Adatfeldolgozási szerződés a Koreán kívüli gyülekezetek számára

A szolgáltatást a Koreai Köztársaság területén kívül használó gyülekezet (a „Gyülekezet”) és a Wesleysoft (a „Társaság”) a következőkben állapodnak meg azon személyes adatoknak a Társaság által a Gyülekezet nevében végzett kezeléséről, amelyeket a Gyülekezet a Wesley Gyojeok (웨슬리 교적), a Wesley Jaejeong (웨슬리 재정) és a Wesley Simbang Plus (웨슬리 심방플러스) programba (a „Szolgáltatás”) bevisz. E Szerződés a Társaság Felhasználási feltételeivel, Adatkezelési tájékoztatójával és az „Adatkezelési tájékoztató függeléke a Koreán kívüli gyülekezetek számára” című dokumentummal (a „Függelék”) együtt alkalmazandó. Ha ezek a személyes adatok kezelése tekintetében eltérnek egymástól, e Szerződés az irányadó.

1. cikk (Szerepek)

1. A Gyülekezet által a Szolgáltatásba bevitt személyes adatok tekintetében a Gyülekezet határozza meg az adatkezelés céljait és eszközeit (adatkezelő), a Társaság pedig a Gyülekezet nevében kezeli az adatokat (adatfeldolgozó).
2. A Gyülekezet felel azért, hogy a személyes adatok gyűjtése és a Szolgáltatásba való bevitele megfeleljen a Gyülekezet országa jogszabályainak, továbbá tájékoztatja a tagokat az adatkezelésről, és ahol szükséges, beszerzi hozzájárulásukat.

2. cikk (Az adatkezelés részletei)

Az adatkezelés tárgyát és időtartamát, jellegét és célját, a személyes adatok típusait és az érintettek kategóriáit az 1. melléklet tartalmazza.

3. cikk (Adatkezelés a Gyülekezet utasításai alapján)

1. A Társaság a személyes adatokat kizárólag a Gyülekezet írásbeli utasításai alapján kezeli. A funkcióknak a Szolgáltatás képernyőin a Gyülekezet által történő használata és a beállítások kiválasztása a Gyülekezet utasításának minősül.
2. A Társaság a személyes adatokat a Szolgáltatás nyújtásán kívül más célra nem kezeli, kivéve, ha erre jogszabály kötelezi. Ha jogszabály írja elő az adatkezelést, a Társaság az adatkezelést megelőzően tájékoztatja erről a Gyülekezetet, kivéve, ha a jogszabály ezt tiltja.
3. Ha a Társaság úgy ítéli meg, hogy a Gyülekezet valamely utasítása sérti az adatvédelmi jogszabályokat, erről indokolatlan késedelem nélkül tájékoztatja a Gyülekezetet.

4. cikk (Titoktartás)

A Társaság a személyes adatok kezelésére jogosult személyek körét a szükséges minimumra korlátozza, és biztosítja, hogy titoktartási kötelezettség terhelje őket. E kötelezettség munkájuk befejezése után is fennmarad.

5. cikk (Biztonsági intézkedések)

A Társaság a személyes adatokat érintő kockázatoknak megfelelő technikai és szervezési intézkedéseket tesz a 2. mellékletben foglaltak szerint. A Társaság ezeket az intézkedéseket a technológiai fejlődésnek megfelelően módosíthatja, a védelem szintjét azonban nem csökkenti.

6. cikk (Gyülekezetenkénti elkülönítés)

A Társaság a Gyülekezet adatait elkülönítve tartja más gyülekezetek adataitól, és biztosítja, hogy más gyülekezetek felhasználói ne láthassák a Gyülekezet adatait.

7. cikk (További adatfeldolgozók igénybevétele)

1. A Gyülekezet felhatalmazza a Társaságot a 3. mellékletben felsorolt további adatfeldolgozók igénybevételére.
2. Ha a Társaság további adatfeldolgozót kíván bevonni vagy lecserélni, erről legalább 30 nappal előre tájékoztatja a Gyülekezetet, amely ezen időszakon belül észszerű indokkal kifogást emelhet. Ha a Társaság a kifogást nem fogadja el, a Gyülekezet kötbér nélkül felmondhatja a szolgáltatási szerződést.
3. A Társaság szerződésben minden további adatfeldolgozóra az e Szerződésben foglaltakkal azonos szintű adatvédelmi kötelezettségeket ró, és a Gyülekezettel szemben felelős marad, ha valamely további adatfeldolgozó e kötelezettségeit nem teljesíti.

