GDPR-megfelelőség

Bevezetés

A Livappy OÜ (Lõkke 12, 10122 Tallinn, Észtország) elkötelezett az Európai Unió általános adatvédelmi rendeletének (GDPR) teljes körű betartása mellett valamennyi tevékenysége során. Ez a GDPR-megfelelőségi szabályzat egyszerre szolgál belső iránymutatásként és nyilvános nyilatkozatként arról, hogyan biztosítja a Livappy az adatvédelmet és a magánélet védelmét a GDPR-ral összhangban.

Ha bármilyen kérdése vagy észrevétele van a jelen szabályzattal vagy a Livappy adatvédelmi gyakorlatával kapcsolatban, kérjük, vegye fel velünk a kapcsolatot az alábbi címen: info@livappy.com.

Hatály

A jelen szabályzat a Livappy OÜ által az Európai Unióban tartózkodó személyek részére nyújtott szolgáltatások keretében végzett valamennyi személyesadat-kezelési tevékenységre kiterjed. Az EU-ban letelepedett vállalkozásként a Livappy a GDPR hatálya alá tartozik az EU-ban tartózkodó személyek személyes adatainak bármely kezelése tekintetében¹. A gyakorlatban ez azt jelenti, hogy minden olyan személyes információt, amelyet a Livappy gyűjt, felhasznál, tárol vagy egyéb módon kezel – legyen szó ügyfelekről, felhasználókról, munkavállalókról vagy partnerekről az EU egész területén – a GDPR követelményeivel összhangban kezelünk.

A Livappy elkötelezett amellett, hogy a GDPR elvei és szabályai irányadóak legyenek minden érintett adatkezelésre, függetlenül attól, hogy az érintett melyik uniós országban lakik. Elismerjük, hogy a GDPR védi az EU-ban tartózkodó személyek magánélethez fűződő alapvető jogait, és kötelezettségeket ró ránk minden olyan esetben, amikor uniós személyes adatokkal foglalkozunk².

A jelen szabályzat értelmében a Livappy GDPR hatálya alá tartozó tevékenységei közé tartozik (de nem kizárólagosan): személyes adatok gyűjtése felhasználóktól és ügyfelektől, ezen adatok tárolása vagy tárhelyen való elhelyezése (például felhőszervereinken), személyes adatok üzleti célú elemzése, valamint adatok megosztása felhatalmazott szolgáltatókkal. Mindezen tevékenységeket a GDPR-nak megfelelően, az Európai Gazdasági Térségen (EGT) belül, illetve – ha az adatok az EGT-n kívülre kerülnek – jóváhagyott adattovábbítási mechanizmusok alkalmazásával végezzük. Összefoglalva: ha a Livappy egy uniós személy személyes adatait kezeli, az az adatkezelés a jelen szabályzat és a GDPR-megfelelőség hatálya alá tartozik.

Átláthatóság

A Livappy érvényesíti az átláthatóság elvét azáltal, hogy egyértelműen tájékoztatja az érintetteket arról, hogyan gyűjtjük, használjuk fel és osztjuk meg személyes adataikat. A GDPR megköveteli a szervezetektől, hogy nyíltan és őszintén tájékoztassanak az általuk gyűjtött személyes adatokról és azok felhasználási céljairól³. Ennek megfelelően a Livappy minden személyesadat-gyűjtés alkalmával átfogó adatvédelmi tájékoztatást nyújt az érintetteknek. Ezek a tájékoztatók (például az Adatvédelmi szabályzatunk) minden előírt információt tartalmaznak, így többek között:

Az adatkezelő azonosítása:

Minden adatvédelmi tájékoztatásban megjelöljük a Livappy OÜ-t mint adatkezelőt, és megadjuk elérhetőségi adatainkat (cím és e-mail).

Adatgyűjtés és -felhasználás:

Elmagyarázzuk, milyen személyes adatokat gyűjtünk, valamint hogyan és miért gyűjtjük azokat. Ez magában foglalja az adatok kategóriáit (pl. név, elérhetőségi adatok, azonosító okmányok stb.), valamint a kezelésük céljait (például szolgáltatásaink nyújtása, személyazonosság-ellenőrzés, ügyfélszolgálat, marketing stb.).

Jogalapok:

Minden adatkezelési tevékenység esetében megjelöljük az azt megalapozó GDPR szerinti jogalapot – például azt, hogy a felhasználó hozzájárulására, szerződés teljesítésének szükségességére, jogi kötelezettségre vagy jogos érdekre támaszkodunk-e. Biztosítjuk, hogy semmilyen személyes adatot ne kezeljünk a GDPR 6. és 9. cikke szerinti érvényes jogalap nélkül.

Adatmegőrzés:

Tájékoztatjuk az érintetteket arról, hogy meddig őrizzük meg a személyes adatokat. A Livappy elkötelezett a korlátozott tárolhatóság elve mellett, ami azt jelenti, hogy a személyes adatokat csak addig őrizzük meg, ameddig az a megjelölt célok teljesítéséhez szükséges, vagy ameddig azt jogszabály előírja, ezt követően pedig az adatokat biztonságosan töröljük vagy anonimizáljuk.

