Adatfeldolgozási szerződés (AVV) — Magyarországi változat

1. Tárgy és időtartam

(1) Az adatfeldolgozó a NymTime szoftvert Software-as-a-Service formában bocsátja az adatkezelő rendelkezésére: munkaidő-beosztás, munkaidő-rögzítés a munkavállaló okostelefonjával NFC-címkéknél (helyettesítő megoldásként helyszín-ellenőrzéssel igazolt, NFC nélküli, helyszín alapú rögzítés), helyszín-ellenőrzés az időbejegyzés pillanatában, a munkaközi szünetek rögzítése az adatkezelő által választott szabály szerint, távollétek, elérhetőségi adatok, műszakcsere, a vállalkozás közleményei (hirdetőtábla), időegyenleg, az órák kiértékelése, exportálás a bérszámfejtéshez, valamint opcionálisan dokumentumtárolás — ideértve az érintett munkavállaló általi megtekintést is —, bérdokumentumok, telephelyenkénti forgalmi adatok és belső bérköltségek. Ennek során az adatfeldolgozó az adatkezelő megbízásából személyes adatokat kezel.

(2) E megállapodás időtartama a felhasználási szerződéshez (ÁSZF, nymtime.com/agb) igazodik. A megállapodás a felhasználási szerződéssel együtt szűnik meg; a 10. pont azon túl is alkalmazandó, amíg valamennyi adatot vissza nem adtak vagy nem töröltek.

(3) Az adatkezelő adatait kizárólag az Európai Unión belüli adatközpontokban tároljuk. Az átvitel során az adatok áthaladnak a Cloudflare fordított proxyján (reverse proxy); az e-maileket és a push-értesítéseket a 2. mellékletben megnevezett szolgáltatásokon keresztül küldjük. Az ennek során megvalósuló, harmadik országokba irányuló adattovábbításokat és azok alapját (a GDPR 45. cikke és 46. cikke (2) bekezdésének c) pontja) a 2. melléklet tartalmazza.

(4) Ha az Ügyfél az ÁSZF § 12 (5) bekezdése alapján a NymTime-ot a vele kapcsolatban álló vállalkozásokkal is használtatja, egy telephely munkavállalóinak személyes adatai tekintetében az a vállalkozás az adatkezelő, amelyet a Back Office-ban e telephely munkáltatójaként rögzítettek (4. melléklet). Az Ügyfél ezt a megállapodást saját nevében és egyúttal a 4. mellékletben megnevezett valamennyi kapcsolt vállalkozás nevében és képviseletében, az általa adott meghatalmazás alapján köti meg; ezáltal e vállalkozások mindegyike a saját telephelyei adatai tekintetében adatkezelőnek minősül e megállapodás és a GDPR 28. cikke értelmében. Az Ügyfél szavatolja, hogy a meghatalmazást a rögzítést megelőzően megkapta, és azt az adatfeldolgozó kérésére igazolja. Az e megállapodás szerinti utasításokat (3. pont), közléseket és bejelentéseket az Ügyfél valamennyi kapcsolt vállalkozás nevében összevontan adja meg és fogadja; a 11. pont szerinti jogokat helyettük gyakorolja, kivéve, ha kógens jogszabály a kapcsolt vállalkozás közvetlen eljárását írja elő. Valamennyi kapcsolt vállalkozás továbbra is felel munkavállalói adatai kezelésének jogszerűségéért (a GDPR 5. cikkének (2) bekezdése és 24. cikke); egy telephely adataira annak az államnak a B. része irányadó, amelyben a telephely található. Azon telephelyek tekintetében, amelyekhez nincs kapcsolt vállalkozás rögzítve, az Ügyfél az adatkezelő.

2. Az adatkezelés jellege és célja, az adatok kategóriái és az érintettek

(1) Az adatkezelés jellegét és célját, a személyes adatok kategóriáit és az érintettek kategóriáit az 1. melléklet írja le. Összefoglalva: törzsadatok kezelése, munkaidő-beosztás, a telephely államának joga szerinti munkaidő-nyilvántartás, távollétek, az időbejegyzéskor végzett helyszín-ellenőrzés eredménye, eszközadatok, a munkavállalók üzenetei, valamint — amennyiben az adatkezelő használja — dokumentumok és bérköltségadatok, mindegyik a munkaerő-beosztás tervezése, a munkajogi nyilvántartási kötelezettségek teljesítése és a bérszámfejtés előkészítése céljából.

(2) GPS-koordinátákat, útvonalakat vagy mozgásprofilokat nem tárolunk. A helyszín-ellenőrzés eredményét csak egy műszak alatti időbejegyzés pillanatában rögzítjük „belül”, „kívül” vagy „helyadat nem érhető el” értékként, az időponttal és a pontossággal együtt; háttérben végzett helymeghatározás nem történik. Az ellenőrzésre csak olyan telephelyeken kerül sor, ahol a telephely országának joga megengedi, és az adatkezelő nem kapcsolta ki; az adatkezelő gondoskodik arról, hogy az e jog szerint szükséges lépések az alkalmazás előtt teljesüljenek (B. rész).

(3) A „betegszabadság” távolléti okot diagnózis és a betegség okának megjelölése nélkül rögzítjük. A személyes adatok GDPR 9. cikke szerinti különleges kategóriái ezen túlmenően csak akkor képezik az adatkezelés tárgyát, ha az adatkezelő használja az „Orvosi igazolás (keresőképtelenség)” funkciót: a keresőképtelenség kezdetéről és várható időtartamáról szóló igazolás egészségügyi adat. Az adatkezelő azt csak akkor tárolhatja, ha annak az államnak a joga szerint, amelyben a munkavállalót foglalkoztatják, megkövetelheti (az előírásokat a B. rész tartalmazza); a jogalap a GDPR 9. cikke (2) bekezdésének b) pontja e előírásokkal és a GDPR 88. cikkével összefüggésben. Az adatfeldolgozó ezekhez a dokumentumokhoz való hozzáférést az adatkezelő által erre feljogosított személyekre és az érintett munkavállalóra korlátozza, és azok tartalmát nem értékeli ki. Az adatkezelő biztosítja, hogy a szabad szöveges mezőkben és az egyéb dokumentumokban ne tároljanak diagnózisokat és más egészségügyi adatokat.

