Adatfeldolgozási Megállapodás (DPA)

1. A felek és fogalmak

• Adatkezelő (Controller): az Előfizető — az OPEREX-et igénybe vevő vállalkozás —, aki az üzemeltetési adatok céljáról és eszközeiről dönt.
• Adatfeldolgozó (Processor): Mészáros János egyéni vállalkozó, az OPEREX üzemeltetője, aki az Adatkezelő nevében és utasításai szerint kezeli az adatokat.
• Érintett: az Adatkezelő munkavállalói és üzemeltetői (akik a műszaknaplóban, eseménynaplóban, feladatokban szerepelnek), az Adatkezelő account-felhasználói, valamint — ha az Adatkezelő bekapcsolja a bejelentkezés nélküli terepi bejelentést — annak külső bejelentői (lásd 3. pont).
• Al-adatfeldolgozó (sub-processor): harmadik fél, akit az Adatfeldolgozó igénybe vesz (lásd 6. pont).
• A többi fogalmat a GDPR 4. cikke szerint kell értelmezni.

2. Az adatkezelés tárgya, jellege, célja és időtartama

• Tárgy: az Adatkezelő üzemeltetési adatainak feldolgozása az OPEREX platformon.
• Jelleg: tárolás, rögzítés, lekérdezés, rendszerezés, biztonsági mentés, anonimizált statisztikai aggregálás.
• Cél: a műszaknapló-, esemény- és feladatkezelési szolgáltatás technikai biztosítása az Adatkezelő részére.
• Időtartam: az előfizetés időtartama + a 11. pont szerinti megőrzési/törlési idő.

3. Az érintettek köre és az adatok típusai

Érintettek köre:

• Az Adatkezelő munkavállalói és üzemeltetői (műszakvezetők, operátorok, karbantartók)
• Az Adatkezelő account-felhasználói (akik fiókot kapnak a tenantban)
• Ha az Adatkezelő bekapcsolja a bejelentkezés nélküli terepi bejelentést: a kihelyezett QR-kódot használó külső bejelentők (pl. alvállalkozó, látogató — bárki, aki a kódot beolvassa), akik nem az Adatkezelő account-felhasználói

Kezelt személyes adatok kategóriái:

• Azonosítók: név, e-mail, beosztás/szerepkör, fiók-azonosító
• Műszaknapló- és eseménynapló-bejegyzések, szerzőség és időbélyeg
• A napló-elemekhez (esemény, műszakátadás, karbantartás, feladat, kép-mező) csatolt fényképek, a feltöltő azonosítójával és a feltöltés időpontjával
• Vezetői utasítások visszaigazolása, feladat-státuszok és indoklások
• Audit-nyom (ki, mit, mikor) — append-only
• Technikai napló: IP-cím, munkamenet-események
• Belépés-biztonsági adatok: az utolsó belépés időpontja és a belépési előzmények (időpont + böngésző/eszköz megnevezése, IP-cím nélkül) — az Adatkezelőnél külön, külön adható jogosultság mögött, alapértelmezésben csak a rendszergazdának
• Jelenlét és névsor: ki volt jelen az adott műszakban (a műszaknapló részeként)
• Műszaktervező (ha használják): beosztás, távollét, és a kötelező vizsgák/oktatások letevési és lejárati dátuma (pl. orvosi alkalmassági) — az EREDMÉNY nem
• Képzés modul (ha használják): a saját munkavállalók minősítés-nyilvántartása (minősítés-típus, dátum, tartalom, vizsga/jegyzőkönyv, oktató/értékelő, érvényesség) és a saját munkavállaló külső okmányának száma, érvényessége, valamint — ha a típus engedi — fényképe vagy PDF-je. Az orvosi alkalmasságnál csak az EREDMÉNY (alkalmas / korlátozással alkalmas / nem alkalmas) és az érvényesség; a vizsgáló (foglalkozás-egészségügyi alap- vagy szakellátás) és egy esetleges visszavonás oka is csak zárt listából választható; csatolmány és szabad szöveg NEM rögzíthető
• Terepi bejelentés (csak bekapcsolt funkciónál): a bejelentés szövege; a bejelentő által önkéntesen megadott név és elérhetőség (telefon vagy e-mail) — ezt csak a terepi bejelentés kezelésére jogosult felhasználók látják; az opcionális fénykép, amelyet a rendszer feltöltéskor újrakódol, és a kép metaadatait (pl. EXIF-, helyadat) nem őrzi meg; a beérkezés ideje és helye (üzem, opcionálisan műszaki hely — a QR-kódból). A bejelentéshez az alkalmazás IP-címet nem tárol; a visszaélés elleni korlátozás az IP-címet csak átmenetileg, a szerver memóriájában használja.

