Adatvédelmi szabályzat

A SZEMÉLYES ADATOK BIZTONSÁGI SZABÁLYZATA

 

 

ECOMPORATE Maksymilian Polkowski
Szlak 77/222, 31-153 Kraków
e-mail: alkogames.contact@gmail.com
www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu

NIP: 6821812937 | REGON: 543921159

 

Az elkészítés dátuma:	17.02.2026
A bevezetés dátuma:	17.02.2026
A dokumentumot jóváhagyta és bevezette:	Maksymilian Polkowski

 

I.             A dokumentumban használt cél, hatály és fogalommeghatározások

1.    A Szabályzat célja

1.1  A jelen Biztonsági Szabályzat elkészítésének és bevezetésének célja az ECOMPORATE Maksymilian Polkowski (a továbbiakban: Adatkezelő) által alkalmazott olyan technikai és szervezési intézkedések leírása, amelyek a személyes adatok kezelésével összefüggő jogok és szabadságok megsértésének kockázatával arányos védelmet biztosítanak a kezelt személyes adatok számára.

1.2  A Biztonsági Szabályzat célja, hogy lehetővé tegye az Adatkezelő – ECOMPORATE Maksymilian Polkowski – kötelezettségeinek megfelelő teljesítését. A Személyes Adatok Biztonsági Szabályzata az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendeletének – a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről – rendelkezéseivel összhangban készült.

1.3  A jelen dokumentum bevezetése a szervezeten belüli közzététele, valamint a személyes adatok kezelésére jogosult személyek, továbbá az Adatkezelő által kezelt személyes adatokhoz hozzáféréssel rendelkező más személyek megismertetése útján történik.

2.    A hatály és az alkalmazás alóli kivételek

2.1  A Szabályzat hatálya kiterjed valamennyi, az Adatkezelő által kezelt személyes adatra.

2.2  A jelen Szabályzat rendelkezései és követelményei csak abban az esetben zárhatók ki, ha a hatályos jogszabályok ilyen kizárást előírnak.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

