Adatvédelem

Általános rész

Bevezetés

A Jelen adatvédelmi szabályzat (a továbbiakban: „Szabályzat”) célja, hogy szabályozza a Krupp-System Kft (a továbbiakban: „Krupp-System Kft” vagy „adatkezelő”) személyes adatokat érintő adatkezelési tevékenységét, és biztosítsa az adatalanyok magánszférájának védelmét, érintetti jogait, eleget téve a mindenkor hatályos adatvédelmi jogszabályok követelményeinek, különösen az Európai Unió Általános Adatvédelmi Rendeletének (GDPR - EU 2016/679), valamint az ISO 27001 és a NIS2 irányelv előírásainak.

Az utasítás tárgyi hatálya

Az utasítás tárgyi hatálya azokra a tevékenységekre, folyamatokra és rendszerekre vonatkozik, amelyek az adatvédelmi és információbiztonsági szabályzat keretében szabályozásra kerülnek.
Jelen esetben a Krupp-System Kft Adatvédelmi és Információbiztonsági Szabályzata tárgyi hatálya kiterjed minden olyan rendszerre, tevékenységre, amely során a Krupp-System Kft személyes adatokat kezel vagy dolgoz fel.

Ez magában foglalja:

• Az összes adatkezelési műveletet (gyűjtés, tárolás, rendszerezés, felhasználás, továbbítás, törlés stb.).
• Az adatkezelési folyamatokhoz kapcsolódó információbiztonsági intézkedéseket.
• Az adatfeldolgozók által végzett adatkezelési tevékenységeket.
• A személyes adatokat kezelő informatikai rendszerek működését és biztonságát.
• A kiberbiztonsági előírásokat, beleértve a NIS2 és ISO 27001 szabványnak való megfelelést.

Tehát a tárgyi hatály minden adatvédelmi és biztonsági rendszerre, előírásra és intézkedésre vonatkozik, amelyeket a Krupp-System Kft a személyes adatok kezelése során alkalmaz.

Az utasítás alanyi hatálya

A Jelen Szabályzat alanyi hatálya kiterjed minden olyan személyre, aki a Krupp-System Kft tevékenységében részt vesz, valamint akinek a személyes adatait a Krupp-System Kft kezeli, ideértve különösen:

• A Krupp-System Kft munkavállalóit: Akik a munkaviszonyukból vagy egyéb foglalkoztatási jogviszonyukból eredően személyes adatokat kezelnek, valamint akiknek a személyes adatait a társaság kezeli.
• Szerződéses partnereket és alvállalkozókat: Akik a Krupp-System Kft-vel kötött szerződés alapján adatokat kezelnek, vagy azokhoz hozzáférnek.
• Ügyfeleket, megrendelőket és felhasználókat: Akik a Krupp-System Kft szolgáltatásait igénybe veszik, vagy a társasággal kapcsolatban állnak, és személyes adataikat a társaság kezeli.
• Adatfeldolgozókat: Akik a Krupp-System Kft nevében személyes adatokat kezelnek, és az adatfeldolgozási feladataik során a szabályzatban foglaltakat kötelesek betartani.
• Harmadik felek: Akik a Krupp-System Kft-vel kapcsolatba kerülnek, és személyes adataikat a társaság kezeli, például weboldal látogatók, hírlevél feliratkozók, panaszbejelentők.

.

Kapcsolódó szabályzatok, jogszabályok

Jogszabályok

Hivatkozott és kapcsolódó szabályzatok, dokumentumok

Hivatkozó szabályzatok, dokumentumok

Dokumentum minősítése

• A Minősítés: Nyilvános
• Felhasználási cél: A Szabályzatkészítési előlap nélkül az interneten és a Krupp-System Kft hivatalos honlapján közzétehető verzió.
• Célközönség: A Krupp-System Kft ügyfelei, partnerei, alkalmazottai, adatvédelmi hatóságok és minden érintett, akit a személyes adatok kezelése érint.
• Közzététel platformja: A Krupp-System Kft hivatalos honlapján (www.kruppsystem.hu).

Ez a dokumentum nyilvánosan elérhető, mivel a benne foglalt információk minden érintett számára fontosak és relevánsak az adatkezeléssel kapcsolatos jogok és kötelezettségek megismerése érdekében. A dokumentum nem tartalmaz olyan bizalmas információkat, amelyek védelmet igényelnének, így a nyilvánosság számára közzétehető.