8. cikk (Közreműködés az érintettek jogainak gyakorlásában)

1. Ha tagok vagy más érintettek olyan jogokat gyakorolnak, mint a hozzáférés, a helyesbítés, a törlés, az adatkezelés korlátozása vagy az adathordozhatóság, a Társaság biztosítja a Szolgáltatás funkcióit és azt az együttműködést, amely ahhoz szükséges, hogy a Gyülekezet válaszolni tudjon.
2. Ha egy érintett közvetlenül a Társasághoz fordul kérelmével, a Társaság azt indokolatlan késedelem nélkül továbbítja a Gyülekezetnek, és a Gyülekezet utasítása nélkül közvetlenül nem válaszol.

9. cikk (Adatvédelmi incidensek)

1. Ha a Társaság tudomást szerez olyan eseményről, amelynek során a Gyülekezet személyes adatai kiszivárogtak vagy kiszivároghattak, erről indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzéstől számított 48 órán belül értesíti a Gyülekezetet.
2. Az értesítés ismerteti az esemény jellegét és körülményeit, az érintettek és a személyes adatokat tartalmazó nyilvántartási tételek kategóriáit és hozzávetőleges számát, a valószínű következményeket, a Társaság által megtett vagy tervezett intézkedéseket, valamint egy kapcsolattartót. Azokat az információkat, amelyek nem bocsáthatók rendelkezésre egyszerre, ismertté válásukkal párhuzamosan, fokozatosan kell rendelkezésre bocsátani.
3. A Társaság biztosítja azokat az információkat és azt az együttműködést, amelyek ahhoz szükségesek, hogy a Gyülekezet az országa jogszabályai szerint értesíthesse a felügyeleti hatóságot és az érintetteket.

10. cikk (Egyéb közreműködés)

Az adatkezelés jellegét és a Társaság rendelkezésére álló információkat figyelembe véve a Társaság a Gyülekezet rendelkezésére bocsátja azokat az információkat, amelyekre a Gyülekezetnek az országa jogszabályai szerinti kötelezettségei teljesítéséhez szüksége van, például a biztonság garantálásához, adatvédelmi hatásvizsgálat elvégzéséhez és a felügyeleti hatósággal folytatott előzetes konzultációhoz.

11. cikk (A tárolás helye és nemzetközi adattovábbítás)

1. A Társaság a Gyülekezet adatait a Koreai Köztársaságban található szervereken tárolja, és azokat a Függelék 6. cikkében leírt eset (útvonaltervezés) kivételével nem továbbítja a Koreai Köztársaságon kívülre.
2. A Gyülekezet országából a Koreai Köztársaságba történő adattovábbításra a Függelék 4. cikke az irányadó. Ha az adott ország jogszabályai külön mechanizmust, például általános adatvédelmi kikötéseket írnak elő, a Gyülekezet és a Társaság azt e Szerződéssel együtt hozza létre.

12. cikk (Visszaadás és megsemmisítés a szolgáltatási szerződés megszűnése után)

1. A Gyülekezet a szolgáltatási szerződés megszűnése előtt, valamint a megszűnését követő 90 napon belül a Szolgáltatás exportfunkciójával letöltheti adatait.
2. Ezen időszak elteltével a Társaság a Gyülekezet adatait helyreállíthatatlan módon megsemmisíti. Ha a Gyülekezet azonnali megsemmisítést kér, a Társaság az adatokat indokolatlan késedelem nélkül megsemmisíti. A jogszabály alapján megőrzendő adatokat az előírt ideig megőrzik.
3. A biztonsági másolatokban maradt adatokat a Társaság szerverein lévő mentések esetében 90 nap, a Társaság által kezelt külön adattároló eszközön lévő mentések esetében 1 év elteltével semmisítik meg. Addig azokat a helyreállításon kívül más célra nem használják.
4. A Gyülekezet kérésére a Társaság a megsemmisítést írásban igazolja.

13. cikk (Tájékoztatás és ellenőrzés)

1. A Társaság a Gyülekezet rendelkezésére bocsátja az e Szerződésben foglalt kötelezettségek teljesítésének igazolásához szükséges információkat.
2. A Gyülekezet évente egyszer írásban kérdéseket tehet fel, amelyekre a Társaság díjmentesen válaszol. Ha a Gyülekezet vagy az általa megbízott auditor helyszíni ellenőrzést kíván végezni, a kérelmet 30 nappal előre kell benyújtani, és a költségeket a Gyülekezet viseli. Az auditort titoktartási kötelezettség terheli.

14. cikk (Felelősség)

A Gyülekezet és a Társaság egyaránt felel a másik félnek az e Szerződés vagy a jogszabályok általa történő megszegésével okozott kárért. A Társaság felelőssége a Gyülekezet által a kár bekövetkezésének napját megelőző 12 hónapban megfizetett díjak teljes összegére korlátozódik. E korlátozás nem alkalmazandó a Társaság szándékos vagy súlyosan gondatlan magatartásával okozott kárra, sem akkor, ha a jogszabály nem teszi lehetővé a felelősség korlátozását.

