Adatfeldolgozási megállapodás (GDPR 28. cikk)

Közzétételi adatok

A dokumentum 1.0.1 verziója 2026-08-23 napjától hatályos. Jóváhagyta: Dobó Imre e.v. – szolgáltatói jóváhagyás, AI-asszisztált jogi felülvizsgálattal (2026-08-23). A jóváhagyás rögzítésének időpontja: 2026-08-23T13:55:00+02:00.

1. Felek és szerepek

Az ügyfél, vagyis a szolgáltatási feltételeket elfogadó fióktulajdonos adatkezelő az általa a SütiPajzs Consent Cloud rendszerbe feltöltött vagy a saját webhelyéről gyűjtött, ügyfél által meghatározott személyes adatok tekintetében. Dobó Imre egyéni vállalkozó ezekhez adatfeldolgozóként jár el. A jelen DPA a szolgáltatási feltételek részét képezi.

2. A feldolgozás tárgya, időtartama, jellege és célja

Tárgy: Az ügyfél webhelyeihez tartozó hozzájárulás-kezelési konfiguráció, technikai audit, jogi leltár, DSAR-kérelem és álnevesített hozzájárulási bizonyíték hosztolása és kezelése.. Időtartam: A szolgáltatási jogviszony időtartama és az azt követő, dokumentált export-, törlési és biztonsági mentési időszak.. Jelleg és cél: Gyűjtés, továbbítás, rendszerezés, tárolás, lekérdezés, verziózás, auditálás, exportálás, korlátozás és törlés az ügyfél dokumentált utasításai alapján, a hozzájárulások kezeléséhez és igazolásához..

3. Személyes adatok és érintettek kategóriái

Személyes adattípusok:

• Fiók- és üzleti kapcsolattartói név, e-mail-cím, szerepkör és tenant-tagság
• Webhely-, domain-, konfigurációs, szolgáltatás-, süti- és tárolóleltár
• Álneves hozzájárulás-azonosító, kategóriaválasztás, időpont, nyelv, szabályzatverzió és változási lánc
• HMAC-kulcsolt IP- és böngészőazonosító, query és fragment nélküli oldalútvonal, technikai biztonsági metaadat
• DSAR-kérelem és az ügyfél által a kérelem kezeléséhez rögzített adatok
• Érintetti kategóriák: Az ügyfél tulajdonosai, adminisztrátorai, tagjai és meghívottai; Az ügyfél által üzemeltetett webhelyek látogatói és DSAR-kérelmezői; A platformmal kapcsolatba lépő üzleti kapcsolattartók

4. Dokumentált utasítások

Az adatfeldolgozó kizárólag az adatkezelő dokumentált utasításai alapján kezel személyes adatot, beleértve az adattovábbítást is, kivéve ha uniós vagy tagállami jog másként kötelezi. Ilyen kötelezettségről az adatkezelőt a feldolgozás előtt tájékoztatja, ha ezt a jog nem tiltja. Ha az utasítás véleménye szerint sérti az adatvédelmi jogot, erről haladéktalanul tájékoztatja az adatkezelőt.

5. Titoktartás és biztonság

Az adatfeldolgozó biztosítja, hogy az adatokhoz hozzáférő személyeket titoktartás kötelezze, és a GDPR 32. cikke szerint, a kockázathoz igazodó intézkedéseket alkalmazzon.

• TLS minden nyilvános adatátvitelnél; biztonságos HTTP-fejlécek és szigorú cookie-attribútumok
• Tenant-szeparált lekérdezések, szerepkör- és kontextusalapú engedélyezés, fail-closed hozzáférés
• Platform-adminisztrátoroknál kötelező TOTP MFA; jelszavak erős, sózott hash-elése; hitelesítési titkok védelme
• IP- és user-agent adatok HMAC-alapú álnevesítése; kanonikus, láncolt hozzájárulási bizonyíték aláírás-ellenőrzéssel
• Domain-tulajdonjog ellenőrzése, rate limit, idempotencia, korlátozott kérésméret, CORS- és origin-ellenőrzés
• Naplózott admin- és biztonsági műveletek, minimális jogosultság, elkülönített production titkok
• Hozzáférés-korlátozott mentések, javítás- és függőségkezelés, incidenskezelés, helyreállítási és törlési eljárások
• Megőrzési idők szerinti automatikus törlés/anonimizálás és al-adatfeldolgozói szerződéses kontroll

6. Az adatkezelő segítése

A feldolgozó a kezelés jellegét figyelembe véve megfelelő technikai és szervezési intézkedésekkel segíti az érintetti kérelmek teljesítését, valamint a rendelkezésére álló információkkal támogatja a biztonsági, incidens-bejelentési, hatásvizsgálati és előzetes konzultációs kötelezettségek teljesítését.