Adatok címzettjei:

Feltárjuk mindazokat a harmadik feleket vagy partnereket, akik személyes adatokat kaphatnak. Ez magában foglalja annak jelzését, ha személyes adatokat osztunk meg szolgáltatóinkkal vagy adatfeldolgozóinkkal (például felhőtárhely-szolgáltatókkal, személyazonosság-ellenőrző szolgáltatásokkal, analitikai eszközökkel), és annak biztosítását, hogy az érintettek ismerjék a címzettek kategóriáit.

Jogok és kapcsolattartás:

Tájékoztatjuk az érintetteket a GDPR szerinti jogaikról (részletesen a következő szakaszban), és egyértelmű útmutatást adunk arról, hogyan gyakorolhatják ezeket a jogokat, ideértve a velünk való kapcsolatfelvételt az info@livappy.com címen. Adatvédelmi tájékoztatóinkban feltüntetjük a felügyeleti hatósághoz benyújtandó panasz jogát és az egyéb kötelezően előírt információkat is.

Minden adatvédelmi információt tömör, átlátható és könnyen hozzáférhető formában, a GDPR által megkövetelt világos nyelvezet használatával mutatunk be. A Livappy ezt a tájékoztatást az adatgyűjtés időpontjában adja meg (illetve, ha az adatok harmadik féltől származnak, a GDPR 13. és 14. cikke szerinti legkorábbi alkalommal). Elkötelezettek vagyunk amellett, hogy adatvédelmi tájékoztatóinkat frissítsük, valahányszor adatkezelési gyakorlatunk megváltozik, és minden lényeges változásról haladéktalanul tájékoztatást adunk a folyamatos átláthatóság érdekében. Lényegében a Livappy arra törekszik, hogy az érintettek soha ne legyenek bizonytalanságban afelől, hogyan kezelik az adataikat, ezzel erősítve a bizalmat és megfelelve a GDPR magas átláthatósági követelményeinek³.

Az érintettek jogai

A GDPR értelmében a természetes személyek (érintettek) széles körű jogokkal rendelkeznek személyes adataik tekintetében, és a Livappy teljes mértékben elkötelezett e jogok érvényesítésének lehetővé tétele és tiszteletben tartása mellett. Az érintetteket megillető jogok közé tartozik: a tájékoztatáshoz való jog, a hozzáférési jog, a helyesbítéshez való jog, a törléshez való jog („az elfeledtetéshez való jog”), az adatkezelés korlátozásához való jog, az adathordozhatósághoz való jog, a tiltakozáshoz való jog, valamint az a jog, hogy az érintett ne legyen alávetve kizárólag automatizált adatkezelésen (ideértve a profilalkotást is) alapuló döntésnek⁴. Mindezen jogokat elismerjük, és eljárásokat alakítottunk ki gyakorlásuk elősegítésére.

A jogok gyakorlása

A Livappy felhasználóbarát eljárásokkal rendelkezik ahhoz, hogy az érintettek gyakorolhassák GDPR szerinti jogaikat. Az érintettek bármikor kérelmet nyújthatnak be az info@livappy.com címen. Online űrlapokat vagy alkalmazáson belüli beállításokat is biztosítunk (ahol ez alkalmazható) a hozzáférésre, helyesbítésre, törlésre stb. irányuló kérelmek benyújtásának egyszerűsítése érdekében.

A kérelem beérkezését követően a Livappy:

Ellenőrzi a kérelmet:

Biztonsági okokból szükséges lehet a kérelmező személyazonosságának ellenőrzése annak érdekében, hogy személyes adatok ne kerüljenek illetéktelen személy tudomására. Ez további információk vagy hitelesítés kérését jelentheti, ha a kérelem olyan e-mail-címről vagy fiókból érkezik, amelyet még nem ismerünk.

Kellő időben válaszol:

Minden érintetti kérelemre indokolatlan késedelem nélkül, a beérkezéstől számított egy hónapon belül válaszolunk, a GDPR előírásainak megfelelően⁶. Ha a kérelem összetett, vagy nagy számban érkeznek kérelmek, ezt a határidőt legfeljebb további két hónappal meghosszabbíthatjuk, de a meghosszabbításról és annak okairól az eredeti egy hónapos határidőn belül tájékoztatjuk a kérelmezőt. Minden esetben egyértelműen közöljük a kérelem állapotát és eredményét.

Lehetőség szerint teljesíti a kérelmet:

Ha a kérelem megalapozott, és nem áll fenn jogszabályi kivétel, a Livappy teljesíti azt. Például másolatot adunk az általunk kezelt személyes adatokról (hozzáférési jog), kijavítjuk a pontatlanságokat (helyesbítés), töröljük az adatokat, ha ezt kérik, és ha ennek nincs elsőbbséget élvező jogszerű akadálya (törlés), vagy tiltakozás, illetve korlátozás iránti kérelem esetén megszüntetünk bizonyos adatkezeléseket, mindezt a GDPR feltételeivel összhangban. Adathordozhatóság kérése esetén a személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban bocsátjuk rendelkezésre.

