GDPR-megfelelés

1. Elkötelezettségünk a GDPR iránt

Az UnnaData az adatvédelmet állította működése középpontjába. Mesterséges intelligenciával működő GDPR-megfelelési platformként tudjuk, hogy a bizalom a legértékesebb vagyonunk. Teljes mértékben elkötelezettek vagyunk az (EU) 2016/679 általános adatvédelmi rendelet („GDPR”) betartása mellett, és biztosítjuk, hogy ügyfeleink adatait a lehető legnagyobb gondossággal és átláthatósággal kezeljük.

2. Az általunk követett GDPR-elvek

Az UnnaData adatkezelési tevékenysége megfelel a GDPR 5. cikkében meghatározott hét alapelvnek:

Elv	Hogyan valósítjuk meg
Jogszerűség, tisztességes eljárás és átláthatóság	Egyértelmű adatvédelmi tájékoztató, kifejezett hozzájárulási mechanizmusok, átlátható adatkezelési gyakorlat
Célhoz kötöttség	Az adatokat kizárólag meghatározott, kifejezett és jogszerű célból gyűjtjük
Adattakarékosság	Csak a Szolgáltatások nyújtásához szükséges minimális mennyiségű adatot gyűjtjük
Pontosság	A felhasználók bármikor frissíthetik adataikat; rendszeres adatminőségi felülvizsgálatok
Korlátozott tárolhatóság	Meghatározott megőrzési idők minden adatkategóriához; automatikus törlési szabályzatok
Integritás & bizalmas jelleg	Titkosítás, hozzáférés-vezérlés, biztonsági felügyelet és incidenskezelés
Elszámoltathatóság	Dokumentált szabályzatok, DPIA-folyamatok, adatvédelmi tisztviselő kinevezése, rendszeres auditok

3. Az adatkezelés jogalapja

Személyes adatokat a GDPR 6. cikk (1) bekezdésében meghatározott következő jogalapokon kezelünk:

• Szerződés teljesítése (6. cikk (1) bekezdés b) pont): A Szolgáltatások Általános Szerződési Feltételeinkben foglaltak szerinti nyújtásához szükséges adatkezelés, ideértve a fiókkezelést, a dokumentumtárolást és a mesterséges intelligenciával támogatott megfelelőségi elemzést.
• Jogos érdek (6. cikk (1) bekezdés f) pont): Biztonsági felügyelet, csalás megelőzése, szolgáltatásfejlesztés és analitika. Érdekmérlegelési teszteket végzünk annak biztosítására, hogy érdekeink ne élvezzenek elsőbbséget az érintettek jogaival szemben.
• Hozzájárulás (6. cikk (1) bekezdés a) pont): Marketingkommunikáció, opcionális analitikai sütik és egyéb nem alapvető adatkezelés. A hozzájárulás bármikor visszavonható.
• Jogi kötelezettség teljesítése (6. cikk (1) bekezdés c) pont): Adóügyi nyilvántartások megőrzése, hatósági jelentéstétel és a hatóságok jogszerű adathozzáférési kérelmeinek megválaszolása.

4. Az érintettek jogai

Teljes mértékben támogatjuk az érintettek GDPR szerinti valamennyi jogát. Ezeket a jogokat bármikor gyakorolhatja adatvédelmi tisztviselőnk megkeresésével:

• Hozzáféréshez való jog (15. cikk): Az Önről tárolt összes személyes adat teljes másolatának kérése.
• Helyesbítéshez való jog (16. cikk): A pontatlan vagy hiányos személyes adatok kijavításának kérése.
• Törléshez való jog (17. cikk): Személyes adatai törlésének kérése, a jogszabályi megőrzési kötelezettségek figyelembevételével.
• Az adatkezelés korlátozásához való jog (18. cikk): Az adatkezelés korlátozásának kérése bizonyos körülmények között.
• Adathordozhatósághoz való jog (20. cikk): Adatai tagolt, széles körben használt, géppel olvasható formátumban történő megkapása.
• Tiltakozáshoz való jog (21. cikk): Tiltakozás a jogos érdeken alapuló vagy közvetlen üzletszerzési célú adatkezelés ellen.
• Automatizált döntéshozatallal kapcsolatos jogok (22. cikk): Nem hozunk kizárólag automatizált adatkezelésen alapuló, joghatással járó döntéseket. Mesterséges intelligenciánk emberi felülvizsgálatra szánt javaslatokat ad.

