Adatfeldolgozási Megállapodás

Adatfeldolgozási Megállapodás

Amely létrejött egyrészről a	Xxxxxx Xxxxx Könyvtár
	székhely: 7622 Pécs, Universitas u. 2/A PIR azonosító: 772749 ÁHT azonosító: 747691 adószám: 15772749-2-02 statisztikai számjel: 1577249-9101-322-02 bankszámlaszáma: 10024003-00339540 alapító okirat száma: 07-7/27-6/2017 képviselő: Xxxxxxx Xxxxx igazgató1 mint „CSGYK”,
továbbá a	Pécsi Tudományegyetem
	székhely: 7622 Pécs, Vasvári P. u. 4. intézmény azonosító: FI 58544 statisztikai számjel: 19308681 8542 563 02 csoport azonosító szám: 17783941-5-02 adószám: 19308681-4-02 bankszámlaszám: 11731001-23135378 a szerződéssel érintett szervezeti egység: Egyetemi Könyvtár és Tudásközpont képviselő: Xxxxxxxxxx Xxxxx, főigazgató2 mint „PTE”,
	a közös adatkezelési tevékenységükre tekintettel, mint „Xxxxxxxxxxx”
másrészről a	………………………………………..
	cím:…………………………………. székhely: …………………………………. adószám: …………………………………. statisztikai számjel: …………………………………. képviselő: …………………………………. mint „Adatfeldolgozó”

a továbbiakban együttesen, mint „Felek” között az általános adatvédelmi rendelet 28. cikkének való megfelelés céljából az alulírt napon, az alábbi feltételek mellett.

1. A szerződés célja és hatálya

1. Tekintettel a CSGYK és az PTE, mint közös adatkezelők között létrejött PTE/117337-1/2022, és CSGYK/125-1/2022 iktatószámon kelt közös adatkezelők közötti megállapodásban foglaltakra, e megállapodás a Xxxxxx Xxxxx Könyvtár (Könyvtár) és a Települési Önkormányzat között, ………………………………….… tárgyú, CSGYK/…………..-……./20….. iktatószámú, 20…. év …… hó ……… napján kelt baranyai könyvtárellátási szolgáltatásra vonatkozó szerződés (továbbiakban „Szerződés”) teljesítéséhez szükséges személyes adatok feldolgozását, az Adatkezelők és az Adatfeldolgozó közötti jogviszonyt, a Felek jogait és kötelezettségeit szabályozza.

2. E megállapodás határozatlan időre jön létre azzal, hogy a Szerződés megszűnése egyben jelen megállapodást is automatikusan megszűnteti. Az e megállapodásban nem szabályozott kérdésekre, így különösen a megállapodás felmondási idejére és annak feltételeire a Szerződés rendelkezései irányadók.

3. A jelen megállapodásban használt fogalmak, valamint a nem, vagy nem kellő részletességgel szabályozott kérdések tekintetében a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról szóló 2016/679/EU rendelet (általános adatvédelmi rendelet), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.), és a Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) rendelkezései irányadók.

2. Az adatfeldolgozás tárgya, a feldolgozott adatok típusa és az érintettek köre

   1. Az Adatkezelők az általános adatvédelmi rendelet 28. cikkének megfelelően jelen szerződés megkötésével megbízza az adatfeldolgozót a könyvtári rendszerbe történő beiratkozás során megadott személyes adatok kezelésére (az „Adatvédelmi tájékoztató a Xxxxxx Xxxxx Könyvtár és a Pécsi Tudományegyetem Egyetemi Könyvtár és Tudásközpont könyvtárainak beiratkozott könyvtárhasználói számára” című dokumentum mindenkor hatályos és kihirdetett tartalmával összhangban).

2. Az érintettek köre: az Adatfeldolgozó által a CSGYK szolgáltatásainak igénybevétele által biztosított települési könyvtári szolgáltatást igénybe vevők.