Közzététel lehetőségei a honlapon

• A dokumentum PDF formátumban közzétehető, amely könnyen hozzáférhető és letölthető az érdeklődők számára.
• A weboldalon keresztül közvetlenül olvasható verzió is elérhetővé tehető, amelyet a látogatók közvetlenül böngészhetnek, anélkül hogy letöltésre lenne szükség.
• Biztosítható egy érthető, könnyen navigálható felület, ahol a látogatók egyszerűen megtalálják az érintettekre vonatkozó jogokat és kötelezettségeket, illetve a kapcsolatfelvételi információkat az adatvédelmi tisztviselőhöz.

Fogalmak

Adatkezelő
Az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. Ebben az esetben az adatkezelő a Krupp-System Kft.

Adatfeldolgozó
Az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel. Az adatfeldolgozó csak az adatkezelő utasításainak megfelelően végezhet adatkezelési műveleteket.

Személyes adat
Azonosított vagy azonosítható természetes személyre vonatkozó bármely információ. Azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, például név, azonosító szám, helymeghatározó adat, online azonosító vagy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

Különleges adat
A személyes adatok azon kategóriája, amely különleges védelmet igényel. Ide tartoznak a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre, szakszervezeti tagságra, genetikai és biometrikus adatokra, egészségügyi adatokra, valamint a szexuális életre vagy szexuális irányultságra vonatkozó adatok.

Minősített adat
A minősített adat olyan információ vagy adat, amelyet nemzeti vagy nemzetközi jogszabályok titkosnak, bizalmasnak, korlátozott terjesztésűnek vagy más módon minősítettnek tekintenek. A minősített adat különleges védelmet igényel, és kezelését szigorú szabályok határozzák meg, különös tekintettel az adat bizalmasságának, sértetlenségének és rendelkezésre állásának biztosítására.

Adatkezelés
A személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így például gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás, lekérdezés, felhasználás, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel, valamint az adatok törlése vagy megsemmisítése.

Adatvédelmi incidens
A biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy jogosulatlan hozzáférését eredményezi.

Érintett
Az a természetes személy, akinek a személyes adatait kezelik. Az érintett lehet például ügyfél, alkalmazott, vagy egy harmadik fél, akinek az adatait a Krupp-System Kft kezeli.

Hozzájárulás
Az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló, egyértelmű nyilatkozata, amellyel beleegyezését adja személyes adatainak kezeléséhez.

Tiltakozás
Az érintett nyilatkozata, amelyben kifogásolja személyes adatainak kezelését, és az adatkezelés megszüntetését, illetve a kezelt adatok törlését kéri.

Profilalkotás
Személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat a természetes személyhez fűződő bizonyos jellemzők értékelésére használják, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez vagy megbízhatósághoz kapcsolódó jellemzők elemzésére vagy előrejelzésére.

Adatvédelmi tisztviselő (DPO)
Az a személy, akit az adatkezelő vagy adatfeldolgozó kijelöl, hogy biztosítsa a személyes adatok kezelésének jogszerűségét és a GDPR-nek való megfelelést. A DPO tájékoztatja és tanácsot ad az adatkezelési kérdésekben, továbbá kapcsolatot tart a felügyeleti hatóságokkal.

Adattovábbítás
A személyes adatok harmadik személy számára történő hozzáférhetővé tétele. Adattovábbításnak minősül az adatok átadása más adatkezelőnek vagy adatfeldolgozónak.

Nyilvánosságra hozatal
Az a folyamat, amikor a személyes adatokat bárki számára hozzáférhetővé teszik, például internetes közzététellel.

Álnevesítés
Olyan technikai eljárás, amelynek során a személyes adatokat olyan módon kezelik, hogy további információk nélkül ne lehessen azonosítani az érintettet. Az álnevesítés célja, hogy csökkentse az adatkezelés során a természetes személyek jogaira és szabadságaira jelentett kockázatot.

Harmadik személy
Az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt személyes adatokat kezelhetnek.

Az Adatvédelmi és Információbiztonsági Szabályzat
Általános Szabályai

Az Adatvédelmi és Információbiztonsági Szabályzat célja

A Jelen adatvédelmi és információbiztonsági szabályzat (a továbbiakban: „Szabályzat”) célja, hogy:

1. Biztosítsa az érintettek személyes adatainak védelmét
   A Krupp-System Kft elkötelezett a személyes adatok jogszerű és biztonságos kezelése mellett, és törekszik az érintettek magánszférájának védelmére. A Szabályzat részletesen meghatározza, hogyan kell kezelni, tárolni, továbbítani és védeni az érintettek személyes adatait, különös figyelemmel a vonatkozó adatvédelmi jogszabályok, különösen az Európai Unió Általános Adatvédelmi Rendelete (GDPR) betartására.
2. Előírja az adatkezelési folyamatok és eljárások átláthatóságát
   A Szabályzat célja, hogy átlátható módon szabályozza, mikor és hogyan kezel személyes adatokat a Krupp-System Kft, beleértve az adatkezelés célját, jogalapját, időtartamát és az érintettek jogait.
3. Meghatározza a Krupp-System Kft kötelezettségeit és az érintettek jogait
   A Szabályzat rögzíti a Krupp-System Kft kötelezettségeit az adatkezelés során, valamint biztosítja az érintettek jogait (pl. tájékoztatáshoz való jog, hozzáférési jog, törléshez való jog), hogy azok teljes mértékben érvényesülhessenek az adatkezelési tevékenységek során.
4. Biztosítsa az információbiztonságot és a kiberbiztonsági előírások betartását
   A Szabályzat célja az is, hogy biztosítsa az információbiztonsági intézkedések megfelelő szintjét az ISO 27001 szabvány és a NIS2 irányelv követelményeinek megfelelően. Ezen intézkedések célja, hogy védelmet nyújtsanak a személyes adatok jogosulatlan hozzáférése, elvesztése, megsemmisítése vagy módosítása ellen.
5. Szabályozza az adatvédelmi incidensek kezelését és jelentését
   A Szabályzat célja az is, hogy meghatározza az adatvédelmi incidensek kezelésének módját, beleértve a jelentéstételi kötelezettségeket a felügyeleti hatóságok felé, az érintettek tájékoztatását és az incidensekre adott válaszlépéseket.
6. Jogszabályi megfelelés biztosítása
   A Szabályzat célja továbbá, hogy a Krupp-System Kft adatkezelési és információbiztonsági tevékenységei összhangban legyenek a hatályos adatvédelmi jogszabályokkal (pl. GDPR, Infotv.), valamint az ISO 27001 és NIS2 szabványok előírásaival.
7. Tudatosság növelése és felelősségteljes adatkezelési gyakorlat kialakítása
   A Szabályzat segít abban, hogy minden munkavállaló, szerződéses partner és adatfeldolgozó tisztában legyen az adatvédelmi kötelezettségekkel és biztonsági követelményekkel, és ezáltal a Krupp-System Kft-ben egy egységes, felelősségteljes adatkezelési gyakorlat alakuljon ki.

Az adatkezelő adatai

• Adatkezelő neve: Krupp-System Kft.
• Székhely: 2045 Törökbálint, DEPO 062/32 hrsz.
• Cégjegyzékszám: 13-09-106428
• Adószám: 12811120-2-13
• Postai cím: 2046 Törökbálint, Pf. 31.
• Telefon: (+36) 23 511 030
• E-mail: adatkezeles(kukac)kruppsystem.hu

A Krupp-System Kft mint adatkezelő elkötelezett a személyes adatok jogszerű és átlátható kezelése iránt, és biztosítja az érintettek jogainak tiszteletben tartását.

Az adatkezelés céljai és jogalapja

A Krupp-System Kft az alábbi célok érdekében kezeli a személyes adatokat:

• Kapcsolattartás ügyfelekkel és partnerekkel.
• Szolgáltatásnyújtás és szerződéses kötelezettségek teljesítése.
• Jogszabályi kötelezettségek teljesítése.
• Jogos érdekek érvényesítése.

Jogalapok

Az adatkezelés az alábbi jogalapok alapján történik, a GDPR 6. cikkének megfelelően:

• Hozzájárulás alapján.
• Szerződés teljesítése érdekében.
• Jogi kötelezettség teljesítése céljából.
• Az adatkezelő jogos érdekei alapján, kivéve, ha ezekkel szemben az érintett jogai és szabadságai elsőbbséget élveznek.

A Krupp-System Kft az Információbiztonsági Szabályzata (IBSZ) alapján minősített adatokat nem kezel. Minősített adatnak minősül minden olyan információ, amelyet nemzeti vagy nemzetközi jogszabályok szerint titkosnak, bizalmasnak, korlátozott terjesztésűnek vagy más módon védettnek tekintenek.

Személyes adatok kezelése

Adatok köre

Az adatkezelés során az alábbi személyes adatokat kezeljük:

• Név
• E-mail cím
• Telefonszám
• Cím
• Születési adatok, azonosítószámok
• Egyéb, az érintett által megadott azonosító információk

Adatfeldolgozók és címzettek

A Krupp-System Kft adatfeldolgozókat vehet igénybe az adatkezelési tevékenységek végrehajtására. Ezek a harmadik felek megfelelő adatvédelmi garanciákkal rendelkeznek, és szigorúan a GDPR előírásainak megfelelően végzik tevékenységüket.