3.    Fogalommeghatározások

1.	Adatkezelő	ECOMPORATE Maksymilian Polkowski, Szlak 77/222, 31-153 Kraków, e-mail: alkogames.contact@gmail.com, www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu, azon adatok tekintetében, amelyek kezelésének céljairól és módjairól dönt
2.	Személyes adatok	az azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információt jelentik; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, azonosítószám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
3.	A személyes adatok különleges kategóriái	a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló adatok, valamint genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó adatok kezelése, továbbá a büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre vonatkozó adatok;
4.	A Hivatal elnöke	A lengyel Személyesadat-védelmi Hivatal elnöke;
5.	Az adatok sértetlensége	az a tulajdonság, amely biztosítja, hogy a személyes adatokat nem módosították vagy semmisítették meg jogosulatlanul;
6.	A személyes adatok védelmének megsértése	olyan biztonsági incidenst jelent, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
7.	Jogosult személy	olyan személy, aki az Adatkezelő nevében személyes adatok kezelésére felhatalmazással rendelkezik
8.	Érintett (vagy adattulajdonos)	minden olyan természetes személy, akinek a személyes adatait az Adatkezelő vagy az Adatkezelő megbízásából az általa folytatott tevékenységgel összefüggésben kezelik;
9.	Az adatok bizalmas jellege	az a tulajdonság, amely biztosítja, hogy az adatokat nem teszik hozzáférhetővé jogosulatlan személyek számára,
10.	Munkavállaló	személyes adatokhoz hozzáféréssel rendelkező, az Adatkezelő részére munkaviszony alapján munkát végző személy;
11.	Harmadik fél	olyan természetes vagy jogi személyt, közhatalmi szervet, ügynökséget vagy bármely egyéb szervet jelent, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy az adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;
12.	Adatfeldolgozó (Processzor)	jogi személy, természetes személy, jogi személyiséggel nem rendelkező szervezeti egység vagy más szerv, amely nem dönt a személyes adatok kezelésének céljairól és eszközeiről, és amelynek az Adatkezelő személyes adatokat bízott kezelésre, és amellyel a GDPR 28. cikke értelmében személyes adatok kezelésének megbízására vonatkozó Szerződést kötött;
13.	A személyes adatok kezelése	a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás útján, terjesztés vagy egyéb módon történő hozzáférhetővé tétel, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
14.	Szabályzat	a jelen dokumentum, azaz a Személyes Adatok Biztonsági Szabályzata
15.	Elszámoltathatóság	az a tulajdonság, amely lehetővé teszi az Adatkezelő GDPR-rendelkezéseknek való megfelelésének igazolását;
16.	GDPR vagy Rendelet	Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről;
17.	Álnevesítés	a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé nem állapítható meg, hogy a személyes adat melyik konkrét érintettre vonatkozik, feltéve hogy az ilyen további információkat külön tárolják, és technikai és szervezési intézkedések vonatkoznak rájuk annak biztosítására, hogy azonosított vagy azonosítható természetes személyekhez ne lehessen kapcsolni a személyes adatokat;
18.	Adatkezelési tevékenységek nyilvántartása	az Adatkezelő által vezetett nyilvántartás, amely legalább a következő adatokat tartalmazza: a) az adatkezelő, valamint az esetleges közös adatkezelők, továbbá adott esetben az adatkezelő képviselője és az adatvédelmi tisztviselő neve és elérhetőségei; b) az adatkezelés céljai; c) az érintettek kategóriáinak és a személyes adatok kategóriáinak ismertetése; d) azon címzettek kategóriái, akikkel a személyes adatokat közölték vagy közölni fogják, ideértve a harmadik országbeli címzetteket vagy nemzetközi szervezeteket; e) adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, beleértve a harmadik ország vagy a nemzetközi szervezet megnevezését, valamint a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetében a megfelelő garanciák leírását; f) ha lehetséges, a különböző adatkategóriák törlésére előirányzott határidők; g) ha lehetséges, a 32. cikk (1) bekezdésében említett technikai és szervezési biztonsági intézkedések általános leírása.
19.	Panasz	bármely (papíralapú vagy elektronikus formában) irat, amelyet az érintett (adattulajdonos) vagy a Hivatal elnöke továbbít, és amelynek tartalmából elégedetlenség vagy az Adatkezelő általi személyes adatok kezelésével kapcsolatos magyarázat / tájékoztatás iránti kérelem tűnik ki
20.	Informatikai rendszer (vagy IT-rendszer)	az adatok kezelése céljából alkalmazott, egymással együttműködő eszközök, programok, információfeldolgozási eljárások és szoftvereszközök összessége;
21.	Törvény	A személyes adatok védelméről szóló 2018. május 10-i lengyel törvény;
22.	Felhatalmazás	az alábbiak egyike: - a GDPR 29. cikke alapján kiadott, személyes adatok kezelésére vonatkozó írásbeli felhatalmazás, amelyet a társaság társasági tagja adott a Munkavállalónak, Közreműködőnek vagy az Adatfeldolgozó munkavállalójának, - a GDPR 28. cikke értelmében írásban kötött, személyes adatok kezelésének megbízására vonatkozó Szerződés;
23.	Közreműködő	személyes adatokhoz hozzáféréssel rendelkező olyan személy, aki személyesen és közvetlenül munkaviszonytól eltérő jogalapon végez feladatokat / szolgáltatásokat az Adatkezelő részére, a feleket összekötő szerződés elnevezésétől vagy fajtájától függetlenül;
24.	Adatbiztonság	megfelelő technikai és szervezési intézkedések bevezetése és működtetése, amelyek biztosítják az adatok védelmét a jogosulatlan kezeléssel szemben;
25.	Az érintett hozzájárulása	az érintett akaratának önkéntes, konkrét, megfelelően tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján beleegyezését adja az őt érintő személyes adatok kezeléséhez;

 

II.            Az ECOMPORATE Maksymilian Polkowski mint Adatkezelő kötelezettségei

1.    A személyes adatok kezelésére vonatkozó jogalapok teljesítésének kötelezettsége

1.1    Minden Munkavállaló és Közreműködő köteles az adatkezelési cél meghatározásáról vagy a gyűjtött személyes adatok körének az Adatkezelési tevékenységek nyilvántartásában (ATN) megjelölt jelenlegi adatkezelési célon túli bővítéséről szóló döntés előtt megjelölni és alkalmazni az ilyen adatok kezelését legitimáló jogalapot (a GDPR szerint).