15. cikk (Időtartam)

E Szerződés attól a naptól hatályos, amelyen a Gyülekezet a Társaság jóváhagyását követően megköti a szolgáltatási szerződést, egészen addig, amíg a szolgáltatási szerződés megszűnése után a 12. cikk szerinti kötelezettségek teljesülnek.

16. cikk (Irányadó jog és joghatóság)

E Szerződésre a Koreai Köztársaság joga az irányadó. A Gyülekezet országa adatvédelmi jogszabályainak azon rendelkezései azonban, amelyektől megállapodással nem lehet eltérni, valamint az adott ország felügyeleti hatóságának hatáskörei továbbra is alkalmazandók. Az e Szerződéssel kapcsolatos jogvitákban a Társaság címe szerint illetékes bíróság jár el.

17. cikk (Nyelv és a szerződés létrejötte)

1. E Szerződés koreai nyelvű változata a hiteles eredeti. Ha egy fordítás eltér attól, a koreai eredeti az irányadó, kivéve, ha a Gyülekezet országának jogszabályai eltérően rendelkeznek.
2. E Szerződés akkor jön létre, amikor a Gyülekezet a képernyőn e Szerződésnél az „Elfogadom” (동의) lehetőséget választja. A Társaság erről nyilvántartást vezet, és a Gyülekezet kérésére aláírt példányt bocsát rendelkezésére.

1. melléklet — Az adatkezelés részletei

Tárgy	A Gyülekezet által a Szolgáltatásba bevitt tagnyilvántartási adatok és pénzügyi nyilvántartások
Az érintettek kategóriái	Tagok és családtagjaik, új tagok és látogatók, adományozók, a gyülekezet munkatársai és a Szolgáltatás felhasználói
A személyes adatok típusai	Az Adatkezelési tájékoztató 2. cikkében és a Függelék 3. cikkében felsorolt adatok — név (család- és utónév latin betűkkel), nem, születési dátum (nem kötelező), elérhetőségek, cím, fénykép, gyülekezeti tisztség, körzet (a gyülekezet egyik egysége) és osztálygyűlés (class meeting), tagsági kategória, keresztelési és konfirmációs adatok, gyülekezeti szolgálatok és foglalkozás, családi kapcsolatok, jelenlét, látogatási feljegyzések és imakérések, gondozási feljegyzések, az adakozások nyilvántartása, a személyes adatokra vonatkozó hozzájárulások nyilvántartása, valamint az adott ország adományigazolásaihoz szükséges adományozói adatok
Különleges adatkategóriák	Az egyháztagság ténye és a hitélettel kapcsolatos feljegyzések (vallási meggyőződésre utaló adatok); a Gyülekezet által a gondozási feljegyzésekben rögzített egészségügyi adatok
Jelleg és cél	A Szolgáltatás nyújtása — tárolás, megtekintés, szerkesztés, nyomtatás, exportálás, biztonsági mentés, e-mailek küldése és látogatási szövegek tervezetének elkészítése (tagot azonosító információt nem továbbítanak)
Időtartam	A szolgáltatási szerződés időtartama és a megszűnését követő 90 nap (biztonsági másolatok: 12. cikk (3) bekezdés — szervereken 90 nap, a külön adattároló eszközön 1 év)

2. melléklet — Biztonsági intézkedések

• Az adatátvitel titkosítása (HTTPS)
• A jelszavak tárolása kizárólag visszafordíthatatlan módszerrel
• Az adatok gyülekezetenkénti elkülönítése — gyülekezetenként külön korlát az adatbázisban, hogy más gyülekezetek adatai ne legyenek olvashatók
• Szerepköralapú jogosultságok és a hozzáférési naplók megőrzése
• Tűzfal — csak a webes és az adminisztratív hozzáféréshez szükséges portok vannak nyitva; az adatbázis a szerveren kívülről nem érhető el
• Kártevők elleni szoftver — a vírusdefiníciók automatikus frissítése és napi vizsgálat
• Rendszeres biztonsági mentés — naponta a szerveren, a Társaság által kezelt külön adattároló eszközre másolva (szerverek 90 nap, külön adattároló eszköz 1 év)

3. melléklet — További adatfeldolgozók (mindegyik a Koreai Köztársaságban letelepedett, és ott végzi az adatkezelést)

További adatfeldolgozó	Tevékenység
YourIT Co., Ltd.	Szerverek és tárhely biztosítása; adattárolás
NHN Cloud Corp.	E-mailek küldése (Koreán kívüli mobilszámokra nem küldenek SMS-t)
Upstage Co., Ltd.	Prédikációs szövegek tervezetének elkészítése a Wesley Simbang Plusban (tagot azonosító információt nem továbbítanak)
Toss Payments Co., Ltd.	A díjfizetések feldolgozása (a Koreán kívüli gyülekezetek jelenleg banki átutalással fizetnek)