3. A feldolgozott adatok típusa: érintettek családi és utóneve, születési neve, születési helye és ideje, anyja születési családi és utóneve, lakcíme, olvasói kontrollszáma, belépési nyilatkozata és annak azonosítója, levelezési címe, e-mail címe, értesítési beállításai, könyvtári hírlevélre való feliratkozása, preferált nyelve, telefonszáma, tagsági és szolgáltatási díjak mérsékléséhez szükséges jogosultságot igazoló egyéb adatai, regisztrációjának dátuma, kölcsönzési és egyéb könyvtári szolgáltatásokhoz, a szolgáltatások igénybevételéhez kötődő adatok és információk.

4. A megbízást az Adatfeldolgozó elfogadja.

3. Az adatfeldolgozás időtartama

   1. Az adatfeldolgozás a Szerződés megszűnéséig tart.

2. Az Adatfeldolgozó – jogszabály eltérő rendelkezése hiányában – az adatfeldolgozás befejezését követően az Adatkezelők döntésének megfelelően valamennyi személyes adatot (ideértve a meglévő másolatokat is) töröl, illetve azokat az Adatkezelőknek visszajuttatja.

4. Utasításadás

   1. Adatkezelők kijelentik és szavatolják, hogy a jelen megállapodásban átadott vagy hozzáférhetővé tett személyes adatok adatkezelőjének minősülnek, azokat jogszerűen, a vonatkozó adatvédelmi szabályoknak megfelelően kezelik.

2. Az Adatfeldolgozó – ha jogszabály másként nem rendelkezik – az adatfeldolgozást az Adatkezelők írásbeli utasításai szerint, valamint az integrált könyvtári rendszer használatához, és a könyvtári tevékenységek szakmai elvárásaihoz kapcsolódó oktatásokon elhangzottak alapján végzik. Írásbelinek kell tekinteni az elektronikus úton, így különösen elektronikus levelezés útján adott írásbeli utasítást is.

3. Az Adatkezelők személyes adatok kezelésével kapcsolatos döntési és utasítási kérdéseit kötelesek előzetesen egyeztetni. E megállapodás tekintetében általánosan a CSGYK Baranya Megyei Hálózati Főosztály vezetője jogosult az Adatkezelők előzetesen egyeztetett utasítási jogkör gyakorlására.

4. Az utasítás jogszerűségéért az Adatkezelők felelnek, az Adatfeldolgozó köteles azonban felhívni az Adatkezelők figyelmét, ha az utasítás jogszerűtlen, célszerűtlen vagy szakszerűtlen. Amennyiben az adatkezelői utasítás tekintetében az Adatkezelők előzetesen nem állapodtak meg az adatkezelői utasítás tartalmában vagy ha az utasítás tekintetében az adatkezelők között ellentét van, az adatkezelési utasítást adó Adatkezelő a felelős a jogszerűtlen, célszerűtlen és szakszerűtlen utasítás adásáért és következményeiért.

5. Kapcsolattartás

   1. E megállapodásban a kapcsolattartó személy(ek) az Adatkezelők részéről:

Név	E-mail	Telefonszám
Xxxxxxx Xxxxx	xxxxxxx.xxxxx@xxxxx.xx	(72) 501 690 / 28003 mellék

2. Az Adatkezelők részéről utasítás adásával, végrehajtására kijelölt személy:

Név	E-mail	Telefonszám
Xxxxxxx Xxxxx	xxxxxxx.xxxxx@xxxxx.xx	(72) 501 690 / 28003 mellék

3. Kapcsolattartó(k) az Adatfeldolgozó részéről:

Név	E-mail	Telefonszám
…………………………..	…………………………..	…………………………..

4. Az Adatkezelők adatvédelmi tisztviselői:

Adatkezelő	Név	E-mail	Telefonszám
CSGYK	xx. Xxxxx Xxxxxxxx	xxxxxxxxxxx@xxxxx.xx	(72) 501 690 / 28002 mellék
PTE	Dr. Xxxxx Xxxxxxx Xxxxxx	xxxxxxxxxxx@xxx.xx	+ 00 (00) 000 0000

5. Az Adatfeldolgozó adatvédelmi tisztviselője

Név	E-mail	Telefonszám
…………………………..	…………………………..	…………………………..

