Az ügyfél által a rendszerben kezelt személyes adatok feldolgozásának feltételei.
E feltételek az ügyfél által a Dolgozz App rendszerben kezelt személyes adatok feldolgozását szabályozzák. A szolgáltatás ügyfele az ilyen adatok adatkezelője, a Dolgozz App Kft. az adatfeldolgozó, a technikai üzemeltetést végző Work Mit Uns Kft. pedig további adatfeldolgozó.
A Dolgozz App szolgáltatási szerződésének melléklete. Folyamatosan elérhető a következő címen: https://dolgozz.app/adatfeldolgozas/.
Ez a melléklet az ügyfél és a Dolgozz App Kft. közötti szolgáltatási szerződés részét képezi. A Dolgozz App Kft. saját szerződéses kapcsolattartási, számlázási és marketingadataira az adatvédelmi tájékoztató vonatkozik; azok tekintetében a társaság önálló adatkezelő. A webes regisztráció során elfogadott általános szerződési feltételek és adatkezelési tájékoztató e mellékletet nem helyettesíti.
Adatkezelő: a Dolgozz App szolgáltatást megrendelő és a rendszerben a saját tevékenysége körében adatokat kezelő vállalkozás vagy szervezet (a továbbiakban: Ügyfél). Az Ügyfél azonosító adatait a szolgáltatási szerződés vagy a regisztráció tartalmazza. Ha az Ügyfél maga más adatkezelő nevében jár el, köteles a megfelelő továbbadott felhatalmazást biztosítani; e feltételek a tényleges szerepköröknek megfelelően alkalmazandók.
Adatfeldolgozó és szolgáltató: Dolgozz App Korlátolt Felelősségű Társaság (Dolgozz App Kft.), 1131 Budapest, Dolmány utca 40. III. em. 5. ajtó; adószám: 33059783-2-41; képviseli: Kasler Attila ügyvezető (a továbbiakban: Szolgáltató).
További adatfeldolgozó: Work Mit Uns Korlátolt Felelősségű Társaság (Work Mit Uns Kft.), 2750 Nagykőrös, Csillag utca 6. (a továbbiakban: Üzemeltető). A Szolgáltató az Üzemeltetőt a rendszer technikai üzemeltetésére, szerver- és infrastruktúra-szolgáltatásra, karbantartásra, hibaelhárításra és fejlesztési támogatásra veszi igénybe.
Az „adatvédelmi incidens”, „személyes adat”, „különleges adat”, „adatkezelés” és „adatfeldolgozó” kifejezéseket az (EU) 2016/679 rendelet (GDPR) szerint kell értelmezni.
A Szolgáltató a Dolgozz App webes és mobil szolgáltatás rendelkezésre bocsátása, az Ügyfél által választott funkciók működtetése, tárolás, biztonsági mentés, ügyféltámogatás, karbantartás és hibaelhárítás érdekében kezeli az Ügyfél rendszerbe bevitt adatait. Az adatfeldolgozás elektronikus, és magában foglalhatja az adatok fogadását, rögzítését, rendszerezését, tárolását, megjelenítését, továbbítását az Ügyfél által kijelölt jogosultaknak, helyesbítését, exportját, törlését, valamint a 5. pont szerinti további adatfeldolgozóknak a funkcióhoz szükséges mértékű átadását. Támogatási célú emberi hozzáférés csak indokolt feladat esetén és szükséges mértékben történhet.
Az adatfeldolgozás a szolgáltatási jogviszony fennállása alatt, illetve a 10. pont szerinti lezáráshoz szükséges ideig tart. Az egyes adatkörök megőrzési idejét és a rendszerben elérhető funkciók beállításait az Ügyfél határozza meg, a jogszabályi kötelezettségeire figyelemmel.
Az adott ügyfélfiók tényleges adatkörét a beállítások, az aktivált modulok, a jogosultságok és a bevitt tartalom határozza meg. Az alábbi felsorolás a rendszerben előforduló, a használt moduloktól függő adatköröket írja le; nem minden ügyfélnél jelenik meg minden kategória.
A bekapcsolt helyalapú funkciókban a rendszer tárolhatja a be- és kilépés helykoordinátáit, valamint – ha az Ügyfél a helynaplózást bekapcsolja – a munkavégzés során rögzített helyadat-nyomvonalat a beállított időközönként. NFC-, iBeacon- és ellenőrzőpont-események a bekapcsolt azonosítási módok szerint kerülnek rögzítésre.
