A BigArena adatfeldolgozási megállapodása (DPA)

Az adatfeldolgozási megállapodás letöltése (PDF)

1.0-s verzió, 2026. október 27. 28. cikk: (EU) 2016/679 rendelet („GDPR”).

Felek és elfogadás

Ez az adatfeldolgozási megállapodás (a „DPA”) a következő felek között jön létre:

(1) az az ügyfél, aki a BigArena szolgáltatásait a BigArena Szolgáltatási feltételei (https://bigarena.net/hu/altalanos-szerzodesi-feltetelek) vagy a BigArenával kötött fulfillment szerződés alapján veszi igénybe (az „Adatkezelő”); és

(2) az a BigArena-társaság, amely a szolgáltatásokat az Adatkezelő részére nyújtja (az „Adatfeldolgozó”):

• a Бигарена ООД (BIGARENA LTD), UIC 204072747, székhely: Golyamokonarsko Shose 29B, 4204 Plovdiv, Bulgária ügyfelei esetében: Бигарена ООД;
• a Bigarena Fulfillment Europe s.r.o., IČO 54 736 374, székhely: Seredská 4084/30, 917 05 Trnava, Szlovákia ügyfelei esetében: Bigarena Fulfillment Europe s.r.o.;
• azon ügyfelek esetében, akik egy romániai, görögországi vagy szerbiai BigArena-társasággal kötöttek szerződést: az adott társaság.

A Szolgáltatási feltételek, a fulfillment szerződés, valamint a kapcsolódó ajánlatok és szabályzatok együttesen a „Szolgáltatási Szerződés”. Ez a DPA a Szolgáltatási Szerződés részét képezi (Szolgáltatási feltételek, 3.4. pont).

Az Adatkezelő ezt a DPA-t a GDPR 28. cikk (9) bekezdése alapján elektronikus formában fogadja el, a Szolgáltatási feltételek elfogadásával vagy olyan szerződés vagy szerződésmódosítás aláírásával, amely erre a DPA-ra hivatkozik. A fulfillment szerződéssel rendelkező Adatkezelők esetében ez a DPA részletesen szabályozza az e szerződés szerinti adatkezelést, és kiegészíti annak adatvédelmi rendelkezéseit, amelyek alapján az Adatkezelő megerősítette, hogy ő a személyes adatok adatkezelője, és tájékoztatta vásárlóit arról, hogy adataikat a kézbesítés céljából átadja az Adatfeldolgozónak és alvállalkozóinak. Az Adatfeldolgozó kérésre megküldi e DPA keltezett, a nevében aláírt PDF-változatát. Ha a felek külön adatfeldolgozási megállapodást írtak alá, az a megállapodás az irányadó.

1. Tárgy, időtartam, jelleg és cél

1.1 Az Adatfeldolgozó a személyes adatokat az Adatkezelő nevében kizárólag a Szolgáltatási Szerződés szerinti szolgáltatások nyújtása érdekében kezeli: az Adatkezelő áruinak átvétele, raktározása, csomagolása és szállítása, a visszáruk és az utánvét kezelése, a my.bigarena.net panel biztosítása az alkalmazásaival és integrációival együtt, valamint az Adatkezelő által a panelben bekapcsolt funkciók, ideértve a vásárlói feketelistát (3. pont).

1.2 Ez a DPA mindaddig hatályos, amíg az Adatfeldolgozó személyes adatokat kezel az Adatkezelő részére.

1.3 Az adatkezelés részleteit az 1. melléklet tartalmazza.

2. Utasítások és a felek kötelezettségei

2.1 Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő írásbeli utasításai alapján kezeli, ideértve a harmadik országokba történő adattovábbítást is. Az Adatkezelő utasításainak minősülnek a Szolgáltatási Szerződés, ez a DPA, az Adatkezelő megrendelései és adatimportjai, valamint az Adatkezelő által a panelben megadott beállítások. Ha az Adatfeldolgozóra alkalmazandó uniós vagy tagállami jog más adatkezelést ír elő, az Adatfeldolgozó erről a jogi előírásról az adatkezelést megelőzően értesíti az Adatkezelőt, kivéve, ha az adott jogszabály ezt tiltja.