Különleges adatok — három, eltérő eset: (1) egy incidens- vagy near-miss-bejegyzés KIVÉTELESEN tartalmazhat egészségügyi vonatkozású adatot (pl. sérülés); (2) a Műszaktervező vizsga-nyilvántartása RENDSZERESEN kezel foglalkozás-egészségügyi adatot. Ez utóbbinál a rendszer ADATTAKARÉKOSAN épült: a rekord a vizsga LETEVÉSÉNEK és LEJÁRATÁNAK dátumát tárolja, EREDMÉNY- vagy lelet-mező nincs benne, és a szabad szövegű megjegyzés-mező a felületen kifejezetten figyelmeztet, hogy oda egészségügyi megállapítás nem írható; (3) a Képzés modul orvosi alkalmassági minősítése CSAK az eredményt (alkalmas / korlátozással / nem alkalmas) és az érvényességet tárolja (a vizsgálót és a visszavonás okát zárt listából) — csatolmány és szabad szöveg a rendszerben NEM rögzíthető, és a rekordot csak külön, a nyilvántartás megtekintésétől elkülönített jogosultsággal lehet látni. Mindhárom esetben a jogalapért (GDPR 9. cikk (2), jellemzően a munkajogi kötelezettség) az Adatkezelő felel; az Adatfeldolgozó kizárólag az utasítás szerint, technikai szolgáltatóként kezeli azokat.

Az Adatfeldolgozó NEM kezel bankkártya- vagy fizetési adatot; ezt a (kiválasztás alatt álló) fizetésfeldolgozó kezeli, önálló adatkezelőként, a saját feltételei szerint.

4. Az Adatkezelő kötelezettségei

• Biztosítja, hogy a rendszerbe vitt adatok kezelésének megfelelő jogalapja van (GDPR 6. cikk).
• Saját érintettjei (munkavállalói) felé adatkezelési tájékoztatást nyújt, amely kitér az Adatfeldolgozó és a sub-processorok közreműködésére.
• Felelős az általa rögzített adatok pontosságáért és aktualitásáért.
• A feltöltött fényképek személyes adatáért az Adatkezelő felel: a feltöltő felelőssége, hogy személy ne legyen felismerhető a képen (a rendszer feltöltéskor erre figyelmeztet); az érintett kérésére az Adatkezelő rendszergazdája a képet törölheti — a törlés nyomot hagy (ki, mikor, milyen indokkal). A törlés a képet az alkalmazásból eltávolítja, és a később készülő napló-PDF-ekben a helyén a törlés nyoma áll; a törlés előtt már legenerált (és kiküldött) napló-PDF-ekben a kép megmarad, mert azok a generáláskori állapot változtathatatlan rekordjai.
• Ha az Adatkezelő bekapcsolja a napló diktálás-funkcióját, a hangot a felhasználó böngészője a böngésző gyártójához küldi szöveggé alakításra — ez nem az Adatfeldolgozó és nem a sub-processorai közreműködése: az Adatfeldolgozó a hangot nem kapja meg és nem tárolja, csak a mentett szöveget; erről az Adatkezelő tájékoztatja érintettjeit.
• Ha az Adatkezelő bekapcsolja a bejelentkezés nélküli terepi bejelentést, ő felel a külső bejelentők tájékoztatásáért (a bejelentő-űrlapon az Adatkezelőre hivatkozó rövid tájékoztató és az Adatkezelő saját adatkezelési tájékoztatójának hivatkozása jelenik meg), az adatkezelés jogalapjáért és a megőrzési idő meghatározásáért. Ehhez az alkalmazás két eszközt ad: (1) a „Bejelentő adatainak törlése” műveletet, amellyel a terepi bejelentés kezelésére jogosult felhasználó — például a bejelentő kérésére — indokkal törli a bejelentő nevét és elérhetőségét (a bejelentés szövege megmarad; az audit-nyom azt rögzíti, ki, mikor és milyen indokkal törölt, a törölt adatot nem); (2) a bérlő-szintű megőrzési idő beállítását, amelynek lejártával a rendszer naponta futó automatikus törléssel törli a nevet és az elérhetőséget. Alapértelmezésben nincs automatikus törlés — amíg az Adatkezelő megőrzési időt nem állít be, a bejelentő adatai a bejelentéssel együtt megmaradnak. A bejelentéshez csatolt fénykép a fényképekre vonatkozó fenti törlési úton törölhető.