2.    Tájékoztatási kötelezettség az érintettel szemben a GDPR 13. és 14. cikke szerint

2.1  Minden Munkavállaló, Közreműködő, aki személyes adatokat gyűjt (szerez be), az adattulajdonostól közvetlenül történő gyűjtésük pillanatában köteles tájékoztatni az adattulajdonost (pl. megfelelő záradék bemutatásával) a GDPR 13. cikkére vonatkozó elkészített tájékoztatási záradékoknak megfelelően.

2.2  Harmadik személyektől, tehát nem közvetlenül az adattulajdonostól történő adatgyűjtés esetén az adatok rögzítését követően haladéktalanul tájékoztatni kell az adatkezelés körülményeiről a GDPR 14. cikkére vonatkozó tájékoztatási záradékoknak megfelelően.

2.3  Olyan informatikai rendszerek használata esetén, amelyek automatikusan gyűjtenek személyes adatokat, biztosítani kell, hogy ez a rendszer megadja a fenti pontokban említett tájékoztatást.

2.4  Harmadik felek (pl. marketing- vagy toborzóügynökségek) igénybevétele esetén az ilyen féllel kötött szerződésben biztosítani kell, hogy ez a fél a személyes adatok gyűjtése során az Adatkezelő nevében teljesítse a tájékoztatási kötelezettséget a 2.2. 1) vagy 2.2. 2) pontnak megfelelően.

3.    A GDPR 5. cikkében leírt adatkezelési elvek betartásának kötelezettsége

3.1  A személyes adatok kezelésének folyamatai során különös gondossággal kell eljárni az érintettek érdekeinek védelme érdekében, különösen a Szabályzat 5–7. pontjában meghatározott elvek betartása tekintetében. Ez a kötelezettség vonatkozik mind a Munkavállalókra és Közreműködőkre, mind azokra a szervekre, amelyek az Adatkezelő nevében személyes adatokat kezelnek a személyes adatok kezelésének megbízására vonatkozó szerződések alapján, azaz az Adatfeldolgozókra.

4.    Személyes adatok kezelésének megbízására vonatkozó szerződés megkötésének kötelezettsége (28. cikk)

4.1  Ha az Adatkezelő úgy dönt, hogy harmadik fél szolgáltatásait veszi igénybe, és e szolgáltatások nyújtása keretében ez a fél az Adatkezelő megbízásából vagy nevében személyes adatokat kezel, biztosítani kell, hogy az adatok átadása előtt ezzel a féllel megkössék a „Személyes adatok kezelésének megbízására vonatkozó Szerződést” a Szabályzat 6. pontjában meghatározott elvek szerint.

5.    Az érintett kérelmeinek teljesítésére vonatkozó kötelezettség

5.1  Ha az adattulajdonos szóbeli vagy írásbeli kérelemmel / megkereséssel fordul az Adatkezelőhöz hozzáférés / adatmásolat / adathordozhatóság / adatainak törlése / helyesbítés / korlátozás / frissítés iránt (a benyújtás formájától, papíralapú vagy elektronikus jellegétől függetlenül), az ilyen kérelmet, ha megalapozott, haladéktalanul, legfeljebb 30 napon belül teljesíteni kell.

5.2  Minden esetben az előző pontban említett ilyen kérelem teljesítését az Adatkezelőnek kell elvégeznie, aki ilyen esetben kijelölhet Munkavállalót, Közreműködőt vagy más szervet az ilyen kérelem teljesítésének támogatására.

5.3  Az Adatkezelő minden esetben megkönnyíti az adattulajdonos számára a GDPR 15–22. cikke alapján őt megillető jogok gyakorlását. Ha az Adatkezelő nem tudja bizonyítani, hogy nincs abban a helyzetben, hogy az érintettet azonosítsa, lehetőség szerint erről tájékoztatja az érintettet, és kéri az adatok kiegészítését az adattulajdonos személyazonosságának megállapíthatósága érdekében.

5.4  Az adattulajdonos kérelmének teljesítése során az Adatkezelő az Érintettek kérelmeinek kezelési eljárása szerint jár el.

6.    Az adatok biztonságának biztosítására vonatkozó kötelezettség

6.1  Minden Munkavállaló, Közreműködő köteles alkalmazni a következő biztosítékokat:

·         szervezési (pl. szabályzatok, rendek, eljárások), amelyek az Adatkezelő szervezetében hatályosak, függetlenül attól, hogy melyik belső dokumentum írja le őket, valamint

·         technikai (pl. hozzáférési jelszavak használata, titkosított PENDRIVE vagy a számítógépek és mobileszközök titkosítása). A belső dokumentumokban meghatározott vagy az IT-szolgáltató által bevezetett biztosítékok megkerülése a személyes adatok védelmének megsértését eredményezheti.

