Adatfeldolgozási szerződés

1. Miről szól ez a dokumentum?

Edzőként a Sloth-ban olyan adatokat kezelsz, amelyek a te sportolóidról szólnak: felveszed őket, jegyzetelsz róluk, bérletet adsz el nekik, nyilvántartod a jelenlétüket. Ezekről az adatokról te döntöd el, hogy milyen célból és meddig kezeled őket — az adatvédelmi jog nyelvén tehát te vagy az adatkezelő.

A Sloth ehhez a technikai hátteret adja: tárolja és feldolgozza ezeket az adatokat, de a te utasításaid szerint. A Sloth ebben a viszonyban adatfeldolgozó.

A GDPR 28. cikke szerint erre a helyzetre írásbeli szerződés kell. Ez a dokumentum az a szerződés. Az Általános Szerződési Feltételek elfogadásával, illetve a platform edzőként való használatával ez a szerződés is létrejön közted és az üzemeltető között.

Ez a szerződés nem vonatkozik arra, amit a Sloth a saját céljaira kezel (például a te edzői fiókod adatai, belépési naplók, a rendszer üzemeltetése). Abban a körben a Sloth az adatkezelő — erről az Adatkezelési tájékoztató szól.

2. A felek

Adatkezelő: az edző, aki a Sloth-ban edzői fiókkal rendelkezik (a továbbiakban: Edző).

Adatfeldolgozó: Fodor Máté Levente egyéni vállalkozó (székhely: 1106 Budapest, Heves utca 30., adószám: 48381710-1-42, e-mail: hello@sloth.hu) — a Sloth platform üzemeltetője (a továbbiakban: Sloth).

3. Mire terjed ki az adatfeldolgozás?

4. Az Edző kötelezettségei

• Az Edző felel azért, hogy legyen jogalapja az általa rögzített adatok kezelésére, és hogy az érintetteket megfelelően tájékoztassa.
• Csak annyi adatot rögzít, amennyi az edzések szervezéséhez ténylegesen szükséges. A jegyzetekbe különösen ne kerüljön egészségügyi vagy más különleges adat, ha az nem elengedhetetlen.
• Kiskorú sportoló adatainak rögzítéséhez a szülő (törvényes képviselő) tájékoztatása, illetve — ahol szükséges — a hozzájárulása kell. Ugyanez vonatkozik a tömeges (CSV) importra is: ilyenkor olyan személyek adatai kerülnek a rendszerbe, akik korábban nem használták a Sloth-ot.
• Az Edző gondoskodik arról, hogy a nála lévő adatok pontosak legyenek, és a feleslegessé vált adatokat törli.
• Az Edző felel a saját fiókja biztonságáért (jelszó, belépés).

5. A Sloth kötelezettségei

A Sloth adatfeldolgozóként vállalja, hogy:

• Csak utasítás szerint jár el. Az adatokat kizárólag az Edző utasítása szerint kezeli. Utasításnak minősül a platform rendeltetésszerű használata, valamint az Edző írásbeli (e-mailes) kérése. Ha jogszabály mást ír elő, arról — ha az nem tilos — a Sloth előzetesen tájékoztat.
• Jelez, ha az utasítás jogsértő. Ha egy utasítás a Sloth megítélése szerint jogszabályba ütközik, erre haladéktalanul felhívja az Edző figyelmét.
• Titoktartás. Az adatokhoz csak olyan személyek férnek hozzá, akiket titoktartás köt, és csak a feladatuk ellátásához szükséges mértékben.
• Biztonság. Megteszi a 7. pontban felsorolt technikai és szervezési intézkedéseket.
• Segít az érintetti jogok teljesítésében. Ha egy sportoló vagy szülő hozzáférést, helyesbítést, törlést vagy adathordozhatóságot kér, a Sloth észszerű segítséget nyújt az Edzőnek. Ha ilyen kérés közvetlenül a Sloth-hoz érkezik az Edző adatairól, a Sloth továbbítja azt az Edzőnek, és önállóan nem válaszol rá érdemben.
• Segít az incidensek és hatásvizsgálatok kezelésében (GDPR 32–36. cikk), a rendelkezésére álló információk alapján.
• A szolgáltatás végén törli vagy kiadja az adatokat a 9. pont szerint.
• Igazolja a megfelelést. Az Edző kérésére rendelkezésre bocsátja a jelen szerződésnek való megfelelés igazolásához szükséges információkat.