5. Az Adatfeldolgozó kötelezettségei (GDPR 28. cikk (3))

Az Adatfeldolgozó vállalja, hogy a személyes adatokat:

• a) kizárólag az Adatkezelő dokumentált utasításai alapján kezeli;
• b) biztosítja, hogy a hozzáférésre jogosult személyek titoktartási kötelezettséget vállaltak;
• c) meghozza a GDPR 32. cikke szerinti biztonsági intézkedéseket (lásd 7. pont);
• d) sub-processort csak a 6. pont szerinti felhatalmazással vesz igénybe, kifogásolási lehetőséget biztosítva;
• e) segíti az Adatkezelőt az érintetti jogok (GDPR 12-22. cikk) teljesítésében;
• f) segíti az Adatkezelőt a GDPR 32-36. cikkei (biztonság, incidens, hatásvizsgálat) szerinti kötelezettségekben;
• g) a megbízás végén az Adatkezelő választása szerint visszaadja vagy törli az adatokat (lásd 11. pont);
• h) az Adatkezelő rendelkezésére bocsát minden, a 28. cikk teljesítését igazoló információt, és lehetővé teszi az auditot (lásd 12. pont).

6. Al-adatfeldolgozók

Az Adatkezelő a jelen DPA elfogadásával általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére:

Nem al-adatfeldolgozó: az adatbázis, a hitelesítés és a fájltárolás self-hosted Supabase formájában, saját üzemeltetésben, a fenti Hetzner-kiszolgálón fut, a nyilvános honlap cookie-mentes látogatottság-mérése pedig saját üzemeltetésű Umamival történik (kizárólag a honlapon, az alkalmazásban nem; a letöltés-kattintásokat összesítve mérjük: a letöltött fájl neve és az a lap, ahonnan kattintottak — személyes adat nélkül) — ezekhez külön felhő-szolgáltató nem fér hozzá. A fizetési és számlázási szolgáltató kiválasztása folyamatban van; ő a saját feltételei szerint, önálló adatkezelőként jár el, ezért nem al-adatfeldolgozó.

On-premise (Enterprise) telepítésnél az adatok az Adatkezelő saját infrastruktúráján futnak, így a fenti sub-processorok köre eltérhet vagy elmaradhat; ezt a vonatkozó egyedi szerződés rögzíti.

Új sub-processor bevonását az Adatfeldolgozó legalább 30 nappal előtte e-mailben jelzi; az Adatkezelő kifogásolhatja, és megegyezés hiányában az előfizetést rendkívüli felmondással megszüntetheti. Az Adatfeldolgozó a sub-processorokkal a jelen DPA-val azonos szintű kötelezettségeket vállaló szerződést köt, és felel a cselekményeikért.