Érintettek jogai

Az érintettek a következő jogokkal rendelkeznek a Krupp-System Kft által kezelt személyes adataik kapcsán:

1. Tájékoztatáshoz való jog: Az érintettek jogosultak tájékoztatást kérni a Krupp-System Kft-től arról, hogy hogyan, miért és milyen adatokat kezelnek.
2. Hozzáférési jog: Az érintettek kérhetik a Krupp-System Kft-től, hogy megismerhessék az általuk kezelt személyes adataikat, és másolatot kérhetnek róluk.
3. Helyesbítéshez való jog: Az érintettek kérhetik személyes adataik módosítását, amennyiben azok pontatlanok vagy hiányosak.
4. Törléshez való jog („elfeledtetéshez való jog”): Az érintettek kérhetik személyes adataik törlését, ha az adatkezelés jogalapja megszűnt, például a hozzájárulás visszavonásra került.
5. Adatkezelés korlátozásának joga: Az érintettek jogosultak kérni, hogy személyes adataik kezelését korlátozzuk, például ha vitatják azok pontosságát.
6. Adathordozhatósághoz való jog: Az érintettek kérhetik a róluk kezelt adatok másolatát egy általuk megnevezett másik adatkezelőhöz történő továbbítás céljából.
7. Tiltakozáshoz való jog: Az érintettek tiltakozhatnak személyes adataik kezelése ellen, különösen akkor, ha az adatkezelés a Krupp-System Kft jogos érdekei alapján történik.
8. Automatizált döntéshozatalhoz és profilalkotáshoz való jog: Az érintettek jogosultak arra, hogy ne terjedjen ki rájuk olyan döntés, amely kizárólag automatizált adatkezelésen alapul, kivéve, ha az szükséges a szerződés megkötéséhez, vagy az érintett hozzájárult.

Bejelentési kötelezettségek

Adatvédelmi incidens bejelentése

A Krupp-System Kft adatvédelmi incidens esetén köteles indokolatlan késedelem nélkül, de legkésőbb 72 órán belül jelentést tenni a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), amennyiben az incidens valószínűsíthetően kockázatot jelent az érintettek jogaira és szabadságaira nézve.

Adatvédelmi incidens bejelentésének módja és elérhetőségei

Amennyiben a Krupp-System Kft adatvédelmi incidenst észlel, a következő lépéseket kell követni:

1. Bejelentés határideje:
   Az adatvédelmi incidenst az adatkezelő (Krupp-System Kft) köteles indokolatlan késedelem nélkül, de legkésőbb 72 órán belül bejelenteni a felügyeleti hatóságnak, amennyiben az incidens valószínűsíthetően kockázatot jelent az érintettek jogaira és szabadságaira.
2. Incidens bejelentése a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) felé:

• Hatóság neve: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
• Székhely: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
• Postacím: 1530 Budapest, Pf.: 5.
• Telefon: +36 1 391 1400
• Fax: +36 1 391 1410
• E-mail: ugyfelszolgalat@naih.hu
• Incidensbejelentési űrlap elérhetősége: NAIH Adatvédelmi Incidensbejelentő Rendszer

• Az adatvédelmi incidens jellege: Az incidens típusának részletes leírása, beleértve a sérült adatok kategóriáit és az érintettek számát.
• Az adatvédelmi tisztviselő neve és elérhetőségei: Az adatvédelmi tisztviselő, aki a Krupp-System Kft-nél felelős az adatvédelemért (név, telefonszám, e-mail cím).
• A várható következmények: Az incidens következményeinek leírása, beleértve az érintettekre gyakorolt lehetséges hatásokat.
• Az adatkezelő által tett intézkedések: Az adatkezelő által az incidens kezelésére tett vagy tervezett intézkedések ismertetése, beleértve az esetleges káros következmények enyhítésére tett lépéseket.

Jogorvoslati lehetőségek

Az érintettek az alábbi jogorvoslati lehetőségekkel élhetnek, ha úgy vélik, hogy személyes adataik kezelésével kapcsolatban jogsérelem érte őket:

1. Panasz benyújtása a felügyeleti hatósághoz
   Az érintett panaszt nyújthat be a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH):

• Név: Nemzeti Adatvédelmi és Információszabadság Hatóság
• Székhely: 1125 Budapest, Szilágyi Erzsébet fasor 22/c.
• Telefon: +36 1 391 1400
• E-mail: ugyfelszolgalat@naih.hu
• Weboldal: NAIH weboldal

Adatvédelmi tisztviselő (DPO)

A Krupp-System Kft adatvédelmi tisztviselőt nevezett ki, aki figyelemmel kíséri az adatvédelmi előírásoknak való megfelelést, tanácsot ad az adatkezelési kérdésekben, és kapcsolatot tart a hatóságokkal.