6. További adatfeldolgozó igénybevétele

   1. Az Adatfeldolgozó az Adatkezelők előzetesen írásban tett eseti vagy általános felhatalmazása nélkül további adatfeldolgozót nem vehet igénybe. E felhatalmazás megtételére az 4.2. és 4.3. pont rendelkezései irányadók.

2. Az Adatfeldolgozó köteles az Adatkezelőket előzetesen értesíteni, ha az általános felhatalmazásban meghatározott további adatfeldolgozó(k)hoz képest változás következik be. Az Adatkezelők az ezzel kapcsolatos esetleges kifogását 15 munkanapon belül köteles megtenni. Ennek hiányában a további adatfeldolgozóval/adatfeldolgozókkal kapcsolatos változásokhoz való hozzájárulást e megállapodás alapján megadottnak kell tekinteni.

3. Az Adatfeldolgozó a további adatfeldolgozó(k) igénybevétele esetén kötelese olyan írásbeli szerződést kötni, amely alapján a további adatfeldolgozó(ka)t legalább azok a kötelezettségek terhelik, és legfeljebb azok a jogok illetik, amelyek e szerződés alapján az Adatfeldolgozót terhelik, illetve illetik. Az előírt adatvédelmi kötelezettségek kiterjednek különösen:

1. a titoktartási kötelezettségre;

2. megfelelő technikai és szervezési intézkedések végrehajtására a vonatkozó jogszabályoknak való megfelelés és az adatbiztonsági követelmények érvényesítése érdekében;

3. az incidensek kezelése és az érintetti jogok biztosítása és a jogszabályi megfelelés érdekében történő együttműködési kötelezettségekre, ideértve az adatkezelő általi ellenőrzés jogát is.

4. Az Adatfeldolgozó a jogosan igénybe vett közreműködőért úgy felel, mintha a munkát maga végezte volna; közreműködő jogosulatlan igénybevétele esetén pedig, felelős minden olyan kárért is, amely anélkül nem következett volna be.

7. Titoktartási kötelezettség

   1. Adatfeldolgozó és az adatfeldolgozásban közreműködő bármely további személy (különösen a munkavállaló vagy további adatfeldolgozó) az általa feldolgozott személyes adatok tekintetében titoktartásra kötelezett. Ennek keretében az Adatfeldolgozó biztosítja, hogy ahhoz csak olyan személyek férhetnek hozzá, akiknek feladatkörük ellátásához ez feltétlen szükséges, és akik igazolható módon titoktartási nyilatkozatot tettek vagy egyébként jogszabály alapján titoktartásra kötelezettek.

2. Az Adatfeldolgozó a személyes adatokat harmadik személy számára megismerhetővé tenni, vagy továbbítani, illetve nyilvánosságra hozni semmilyen körülmény esetén nem jogosult, kivéve az Adatkezelők erre utasítja, vagy jogszabály kifejezetten erre kötelezi.

3. A titoktartási kötelezettség az Adatfeldolgozót és minden közreműködőt a szerződés teljesítése idejére, valamint annak megszűnése után is határidő nélkül terheli.

8. Adatbiztonság

   1. Az Adatfeldolgozó megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása érdekében, hogy a személyes adatok feldolgozása a vonatkozó jogszabályokkal összhangban történik, valamint – az általános adatvédelmi rendelet 32. cikke alapján – annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. Az adatbiztonság kiterjed különösen az adatok véletlen vagy jogellenes megsemmisítésével, elvesztésével, megváltoztatásával, jogosulatlan közlésével vagy az azokhoz való jogosulatlan hozzáféréssel (adatvédelmi incidenssel) szembeni védelemre.

2. A 8.1. pontban foglalt kötelezettség érdekében az Adatfeldolgozó

1. biztosítja a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;

2. biztosítja fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;

3. az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást vezet be.

