Adatfeldolgozói Szerződés

Preambulum

A jelen adatfeldolgozói szerződés (a továbbiakban: Szerződés) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről szóló (EU) 2016/679 rendelet (GDPR) 28. cikk (3) bekezdése alapján jött létre az alábbi felek között.

A Szerződés tárgya kizárólag az a személyesadat-kezelés, amelyet a Szolgáltató az Adatkezelő nevében és utasítására végez — vagyis az Adatkezelő saját ügyfeleinek (a szerviz végügyfeleinek) adatai. A Szolgáltató saját, önálló adatkezelésére (előfizetői fiókadatok, számlázás, üzemeltetési naplók) nem ez a Szerződés, hanem az Adatvédelmi Nyilatkozat irányadó.

Adatkezelő (a továbbiakban: Adatkezelő)

Adatfeldolgozó (a továbbiakban: Szolgáltató)

1. Az adatfeldolgozás tárgya és időtartama

Az adatfeldolgozás tárgyát, időtartamát, jellegét és célját, a kezelt személyes adatok típusát, valamint az érintettek kategóriáit a jelen Szerződés elválaszthatatlan részét képező 1. melléklet rögzíti (GDPR 28. cikk (3) bek. első mondat).

A Szerződés az Adatkezelő és a Szolgáltató közötti előfizetői jogviszony (l. ÁSZF) fennállásáig hatályos, és annak megszűnésével — a 9. pontban szabályozott törlési/visszaadási kötelezettség teljesítéséig terjedő időszak kivételével — megszűnik.

2. Dokumentált utasítás szerinti adatkezelés

A Szolgáltató a személyes adatokat kizárólag az Adatkezelő dokumentált utasítása alapján kezeli, ideértve a személyes adatok harmadik országba történő továbbítását is (GDPR 28. cikk (3) bek. a) pont).

Dokumentált utasításnak minősül:

• a jelen Szerződés és annak mellékletei;
• az ÁSZF és a szolgáltatás dokumentált funkcionalitása — vagyis az Adatkezelő által a felületen, a mobilalkalmazásban vagy az API-n keresztül végzett minden művelet önmagában utasításnak számít;
• az Adatkezelő által a fenti adatvédelmi kapcsolattartási címre írásban küldött egyedi utasítás.

Ha a Szolgáltatót uniós vagy tagállami jog kötelezi az adatkezelésre, erről az adatkezelést megelőzően tájékoztatja az Adatkezelőt, kivéve, ha a jog e tájékoztatást fontos közérdekből tiltja.

A Szolgáltató haladéktalanul tájékoztatja az Adatkezelőt, ha úgy ítéli meg, hogy valamely utasítása sérti a GDPR-t vagy más adatvédelmi rendelkezést (28. cikk (3) bek. második albekezdés). Az érintett utasítás végrehajtását a Szolgáltató a kérdés tisztázásáig felfüggesztheti.

3. Titoktartás

A Szolgáltató biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak (GDPR 28. cikk (3) bek. b) pont).

A Szolgáltató a hozzáférést a szükséges ismeret elvére korlátozza: az adatokhoz kizárólag azok férhetnek hozzá, akiknek a szolgáltatás nyújtásához, illetve a hiba- és incidenskezeléshez erre ténylegesen szükségük van. A hozzáférés technikai érvényesítését a 3. melléklet ismerteti.

4. Az adatkezelés biztonsága

A Szolgáltató a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket alkalmazza (28. cikk (3) bek. c) pont). Az intézkedések tételes felsorolását a 3. melléklet tartalmazza.

A Szolgáltató jogosult az intézkedéseket a technika mindenkori állásához igazítva módosítani, feltéve, hogy a védelmi szint nem csökken. A védelmi szintet lényegesen érintő változásról az Adatkezelőt előzetesen tájékoztatja.

5. További adatfeldolgozók igénybevétele

Az Adatkezelő a jelen Szerződés aláírásával általános felhatalmazást ad a Szolgáltatónak további adatfeldolgozók igénybevételére (GDPR 28. cikk (2) bek.). A felhatalmazás időpontjában igénybe vett további adatfeldolgozókat a 2. melléklet sorolja fel, az adatkezelés helye és a nemzetközi adattovábbítás jogalapja megjelölésével.

