Adatfeldolgozói megállapodás
Hatályos: 2026. október 20-tól; a helyszíni felmérési adatokkal, mérési jegyzőkönyvekkel és beszerzési dokumentumokkal kiegészítve. A GDPR 28. cikke szerinti megállapodás, amely az ÁSZF elválaszthatatlan része; a regisztrációval jön létre a Felhasználó és az Üzemeltető között.
Felek: a regisztrált felhasználó (Adatkezelő, a továbbiakban: Felhasználó), valamint Agro Automatika Kft., 3531 Miskolc, Kiss Ernő u. 17., [email protected] (Adatfeldolgozó, a továbbiakban: Üzemeltető).
1. Tárgy és időtartam
A Felhasználó az Avenler használata során a saját ügyfeleinek (megrendelőinek, kapcsolattartóinak) személyes adatait viszi be a rendszerbe. Ezeknek az adatoknak a kezelője a Felhasználó, az Üzemeltető a Felhasználó nevében, utasításai szerint, a szolgáltatás nyújtásához szükséges mértékben tárolja és dolgozza fel azokat. A megállapodás a fiók fennállásáig, és a törlés utáni, a 7. pont szerinti visszaadási/törlési folyamat végéig tart.
2. Az adatkezelés jellemzői
| Jelleg és cél | tárolás, megjelenítés, szerkesztés, projektmegosztás és belépés nélküli ügyfél-link (megtekintés, elfogadás rögzítése) a Felhasználó utasítására, árajánlatok, beszerzési és műszaki dokumentumok, mérési jegyzőkönyvek és PDF-ek készítése, mentés, helyreállítás |
| Személyes adatok köre | megrendelő vagy szállító neve, címe és kapcsolattartói adatai; a projekt, az árajánlat, a beszerzési és műszaki dokumentumok szabad szövegében szereplő adatok; alaprajzi feliratok; a helyszíni felmérés hibaleírása és fényképe; a mérési jegyzőkönyvben szereplő, a Felhasználó által megadott mérési adatok és aláírói adatok |
| Érintettek | a Felhasználó megrendelői, kapcsolattartói, beszállítói és a helyszíni felmérésben vagy mérési jegyzőkönyvben szereplő személyek |
| Különleges adat | nem tervezett; a Felhasználó ne vigyen be különleges kategóriájú adatot (pl. egészségi adat) |
3. Az Üzemeltető kötelezettségei
Az Üzemeltető:
- a személyes adatokat csak a Felhasználó dokumentált utasításai alapján kezeli (utasításnak minősül a Szolgáltatás rendeltetésszerű használata és ez a megállapodás); ha úgy ítéli meg, hogy egy utasítás jogszabályt sért, erre felhívja a Felhasználó figyelmét;
- biztosítja, hogy az adatokhoz hozzáférő személyek titoktartásra köteleztettek;
- megteszi a GDPR 32. cikke szerinti, az 1. mellékletben összefoglalt technikai és szervezési intézkedéseket;
- további adatfeldolgozót (a 4. pontban megnevezetteken kívül) csak a Felhasználó előzetes általános felhatalmazásával vesz igénybe; a változást a felületen/e-mailben legalább 15 nappal korábban közli, és a Felhasználó a változás ellen kifogást emelhet, illetve megszüntetheti a fiókját; az új adatfeldolgozóra ugyanezek a kötelezettségek vonatkoznak;
- az érintetti jogok teljesítésében észszerű keretek között segíti a Felhasználót: ha az érintett hozzá fordul, a kérelmet 5 munkanapon belül továbbítja a Felhasználónak;
- a Felhasználót segíti a 32–36. cikk szerinti kötelezettségei teljesítésében (biztonság, incidensbejelentés, hatásvizsgálat);
- adatvédelmi incidenst a tudomásszerzéstől számított 48 órán belül jelez a Felhasználónak a regisztrált e-mail-címén, megadva az incidens jellegét, az érintett adatok körét és a megtett/tervezett intézkedéseket;
- a Felhasználó kérésére rendelkezésére bocsátja azokat az információkat, amelyek a megfelelés igazolásához szükségesek, és lehetővé teszi az ellenőrzést (auditot) – az ellenőrzés a rendszer üzemét nem veszélyeztetheti, előzetes egyeztetéssel, a Felhasználó költségére, és a más felhasználók adatait nem érintheti.