2.2 Az Adatfeldolgozó tájékoztatja az Adatkezelőt, ha megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt.

2.3 Az Adatfeldolgozó az Adatkezelő személyes adatait nem használja fel saját céljaira. Az olyan összesített statisztikák, amelyek alapján egyetlen személy sem azonosítható, nem minősülnek személyes adatnak.

2.4 Az Adatkezelő felel az általa elrendelt adatkezelés jogszerűségéért: jogalappal rendelkezik az Adatfeldolgozónak átadott adatokra, gondoskodik az adatok pontosságáról, és adatkezelési tájékoztatójában tájékoztatja vásárlóit, többek között arról is, hogy adataikat fulfillment szolgáltatókkal és futárszolgálatokkal megosztja.

3. Vásárlói feketelista

3.1 A panelben az Adatkezelő listát vezethet azokról a végfelhasználó vásárlókról (telefonszám vagy e-mail-cím, egy indok és egy opcionális megjegyzés), akiknek a megrendeléseit a rendszer megjelöli az Adatkezelő saját ellenőrzése céljából (a „vásárlói feketelista”). A lista kizárólag az Adatkezelő fiókja és webshopjai számára jön létre, és csak ezekhez kerül vezetésre és felhasználásra. Az Adatfeldolgozó a listát nem osztja meg más ügyfelekkel, nem veti össze más ügyfelek listáival, és nem használja fel saját céljaira.

3.2 Az Adatkezelő dönti el, kit és milyen okból vesz fel a listára. Az Adatkezelő felel:

a) azért, hogy minden bejegyzéshez jogszerű jogalappal rendelkezzen, ami rendszerint a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke, valamint a 21. cikk szerinti tiltakozások tiszteletben tartásáért;

b) azért, hogy vásárlóit adatkezelési tájékoztatójában tájékoztassa erről az adatkezelésről (13. cikk), illetve ha más forrásból szerzett adatokat importál, a 14. cikk szerint;

c) azért, hogy kizárólag a megrendelésekkel kapcsolatos tényszerű indokokat rögzítsen, sértő kifejezések, a személyes adatok különleges kategóriái (9. cikk) és védett tulajdonságon alapuló indok nélkül;

d) azért, hogy a megjelölt megrendeléseket maga ellenőrizze; a panel nem utasít el automatikusan megrendeléseket, és az Adatkezelő a listát nem használja emberi felülvizsgálat nélküli döntéshozatalra (22. cikk);

e) a bejegyzések pontosságáért.

3.3 Minden bejegyzést a felvétele vagy utolsó meghosszabbítása napjától számított 24 hónapig őriz meg a rendszer. A bejegyzés lejárata előtt a panel értesíti az Adatkezelőt, aki egy vagy több bejegyzést alkalmanként további 24 hónappal meghosszabbíthat, de csak akkor, ha a bejegyzés indoka továbbra is fennáll. Ha az Adatkezelő nem hosszabbítja meg a bejegyzést, az a lejárat napján törlődik. Az Adatkezelő bármely bejegyzést bármikor törölheti.

3.4 A listába történő importáláshoz feltöltött fájlokat a rendszer kizárólag az adott importáláshoz használja fel.

4. Titoktartás

4.1 Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettség hatálya alatt álljanak. Munkatársai az Adatkezelő adataihoz csak a szolgáltatások vagy a támogatás nyújtásához szükséges mértékben férnek hozzá.

5. Biztonság

5.1 Az Adatfeldolgozó végrehajtja a 2. mellékletben meghatározott technikai és szervezési intézkedéseket (GDPR 32. cikk), és azokat frissítheti, feltéve, hogy a biztonság általános szintje nem csökken.

6. További adatfeldolgozók

6.1 Az Adatkezelő általános felhatalmazást ad a 3. mellékletben felsorolt további adatfeldolgozók igénybevételére. Az Adatfeldolgozó minden tervezett újabb további adatfeldolgozó igénybevételéről vagy csere esetén legalább 30 nappal előre tájékoztatja az Adatkezelőt a fiókhoz tartozó e-mail-címre küldött e-mailben; ha a cserére biztonsági okokból sürgősen szükség van, az Adatkezelőt a lehető leghamarabb tájékoztatja. Az Adatkezelő ezen határidőn belül észszerű indokkal kifogást emelhet. Az Adatfeldolgozó először észszerű alternatívát igyekszik felajánlani; ha a felek ebben nem állapodnak meg, az Adatkezelő az érintett szolgáltatásokat felmondhatja, a Szolgáltatási Szerződés szolgáltatás megszűnésére vonatkozó feltételei szerint.

