a) természeti katasztrófa;
2. b) külső személy által elkövetett erőszakos cselekmény;
3. c) közműellátási zavarok;
4. d) külső személy tartózkodása az objektumban;
5. e) védelmi berendezések technikai hibája, vészhelyzet (pl. rövidzárlat, tűz, csőtörés).

 

A hardvereszközök fenyegetettsége:

1. a) műszaki jellegű hibák, rendellenességek;
2. b) káros környezeti hatás (feszültségingadozás, szennyeződés, elektromágneses sugárzás, elektrosztatikus feltöltődés);
3. c) a berendezések kezelésével, karbantartásával kapcsolatos hibák;
4. d) perifériákhoz való illetéktelen hozzáférés;
5. e) a berendezések manipulálása, rongálása, lopása;
6. f) az eszköz elhelyezésére szolgáló helyiség vagy munkahely helytelen kiválasztása.

 

Az adathordozók veszélyeztetettsége:

1. a) gyártási hiba;
2. b) károsodás nem szabályszerű tárolás vagy kezelés miatt;
3. c) ismeretlen vagy kétes eredetű adathordozó alkalmazása;
4. d) kontroll nélküli hozzáférés az adathordozókhoz, másolás;
5. e) saját adathordozó ellenőrzés nélküli alkalmazása szolgálati vagy magáncélra (vírusveszély, illegális másolás).

 

 

 

Az iratokhoz, informatikai dokumentációkhoz kapcsolódó kockázati elemek:

1. a) a rendszerdokumentáció teljes vagy részleges hiánya;
2. b) az iratok követhető rendszerezettségének hiánya;
3. c) az aktualitás hiánya;
4. d) jogosulatlan, hibás, ismeretlen eredetű változtatás;
5. e) kontroll nélküli hozzáférés, sokszorosítás.

 

A szoftverekhez kapcsolódó veszélyforrások:

1. a) nem jogtiszta, ismeretlen szoftver alkalmazása;
2. b) szoftverhiba;
3. c) jogosulatlan hozzáférés, másolás lehetősége;
4. d) szoftver ellenőrizetlen bevitele az informatikai rendszerbe;
5. e) vírusveszély;
6. f) szándékos vagy gondatlan kezelési, karbantartási hiba;
7. g) a szoftver sérülése, károsodása hardverhiba miatt;
8. h) dokumentációk hiánya, sérülése.

 

Az alkalmazói tevékenységgel, adatokkal összefüggő kockázati elemek:

1. a) adatvesztés, károsodás hardver-vagy szoftverhiba miatt;
2. b) teljes vagy részleges adatvesztés hibás adathordozó miatt;
3. c) a jogosult adatkezelő által szándékosan vagy tévedésből végzett adattörlés, módosítás;
4. d) jogosulatlan adatkezelő által végzett másolás, törlés, módosítás;
5. e) hibás adatkezelés ismerethiány miatt;
6. f) kezelési előírások be nem tartása, oktatás hiánya.

 

Fenyegető tényezők a kommunikáció területén:

1. a) jogosulatlanok bejutása a hálózatba nem ellenőrizhető csatlakozás révén;
2. b) hálózati hardverek és szoftverek szándékos vagy gondatlan manipulálása;
3. c) adatforgalom lehallgatása;
4. d) váratlan forgalmazási akadályok, az átvitelt zavaró befolyások;
5. e) üzenetvesztés, üzenet megváltoztatása;
6. f) az adatátviteli eszközök sérülése, károsodása.

 

 

Személyhez fűződő veszélyforrások:

1. a) hibás adatkezelés ismerethiány vagy fáradtság, figyelmetlenség miatt;
2. b) az adatkezelésre vonatkozó előírások figyelmen kívül hagyása hiányos „biztonságtudat” miatt, a fenyegetettség lebecsülése;
3. c) szándékosan hibás adatkezelés belső késztetés vagy külső ráhatás következményeként;
4. d) jogosulatlan hozzáférés;
5. e) az ellenőrzés hiánya.

 

V.3.5. Kockázatelemzés

 

Meg kell határozni mindazokat a lehetséges intézkedéseket, melyekkel a kockázat minimálisra csökkenthető. Az intézkedések végrehajtására határidőt kell megjelölni. Az Igazgatósági tagok intézkednek a szükséges intézkedések végrehajtásának megtervezése és kivitelezése iránt.

 

Az előbbi fejezetben meghatározott tényezők összevetése és a tudomány mindenkori állásának megfelelő előfordulásának meghatározása. Az előfordulási lehetőségét a valószínűsége szerint 4 csoportba osztjuk.

1. nem fordulhat elő rendes ügymenetben (pl. háború, államcsőd)
2. kismértékű előfordulási lehetőség (pl. áramszünet, viharkár)
3. reális előfordulási lehetőség (pl. betörés, vírusfertőzés)
4. minden bizonnyal be fog következni (pl. téves adatfelvétel)

 

Az adatbiztonság ellenőrzési jegyzőkönyvben meghatározott fenyegető tényezőket értékelni kell az előző bekezdés szerinti besorolás szerint. A kockázat értékelésére külső szakember igénybe vehető, az informatikai szempontú kockázatok értékelését a Társaság informatikusa, rendszergazdája végzi.

 

A Sharity Mobile Application Zrt. továbbá az általa kezelt személyes adatokat a Társaság székhelyén fizikai védelemmel ellátott szerveren tárolja, amely szerverhez való elektronikus hozzáférés kizárólag egyedi azonosító név és jelszó megadását követően lehetséges. Az adatbiztonságot szolgálja továbbá a különálló szerverre történő időszakos – az Adatkezelő Informatikai biztonsági szabályzatában részletesen körülírt és meghatározott időben és módon történő – biztonsági mentés is.

 

A személyes adatok automatizált feldolgozása során biztosítani kell:

• a jogosulatlan adatbevitel megakadályozását;
• a rendszerek jogosulatlan személyek általi használatát;
• annak ellenőrizhetőségét és megállapíthatóságát, hogy a személyes adatokat adatátviteli berendezés alkalmazásával mely szerveknek továbbították vagy továbbíthatják;
• annak ellenőrizhetőségét és megállapíthatóságát, hogy mely személyes adatokat, mikor és ki vitte be az automatikus adatfeldolgozó rendszerekbe;
• a telepített rendszerek üzemzavar esetén történő helyreállíthatóságát.

 

V.4. Az adatkezelés időtartama:

 

A Társaság  személyes adatokat kizárólag jogszerű célokból, az ezen célok megvalósításához szükséges ideig kezeli. Az adatkezelés időtartama az Applikáció használati ideje alatt, valamint a használat megszűnését követő 5 év. Valamely szerződő fél ennyi ideig érvényesíthet polgári jogi igényt a másik féllel szemben a Polgári Törvénykönyvről szóló 2013. évi V. törvény („Ptk.”) 6:22. § alapján. A Társaság az adatokat az érintett hozzájárulásának visszavonása esetén a hozzájárulás visszavonásáig kezeli. Ha a továbbiakban már nincs szükség a személyes adatra, akkor azokat biztonságos módon és dokumentáltan meg kell semmisíteni. A törlési jegyzőkönyveket 10 évig kell megőrizni.

