Adatfeldolgozási Megállapodás (DPA)

1. A felek és fogalmak

• Adatkezelő (Controller): az Előfizető — az OPEREX-et igénybe vevő vállalkozás —, aki az üzemeltetési adatok céljáról és eszközeiről dönt.
• Adatfeldolgozó (Processor): Mészáros János egyéni vállalkozó, az OPEREX üzemeltetője, aki az Adatkezelő nevében és utasításai szerint kezeli az adatokat.
• Érintett: az Adatkezelő munkavállalói és üzemeltetői (akik a műszaknaplóban, eseménynaplóban, feladatokban szerepelnek), valamint az Adatkezelő account-felhasználói.
• Al-adatfeldolgozó (sub-processor): harmadik fél, akit az Adatfeldolgozó igénybe vesz (lásd 6. pont).
• A többi fogalmat a GDPR 4. cikke szerint kell értelmezni.

2. Az adatkezelés tárgya, jellege, célja és időtartama

• Tárgy: az Adatkezelő üzemeltetési adatainak feldolgozása az OPEREX platformon.
• Jelleg: tárolás, rögzítés, lekérdezés, rendszerezés, biztonsági mentés, anonimizált statisztikai aggregálás.
• Cél: a műszaknapló-, esemény- és feladatkezelési szolgáltatás technikai biztosítása az Adatkezelő részére.
• Időtartam: az előfizetés időtartama + a 11. pont szerinti megőrzési/törlési idő.

3. Az érintettek köre és az adatok típusai

Érintettek köre:

• Az Adatkezelő munkavállalói és üzemeltetői (műszakvezetők, operátorok, karbantartók)
• Az Adatkezelő account-felhasználói (akik fiókot kapnak a tenantban)

Kezelt személyes adatok kategóriái:

• Azonosítók: név, e-mail, beosztás/szerepkör, fiók-azonosító
• Műszaknapló- és eseménynapló-bejegyzések, szerzőség és időbélyeg
• Vezetői utasítások visszaigazolása, feladat-státuszok és indoklások
• Audit-nyom (ki, mit, mikor) — append-only
• Technikai napló: IP-cím, munkamenet-események

Különleges adatok: egy incidens- vagy near-miss-bejegyzés kivételesen egészségügyi vonatkozású adatot is tartalmazhat (pl. sérülés). Ezek jogalapjáért az Adatkezelő felel; az Adatfeldolgozó kizárólag az utasítás szerint, technikai szolgáltatóként kezeli azokat.

Az Adatfeldolgozó NEM kezel bankkártya- vagy fizetési adatot; ezt a (kiválasztás alatt álló) fizetésfeldolgozó kezeli, önálló adatkezelőként, a saját feltételei szerint.

4. Az Adatkezelő kötelezettségei

• Biztosítja, hogy a rendszerbe vitt adatok kezelésének megfelelő jogalapja van (GDPR 6. cikk).
• Saját érintettjei (munkavállalói) felé adatkezelési tájékoztatást nyújt, amely kitér az Adatfeldolgozó és a sub-processorok közreműködésére.
• Felelős az általa rögzített adatok pontosságáért és aktualitásáért.

5. Az Adatfeldolgozó kötelezettségei (GDPR 28. cikk (3))

Az Adatfeldolgozó vállalja, hogy a személyes adatokat:

• a) kizárólag az Adatkezelő dokumentált utasításai alapján kezeli;
• b) biztosítja, hogy a hozzáférésre jogosult személyek titoktartási kötelezettséget vállaltak;
• c) meghozza a GDPR 32. cikke szerinti biztonsági intézkedéseket (lásd 7. pont);
• d) sub-processort csak a 6. pont szerinti felhatalmazással vesz igénybe, kifogásolási lehetőséget biztosítva;
• e) segíti az Adatkezelőt az érintetti jogok (GDPR 12-22. cikk) teljesítésében;
• f) segíti az Adatkezelőt a GDPR 32-36. cikkei (biztonság, incidens, hatásvizsgálat) szerinti kötelezettségekben;
• g) a megbízás végén az Adatkezelő választása szerint visszaadja vagy törli az adatokat (lásd 11. pont);
• h) az Adatkezelő rendelkezésére bocsát minden, a 28. cikk teljesítését igazoló információt, és lehetővé teszi az auditot (lásd 12. pont).

6. Al-adatfeldolgozók

Az Adatkezelő a jelen DPA elfogadásával általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére:

On-premise (Enterprise) telepítésnél az adatok az Adatkezelő saját infrastruktúráján futnak, így a fenti sub-processorok köre eltérhet vagy elmaradhat; ezt a vonatkozó egyedi szerződés rögzíti.

Új sub-processor bevonását az Adatfeldolgozó legalább 30 nappal előtte e-mailben jelzi; az Adatkezelő kifogásolhatja, és megegyezés hiányában az előfizetést rendkívüli felmondással megszüntetheti. Az Adatfeldolgozó a sub-processorokkal a jelen DPA-val azonos szintű kötelezettségeket vállaló szerződést köt, és felel a cselekményeikért.