4. Igénybe vett további adatfeldolgozók
| Adatfeldolgozó | Feladat | Érintett adat |
|---|---|---|
| Tárhely: Private server | az alkalmazás és az adatbázis (és annak mentései) üzemeltetése | a Szolgáltatásban tárolt minden adat |
| Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) | a böngésző és a Szolgáltatás közötti forgalom továbbítása és védelme (fordított proxy, a túlterheléses támadások és a robotforgalom kiszűrése) | a hálózatán áthaladó minden adat (a Szolgáltatásba bevitt és az onnan megjelenített adatok), a továbbítás idejére; az USA-ba történő adattovábbítás alapja az EU–USA adatvédelmi keretrendszer, ill. általános szerződési feltételek (SCC) |
A rendszerlevelek kézbesítését végző levelezőszolgáltató (Google Ireland Limited) a Felhasználó megrendelőinek adatait nem kapja meg: csak a Felhasználó saját e-mail-címe és a rendszerlevél tartalma jut el hozzá, ezért az az Adatkezelési tájékoztató szerinti, az Üzemeltető mint adatkezelő által végzett adatkezelés.
A Google-fiókkal történő belépés során a Google (Google Ireland Limited, azonosításszolgáltató) szintén önálló adatkezelő, nem adatfeldolgozó: a Felhasználó megrendelőinek adatait nem kapja meg, nekünk pedig csak a Felhasználó ellenőrzött e-mail-címét és Google-azonosítóját adja át, az Adatkezelési tájékoztatóban leírtak szerint. A Google használata a belépéshez nem kötelező: e-mail-címmel és jelszóval is lehet belépni.
5. Adattovábbítás harmadik országba
Az Üzemeltető a Felhasználó megrendelőinek személyes adatait az EGT-n kívül nem tárolja. A forgalmat továbbító Cloudflare, Inc. (4. pont) egyesült államokbeli székhelyű szolgáltató: a hálózatán áthaladó adatok továbbításának alapja az EU–USA adatvédelmi keretrendszer (Data Privacy Framework) szerinti tanúsítása, ill. általános szerződési feltételek (SCC).
6. A Felhasználó kötelezettségei
A Felhasználó felel azért, hogy az adatok bevitele jogszerű (megfelelő jogalap, az érintettek tájékoztatása), a bevitt adatok a célhoz szükségesre korlátozódnak, és a Szolgáltatás használatával nem sért jogszabályt. Az érintettek kérelmeire a Felhasználó mint adatkezelő válaszol.
7. Az adatok visszaadása és törlése
A fiók törlésekor (vagy a szerződés megszűnésekor) az Üzemeltető a Felhasználó választása szerint a törlés előtt géppel olvasható másolatot ad az adatokról, majd az éles adatbázisból azonnal, a mentésekből legfeljebb 90 napon belül törli azokat. Jogszabályi megőrzési kötelezettség esetén a törlés elmarad, erről az Üzemeltető tájékoztat.
8. Felelősség, irányadó jog
A felelősségre a GDPR 82. cikke és az ÁSZF 7. pontja az irányadó. A megállapodásra a magyar jog vonatkozik.
1. melléklet – Technikai és szervezési intézkedések (GDPR 32. cikk)
- Hozzáférés-védelem: egyedi fiók; jelszó csak egyirányú, sózott hash-ként (ASP.NET Core Identity), legalább 10 karakteres jelszó; hibás próbálkozások után zárolás; sebességkorlát; kérés-eredet (Origin) ellenőrzés; minden felhasználó csak a saját adatait éri el.
- Kommunikáció: HTTPS (éles, nyilvános elérésnél); a munkamenet-süti HttpOnly, SameSite=Lax, HTTPS-en Secure; biztonsági válaszfejlécek.
- Tárolás: az adatbázis és a helyszíni fényképek tárolója a szerver hálózatán belül, nem az internet felől elérhető porton; az adatbázis-jelszó titkosítva tárolt.
- Rendelkezésre állás, helyreállítás: napi, ellenőrzött adatbázis-mentés 90 napos megőrzéssel; helyreállítási eljárás és próba-visszaállítás.
- Szervezeti: az Üzemeltető hozzáférése hibaelhárításra és mentésre korlátozott, titoktartás mellett; írásos eljárásrend az érintetti kérelmekre és az adatvédelmi incidensekre; a rendszer frissítése az elérhető biztonsági javításokkal.