(4) Kiegészítésképpen az adatfeldolgozó megbízás alapján kezeli: a munkavállalók elérhetőségi adatait (önkéntes adat a tervezéshez; nem minősül a munkaidőjog értelmében vett ügyeletnek vagy készenlétnek, és díjazásra nem jogosít), a műszakcsere során tett ajánlatokat és elfogadásokat (az ugyanazon telephely és ugyanazon szerepkör munkatársai számára a név, a szerepkör, illetve a részleg és az érintett műszak időpontjai láthatók — jelenléti vagy teljesítményadatok nem), a munkavállaló által saját maga a munkatársai számára megosztott elérhetőségi adatokat (hozzájárulás a GDPR 6. cikke (1) bekezdésének a) pontja szerint, alapértelmezés: „ki”, a GDPR 7. cikkének (3) bekezdése szerint bármikor visszavonható, az alkalmazásban azonnali hatállyal), a vállalkozás közleményeinek (hirdetőtábla) elolvasásáról szóló visszaigazolásokat, valamint a rögzített munkaközi szüneteket és rövid szüneteket, a „Szünet nincs rögzítve” jelzéssel együtt. A jelzés kizárólag a munkaidő-nyilvántartás javítását szolgálja, nem szankció és nem teljesítményértékelés; a javítást az adatkezelő egy erre kijelölt személye indokolással végzi el.

(5) Az adatkezelő által mutatókhoz bevitt vagy importált telephelyenkénti forgalmi adatok a telephelyre, nem pedig személyekre vonatkoznak, és önmagukban nem minősülnek személyes adatnak; azokat csak a bérköltségekkel összefüggésben értékeljük ki, amelyek kizárólag az adatkezelő Ügyvezetése és az általa erre felhatalmazott menedzserek számára hozzáférhetők.

3. Az adatkezelő utasításai (28. cikk (3) bekezdés a) pont)

(1) Az adatfeldolgozó a személyes adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli, kivéve, ha az adatkezelést uniós vagy osztrák jog írja elő számára; ebben az esetben erről a jogi előírásról az adatfeldolgozó az adatkezelést megelőzően értesíti az adatkezelőt, kivéve, ha az értesítést a jog tiltja.

(2) Az utasítások a Back Office-ban végzett beállításokkal adhatók — különösen a telephelyek és a telephely területe, a szerepkörök és jogosultságok, a telephelyenkénti szünetszabály, az elérhetőségi adatok megadásának határideje, a műszakcsere jóváhagyási kötelezettsége, a dokumentumok munkavállalók számára való láthatósága, a megőrzési idők, az NFC és az időbejegyzéskor végzett helyszín-ellenőrzés telephelyenkénti be- és kikapcsolása, a támogatási hozzáférés engedélyezése (Beállítások → Előfizetés → Támogatási hozzáférés), az exportálás és a törlés —, valamint írásban az office@nymtime.com címen, amihez egy e-mail is elegendő (az ABGB (osztrák általános polgári törvénykönyv) § 886-a szerint megállapodott forma). Az adatkezelő határozza meg, hogy felhasználói közül kik jogosultak utasítást adni (Ügyvezetés szerepkör).

(3) Ha az adatfeldolgozó valamely utasítást adatvédelmi szempontból megengedhetetlennek tart, erről haladéktalanul tájékoztatja az adatkezelőt, és az utasítás végrehajtását annak megerősítéséig vagy módosításáig felfüggesztheti.

4. Titoktartás (28. cikk (3) bekezdés b) pont)

(1) Az adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított valamennyi személy titoktartási kötelezettséget vállalt, vagy megfelelő jogszabályi titoktartási kötelezettség alatt áll, és hogy ez a kötelezettség a tevékenység befejezése után is fennmarad.

(2) Az adatfeldolgozó rendes üzemben nem fér hozzá az ügyfélfiók tartalmához. Támogatási hozzáférés csak akkor lehetséges, ha azt az adatkezelő a Back Office-ban kifejezetten engedélyezi — terjedelemmel, időtartammal és bármikori visszavonhatósággal. Minden hozzáférést az időponttal, a személlyel és a művelettel együtt rögzítünk az adatkezelő eseménynaplójában.

5. Az adatkezelés biztonsága (28. cikk (3) bekezdés c) pont, 32. cikk)

(1) Az adatfeldolgozó meghozza a 3. mellékletben leírt technikai és szervezési intézkedéseket, és azokat a szerződés teljes időtartama alatt fenntartja. Azokat rendszeresen felülvizsgálja, és a tudomány és technológia állásához igazítja.

(2) Az adatfeldolgozó az intézkedéseket továbbfejlesztheti és egyenértékűekkel helyettesítheti, feltéve, hogy a védelem szintje nem csökken. A lényeges változásokat a 3. mellékletben dokumentáljuk, és a Back Office-ban megjelenítjük az adatkezelő számára.

6. További adatfeldolgozók (28. cikk (2) és (4) bekezdés, (3) bekezdés d) pont)

(1) Az adatkezelő általános felhatalmazást ad a 2. mellékletben megnevezett további adatfeldolgozók igénybevételére. Minden további adatfeldolgozóval olyan szerződés áll fenn, amely rá ugyanazokat az adatvédelmi kötelezettségeket rója, mint amelyeket ez a megállapodás az adatfeldolgozóra.

(2) Ha az adatfeldolgozó további adatfeldolgozót kíván igénybe venni vagy lecserélni, erről legalább 30 nappal előre e-mailben és a Back Office-ban tájékoztatja az adatkezelőt. Az adatkezelő e határidőn belül fontos adatvédelmi okból kifogást emelhet; ha nem jön létre megegyezés, bármelyik fél felmondhatja a felhasználási szerződést a folyamatban lévő hónap végére.

(3) Személyes adatoknak az Európai Gazdasági Térségen kívüli harmadik országba történő továbbítására csak akkor kerül sor, ha a GDPR 44–49. cikkében foglalt feltételek teljesülnek (megfelelőségi határozat vagy a GDPR 46. cikke (2) bekezdésének c) pontja szerinti általános adatvédelmi kikötések). Az adatfeldolgozó a további adatfeldolgozókért úgy felel, mint saját magatartásáért.