9. Együttműködés az adatvédelmi incidensek kezelése érdekében

   1. Az Adatfeldolgozó vállalja, hogy adatvédelmi incidens esetén haladéktalanul, de legkésőbb az incidens észlelésétől számított 24 órán belül tájékoztatja az adatkezelőt. A tájékoztatás tartalmazza az adatvédelmi incidens körülményeit, így különösen:

1. az incidens jellegét, és – amennyiben lehetséges – az érintettek körét és (becsült) számát, valamint az érintett személyes adatok körét;

2. az incidensből eredő valószínűsíthető következményeket és az incidens súlyának (jelentéktelen, valószínűsíthetően kockázattal járó vagy valószínűsíthetően magas kockázattal járó incidens) besorolására vonatkozó javaslatot;

3. az incidens orvoslására adott szervezeti egységnél tett vagy tervezett, vagy más szervezeti egységek számára javasolt intézkedéseket, különösen azokat, amelyek az esetleges hátrányos következmények enyhítését célozzák;

4. azon intézkedéseket, amelyeket adott esetben az érintett megtehet az esetleges hátrányos következmények enyhítése érdekében;

5. az adatvédelmi felügyelőhatóság incidensbejelentő felületén közölni szükséges, az Adatfeldolgozónál rendelkezésre álló további adatokat, így különösen az incidenst megelőzően megtett adatbiztonsági intézkedéseket, valamint – amennyiben erre sor került – az érintettnek megadott tájékoztatás szövegét.

2. Amennyiben 24 órán belül nem áll rendelkezésre minden információ, a rendelkezésre álló lehető legtöbb információt kell továbbítani. A később rendelkezésre álló információkat az Adatfeldolgozó haladéktalanul közli az adatkezelővel.

3. Az értesítést írásban (ideértve az elektronikus utat is) a 5. pontban megjelölt kapcsolattartó(k)nak, valamint az Adatkezelők adatvédelmi tisztviselőinek kell megküldeni.

10. Együttműködés az érintetti jogok gyakorlásának biztosítása érdekében

    1. Az Adatfeldolgozó és az Adatkezelők együttműködnek az általános adatvédelmi rendelet III. fejezete szerinti érintetti jogok, az előzetes tájékoztatáshoz való jog, a hozzáféréshez való jog, a helyesbítéshez való jog, a tiltakozáshoz való jog, a törléshez való jog, az adatkezelés korlátozásához való jog és az adathordozhatósághoz való jog érvényesítése érdekében. Az együttműködés kiterjed a helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó, harmadik személy címzettek felé történő értesítési kötelezettségre is.

2. Az együttműködés keretében az Adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőket abban, hogy érintetti jogok érintett kérelme alapján történő gyakorlását biztosíthassák. A Felek haladéktalanul, de legkésőbb az érintett kérelmétől számított 5 munkanapon belül értesítik a többi felet az érintett kérelméről, amennyiben bármelyik fél önállóan nem képes az érintetti jogok biztosítására.

3. A Felek kölcsönösen tájékoztatják egymást minden olyan további tényről, információról, amely az érintetti jogok érvényesítéséhez szükségesek.

11. Együttműködés a jogszabályi megfelelés biztosítása érdekében

Az Adatfeldolgozó vállalja, hogy együttműködik és szükség esetén az Adatkezelők kérésére rendelkezésre bocsát minden olyan információt és dokumentumot, amely az Adatfeldolgozó vagy az Adatkezelők jogszabályi kötelezettségeinek betartásához, valamint a jogszabályi kötelezettségek betartásának igazolásához szükségesek. Ennek keretében különösen:

1. a 9. pontban foglaltakon túl is együttműködik az adatvédelmi incidensek feltárásában, a következmények enyhítésében és az értesítési kötelezettségnek való megfelelés érdekében;

2. szükség esetén lehetővé teszi az Adatkezelők vagy az általuk megbízott más szervezet által végzett ellenőrzéseket, auditokat, beleértve a helyszíni vizsgálatot is;

3. szükség esetén együttműködik az Adatkezelők tevékenységének hatósági vagy más erre feljogosított szerv általi ellenőrzése során;

4. szükség esetén együttműködik az adatvédelmi hatásvizsgálat és az ahhoz kapcsolódó esetleges előzetes konzultáció érdekében.

