Adatfeldolgozási megállapodás (DPA)

A GDPR 28. cikk (3) bekezdése szerint kötelező szerződés: az Ügyfél (adatkezelő) megbízza a Szolgáltatót (adatfeldolgozó) a jelölti és felhasználói adatok feldolgozásával. Az ÁSZF elfogadásával a DPA is létrejön, Enterprise ügyfélnek aláírt példány is adható.

1. Az adatfeldolgozás tárgya

2. Az adatfeldolgozó kötelezettségei

• 1.Az adatokat kizárólag az Ügyfél dokumentált utasításai szerint kezeli. Utasításnak minősül az ÁSZF, ez a DPA és az Ügyfél felhasználóinak a Szolgáltatásban végzett műveletei. Jogszabályba ütköző utasításról haladéktalanul tájékoztatja az Ügyfelet.
• 2.Az adatokat saját célra, így AI-modellek tanítására sem használja.
• 3.Az adatokhoz hozzáférő munkatársait titoktartásra kötelezi.

3. Adatbiztonság (GDPR 32. cikk)

A Szolgáltató a 2. mellékletben felsorolt technikai és szervezési intézkedéseket alkalmazza, és azokat a technika állásának megfelelően fejleszti.

4. További adatfeldolgozók

• 1.Az Ügyfél általános felhatalmazást ad az 1. mellékletben felsorolt további adatfeldolgozók igénybevételére.
• 2.Új vagy lecserélt további adatfeldolgozóról a Szolgáltató legalább 30 nappal korábban e-mailben értesít. Az Ügyfél megalapozott adatvédelmi okból kifogást emelhet. Ha a felek nem találnak megoldást, az Ügyfél díjvisszatérítéssel felmondhat.
• 3.A Szolgáltató a további adatfeldolgozókra azonos adatvédelmi kötelezettségeket hárít át, és értük teljes felelősséggel tartozik.

5. Érintetti jogok

A Szolgáltató megfelelő technikai eszközökkel (export, helyesbítés, törlés a felületen) segíti az Ügyfelet az érintetti kérelmek teljesítésében. Hozzá érkezett kérelmet 5 munkanapon belül továbbít az Ügyfélnek, és maga nem válaszol rá.

6. Adatvédelmi incidens

A Szolgáltató a tudomására jutott incidenst indokolatlan késedelem nélkül, legkésőbb 48 órán belül jelzi az Ügyfélnek. Megadja a GDPR 33. cikk (3) bekezdése szerinti információkat, és segíti az Ügyfelet a NAIH felé 72 órán belül teljesítendő bejelentésben.

7. Hatásvizsgálat és MI-megfelelés

A Szolgáltató átadja az Ügyfélnek a Szolgáltatás működését, az AI-elemzés logikáját, korlátait és a további adatfeldolgozókat leíró dokumentációt az adatvédelmi hatásvizsgálathoz (GDPR 35. cikk). Az EU AI Act alkalmazási időpontjától a szolgáltatót (provider) terhelő használati utasítást is rendelkezésre bocsátja.

8. Ellenőrzés

A Szolgáltató évente egyszer, 30 napos előzetes értesítés mellett lehetővé teszi az Ügyfél vagy titoktartásra kötelezett auditora számára a megfelelés ellenőrzését. Ezt elsősorban dokumentációval, kérdőív-kitöltéssel vagy független tanúsítvánnyal teljesíti. Incidens vagy hatósági megkeresés esetén soron kívüli ellenőrzés is kérhető.

9. Harmadik országba történő adattovábbítás

• 1.Az adatbázis és a fájltároló az Európai Gazdasági Térségben (EGT) működik.
• 2.EGT-n kívüli továbbítás (AI-elemzés, e-mail küldés) csak a GDPR V. fejezete szerinti garanciával történik: elsősorban az EU–USA adatvédelmi keretrendszerre vonatkozó megfelelőségi határozat, annak hiányában vagy megszűnése esetén az Európai Bizottság általános szerződési feltételei (SCC) és kiegészítő intézkedések alapján.
• 3.Az AI-szolgáltatóknak küldött szövegből a Szolgáltató eltávolítja a feldolgozáshoz nem szükséges elemeket, és olyan API-beállítást használ, amely kizárja az adatok modellek tanítására történő felhasználását.

10. Az adatok törlése és visszaadása

• 1.Az Ügyfél a jelöltenkénti megőrzési időt a Szolgáltatásban állítja be. A lejárt megőrzési idejű jelölti adatokat a Szolgáltatás automatikusan törli.
• 2.A szerződés megszűnésekor az ÁSZF 9.4 pontja irányadó. Kérésre a Szolgáltató a törlést írásban igazolja.

11. Felelősség

A felek a GDPR 82. cikke szerint felelnek. Az adatfeldolgozó csak akkor felel, ha nem teljesítette a kifejezetten rá vonatkozó kötelezettségeket, vagy az Ügyfél jogszerű utasítását figyelmen kívül hagyta.

1. melléklet – További adatfeldolgozók

A lista a jelenlegi kód alapján készült. Az egyes szolgáltatók DPA-ját, adatmegőrzési és régióbeállításait élesítés előtt ellenőrizni kell.

2. melléklet – Technikai és szervezési intézkedések

• •Szervezetenkénti logikai elkülönítés sorszintű hozzáférés-szabályozással (Row Level Security), szerepköralapú jogosultságokkal.
• •Titkosított adatátvitel (HTTPS/TLS, HSTS), titkosítás nyugalmi állapotban a tárhelyszolgáltatónál.
• •Privát fájltároló, az önéletrajzok csak rövid élettartamú, aláírt hivatkozással nyithatók meg.
• •Feltöltött fájlok tartalomalapú típusellenőrzése, méretkorlát, bemeneti adatok szűrése.
• •Megváltoztathatatlan, hash-láncolt audit napló; IP-cím csak kulcsolt hash formájában.
• •Kérésszám-korlátozás, biztonsági HTTP-fejlécek (CSP, keretbe ágyazás tiltása).
• •Rendszeres biztonsági mentés, jogosultságok rendszeres felülvizsgálata, titoktartási nyilatkozat a munkatársaktól, incidenskezelési eljárás.