7. Közreműködés az érintetti jogok teljesítésében (28. cikk (3) bekezdés e) pont)

(1) Az adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel segíti az adatkezelőt abban, hogy az érintettek hozzáférésre, helyesbítésre, törlésre, az adatkezelés korlátozására, adathordozhatóságra és tiltakozásra irányuló kérelmeit (a GDPR 15–22. cikke) a jogszabályi határidőkön belül megválaszolja.

(2) Ehhez a termékben a következők állnak rendelkezésre: a saját munkaidő-nyilvántartás megtekintése és havi exportálása a munkavállalói alkalmazásban (a GDPR 15. és 20. cikke); egy munkavállaló összes adatának exportálása a Back Office-ból; naplózott javítások; archiválás, anonimizálás és törlés a megőrzési idők szerint; a munkavállalói alkalmazásban a munkavállaló fiókja törlésére irányuló kérelem, amelyet döntésre továbbítunk az adatkezelőnek (a munkaidő-nyilvántartás a B. rész szerinti törvényes ideig megmarad).

(3) Ha egy érintett kérelmét közvetlenül az adatfeldolgozóhoz intézi, az adatfeldolgozó azt haladéktalanul továbbítja az adatkezelőnek, és maga nem válaszolja meg, kivéve, ha erre az adatkezelő utasítja.

8. Az adatvédelmi incidensek bejelentése (28. cikk (3) bekezdés f) pont, 33. cikk)

(1) Az adatfeldolgozó minden adatvédelmi incidenst indokolatlan késedelem nélkül, legkésőbb a tudomására jutásától számított 48 órán belül bejelent az adatkezelőnek a kapcsolattartó címére küldött e-mailben. A bejelentés tartalmazza a GDPR 33. cikkének (3) bekezdése szerinti információkat: az incidens jellegét, az érintettek és az adatrekordok kategóriáit és hozzávetőleges számát, a valószínű következményeket, a megtett és a javasolt intézkedéseket, valamint egy kapcsolattartási pontot.

(2) Az adatfeldolgozó segíti az adatkezelőt a felügyeleti hatóság felé 72 órán belül teljesítendő bejelentésben (33. cikk) és az érintettek tájékoztatásában (34. cikk), és valamennyi incidenst dokumentálja, azok hatásaival és az orvoslásukra tett intézkedésekkel együtt.

9. Adatvédelmi hatásvizsgálat és előzetes konzultáció (28. cikk (3) bekezdés f) pont, 35. és 36. cikk)

(1) A munkavállalók jelenlétének rendszeres rögzítése szükségessé teheti a GDPR 35. cikke (3) bekezdésének a) pontja szerinti adatvédelmi hatásvizsgálatot. Az adatfeldolgozó ehhez az adatkezelő rendelkezésére bocsátja a NymTime-ra vonatkozó adatvédelmi hatásvizsgálat sablonját és a termékre vonatkozó műszaki információkat, és segíti őt a felügyeleti hatósággal esetlegesen folytatandó előzetes konzultációban (36. cikk).

(2) A saját felhasználásra vonatkozó adatvédelmi hatásvizsgálat elvégzése, annak megítélése, hogy az adott ország joga a helyszín-ellenőrzéshez kollektív szerződést vagy üzemi megállapodást, konzultációt, tájékoztatást vagy hozzájárulást követel-e meg, valamint ezek megkötése, illetve beszerzése az adatkezelő feladata. Az adatfeldolgozó ehhez országonkénti ellenőrzőlistákat és sablonokat biztosít; ezek egyetlen funkciót sem zárolnak, és nem helyettesítik a jogi tanácsadást.

10. Törlés és visszaadás a szerződés megszűnése után (28. cikk (3) bekezdés g) pont)

(1) A felhasználási szerződés megszűnése után az adatkezelő 30 napig teljes egészében exportálhatja adatait a Back Office-ból (Excel, CSV, dokumentumok eredeti formátumban). E határidő lejárta után az adatfeldolgozó törli az adatkezelő valamennyi személyes adatát, kivéve, ha uniós vagy osztrák jog magát az adatfeldolgozót kötelezi a tárolásra; ebben az esetben az adatkezelés a megőrzésre korlátozódik. Az adatkezelő megőrzési kötelezettségei (a telephely államának joga szerint, B. rész) az adatkezelő saját kötelezettségei maradnak (az ÁSZF § 14 (3) bekezdése); azokat az időben elvégzett exportálással teljesíti.

(2) A törlést kérésre írásban igazoljuk az adatkezelőnek. A biztonsági másolatokat legkésőbb az elsődleges adatok törlését követő 35 napon belül felülírjuk.

(3) A szerződés időtartama alatt az adatkezelő egyes munkavállalókat archiválhat, anonimizálhat vagy törölhet, és a megőrzési időket adatfajtánként, a törvényes minimumértékeken belül maga határozhatja meg. Egy napi futtatás végrehajtja a határidőket, és naplózza a törölt adatrekordok számát és adatfajtáját.

11. Igazolások és ellenőrzések (28. cikk (3) bekezdés h) pont)

(1) Az adatfeldolgozó az adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikkében meghatározott kötelezettségek teljesítésének igazolásához szükséges, különösen ezt a megállapodást, a mellékleteket, a GDPR 30. cikkének (2) bekezdése szerinti nyilvántartást és a technikai és szervezési intézkedések felülvizsgálatáról szóló jelentéseket.

(2) Az adatkezelő vagy az általa megbízott, titoktartásra kötelezett auditor e megállapodás betartását legalább 14 nappal korábbi, megfelelő bejelentést követően, a szokásos munkaidőben ellenőrizheti, naptári évenként legfeljebb egyszer, kivéve, ha adatvédelmi incidens vagy a felügyeleti hatóság rendelkezése további ellenőrzést tesz szükségessé. Az adatfeldolgozó közreműködik az ellenőrzésekben.

(3) Az adatfeldolgozó haladéktalanul tájékoztatja az adatkezelőt, ha úgy véli, hogy valamely utasítás sérti a GDPR-t vagy más uniós vagy osztrák adatvédelmi rendelkezéseket.

12. Felelősség és záró rendelkezések

(1) A felek felelősségére a GDPR 82. cikke, egyebekben az ÁSZF § 15-e irányadó. A felek egymás közötti viszonyában mindegyik fél az e megállapodás és a GDPR szerint őt terhelő kötelezettségek megszegéséért felel.