Megindokolja az elutasítást vagy korlátozást:

Abban a ritka esetben, ha nem tudunk eleget tenni egy kérelemnek (például mert kivétel alkalmazandó, vagy mert a kérelem egyértelműen megalapozatlan vagy túlzó), tájékoztatjuk az érintettet a teljesítés elmaradásának konkrét okáról, valamint arról, hogy jogosult panaszt tenni a felügyeleti hatóságnál. A jogok gyakorlására irányuló kérelmek megválaszolásáért nem számítunk fel díjat, kivéve, ha a kérelem ismétlődő vagy túlzó (ebben az esetben bármely díj vagy elutasítás szigorúan a GDPR által megengedett módon történik).

Elősegíti és dokumentálja:

A Livappy belső eljárásai biztosítják, hogy munkatársaink képzésben részesüljenek az érintetti kérelmek felismerése és megfelelő kezelése terén⁷. Nyilvántartást vezetünk a kérelmekről és a válaszokról, hogy igazolhassuk megfelelésünket. Szükség esetén értesítjük az érintett külső adatfeldolgozókat vagy címzetteket is (például ha az adatokat megosztottuk, és azokat törölni vagy helyesbíteni kell, az előírásoknak megfelelően továbbítjuk a kérelmet ezeknek a feleknek).

A Livappy mélyen tiszteletben tartja az egyének személyes adataik feletti rendelkezését. Azzal, hogy érvényesítjük ezeket a jogokat, és egyszerűvé tesszük a folyamatot, bizonyítjuk elszámoltathatóságunkat és elkötelezettségünket a GDPR által az érintetteknek biztosított jogosultságok mellett. Csapatunk mindenkor készen áll arra, hogy segítse az érintetteket jogaik megértésében és gyakorlásában.

Beépített és alapértelmezett adatvédelem

A Livappy a beépített és alapértelmezett adatvédelmet alapelvként érvényesíti valamennyi termékében, szolgáltatásában és üzleti folyamatában. Ez azt jelenti, hogy már bármely projekt vagy rendszer létrejöttének legelső pillanatától beépítjük az adatvédelmi szempontokat, és gondoskodunk arról, hogy az adatvédelmi garanciák alapértelmezés szerint érvényesüljenek, ne pedig utólagos kiegészítésként⁸. Megközelítésünk az alábbi gyakorlatokat foglalja magában:

Beépítés a tervezési szakaszban:

Valahányszor személyes adatokat érintő szoftvert, alkalmazást vagy üzleti folyamatot fejlesztünk vagy frissítünk, proaktívan felmérjük az adatvédelmi kockázatokat, és már a tervezési szakaszban beépítjük a védelmi intézkedéseket. Például az adatgyűjtést a megjelölt célhoz szükséges minimumra korlátozzuk (adattakarékosság), és olyan rendszerarchitektúrát választunk, amely védi a személyes adatokat (például álnevesítési vagy aggregálási technikákat alkalmazunk, ahol ez indokolt).

Alapértelmezett adatvédelmi beállítások:

A Livappy szolgáltatásai adatvédelembarát alapbeállításokkal működnek. Ez azt jelenti, hogy – hacsak a felhasználó kifejezetten másként nem rendelkezik – csak a szükséges minimális személyes adatot gyűjtjük és használjuk fel. Minden olyan funkció, amely a magánélet védelmére hatással lehet, alapértelmezés szerint a leginkább védő beállításon áll⁹. A szolgáltatás működéséhez nem szükséges, hogy a felhasználók további adatgyűjtéshez járuljanak hozzá – az adatvédelem az alapértelmezett beállítás.

Adatvédelmi hatásvizsgálatok (DPIA):

Adatvédelmi hatásvizsgálatot végzünk minden olyan új vagy jelentősen megváltozott adatkezelési tevékenység esetében, amely magas kockázatot jelenthet a magánélet védelmére. A hatásvizsgálatok révén korán azonosítjuk a lehetséges adatvédelmi problémákat, és kezeljük azokat a tervezés módosításával vagy további garanciák bevezetésével. Ez a folyamat biztosítja a GDPR 35. cikkének való megfelelést, és bizonyítja, hogy az adatvédelmi kockázatokat előzetesen alaposan mérlegeljük.

Képzés és tudatosság:

Mérnöki és termékfejlesztő csapataink képzést kapnak a beépített adatvédelem elveiről. Olyan belső kultúrát alakítunk ki, amelyben a munkavállalók és a szerződéses partnerek tisztában vannak adatvédelmi kötelezettségeikkel, és a személyes adatok kezelése során következetesen adatvédelmi szemlélettel járnak el. Új funkciók bevezetése előtt adatvédelmi felülvizsgálatot vagy ellenőrzőlistát alkalmazunk annak biztosítására, hogy a megfelelőségi kontrollok a helyükön legyenek.

Folyamatos felülvizsgálat és fejlesztés:

A beépített adatvédelem nem egyszeri feladat. A Livappy folyamatosan felügyeli és felülvizsgálja rendszereit annak biztosítása érdekében, hogy azok hosszú távon is megfeleljenek az adatvédelmi követelményeknek. Rendszeres auditokat végzünk, frissítjük a biztonsági és adatvédelmi kontrollokat, alkalmazkodunk az új szabályozói iránymutatásokhoz, és beépítjük a felhasználói visszajelzéseket az adatvédelem javítása érdekében. Ha a technológiában vagy az adatfelhasználásban változás következik be, újra megvizsgáljuk terveinket, hogy alapértelmezés szerint fenntartsuk az adatvédelem legmagasabb szintjét.