6.2 Az Adatfeldolgozó szerződésben minden további adatfeldolgozóra olyan adatvédelmi kötelezettségeket ró, amelyek az e DPA-ban foglaltakkal azonos szintű védelmet biztosítanak, és az Adatkezelővel szemben továbbra is felelős marad a további adatfeldolgozó kötelezettségeinek teljesítéséért.

6.3 A futárszolgálatok és postai szolgáltatók megkapják a kézbesítéshez szükséges szállítási adatokat, és amennyiben a postai jog alapján maguk határozzák meg adatkezelésük céljait és eszközeit, önálló adatkezelőként járnak el. Az Adatfeldolgozó ezeket az adatokat az Adatkezelő utasítására továbbítja, ideértve az Adatkezelő vagy vásárlói által választott futárszolgálatokat is. A futárszolgálatok aktuális listája a panelben érhető el.

7. Közreműködés

7.1 Az adatkezelés jellegét figyelembe véve az Adatfeldolgozó közreműködik az Adatkezelő mellett:

a) az érintettek GDPR 15-22. cikke szerinti kérelmeinek megválaszolásában, elsősorban a panel funkcióin keresztül, kérésre pedig a következő címen: support@bigarena.net. Az Adatfeldolgozóhoz beérkező kérelmeket az Adatfeldolgozó indokolatlan késedelem nélkül továbbítja az Adatkezelőnek, és azokat önállóan nem válaszolja meg;

b) a biztonság, az adatvédelmi incidensek bejelentése, az adatvédelmi hatásvizsgálatok és az előzetes konzultáció terén (GDPR 32-36. cikk). A panel funkcióin és az e DPA-ban szereplő információkon túlmenő közreműködésért az Adatfeldolgozó észszerű költséget számíthat fel.

8. Adatvédelmi incidensek

8.1 Az Adatfeldolgozó az Adatkezelő adatait érintő adatvédelmi incidensről való tudomásszerzését követően indokolatlan késedelem nélkül, és amennyiben lehetséges, 48 órán belül értesíti az Adatkezelőt, a GDPR 33. cikk (3) bekezdése szerinti, rendelkezésre álló információkkal, majd a további információkat azok rendelkezésre állásakor adja meg. Az Adatfeldolgozó az Adatkezelő utasítása nélkül nem értesíti az Adatkezelő nevében a felügyeleti hatóságokat vagy az érintetteket, kivéve, ha ezt jogszabály írja elő.

9. Ellenőrzések és tájékoztatás

9.1 Az Adatfeldolgozó rendelkezésre bocsátja a GDPR 28. cikkének való megfelelés igazolásához szükséges információkat, elsősorban úgy, hogy az Adatkezelő írásbeli kérdéseire 30 napon belül válaszol.

9.2 Ha ezek az információk nem elegendőek, az Adatfeldolgozó lehetővé teszi az Adatkezelő vagy az általa megbízott, titoktartásra kötelezett auditor által végzett ellenőrzéseket, ideértve a helyszíni vizsgálatokat is, legalább 30 nappal korábbi értesítés mellett, munkaidőben, évente legfeljebb egy alkalommal, kivéve, ha adatvédelmi incidens vagy felügyeleti hatóság mást tesz szükségessé. Az ellenőrzés nem biztosíthat hozzáférést más ügyfelek adataihoz vagy áruihoz. Az Adatkezelő viseli saját költségeit, valamint az Adatfeldolgozó által ráfordított idő észszerű költségeit.