(2) Az osztrák jog alkalmazandó, a nemzetközi magánjog kollíziós szabályainak kizárásával. Kizárólagos illetékességként a felek a JN (osztrák joghatósági törvény, Jurisdiktionsnorm) § 104-e szerint — a más tagállamban székhellyel rendelkező adatkezelők esetében ezenfelül az 1215/2012/EU rendelet (Brüsszel Ia) 25. cikke szerint — a Bécs, Innere Stadt kerületre hatáskörrel rendelkező bíróság illetékességét kötik ki. E megállapodás módosításai és kiegészítései írásbeli formához kötöttek; a felek ehhez az ABGB § 886-a szerint könnyített formában állapodnak meg, elegendő egy e-mail a megadott címre. Ez ezen követelmény megszüntetésére is vonatkozik.

(3) E megállapodásnak a vásárláskor vagy — ha az adatfeldolgozó az ügyfélfiókot kérésre hozta létre — az Ügyvezetés Back Office-ba történő első bejelentkezésekor történő elektronikus megerősítését — az időponttal, a verzióval, a megerősített dokumentumszöveg ellenőrzőösszegével (SHA-256), az IP-címmel és a felhasználóval együtt — rögzítjük az ügyfélfiókban, és az a GDPR 28. cikkének (9) bekezdése értelmében elektronikus formátumban történő megkötésnek minősül. Az e megállapodás és az ÁSZF közötti ellentmondás esetén adatvédelmi kérdésekben ez a megállapodás az irányadó.

1. melléklet — Az adatkezelés tárgya: az adatok kategóriái, az érintettek, a célok

A személyes adatok kategóriái (kategóriánként: adatok — cél — az adatkezelő jogalapja):

