Adatfeldolgozói szerződés

1. A felek és a szerepük

Az Adatkezelő az a szervizvállalkozás, amely a saját ügyfeleivel kapcsolatot tart: ő dönti el, milyen adatot kér be, mire használja, és meddig őrzi. Az Adatfeldolgozó a rendszert üzemelteti, és az adatokat az Adatkezelő nevében kezeli.

Az Adatfeldolgozó az adatokat saját céljára nem használja, harmadik félnek — a 7. pont szerinti al-adatfeldolgozókon kívül — nem adja tovább, és más előfizetők adataival nem vonja össze.

Az Adatkezelő saját cég- és kapcsolattartói adatai nem tartoznak a jelen megállapodás alá: azok tekintetében az Adatfeldolgozó önálló adatkezelő, és az adatkezelési tájékoztató rendelkezik róluk.

2. A megállapodás tárgya, jellege, célja és időtartama

Tárgya és célja: a szervizügyek kezeléséhez szükséges személyes adatok kezelése a(z) Szervizpult rendszerében, az Adatkezelő szervizszolgáltatásának nyújtása érdekében.

Jellege: tárolás, rendszerezés, lekérdezés, továbbítás a kijelölt címzetteknek (ügyfél, futárszolgálat), dokumentumok előállítása, valamint törlés — mindez automatizált módon, a rendszer funkcióin keresztül.

Időtartama: az előfizetői szerződés hatálya, valamint az azt követő, a 12. pontban meghatározott átmeneti idő.

3. Az érintettek és az adatok köre

Érintettek: az Adatkezelő ügyfelei és azok kapcsolattartói, valamint az Adatkezelő munkatársai, akik a rendszert használják.

• azonosító és kapcsolattartási adatok: név, e-mail cím, telefonszám, szállítási és számlázási cím, cégadatok;
• az eszközre vonatkozó adatok: megnevezés, gyártó, sorozatszám, hibaleírás, fényképek;
• az ügymenet adatai: állapotváltások, üzenetek, árajánlatok, munkalapok, dokumentumok;
• pénzügyi adatok: fizetendő és megfizetett összegek, a fizetés állapota — bankkártyaadat nem;
• az ügyfélportál belépési adatai;
• a küldemények adatai: feladó és címzett neve, címe, elérhetősége, a csomag adatai, követési azonosító.

4. Az Adatkezelő utasítási joga

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasítása alapján kezeli. A szolgáltatás rendeltetésszerű használata — az, amit az Adatkezelő a felületen beállít és elvégez — ilyen utasításnak minősül; a jelen megállapodás és az előfizetői szerződés együtt adja az utasítások keretét.

Ezen kívüli utasítást az Adatkezelő a info@szervizpult.hu címen adhat. Az Adatfeldolgozó az utasítást teljesíti, ha az a szolgáltatás keretei között végrehajtható; ha a teljesítés aránytalan ráfordítással járna, erről az Adatkezelőt tájékoztatja, és megállapodnak a feltételekben.

Az Adatfeldolgozó haladéktalanul jelzi, ha megítélése szerint az utasítás a GDPR-ba vagy más adatvédelmi jogszabályba ütközik; az ilyen utasítás teljesítését az egyeztetés lezárultáig felfüggesztheti.

Harmadik országba az Adatfeldolgozó az Adatkezelő utasítása nélkül nem továbbít adatot, kivéve, ha erre uniós vagy tagállami jog kötelezi; ilyenkor a továbbítás előtt — ha a jogszabály nem tiltja — értesíti az Adatkezelőt. Az al-adatfeldolgozók igénybevétele a 7. és a 10. pont szerint történik.

5. Titoktartás

Az Adatfeldolgozó biztosítja, hogy a személyes adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak. A kötelezettség a jogviszony megszűnése után is fennmarad.

A hozzáférés a feladat ellátásához szükséges körre korlátozódik, és a rendszerben szerepkörhöz kötött. Az Adatkezelő adataihoz az Adatfeldolgozó munkatársa csak a szerviz nevében történő, naplózott belépéssel fér hozzá — ez a belépés az Adatkezelő számára az eseménynaplóban látható.