7. Biztonsági intézkedések (GDPR 32. cikk)

• Titkosítás átvitelben: TLS 1.2+ minden forgalomra, HSTS bekapcsolva; a belső szolgáltatások (adatbázis, objektumtár, hitelesítés) kizárólag a kiszolgáló loopback-interfészén érhetők el, publikus hálózatról nem
• Titkosítás nyugalmi állapotban: a jelszavak egyirányú kriptográfiai hash-sel, a kétfaktoros hitelesítés titkos kulcsai AES-256-GCM-mel titkosítva tárolódnak. A dedikált éles kiszolgálón az adatbázis, a fájltár és a helyi mentések LUKS-titkosított köteten vannak; a megosztott demó/kiértékelő környezet nincs lemezszinten titkosítva, és éles ügyfél-adatot nem tárol. A fizikai hozzáférés elleni védelmet emellett a tárhelyszolgáltató adatközponti kontrolljai adják
• Tenant-izoláció: adatbázis-szintű Row-Level Security (RLS) minden bérlői táblán, kikényszerítve (FORCE) és az alkalmazás adatréteg-szűrésében is megerősítve; a kiszolgáló minden telepítésnél automatikusan ellenőrzi a lefedettséget
• Append-only audit-nyom: a bejegyzések és állapotváltások naplója, amelynek módosítását és törlését az adatbázis minden szerepkör számára megtagadja (adatbázis-szintű kikényszerítés); a jogszerű, szerződés szerinti törlés kimondott, naplózott eljárás
• Hozzáférés-szabályozás: jelszó-hash, szerepkör-alapú jogosultságkezelés (RBAC), munkamenet-időkorlát, kizárólag meghívásos fióklétrehozás
• Kétfaktoros hitelesítés (2FA): az adminisztratív (superadmin) hozzáféréshez kötelező TOTP-alapú kétfaktoros hitelesítés; a bérlő minden felhasználója számára elérhető, és bérlőnként kötelezővé tehető a rendszergazdákra vagy minden felhasználóra (a bérlő maga is szigoríthatja)
• Biztonsági mentés: rendszeres (6 óránkénti) off-szerver biztonsági mentés a Cloudflare R2-be, kb. 6 órás helyreállítási ponttal (RPO) és önellenőrző visszaolvasással (SHA-256 összehasonlítás). Az átvitelt TLS védi; az adatbázis-, log- és konfigurációs mentést 2026. szeptember 25. óta a feltöltés előtt, a saját kulcsunkkal titkosítjuk (age), a privát kulcs pedig nem a kiszolgálón áll — ezeket a tárolószolgáltató nem tudja elolvasni. A fájltár-tükör nyugalmi titkosítását továbbra is a tárolószolgáltató végzi a saját kulcsaival
• Biztonsági frissítések: a kiszolgáló operációs rendszere automatikus biztonsági frissítés alatt áll
• Belső hozzáférés-korlátozás: production adatokhoz kizárólag az üzemeltetésért felelős személy fér hozzá

Támogatási célú belépés (impersonation): az Adatfeldolgozó üzemeltetője hibaelhárítási vagy támogatási céllal — az Adatkezelő kérésére vagy a szolgáltatás biztosításához szükséges mértékben — ideiglenesen beléphet az Adatkezelő környezetébe. A belépés nem a felhasználó saját fiókjában, hanem egy erre a célra fenntartott, elkülönített támogatási fiókkal („OPEREX Support”) történik, amely csak a támogatási munkamenet idejére aktív, és a kilépéssel letiltásra kerül. Minden ilyen hozzáférés módosíthatatlan auditnyomot hagy — a naplóban az a személy szerepel, aki a belépést ténylegesen végezte —, és kétfaktoros hitelesítéshez kötött. Az Adatfeldolgozó a hozzáférést kizárólag a fenti célokra használja, nem a saját céljaira.