Azzal, hogy az adatvédelmet működésünk szövetébe ágyazzuk, a Livappy nemcsak a GDPR beépített és alapértelmezett adatvédelemre vonatkozó követelményének felel meg, hanem bizalmat is épít a felhasználókkal. Célunk annak biztosítása, hogy az adatvédelem vállalatunk innovációjának és szolgáltatásainak szerves részét képezze – a személyes adatok alapoktól kezdve és minden esetben alapértelmezés szerinti védelmével.

Technikai és szervezési intézkedések

A Livappy átfogó technikai és szervezési biztonsági intézkedéseket vezetett be a személyes adatok védelme és a kockázatnak megfelelő szintű biztonság garantálása érdekében, a GDPR 32. cikkében foglaltak szerint¹¹. Elismerjük, hogy a személyes adatok védelme kiemelt fontosságú, és iparági bevált gyakorlatokat alkalmazunk az adatokhoz való jogosulatlan hozzáférés, azok nyilvánosságra hozatala, megváltoztatása vagy elvesztése megelőzésére. A legfontosabb intézkedések:

Titkosítás:

A Livappy által kezelt valamennyi személyes adatot erős titkosítás védi, mind az átvitel, mind a tárolás során. Naprakész titkosítási protokollokat (például TLS) használunk a hálózaton továbbított adatokhoz, és robusztus titkosítási algoritmusokkal titkosítjuk az adatbázisainkban és biztonsági mentéseinkben tárolt adatokat. Ez biztosítja, hogy még ha az adatokat el is fognák vagy jogosulatlanul hozzáférnének azokhoz, értelmezhetetlenek és biztonságban maradnának¹². Ahol megvalósítható, mechanizmusokat kínálunk a titkosítási kulcsok biztonságos kezelésére annak érdekében, hogy elkerüljük az egyetlen ponton bekövetkező kompromittálódást.

Hozzáférés-ellenőrzés:

A Livappy szigorú hozzáférés-ellenőrzési mechanizmusokat érvényesít annak biztosítására, hogy a személyes adatokhoz csak az arra jogosult munkatársak férjenek hozzá, a szükséges ismeret elve alapján. Szerepkör-alapú hozzáférés-ellenőrzést és felhasználói hitelesítési rendszereket vezettünk be (ideértve a többtényezős hitelesítést az érzékeny rendszerek esetében), hogy korlátozzuk, ki férhet hozzá az adatokhoz. A munkatársak személyes adatokhoz való hozzáférését a munkakörük alapján biztosítjuk, és a szerepkörök változásakor haladéktalanul visszavonjuk vagy módosítjuk. Minden munkavállalót vagy szerződéses partnert, aki személyes adatokhoz fér hozzá, titoktartási kötelezettség köt, és adatbiztonsági képzésben részesül.

Naplózás és felügyelet:

Részletes naplózást vezetünk a rendszerhozzáférésekről és az adatkezelési tevékenységekről. A személyes adatokat tartalmazó tárolókhoz való minden hozzáférést, valamint a személyes adatokkal végzett jelentős műveleteket biztonságos auditnaplókban rögzítjük. A Livappy felügyeleti eszközöket alkalmaz a naplók átvizsgálására és a szabálytalan vagy jogosulatlan tevékenységek észlelésére. Ez nemcsak a lehetséges biztonsági események megelőzését és azonosítását segíti, hanem auditálható nyilvántartást is biztosít az adathozzáférések és -módosítások elszámoltathatóságának igazolására.

Biztonságos infrastruktúra (AWS felhő):

Szolgáltatásainkat az Amazon Web Services (AWS) platformon üzemeltetjük, amely elismert felhőszolgáltató magas biztonsági szabványokkal és GDPR-konform gyakorlatokkal. Kihasználjuk az AWS biztonsági funkcióit és megfelelőségi tanúsítványait. Például európai adatközponti régiókat választunk az uniós személyes adatok tárolására, alkalmazzuk az AWS beépített tűzfalait és hálózati biztonsági megoldásait, továbbá rendszeresen telepítjük a szoftverjavításokat és -frissítéseket. Az AWS erős garanciákat és lehetőségeket kínál az adatvédelemre (ideértve az ügyfél ellenőrzését az adatok elhelyezése, titkosítása és a hozzáférés-kezelés felett)¹², amelyeket általános biztonsági helyzetünk megerősítésére használunk.

Hálózati és rendszerbiztonság:

A Livappy tűzfalakkal, behatolásérzékelő és -megelőző rendszerekkel (IDS/IPS), kártevővédelemmel és biztonságos hálózati architektúrával védi informatikai rendszereit. A kockázat csökkentése érdekében elkülönítjük a környezeteket (pl. fejlesztői, tesztelési, éles), és sérülékenységkezelési gyakorlatokat alkalmazunk, ideértve a rendszeres sérülékenységvizsgálatot és a behatolásteszteket. Az azonosított biztonsági problémákat haladéktalanul kezeljük.