6. Biztonsági intézkedések

Az Adatfeldolgozó a GDPR 32. cikke szerint, a kockázatokkal arányos technikai és szervezési intézkedéseket alkalmazza. Tételesen:

• az előfizetők adatainak adatbázisszintű elkülönítése sorszintű biztonsági szabályokkal (RLS): a lekérdezés az adatbázisban sem láthat át másik szervizhez;
• titkosított kapcsolat (HTTPS) minden felületen, a tanúsítványok automatikus megújításával;
• a jelszavak kizárólag titkosított lenyomatként tárolva; kétlépcsős azonosítás, amelyet az Adatkezelő a saját munkatársaira kötelezővé tehet;
• szerepkör alapú jogosultságkezelés, és minden érdemi művelet naplózása (ki, mit, mikor);
• a belépési kísérletek sebességkorlátozása és a gyanús minták kiszűrése;
• a feltöltött fájlok típus- és méretellenőrzése, a képekből a helyadatok eltávolítása;
• napi automatikus biztonsági mentés, havonta ellenőrzött visszaállítási próbával; a mentés titkokat nem tartalmaz;
• a rendszer titkai környezeti változókban, verziókövetésen és mentéseken kívül; a hozzáférés a szűk üzemeltetői körre korlátozva.

7. További (al-)adatfeldolgozók

Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók igénybevételére. Az Adatfeldolgozó velük a jelen megállapodással azonos tartalmú kötelezettségeket rögzít írásban, és a tevékenységükért úgy felel, mintha maga járna el.

A lista változásáról az Adatfeldolgozó a változás hatálybalépése előtt legalább tizenöt nappal, elektronikus úton értesít. Az Adatkezelő a változás ellen a határidőn belül tiltakozhat; ha a kifogás megalapozott és a felek nem jutnak megoldásra, az Adatkezelő az előfizetői szerződést a változás hatálybalépéséig felmondhatja.

Csomagküldéskor — a szervizbe beküldött és az ügyfélnek visszaküldött küldeménynél egyaránt — a feladó és a címzett neve, telefonszáma, e-mail címe és címe, átvevőpontos kézbesítésnél a címzett címe helyett a pont azonosítója, valamint a csomag tartalmának megnevezése jut el az al-adatfeldolgozóhoz, és rajta keresztül a kézbesítő futárszolgálathoz.

Az ügyfelek bankkártyás fizetését az Adatkezelő **saját** fizetési szolgáltatói fiókja bonyolítja, ezért a fizetési szolgáltató nem al-adatfeldolgozója az Adatfeldolgozónak: az Adatkezelő és a fizetési szolgáltató között önálló jogviszony áll fenn. A platform saját előfizetési díjának beszedésével kapcsolatos adatkezelésről az adatkezelési tájékoztató rendelkezik.

8. Az érintetti kérelmek kezelése

Az érintetti kérelmek teljesítése az Adatkezelő kötelezettsége. Az Adatfeldolgozó ebben a rendszer eszközeivel segít: a hozzáférés, a helyesbítés, a törlés, a korlátozás és az adathordozhatóság a felületről elvégezhető, az ügyfél adatai pedig exportálhatók.

Ha érintetti kérelem közvetlenül az Adatfeldolgozóhoz érkezik, azt érdemben nem válaszolja meg: haladéktalanul, de legkésőbb **három munkanapon belül** továbbítja az Adatkezelőnek, és erről az érintettet tájékoztatja.

Ha a kérelem teljesítése a felületen nem végezhető el, az Adatfeldolgozó az Adatkezelő kérésére ésszerű időn belül közreműködik; a szokásos működésen túlmutató, jelentős ráfordítást igénylő közreműködés feltételeiről a felek előzetesen megállapodnak.

9. Adatvédelmi incidens és további segítségnyújtás

Az Adatfeldolgozó segíti az Adatkezelőt a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében: az adatbiztonság fenntartásában, az incidensek kezelésében, valamint — a rendelkezésére álló információk körében — az adatvédelmi hatásvizsgálatban és az előzetes konzultációban.

Adatvédelmi incidens esetén az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb az incidens tudomására jutásától számított **48 órán belül** értesíti az Adatkezelőt.