 

V.5. Titoktartás, adatvédelem

 

A Sharity Mobile Application Zrt. valamennyi foglalkoztatottja a Munka Törvénykönyvéről szóló 2012. évi I. törvény 8. § (4) bekezdése alapján köteles jelen Adatvédelmi és Adatbiztonsági Szabályzat, továbbá a hatályos jogszabályok szerint a rájuk bízott, illetve tudomásukra jutott személyes adatokat és üzleti titkokat időbeli korlátozás nélkül – tehát a foglalkoztatotti jogviszony megszűnését követően is – megőrizni. A foglalkoztatottak személyes adatokat kizárólag a munkaköri leírásban meghatározott feladatkörükön belül ismerhetik meg.

 

A Sharity Mobile Application Zrt. kiemelt hangsúlyt fektet arra, hogy a feladatköréből  és szolgáltatási köréből fakadó titoktartási kötelezettségének teljes mértékben eleget tegyen, ezen kötelezettséget pedig a foglalkoztatottjaival illetve partnereivel, támogatóival, kedvezményezettjeivel, ügyfeleivel és megbízottjaival is betartassa.

 

A Sharity Mobile Application Zrt. foglalkoztatottjai, illetve személyes felkeresői (ügyfelek, partnerek) kizárólag a személyes adatok azon meghatározott köréhez férnek hozzá, amelyek vonatkozásában megkereséseket végeznek. Az iménti személyek korlátozott jogokkal rendelkeznek a személyes adatok módosítására, törlésére, archiválására vonatkozóan, ugyanis módosítási joguk kizárólag az elérhetőségi adatokra terjed ki, míg törlési és archiválási jogokkal nem rendelkeznek. A személyes adatok teljes köréhez a Sharity Mobile Application Zrt. Igazgatóságának tagjai rendelkeznek korlátlan hozzáférési jogosultsággal. Ezen jogosultságba beletartozik a személyes adatok módosítása, helyesbítése, törlése, archiválása.

 

Az adatkezelést végző személy a tevékenységi körén belül felelős az adatok feldolgozásáért, megváltoztatásáért, törléséért, továbbításáért és nyilvánosságra hozataláért, valamint az adatok pontos, követhető dokumentálásáért. Az adatkezelést végző személy tevékenysége során: kezeli és megőrzi a feladata ellátása során birtokába került adatokat; ügyel a személyes adatokat tartalmazó nyilvántartások biztonságos kezelésére és tárolására; gondoskodik arról, hogy az általa kezelt adatokhoz illetéktelen személy ne férhessen hozzá; betartja az adatkezelésre vonatkozó jogszabályokat és belső utasításokat; részt vesz az adatkezeléssel, adatvédelemmel összefüggő oktatásokon.

 

V.6. Adatvédelmi incidensek kezelése

 

Az Adatkezelő minden munkatársa köteles a tudomására jutott adatvédelmi incidenst haladéktalanul jelenteni az adatvédelmi tisztviselőnek. A jelentésnek tartalmaznia kell az alábbi adatokat:

 

• az adatvédelmi incidenst észlelő vagy azt jelentő személy nevét,
• az adatvédelmi incidens rövid leírását,
• valamint annak tényét, hogy az észlelt adatvédelmi incidens érinti-e az Adatkezelő informatikai rendszerét vagy sem.

 

Adatvédelmi incidens kivizsgálása

Az adatvédelmi tisztviselő megvizsgálja a jelentést és amennyiben szükséges, a bejelentőtől további adatokat kér az incidensre vonatkozóan.

 

Az adatvédelmi tisztviselő az alábbi információkat (amennyiben azok a jelentésből nem derülnek ki) lehetőségéhez mérten köteles felderíteni:

 

• az adatvédelmi incidens bekövetkezésének időpontja és helye,
• az adatvédelmi incidens által érintett adatok köre,
• az adatvédelmi incidenssel érintett személyek köre és száma.

 

Ezen adatokból az adatvédelmi tisztviselő összegzést készít az adatvédelmi incidens várható hatásairól és cselekvési tervet készít a következményeinek enyhítése érdekében. Az adatvédelmi tisztviselő munkájába bevonhatja az adatvédelmi incidenssel érintett szervezeti egységek vezetőit és a szervezeti egységek munkatársait, akik kötelesek együttműködni az adatvédelmi tisztviselővel. A vizsgálatot legkésőbb az adatvédelmi tisztviselőhöz érkezéstől számított három munkanapon belül be kell fejezni és a vizsgálat eredményéről az adatvédelmi tisztviselő tájékoztatja a Társaság Igazgatóságát.

 

Adatvédelmi incidens értékelése

Az Adatkezelő az adatvédelmi incidenst az alábbi szempontok szerint értékeli:

 

• az incidens típusa (bizalmassági, integritási vagy elérhetőségi),
• a személyes adatok jellege (személyes adat / különleges kategória),
• a személyes adatok száma,
• az érintett személyek száma,
• az érintett természetes személyek kategóriái,
• az érintett természetes személyek azonosíthatósága,
• a természetes személyre nézve fennálló következmények valószínűsége és súlyossága,
• az érintett adatkezelés jogalapja.

 

Az Adatkezelő az alábbi feltételek fennállása esetén minősíti kockázatosnak az adatvédelmi incidenst:

 

• az incidensben érintett adatok között találhatóak a személyes adatok különleges kategóriáiba eső adatok,
• az incidensben érintett személyes adatok száma meghaladja a 100 darabot,
• az incidensben érintett természetes személyek között találhatóak 16. életévüket be nem töltött természetes személyek,
• az incidensben érintett természetes személyek száma meghaladja a 100 főt,
• az incidensben érintett személyes adatok alkalmasak az érintettel történő közvetlen kapcsolatfelvételre,
• a személyes adatok alkalmasak az Érintett természetes személy személyazonosságának ellopására vagy a személyazonosságával való visszaélésre,
• az incidensben érintett személyes adatok alkalmasak arra, hogy pénzügyi veszteséget okozzanak az Érintettjüknek.

 

Az Adatkezelő akkor minősíti az adatvédelmi incidenst valószínűsíthetően alacsony kockázatúnak, ha a fenti pontban felsorolt feltételek közül legalább egy fennáll és az Adatkezelő nem képes annak bizonyítására, hogy az érintett személyes adatokat olyan fizikai és/vagy informatikai védelemmel látta el, amely védelem az incidens bekövetkezte óta nem sérült.