• Törzsadatok: név, e-mail-cím, telefonszám, munkakör, szerepkör, telephelyhez rendelés, törzsszám, foglalkoztatás jellege, belépés és kilépés dátuma — adminisztráció, munkaidő-beosztás, elszámolás — a GDPR 6. cikke (1) bekezdésének b) és c) pontja.
• Szerződéses adatok (megállapodás): szerződés szerinti munkaidő (heti, havi vagy éves óraszám), foglalkoztatási kategória (teljes munkaidő, részmunkaidő, 18 év alatti fiatal munkavállalók, tanulók, idénymunka, egyéb), munkaidőkeret, alkalmazandó kollektív szerződés (Kollektivvertrag), szabadságra való jogosultság napokban, mindegyik a hatálybalépés kezdetével és a verziótörténettel — munkaidő-beosztás, időegyenleg, szabadságegyenleg, a munkaidőjogi határok ellenőrzése — a GDPR 6. cikke (1) bekezdésének b) és c) pontja.
• Munkaidő-beosztás: tervezett műszakok, szerepkörök, minimális létszám, nyitott műszakok, a közzététel és a visszaigazolás időpontjai (ki és mikor tette közzé a beosztást, a munkavállaló mikor látta és igazolta vissza), a közzététel utáni változtatások indokolással — a munkaerő-beosztás tervezése, az időben történő közlés igazolása — a GDPR 6. cikke (1) bekezdésének b) és c) pontja.
• Elérhetőségek: napi vagy félnapos megadás („elérhető”, „nem szívesen”, „nem elérhető”), a megadás időpontja — önkéntes adat a tervezéshez, nem minősül a munkaidőjog értelmében vett ügyeletnek vagy készenlétnek — a GDPR 6. cikke (1) bekezdésének b) pontja.
• Műszakcsere: ajánlat, az ugyanazon telephely és ugyanazon szerepkör munkatársainak visszajelzései (számukra láthatók: név, szerepkör, illetve részleg, a műszak időpontjai), a vezető döntése, a munkaidőjogi határok ellenőrzésének eredménye — a munkaerő-beosztás tervezése — a GDPR 6. cikke (1) bekezdésének b) pontja.
• Elérhetőségi adatok megosztása (kapcsolatok): jelölés arról, hogy a munkavállaló láthatóvá tette-e telefonszámát és e-mail-címét az ugyanazon telephely munkatársai számára, a hozzájárulás megadásának és esetleges visszavonásának időpontjával — elérhetőség a csapaton belül — hozzájárulás a GDPR 6. cikke (1) bekezdésének a) pontja szerint, alapértelmezés: „ki”, a GDPR 7. cikkének (3) bekezdése szerint bármikor visszavonható.
• A vállalkozás közleményei (hirdetőtábla): szöveg, plakát (kép vagy PDF, képmetaadatok nélkül), címzetti kör (telephelyek, részlegek), érvényesség, munkavállalónkénti olvasási és tudomásulvételi visszaigazolás időponttal — a vállalkozási információk tudomásulvételének igazolása — a GDPR 6. cikke (1) bekezdésének b) és f) pontja; teljesítményellenőrzés nem történik.
• Munkaidő-nyilvántartás: tényleges kezdés és befejezés, munkaközi szünetek (nem fizetett; műszakonként tervezett, fizetett vagy nem fizetett szünetblokkok, valamint a telephelyvezetés által visszaigazolt szünet a feldolgozó személlyel) és rövid szünetek a „Szünet nincs rögzítve” jelzéssel együtt, a rögzítés módja (NFC vagy NFC nélküli, helyszín alapú rögzítés), eltérési napló szerződés szerinti munkaidő esetén (a „terv szerint” visszaigazolt napok, eltérés esetén a tényleges időpontok, a munkavállaló jelzése és a vezető visszaigazolása), időegyenleg elszámolási időszakonként (szerződés szerinti órák, jóváírt órák, egyenleg, átvitel és az időszak lezárása), javítások indokolással és a feldolgozó személlyel — a telephely államának joga szerinti nyilvántartási kötelezettség (B. rész) — a GDPR 6. cikke (1) bekezdésének c) pontja.
• Távollétek: fajta (szabadság, betegszabadság, csúsztatás, ápolási szabadság, munkaszüneti nap, rendkívüli szabadság, képzés, fizetés nélküli), időszak, státusz, feldolgozó személy; betegszabadság esetén diagnózis nélkül — munkaidő-beosztás, a díjazás továbbfizetése — a GDPR 6. cikke (1) bekezdésének b) és c) pontja.
• Helyszín-ellenőrzés az időbejegyzéskor: „belül”, „kívül” vagy „helyadat nem érhető el” eredmény az időponttal és a méterben megadott pontossággal; koordináták és útvonalak nélkül — az időbejegyzés hihetősége — a telephely országának joga szerint (B. rész); a GDPR 88. cikke.
• A beállítás igazolásai (megfelelés): az adatkezelő adatai az országról, a vállalkozás méretéről és a munkavállalói képviseletről, a feltöltött megállapodások és jegyzőkönyvek, az adatvédelmi hatásvizsgálat dátuma, munkavállalónkénti tudomásulvételek és hozzájárulások az időponttal és a dokumentum verziójával, visszavonások — annak igazolása, hogy a nemzeti jog szerint szükséges lépésekre a funkció használata előtt sor került — a GDPR 6. cikke (1) bekezdésének c) és f) pontja, a hozzájárulások tekintetében a GDPR 7. cikke.
• Eszközadatok: eszközazonosító, nyilvános kulcs, modell és operációsrendszer-verzió, push-token az értesítésekhez, státusz (aktív, lecserélt, letiltott), a regisztráció időpontja — személyenként egy eszköz, hamisítás elleni védelem — a GDPR 6. cikke (1) bekezdésének f) pontja.
• Dokumentumok (opcionális): társadalombiztosítási bejelentés, a lényeges munkafeltételekről szóló írásbeli tájékoztatás, munkaszerződés, igazolások az esetleges lejárati dátummal, a vállalkozás által bekért és a munkavállaló által feltöltött iratok, bérjegyzékek és éves bérjegyzékek az automatikusan javasolt mezőkkel és ellenőrzési megjegyzéssel, mindegyik azzal a jelöléssel, hogy a dokumentum látható-e az érintett munkavállaló számára az alkalmazásban — személyi anyag, a bérszámfejtés előkészítése — a GDPR 6. cikke (1) bekezdésének c) pontja a telephely államának jogával összefüggésben (B. rész); ezek a dokumentumok nemzeti azonosító számokat (például társadalombiztosítási azonosító jelet) tartalmazhatnak, amelyeket az adatkezelő csak az állama joga által megengedett keretek között tárol. A bérdokumentumokat csak az Ügyvezetés, az adatkezelő által kifejezetten feljogosított személyek és az érintett munkavállaló látják; minden hozzáférést naplózunk. Megőrzés: a bérdokumentumok a „bérdokumentumok” adatfajta szerint (a határidő és annak kezdete a B. rész szerint), a többi dokumentum a „munkavállalói dokumentumok” adatfajta szerint.
• Orvosi igazolás (keresőképtelenség, opcionális): a keresőképtelenség kezdete és várható időtartama diagnózis nélkül — a betegszabadság igazolása és a díjazás továbbfizetése — egészségügyi adat, a GDPR 9. cikke (2) bekezdésének b) pontja annak az államnak az előírásával összefüggésben, amelyben a munkavállalót foglalkoztatják, és amely szerint a munkáltató az igazolást megkövetelheti (B. rész). Ha a keresőképtelenséget elektronikusan, egy társadalombiztosítási szerven keresztül jelentik, az adatkezelő csak az őt megillető, diagnózis nélküli adatot tárolja; ha egy igazolás diagnóziskódot tartalmaz, azt a feltöltés előtt felismerhetetlenné teszi. Hozzáférés csak az Ügyvezetés, az adatkezelő által erre kifejezetten feljogosított személyek és az érintett munkavállaló számára; minden hozzáférést naplózunk. Megőrzés a „munkavállalói dokumentumok” adatfajta szerint.
• Bérköltségek (opcionális, az Ügyvezetés és az általa felhatalmazott menedzserek számára látható („Bérköltség”)): bruttó bér az előzményekkel (összeg, egység, évenkénti fizetések száma, heti óraszám, foglalkoztatás jellege, munkáltatói költséghányad), pótlékok, előlegek, kiigazítások az előzményekkel — belső kalkuláció — a GDPR 6. cikke (1) bekezdésének f) pontja.
• Telephelyenkénti forgalmi adatok (opcionális): napi forgalom és célérték — a bérköltséghányad mutatója — nem személyes adatok; csak a bérköltségekkel együtt értékeljük ki azokat.
• Naplók: eseménynapló (ki, mit, mikor, előtte/utána), értesítések — igazolás, biztonság — a GDPR 5. cikkének (2) bekezdése és 32. cikke.
• Az érintettek kategóriái: az adatkezelő munkavállalói, megbízási jogviszonyban foglalkoztatottjai (freie Dienstnehmer), kölcsönzött munkavállalói, gyakornokai és tanulói. A Back Office felhasználói (Ügyvezetés, menedzserek, adótanácsadók) és az adatkezelő kapcsolattartója nem tárgyai e megállapodásnak; az ő adataik tekintetében maga az adatfeldolgozó az adatkezelő (adatvédelmi nyilatkozat, 6. és 7. szakasz).
• Célok: a munkaerő-beosztás tervezése; a munkaidő — ideértve a munkaközi szüneteket is — nyilvántartására vonatkozó, a telephely államának joga szerinti kötelezettség teljesítése; az időbejegyzés hihetősége; a távollétek kezelése; az elérhetőségek, a műszakcsere és a vállalkozási közlemények megszervezése; a személyi dokumentumok tárolása és rendelkezésre bocsátása; a bérszámfejtés előkészítése; a rendszer biztonsága és nyomon követhetősége.
• Megőrzés (az adatkezelő által a törvényes minimumértékeken belül módosítható): a munkaidő-nyilvántartásra, az eseménynaplóra, a munkavállalói dokumentumokra („employee_documents” adatfajta, ideértve a feltöltött igazolásokat és orvosi igazolásokat is), a bérdokumentumokra, a bérköltségekre és az archivált munkavállalói profilokra (ezt követően anonimizálás) vonatkozó alapértékeket és minimumértékeket a B. rész tartalmazza a telephely államának joga szerint; nyers jelenléti események 3 hónapig, rövidebb ideig, ahol az állam joga ezt előírja (B. rész); értesítések 6 hónapig. Az elérhetőségeket, a cserefolyamatokat és az olvasási visszaigazolásokat a hozzájuk tartozó munkaidő-beosztással, illetve közleménnyel együtt töröljük, legkésőbb 12 hónap elteltével.