Válaszidő: Az érintettek kérelmeire 30 napon belül válaszolunk. Összetett esetekben ez a határidő értesítés mellett további 60 nappal meghosszabbítható.

Felügyeleti hatóság: Önnek joga van panaszt benyújtani annak az EU-tagállamnak az adatvédelmi hatóságához, ahol lakóhelye vagy munkahelye található, vagy ahol az állítólagos jogsértés történt. Az UnnaData OÜ Észtországban letelepedett vállalkozás, ahol az illetékes felügyeleti hatóság az Andmekaitse Inspektsioon (az észt adatvédelmi hatóság).

5. Technikai & szervezési intézkedések

A kockázatnak megfelelő biztonsági szint biztosítása érdekében átfogó technikai és szervezési intézkedéseket alkalmazunk (GDPR 32. cikk):

5.1 Technikai intézkedések

• Titkosítás: AES-256 a nyugalmi állapotú adatokhoz, TLS 1.3 az átvitel alatt álló adatokhoz
• Hitelesítés: E-mail/jelszó JWT tokenekkel; rövid élettartamú hozzáférési tokenek (30 perc) és hosszabb élettartamú frissítő tokenek (7 nap)
• Hozzáférés-vezérlés: Szerepkör-alapú hozzáférés-vezérlés (RBAC) szervezeti adminisztrátor, adminisztrátor és tag szerepkörökkel
• Hálózati biztonság: VPC-elkülönítés, biztonsági csoportok, titkosított gRPC-kommunikáció
• Naplózás: Az összes API-kérés, hitelesítési esemény és adathozzáférés átfogó naplózása
• Biztonsági mentés & helyreállítás: Rendszeres titkosított biztonsági mentések tesztelt helyreállítási eljárásokkal

5.2 Szervezési intézkedések

• Beépített adatvédelem (privacy by design): Az adatvédelmi szempontok már a tervezési szakasztól kezdve minden funkcióba beépülnek
• Alapértelmezett adatvédelem (privacy by default): Alapértelmezés szerint a legszigorúbb adatvédelmi beállítások érvényesülnek
• Munkavállalói képzés: Rendszeres GDPR-tudatossági és biztonsági képzés minden csapattag számára
• Hozzáférési szabályzatok: A legkisebb jogosultság elve minden belső rendszerben érvényesül
• Beszállítói értékelés: Valamennyi harmadik fél szállító biztonsági és adatvédelmi értékelése
• Incidenskezelés: Dokumentált incidenskezelési terv meghatározott szerepkörökkel és eljárásokkal

6. Adatkezelés

6.1 Az UnnaData mint adatkezelő

Amikor Ön fiókot hoz létre és használja platformunkat, az UnnaData adatkezelőként jár el az Ön személyes fiókadatai (név, e-mail cím, hitelesítési adatok, használati adatok) tekintetében.

6.2 Az UnnaData mint adatfeldolgozó

Amikor megfelelőségi dokumentumokat és adatokat tölt fel platformunkra, az UnnaData az Ön nevében adatfeldolgozóként jár el. Ebben a minőségében:

• Adatait kizárólag az Ön utasításai szerint kezeljük (a Szolgáltatási Feltételeinkben és az adatfeldolgozási szerződésben meghatározottak szerint)
• Megfelelő technikai és szervezési biztonsági intézkedéseket alkalmazunk
• Adatait nem osztjuk meg harmadik felekkel, kivéve, ha ez a Szolgáltatások nyújtásához szükséges, és ezt adatvédelmi tájékoztatónk közzéteszi
• Segítjük Önt az érintetti kérelmek teljesítésében
• Szerződésünk megszűnésekor töröljük vagy visszaszolgáltatjuk adatait

6.3 Adatfeldolgozási szerződés

A GDPR 28. cikkének megfelelő, átfogó adatfeldolgozási szerződést (DPA) kínálunk. Az Enterprise ügyfelek testre szabott DPA-t kérhetnek. Részletekért forduljon hozzánk a legal@unnadata.com címen.