Szervezeti szabályzatok és képzés:

Belső biztonsági és adatvédelmi szabályzatokat alakítottunk ki, amelyeket minden munkavállalónak és szerződéses partnernek követnie kell. Ezek a szabályzatok kiterjednek a személyes adatok megfelelő kezelésére, az eszközhasználatra, az incidensbejelentési protokollokra és egyebekre. Rendszeres képzési és tudatosságnövelő programokat tartunk, hogy csapatunk éber és naprakész maradjon a kiberbiztonsági és adatvédelmi bevált gyakorlatokat illetően. A személyes adatokhoz való hozzáférés e szabályzatok betartását feltételezi, és a megsértésük fegyelmi következményekkel járhat.

Rendszeres auditok és értékelések:

A Livappy időszakonként auditálja adatvédelmi intézkedéseit, és kockázatértékeléseket végez a folyamatos hatékonyság biztosítása érdekében. Rendszeresen felülvizsgáljuk a felhasználói hozzáférési jogosultságokat, teszteljük incidenskezelési terveinket, és független auditorokat is felkérhetünk biztonsági kontrolljaink értékelésére. A feltárt gyengeségeket vagy fejlesztési lehetőségeket haladéktalanul orvosoljuk. Ezek az auditok segítenek fenntartani a megfelelést, és folyamatosan igazodni a fejlődő biztonsági szabványokhoz és szabályozói iránymutatásokhoz.

Üzletmenet-folytonosság és biztonsági mentések:

Az adatvesztés vagy -megsemmisülés elleni védelem érdekében biztonságos adatmentési rutinokat tartunk fenn, és katasztrófa-helyreállítási tervekkel rendelkezünk. A kritikus személyes adatokról készült biztonsági mentések titkosítottak, és biztonságosan tároljuk azokat (ideértve a telephelyen kívüli vagy felhőalapú mentéseket), az adat-visszaállítást pedig időszakonként teszteljük. Bármely rendszerhiba vagy katasztrófa esetén a Livappy vissza tudja állítani a személyes adatokat a végleges elvesztés megelőzése érdekében, összhangban az integritásra és rendelkezésre állásra vonatkozó követelményekkel.

Álnevesítés és adattakarékosság:

Ahol indokolt, a Livappy álnevesítést alkalmaz a személyes adatokon – az azonosító mezőket mesterséges azonosítókkal helyettesíti –, hogy csökkentse a jogosulatlan hozzáférés esetén fennálló kockázatot. Emellett határozottan tartjuk magunkat az adattakarékosság elvéhez: csak azokat a személyes adatokat gyűjtjük és őrizzük meg, amelyek a megjelölt céljainkhoz szükségesek¹⁰. Az általunk tárolt adatok minimalizálásával, valamint az adatok lehetőség szerinti elkülönítésével vagy anonimizálásával korlátozzuk bármely lehetséges biztonsági probléma hatását.

Ezekkel és egyéb intézkedésekkel a Livappy biztosítja, hogy a személyes adatok mindenkor beépített és alapértelmezett módon védettek legyenek¹³. Folyamatosan értékeljük az új biztonsági technológiákat és gyakorlatokat védelmünk erősítése érdekében. Elkötelezettségünk, hogy olyan élvonalbeli biztonsági keretet tartsunk fenn, amely megfelel a GDPR adatbiztonsági követelményeinek vagy meghaladja azokat, ezáltal megóvva azt a bizalmat, amelyet felhasználóink és ügyfeleink helyeznek belénk.

Adatvédelmi tisztviselő (DPO)

A GDPR bizonyos szervezetek számára előírja adatvédelmi tisztviselő kinevezését, ha meghatározott feltételek teljesülnek, például ha a fő tevékenységek érzékeny adatok nagymértékű kezelését vagy természetes személyek nagymértékű, rendszeres és szisztematikus megfigyelését foglalják magukban¹⁹. A Livappy OÜ egyelőre nem nevezett ki adatvédelmi tisztviselőt, mivel adatkezelésünk jelenlegi mértéke és jellege alapján ez a GDPR 37. cikke szerint nem kötelező. Konkrétan a Livappy jelenlegi fő tevékenységei nem foglalják magukban a személyes adatok különleges kategóriáinak nagymértékű kezelését vagy természetes személyek nagymértékű, rendszeres megfigyelését, ami jogilag kötelezővé tenné a DPO kinevezését¹⁹. Felmértük kötelezettségeinket, és megállapítottuk, hogy jelenleg nem szükséges formális adatvédelmi tisztviselő.

A Livappy azonban folyamatosan figyelemmel kíséri ezt a követelményt. Elkötelezettek vagyunk amellett, hogy a jövőben szakképzett adatvédelmi tisztviselőt nevezzünk ki, ha működésünk vagy jogi kötelezettségeink úgy változnak, hogy a DPO szükségessé válik. Például ha a Livappy tevékenysége kiterjed különösen érzékeny személyes adatok nagymértékű kezelésére, vagy ha kiterjedt profilalkotási/megfigyelési tevékenységbe kezdünk, újraértékeljük a DPO szükségességét, és a GDPR előírásaival összhangban haladéktalanul kinevezést végzünk.