 

Az Adatkezelő akkor minősíti az adatvédelmi incidenst valószínűsíthetően magas kockázatúnak, ha fentiekben felsorolt feltételek közül legalább kettő fennáll és az Adatkezelő nem képes annak bizonyítására, hogy az érintett személyes adatokat olyan fizikai és/vagy informatikai védelemmel látta el, amely védelem az incidens bekövetkezte óta nem sérült.

 

Adatvédelmi incidens bejelentése a NAIH-nak

Amennyiben az adatvédelmi incidens veszélyének súlyossága minimum alacsony, úgy az adatvédelmi tisztviselő az értékelés megtörténtét követően (de legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott), az adatvédelmi incidenst bejelenti a NAIH-nak.

 

Az érintettek tájékoztatása az adatvédelmi incidensről

Amennyiben az adatvédelmi incidens veszélyességének súlyossága valószínűsíthetően magas kockázattal jár az érintett személyek jogaira nézve, az Adatkezelő a kockázati értékelés elvégzését követően azonnal tájékoztatja az adatvédelmi incidensben érintetteket. Az érintetteket írásban elektronikus vagy postai úton kell tájékoztatni, amely kizárólag akkor mellőzhető, ha az érintett elérhetősége ismeretlen. Az érintetteket úgy kell tájékoztatni minden esetben, hogy annak ténye, tartalma és a tájékoztatott érintetti kör bizonyítható legyen.

 

Az adatvédelmi incidensek nyilvántartása

Az Adatkezelő tudomásul veszi, hogy az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni, vagy nem vagyoni kárt okozhat természetes személyeknek. Az adatvédelmi incidensek kezelése érdekében adatvédelmi incidens naplót vezet, melybe az adatvédelmi incidens körülményeit az adatvédelmi megbízott az incidens jelentését követő maximum 72 órán belül jegyzőkönyvezi. Az adatvédelmi incidensről az adatvédelmi tisztviselő nyilvántartást vezet.

A nyilvántartás tartalmazza:

 

• az érintett személyes adatok körét,
• az adatvédelmi incidenssel érintettek körét és számát,
• az adatvédelmi incidens időpontját,
• az adatvédelmi incidens körülményeit,
• az adatvédelmi incidens hatásait,
• az elhárítására megtett intézkedéseket,
• az adatvédelmi incidens kivizsgálásának hatására bevezetett helyesbítő-megelőző intézkedéseket.

 

 

V.7. Belső adatvédelmi felelős, belső adatvédelmi nyilvántartás

 

A Sharity Mobile Application Zrt. belső adatvédelmi tisztviselőt nevez ki a vonatkozó jogszabályoknak megfelelő adatkezelés és adatfeldolgozás hatékony érvényre juttatása érdekében. A belső adatvédelmi tisztviselő az adatvédelemmel és adatbiztonsággal összefüggő kérdések kezelésért felelős, továbbá általános feladata annak figyelemmel kísérése, hogy a Sharity Mobile Application Zrt. adatkezelése a GDPR illetve az Info tv. előírásainak, illetve a jelen Szabályzatban foglaltaknak megfelelően történik-e. A belső adatvédelmi tisztviselő közvetlenül a Társaság Igazgatóságának jelent.

 

A belső adatvédelmi tisztviselő feladatai különösen, de nem kizárólagosan:

 

• elkészíti/elkészítteti a Társaság Adatvédelmi és Adatbiztonsági Szabályzatát és folyamatosan ellenőrzi, illetve figyelemmel kíséri a jelen Szabályzatban foglaltak betartását; jogosult a jelen szabályzat betartását az egyes szervezeti egységeknél ellenőrizni;
• figyelemmel kíséri az adatvédelemmel kapcsolatos jogszabályváltozásokat és ezek alapján indokolt esetben kezdeményezi a jelen szabályzat módosítását;
• beszámol a Társaság Igazgatóságának az adatvédelemmel és adatbiztonsággal összefüggő témákban; minden év január 15. napjáig jelentést készít az Igazgatóság részére a Sharity Mobile Application Zrt. adatvédelmi feladatainak végrehajtásáról;
• közreműködik az adatkezeléssel összefüggő döntések meghozatalában;
• felelős a személyes adatokkal összefüggő, Info tv.-ben meghatározott feladatok végrehajtásáért;
• kezeli az adatvédelmi nyilvántartást és szükség esetén módosítja vagy – új folyamat esetén – kiegészíti azt; illetve vezeti az adattovábbítási nyilvántartást;
• a Sharity Mobile Application Zrt. foglalkoztatottjai részére oktatást tart az adatvédelmi ismeretekről;
• kivizsgálja a hozzá beérkezett adatvédelmi panaszokat, bejelentéseket;
• nyilvántartja és kezeli az adatvédelmi incidenseket;
• az érintett kérelmére tájékoztatást ad az érintett Sharity Mobile Application Zrt. Társaság által kezelt, illetve feldolgozott adatairól, azok forrásairól, az adatkezelés céljáról, jogalapjáról, időtartamáról, adattovábbítás esetén tájékoztatást ad annak jogalapjáról és címzettjéről;
• szakmai segítséget nyújt a Társaság Igazgatósági Tagjának/Tagjainak az adatok biztonságához szükséges szervezési intézkedések meghozatalában, és az eljárási szabályok kialakításában;
• tájékoztatja a Nemzeti Adatvédelmi és Információszabadság Hatóságot az előző évben elutasított tájékoztatási kérelmekről illetve kezdeményezi a Hatóságnál az Info tv.-ben meghatározott nyilvántartásba vételi eljárás lefolytatását;
• ellátja az Igazgatóság által részére megállapított eseti feladatokat;
• segítséget nyújt az érintettek jogainak biztosításában;
• jogosult a Szabályzat betartását bármely szervezeti egységnél ellenőrizni, ellenőrzi a GDPR és az adatkezelésre vonatkozó más jogszabályok, valamint a Szabályzat rendelkezéseinek és az adatbiztonsági követelményeknek a megtartását és az ellenőrzés tapasztalatairól tájékoztatja a vezérigazgatót;
• segítséget nyújt a szervezeti egységek számára az adattovábbítási nyilvántartások vezetésében;
• kérésre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan; valamint nyomon követi a hatásvizsgálat GDPR 35. cikk szerinti elvégzését;
• együttműködik a NAIH-gal, az adatkezeléssel összefüggő ügyekben kapcsolattartó pontként szolgál a NAIH felé, valamint adott esetben bármely egyéb kérdésben konzultációt folytat vele;
• általános állásfoglalás megadása céljából megkeresést fogalmaz meg a NAIH felé, amennyiben egy felmerült adatvédelmi kérdés jogértelmezés útján egyértelműen nem válaszolható meg;
• kivizsgálja a hozzá érkezett bejelentéseket, jogosulatlan adatkezelés vagy annak veszélyének észlelése esetén annak megszüntetésére hívja fel a Társaságot vagy az Adatfeldolgozót;
• javaslatot tesz a szükséges intézkedésekre az ellenőrzési tapasztalatai és az adatvédelmi előírások megszegéséről készült jegyzőkönyvek alapján;
• felügyeli a külső szervezetektől érkező személyes adatokat érintő megkeresések teljesítését;
• gondoskodik az adatvédelmi ismeretek oktatásáról;
• szükség esetén felvilágosítást nyújt a Társaság foglalkoztatottjai számára adatvédelmi kérdésekben;
• véleményezi a Társaság által kiadandó szabályzatok azon részeit, amelyek adatvédelmi kérdést érintenek;
• ellátja a jogszabályok által ráruházott adatvédelemmel kapcsolatos feladatokat.