6.2  Az adatbiztonsági kötelezettség az Adatfeldolgozókra is vonatkozik. A személyes adatok Adatfeldolgozó általi biztosítására vonatkozó részletes követelményeket meg kell határozni a Személyes adatok kezelésének megbízására vonatkozó Szerződésben.

7.    A személyes adatok kezelésének új céljáról szóló bejelentési kötelezettség

7.1  Ha egy Munkavállaló vagy Közreműködő úgy dönt, hogy új célból kezd személyes adatokat gyűjteni, köteles a gyűjtés megkezdése előtt erről a tényről tájékoztatni az Adatkezelőt a szervezetben általánosan alkalmazott kommunikációs formában.

7.2  A Munkavállaló vagy Közreműködő tájékoztatása alapján az Adatkezelő dönt arról, hogy az adott cél az Adatkezelési tevékenységek nyilvántartásába való felvételi kötelezettség hatálya alá tartozik-e.

7.3  A Munkavállalók és Közreműködők kötelesek a Nyilvántartásban leírt adatkezelési tevékenységeket érintő minden változásról e változások bevezetése előtt közvetlenül beszámolni az Adatkezelőnek.

8.    Kötelezettségek harmadik országokba történő továbbítás esetén

8.1  Az EGT-n kívüli szolgáltató kiválasztásáról vagy az adatok harmadik országba történő továbbításáról szóló esetleges döntés előtt az Adatkezelőnek további elemzést kell végeznie, vagy külső forrásokból véleményt kell kérnie az ilyen információk továbbításának biztonságáról.

9.    Kötelezettségek és felelősség

9.1  Minden Munkavállaló és Közreműködő, beosztásától vagy feladataitól függetlenül, köteles a következőkre, és felel értük:

·         a személyes adatok és biztosításuk módjának bizalmas kezelése,

·         a jelen Szabályzat, valamint a jelen Szabályzat alapján kiadott belső dokumentumok rendelkezéseinek megismerése és betartása,

·         a személyes adatok védelmére vonatkozó előírások és a jelen Szabályzat megismerésének írásbeli megerősítése,

·         a személyes adatok védelmére vonatkozó előírások, különösen a Törvény betartása,

·         az IT-rendszerekhez használt jelszavak nem megosztása,

·         a személyes adatok jogosulatlan személyek számára való hozzáférhetővé nem tétele, illetve a hozzáférés nem lehetővé tétele,

·         minden észlelt incidens / a személyes adatok védelmének vagy a jelen Szabályzatnak a megsértésére irányuló gyanú bejelentése az eljárásoknak megfelelően.

9.2   A vezetők kötelezettségei és felelőssége

·         annak felügyelete, hogy a beosztott munkavállalók alkalmazzák-e a jelen Szabályzatban leírt elveket,

·         információs / képzési igények a személyes adatok védelmére vonatkozó előírások területén,

·         a személyes adatok kezelésének céljait érintő minden változás jóváhagyása bevezetésük előtt,

·         a személyes adatok kezelésének kijelölt céljai és az adatkezelés terjedelme felügyelete az Adatkezelési tevékenységek nyilvántartásával összhangban,

·         a személyes adatoknak harmadik fél részére történő továbbításával járó új informatikai megoldások ellenőrzése,

·         annak biztosítása, hogy az Adatkezelő megkösse az adatkezelés megbízására vonatkozó szerződést minden olyan féllel, amelyre az Adatkezelő személyes adatok kezelését kívánja bízni.

9.3  Az IT-szolgáltató kötelezettségei és felelőssége (ha van)

Az Adatkezelővel való együttműködésre kijelölt IT-szolgáltató minden munkavállalója köteles a következőkre, és felel értük:

·         annak felügyelete, hogy a bevezetett és fenntartott biztosítékok (fizikai, logikai, rendszerszintű) hatékonyak-e,

·         annak felügyelete, hogy az adatkezelési területekhez való hozzáférés bevezetett korlátozásai hatékonyak-e,

·         a GDPR és a Szabályzat rendelkezéseinek figyelembevétele az informatikai vagy fizikai biztonságot érintő új megoldások tervezése és bevezetése során,

·         az Adatkezelő kérésére a szervezetben alkalmazott biztosítékokra vonatkozó vélemények és tájékoztatások elkészítése.