További adatfeldolgozó bevonását vagy cseréjét a Szolgáltató legalább 30 nappal előre írásban bejelenti. Az Adatkezelő a bejelentéstől számított 30 napon belül írásban, indokolással kifogást emelhet. Ha a kifogás megalapozott és a felek nem jutnak megoldásra, az Adatkezelő az érintett szolgáltatásrészre vonatkozóan rendkívüli felmondással élhet, díjvisszatérítés mellett az igénybe nem vett időszakra.

A Szolgáltató a további adatfeldolgozókra ugyanazokat az adatvédelmi kötelezettségeket telepíti, mint amelyek őt a jelen Szerződés alapján terhelik, és a további adatfeldolgozó kötelezettségeinek teljesítéséért az Adatkezelővel szemben teljes felelősséggel tartozik (28. cikk (4) bek.).

6. Közreműködés az érintetti jogok teljesítésében

A Szolgáltató a rendelkezésére álló megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt abban, hogy teljesíteni tudja az érintettek GDPR III. fejezete szerinti jogaihoz kapcsolódó kérelmeket (28. cikk (3) bek. e) pont).

A segítségnyújtás elsődlegesen a szolgáltatás beépített funkcióival történik:

Ha érintetti kérelem közvetlenül a Szolgáltatóhoz érkezik, azt érdemben nem válaszolja meg, hanem haladéktalanul, de legkésőbb 3 munkanapon belül továbbítja az Adatkezelőnek.

7. Közreműködés a 32–36. cikk szerinti kötelezettségekben

7.1 Adatvédelmi incidens bejelentése

A Szolgáltató az adatvédelmi incidenst — annak tudomására jutását követően — indokolatlan késedelem nélkül, de legkésőbb 48 órán belül bejelenti az Adatkezelőnek (GDPR 33. cikk (2) bek.).

A 48 órás vállalás célja, hogy az Adatkezelő a saját, 72 órás felügyeleti hatósági bejelentési határidejét (33. cikk (1) bek.) érdemi mozgástérrel tudja tartani. A bejelentés tartalmazza — amennyiben ismert — az incidens jellegét, az érintettek és adatrekordok hozzávetőleges számát és kategóriáit, a valószínűsíthető következményeket és a megtett vagy tervezett intézkedéseket. A hiányzó információkat a Szolgáltató részletekben, folyamatosan pótolja.

A felügyeleti hatóság és az érintettek felé a bejelentést az Adatkezelő teszi meg — a Szolgáltató nevében eljárni nem jogosult.

7.2 Hatásvizsgálat és előzetes konzultáció

A Szolgáltató — a rendelkezésére álló információk alapján — segíti az Adatkezelőt az adatvédelmi hatásvizsgálat (35. cikk) és az előzetes konzultáció (36. cikk) elvégzésében, különösen a 3. mellékletben rögzített technikai intézkedésekre vonatkozó információk rendelkezésre bocsátásával.

8. Az adatok sorsa a szolgáltatás megszűnésekor

Az adatkezelési szolgáltatás nyújtásának befejezését követően a Szolgáltató — az Adatkezelő döntése szerint — valamennyi személyes adatot visszaadja vagy törli, és törli a meglévő másolatokat, kivéve, ha uniós vagy tagállami jog az adatok tárolását írja elő (GDPR 28. cikk (3) bek. g) pont).

Az Adatkezelő az előfizetés megszűnésétől számított 30 napos türelmi időszakban önkiszolgáló módon exportálhatja az adatokat. A türelmi idő leteltével az adatok automatizált törlési folyamattal véglegesen törlésre kerülnek, ideértve az objektumtárolóban tárolt fotókat és videókat is.

Kivétel: a számviteli és adójogi kötelezettség alá eső bizonylatok (számlák) megőrzésére a számvitelről szóló 2000. évi C. törvény 169. §-a szerinti 8 éves megőrzési idő irányadó; ezen adatok tekintetében a Szolgáltató jogi kötelezettség alapján jár el.

9. Információnyújtás és ellenőrzés

A Szolgáltató az Adatkezelő rendelkezésére bocsát minden olyan információt, amely a 28. cikkben meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá lehetővé teszi és elősegíti az Adatkezelő által vagy megbízásából végzett auditokat és helyszíni vizsgálatokat (28. cikk (3) bek. h) pont).

Az ellenőrzés gyakorlati rendje:

• az Adatkezelő az ellenőrzést legalább 30 nappal előre írásban jelenti be;
• évente legfeljebb egy ellenőrzés végezhető, kivéve, ha igazolt adatvédelmi incidens vagy felügyeleti hatósági eljárás indokol továbbit;
• az ellenőrzés nem zavarhatja aránytalanul a Szolgáltató működését, és nem terjedhet ki a Szolgáltató más ügyfeleinek adataira vagy üzleti titkaira;
• az ellenőrzést végző harmadik fél nem lehet a Szolgáltató versenytársa, és titoktartási nyilatkozatot ír alá.

