Adatkezelési tájékoztató incidenskezelési és helyreállítási információk átadásához, valamint kapcsolódó üzleti megkeresésekhez kapcsolódó adatkezelésről

1. Az adatkezelő megnevezése

Adatkezelő neve:  White Hat IT Security Szolgáltató és Kereskedelmi Korlátolt Felelősségű Társaság, a továbbiakban: White Hat vagy Adatkezelő

Székhely: 1021 Budapest, Ötvös János u. 3.

Telephely / levelezési cím: 1021 Budapest, Ötvös János u. 3.

Adószám: 26373643-2-41

Cégjegyzékszám: Cg. 01-09-326869

Képviselő: Fehér Sándor, ügyvezető

Adatvédelmi tisztviselő elérhetősége

Név: dr. Enyedi Alexandra
E-mail: privacy@whitehat.eu
Telefon: +36 20 346 9646

2. A Tájékoztató célja és hatálya

Jelen Adatkezelési Tájékoztató célja, hogy tájékoztatást nyújtson azokról a személyesadat-kezelésekről, amelyekre a White Hat által végzett információbiztonsági incidenskezelési és helyreállítási tevékenység során, valamint az érintett külön és önkéntes hozzájárulása esetén üzleti célú megkeresések kapcsán kerül sor.

Az incidenskezelés során szükségessé válhat, hogy a White Hat az érintett rendszer vagy szolgáltatás helyreállításához szükséges kódot, fájlt, hivatkozást vagy egyéb helyreállítási információt egy meghatározott személy részére elektronikus úton eljuttasson. Ennek érdekében a White Hat a címzett azonosításához és a kapcsolattartáshoz szükséges, korlátozott körű személyes adatokat kezeli.

A helyreállításhoz kapcsolódó adatkezeléstől elkülönülő adatkezelési cél a White Hat szolgáltatásaival kapcsolatos üzleti megkeresések küldése. Erre kizárólag akkor kerül sor, ha az érintett ehhez külön, önkéntesen és kifejezetten hozzájárul.

Az üzleti célú adatkezeléshez való hozzájárulás nem feltétele az incidenskezelési vagy helyreállítási információk, kódok vagy fájlok elérésének, illetve letöltésének. A hozzájárulás megtagadása az incidenskezelési szolgáltatás igénybevételét semmilyen módon nem érinti.

Amennyiben az incidenskezelés során átadott vagy vizsgált állományok, rendszerek vagy egyéb információk további személyes adatokat tartalmaznak, azok kezelése nem jelen Tájékoztató szerinti kapcsolattartási adatkezelés részét képezi, hanem az adott incidenskezelési megbízás és az ahhoz kapcsolódó szerződéses, illetve adatvédelmi rendelkezések szerint történik.

3. A kezelt személyes adatok köre

3.1. Incidenskezelési és helyreállítási célú adatkezelés

A White Hat az incidens kezeléséhez és a helyreállításhoz szükséges információk átadása során az alábbi adatokat kezelheti:

A szolgáltatást igénybe vevő szervezetre vonatkozó adat:

• cégnév.

Az érintettre vonatkozó személyes adat:

• az érintett e-mail címe.

Jogi személy cégneve önmagában nem minősül személyes adatnak. Amennyiben azonban a megadott cégnév természetes személy azonosítására alkalmas – így különösen egyéni vállalkozó esetén –, az adat személyes adatnak minősülhet, és arra jelen Tájékoztató személyes adatok kezelésére vonatkozó rendelkezései alkalmazandók.

Az alkalmazott informatikai rendszerek működéséből adódóan az elektronikus kommunikációval, a fájlhoz történő hozzáféréssel és annak letöltésével kapcsolatban technikai naplóadatok is keletkezhetnek, így különösen a hozzáférés időpontja, a letöltés ténye és időpontja, valamint a rendszer működéséhez és biztonságához szükséges technikai naplóadatok.

A White Hat az adatminimalizálás elvének megfelelően kizárólag az adott cél megvalósításához szükséges személyes adatokat kezeli.

3.2. Üzleti célú megkeresésekhez kapcsolódó adatkezelés

Amennyiben az érintett ehhez külön és önkéntesen hozzájárul, a White Hat az alábbi adatokat kezelheti üzleti célú megkeresések érdekében:

A szervezetre vonatkozó adat:

• cégnév.