6. Alvállalkozók (további adatfeldolgozók)

Az Edző általános felhatalmazást ad arra, hogy a Sloth az alábbi alvállalkozókat igénybe vegye:

Ha a Sloth új alvállalkozót von be, vagy meglévőt cserél, arról a változás előtt legalább 30 nappal e-mailben értesíti az Edzőt. Az Edző ez idő alatt kifogást emelhet; ha a felek nem jutnak megegyezésre, az Edző a szerződést felmondhatja és a fiókját megszüntetheti.

A Sloth az alvállalkozókra a jelen szerződéssel lényegében azonos kötelezettségeket hárít át, és felel az alvállalkozó tevékenységéért.

Adattovábbítás az EU-n kívülre: egyes alvállalkozók (különösen a Google és az Apple, illetve a Stripe egyes alvállalkozói) az Európai Unión kívül is végezhetnek adatkezelést. Ezek a továbbítások az Európai Bizottság megfelelőségi határozatán (EU–USA adatvédelmi keretrendszer), illetve általános szerződési feltételeken (SCC) alapulnak.

7. Adatbiztonsági intézkedések

A Sloth a következő intézkedéseket alkalmazza:

• Titkosított kapcsolat (HTTPS/TLS) a platform teljes felületén
• A jelszavak csak titkosított (hash) formában tárolódnak; a munkamenet-adatok titkosítva vannak
• Szerepkör- és jogosultságalapú hozzáférés: minden felhasználó csak a saját, illetve a hozzá kapcsolt adatokat éri el
• Bankkártyaadatot a Sloth nem lát és nem tárol — ezt kizárólag a Stripe kezeli
• Rendszeres, titkosított adatbázismentés
• Naplózás a biztonsági események és a visszaélések kivizsgálásához; a naplókhoz csak az arra jogosultak férnek hozzá
• A futtatókörnyezet és a felhasznált komponensek rendszeres frissítése

A Sloth kis szolgáltatás: nem rendelkezik önálló adatbiztonsági tanúsítvánnyal (például ISO 27001), és nem végeztet rendszeres külső behatolásvizsgálatot. Ezt azért írjuk le nyíltan, hogy az Edző reális képet kapjon.

8. Adatvédelmi incidens

Ha a Sloth tudomást szerez olyan adatvédelmi incidensről, amely az Edző adatait érinti, arról indokolatlan késedelem nélkül, legkésőbb 48 órán belül e-mailben értesíti az Edzőt.

Az értesítés tartalmazza — amennyi információ rendelkezésre áll — az incidens jellegét, az érintettek és adatok hozzávetőleges körét, a várható következményeket, valamint a megtett vagy tervezett intézkedéseket.

A hatóság (NAIH) és az érintettek felé történő bejelentés az Edző mint adatkezelő feladata; ehhez a Sloth megadja a rendelkezésére álló információkat.

9. Mi történik az adatokkal a végén?

Az Edző a fiókja fennállása alatt bármikor hozzáfér az adataihoz a platformon, és a sportolói adatokat exportálhatja.

A szerződés megszűnésekor (a fiók törlésekor) a Sloth az Edző választása szerint törli vagy kiadja a kezelt adatokat. Külön kérés hiányában a fiók törlésével az adatok törlésre kerülnek.

Kivételt képeznek azok az adatok, amelyeket jogszabály alapján tovább kell őrizni (például a kiállított számlák, amelyeket a számvitelről szóló törvény szerint 8 évig meg kell őrizni), valamint a biztonsági mentések, amelyekből az adatok a mentési ciklus lejártával törlődnek.

10. Ellenőrzés

Az Edző jogosult a jelen szerződésnek való megfelelés ellenőrzésére. Az ellenőrzést előzetes, észszerű időben (legalább 14 nappal korábban) küldött írásbeli értesítés után, munkaidőben, a működés zavarása nélkül lehet lefolytatni.

A Sloth az ellenőrzést elsősorban írásbeli tájékoztatással és dokumentációval teljesíti. Az ellenőrzés költségeit — a Sloth felróható szerződésszegésének kivételével — az Edző viseli.

11. Felelősség, időtartam, módosítás

A felek a GDPR és a magyar jog szerint felelnek. A Sloth felelőssége nem terjed ki arra, hogy az Edző milyen adatot rögzít, milyen jogalappal és mennyi ideig.

A szerződés az edzői fiók létrejöttével kezdődik, és a fiók megszűnéséig, illetve az adatok 9. pont szerinti törléséig tart.

A szerződést a Sloth módosíthatja; a lényeges változásokról a hatálybalépés előtt észszerű idővel e-mailben vagy a platformon értesít. Ha az Edző a módosítást nem fogadja el, a fiókját megszüntetheti.

Irányadó jog: magyar jog. Kapcsolat: hello@sloth.hu.