 

A belső adatvédelmi nyilvántartás a Sharity Mobile Application Zrt. egyes személyes adatkezeléseinek, adatkezelési tevékenységeinek a központi nyilvántartása, amelyben rögzíteni kell a meglévő és új adatkezeléseket, és a korábbi adatkezelések változásait, míg a megszűnt adatkezeléseket törölni kell a nyilvántartásból.

 

V.8. Érdekmérlegelés és az érdekmérlegelési teszt elvégzése

 

Amennyiben az adatkezelés a Társaság vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges az adatkezelés megkezdése előtt az érintettek magánszférájának, érdekeinek és alapvető jogainak biztosítása érdekében érdekmérlegelési teszt elvégzése szükséges.

 

Az érdekmérlegelési teszt az alábbiakra terjed ki

 

1. kezelni kívánt személyes adat meghatározása,
2. annak a személynek a meghatározása, akinek a jogos érdekében az adatkezelés szükséges,
3. a jogos érdek bemutatása,
4. annak vizsgálata, hogy az adatkezelés feltétlenül szükséges-e a feltárt jogos érdek érvényesítéséhez,
5. annak vizsgálata, hogy a jogos érdek érvényesíthető e más folyamattal,
6. amennyiben a jogos érdek más folyamattal nem érvényesíthető, annak vizsgálata, hogy az adatkezelés esetén az érintett érdekei, alapjogai mennyiben korlátozódnak vagy sérülnek,
7. a jogos érdek és az érintetti alapjogi korlátozás összevetése,
8. az érdekmérlegelési teszt eredménye,
9. az érdekmérlegelési teszt elvégzésének dátuma,
10. amennyiben az érdekmérlegelési teszt eredményeként a személyes adat kezelhető, úgy az adatkezelési folyamat bevezetésének időpontjának meghatározása.

 

Az érdekmérlegelési teszt felépítése:

 

1. érdekmérlegelési teszt elvégzésének oka,
2. a Társaság, mint Adatkezelő jogos érdeke,
3. az érintett érdekei, alapjogai,
4. a Társaság és az érintett érdekeinek összevetése,
5. biztosítékok,
6. tiltakozás joga,
7. az érdekmérlegelési teszt eredménye.

 

Amennyiben az érdekmérlegelési teszt eredményeként az Adatkezelő megállapítja, hogy az adatkezeléssel érintett jogos érdekekkel szemben elsőbbséget élveznek az érintett érdekei és alapvető jogai, a Társaság vagy egy harmadik fél jogos érdekeinek érvényesítése adatkezelési jogalapot nem alkalmazza.

 

V.9. Kiskorúak személyes adatainak kezelésére vonatkozó speciális előírás

 

A GDPR 8. cikke értelmében a gyermekek személyes adatainak kezelése akkor jogszerű, ha a gyermek a 16. életévét betöltötte. A 16. életévét be nem töltött gyermek esetén személyes adatainak kezelése csak akkor és olyan mértékben jogszerű, amennyiben azt a gyermek feletti szülői felügyeletet gyakorló engedélyezte. Az engedély beszerzése az Adatkezelő feladata és kötelessége.

 

 

1. Oktatás

 

Az adatvédelemmel, adatbiztonsággal kapcsolatos jogokról és kötelezettségekről oktatást, előadást kell a foglalkoztatottak részére szervezni szükség szerint, de évente legalább egy alkalommal. Minden újonnan belépő foglalkoztatott részére az oktatást meg kell szervezni. A foglalkoztatott az oktatás megtörténtét aláírásával igazolja. A foglalkoztatotti nyilatkozat a személyi nyilvántartás része. Az oktatás anyagát az adatvédelmi tisztviselő állítja össze. Az oktatás megszervezésében az Igazgatóság tagjai segítséget nyújtanak az adatvédelmi tisztviselőnek. Az oktatás megtartását követően a tudásszint felmérésére ellenőrző teszt alkalmazható.

 

 

VII. Záró rendelkezések

 

Jelen szabályzat valamely pontjának érvénytelensége a teljes Szabályzat hatályát nem érinti.

 

Jelen szabályzat hatálybalépésének ideje: 2020. október 12. napja

 

Jelen szabályzat a Sharity Mobile Application Zrt. valamennyi foglalkoztatottja számára kötelező érvényű. A  Munka Törvénykönyvéről szóló 2012. évi I. törvény vonatkozó rendelkezései szerint a Foglalkoztatói szabályzatot közöltnek kell tekinteni, ha azt a helyben szokásos és általában ismert módon közzéteszik.

 

 

Kelt: Tamási, 2023. 10. 03.

 

 

 

Sharity Mobile Application Zrt. képv.: Dr. Bársony Farkas, Igazgatóság elnöke Adatkezelő Adatvédelmi tisztviselő

 

 

 

 

Mellékletek:

 

1. számú melléklet: értelmező rendelkezések, fogalomtár

1. számú melléklet: adatvédelmi tevékenységek nyilvántartása

1. számú melléklet:

 

Értelmező rendelkezések, fogalomtár:

 

adatállomány: az egy nyilvántartásban kezelt adatok összessége;

 

adatfeldolgozás: az adatkezelő megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által végzett adatkezelési műveletek összessége;

 

adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között és feltételekkel – az adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel;

 

adatkezelés: az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet, vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása, vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérlenyomat, DNS-minta, íriszkép) rögzítése;

 

adatkezelés korlátozása: a tárolt adat zárolása az adat további kezelésének korlátozása céljából történő megjelölése útján;

 

adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja;

 

adatmegsemmisítés: az adatot tartalmazó adathordozó teljes fizikai megsemmisítése;

 

adattörlés: az adat felismerhetetlenné tétele oly módon, hogy a helyreállítása többé nem lehetséges;

 

 

 

adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását, vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

 

adománygyűjtő: az ÁSZF-ben meghatározott civil szervezet;

 

adományozó: az ÁSZF szerinti végfelhasználó; 

 

azonosítható természetes személy: az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, azonosító szám, helymeghatározó adat, online azonosító vagy a természetes személy fizikai, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

 

EGT-állam: az Európai Unió tagállama és az Európai Gazdasági Térségről szóló megállapodásban részes más állam, továbbá az az állam, amelynek állampolgára az Európai Unió és tagállamai, valamint az Európai Gazdasági Térségről szóló megállapodásban nem részes állam között létrejött nemzetközi szerződés alapján az Európai Gazdasági Térségről szóló megállapodásban részes állam állampolgárával azonos jogállást élvez;

 

érintett: bármely információ alapján azonosított vagy azonosítható természetes személy;

 

harmadik ország: minden olyan állam, amely nem EGT-állam;

 

harmadik személy: olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére irányuló műveleteket végeznek;

 

hozzájárulás: az érintett akaratának önkéntes, határozott és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy az akaratát félreérthetetlenül kifejező más magatartás útján jelzi, hogy beleegyezését adja a rá vonatkozó személyes adatok kezeléséhez;

 

kedvezményezett: az ÁSZF szerinti végső kedvezményezett. 