A rendszerben fénykép (profilkép, feladat- vagy munkalapfotó, üzenetmelléklet) tárolható. Az Ügyfél bekapcsolhatja a bejelentkezéshez kapcsolódó fényképes összehasonlítást (arcfelismerés kapcsoló). A Szolgáltató nem üzemeltet szerveroldali biometrikus sablon- vagy ujjlenyomat-adatbázist; a funkció jogszerűségéért, arányosságáért és az érintettek tájékoztatásáért az Ügyfél felel.
Az Ügyfél csak a céljához szükséges adatot viheti be. Különleges személyes adatot (különösen egészségügyi, fogyatékosságra, családi állapotra vagy gyermekre vonatkozó adatot) vagy bűnügyi adatot csak akkor helyezhet el a rendszerben, ha ehhez megfelelő jogalappal és feltételekkel rendelkezik. A távolléti és bérügyi modulokban az Ügyfél által rögzített betegség, kórházi ellátás, szülési vagy szülői távollét, gyermekápolás, fogyatékosság, egyedülálló szülői vagy hasonló státusz, valamint a hozzátartozókra vonatkozó azonosítók különleges adatnak minősülhetnek vagy abból következtetést engedhetnek. Ezeket a Szolgáltató az Ügyfél utasítása szerint tárolja és jeleníti meg; a jogalapot, a tájékoztatást és a megőrzést az Ügyfél biztosítja.
Hangfelvétel, hangátirat és mesterségesintelligencia-alapú szövegfeldolgozás csak akkor történik, ha az adott ügyfélfiókban a hangasszisztens vagy az AI-funkció be van kapcsolva. Az így kezelt tartalom munkavégzésre, feladatra vagy az Ügyfél által diktált szövegre vonatkozhat.
A Szolgáltató az Ügyfél személyes adatait kizárólag dokumentált utasítás alapján kezeli. Dokumentált utasításnak minősül a szolgáltatási szerződés, ez a melléklet, az Ügyfél jogosult felhasználói által végrehajtott rendszerbeállítás és művelet, valamint az azonosítható jogosult kapcsolattartótól érkező írásbeli, ideértve az elektronikus úton küldött utasítás. Jogszabály által kötelezően előírt eltérés esetén a Szolgáltató az Ügyfelet előzetesen tájékoztatja, kivéve, ha ezt a jogszabály fontos közérdekből tiltja.
Dokumentált utasításnak minősül különösen a jelenléti, GPS-, helynapló-, NFC-, iBeacon-, fényképes, arcfelismerés-, push-értesítési, e-mail-sablon, hangasszisztens- vagy AI-funkció bekapcsolása, a cégközi felhasználói megosztás engedélyezése, az adatok importja, valamint a kimenő értesítések címzettjeinek kijelölése. Az Ügyfél a funkció bekapcsolásával utasítja a Szolgáltatót arra is, hogy a 5. és 6. pont szerinti, a funkcióhoz szükséges további adatfeldolgozókat igénybe vegye.
Ha az Ügyfél a rendszerben felhasználót vagy adatot másik ügyfélfiókkal oszt meg (cégközi megosztás), a megosztott adatokhoz a fogadó fiók jogosultjai hozzáférnek. Ez az Ügyfél saját döntése és utasítása; a fogadó szervezet nem a Szolgáltató további adatfeldolgozója. Az Ügyfél felel a megosztás jogszerűségéért és az érintettek tájékoztatásáért.
Az Ügyfél határozza meg az adatkezelés célját és jogalapját, az érintettek – ideértve a munkavállalókat, hozzátartozókat és az Ügyfél saját ügyfeleit – tájékoztatását, az alkalmazott munkahelyi ellenőrzés arányosságát, a hozzáférési jogosultságokat és a megőrzési időket. A jelenléti, helymeghatározási, fényképes, hang- és AI-funkciók, valamint a különleges adatok rögzítésének jogszerűségét saját körülményei között értékeli. Gondoskodik felhasználói fiókjai védelméről, a jelszavak és belépési adatok bizalmasságáról, és a Szolgáltatónak adott utasítások jogszerűségéről.
Ha a Szolgáltató megítélése szerint egy utasítás sérti a GDPR-t vagy más uniós, illetve tagállami adatvédelmi előírást, erről haladéktalanul tájékoztatja az Ügyfelet. A nyilvánvalóan jogellenes utasítás teljesítését a helyzet tisztázásáig felfüggesztheti.
A Szolgáltató biztosítja, hogy a személyes adatokhoz hozzáférő, irányítása alatt álló személyek titoktartási kötelezettséget vállaljanak vagy megfelelő jogszabályi titoktartás alatt álljanak, és csak az engedélyezett feladatukhoz szükséges mértékben kezeljék az adatokat. Ugyanezt megköveteli az Üzemeltetőtől.