12. Felelősség

    1. Az Adatfeldolgozó felel az adatfeldolgozás által az Adatkezelőknek vagy harmadik személyeknek okozott károkért, amennyiben megsérti e szerződés rendelkezéseit, vagy az általános adatvédelmi rendeletben, az Infotv.-ben vagy más adatvédelmi jogszabályban meghatározott, kifejezetten az adatfeldolgozóra vonatkozó szabályokat, illetve ha az Adatkezelők jogszerű utasításait figyelmen kívül hagyja vagy azokkal ellentétesen jár el.

2. Az adatvédelmi szabályok megsértéséért harmadik személyek felé egyebekben Adatkezelők felelnek.

3. Ha mind az Adatkezelők, mind az Adatfeldolgozó érintett ugyanabban az adatkezelésben, és – az előzőek alapján – felelősséggel tartoznak az adatkezelés által okozott károkért, akkor az érintett tényleges kártérítésének biztosítása érdekében egyetemleges felelősséggel tartoznak.

13. A felek további megállapodásai

    1. A Felek rögzítik, hogy a jelen megállapodással összefüggő adatokat bizalmasan kezelik és üzleti titoknak tekintik, kivéve azon közérdekű és közérdekből nyilvános adatokat, amelyek megismerhetőségét vagy nyilvánosságra hozatalát törvény elrendeli.

2. Felek megállapodnak abban, hogy minden, a szerződés keretében egymásnak küldött értesítésnek írott (levél, e-mail) formában kell történnie. A Felek közti levelezés nyelve: magyar.

3. A Felek megállapodnak abban, hogy az egymáshoz intézett értesítéseiket akkor tekintik megfelelően teljesítettnek, amennyiben azt a másik Félnek a Szerződésben meghatározott értesítési címére írásban, postai út igénybevétele esetén tértivevény, elektronikus levél esetében pedig olvasási visszaigazolás igénybevételével küldték meg. A Felek megállapodnak abban, hogy egymás elektronikus levelei tartalmának megismeréséről a feladó fél által kért olvasási visszaigazolás elküldésével tájékoztatják egymást, valamint hogy postai út igénybevétele esetén amennyiben a tértivevényes küldemény „ismeretlen”, „ismeretlen helyre költözött”, „nem vette át”, „az átvételt megtagadta” , „kézbesítés akadályozott” jelzéssel érkezik vissza a feladóhoz, akkor már a kézbesítés megkísérlésének napján, ha pedig „nem kereste” jelzéssel, akkor a második kézbesítési kísérletet követő 5. munkanapon a küldemény kézbesítettnek minősül.”

4. A Felek megállapodnak abban, hogy a jelen megállapodással kapcsolatban közöttük felmerült vitás kérdéseket elsősorban együttműködésre feljogosított képviselőik útján, tárgyalásos úton rendezik. Ennek eredménytelensége esetére a per tárgya és értéke alapján hatáskörrel rendelkező, pécsi székhelyű rendes bíróság kizárólagos illetékességét kötik ki.

A Felek a jelen megállapodást – mely négy egymással egyező példányban készült, és amelyből egy példány az Adatfeldolgozót, egy példány a CSGYK-t, kettő példány pedig a PTE-t illet meg – elolvasták, értelmezték, és mint akaratukkal mindenben megegyezőt, jóváhagyólag írták alá.

Pécs, ….……………………….	………………., ……………………….
Az Adatkezelők részéről: ………………………………………………	Az Adatfeldolgozó részéről: ………………………………………………
Xxxxxx Xxxxx Könyvtár Xxxxxxx Xxxxx igazgató	Települési Önkormányzat megnevezése ………………… …………………
………………………………………………
Pécsi Tudományegyetem Xxxxxxxxxx Xxxxx főigazgató

Ellenjegyző a PTE részéről: …………………………………………………	Ellenjegyző(k) a Települési Önkormányzat megnevezése részéről3:
szakmai ellenjegyző

Ellenjegyző a CSGYK részéről:

…………………………………………………

adatvédelmi tisztviselő

1 A CSGYK mindenkori vezetője

2 Az Egyetemi Könyvtár és Tudásközpont mindenkori vezetője

3 Adott esetben amennyiben az Önkormányzat esetén szükséges.

6