Jelenlegi adatvédelmi intézkedések

Formálisan kijelölt adatvédelmi tisztviselő hiányában is a Livappy gondoskodik arról, hogy az adatvédelmi felelősségek egyértelműen kiosztásra kerüljenek a szervezeten belül:

Külön adatvédelmi és megfelelőségi csapattal (vagy felelőssel) rendelkezünk, amely felügyeli a GDPR-megfelelést és tanácsot ad adatvédelmi kérdésekben. Ez a csapat figyelemmel kíséri adatvédelmi teljesítményünket, iránymutatást ad a GDPR szerinti kötelezettségekről, és belső szószólóként lép fel a felhasználók magánéletének védelme érdekében.
Elérhetőséget biztosítunk (info@livappy.com) minden adatvédelmi megkereséshez vagy kérelemhez, és ezeket a megkereséseket ugyanolyan gondossággal és figyelemmel kezeljük, mintha adatvédelmi tisztviselő működne. A beérkező megkereséseket vagy panaszokat körültekintően kezeljük, és szükség esetén a vezetőséghez vagy adatvédelemre szakosodott jogi tanácsadóhoz eszkaláljuk.
Szükség szerint nyílt kommunikációs csatornát tartunk fenn a felügyeleti hatóságokkal, és tájékozódunk a szabályozói iránymutatásokról a folyamatos megfelelés biztosítása érdekében.

A Livappy tisztában van azzal az értékkel, amelyet egy adatvédelmi tisztviselő nyújthat, még akkor is, ha nem szigorúan kötelező – például független felügyelettel és adatvédelmi szakértelemmel. Továbbra is figyelemmel kísérjük kötelezettségeinket, és nem fogunk habozni adatvédelmi tisztviselőt kijelölni, amikor a feltételek vagy növekedésünk ezt indokolttá teszik. Addig is elkötelezettségünk, hogy a DPO valamennyi lényeges funkcióját (megfelelés figyelemmel kísérése, tanácsadás a hatásvizsgálatokhoz, munkatársak képzése stb.) belső irányítási struktúráinkon keresztül lássuk el.

Adatvédelmi incidens bejelentése

Az erős védelem ellenére a Livappy elismeri, hogy biztonsági események előfordulhatnak. Adatvédelmi incidens (olyan biztonsági esemény, amely a személyes adatok véletlen vagy jogellenes megsemmisítéséhez, elvesztéséhez, megváltoztatásához, jogosulatlan közléséhez vagy az azokhoz való jogosulatlan hozzáféréshez vezet) esetén egyértelmű eljárással rendelkezünk az incidens kezelésére és a GDPR szerinti bejelentési kötelezettségek teljesítésére. Adatvédelmi incidenskezelési tervünk – a GDPR 33. és 34. cikkével összhangban – az alábbi lépéseket foglalja magában:

Azonnali észlelés és belső riasztás:

Olyan rendszerekkel és folyamatokkal rendelkezünk, amelyek észlelik a lehetséges adatvédelmi incidenseket és riasztást adnak. Munkavállalóink képzést kapnak a biztonsági események felismeréséről és eszkalálásáról. Amint incidens gyanúja merül fel vagy incidenst azonosítanak, értesítjük belső reagálócsapatunkat (amely informatikai, biztonsági és vezetői munkatársakból áll). Kijelölünk egy konkrét incidensfelelőst a vizsgálat felügyeletére.

Elszigetelés és értékelés:

A Livappy gyorsan elszigeteli az incidenst a további adatszivárgás megakadályozása érdekében (például az érintett rendszerek leválasztásával, a kompromittálódott hitelesítő adatok visszavonásával vagy bizonyos funkciók leállításával). Ezt követően kivizsgáljuk az eseményt annak megállapítása érdekében, hogy mi az incidens jellege és terjedelme, mely adatok és személyek érintettek, valamint milyen kockázatok fenyegetik az érintetteket. Az értékelés részeként felmérjük az esetlegesen bekövetkező kár valószínűségét és súlyosságát.

Hatóságok értesítése (72 óra):

Ha az incidens valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a Livappy indokolatlan késedelem nélkül, és ha lehetséges, 72 órán belül értesíti az illetékes felügyeleti hatóságot azt követően, hogy az incidensről tudomást szerzett¹⁴. Mivel a Livappy Észtországban működik, a fő felügyeleti hatóságunk valószínűleg az észt adatvédelmi felügyelet (Andmekaitse Inspektsioon), kivéve, ha az incidens több uniós ország érintettjeit érinti (ebben az esetben az egyablakos ügyintézési mechanizmus keretében egyeztetünk a fő hatósággal).

A hatóságoknak küldött incidensbejelentésünk minden előírt információt tartalmaz (az incidens jellege, az érintettek és az érintett adatrekordok kategóriái és hozzávetőleges száma, valószínű következmények, az incidens kezelésére tett vagy tervezett intézkedések stb.). Ha nem tudjuk az összes részletet 72 órán belül megadni, a megengedett módon szakaszosan szolgáltatjuk az információt, a késedelem indoklásával együtt^15,16.