 

10. A személyes adatok kezelésével kapcsolatos panaszok esetén követendő eljárás elvei

10.1  Az adattulajdonos által benyújtott panaszok / kérelmek

1)    Az adattulajdonos által az Adatkezelőnek megküldött írásbeli panaszt / kérelmet (a kézbesítés vagy elnevezés formájától függetlenül) haladéktalanul, de legkésőbb a beérkezésétől számított 30 napon belül el kell bírálni.

2)    A panaszra / kérelemre írásban (ajánlott küldeményként) kell válaszolni, ha a beadvány benyújtója megadta kézbesítési címét, ilyen cím hiányában pedig ugyanazon az úton, amelyen a panaszt / kérelmet benyújtották, kivéve, ha a kérelmező más formát kért. Elektronikus levélben adott válasz esetén a válasz másolatát minden esetben archiválni kell az Adatkezelő elszámoltathatóságának teljesítése érdekében.

3)    Ha az adattulajdonos kérelemmel, megkereséssel fordul a személyes adatok módosítása vagy frissítése iránt, ezt az ilyen kérelem kézhezvétele után haladéktalanul meg kell tenni.

4)    Ha az adattulajdonos kérelemmel, megkereséssel fordul adatai törlése vagy kezelésének megszüntetése iránt, és ezeket az adatokat kizárólag az érintett hozzájárulása alapján gyűjtötték, haladéktalanul törölni kell a személyes adatait, vagy meg kell szüntetni a kezelést azokra a célokra, amelyekhez korábban hozzájárulását adta.

5)    A megkötött szerződés alapján kezelt személyes adatok az adattulajdonos valamennyi hozzájárulásának visszavonása után is tovább kezelhetők más célokra (pl. szerződés teljesítése, adózási célok), ha ezek az Adatkezelési tevékenységek nyilvántartásából következnek.

6)    Ha az adattulajdonos kérelemmel fordul személyes adataihoz való hozzáférés vagy az adatok másolatának megszerzése iránt, az ilyen kérelemre haladéktalanul, legfeljebb 30 napon belül válaszolni kell.

7)    Az adattulajdonos élhet a szerződés vagy hozzájárulás alapján kezelt, az adattulajdonos által az adatkezelőnek díjmentesen megadott adatok másolatához való joggal. Az adatok minden további másolatáért az Adatkezelő észszerű, az ilyen adatmásolat elkészítésével kapcsolatos adminisztratív díjat számíthat fel.

10.2   A Hivatal elnöke által továbbított panaszok

1)    Az adattulajdonos által a Hivatal elnökéhez benyújtott, a hatóság által az Adatkezelőnek továbbított panaszt haladéktalanul át kell adni a társaság társasági tagjának.

2)    Az ilyen, a Hivatal elnöke által kézbesített panaszra a válaszadási határidő 7 nap (kivéve, ha a Hivatal elnöke más határidőt állapít meg).

3)    A választ az Adatkezelő által kijelölt Munkavállaló vagy Közreműködő, illetve a társaság egyik társasági tagja készíti elő, a válasz végleges változatát pedig a társaság társasági tagja küldi meg a Hivatal elnökének. 

III.          Az Adatkezelő által végzett személyes adatkezelés elvei

1.     A jogszerűség, tisztességes eljárás és átláthatóság elve

A személyes adatokat jogszerűen, tisztességesen és az érintett számára átlátható módon kell kezelni. Személyes adatot jogalap nélkül kezelni tilos. A személyes adatok új kategóriájának vagy az adatok új célból történő kezelésének megkezdése előtt meg kell jelölni a kezelésük jogalapját.

2.     A célhoz kötöttség elve

A személyes adatokat kizárólag konkrét és egyértelműen meghatározott célból szabad kezelni, és az adattulajdonost tájékoztatni kell erről a célról. A személyes adatokat csak meghatározott, egyértelmű és jogszerű célból lehet gyűjteni, és azokat nem lehet ezekkel a célokkal össze nem egyeztethető módon tovább kezelni.

