Adatfeldolgozói megállapodás (DPA)
Hatályos: [dátum — jóváhagyáskor kerül kitöltésre] · Verzió: DRAFT-1
1. A megállapodás tárgya
Az AjánlatPilot (Adatfeldolgozó) az előfizetett bérlők (Adatkezelők) utasítása alapján kezeli a bérlők saját végfelhasználóira (ügyfeleire) vonatkozó személyes adatokat, az Általános Szerződési Feltételek keretén belül.
Ez a melléklet az ÁSZF elfogadásával egyidejűleg lép hatályba; a kettő együtt értelmezendő.
2. Kezelt adatok köre
Az Adatfeldolgozó a bérlő végfelhasználói vonatkozásában az alábbi adatokat kezeli:
- Ügyfél neve, cégneve, e-mail-je, telefonszáma, lakcím/telephelyadatai
- Ajánlat tartalma (tételek, árak, szöveg, határidők)
- Elektronikus jóváhagyás adatai: az aláíró neve, opcionálisan e-mail-je, forrás-IP-cím, böngésző user-agent, jóváhagyás időbélyege és módja (rajzolt/gépelt)
- CRM-jegyzetek, munkalap adatai
A fenti adatkörök között különleges adatkategória nem szerepel, feltéve, hogy a bérlő nem visz be önkéntesen különleges adatot a szabad szöveges mezőkbe.
3. Az Adatfeldolgozó kötelezettségei
- Az adatokat kizárólag a bérlő utasítása alapján, az ÁSZF-ben meghatározott célokra kezeli.
- Titoktartási kötelezettséget vállal; az adatokhoz hozzáférő személyek titoktartást fogadnak el.
- Megfelelő technikai és szervezési biztonsági intézkedéseket alkalmaz (GDPR 32. cikk).
- Segíti az Adatkezelőt az érintetti jogok (hozzáférés, törlés, helyesbítés, hordozhatóság) teljesítésében.
- A megállapodás megszűnésekor a bérlő ügyféladatait törli vagy visszaszolgáltatja, és a meglévő másolatokat törli (kivéve jogszabályi megőrzési kötelezettség esetén).
- Adatvédelmi incidens esetén 72 órán belül értesíti az Adatkezelőt.
4. Al-adatfeldolgozói lánc
| Al-adatfeldolgozó | Adatkör | Cél |
|---|---|---|
| VPS/hosting-szolgáltató [KITÖLTENDŐ] | Minden adatbázisban tárolt adat | Infrastruktúra-üzemeltetés |
| Cloudflare R2 (opcionális) | Feltöltött fájlok, PDF exportok | Fájl-tárolás |
| SMTP-szolgáltató [KITÖLTENDŐ] | E-mail cím, üzenet tartalma | E-mail kézbesítés |
| OpenAI (opcionális, ha AI aktív) | Ajánlat scope szövege | AI ajánlat-generálás |
| Mistral AI (opcionális, ha OCR aktív) | Árlista-PDF tartalom | OCR/feldolgozás |
| Számlázz.hu (opcionális) | Vevő számlázási adatai | Számla kiállítás |
5. Incidenskezelés
Adatvédelmi incidens észlelésekor az Adatfeldolgozó 72 órán belül értesíti az Adatkezelőt. Az értesítés tartalmazza az incidens jellegét, az érintett személyek körét (ha ismert) és a megtett intézkedéseket. A NAIH felé történő bejelentés az Adatkezelő felelőssége.
6. Formai javaslat az ügyvédi kör számára
Javasolt forma: az ÁSZF elválaszthatatlan melléklete — a bérlők az ÁSZF elfogadásával egyszerre fogadják el a DPA feltételeket is. Alternatív: önálló dokumentum külön checkbox-os elfogadással (erősebb bizonyíték, de extra UX-lépés). A döntés az ügyvédi kör hatásköre.
7. Alkalmazandó jog
A jelen megállapodásra a magyar jog és az (EU) 2016/679 rendelet (GDPR) rendelkezései az irányadók.
A teljes szöveg és az ügyvédi jóváhagyás a docs/legal/dpa-draft.md fájlban található.