Az érintettre vonatkozó személyes adatok:

• az érintett neve;
• az érintett e-mail címe;
• az érintett telefonszáma, amennyiben a hozzájárulás telefonos megkeresésre is kiterjed.

Az üzleti célú személyesadat-kezelés kizárólag az érintett által megadott önkéntes hozzájárulás keretei között történik.

4. Az adatkezelés célja

4.1. Incidenskezelési és helyreállítási cél

A személyes adatok kezelésének célja:

• az incidenskezelési vagy helyreállítási folyamatban érintett személy azonosítása;
• az incidens kezeléséhez szükséges kapcsolattartás;
• az incidens elhárításához vagy a rendszer helyreállításához szükséges kód, fájl, hivatkozás vagy egyéb információ megfelelő címzett részére történő eljuttatása;
• annak biztosítása, hogy a helyreállításhoz szükséges információ kizárólag az arra jogosult személy részére kerüljön átadásra;
• az incidenskezelési és helyreállítási folyamat biztonságos és ellenőrizhető végrehajtása.

A fenti célból kezelt személyes adatokat a White Hat nem használja fel üzleti vagy marketingcélú megkeresésre, kivéve, ha az érintett ehhez külön, kifejezetten hozzájárult.

4.2. Üzleti célú megkeresés

Az érintett külön hozzájárulása esetén az adatkezelés célja, hogy a White Hat az érintettet saját szolgáltatásaival, szakmai megoldásaival, ajánlataival, illetve egyéb üzleti lehetőségekkel kapcsolatban megkereshesse.

Az üzleti megkeresések különösen elektronikus levélben, valamint – amennyiben az érintett hozzájárulása erre is kiterjed – telefonon történhetnek.

Az üzleti célú adatkezelés az incidenskezelési és helyreállítási célú adatkezeléstől független.

5. Az adatkezelés jogalapja

5.1. Incidenskezelési és helyreállítási adatkezelés – jogos érdek

Amennyiben az érintett az incidenskezelési szolgáltatást igénybe vevő szervezet munkavállalója, kapcsolattartója, képviselője vagy egyéb közreműködője, az adatkezelés jogalapja az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 6. cikk (1) bekezdés f) pontja szerinti jogos érdek.

A White Hat, valamint az incidenskezelési szolgáltatást igénybe vevő szervezet jogos érdeke, hogy:

• az információbiztonsági incidens megfelelően és hatékonyan kezelhető legyen;
• az érintett rendszerek és szolgáltatások helyreállítása megtörténjen;
• a helyreállításhoz szükséges információk kizárólag az arra jogosult személyhez kerüljenek;
• a helyreállítással kapcsolatos kommunikáció biztonságosan és ellenőrizhető módon történjen.

A White Hat az adatkezelést kizárólag az ehhez szükséges minimális adatkörre korlátozza.

Az Adatkezelő megítélése szerint az adatkezelés az érintett jogaira és szabadságaira nézve korlátozott kockázatot jelent, és az érintett az incidenskezelési folyamatban betöltött szerepére tekintettel észszerűen számíthat arra, hogy kapcsolattartási adatai e célból kezelésre kerülnek.

5.2. Szerződés teljesítéséhez kapcsolódó adatkezelés

Amennyiben az incidenskezelési szolgáltatás igénybe vevője közvetlenül maga az érintett természetes személy, az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés b) pontja alapján a szerződés teljesítése, illetve az érintett kérésére a szerződés megkötését megelőző lépések megtétele lehet.

5.3. Üzleti célú megkeresés – hozzájárulás

Az üzleti célú megkeresésekhez kapcsolódó adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés a) pontja szerinti önkéntes hozzájárulás.

Az érintett a hozzájárulását külön erre szolgáló nyilatkozat, illetve jelölőnégyzet segítségével adhatja meg.

A hozzájárulás:

• önkéntes;
• az incidenskezelési szolgáltatás igénybevételétől független;
• nem feltétele a helyreállításhoz szükséges információ, kód vagy fájl elérésének vagy letöltésének;
• bármikor, indokolás nélkül és ingyenesen visszavonható.

A hozzájárulás visszavonása nem érinti a visszavonás előtt, a hozzájárulás alapján végzett adatkezelés jogszerűségét.

Természetes személy részére közvetlen üzletszerzési célú reklám, így különösen elektronikus levél útján történő üzleti megkeresés küldésére kizárólag az érintett előzetes, egyértelmű és kifejezett hozzájárulása alapján kerül sor, figyelemmel a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény 6. §-ára is.