7. Adatvédelmi incidens

A feldolgozó az ügyfelet indokolatlan késedelem nélkül értesíti az ügyfél személyes adatait érintő incidensről, és átadja a GDPR szerinti értékeléshez és bejelentéshez ésszerűen szükséges információt. Konfigurált incidenscsatorna: A fiókban rögzített kapcsolattartó e-mail-címe és sürgős esetben az info@ai-smart.hu adatvédelmi cím..

8. Al-adatfeldolgozók

Az ügyfél általános írásbeli felhatalmazást ad a közzétett jegyzékben szereplő al-adatfeldolgozókra. A változásokról szóló értesítés és kifogásolási lehetőség: Lényeges új vagy lecserélt al-adatfeldolgozóról legalább 15 nappal előre, a felületen vagy e-mailben értesítünk, ha sürgős biztonsági vagy jogi ok ezt nem zárja ki. Az ügyfél dokumentált adatvédelmi okból kifogást emelhet; megoldás hiányában az érintett szolgáltatás megszüntethető és az adat exportálható.. Jegyzék: https://sutipajzs.hu/subprocessors. A feldolgozó az al-adatfeldolgozóra legalább azonos adatvédelmi kötelezettségeket ró, és annak teljesítéséért az adatkezelő felé felelős marad.

• HOSTINGER INTERNATIONAL LIMITED — VPS-, hálózati és infrastruktúra-szolgáltatás; A SütiPajzs alkalmazás és a tenant-szeparált PostgreSQL adatbázis futtatása, mentése és hálózati elérhetősége.; processing location: Németország (elsődleges VPS-adatközpont, EGT); szerződő fél: Ciprus; data: Fiók-, webhely-, konfigurációs, audit-, DSAR- és álnevesített hozzájárulási bizonyítékok, valamint biztonsági naplók.; transfer basis/safeguard: Az elsődleges feldolgozás az EGT-ben történik; harmadik országbeli támogató hozzáférés csak a szolgáltatói DPA és az alkalmazandó GDPR V. fejezeti garancia mellett megengedett.; privacy information: https://www.hostinger.com/legal/privacy-policy
• Sand Dune Mail Ltd. (SMTP2GO) — Tranzakciós e-mail kézbesítés; Meghívók, fiók- és biztonsági értesítések, valamint szolgáltatási üzenetek továbbítása az EU API-végponton keresztül.; processing location: EU-adatközponti konfiguráció: Hollandia, Németország és Egyesült Királyság; szolgáltató székhelye: Új-Zéland; data: Címzett neve és e-mail-címe, üzenettartalom, kézbesítési technikai metaadatok; látogatói hozzájárulási bizonyítékot nem továbbítunk.; transfer basis/safeguard: EU-adatközponti beállítás, az Egyesült Királyság és Új-Zéland megfelelőségi határozata, valamint a szolgáltatói DPA szerinti garanciák.; privacy information: https://www.smtp2go.com/privacy/

9. Harmadik országbeli továbbítás

A tényleges továbbítási helyek és jogi garanciák: Az elsődleges alkalmazás- és adatbázis-feldolgozás Németországban, az EGT-ben történik. Az SMTP2GO EU-konfiguráció EU/UK infrastruktúrát használ; az Egyesült Királyságra és Új-Zélandra megfelelőségi határozat alkalmazható. Az opcionális Ollama Cloud funkció kizárólag személyes adattól és titoktól megtisztított technikai leltárt kaphat; személyes adat harmadik országba csak dokumentált GDPR V. fejezeti garanciával továbbítható.. Az adatfeldolgozó nem végez az ügyfél utasításával vagy az alkalmazandó GDPR V. fejezeti feltételekkel ellentétes továbbítást.

10. Visszaadás és törlés

A szolgáltatás befejezésekor az adatkezelő választása szerint a személyes adatot vissza kell adni vagy törölni, kivéve a kötelező jogi megőrzést. A tényleges export-, törlési és mentési folyamat: A jogosult ügyfél önkiszolgáló exportot kap; a megszűnés utáni 30 napos hozzáférési idő lejártával az aktív tenant-adat törlődik vagy anonimizálódik. A mentések a dokumentált rotáció következő ciklusában járnak le, kivéve a kötelező jogi megőrzést..

11. Információ és audit

A feldolgozó rendelkezésre bocsátja a 28. cikk szerinti megfelelés igazolásához szükséges információkat, és ésszerű feltételekkel lehetővé teszi az adatkezelő vagy megbízott auditját és közreműködik abban, a többi ügyfél biztonságának és titkosságának védelme mellett.