7. Alfeldolgozók

Naprakész listát vezetünk azokról az alfeldolgozókról, akik a nevünkben személyes adatokat kezelnek:

Alfeldolgozó	Cél	Helyszín	Garanciák
Amazon Web Services (AWS)	Felhőinfrastruktúra, tárhelyszolgáltatás, tárolás	EU (Írország, eu-west-1)	DPA, SOC 2, ISO 27001
Anthropic	Mesterséges intelligencia nyelvi modell (Claude) megfelelőségi elemzéshez	Egyesült Államok	DPA, általános szerződési feltételek (SCC), nulla adatmegőrzési szabályzat
Stripe	Fizetésfeldolgozás	Egyesült Államok / EU	DPA, általános szerződési feltételek (SCC), PCI DSS 1. szint

Az alfeldolgozói listánk bármely módosításáról legalább 30 nappal előre értesítjük ügyfeleinket, lehetőséget biztosítva a tiltakozásra.

8. Nemzetközi adattovábbítás

Adatait elsősorban az Európai Unióban (AWS eu-west-1, Írország) tároljuk és kezeljük. Amennyiben az adatokat az EGT-n kívülre kell továbbítani (például az Anthropic részére, mesterséges intelligencia általi feldolgozás céljából), gondoskodunk a megfelelő garanciák meglétéről:

• Általános szerződési feltételek (SCC): Az Európai Bizottság (EU) 2021/914 végrehajtási határozata szerinti, EU által jóváhagyott szerződési feltételek
• Adattovábbítási hatásvizsgálatok: Felmérjük a fogadó országok adatvédelmi jogszabályait
• Kiegészítő intézkedések: További technikai és szervezési intézkedések, például titkosítás, álnevesítés és hozzáférés-vezérlés
• Adattakarékosság: A mesterséges intelligencia általi feldolgozáshoz csak a szükséges minimális adatmennyiséget továbbítjuk

9. Incidensbejelentés

Személyes adatokat érintő incidens esetén szigorú bejelentési protokollt követünk a GDPR 33. és 34. cikkével összhangban:

• Belső észlelés: Folyamatos biztonsági felügyelet és automatizált riasztási rendszerek
• 72 órás hatósági bejelentés: Az érintett felügyeleti hatóságot az incidensről való tudomásszerzést követő 72 órán belül értesítjük
• Ügyfelek tájékoztatása: Az érintett ügyfeleket indokolatlan késedelem nélkül tájékoztatjuk, ideértve az incidens részleteit, valószínű következményeit és a megtett intézkedéseket
• Érintettek tájékoztatása: Ha az incidens valószínűsíthetően magas kockázattal jár az érintett személyekre nézve, közvetlenül tájékoztatjuk az érintett személyeket
• Dokumentáció: Minden incidenst dokumentálunk a tényekkel, hatásokkal és a megtett korrekciós intézkedésekkel együtt

10. Adatvédelmi tisztviselő

Az UnnaData a GDPR 37. cikkével összhangban adatvédelmi tisztviselőt (DPO) nevezett ki. Adatvédelmi tisztviselőnk felelős:

• a GDPR-nak és a kapcsolódó adatvédelmi jogszabályoknak való megfelelés nyomon követéséért
• az adatvédelmi hatásvizsgálatokkal kapcsolatos tanácsadásért
• az érintettek és a felügyeleti hatóságok kapcsolattartói szerepének ellátásáért
• a munkatársak adatvédelmi kötelezettségekkel kapcsolatos képzéséért

Adatvédelmi tisztviselőnket elérheti a következő címen: dpo@unnadata.com

11. Adatvédelmi hatásvizsgálatok

A GDPR 35. cikke által előírtak szerint adatvédelmi hatásvizsgálatokat (DPIA) végzünk azon adatkezelési tevékenységekre, amelyek valószínűsíthetően magas kockázattal járnak az érintettekre nézve. Ez a következőket foglalja magában:

• Mesterséges intelligenciával támogatott dokumentumelemzési és csevegési funkciók
• Megfelelőségi dokumentumok nagy léptékű kezelése
• Személyes adatokat érintő új funkciók fejlesztése
• Az alfeldolgozók vagy az adattovábbítási mechanizmusok módosítása

A DPIA-kat rendszeresen felülvizsgáljuk és frissítjük, és a folyamat során folyamatosan konzultálunk adatvédelmi tisztviselőnkkel.

12. Kapcsolat

GDPR-megfeleléssel kapcsolatos kérdések esetén, vagy adatvédelmi jogai gyakorlásához:

• Adatvédelmi tisztviselő: dpo@unnadata.com
• Adatvédelmi kérdések: privacy@unnadata.com
• Jogi csapat: legal@unnadata.com

Személyes adatai kezeléséről bővebb tájékoztatást adatvédelmi tájékoztatónkban és süti-tájékoztatónkban talál.