6. A személyes adatok forrása

6.1. Incidenskezelési és helyreállítási adatkezelés

A személyes adatokat:

• közvetlenül az érintett; vagy
• az incidenskezelési szolgáltatást igénybe vevő szervezet

bocsáthatja a White Hat rendelkezésére.

Amennyiben a személyes adatokat nem közvetlenül az érintett adja meg, azok jellemzően az érintett munkáltatójától, megbízójától vagy az incidenskezelési szolgáltatást igénybe vevő szervezettől származnak.

6.2. Üzleti célú adatkezelés

Az üzleti megkeresés céljából kezelt személyes adatok az érintettől származnak.

A White Hat az érintett adatait üzleti célú megkeresésre kizárólag akkor használja fel, ha az érintett ehhez külön hozzájárulását adta.

7. Az adatok megadásának szükségessége

Az érintett e-mail címének megadása szükséges ahhoz, hogy a White Hat az incidens helyreállításához szükséges fájlt vagy egyéb helyreállítási információt a Tresorit szolgáltatáson keresztül az arra jogosult személy számára biztonságosan elérhetővé tegye.

Az e-mail cím e célból történő kezelése az incidens-helyreállítási folyamat részét képezi. Az adat megadása nélkül a fájl elektronikus úton történő rendelkezésre bocsátása nem vagy csak más, előzetesen egyeztetett módon biztosítható.

Az üzleti célú adatkezeléshez történő hozzájárulás ettől teljesen elkülönül, és önkéntes. A hozzájárulás megtagadása nem akadályozza és nem korlátozza az incidens-helyreállításhoz szükséges fájl vagy információ elérését.

8. A személyes adatok címzettjei

Az incidenskezelési és helyreállítási célból kezelt személyes adatokhoz a White Hat azon munkatársai férhetnek hozzá, akiknek az incidenskezelési, helyreállítási, informatikai vagy kapcsolódó adminisztratív feladataik ellátásához az adatok megismerése szükséges.

Az üzleti célból kezelt személyes adatokhoz kizárólag a White Hat azon munkatársai férhetnek hozzá, akiknek az üzleti kapcsolattartási, értékesítési vagy kapcsolódó adminisztratív feladataik ellátásához az adatok megismerése szükséges.

A hozzáférés minden esetben a szükséges és indokolt mértékre korlátozott.

A White Hat a személyes adatokat harmadik személy részére kizárólag akkor továbbítja, ha:

• az az adott adatkezelési cél megvalósításához szükséges;
• arra megfelelő jogalappal rendelkezik; vagy
• az adattovábbítást jogszabály írja elő.

9. Adatfeldolgozók igénybevétele

A White Hat az incidenskezelési és helyreállítási folyamat során elektronikus kommunikációs, fájltárolási és biztonságos fájlmegosztási szolgáltatásokat vesz igénybe. Ennek keretében az alábbi adatfeldolgozók a szolgáltatások biztosításához szükséges mértékben személyes adatokat kezelhetnek.

9.1. Tresorit

Adatfeldolgozó / szolgáltató: Tresorit AG
Székhely: Pfingstweidstrasse 60b, 8005 Zürich, Svájc
Igénybe vett szolgáltatás: Tresorit biztonságos fájlmegosztási és fájltárolási szolgáltatás

A White Hat a Tresorit szolgáltatását az incidens-helyreállításhoz szükséges fájlok, kódok vagy egyéb információk biztonságos elérhetővé tételére és megosztására használja.

A Tresorit ennek során különösen az alábbi adatok, illetve adatkezelési műveletek tekintetében járhat el adatfeldolgozóként:

• az érintett e-mail címének kezelése a fájlhoz történő hozzáférés biztosítása érdekében;
• a fájlmegosztáshoz kapcsolódó technikai adatok kezelése;
• a hozzáféréshez és letöltéshez kapcsolódó technikai naplóadatok kezelése;
• a megosztott állományok biztonságos tárolásának és továbbításának technikai biztosítása.

A Tresorit az adatokat a White Hat utasításai, valamint a szolgáltatáshoz kapcsolódó szerződéses és adatfeldolgozási feltételek alapján kezeli.

9.2. Microsoft

Adatfeldolgozó / szolgáltató: Microsoft
Igénybe vett szolgáltatás: Microsoft 365

A White Hat a Microsoft 365 szolgáltatásokat az incidenskezelési folyamat során szükséges elektronikus kommunikációhoz és kapcsolódó informatikai műveletekhez használhatja.