8. Adatvédelmi incidens (GDPR 33. cikk)

Adatvédelmi incidens észlelése esetén az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb az észleléstől számított 24 órán belül e-mailben értesíti az Adatkezelőt, megadva az incidens jellegét, az érintettek és adatok hozzávetőleges körét, a valószínű következményeket és a megtett intézkedéseket. Az Adatfeldolgozó részleges információval is értesít — nem várja meg a kivizsgálás lezárását —, és a további tájékoztatás várható idejét megadja. A felügyeleti hatósági (NAIH) bejelentés az Adatkezelő feladata; az Adatfeldolgozó ehhez minden szükséges információt megad. Miért 24 óra: ha az Adatkezelőt kiberbiztonsági bejelentési kötelezettség is terheli (NIS2 / 2024. évi LXIX. tv.), a saját korai előrejelzését 24 órán belül kell megtennie — a beszállítói értesítésnek ezt ki kell szolgálnia.

9. Nemzetközi adattovábbítás

A személyes adatok elsődleges tárolási helye az Európai Gazdasági Térség (EGT) területe (Németország). Az EGT-n kívülre kizárólag a GDPR V. fejezete szerinti garanciák mellett történik továbbítás. Az EU–USA Adatvédelmi Keret (DPF) alapján: Cloudflare, Inc. (US, off-szerver biztonsági mentés és DNS), illetve Resend Inc. (US, e-mail-kézbesítés). Általános szerződési feltételek (SCC) alapján: Anthropic PBC (US, műszakszöveg-fordítás — kizárólag az opcionális fordítás-funkció aktiválása esetén).

10. Az érintett jogainak támogatása

Az Adatfeldolgozó technikai eszközöket biztosít az érintetti jogok gyakorlásához (hozzáférés, helyesbítés, törlés, hordozhatóság, korlátozás). Az érintettek elsősorban az Adatkezelőt keresik fel; ha az érintett közvetlenül az Adatfeldolgozónál jelentkezik, az Adatfeldolgozó a kérelmet továbbítja, és csak az Adatkezelő utasítása szerint reagál. A terepi bejelentő (3. pont) nevének és elérhetőségének törlését az Adatkezelőtől kérheti; ennek eszköze a 4. pont szerinti „Bejelentő adatainak törlése” művelet.

11. Adatok visszaadása és törlése a megszűnéskor

• Az adatokat 30 napig megőrzi az Adatkezelő hozzáférésével (export / újraaktiválás céljából). A visszaadás teljes körű: minden bérlői adattábla gépi olvasható (NDJSON) és táblázatkezelővel nyitható (CSV) formában, fájl-leltárral és fájlonkénti SHA-256 ellenőrzőösszeggel;
• ezt követően véglegesen törli az élő rendszerekből; a biztonsági mentésekből az adat a mentési megőrzési idő lejártával, legfeljebb 90 napon belül kerül ki — kivéve, ha jogszabály a megőrzést írja elő (pl. számvitel: 8 év);
• a törlésről az Adatkezelő kérésére írásbeli megerősítést ad.

12. Audit és ellenőrzés

Az Adatkezelő évente egyszer, írásbeli kérelemre, tájékoztatást és igazoló dokumentumokat kérhet a biztonsági intézkedésekről és a sub-processor-szerződésekről. Helyszíni audit kizárólag indokolt esetben, előzetes egyeztetés és titoktartási megállapodás (NDA) után végezhető; költségei az Adatkezelőt terhelik, kivéve, ha jelentős nem-megfelelőség derül ki.

13. Felelősség

A felek a GDPR 82. cikke szerinti felelősséggel tartoznak az érintettek felé. A felek közötti felelősség-megosztásra az ÁSZF 11. pontja (felelősségkorlátozás) alkalmazandó, a kötelező jogszabályi keretek között.

14. Hatálybalépés, időtartam, megszűnés és záró rendelkezések

• Hatály: az ÁSZF elfogadásával lép hatályba, és az előfizetés idejére érvényes; a megszűnést a természetüknél fogva túlélő rendelkezések (titoktartás, törlés) kivételével.
• Irányadó jog: magyar jog, a GDPR keretei között.
• Módosítás: az Adatfeldolgozó legalább 30 nappal előbb e-mailben értesít.
• Kapcsolat: adatvédelmi kérdésekben support@operex.eu.
• Kapcsolódó dokumentumok: ÁSZF, Adatkezelési tájékoztató, Impresszum.