Az érintettek értesítése:

Ha az incidens valószínűsíthetően magas kockázattal jár a természetes személyek személyes adataira vagy magánéletére nézve, az incidenst indokolatlan késedelem nélkül közöljük az érintettekkel is¹⁷. Ez a közlés világos és közérthető nyelven történik, ismerteti az incidens jellegét, és ajánlásokat fogalmaz meg az érintettek számára a lehetséges hátrányos következmények mérséklésére (például jelszóváltoztatást javasolhatunk, vagy fokozott figyelmet az adathalászattal szemben, ha hitelesítő adatok kerültek ki). Nem értesítjük az érintetteket, ha hatékony technikai intézkedések (például titkosított adatok) vagy egyéb tényezők miatt az érintett adatok értelmezhetetlenek, vagy a kockázat alacsony, kivéve, ha a hatóságok erre utasítanak minket.

Orvoslás és jövőbeli megelőzés:

A Livappy haladéktalanul lépéseket tesz az incidens okának orvoslására. Ez magában foglalhatja szoftversérülékenységek javítását, a hozzáférés-ellenőrzés szigorítását, a titkosítás javítását vagy egyéb korrekciós intézkedéseket annak biztosítására, hogy hasonló esemény ne ismétlődhessen meg. Dokumentáljuk a levont tanulságokat is, és ennek megfelelően frissítjük biztonsági szabályzatainkat és képzéseinket. A felső vezetést minden incidensről és az orvoslás előrehaladásáról tájékoztatjuk, ezzel biztosítva az elszámoltathatóságot és a szükséges fejlesztések támogatását.

Dokumentáció:

A GDPR 33. cikkének (5) bekezdésével összhangban a Livappy minden adatvédelmi incidenst dokumentál, függetlenül attól, hogy bejelentésköteles-e. Ez a belső incidensnyilvántartás rögzíti az incidenshez kapcsolódó tényeket, annak hatásait és a megtett helyreállító intézkedéseket. Az ilyen dokumentáció lehetővé teszi a felügyeleti hatóságok számára megfelelésünk ellenőrzését, és segít folyamatosan finomítani biztonsági incidenskezelésünket. Az elszámoltathatósági kötelezettségeink részeként még a kisebb események esetében is nyilvántartást vezetünk¹⁸.

E strukturált megközelítés követésével a Livappy biztosítja, hogy minden adatvédelmi incidenst gyorsan és átláthatóan kezeljünk, azzal a végső céllal, hogy megvédjük felhasználóink adatait és jogait. A napi 24 órás, heti 7 napos incidenskezelési készenlétünk és a 72 órás bejelentési határidő iránti elkötelezettségünk azt tükrözi, milyen komolyan vesszük a személyes adatok biztonságát és GDPR szerinti kötelezettségeinket.

Adatfeldolgozói szerződések

A Livappy bizonyos megbízható külső szolgáltatókra (adatfeldolgozókra) támaszkodik szolgáltatásai támogatásához – például felhőinfrastruktúra-szolgáltatókra, személyazonosság-ellenőrző szolgáltatásokra és analitikai platformokra. A GDPR követelményeivel összhangban a Livappy adatfeldolgozói szerződést (DPA) köt minden olyan külső adatfeldolgozóval, amely a nevünkben személyes adatokat kezel²⁰. Ezek a szerződések formális megállapodások, amelyek biztosítják, hogy minden adatfeldolgozó elkötelezett a GDPR-megfelelés mellett, és ugyanolyan magas szinten védi a személyes adatokat, mint mi. A DPA-kkal kapcsolatos megközelítésünk főbb elemei:

Kötelező DPA minden adatfeldolgozóval:

Szabályzatunk szerint semmilyen személyes adatot nem osztunk meg külső adatfeldolgozóval, és nem bízunk rá adatot, ha nincs érvényben GDPR-konform adatfeldolgozói szerződés. Ez magában foglalja az olyan főbb partnereket, mint az Amazon Web Services (AWS) a felhőalapú tárhely tekintetében, a Veriff a személyazonosság-ellenőrző szolgáltatások terén, a Google a felhőalapú eszközök vagy analitika vonatkozásában, valamint bármely más adatkezelést végző beszállítót vagy szerződéses partnert. Ezek az adatfeldolgozók szerződésben vállalták, hogy betartják a GDPR követelményeit, az adatokat kizárólag a Livappy dokumentált utasításai alapján kezelik, és megfelelő biztonsági intézkedéseket vezetnek be.

Biztosítékok és megfelelő garanciák:

A GDPR 28. cikkével és (81) preambulumbekezdésével összhangban a Livappy kizárólag olyan adatfeldolgozókat vesz igénybe, amelyek megfelelő garanciákat nyújtanak a személyes adatok védelmére való képességükre vonatkozóan²¹. Adatfeldolgozói szerződéseink előírják, hogy az adatfeldolgozóknak minden megfelelő technikai és szervezési intézkedést be kell vezetniük az adatok védelme érdekében (pl. titkosítás, hozzáférés-ellenőrzés, titoktartási kötelezettségek), és szükség szerint segíteniük kell a Livappyt az érintetti kérelmek teljesítésében és az incidensbejelentésekben²². Az új beszállítókat gondosan megvizsgáljuk adatvédelmi gyakorlatuk és megítélésük szempontjából, mielőtt adatfeldolgozóként bevonnánk őket.