A Szolgáltató a GDPR 32. cikke szerinti, a kockázathoz igazodó technikai és szervezési intézkedéseket alkalmazza és az Üzemeltetővel is alkalmaztatja. Ezek különösen a szerepkör alapú, legkisebb szükséges jogosultság elve szerinti hozzáférésre, az adminisztrátori hozzáférések ellenőrzésére, az ügyfélfiókok egymástól való elkülönítésére, az átvitel védelmére, a rendszerek és mentések védelmére, a frissítésekre, a naplózásra, az incidensek kezelésére, az adatok rendelkezésre állására és a helyreállítás rendszeres ellenőrzésére terjednek ki. A konkrét megoldásokat a változó kockázatok és technológia szerint felülvizsgálja. Ez a rendelkezés nem állít meghatározott tanúsítást, titkosítási algoritmust, mentési gyakoriságot vagy helyreállítási időt, ha arról a felek külön nem állapodtak meg.
A webes és mobil alkalmazásból küldött kimenő levelek (értesítések, jelszó, szerződés, sablonok) a Szolgáltató és az Üzemeltető Magyarországon üzemeltetett levelezési infrastruktúráján keresztül kerülnek továbbításra.
Az Ügyfél általános írásbeli felhatalmazást ad az alábbi, a szolgáltatás teljesítéséhez kapcsolódó további adatfeldolgozók igénybevételére. A Szolgáltató velük a GDPR 28. cikk (4) bekezdésének megfelelő, legalább az e feltételekben foglaltakkal azonos szintű adatvédelmi kötelezettségeket tartalmazó megállapodást köt; a további adatfeldolgozó teljesítéséért az Ügyféllel szemben felel.
A Google, az Apple, a HERE és az OpenAI csak a fenti feladathoz szükséges adatot kapja (például eszközazonosító és értesítés szövege; belépési viselkedés és IP-cím a captcha során; cím a geokódoláshoz; hang vagy szöveg az AI-feldolgozáshoz). A törzsadat, a bér- és távolléti adat, a dokumentumok és a helynapló az Üzemeltető magyarországi infrastruktúráján marad, kivéve, ha az Ügyfél utasítása vagy a fenti funkció ezt elkerülhetetlenné teszi.
A Szolgáltató az Ügyfél által megadott szerződéses elérhetőségen előzetesen tájékoztatja az Ügyfelet a további adatfeldolgozók tervezett hozzáadásáról vagy cseréjéről, megjelölve a feladatukat és az esetleges adattovábbítás helyét. Az Ügyfél az értesítéstől számított 15 napon belül indokolt adatvédelmi kifogást emelhet. A felek jóhiszeműen egyeztetnek; a kifogással érintett változást a Szolgáltató az adott Ügyfél adatainak kezelésére nem alkalmazza a kifogás rendezéséig, kivéve, ha jogszabály vagy azonnali biztonsági ok ezt elkerülhetetlenné teszi. Ha nincs elfogadható megoldás, az Ügyfél az érintett szolgáltatást a szerződés szerint megszüntetheti.
A számlázási, könyvelési, jogi, közösségi média és marketingcélú szolgáltatók e melléklet alvállalkozói listájához csak akkor tartoznak, ha ténylegesen hozzáférnek az Ügyfél rendszerben tárolt adataihoz. A Szolgáltató saját előfizetés-számlázásának, kapcsolattartásának és marketingjének címzettjeit az adatvédelmi tájékoztató sorolja fel.
Az Ügyfél törzs-, jelenléti, bér-, távolléti, dokumentum- és helynaplóadatait a Szolgáltató elsődlegesen az Európai Gazdasági Térségen belül, Magyarországon tárolja.
Az 5. pontban megjelölt Google, Apple és – a bekapcsolt AI- vagy hangfunkció esetén – OpenAI szolgáltatásai az Egyesült Államokba irányuló adattovábbítással vagy onnan történő hozzáféréssel járhatnak. Az Ügyfél a 3. pont szerinti funkcióbekapcsolással utasítja a Szolgáltatót e továbbításra a funkcióhoz szükséges mértékben. A Szolgáltató ilyen továbbítást csak a GDPR V. fejezetében előírt feltételekkel végez, különösen az Európai Bizottság megfelelőségi határozata (ideértve az EU–USA Data Privacy Frameworket, ha az adott címzettre vonatkozik) vagy a Bizottság által elfogadott általános szerződési feltételek (SCC) alapján.
Tervezett, új EGT-n kívüli hozzáféréssel járó alvállalkozói változásról a Szolgáltató az 5. pont szerint előzetesen tájékoztat. Az Ügyfél által saját döntéséből külső rendszerhez kapcsolt integrációk adatáramlásáért az Ügyfél felel.