A Szolgáltató az ellenőrzési kötelezettséget elsődlegesen dokumentáció rendelkezésre bocsátásával teljesíti (3. melléklet, al-adatfeldolgozói nyilvántartás, a vonatkozó biztonsági dokumentáció).

10. Nemzetközi adattovábbítás

A személyes adatok elsődleges tárolási és feldolgozási helye az Európai Unió (l. 2. melléklet). Amennyiben egyes további adatfeldolgozók EU-n kívül székelnek vagy ott is feldolgozhatnak adatot, a továbbítás jogalapját a GDPR V. fejezete szerinti garancia — az Európai Bizottság 2021/914 végrehajtási határozata szerinti általános szerződési feltételek (SCC), illetve EU–U.S. Data Privacy Framework tanúsítás — biztosítja, adatfeldolgozónként a 2. mellékletben megjelölt módon.

A 2. melléklet tételesen jelöli, hol nem áll fenn szerződéses EU-kizárólagossági garancia. Az Adatkezelő e körülmény ismeretében köti meg a Szerződést.

11. Felelősség, hatály, irányadó jog

A felek felelősségére a GDPR 82. cikke irányadó. A Szolgáltató kártérítési felelőssége — a szándékosan vagy súlyos gondatlansággal okozott károk, valamint az életet, testi épséget vagy egészséget megkárosító szerződésszegés kivételével — az ÁSZF felelősségkorlátozási rendelkezései szerint alakul.

A jelen Szerződés az utolsóként aláíró fél aláírásának napján lép hatályba. A Szerződés és az ÁSZF eltérése esetén — kizárólag az adatfeldolgozásra vonatkozó kérdésekben — a jelen Szerződés rendelkezései az irányadók.

Irányadó jog: a magyar jog és a közvetlenül alkalmazandó uniós jog, különösen a GDPR. Felügyeleti hatóság: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), naih.hu.

1. melléklet — Az adatfeldolgozás részletei

1.1 Az adatkezelés tárgya, jellege és célja

Tárgya: az Adatkezelő autószerviz-tevékenységéhez kapcsolódó ügyfél- és jármű-adatok tárolása és feldolgozása felhőalapú (SaaS) szoftverszolgáltatás keretében.

Jellege: tárolás, rendszerezés, lekérdezés, megjelenítés, továbbítás az érintett felé (e-mail/SMS értesítés), törlés — az Adatkezelő utasítására, automatizált módon.

Célja: a jármű-állapot videós és fotós dokumentálása, ügyfél- és jármű-nyilvántartás vezetése, időpontfoglalás, árajánlat-, munkalap- és számlakészítés, valamint az ügyfél tájékoztatása a szerviz folyamatáról.

1.2 Az érintettek kategóriái

• az Adatkezelő végügyfelei (a szervizbe járművet hozó természetes személyek, illetve céges ügyfelek kapcsolattartói);
• az Adatkezelő munkavállalói és megbízottjai, akik a rendszert használják (szerelők, ügyfélfogadók, adminisztrátorok).

1.3 A kezelt személyes adatok típusai

Különleges kategóriájú adat (GDPR 9. cikk) kezelése a szolgáltatásnak nem célja és nem rendeltetésszerű funkciója. A szabad szöveges mezőkbe az Adatkezelő nem rögzíthet ilyen adatot.

1.4 Az adatkezelés időtartama

2. melléklet — Jóváhagyott további adatfeldolgozók

Az alábbi lista a jelen Szerződés aláírásakor igénybe vett további adatfeldolgozókat tartalmazza. A lista módosítására az 5. pont szerinti bejelentési és kifogásolási rend irányadó.

SMS-küldés: a szolgáltatás tartalmaz SMS-modult (Twilio Inc., USA), amely a jelen Szerződés aláírásakor nincs aktiválva, így ezen a csatornán adattovábbítás nem történik. Aktiválása az 5. pont szerinti bejelentési kötelezettség alá esik.

3. melléklet — Technikai és szervezési intézkedések (GDPR 32. cikk)

Az alábbi intézkedések a Szerződés aláírásakor ténylegesen működőkontrollokat írnak le.