3.      Az adattakarékosság elve

Csak annyi adat gyűjthető, amennyi a cél megvalósításához megfelelő. Nem szabad „készletre” gyűjteni azon az alapon, hogy a jövőben „jól jöhetnek”. A személyes adatoknak az adatkezelés céljai szempontjából megfelelőknek és relevánsaknak kell lenniük, és a szükségesre kell korlátozódniuk.

4.      A pontosság elve

Valamennyi adatkezelésre jogosult személy és az Adatfeldolgozók felelnek az adatok tartalmi helyességéért. A személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék.

5.      A korlátozott tárolhatóság elve

A személyes adatok csak addig kezelhetők, amíg az adatkezelés célja fennáll, vagy ameddig azt jogszabály előírja. A személyes adatokat olyan formában kell tárolni, amely az érintettek azonosítását csak az adatkezelés céljainak eléréséhez szükséges ideig teszi lehetővé.

6.      Az integritás és bizalmas jelleg elve

A személyes adatokat oly módon kell kezelni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosított legyen a személyes adatok megfelelő biztonsága, ideértve az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is.

7.      Az adatkezelésre jogosult személyek tájékoztatásának elve a személyes adatok védelmére vonatkozó belső és külső előírásokról

A személyes adatok kezelésére jogosult minden személy köteles folyamatosan megismerni a személyes adatok védelmére vonatkozó belső és külső előírásokat. Ismeretek hiánya esetén közvetlenül konzultálni lehet a társaság társasági tagjával. Minden jogosult személy a személyes adatok védelmére vonatkozó előírások és elvek megismerése után ezt a tényt egy megfelelő nyilatkozat írásbeli aláírásával igazolja.

8.      A korlátozott hozzáférés elve

A személyes adatokhoz való hozzáférést mindig kizárólag a jogosult személyekre kell korlátozni. A hozzáférés korlátozása lehet szervezési jellegű (pl. személyes felügyelet, eljárások bevezetése), fizikai (pl. kulccsal zárás, helyiségek proximity kártyái) vagy informatikai (pl. bejelentkezési nevek és jelszavak használata).

9.      A kettős hozzáférés elve

A személyes adatokhoz való hozzáférést mindig korlátozni kell, legalább két hozzáférési korlátozás alkalmazásával, tetszőleges fajtából.

10.    A tiszta asztal elve

A munka befejezése után a Munkavállaló / Közreműködő asztalán nem maradhat semmilyen, személyes adatokat tartalmazó dokumentum vagy általánosan hozzáférhető információhordozó. Valamennyi ilyen dokumentumot / hordozót szekrényekben / kamrákban kulccsal le kell zárni.

11.    A dokumentumok és adathordozók biztonságos megsemmisítésének elve

Az adatok törlése papír alapú vagy elektronikus formájú dokumentumok megsemmisítése útján a „Biztonságos adattörlési eljárás” szerint történik.

12.    Az elszámoltathatóság elve

A jogosult személy vagy az Adatfeldolgozó személyes adatokon, különösen informatikai rendszerekben végzett tevékenységeit mindig egyértelműen csak egy, személyes adatok kezelésére jogosult személyhez kell rendelni. Ez azt jelenti, hogy egy adott IT-rendszerbe való bejelentkezési név CSAK EGY SZEMÉLYHEZ rendelhető. Tilos a bejelentkezési nevek két vagy több személy általi megosztása. Az IT-rendszerben egy adott bejelentkezési névhez rendelt tevékenységeket mindig ahhoz a személyhez kell hozzárendelni, aki az adott bejelentkezési nevet használta. Ezenkívül a GDPR előírásaiból és a jelen Szabályzatból eredő kötelezettségek és feladatok teljesítése során minden jogosult személy köteles igazolni, hogy betartja a GDPR és a Szabályzat előírásait.

13.    A hozzáférési jelszavak titkosságának és minőségének elve

Semmilyen körülmények között nem szabad felfedni a saját hozzáférési jelszót (sem a felettesnek, sem a munkáltatónak, sem más személynek, még állami szervek munkatársainak sem). A rendszergazdától kapott jelszót ugyanazon a napon meg kell változtatni. A jelszónak legalább 8 karakterből kell állnia, beleértve egy nagybetűt, egy kisbetűt, egy számjegyet és egy speciális karaktert.