A Szolgáltató a hozzá közvetlenül érkező, az Ügyfél adataira vonatkozó érintetti kérelmet indokolatlan késedelem nélkül továbbítja az Ügyfélnek, és annak érdemében az Ügyfél dokumentált utasítása nélkül nem dönt. A rendelkezésére álló információk és a kezelés jellege alapján megfelelő technikai és szervezési intézkedésekkel segíti az Ügyfelet a GDPR III. fejezetében szereplő jogokkal kapcsolatos kérelmek megválaszolásában, ideértve a rendszerben elérhető listázási, export- és helyesbítési funkciók használatának támogatását.
Ugyancsak segítséget nyújt a GDPR 32–36. cikke szerinti biztonsági, incidensbejelentési, hatásvizsgálati és előzetes konzultációs kötelezettségek teljesítéséhez, a rendelkezésére álló információk erejéig. A hatósági megkeresésekről, ha a jog megengedi, tájékoztatja az Ügyfelet.
A Szolgáltató az Ügyfél adatait érintő adatvédelmi incidensről való tudomásszerzés után indokolatlan késedelem nélkül, lehetőség szerint 24 órán belül értesíti az Ügyfelet a szerződéses kapcsolattartási csatornán. Az első értesítés nem várhatja meg a teljes kivizsgálást. A Szolgáltató a rendelkezésre álló adatokat fokozatosan kiegészíti: az incidens jellegét, az érintettek és adatok kategóriáit és becsült számát, a valószínű következményeket, valamint a megtett vagy tervezett intézkedéseket közli. Az Üzemeltetőtől ugyanilyen gyors jelzést követel meg. Az érintettek és a felügyeleti hatóság felé fennálló bejelentési kötelezettség megítélése és teljesítése az Ügyfél feladata, amelyhez a Szolgáltató segítséget nyújt.
A Szolgáltató az Ügyfél rendelkezésére bocsátja a GDPR 28. cikke szerinti kötelezettségek teljesítésének igazolásához szükséges információkat, és lehetővé teszi, illetve elősegíti az Ügyfél vagy megbízott, megfelelő titoktartás alatt álló ellenőre által végzett auditot, beleértve szükség szerint a helyszíni vizsgálatot. A felek az ellenőrzés időpontját, terjedelmét és biztonsági feltételeit előzetesen egyeztetik; sürgős, indokolt incidens esetén soron kívül egyeztetnek. Az ellenőrzés nem sértheti más ügyfelek adatainak biztonságát és üzleti titkait.
A szolgáltatás megszűnésekor a Szolgáltató az Ügyfél választása szerint visszaadja vagy törli az Ügyfél nevében kezelt személyes adatokat, és törli a meglévő másolatokat, kivéve, ha uniós vagy tagállami jog további tárolást ír elő.
Az Ügyfél a jogviszony alatt és a megszűnés előtt a rendszerben elérhető exportfunkciókkal (különösen felhasználói lista, jelenléti és bérügyi kimutatás, munkalap, helynapló, dokumentum) letöltheti adatait. Ezek a funkciók modulonként és jogosultság szerint érhetők el. Az ettől eltérő, észszerű kiadási igényt – ideértve egy érintettre vonatkozó, a rendszerben nem egyben exportálható adatkört – az Ügyfél írásban jelzi; a Szolgáltató a kérést indokolatlan késedelem nélkül, a rendelkezésére álló adatok alapján teljesíti.
A Szolgáltató a törlési vagy kiadási kérést és a megszűnést követően indokolatlan késedelem nélkül végrehajtja. A mentésekben fennmaradó példányokat a rendes, dokumentált mentési ciklusban törli vagy felülírja, addig elkülönítetten védi és más célra nem használja. A felhasználói vagy céges inaktiválás önmagában nem jelenti az összes kapcsolódó napló, helyadat, fénykép és mentés azonnali végleges törlését; a teljes törlést a Szolgáltató a fenti kérés vagy a jogviszony megszűnése alapján végzi. A felek külön rögzített megőrzési vagy átadási rendje elsőbbséget élvez, ha megfelel a GDPR-nak.
A melléklet a szolgáltatási jogviszonnyal együtt lép hatályba és annak adatfeldolgozási részét képezi. Ellentmondás esetén az adatfeldolgozást érintő kérdésben e melléklet irányadó, a GDPR kötelező rendelkezéseinek elsőbbségével. A Szolgáltató lényeges adatfeldolgozási feltételt az Ügyféllel kötött megállapodásnak megfelelően módosíthat; a honlapon történő puszta közzététel önmagában nem minősül új adatfeldolgozási utasítás elfogadásának. A felek felelősségére a GDPR és az alkalmazandó jog, valamint a szolgáltatási szerződés jogszerű rendelkezései irányadók; e melléklet nem korlátozza az érintettek jogait.