3.1 Titkosítás (32. cikk (1) bek. a) pont)

• Minden kommunikáció TLS-titkosítással, HTTPS-en keresztül; a böngésző HSTS-fejléccel kényszerítve, hogy titkosítatlan kapcsolat ne jöhessen létre.
• Jelszavak scrypt kulcsszármaztatással, felhasználónként egyedi sóval hash-elve; a jelszó-ellenőrzés időzítés-független (timing-safe) összehasonlítással.
• Nyugalmi állapotban tárolt titkok (kétfaktoros hitelesítés kulcsai, külső rendszerek API-kulcsai) AES-256-GCM titkosítással, kulcsrotációs támogatással.
• Az adatbázis és az objektumtároló szolgáltatói szinten nyugalmi titkosítást alkalmaz.

3.2 Hozzáférés-védelem

• Szerepkör-alapú jogosultságkezelés (RBAC); a jogosultság minden kérésnél szerveroldalon ellenőrzött.
• Több-bérlős elkülönítés: minden adatlekérdezés a szervizhez kötött hatókörrel fut, így egyik Adatkezelő sem férhet hozzá másik adataihoz. Az elkülönítést dedikált automatizált tesztek őrzik.
• Kétfaktoros hitelesítés (TOTP) tartalékkódokkal; az adminisztrátori belépés külön, egyszer használatos kóddal is védett.
• Munkamenet-kezelés aláírt tokennel, httpOnly és sameSite sütiben (böngésző-oldali tárolóban nem). A jogosultság vagy a fiókállapot változása a kiadott munkamenetet azonnal érvényteleníti.
• A tárolt fotók és videók kizárólag lejáró, aláírt (presigned) hivatkozással érhetők el; nyilvánosan kereshető URL nem keletkezik.

3.3 Rendelkezésre állás és helyreállíthatóság (32. cikk (1) bek. b–c) pont)

• Az adatbázis-szolgáltató automatizált mentést és időpontra visszaállítást (PITR) biztosít.
• ⚠️ Mért tény: a jelenlegi adatbázis-előfizetési csomagon a visszaállítási ablak 6 óra. Ez azt jelenti, hogy a helyreállítás a hiba észlelését megelőző legfeljebb 6 órás időszakra lehetséges — ezen túli állapot nem állítható vissza. Ellenőrzött visszaállítási próba alapján a helyreállítás ideje (RTO) néhány másodperc nagyságrendű.
• Az alkalmazás rendelkezésre állására az ÁSZF vállalása irányadó.

3.4 Visszaélés-megelőzés és észlelés

• Háromrétegű kérés-korlátozás (rate limiting): peremhálózati, alkalmazás- és elosztott szinten, az authentikációs végpontokon szigorított küszöbbel.
• Teljes művelet-napló (audit log): belépés, sikertelen belépés, jogosultság-megtagadás, adatmódosítás, export, adminisztrátori műveletek — időbélyeggel, IP-címmel.
• Biztonsági eseményfigyelés súlyozott riasztással és szabványos (ECS-kompatibilis) eseményformátummal, külső SIEM-rendszerbe továbbítható módon.
• Böngészőoldali védelmi fejlécek: tartalombiztonsági szabályzat (CSP), kattintás-eltérítés elleni védelem, MIME-típus-kényszerítés — a bejelentkezés nélkül elérhető ügyféloldalakon is.

3.5 Fejlesztési és üzemeltetési fegyelem

• Minden módosítás verziókövetett, automatizált tesztsorozaton (több mint 2200 teszt, ebből több tucat dedikált biztonsági teszt) és statikus ellenőrzésen átmenve kerül élesbe.
• Függőségi sérülékenységek folyamatos figyelése; a Szerződés aláírásakor ismert sérülékenység nincs.
• Titkok (kulcsok, jelszavak) kizárólag futásidejű, titkosított környezeti változóként; verziókövetőben nem szerepelnek.

3.6 Adatminimalizálás és törlés

• Automatizált, ütemezett törlési folyamat a megőrzési idő lejárta után, amely az objektumtárolóból is eltávolítja a fájlokat.
• A megőrzési idő alsó korlátja technikailag kikényszerített, így véletlen beállítás nem okozhat azonnali, visszafordíthatatlan törlést.
• Beépített adatexport és törlési folyamat az érintetti jogok teljesítéséhez.

Aláírások

A felek a jelen Szerződést elolvasás és értelmezés után, mint akaratukkal mindenben egyezőt, két eredeti példányban írják alá.

Kelt: [hely], [dátum]