A DPA főbb feltételei:

Minden Livappy által aláírt adatfeldolgozói szerződés tartalmazza a GDPR 28. cikke (3) bekezdése szerinti valamennyi kötelező kikötést. Ezek közé tartozik többek között: az adatfeldolgozó a személyes adatokat kizárólag a Livappy utasításai alapján kezeli; az adatokat kezelő személyzetet titoktartási kötelezettség köti; az adatfeldolgozó segít a biztonsági követelményeknek való megfelelés biztosításában, valamint az érintetti jogok és a hatásvizsgálatok terén; további adatfeldolgozó nem vehető igénybe engedélyünk nélkül, és ugyanazok a kötelezettségek kötik; az adatfeldolgozó a megbízás végén visszaszolgáltatja vagy törli a személyes adatokat; továbbá az adatfeldolgozónak alá kell vetnie magát auditoknak, és bizonyítékot kell szolgáltatnia a megfelelésről²². Ezek a szerződéses feltételek biztosítékot nyújtanak a Livappynak és felhasználóinknak arra, hogy a személyes adatok akkor is védettek maradnak, amikor harmadik felek kezelik azokat.

Ellenőrzés és kikényszerítés:

A Livappy nyilvántartást vezet valamennyi jelenlegi adatfeldolgozóról és a velük kötött megállapodások állapotáról. Figyelemmel kísérjük adatfeldolgozóink megfelelését – például biztonsági tanúsítványaik, auditjelentéseik vagy magatartási kódexeknek való megfelelésük felülvizsgálatával. Ha egy adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, haladéktalanul intézkedünk, ami magában foglalhatja az orvoslás megkövetelését, az adatkezelés felfüggesztését vagy akár a szerződés megszüntetését. Emellett adatfeldolgozói szerződéseink szerint az adatfeldolgozók felelősséggel tartoznak az adatok védelméért, azaz kártalanítaniuk kell a Livappyt (és végső soron felhasználóinkat) minden olyan kárért, amelyet a GDPR követelményeinek meg nem felelő adatkezelésük okoz.

További adatfeldolgozók:

Amennyiben adatfeldolgozóink további alvállalkozókat vonnak be az adatkezelésbe (például ha az AWS alvállalkozókat vesz igénybe az adatközpontok üzemeltetéséhez), adatfeldolgozói szerződéseink értelmében e további adatfeldolgozókra ugyanazok a követelmények vonatkoznak. A Livappy szerződései biztosítják, hogy a GDPR-nak megfelelő kötelezettségek láncolata az adatkezelés minden szintjén végigvonuljon.

Megjegyzés: A Livappy adatfeldolgozói szerződést (DPA) kötött a Google Ireland Limiteddel a Google Workspace szolgáltatások (e-mail, naptár, felhő) nyújtására. A Google a Livappy nevében eljáró adatfeldolgozóként jár el, és minden adatkezelés megfelel a GDPR-nak, ideértve az általános szerződési feltételeket (SCC) is azokban az esetekben, amikor az adatok az EU-n kívülre kerülhetnek.

A szigorú adatfeldolgozói szerződések fenntartásával a Livappy teljesíti adatkezelőként fennálló kötelezettségét, hogy kizárólag olyan adatfeldolgozókkal működjön együtt, amelyek garantálni tudják a személyes adatok védelmét²³. Ez a szerződéses gondosság GDPR-megfelelőségi programunk alapvető része, és biztosítékot nyújt ügyfeleinknek és felhasználóinknak arról, hogy adataikat nemcsak a Livappy, hanem a szolgáltatásaink nyújtásában részt vevő bármely partner vagy beszállító is biztonságosan kezeli. Rendszeresen felülvizsgáljuk és frissítjük adatfeldolgozói szerződéseinket a jogi fejleményekkel összhangban, és gondoskodunk arról, hogy minden új együttműködés szilárd adatvédelmi szerződéssel induljon.

Kapcsolattartási adatok

Kapcsolattartási e-mail: info@livappy.com

Hatálybalépés napja: 2025. szeptember 10.

Üzemeltető: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Észtország
Nyilvántartásba vette a Tartu Megyei Bíróság cégnyilvántartási osztálya, cégjegyzéklap száma: 1

Hatálybalépés és felülvizsgálat

A jelen GDPR-megfelelőségi szabályzat a közzététel napjától hatályos, és azt a Livappy vezetősége hagyta jóvá. A szabályzatot legalább évente, továbbá szükség szerint felülvizsgáljuk, hogy tükrözze gyakorlatunk vagy a jogszabályok bármely változását. A frissítéseket közzétesszük annak biztosítása érdekében, hogy a munkavállalók, ügyfelek és partnerek tájékozottak maradjanak arról, hogyan tartja fenn a Livappy a GDPR-megfelelés iránti elkötelezettségét.

Hivatkozások

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/