 

közös adatkezelő: az az adatkezelő, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – az adatkezelés céljait és eszközeit egy vagy több másik adatkezelővel közösen határozza meg, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket egy vagy több másik adatkezelővel közösen hozza meg és hajtja végre vagy hajtatja végre az adatfeldolgozóval;

 

különleges adat: a személyes adatok különleges kategóriáiba tartozó minden adat, azaz a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok;

 

 

 

nyilvánosságra hozatal: az adat bárki számára történő hozzáférhetővé tétele;

 

Sharity Mobile Application Zrt.: az ÁSZF szerinti szolgáltató;

 

személyes adat: az érintettre vonatkozó bármely információ, amelyből az érintett közvetlen vagy közvetett módon azonosítható;

 

 

 

 

 

 

2. számú melléklet:

 

A.) Adatkezelési tevékenységek nyilvántartása: Sharity Mobile Application Zrt. adatkezelői minőségben

 

Belső adatvédelmi nyilvántartás a Sharity Mobile Application Zrt. (székhely: 7090 Tamási, Petőfi Sándor utca 12.) szervezeti egységénél történő 2011. évi CXII. törvény hatálya alá tartozó adatkezelésekkel kapcsolatosan a következőket tartalmazza:

 

• adatkezelés célját,
• adatkezelésének jogalapját,
• érintettek körét,
• kezelt személyes adatok fajtái, kategóriái,
• az adatok törlésének határidejét, adatkezelés időtartamát,
• az adatok fizikai vagy elektronikus tárolási helyét, módját.

 

 

1. adatcsoport: Felvételre jelentkező munkavállalók (álláspályázatok) adatainak kezelése

 

 

Az adatkezelési cél: jelentkezés, pályázat elbírálása és a kiválasztottal munkaviszony létesítése.

 

Az adatkezelés jogalapja: az érintett hozzájárulása, akarat- és beleegyező nyilatkozata, a felvételre jelentkezők adatszolgáltatása a munkaerő-felvétel megvalósítása céljából.

 

Az érintettek köre: a meghirdetett pozícióra, állásra jelentkezők.

 

A kezelt személyes adatok fajtái: a pályázó által az önéletrajzában és annak mellékletében megadott, a képzettségi-, képesítési követelményeknek történő megfelelést igazoló személyes adatok, természetes személy neve, születési helye, ideje, anyja neve, lakcíme, képesítési adatok, telefonszám, e-mailcím, fénykép, a jelentkezőről készített esetleges munkáltatói feljegyzés, önéletrajz, motivációs levél, próbafeladat/tesztlap kitöltése, kompetenciák, készségek a pozíció betöltéséhez, személyiség jellemzők és viselkedésre vonatkozó személyiségjegyek a csapatba illeszkedés szempontjából.

 

Az adatok forrása: érintettek adatszolgáltatása (önéletrajz, motivációs levél) és az állásinterjún feltárt adatok.

 

Adatok törlésének határideje: az adatkezelés céljának megvalósulásáig, főszabály szerint a meghirdetett pozíció betöltéséig, de legfeljebb az azt követő 6 hónapig.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, Titkársági Osztály.

 

 

2. adatcsoport: Munkavállalók, foglalkoztatottak, megbízási jogviszonyai, munkaügyi- és bérnyilvántartása

 

 

Az adatkezelési cél: a foglalkoztatottak jogviszonyára, feladataira vonatkozó, dokumentálásra szolgáló adatkezelés. A Nagykövetek megbízási és egyéb jogviszonyai következtében kezelt adatai. Munkaügyi- és bérnyilvántartás, a munkaviszonyra/munkavégzésre irányuló egyéb jogviszony létesítése, a munkatársak munkavállalói jogviszonyának és egyéb jogviszonyának fennállásával és megszüntetésével kapcsolatos tények megállapítása, a társadalombiztosítási ügyintézés, a törvény által előírt kötelező és statisztikai adatszolgáltatások.

 

Az adatkezelés jogalapja: jogszabályon (a munka törvénykönyvéről szóló 2012. évi I. törvény 10. §.), illetve szerződésen alapuló, valamint az érintett hozzájárulásán alapul.

 

Az érintettek köre: a Sharity Mobile Application Zrt. által foglalkoztatottak.

 

A kezelt személyes adatok fajtái: név, születési név, anyja neve, születési adatok, lakcím, tartózkodási hely, adó-, TAJ-, telefonszám, bankszámlaszám, magán-nyugdíjpénztári tagság ténye / belépés ideje / bank neve-kódja, nyugdíjas törzsszám, végzettséget igazoló dokumentumok másolati példányai, meghatározott munkakörökben a vezetési engedély száma, főálláson kívüli munkavégzés esetén a jogviszony jellege/munkáltató adatai, tevékenység, havi munkaidő, letiltások, családi állapot, gyermekek adatai a családi kedvezményekhez, pótszabadsághoz, GYÁP-hoz, CSED-hez, GYED-hez, iskolakezdési támogatáshoz szükséges adatok.

 

Az adatok forrása: az érintettek adatszolgáltatása, a munkavállaló hozzájárulása alapján, a munkaszerződés teljesítése céljából

 

Adatok törlésének határideje:

 

• jelentkező esetében a foglalkoztatotti jogviszony létrejötte meghiúsulását követő 30 napig,
• a fentiek szerinti célokból a foglalkoztatotti jogviszony fennállásának időtartama alatt, a munkaviszony megszűnését követően a jogszabályokban előírt időtartamig (amely alatt a Munkáltató a munkavállalóval fennállt munkaviszonyra vonatkozó adatokat köteles megőrizni),
• foglalkoztatotti jogviszony létesítésével, fennállásával, megszűnésével kapcsolatos dokumentumok esetén főszabály szerint a munkaviszony megszűnésétől számított három 3 év;
• az adózással és számvitellel kapcsolatos személyes adatok esetében a foglalkoztatotti jogviszony megszűnésétől számított 5 évig;
• nyugdíj megállapításához szükséges adatok a nyugdíjkorhatár betöltését követő 5 évig.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: A Társaság székhelye. Az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

Adattovábbítás, adatkezelés: NAV, OEP, MÁK, magánnyugdíj pénztárak, Végrehajtó cég (munkabér letiltás esetén) és külsős könyvelő cég.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, Titkársági Osztály.