10. A szolgáltatások megszűnése

10.1 A szolgáltatások megszűnésekor az Adatfeldolgozó az Adatkezelő 30 napon belül meghozott választása szerint a személyes adatokat a panel exportfunkciójával visszaadja vagy törli. Az Adatfeldolgozó a személyes adatokat 90 napon belül törli éles rendszereiből; a biztonsági másolatok a szokásos mentési ciklus során felülíródnak. A számlákban, az utánvétes elszámolásokban és más számviteli nyilvántartásokban szereplő adatokat a jogszabályban előírt ideig őrzi meg. Kérésre az Adatfeldolgozó írásban megerősíti a törlést.

11. Adattovábbítás az EGT-n kívülre

11.1 Az Adatfeldolgozó személyes adatokat az Európai Gazdasági Térségen kívülre kizárólag a 3. mellékletben felsorolt címzetteknek és a 6.3. pont szerinti futárszolgálatoknak továbbít, és kizárólag az Európai Bizottság megfelelőségi határozata alapján, ideértve az EU-USA adatvédelmi keretet (EU-US Data Privacy Framework), vagy az (EU) 2021/914 bizottsági végrehajtási határozattal elfogadott általános adatvédelmi kikötések alapján, a szükséges kiegészítő intézkedésekkel együtt. Az irányadó kikötések másolatát kérésre rendelkezésre bocsátja.

12. Felelősség, elsőbbség, módosítások és alkalmazandó jog

12.1 Az e DPA szerinti felelősségre a Szolgáltatási Szerződés rendelkezései az irányadók, kivéve a szándékos és a súlyosan gondatlan magatartást, és a GDPR 82. cikkének sérelme nélkül, amely szerint mindegyik fél a kár rá eső részéért felel. Az Adatkezelő mentesíti az Adatfeldolgozót azon igények és bírságok alól, amelyek az Adatkezelő jogellenes utasításaiból vagy az Adatkezelő által a vásárlói feketelistába tett bejegyzésekből erednek.

12.2 Ha ez a DPA adatvédelmi kérdésekben ellentétes a Szolgáltatási Szerződéssel, ez a DPA az irányadó.

12.3 Az Adatfeldolgozó a jogszabályok, a szolgáltatások vagy a további adatfeldolgozók változásainak megfelelően frissítheti ezt a DPA-t, új változat közzétételével a következő címen: https://bigarena.net/dpa és az Adatkezelő e-mailben történő tájékoztatásával, legalább 30 nappal a hatálybalépés előtt. A módosítások nem csökkenthetik a személyes adatok védelmét. Az az Adatkezelő, aki ezen határidőn belül írásban kifogást emel, felmondhatja az érintett szolgáltatásokat; addig rá az előző változat vonatkozik.

12.4 Erre a DPA-ra annak az országnak a joga irányadó, amelyben az Adatfeldolgozó be van jegyezve, és az Adatfeldolgozó székhelye szerint illetékes bíróságok járnak el, a Szolgáltatási feltételekkel összhangban.

12.5 Ez a DPA bolgár és angol nyelven kerül közzétételre. Eltérés esetén a Бигарена ООД tekintetében a bolgár, a többi BigArena-társaság tekintetében az angol nyelvű változat az irányadó.

12.6 Kapcsolattartás adatvédelmi kérdésekben: support@bigarena.net.

---

1. melléklet: Az adatkezelés részletei

2. melléklet: Technikai és szervezési intézkedések

• A panel és az adatbázisok az Európai Unióban (Németországban) található adatközpontban üzemelnek.
• A panelhez való hozzáférés fiókonként és felhasználónként, személyes felhasználónévvel és jelszóval történik; minden ügyfél csak a saját adatait látja.
• Titkosított kapcsolat (HTTPS/TLS) a panelhez és az API-khoz; a weboldalak és a panel hálózati védelme támadások ellen.
• A BigArena munkatársai az ügyféladatokhoz csak a szolgáltatások vagy a támogatás nyújtásához szükséges mértékben férnek hozzá, és titoktartási kötelezettség terheli őket; a munkatárs távozásakor a hozzáférése megszűnik.
• A csomagolási és visszárus videókhoz csak a feljogosított munkatársak és az érintett ügyfél férnek hozzá, és megőrzési idejük legfeljebb 90 nap.
• Az adatvédelmi incidensek kezelése és bejelentése a 8. pontban foglaltak szerint történik.

3. melléklet: További adatfeldolgozók