Az értesítés — a rendelkezésre álló információk szerint — tartalmazza:

• az incidens jellegét és a bekövetkezés, illetve az észlelés időpontját;
• az érintettek és az érintett adatok kategóriáit és hozzávetőleges számát;
• a valószínűsíthető következményeket;
• a megtett és a tervezett intézkedéseket, ideértve a kár enyhítésére tetteket;
• a további felvilágosítást adó kapcsolattartó elérhetőségét.

10. Az adatok helye és a harmadik országba továbbítás

Az adatok tárolása és feldolgozása az Európai Gazdasági Térségen belüli kiszolgálókon történik.

A levélkézbesítést végző al-adatfeldolgozó anyavállalata az Egyesült Államokban van; az ide irányuló továbbítás alapja az Európai Bizottság által elfogadott általános szerződési feltételek (SCC), illetve — ha a szolgáltató tanúsított — az EU–USA adatvédelmi keret. A továbbított adat a levél címzettjére és tartalmára korlátozódik.

További harmadik országba irányuló továbbítás nincs; ilyen bevezetése a 7. pont szerinti eljárás alá esik.

11. Ellenőrzés és audit

Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsát minden olyan információt, amely a jelen megállapodásban és a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges.

Az Adatkezelő jogosult az ellenőrzésre, ideértve az auditot és a helyszíni vizsgálatot is, amelyet maga vagy az általa megbízott — az Adatfeldolgozóval nem versenyző — ellenőr végezhet. Az ellenőrzést az Adatkezelő legalább tizennégy nappal előre, írásban jelenti be, munkaidőben, a szolgáltatás működésének indokolatlan zavarása nélkül tartja, és évente legfeljebb egy alkalommal — kivéve, ha adatvédelmi incidens vagy hatósági eljárás indokolja a soron kívüli ellenőrzést.

Az ellenőrzés során megismert információ az Adatfeldolgozó üzleti titka; az ellenőr titoktartási kötelezettséget vállal. Más előfizetők adatai nem ismerhetők meg.

Az Adatfeldolgozó az ellenőrzést elsősorban dokumentumokkal, a rendszer naplóival és írásbeli válaszokkal teljesíti; helyszíni vizsgálatra akkor kerül sor, ha ez nem elegendő.

12. Az adatok visszaadása és törlése a szerződés végén

Az előfizetői szerződés megszűnésekor az Adatkezelő választása szerint kéri az adatok visszaadását vagy törlését. Visszaadás esetén a rendszerből géppel olvasható adatexport készül, amely a megszűnéstől számított **30 napig** elérhető.

A 30 nap elteltével — ellentétes utasítás hiányában — az Adatfeldolgozó az adatokat véglegesen törli, a meglévő másolatokkal együtt. A törlésről az Adatkezelő kérésére írásbeli igazolást ad.

A törlés a biztonsági mentésekben a mentési rend szerint érvényesül (napi mentés 14 nap, heti 8 hét, havi 12 hónap); a mentésből történő visszaállítás esetén az Adatfeldolgozó a törlést ismét elvégzi.

Az Adatfeldolgozó az adatokat ezen túl csak akkor őrzi meg, ha azt uniós vagy tagállami jog írja elő — így különösen a számviteli bizonylatokat; ezekre a jogszabályi megőrzési idő az irányadó.

13. Megfelelési táblázat — GDPR 28. cikk (3)

A táblázat a 28. cikk (3) bekezdésének minden rendelkezését megmutatja, és azt is, hogy a jelen megállapodás melyik pontja teljesíti.

14. Felelősség és záró rendelkezések

A felek a GDPR 82. cikke szerint felelnek. Az Adatfeldolgozó felelősségére az általános szerződési feltételek felelősségkorlátozó rendelkezései irányadók, azzal, hogy a jogszabály alapján ki nem zárható felelősséget ez nem érinti.

A megállapodás az előfizetői szerződéssel együtt, annak elfogadásával lép hatályba, és annak megszűnésével — a 12. pont szerinti átmeneti idő elteltével — szűnik meg.

A megállapodás módosítására az általános szerződési feltételek módosítási rendje irányadó. A szerződésre a magyar jog alkalmazandó.