 

 

3. adatcsoport: Egészségügyi adatok nyilvántartása, foglalkozás egészségüggyel kapcsolatos adatkezelés

 

 

Az adatkezelési cél: a foglalkoztatottak egészségügyi állapotára vonatkozó dokumentálására szolgáló adatkezelés.

Az adatkezelés jogalapja: a munkavédelemről szóló 1993. évi XCIII. törvény 50. §, 60. § és 88. § (2) bekezdés az egészségügyről szóló 1997. évi CLIV. törvény 247. §. (2) bekezdés d) pontjában kapott felhatalmazás alapján a 33/1998 (VI.24.) NM rendelet.

 

Az adatok forrása: foglalkozás-egészségügyi szerződött partner (üzemorvos, háziorvos).

 

Az érintettek köre: a Sharity Mobile Application Zrt. által foglalkoztatottak.

 

A kezelt személyes adatok fajtái: Az egészségügyi alkalmasság meglétének vagy az alkalmatlanságnak a ténye (alkalmas/nem alkalmas), munkaképesség csökkenés típusa, mértéke, felülvizsgálat ideje.

 

Adatok törlésének határideje: Amennyiben a foglalkoztatotti jogviszony a jelentkező személy egészségügyi alkalmatlansága miatt meghiúsul, a Társaság az érintett adatait késedelem nélkül törli, egyéb esetben 2 év.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: A Társaság székhelye. az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

 

Adattovábbítás, adatkezelés: háziorvosi szolgálat és az ÁNTSZ.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, Titkársági Osztály

 

 

4. adatcsoport: Az adományozás kedvezményezettjeivel összefüggő adatkezelés

 

 

Adatkezelés célja: Az Applikációba („Applikáció”) való regisztráció biztosítása és szerződéskötés, az Applikáció működtetése, ideértve a Felhasználókkal történő kapcsolattartás, valamint az ÁSZF (Általános Szerződési Feltételek) szerinti Szolgáltatások nyújtása. Az adatkezelés célja az, hogy az Applikációba regisztrált kedvezményezettekhez (az adománygyűjtőn keresztül) az adományok transzparens módon, ellenőrizhetően, jogi és pénzügyi garanciák biztosításával eljussanak, továbbá a nem pénzbeli adományokat egy felületen kezelje. További részletek a Működési Kézikönyvben.

A kedvezményezett személy vagy törvényes képviselője, akinek a támogatására az adomány-gyűjtési kampányt kezdeményezi az adománygyűjtő szervezet, rendelkezésre bocsátja a személyes adatait, továbbá az egészségi állapotára, gyógykezelésére vonatkozó adatait, vagy egyéb hátrányos körülményére vonatkozó adatot, amely hátrány leküzdését, enyhítését célozza a kampány. Ezen adatok bekérése megkerülhetetlen, mivel az adomány gyűjtésének jogosságát, felhasználásának alátámasztottságát a hivatalos dokumentumokból lehet megállapítani, illetve a gyógyszeres kezelés (gyógyszerek fajtája, mennyisége, költségei) szükségességét is ezek bizonyítják. Az adománygyűjtési kampányok körében a kedvezményezett személyekre vonatkozóan kezeljük az adott kampány vonatkozásában releváns személyes adatokat, illetve minden olyan adatot, amelyek annak megállapítására és igazolására szolgálnak, hogy az egyes kampányok valóban a meghatározott cél elérésére szolgálnak (így pl. gyógykezelésre-, egészségi-, szociális-, és egyéb állapotra vonatkozó adatokat). A Sharity Zrt. nem teszi közzé ezen adatokat, ezeket az adománygyűjtő szervezet köteles megadni, és a Sharity Zrt-n kívül csak a külső auditor kezelheti, vagy az adománygyűjtő szervezet felett törvényességi ellenőrzést végző szerv az erre irányuló megkeresése esetén.

A Sharity Mobile Application Zrt-n keresztül megvalósuló adományozás során a kedvezményezettek adatait tartalmazó nyilvántartás a Sharity Mobile Application Zrt. és az adománygyűjtő szervezetek között létrejött szolgáltatási jogviszonyra vonatkozó tények dokumentálására szolgáló adatkezelés.

 

Adatkezelés jogalapja: az információszabadságról és az információs önrendelkezési jogról szóló 2011.évi CXII. tv 5.§. alapján, GDPR 6. cikk (1) a) pontja alapján az érintett önkéntes hozzájárulása.

 

Az érintettek köre: A Sharity Mobile Application Zrt. szolgáltatási tevékenységét közvetetten (az adománygyűjtőn keresztül) igénybe vevő kedvezményezett személyek.

 

A kezelt személyes adatok köre: Név, e-mail cím, az adománygyűjtő által az Applikációba beregisztrált adatok, az Applikáció használatával kapcsolatos információk, jelszó, regisztráció időpontja, orvosi papírok, orvosi vények, fotók, egyéb hatósági dokumentumok, melyek az egyes kampányokhoz kapcsolódóan elérni kívánt cél igazolására szolgálnak az ÁSZF-ben részletezettek szerint.

Az adatok forrása: az Érintettnek az adott kampány vonatkozásában releváns nyilatkozata(i), az általa a Sharity Zrt. részére közvetetten rendelkezésre bocsátott dokumentumok köre.

Az adatkezelés időtartama: az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló általános adatvédelmi rendelet alapján biztosítani kell azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg.

Az adatkezelő az adatkezelés megkezdésétől legalább háromévente felülvizsgálja, hogy az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adat kezelése az adatkezelés céljának megvalósulásához szükséges-e. Ezen felülvizsgálat körülményeit és eredményét az adatkezelő dokumentálja, e dokumentációt a felülvizsgálat elvégzését követő tíz évig megőrzi és azt a Nemzeti Adatvédelmi és Információszabadság Hatóság kérésére a Hatóság rendelkezésére bocsátja.

Ezen szabályokat követvén az adatkezelés időtartama az adott adomány-gyűjtési kampány befejezését követő, illetve a Sharity Applikáció használatának megszűnését követő 5 év.

Ha az adatok adózási kötelezettség teljesítéséhez szükségesek, annak a naptári évnek az utolsó napjától számított 5 évig kerülnek tárolásra és megőrzésre, amelyben az adóról bevallást, adatbejelentést, bejelentést kellett volna tenni, illetve bevallás, adatbejelentés, bejelentés hiányában az adót meg kellett volna fizetni.

Ha az adatok számviteli kötelezettség teljesítéséhez szükségesek, akkor 5 évig kerülnek megőrzésre és tárolásra.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: a központi szerveren, amelyhez a hozzáférés korlátozott, a biztonsági előírásoknak megfelelő módon, az érintettek személyes adatainak maximális védelme mellett

 

Adattovábbítás, adatkezelés: hatósági megkeresés esetén a hatóság által kért adatok elektronikus továbbítása a hatóság részére.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, a Sharity Zrt. munkavállalói, adminisztrátorok, supervisor, menedzser, külső auditor.

