Adatfeldolgozói megállapodás
Kiadás előtti ellenőrzési változat — a zárt teszthez.
Valós üzleti adatok feldolgozása előtt az ügyfélspecifikus adatkör, a szolgáltatói szerződések, az adattovábbítás és a megőrzés ellenőrzendő. A jelen zárt teszt kizárólag fiktív adatra használható.
Felek és utasítás
Adatfeldolgozó: Vágó Péter egyéni vállalkozó, 1124 Budapest, Lejtő út 4.; nyilvántartási szám 58098091; adószám 41852718-1-43; hello@mindenescegtars.hu, +36 70 672 8020. Adatkezelő az előfizető, amennyiben saját célból határozza meg a feltöltött adatok kezelését. A szolgáltató saját fiók-, biztonsági és számlázási adatkezelése nem válik automatikusan az ügyfél utasítása alá tartozó feldolgozássá.
A szolgáltató az ügyféladatot dokumentált utasítás alapján kezeli. A felület beállításai csak a hozzájuk tartozó, világosan közölt hatókörben minősülnek utasításnak; profilfelismerésből, agentajánlásból vagy AI-szövegből nem következik új adatkezelési jog vagy külső küldési engedély. Jogellenesnek vélt utasításról az adatkezelőt tájékoztatni kell.
Tárgy, cél és adatkör
Tárgy: a Mindenes ügyviteli munkatér működtetése. Műveletek: tárolás, rendszerezés, keresés, export, jogosultság szerinti megjelenítés, jóváhagyott belső előkészítés és kifejezetten engedélyezett kapcsolatok kezelése.
Lehetséges érintettek: az ügyfél kapcsolattartói, munkatársai, ügyfelei, érdeklődői és beszállítói. Általános adatkategóriák: azonosító és kapcsolati adatok, szerepkör, ügyelőzmény, feladat, ajánlat- és bizonylatadat, az ügyfél által jogszerűen megadott dokumentum. Különleges, büntetőjogi vagy szakmai titokkal védett adatkör külön jogalap, kockázatértékelés és szerződéses/műszaki engedély nélkül nem kezelhető.
Az adatkezelő felel a feltöltés jogalapjáért és érintetti tájékoztatásáért; az adatfeldolgozó felel a saját kötelezettségeiért. A szerepek nem szolgálnak felelősség teljes áthárítására (GDPR 28. cikk).
Titoktartás és biztonsági intézkedések
Hozzáférést kizárólag feladathoz szükséges körben, titoktartási kötelezettség mellett szabad adni. Alkalmazott műszaki kontrollok: HTTPS, szerepkörök, cégenkénti adatbázis-szűrés és PostgreSQL RLS, bcrypt jelszólenyomat, titkosított connector-kulcstár, titkosított munkaprofil- és ügytervtartalom, jóváhagyási és működési napló.
E kontrollok nem minősülnek ISO-, SOC-, GDPR- vagy egyéb tanúsításnak. A szerverüzemeltetői hozzáférések, mentések és visszaállítás, incidenskezelés és jogosultság-felülvizsgálat tényleges próbája a kiadási ellenőrzés része. Az ügyféladatot nem használjuk saját alapmodell betanítására; a külső AI-szolgáltató feltételeit külön szerződéses ellenőrzésnek kell alávetni.
További adatfeldolgozók és adattovábbítás
A jelen infrastruktúrában Render Services, Inc. és Netlify, Inc. vesz részt. A szolgáltatók globális vagy EGT-n kívüli feldolgozása nem zárható ki pusztán egy EU-s szerverrégió alapján (Render DPA, Netlify adatvédelem).
Új vagy megváltozó adatfeldolgozó igénybevételét írásban közölni kell, és az adatkezelőnek előzetes kifogásolási lehetőséget kell biztosítani. Az alfeldolgozóval azonos szintű adatvédelmi kötelezettségeket kell kikötni; az eredeti adatfeldolgozó felelőssége fennmarad (GDPR 28. cikk (2) és (4)).
Az ügyfél által bekötött levelező, számlázó vagy tárhely szerepét műveletenként kell vizsgálni; nem állítjuk, hogy egy ügyfél által kiválasztott rendszer soha nem lehet adatfeldolgozó vagy címzett. A Barion saját fizetési szolgáltatása önálló adatkezelési feltételekkel jár.
Külső AI-feldolgozás csak igazolt szolgáltatói szerződés, megfelelő adattovábbítási feltétel, minimalizált adatkör és engedélyezett cél esetén aktiválható. Az ügyfélprofil vagy az általános ÁSZF elfogadása nem helyettesíti ezeket.
Érintetti kérelmek és incidensek
Az adatfeldolgozó a rendelkezésére álló eszközökkel támogatja a hozzáférési, helyesbítési, törlési, korlátozási és exportkérelmek teljesítését, valamint a kockázatértékelést és szükséges hatásvizsgálatot. A személyazonosság ellenőrzése arányos legyen; személyi okmány másolatát nem kérjük automatikusan minden megkereséshez.
Személyesadat-incidensről az adatkezelőt indokolatlan késedelem nélkül tájékoztatni kell, a rendelkezésre álló tényekkel és folyamatos kiegészítéssel. Az adatkezelő hatósági bejelentési kötelezettségének vizsgálata külön feladat; az adatfeldolgozói értesítést nem szabad egy automatikus 72 órás várakozási idővel késleltetni (GDPR 33–34. cikk).
Visszaadás, törlés és audit
A megbízás végén az ügyfél választása szerint az adatok visszaadása vagy törlése szükséges, a jogszabály alapján kötelező megőrzés kivételével. A megőrzött kivételt, célját és határidejét dokumentálni kell. A mentésekből történő kivezetést is rendezni kell; visszaállításkor a korábban teljesített törlések nem válhatnak semmissé.
A szolgáltató rendelkezésre bocsátja a kötelezettségek teljesítését igazoló információt, és észszerű, titoktartást és más ügyfelek biztonságát védő keretek között lehetővé teszi az ellenőrzést. Az adatvédelmi kérdésben e megállapodás elsőbbséget élvez az általános szolgáltatási feltételekkel szemben.