A Microsoft ennek keretében különösen elektronikus levelezési, adattárolási, naplózási és egyéb technikai műveleteket végezhet.

A Microsoft az adatkezelést a White Hat által igénybe vett szolgáltatáshoz kapcsolódó szerződéses és adatfeldolgozási feltételek alapján végzi.

10. Harmadik országba történő adattovábbítás

A White Hat által igénybe vett egyes adatfeldolgozók az Európai Gazdasági Térségen kívül is működhetnek.

A Tresorit szolgáltatását a svájci székhelyű Tresorit AG biztosítja. Svájcot az Európai Bizottság olyan harmadik országként ismeri el, amely megfelelő szintű védelmet biztosít a személyes adatok számára, ezért az Európai Gazdasági Térségből Svájcba történő adattovábbítás a GDPR 45. cikke szerinti megfelelőségi határozat alapján történhet.

Amennyiben a Microsoft vagy más igénybe vett szolgáltató működése során az Európai Gazdasági Térségen kívüli, megfelelő védelmi szintet biztosító országnak nem minősülő harmadik országba történő adattovábbításra kerül sor, az adattovábbítás kizárólag a GDPR V. fejezetében meghatározott feltételek és megfelelő garanciák alkalmazásával történhet.

11. A személyes adatok tárolásának időtartama

11.1. Incidenskezelési és helyreállítási adatkezelés

A White Hat az incidenskezelési és helyreállítási célból kezelt személyes adatokat kizárólag az adatkezelési cél megvalósításához szükséges ideig kezeli.

Az incidenshez kapcsolódó helyreállítási információ átadásához kezelt személyes adatokat a White Hat az incidenskezelési, illetve helyreállítási folyamat lezárását követően legfeljebb 15 napig őrzi meg, ezt követően az adatokat törli, kivéve, ha:

• az adatok további megőrzését jogszabály írja elő;
• az adatok megőrzése jogi igény előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges; vagy
• az adott adat kezelése más, megfelelő jogalapon és más adatkezelési célból továbbra is indokolt.

11.2. Üzleti célú adatkezelés

Az üzleti célú megkereséshez kapcsolódó személyes adatokat a White Hat az érintett hozzájárulásának visszavonásáig, illetve az adatkezelési cél fennállásáig kezeli.

A hozzájárulás visszavonása esetén a White Hat az érintett személyes adatait üzleti célú megkeresésre a továbbiakban nem használja fel, és az érintettet az üzleti célú megkeresések címzettjeinek nyilvántartásából törli.

Az Adatkezelő rendszeresen felülvizsgálja, hogy az üzleti célú személyes adatok további kezelése szükséges-e.

12. Adatbiztonság

A White Hat megfelelő technikai és szervezési intézkedéseket alkalmaz annak érdekében, hogy a személyes adatokat a jogosulatlan hozzáféréssel, megváltoztatással, továbbítással, nyilvánosságra hozatallal, törléssel, megsemmisítéssel, valamint a véletlen megsemmisüléssel vagy sérüléssel szemben megvédje.

A személyes adatokhoz való hozzáférés kizárólag az arra felhatalmazott személyek számára, feladataik ellátásához szükséges mértékben biztosított.

A White Hat az incidenskezelési és helyreállítási információk továbbítása során különös figyelmet fordít arra, hogy az információk kizárólag az arra jogosult címzett számára legyenek hozzáférhetők.

13. Automatizált döntéshozatal és profilalkotás

A White Hat a jelen Tájékoztató szerinti személyes adatokkal kapcsolatban automatizált döntéshozatalt és profilalkotást nem végez.

14. Az érintett adatkezeléssel kapcsolatos jogai

Az érintett a GDPR rendelkezéseinek megfelelően az alábbi jogokat gyakorolhatja.

14.1. Hozzáféréshez való jog

Az érintett jogosult tájékoztatást kérni arról, hogy a White Hat kezeli-e a személyes adatait.

Amennyiben személyes adatainak kezelése folyamatban van, jogosult többek között tájékoztatást kapni:

• az adatkezelés céljáról;
• a kezelt személyes adatok kategóriáiról;
• a címzettekről vagy címzetti kategóriákról;
• az adatok tárolásának tervezett időtartamáról;
• az adatkezeléssel kapcsolatos jogairól.