Adatvédelmi tisztviselő neve és elérhetőségei:

• Név: Boros Bernadett Alexandra
• Székhely: 2045 Törökbálint, DEPO 062/32 hrsz.
• Telefon: (+36) 30 2871261
• E-mail: adatkezeles (kukac) kruppsystem.hu

Adatbiztonsági és kiberbiztonsági intézkedések

ISO 27001 előírások

A Krupp-System Kft a személyes adatok védelme érdekében az ISO 27001 szabványnak megfelelően a következő intézkedéseket alkalmazza:

1. Hozzáférés-szabályozás: Csak az arra jogosult alkalmazottak férhetnek hozzá a személyes adatokhoz. A hozzáférési jogokat rendszeresen felülvizsgáljuk.
2. Titkosítás: Biztosítjuk a személyes adatok bizalmasságát a titkosítás használatával.
3. Incidenskezelés: Az adatvédelmi incidenseket szigorú eljárás alapján kezeljük, az incidensek dokumentálása és bejelentése megtörténik az érintettek és a hatóságok felé.
4. Folyamatos kockázatkezelés: A kockázatokat rendszeresen értékeljük, és adatvédelmi hatásvizsgálatot végzünk, ahol szükséges.

NIS2 előírások

A NIS2 irányelvnek való megfelelés érdekében a Krupp-System Kft az alábbi kiberbiztonsági intézkedéseket alkalmazza:

1. Rendszerbiztonság fenntartása: A kritikus IT rendszereket és hálózatokat folyamatosan felügyeljük és biztosítjuk azok védelmét.
2. Incidensjelentés: A kiberbiztonsági incidenseket azonnal jelentjük a releváns hatóságoknak és megkezdjük a helyreállítást a káros következmények minimalizálása érdekében.
3. Folytonossági tervek: Biztosítjuk az IT rendszerek folyamatos működését, és folyamatainkban rendszeresen teszteljük a vészhelyzeti helyreállítási terveket.

Adatkezelési nyilvántartások

A Krupp-System Kft részletes nyilvántartást vezet az adatkezelési műveleteiről, beleértve az alábbi információkat:

• Az adatkezelés célját.
• Az érintett adatok kategóriáit.
• A címzetteket.
• A tárolás időtartamát.
• A jogalapot.

Ezek a nyilvántartások az adatvédelmi tisztviselő felügyelete alatt készülnek, és szükség esetén elérhetők a hatóságok számára.

Záró és kiegészítő rendelkezések

Hatálybalépés dátuma

A dokumentum hatálybalépésének dátuma: 2024. 09.18.

A karbantartásért, elkészítésért felelős szervezeti egység

Készítette: Krupp-System Kft.
A Krupp-System Kft adatvédelmi és információbiztonsági szabályzatának karbantartásáért, frissítéséért és elkészítéséért az IT Biztonsági osztály felel. Az IT Biztonsági osztály folyamatosan nyomon követi az adatvédelmi és információbiztonsági jogszabályok és szabványok változásait, biztosítva, hogy a szabályzat megfeleljen a GDPR, ISO 27001 és NIS2 követelményeknek.

Felelősségi körök:

• Szabályzat karbantartása: Az IT Biztonsági osztály feladata a szabályzat rendszeres felülvizsgálata és frissítése a jogszabályi, technológiai és belső változások alapján.
• Szabályzat elkészítése és jóváhagyása: A szabályzat előkészítése és kidolgozása az IT Biztonsági osztály felelőssége, amelyet a szervezet vezetősége hagy jóvá.
• Kapcsolattartás a vezetőséggel és a jogi osztállyal: Az IT Biztonsági osztály együttműködik a jogi képviselővel és a felső vezetőséggel a szabályzat elkészítése és aktualizálása során.

1           Egyéb kapcsolódó szervezeti egységek:

• Adatvédelmi tisztviselő (DPO): A szabályzat elkészítésében és karbantartásában aktívan részt vesz az adatvédelmi tisztviselő, biztosítva, hogy a szabályzat megfeleljen a GDPR követelményeinek.
• Jogi osztály: A szabályzat jogi vonatkozásainak biztosítása érdekében az IT Biztonsági osztály együttműködik a jogi képviselővel, amely a megfelelőséget ellenőrzi.

Jelen utasítás legalább kétéves rendszerességgel felülvizsgálandó.