 

 

5. adatcsoport: Regisztrált közhasznú szervezetek, alapítványok (ÁSZF-ben meghatározott civil szervezet) és a jelen pont „érintettek köre” résznél meghatározott további szervezetek

 

Az adatkezelési cél:

• a Sharity szervezetén belül szereplő szervezeteknek a Sharity keretein belül meghirdetett kampányaik lebonyolításával összefüggő adatainak, bevételeinek és kiadásainak folyamatos nyomon követése és ellenőrzése céljából történő adatkezelése,
• a Sharity rendszerének keretein belül gyűjtött adományok felhasználásának nyomon követése és ellenőrzése; bizonylatok, igazolások, számlák, minden egyéb az adott kampányhoz és annak megvalósításához kapcsolód dokumentum, továbbá elemzés céljából történő adatkezelés,
• a szervezet regisztrációja során a szervezet adatainak, illetve nyilatkozatainak ellenőrzése, tartalmainak vizsgálata céljából történő adatkezelés.

 

Az adatkezelés jogalapja: az ÁSZF (Általános Szerződési Feltételek) elfogadásán alapuló, a regisztrált szervezetnek az adataik kezeléséhez való hozzájárulása (adatkezelési klauzulák),  az információszabadságról és az információs önrendelkezési jogról szóló 2011.évi CXII. tv 5.§. alapján, GDPR 6. cikk (1) a) pontja alapján az érintett önkéntes hozzájárulása, továbbá a GDPR 6. cikk (1) f) pontja alapján a megfelelő felhasználói élmény és az Applikáció megfelelő működésének biztosítása (az érintettek jogos érdeke).

 

Az érintettek köre: a Sharity szervezetén belül megjelenő adománygyűjtő jogalanyok, így a  2011. évi CLXXV. törvény az egyesülési jogról, a közhasznú jogállásról, valamint a civil szervezetek működéséről és támogatásáról szóló törvény hatálya alá tartozó szervezetek, a 2004. évi I. törvény a sportról és a 2011. évi CCVI. törvény a lelkiismereti és vallásszabadság jogáról, valamint az egyházak vallásfelekezetek és vallási közösségek jogállásáról c. jogszabályok alá tartozó szervezetek.

 

A kezelt személyes adatok fajtái: az előző pontban (érintettek köre) részletezett szervezetekben a képviselők és vezetők, kapcsolattartó személyek alábbi adatai: név, lakcím, postázási cím, születési adatok (hely, idő), bankszámla adatok, jelszavak, azonosítók, e-mail cím, telefonszám, kép, a felhasználó bejelentkező mobil eszközeinek azon adatai, melyek a szolgáltatás igénybe vétele során generálódnak és melyeket a Sharity rendszere a technikai folyamatok automatikus eredményeként rögzít, képviseleti jogot igazoló meghatalmazás vagy annak másolata.

 

Az adatok forrása: érintettek regisztrációja, csatlakozási szándéknyilatkozata, adatszolgáltatása.

 

Adatok törlésének határideje: Ha az adatok adózási kötelezettség teljesítéséhez szükségesek, annak a naptári évnek az utolsó napjától számított 5 évig kerülnek tárolásra és megőrzésre, amelyben az adóról bevallást, adatbejelentést, bejelentést kellett volna tenni, illetve bevallás, adatbejelentés, bejelentés hiányában az adót meg kellett volna fizetni.

Ha az adatok számviteli kötelezettség teljesítéséhez szükségesek, akkor 5 évig kerülnek megőrzésre és tárolásra.

Egyéb esetben a regisztráció törlésétől számított 5 évig kerülnek megőrzésre az adatok (általános polgári jogi elévülési idő).

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: A Társaság székhelye. az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

 

Adattovábbítás, adatkezelés: a Társaság foglalkoztatott munkavállalói, adminisztrátorai, supervisor, menedzser és külső auditor szervezet. Hatósági megkeresés esetén a hatóság által kért adatok továbbítása a hatóság részére.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, és az előző pontban felsorolt valamennyi személy.

 

 

6. adatcsoport: Az adományozások támogatóival, adományozókkal kapcsolatos adatkezelés,  

 

 

Adatkezelés célja: Az Applikációba („Applikáció”) való regisztráció biztosítása és szerződéskötés, az Applikáció működtetése, ideértve a Felhasználókkal történő kapcsolattartás, valamint az ÁSZF (Általános Szerződési Feltételek) szerinti Szolgáltatások nyújtása. A Sharity Mobile Application Zrt-n keresztül megvalósuló adományozás során a támogatók adatait tartalmazó nyilvántartás a szolgáltatási jogviszonyra vonatkozó tények dokumentálására szolgáló adatkezelés.  

 

Adatkezelés jogalapja: az információszabadságról és az információs önrendelkezési jogról szóló 2011. évi CXII. tv 5. §      alapján, GDPR 6. cikk (1) a) pontja alapján az érintett önkéntes hozzájárulása, az adattovábbítással összefüggő nyilatkozata, továbbá a GDPR 6. cikk (1) f) pontja alapján a megfelelő felhasználói élmény és az Applikáció megfelelő működésének biztosítása (az érintettek jogos érdeke). (Az ÁSZF (Általános Szerződési Feltételek) elfogadása által az adatai kezeléséhez való hozzájárulása.)

 

 

Az érintettek köre: A Sharity Mobile Application Zrt. szolgáltatási tevékenységét igénybe vevő támogató, adományozó személyek.

 

Az adatok forrása: Érintett nyilatkozatai, regisztrációja.

 

A kezelt személyes adatok köre: név, e-mail cím, felhasználó által az Applikációba      regisztrált adatok, az Applikáció használatával kapcsolatos információk. Jelszó (szerveren titkosítva), regisztráció időpontja, a felhasználó bejelentkező mobil eszközeinek azon adatai, melyek a szolgáltatás igénybe vétele során generálódnak és melyeket a Sharity rendszere a technikai folyamatok automatikus eredményeként rögzít. A 2017. évi LXXVI. a külföldről támogatott szervezetek átláthatóságáról szóló törvény (továbbiakban: Ktszá. tv.) 1. § (1) bekezdése alá tartozó külföldről támogatott szervezetek estén a Ktszá. VT.-BEN foglaltak teljesítéséhez szükséges adatok továbbítása (tranzakciónként természetes személy esetén: név, ország, város, egyéb esetben: név és székhely). Ezen rendelkezés alól kivételt képeznek a Ktszá 1. § (4) bekezdése alá tartozó szervezetek.