2. melléklet — Jóváhagyott további adatfeldolgozók

Állapot: 2026. szeptember 28. Az adatfeldolgozó a következő további adatfeldolgozókat veszi igénybe; a mindenkor aktuális lista a Back Office-ban a Beállítások → Előfizetés menüpontban tekinthető meg.

• A szolgáltatás tárhelye (szerverek, adatbázis, fájltárolás, biztonsági másolatok): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Németország — falkensteini adatközpont (Németország, fsn1 régió), objektumtároló (Object Storage) ugyanabban a régióban. Garancia: a GDPR 28. cikke szerinti adatfeldolgozási szerződés; az EU-n kívül adatkezelés nem történik.
• A nymtime.com weboldal tárhelye és kiszolgálása, valamint a teljes adatforgalom továbbítása az api.nymtime.com, az app.nymtime.com és az admin.nymtime.com címekre (fordított proxy, átviteli titkosítás, túlterheléses támadások elleni védelem): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, USA). A TLS-kapcsolat a Cloudflare-nél végződik; a Cloudflare így technikailag valamennyi továbbított adatot kezeli, ideértve a munkavállalói adatokat is az átvitel során, de a szolgáltatás tartalmait nem tárolja — csak statikus fájlokat tárol ideiglenesen, továbbá kapcsolati naplókat a támadások elhárítására. Garancia: a GDPR 28. cikke szerinti adatfeldolgozási szerződés; továbbítás az Egyesült Államokba az EU–USA adatvédelmi keret szerinti tanúsítás (a GDPR 45. cikke) és az általános adatvédelmi kikötések (a GDPR 46. cikke (2) bekezdésének c) pontja) alapján.
• E-mail-küldés (bejelentkezési és meghívó linkek, a munkavállalói alkalmazás aktiválási kódjai, értesítések, szerződéses és fizetési közlemények, számlák): Resend, Inc., San Francisco, USA — küldés az Amazon Simple Email Service szolgáltatáson keresztül az eu-west-1 (Írország) régióban. Kezelt adatok: a címzett címe, az üzenet tárgya, tartalma és kézbesítési állapota. Garancia: 2026. szeptember 28-i Data Processing Addendum (adatfeldolgozási kiegészítés, a GDPR 28. cikke); továbbítás az Egyesült Államokba az EU–USA adatvédelmi keret (a GDPR 45. cikke) és az általános adatvédelmi kikötések (a GDPR 46. cikke (2) bekezdésének c) pontja) alapján.
• Push-értesítések a munkavállalói alkalmazásba: Expo (650 Industries, Inc., USA), kézbesítés az eszközökre az Apple Push Notification service (Apple Inc.), illetve a Firebase Cloud Messaging (Google) útján. Kezelt adatok: az eszköz push-tokenje, az értesítés azonosítója és fajtája, egy személyes tartalom nélküli általános szöveg. Garancia: a GDPR 28. cikke szerinti adatfeldolgozási szerződés; továbbítás az Egyesült Államokba az EU–USA adatvédelmi keret (a GDPR 45. cikke) és az általános adatvédelmi kikötések (a GDPR 46. cikke (2) bekezdésének c) pontja) alapján.
• Mezők automatikus felismerése a dokumentumokban (csak ha az adatkezelő ezt a funkciót aktiválja): EU-n belüli adatkezelést végző szolgáltató, az adatok tanítási célú felhasználása nélkül — a funkció aktiválása előtt itt kerül feltüntetésre; addig a funkció ki van kapcsolva.
• Címkeresés a Back Office-ban (javaslatok egy telephelycím megadásakor): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Németország (Photon szolgáltatás, szerverek az EU-ban; adatforrás: OpenStreetMap, ODbL 1.0). Kizárólag a beírt címszöveget továbbítjuk; a lekérdezést a szerverünk indítja, nem a böngésző. Munkavállalói adatokat nem továbbítunk. Kiesés esetén helyettesítő megoldásként: az OpenStreetMap Foundation Nominatim szolgáltatása, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Egyesült Királyság — az alapítvánnyal adatfeldolgozási szerződés nem köthető; a szolgáltatás csak a címszöveget kapja meg, és csak kerülőútként kérdezzük le. A nyilvános Photon szolgáltatáshoz a Komoot nem kínál adatfeldolgozási szerződést; csak a telephely címének begépelt szövegét továbbítjuk, munkavállalói adatot nem.

A teljesség kedvéért — önálló adatkezelők, nem további adatfeldolgozók: Európai Bizottság, Rue de la Loi 200, 1049 Brüsszel, Belgium (az adatkezelő UID-számának (közösségi adószámának) ellenőrzése a HÉA-információcsere-rendszerben (VIES); kizárólag az országkódot és az UID-számot továbbítjuk, jogalap: a GDPR 6. cikke (1) bekezdésének c) pontja az UStG 1994 (osztrák általános forgalmi adóról szóló törvény) § 11 (1a) bekezdésével összefüggésben; munkavállalói adatok nélkül), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Írország (fizetések lebonyolítása, számlázás és előfizetés-kezelés az adatkezelő mint ügyfél számára; továbbítás a Stripe, Inc. (USA) részére az EU–USA adatvédelmi keret és az általános adatvédelmi kikötések alapján), valamint az Österreichische Post AG, Rochusplatz 1, 1030 Bécs, vagy egy futárszolgálat (az NFC-címkék kézbesítése az üzleti vagy a szállítási címre; kizárólag szállítási adatokat kap: cégnév, kapcsolattartó, cím, adott esetben telefonszám). E címzettek egyike sem kezeli az adatkezelő munkavállalóinak adatait.