 

IV.         A személyes adatok kezelésének az Adatkezelő általi harmadik felekre bízásának elvei

 

1.     Megbízási szerződések alkalmazása

Olyan szolgáltatási szerződés megkötése esetén, amely a személyes adatok kezelésének a szolgáltatóra bízásával jár, a GDPR 28. cikkének megfelelő, írásbeli adatkezelési megbízási szerződést kell kötni.

2.     Az Adatfeldolgozók kötelezettségei és felelőssége

A személyes adatok kezelésének megbízására vonatkozó szerződés elkészítése során feltétlenül rögzíteni kell az alábbi kérdéseket:

a)    a kezelés tárgya és időtartama, a kezelés jellege és célja, a személyes adatok típusa és az érintettek kategóriái, az Adatkezelő és az Adatfeldolgozó kötelezettségei és jogai,

b)    az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli – ideértve a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítását is –, kivéve, ha az Európai Unió vagy a tagállami jog, amely az adatfeldolgozóra vonatkozik, ezt előírja; ebben az esetben az adatfeldolgozó az adatkezelést megelőzően tájékoztatja az adatkezelőt e jogi követelményről, kivéve, ha a vonatkozó jogszabály fontos közérdekből tiltja ezt a tájékoztatást,

c)     az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartásra kötelezettséget vállaltak, vagy megfelelő törvényi titoktartási kötelezettség alatt állnak,

d)    az Adatfeldolgozó meghoz minden, a GDPR 32. cikke szerint szükséges intézkedést,

e)    az Adatfeldolgozó nem vesz igénybe további adatfeldolgozót az adatkezelő előzetes egyedi vagy általános írásbeli engedélye nélkül. Általános írásbeli engedély esetén az adatfeldolgozó tájékoztatja az adatkezelőt minden olyan tervezett változásról, amely további adatfeldolgozók igénybevételére vagy cseréjére vonatkozik, ezáltal biztosítva az adatkezelő számára annak lehetőségét, hogy az ilyen változásokkal szemben kifogást emeljen,

f)      ha az Adatfeldolgozó az Adatkezelő nevében végzett konkrét adatkezelési tevékenységekhez további adatfeldolgozó szolgáltatásait veszi igénybe, erre a további adatfeldolgozóra – szerződés vagy az uniós vagy tagállami jog szerinti más jogi aktus útján – ugyanazok az adatvédelmi kötelezettségek vonatkoznak, mint amelyek az adatkezelő és az adatfeldolgozó közötti szerződésben vagy más jogi aktusban – a fent leírtak szerint – szerepelnek, különösen az a kötelezettség, hogy megfelelő garanciákat nyújtson a megfelelő technikai és szervezési intézkedések végrehajtására, hogy az adatkezelés megfeleljen e rendelet követelményeinek. Ha ez a további adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, a kezdeti adatfeldolgozó teljes felelősséggel tartozik az adatkezelő felé a további adatfeldolgozó kötelezettségeinek teljesítéséért,

g)    az Adatfeldolgozó az adatkezelés jellegének figyelembevételével, lehetőség szerint megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt abban, hogy teljesítse az érintett GDPR III. fejezetében meghatározott jogai gyakorlására irányuló kérelmek megválaszolására vonatkozó kötelezettségét,

h)    az Adatfeldolgozó az adatkezelés jellegének és a rendelkezésére álló információknak a figyelembevételével segíti az adatkezelőt a GDPR 32–36. cikkében meghatározott kötelezettségek teljesítésében,

i)      az Adatfeldolgozó az adatkezelő döntése alapján az adatkezeléssel kapcsolatos szolgáltatások nyújtásának befejezését követően töröl vagy visszaad az adatkezelőnek minden személyes adatot, és törli a létező másolatokat, kivéve, ha az uniós vagy a tagállami jog a személyes adatok tárolását írja elő,

j)      az Adatfeldolgozó az adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges, továbbá lehetővé teszi és elősegíti az Adatkezelő vagy az Adatkezelő által megbízott auditor által végzett auditokat, ideértve a helyszíni vizsgálatokat is.

3.     Az Adatfeldolgozók felügyeletét ellátó személyek kötelezettségei és felelőssége

Az Adatkezelő köteles személyesen vagy kijelölt munkavállaló útján felügyelni, hogy az Adatfeldolgozó teljesíti-e az adatkezelési megbízási szerződés követelményeit.