Az érintett jogosult továbbá az adatkezelés tárgyát képező személyes adatainak másolatát kérni.

14.2. Helyesbítéshez való jog

Az érintett kérheti a rá vonatkozó pontatlan személyes adatok helyesbítését, illetve – az adatkezelés céljára figyelemmel – a hiányos személyes adatok kiegészítését.

14.3. Törléshez való jog

Az érintett a GDPR-ban meghatározott feltételek fennállása esetén kérheti személyes adatainak törlését.

A törléshez való jog nem alkalmazható többek között akkor, ha az adatkezelés jogi kötelezettség teljesítéséhez vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges.

14.4. Az adatkezelés korlátozásához való jog

Az érintett jogosult kérni személyes adatai kezelésének korlátozását, különösen, ha:

• vitatja a személyes adatok pontosságát;
• az adatkezelés jogellenes, de ellenzi az adatok törlését;
• a White Hatnak már nincs szüksége az adatokra az adatkezelés céljából, de az érintett jogi igény érvényesítéséhez igényli azokat; vagy
• az érintett tiltakozott a jogos érdeken alapuló adatkezelés ellen, és még nem került megállapításra, hogy a White Hat jogos indokai elsőbbséget élveznek-e.

14.5. Tiltakozáshoz való jog

Amennyiben az adatkezelés a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeken alapul, az érintett jogosult a saját helyzetével kapcsolatos okból bármikor tiltakozni személyes adatainak kezelése ellen.

Tiltakozás esetén a White Hat a személyes adatokat nem kezeli tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódik.

14.6. Adathordozhatósághoz való jog

Amennyiben az adatkezelés szerződés teljesítésén vagy hozzájáruláson alapul, és az adatkezelés automatizált módon történik, az érintett a GDPR-ban meghatározott feltételek szerint jogosult lehet arra, hogy az általa a White Hat rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, illetve kérje azok más adatkezelő részére történő továbbítását.

A jogos érdeken alapuló adatkezelés esetén az adathordozhatósághoz való jog nem alkalmazandó.

14.7. A hozzájárulás visszavonásához való jog

Amennyiben az adatkezelés az érintett hozzájárulásán alapul, így különösen az üzleti célú megkeresések esetén, az érintett jogosult hozzájárulását bármikor, indokolás nélkül és ingyenesen visszavonni.

A hozzájárulás visszavonása nem érinti a visszavonást megelőző adatkezelés jogszerűségét. A hozzájárulás visszavonását követően a White Hat az érintettet üzleti célú megkereséssel nem keresi meg.

15. Az érintetti jogok gyakorlása

Az érintett az adatkezeléssel kapcsolatos kérelmét az alábbi elérhetőségen nyújthatja be:

White Hat IT Security Szolgáltató és Kereskedelmi Kft.
1021 Budapest, Ötvös János u. 3.
E-mail: privacy@whitehat.eu

Az üzleti célú hozzájárulás visszavonását az érintett a fenti e-mail címen, illetve az üzleti megkeresésben megjelölt leiratkozási vagy kapcsolattartási lehetőségen keresztül is kezdeményezheti.

A White Hat az érintett kérelméről indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatást ad.

Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A White Hat a határidő meghosszabbításáról és annak indokairól a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet.

Amennyiben a White Hatnak megalapozott kétsége merül fel a kérelmet benyújtó személy személyazonosságával kapcsolatban, az érintett személyazonosságának megerősítéséhez szükséges további információt kérhet.

16. Panasz benyújtásának joga

Amennyiben az érintett úgy ítéli meg, hogy személyes adatainak kezelése sérti a vonatkozó adatvédelmi jogszabályokat, jogosult panaszt tenni a felügyeleti hatóságnál.

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Cím: 1055 Budapest, Falk Miksa utca 9–11.
Levelezési cím: 1363 Budapest, Pf. 9.
Telefon: +36 (1) 391-1400
E-mail: ugyfelszolgalat@naih.hu
Honlap: www.naih.hu

Az érintett jogosult továbbá bírósági jogorvoslatot igénybe venni, ha megítélése szerint személyes adatainak kezelése során megsértették a GDPR alapján fennálló jogait.

17. A Tájékoztató módosítása

A White Hat jogosult jelen Adatkezelési Tájékoztatót a jogszabályi környezet, az alkalmazott technológia vagy az adatkezelési folyamat változása esetén módosítani.

A mindenkor hatályos Tájékoztató a White Hat által meghatározott felületen érhető el.