3. melléklet — Technikai és szervezési intézkedések (a GDPR 32. cikke)

Az adatfeldolgozó különösen a következő intézkedéseket hajtja végre:

• Belépés- és hozzáférés-ellenőrzés: a szolgáltatás működtetése kizárólag uniós adatközpontokban; a fizikai belépés ellenőrzése és az ISO 27001 szerinti tanúsítás a szolgáltatás tárhelyszolgáltatójával (Hetzner Online GmbH, 2. melléklet) szemben támasztott követelmény; adminisztratív hozzáférés csak személyhez kötött fiókokon keresztül, SSH-kulcsokkal, a kezelőkonzolhoz kétfaktoros hitelesítés — szintén a tárhelyszolgáltatóval szemben támasztott követelményként; közösen használt fiók nincs.
• Hozzáférés-ellenőrzés a termékben: szerepkör- és jogosultságalapú jogosultsági rendszer (Ügyvezetés, menedzser, munkavállaló, további szerepkörök egyedi jogosultságokkal), a menedzserek korlátozása a hozzájuk rendelt telephelyekre; bérköltségadatok csak az Ügyvezetés számára; orvosi igazolások és bérdokumentumok csak az Ügyvezetés, az adatkezelő által kifejezetten feljogosított személyek és az érintett munkavállaló számára, minden ezekhez való hozzáférést naplózunk; bejelentkezés a Back Office-ba személyhez kötött hozzáférésekkel, az e-mail-címmel mint felhasználói azonosítóval és egy jelszóval, amelyet kizárólag véletlenszerű sóval képzett hash-értékként (scrypt) tárolunk — a jelszó beállítása egyszer használható linkkel (24 óráig érvényes), visszaállítás egyszer használható linkkel (1 óráig érvényes), új e-mail-cím megerősítése az új címre küldött kóddal, 15 perces zárolás 10 sikertelen kísérlet után, minden jelszóváltoztatáskor valamennyi meglévő munkamenet megszüntetése, 14 nap után lejáró munkamenet-süti, opcionális kétfaktoros hitelesítés (TOTP-alkalmazás, amelyet az adatkezelő a teljes vállalkozásra kiterjedően bekapcsolhat, a helyreállítási kódok csak hash-értékként, a TOTP-titok titkosítva tárolva); a munkavállalói alkalmazás aktiválása a megadott e-mail-címre küldött egyszeri kóddal (korlátozott érvényesség, legfeljebb 5 kísérlet, a kérések címenként és IP-címenként korlátozva); a hozzáféréseket naplózzuk.
• Eszközhöz kötés: munkavállalónként pontosan egy aktív eszköz; kriptográfiai kulcspár az eszköz biztonságos tárolójában; minden időbejegyzést az eszköz aláír; új eszközt csak egy e-mailben küldött kód megerősítése és a telephelyen való jelenlét igazolása (NFC-címke vagy helyszín-ellenőrzés) után kötünk a munkavállalóhoz — a korábbi eszközt ekkor automatikusan letiltjuk, a vállalkozást értesítjük, és a cserét naplózzuk; a vállalkozás bármikor letilthat egy eszközt.
• NFC-címkék: NXP NTAG 424 DNA, érintésenként dinamikus, kriptográfiailag aláírt üzenetre beállítva (Secure Unique NFC), számlálóellenőrzéssel — a másolás és a visszajátszás megakadályozására tervezve; a chipkulcsot sem a telefon, sem a felhasználók nem ismerhetik meg; a telephelytáblán lévő QR-kód csak a munkavállalói alkalmazás letöltési oldalára vezet, és nem rögzítési módszer; NFC nélküli, helyszín alapú rögzítés csak a telephely területén belül.
• Adattakarékosság: koordináták vagy útvonalak tárolása nélkül; a rögzítéskor fénykép nem készül — képek csak a munkavállaló által saját maga feltöltött dokumentumként kerülnek a rendszerbe (például orvosi igazolás); a helyadatokból csak az időbejegyzéskor végzett ellenőrzés eredménye („belül”, „kívül”, „helyadat nem érhető el”, időpont, pontosság); háttérben végzett helymeghatározás nélkül; ellenőrzés csak a műszak alatt, és csak olyan telephelyeken, ahol az ország joga megengedi, és az adatkezelő nem kapcsolta ki; a nyers eseményeket 3 hónap után töröljük, rövidebb idő után, ahol az ország joga ezt előírja; a push-értesítések személyes tartalmat nem tartalmaznak.
• Titkosítás: átvitel kizárólag TLS 1.2 vagy magasabb verzióval (a Cloudflare fordított proxyjáig, onnan pedig ismét titkosítva a szolgáltatás szervereiig); az adatbázis a tárhelyszolgáltatónál LUKS-szal (dm-crypt, AES-XTS) titkosított köteteken található; a dokumentumokat az alkalmazás az objektumtárolóban való elhelyezés előtt AES-256-GCM-mel titkosítja, a kulcsok csak az alkalmazásszervereken találhatók; az adatbázis biztonsági másolatait a pgBackRest az objektumtárolóban való elhelyezés előtt AES-256-tal titkosítja; kulcsok és hozzáférési adatok a forráskódon kívül; jelszavak és bejelentkezési kódok csak véletlenszerű sóval képzett hash-értékként.
• Integritás és nyomon követhetőség: megváltoztathatatlan eseménynapló (hozzáfűzés megengedett, a módosítást és a törlést adatbázisszabály akadályozza meg) minden biztonsági szempontból releváns műveletre; csak időbélyeggel ellátott logikai törlés (soft delete); a munkaidők javítása indokolással, a feldolgozó személlyel és a korábbi értékkel.
• Szervernaplók: az alkalmazásszerverek (interfész, webszerver) naplói IP-címeket tartalmaznak, de dokumentumok tartalmát vagy béradatokat nem; azokat méret szerint rotáljuk (szolgáltatásonként legfeljebb öt, egyenként 10 MB-os fájl), és legkésőbb 30 nap után töröljük.
• Rendelkezésre állás: két adatbázisszerver folyamatos replikációval; napi biztonsági másolatok (hetente teljes, naponta differenciális, továbbá a tranzakciós naplók folyamatos archiválása) legfeljebb 35 napos megőrzéssel, titkosítva a tárhelyszolgáltató uniós objektumtárolójában; havi automatikus helyreállítási teszt; felügyelet riasztással; az időbejegyzések ideiglenes tárolása az eszközön a kapcsolat megszakadása esetén.
• Elkülönítés: az ügyféladatok logikai elkülönítése szervezeti kulccsal minden lekérdezésben; elkülönített fejlesztési, teszt- és éles környezet; éles adatok nem kerülnek teszt- vagy fejlesztési környezetbe.
• Megőrzés és törlés: adatfajtánként beállítható határidők kikényszerített törvényes minimumértékekkel; napi automatizált törlési és anonimizálási futtatás naplózással; visszaadás és törlés a 10. pont szerint.
• Támogatási hozzáférés: rendes üzemben az adatfeldolgozó nem fér hozzá az ügyféladatokhoz; hozzáférés csak az adatkezelő általi engedélyezést követően, terjedelemmel, időtartammal és bármikori visszavonhatósággal; minden hozzáférés naplózva.
• Szervezés: valamennyi érintett titoktartási kötelezettségvállalása; dokumentált eljárás az adatvédelmi incidensekre, 48 órán belüli bejelentéssel; a GDPR 30. cikkének (2) bekezdése szerinti nyilvántartás az adatkezelési tevékenységekről; ezen intézkedések éves felülvizsgálata; biztonsági frissítések megfelelő határidőn belül; a beépített és az alapértelmezett adatvédelem elvei (a GDPR 25. cikke) a fejlesztési folyamatban.