7. Biztonsági intézkedések (GDPR 32. cikk)

• Titkosítás átvitelben: TLS 1.2+ minden forgalomra, HSTS bekapcsolva
• Titkosítás nyugalmi állapotban: az adatbázis és a fájltároló titkosított a szerver-infrastruktúrában; a kétfaktoros hitelesítés titkos kulcsai külön titkosítva tárolódnak
• Tenant-izoláció: Row-Level Security (RLS), az adatréteg-szűrésben is megerősítve
• Append-only audit-nyom: a bejegyzések és állapotváltások módosíthatatlan naplója
• Hozzáférés-szabályozás: jelszó-hash, szerepkör-alapú jogosultságkezelés (RBAC), munkamenet-időkorlát
• Kétfaktoros hitelesítés (2FA): az adminisztratív (superadmin) hozzáféréshez kötelező TOTP-alapú kétfaktoros hitelesítés
• Biztonsági mentés: rendszeres, titkosított off-szerver biztonsági mentés (Cloudflare R2), kb. 6 órás helyreállítási ponttal (RPO), önellenőrző visszaolvasással; rendszeres biztonsági frissítések
• Belső hozzáférés-korlátozás: production adatokhoz csak az üzemeltetésért felelős személy fér hozzá, dokumentáltan

Támogatási célú fiók-belépés (impersonation): az Adatfeldolgozó üzemeltetője hibaelhárítási vagy támogatási céllal — az Adatkezelő kérésére vagy a szolgáltatás biztosításához szükséges mértékben — ideiglenesen beléphet egy felhasználói fiók nevében. Minden ilyen hozzáférés módosíthatatlan auditnyomot hagy (ki, mikor, mely fiókban), és kétfaktoros hitelesítéshez kötött. Az Adatfeldolgozó a hozzáférést kizárólag a fenti célokra használja, nem a saját céljaira.

8. Adatvédelmi incidens (GDPR 33. cikk)

Adatvédelmi incidens észlelése esetén az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb 48 órán belül e-mailben értesíti az Adatkezelőt, megadva az incidens jellegét, az érintettek és adatok hozzávetőleges körét, a valószínű következményeket és a megtett intézkedéseket. A felügyeleti hatósági (NAIH) bejelentés az Adatkezelő feladata; az Adatfeldolgozó ehhez minden szükséges információt megad.

9. Nemzetközi adattovábbítás

Az adatok elsősorban az EGT területén (Németország) tárolódnak. Az EGT-n kívülre kizárólag a GDPR V. fejezete szerinti garanciákkal történik továbbítás: a Resend Inc. (US) és a Cloudflare, Inc. (US, biztonsági mentés) az EU-U.S. Data Privacy Framework keretében; az opcionális fordítás-funkció aktiválása esetén az Anthropic PBC (US) ugyanezen keretben.

10. Az érintett jogainak támogatása

Az Adatfeldolgozó technikai eszközöket biztosít az érintetti jogok gyakorlásához (hozzáférés, helyesbítés, törlés, hordozhatóság, korlátozás). Az érintettek elsősorban az Adatkezelőt keresik fel; ha az érintett közvetlenül az Adatfeldolgozónál jelentkezik, az Adatfeldolgozó a kérelmet továbbítja, és csak az Adatkezelő utasítása szerint reagál.

11. Adatok visszaadása és törlése a megszűnéskor

• Az adatokat 30 napig megőrzi az Adatkezelő hozzáférésével (export / újraaktiválás céljából);
• ezt követően véglegesen törli az élő rendszerekből, majd a következő rendes mentési ciklus végén a biztonsági mentésekből is — kivéve, ha jogszabály a megőrzést írja elő (pl. számvitel: 8 év);
• a törlésről az Adatkezelő kérésére írásbeli megerősítést ad.

12. Audit és ellenőrzés

Az Adatkezelő évente egyszer, írásbeli kérelemre, tájékoztatást és igazoló dokumentumokat kérhet a biztonsági intézkedésekről és a sub-processor-szerződésekről. Helyszíni audit kizárólag indokolt esetben, előzetes egyeztetés és titoktartási megállapodás (NDA) után végezhető; költségei az Adatkezelőt terhelik, kivéve, ha jelentős nem-megfelelőség derül ki.

13. Felelősség

A felek a GDPR 82. cikke szerinti felelősséggel tartoznak az érintettek felé. A felek közötti felelősség-megosztásra az ÁSZF 8. pontja (felelősségkorlátozás) alkalmazandó, a kötelező jogszabályi keretek között.

14. Hatálybalépés, időtartam, megszűnés és záró rendelkezések

• Hatály: az ÁSZF elfogadásával lép hatályba, és az előfizetés idejére érvényes; a megszűnést a természetüknél fogva túlélő rendelkezések (titoktartás, törlés) kivételével.
• Irányadó jog: magyar jog, a GDPR keretei között.
• Módosítás: az Adatfeldolgozó legalább 30 nappal előbb e-mailben értesít.
• Kapcsolat: adatvédelmi kérdésekben support@operex.eu.
• Kapcsolódó dokumentumok: ÁSZF, Adatkezelési tájékoztató, Impresszum.