 

 

 

Adatok törlésének határideje: a regisztráció törlésétől számított 5 évig (általános polgári jogi elévülési idő). Ha az adatok adózási kötelezettség teljesítéséhez szükségesek, annak a naptári évnek az utolsó napjától számított 5 évig kerülnek tárolásra és megőrzésre, amelyben az adóról bevallást, adatbejelentést, bejelentést kellett volna tenni, illetve bevallás, adatbejelentés, bejelentés hiányában az adót meg kellett volna fizetni.

Ha az adatok számviteli kötelezettség teljesítéséhez szükségesek, akkor 5 évig kerülnek megőrzésre és tárolásra.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: a központi szerveren – amelyhez a hozzáférés korlátozott – tárolt, az adományozás során szolgáltatott adatok. Az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

 

Adattovábbítás, adatkezelés: a Társaság foglalkoztatott munkavállalói, adminisztrátorai, supervisor, menedzser és külső auditor szervezet. Hatósági megkeresés esetén a hatóság által kért adatok továbbítása a hatóság részére.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, és az előző pontban felsorolt valamennyi személy.

 

 

7. adatcsoport: Szerződéses kapcsolattartás a megfelelő jogosultság miatt

 

 

Az adatkezelési cél: szerződéses kapcsolattartás a megfelelő jogosultság miatt a Társaság működési körében felmerülő szerződések körében.

 

Az adatkezelés jogalapja: az információszabadságról és az információs önrendelkezési jogról szóló 2011. évi CXII. tv 5. §. b) alapján az érintett személyes adatainak kezeléséhez való kifejezett hozzájárulása, a GDPR 6. cikk (1) a) pontja alapján az érintett önkéntes hozzájárulása, az Európai Parlament és a Tanács 2016/679 számú rendeletének (42) pontja szerint az érintett hozzájárulása, a GDPR 6. cikk (1) f) pontja alapján a jogos érdek, valamint a  GDPR 6. cikk (1) bekezdés b) pontja alapján a szerződés teljesítése.  

 

Az érintettek köre: a Társaság szerződéses partnereinek képviselője, vagy a szerződésben megjelölt kapcsolattartója.

 

A kezelt személyes adatok fajtái: név, beosztás, céges e-mail cím és telefonszám.

 

Adatok törlésének határideje: A szerződés megszűnésétől számított 5 évig (általános polgári jogi elévülési idő). Ha az adatok adózási kötelezettség teljesítéséhez szükségesek, annak a naptári évnek az utolsó napjától számított 5 évig kerülnek tárolásra és megőrzésre, amelyben az adóról bevallást, adatbejelentést, bejelentést kellett volna tenni, illetve bevallás, adatbejelentés, bejelentés hiányában az adót meg kellett volna fizetni.

Ha az adatok számviteli kötelezettség teljesítéséhez szükségesek, akkor 5 évig kerülnek megőrzésre és tárolásra.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, a Sharity Zrt. munkavállalói, adminisztrátorok, supervisor, menedzser, külső auditor.

 

 

8. adatcsoport: Honlaphoz kapcsolódó adatkezelés

 

 

Az adatkezelési cél: a honlap látogatói kapcsolatfelvételt kezdeményezhetnek a Társasággal a honlapon keresztül, az adományozási kampány keretén belül a kampányokban szereplők, kedvezményezettek bemutatása.

 

Az adatkezelés jogalapja: hozzájáruláson alapuló. Az információszabadságról és az információs önrendelkezési jogról szóló 2011.évi CXII. tv 5.§. alapján, GDPR 6. cikk (1) a) pontja alapján az érintett önkéntes hozzájárulásán alapul.

 

Az érintettek köre: a honlap látogatói, kedvezményezettek, támogatók.

 

A kezelt személyes adatok fajtái: honlap látogatói: név, e-mail cím, telefonszám; a felhasználó számítógépének, mobil eszközök      azon adatai, melyek a honlap látogatása során generálódnak és melyeket a Sharity rendszere a technikai folyamatok automatikus eredményeként rögzít.

 

Adatok törlésének határideje: a honlapon feltett kérdés megküldésétől számított 5 év.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: elektronikus tárhely.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, a Sharity Zrt. munkavállalói, adminisztrátorok, supervisor, menedzser, külső auditor.

 

B.) Adatkezelési tevékenységek nyilvántartása: Sharity Mobile Application Zrt. adatfeldolgozói minőségben

 

 

1. adatcsoport: Az adományozás kedvezményezettjeivel összefüggő adatkezelés

 

 

Adatfeldolgozás célja: a Sharity Mobile Application Zrt. közvetlenül nincs jogviszonyban az adományozás kedvezményezettjeivel, a rászorulókat támogató jótékonysági szervezettel kötött szerződés alapján maguk a jótékonysági szervezetek töltik fel a kedvezményezettek/rászorulók személyes adatait a Sharity Mobile Application Zrt. által működtetett admin felületre. A Sharity Mobile Application Zrt. ebben a körben, nem adatkezelő, hanem a szerződött jótékonysági szervezetek adatfeldolgozója, aki a GDPR rendeletnek megfelelő adatfeldolgozói szerződésekkel rendelkezik az adatvédelmi szabályoknak való megfelelőség érdekében.

 

Adatfeldolgozás jogalapja: az információszabadságról és az információs önrendelkezési jogról szóló 2011.évi CXII. tv 5.§. alapján, GDPR 6. cikk (1) a) pontja alapján az érintett önkéntes hozzájárulása.

 

Az érintettek köre: a Sharity Mobile Application Zrt. szolgáltatási tevékenységét közvetetten igénybe vevő kedvezményezett személyek.

 

A kezelt személyes adatok köre: az erre a célra létesített felületre kötelezően feltöltendő adatok és dokumentumok köre, ld. részletesen a Működési Kézikönyvben.

 

Az adatok forrása: az érintett nyilatkozata, hozzájárulása.

 

Az adatkezelés időtartama: Az adott kampány befejezését követő 5 évig, illetve a Sharity Applikáció használatának megszűnését követő 5 évig.

 

Az adatok fizikai vagy elektronikus tárolási helye, módja: központi szerveren, amelyhez a hozzáférés korlátozott.

 

Adattovábbítás, adatkezelés: Az Adatkezelő munkatársai munkájuk során gondoskodnak arról, hogy jogosulatlan személyek ne tekinthessenek be személyes adatokba, továbbá arról, hogy a személyes adat tárolása, elhelyezése úgy kerüljön kialakításra, hogy az jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható, megsemmisíthető.

 

A Társaság szervezetében az adott adatcsoporttal kapcsolatos adatkezelési tevékenységet végzők megnevezése: Igazgatósági tagok, a Sharity Zrt. munkavállalói, adminisztrátorok, supervisor, menedzser, külső auditor.

 

^[1] Info tv. 5. § ^*  (1) Személyes adat akkor kezelhető, ha

1. a) azt törvény vagy – törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén – helyi önkormányzat rendelete közérdeken alapuló célból elrendeli,
2. b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult,
3. c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy
4. d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az adatkezelés céljának megvalósulásához szükséges és azzal arányos.