4. melléklet — Kapcsolt vállalkozások mint adatkezelők (1. pont (4) bekezdés)

A 4. melléklet azon kapcsolt vállalkozások listája, amelyek nevében az Ügyfél az 1. pont (4) bekezdése alapján e megállapodást megköti: cégnév, állam, cím, közösségi adószám (UID-szám; ha megadták), valamint azok a telephelyek, amelyeknek a vállalkozás a munkáltatója. Az Ügyfél a listát a Back Office-ban vezeti; annak mindenkor hatályos változata ott bármikor elérhető, és a lista minden módosítása a 3. pont szerinti dokumentált utasításnak minősül. Amíg nincs kapcsolt vállalkozás rögzítve, valamennyi telephely tekintetében az Ügyfél az adatkezelő.

B1. Jogalapok a foglalkoztatással összefüggésben

(1) A foglalkoztatással összefüggő adatkezelésre a GDPR 88. cikke, valamint a munka törvénykönyvéről szóló 2012. évi I. törvény (Mt.) 9–11/A. §-a alkalmazandó: a munkavállalók személyiségi jogainak korlátozása csak akkor megengedett, ha az a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és arányos, és csak előzetes írásbeli tájékoztatás után (Mt. 9. § (2) bekezdése); az ellenőrzésre szolgáló technikai eszközök alkalmazása előzetes írásbeli tájékoztatást feltételez (Mt. 11/A. § (1) bekezdése).

(2) Az NFC-címkénél történő rögzítésre a munkavállalók előzetes írásbeli tájékoztatása után kerül sor, amelyet az adatkezelő a Back Office-ban rögzít. A munkavállaló saját okostelefonjának használata az Mt. 11/A. § (5) bekezdése által feltételezett megállapodáson alapul; ez nem a GDPR 6. cikke (1) bekezdésének a) pontja szerinti hozzájárulás. Az időbejegyzéskor végzett helyszín-ellenőrzés (az A. rész 2. pontjának (2) bekezdése és 1. melléklete) Magyarországon az Mt. 9. § (2) bekezdése szerinti, telephelyenként megindokolt szükségességet, annak az előzetes írásbeli tájékoztatásba való felvételét és adatvédelmi hatásvizsgálatot feltételez. Ha üzemi megbízott vagy üzemi tanács működik, az adatkezelő előzetesen kikéri annak véleményét, és legkorábban a megkeresés kézhezvételétől számított 15 nap elteltével dönt (Mt. 264. § (2) bekezdésének c) és d) pontja).

B2. Munkaidő-nyilvántartás

A munkaidő-nyilvántartás (az A. rész 2. pontjának (1) bekezdése és 1. melléklete) a rendes munkaidőnek, a rendkívüli munkaidőnek, a készenlétnek és a szabadságnak az Mt. 134. § (1) bekezdése szerinti nyilvántartását szolgálja; a jogalap a GDPR 6. cikke (1) bekezdésének c) pontja az Mt. 134. §-ával összefüggésben. Az adatfeldolgozó nem továbbít adatokat hatóságoknak.

B3. Keresőképtelenség igazolása és dokumentumok

(1) A betegség miatti keresőképtelenség igazolását („Orvosi igazolás” funkció, az A. rész 1. melléklete) — Magyarországon az orvos által kiállított keresőképtelenségi igazolást — az adatkezelő csak akkor tárolja, ha azt a magyar munkajogi és társadalombiztosítási jog szerint megkövetelheti, és csak diagnózis nélkül; a jogalap a GDPR 9. cikke (2) bekezdésének b) pontja e jogszabályokkal és a GDPR 88. cikkével összefüggésben.

(2) Az A. rész 1. melléklete szerinti dokumentumok közé Magyarországon különösen az írásba foglalt munkaszerződés (Mt. 44. §), a munkafeltételekről szóló írásbeli tájékoztatás (Mt. 46. §) és az írásbeli bérelszámolás (Mt. 155. §) tartozik; a jogalap a GDPR 6. cikke (1) bekezdésének c) pontja e jogszabályokkal összefüggésben. Az adóazonosító jelet és a TAJ-számot az adatkezelő csak e jogszabályok keretei között tárolja.

B4. Megőrzés

Alapértékek a Magyarországon lévő telephelyekre, amelyeket az adatkezelő a minimumértékeken belül módosíthat: munkaidő-nyilvántartás 84 hónap (minimum 24 hónap); nyers jelenléti események 3 hónap; a helyszín-ellenőrzés eredményét („belül”, „kívül”, pontosság) az időbejegyzéstől számított 90 nap elteltével eltávolítjuk az időbejegyzésből, maga az időbejegyzés megmarad; eseménynapló 84 hónap (minimum 24 hónap); munkavállalói dokumentumok („employee_documents” adatfajta) 84 hónap; bérdokumentumok 96 hónap (minimum 96 hónap); bérköltségek 84 hónap; értesítések 6 hónap; archivált munkavállalói profilok 84 hónap, ezt követően anonimizálás. A magyar munkajogi, adójogi és számviteli jog szerinti megőrzési kötelezettségek — például a munkajogi igények hároméves elévülése (Mt. 286. § (1) bekezdése) és a számviteli bizonylatok nyolcéves megőrzése (a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése) — az adatkezelő saját kötelezettségei maradnak (az A. rész 10. pontjának (1) bekezdése).

B5. Felügyeleti hatóság

Az adatkezelő tekintetében illetékes felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), Falk Miksa utca 9–11, 1055 Budapest (postacím: 1363 Budapest, Pf. 9), www.naih.hu. Az adatfeldolgozó tekintetében az osztrák adatvédelmi hatóság (Österreichische Datenschutzbehörde) illetékes, Barichgasse 40–42, 1030 Bécs, www.dsb.gv.at.