4.      Az Adatfeldolgozók ellenőrzése

A személyes adatok kezelésének megbízására vonatkozó minden szerződésben kötelezően szerepelnie kell a megbízott adatok kezelésének a Szerződéssel és az előírásokkal való megfelelősége ellenőrzése (auditja) lehetőségére vonatkozó rendelkezésnek. Az ilyen ellenőrzést az Adatkezelő által írásban felhatalmazott személy végezheti.

5.     Az Adatfeldolgozó ellenőrzése

Minden Adatfeldolgozót a megbízási szerződés aláírása előtt a Szállító ellenőrzési eljárásának megfelelően ellenőrizni kell.

 

V.           A kezelt adatok bizalmas jellegének, sértetlenségének és elszámoltathatóságának biztosításához szükséges technikai és szervezési intézkedések meghatározása.

1.     A személyes adatok biztonságát szolgáló szervezési intézkedések

A személyes adatok kezelésének folyamatai feletti felügyelet megerősítése érdekében bevezetésre kerültek a jelen pontban leírt, az adatok biztonságát szolgáló szervezési intézkedések.

2.     Belső képzések

A személyes adatok kezelésére jogosult minden személy köteles évente legalább egy jelenléti vagy e-learning képzésen részt venni a személyes adatok védelmére vonatkozó előírások tárgyában.

3.     Elvek és eljárások bevezetése

A Személyes Adatok Biztonsági Szabályzata alapot ad a személyes adatok védelmét szolgáló további eljárások kidolgozására és bevezetésére, amelyek javasolt jegyzékét a 9. pontban vezettük be. 

4.     A személyes adatok adatállományairól készülő biztonsági másolatok tervezése

Az informatikai rendszerekben kezelt személyes adatokat a Vezetőség vagy az IT-szolgáltató felügyelete alatt álló biztonsági mentési rendszerek védik. Ezek a rendszerek a Vezetőség vagy az IT-szolgáltató által meghatározott ütemezés szerint készítenek biztonsági másolatokat.

5.     A személyes adatok biztonságát szolgáló minimális technikai intézkedések

A jelen pontban leírt, az adatok biztonságát szolgáló technikai intézkedéseket a személyes adatok adatállományaira alkalmazzák, azonban nem mindegyiket minden adatállományra. A személyes adatok kezelésének kategóriájától, fajtájától, jellegétől és céljától függően megfelelő biztonsági intézkedéseket alkalmaznak, amelyek biztosítják az adatkezelésnek a GDPR rendelkezéseivel való összhangját.

a.     Fizikai védelmi intézkedések

1)    A személyes adatok adatállományait kezelő helyiségekbe való belépést kulccsal zárható ajtókkal működő beléptetőrendszer védi.

2)    A személyes adatok adatállományait kezelő helyiséget tűzvédelmi rendszer és/vagy szabadon álló tűzoltó készülék védi a tűz következményeivel szemben.

b.     Az informatikai és távközlési infrastruktúra biztonságát szolgáló intézkedések

1)            A számítógép operációs rendszeréhez való hozzáférést, amelyen személyes adatokat kezelnek, felhasználóazonosítóval és jelszóval történő hitelesítési folyamat védi.

2)            Rendszerszintű mechanizmusokat alkalmaztak, amelyek kikényszerítik a jelszavak rendszeres megváltoztatását.

3)            Kriptográfiai védelmi intézkedéseket alkalmaztak az adatátvitellel továbbított személyes adatokra.

4)            Védelmi intézkedéseket alkalmaztak a kártékony szoftverek, például férgek, vírusok, trójai programok, rootkitek ellen.

5)            A számítógépes hálózathoz való hozzáférés védelmére Firewall rendszert használtak.

6. Védelmi intézkedések az Adatkezelő által használt IT-szoftverben.

1)    Intézkedéseket alkalmaztak, amelyek lehetővé teszik a hozzáférési jogok meghatározását egy megjelölt adatkörre;

2)            A személyes adatokhoz való hozzáférés felhasználóazonosítóval és jelszóval történő hitelesítést igényel.

3)            Kriptográfiai intézkedéseket alkalmaztak a személyes adatok védelmére.

4)            A személyes adatokat kezelő munkaállomásokon képernyővédőket telepítettek.

5)            Automatikus zárolási mechanizmust alkalmaztak a személyes adatok kezelésére szolgáló informatikai rendszerhez való hozzáférésre a felhasználó hosszabb inaktivitása esetén.