Adatfeldolgozási szerződés

az általános adatvédelmi rendelet (DSGVO / GDPR, (EU) 2016/679) 28. cikke szerint

Hatályos: [KITÖLTENDŐ: hatálybalépés dátuma]

1. A szerződés tárgya és megkötése

1.1. Ez a szerződés az ügyfél és a szolgáltató közötti, az ÁSZF szerinti szolgáltatási szerződést (a továbbiakban: fő szerződés) egészíti ki. Szabályozza a felek adatvédelmi jogait és kötelezettségeit azokra az esetekre, amikor a szolgáltató a fő szerződés teljesítése során az ügyfél megbízásából személyes adatokat kezel.

1.2. A szerződés a fő szerződés megkötésével, a megrendelés során történő elfogadással elektronikus formában jön létre (DSGVO 28. cikk (9) bekezdés).

1.3. Ha az ügyfél természetes személyként a szolgáltatást kizárólag személyes vagy otthoni tevékenységhez használja, a DSGVO rá nem vonatkozik (2. cikk (2) bekezdés c) pont); a szolgáltató ilyenkor is e szerződés szerinti védelmi szinten kezeli az adatokat.

1.4. Az ügyfél saját személyes adatait (pl. kapcsolattartási és számlázási adatok) a szolgáltató nem adatfeldolgozóként, hanem saját adatkezelőként kezeli; erre az adatkezelési tájékoztató vonatkozik: [KITÖLTENDŐ: link].

2. Időtartam

2.1. A szerződés a fő szerződés időtartamára jön létre, és a fő szerződés megszűnésével automatikusan megszűnik. A kötelezettségek a 9. pont szerinti törlés vagy visszaadás befejezéséig, a titoktartás pedig azon túl is fennmaradnak.

3. Az adatkezelés jellege, célja, az adatok típusai és az érintettek

3.1. Az adatkezelés jellege és célja: a fő szerződés szerinti szolgáltatások nyújtása, különösen

• webtárhely biztosítása (fájlok, adatbázisok tárolása, weboldalak kiszolgálása, naplózás);
• e-mail-szolgáltatás (e-mailek fogadása, tárolása, továbbítása, spam- és kártevőszűrés);
• domainhez kapcsolódó szolgáltatások (DNS-kezelés);
• üzemeltetés, karbantartás, hibaelhárítás, biztonsági mentés és helyreállítás, támadások elhárítása.

3.2. Az adatok típusai és az érintettek kategóriái a II. mellékletben szerepelnek. Az, hogy pontosan milyen személyes adatokat tárol a tárhelyen, az ügyfél döntése; a szolgáltató ezekről tartalmi ismerettel általában nem rendelkezik.

4. Utasítási jog

4.1. A szolgáltató a személyes adatokat kizárólag az ügyfél dokumentált utasításai alapján kezeli, ideértve a harmadik országba történő továbbítást is, kivéve, ha uniós vagy tagállami jog ettől eltérő kezelést ír elő; ilyenkor erről az ügyfelet a kezelést megelőzően tájékoztatja, hacsak a jogszabály ezt nem tiltja (DSGVO 28. cikk (3) bekezdés a) pont).

4.2. Az utasításokat elsősorban a fő szerződés, a csomagleírás és a kezelőfelületen (Enhance Control Panel, ügyfélportál) végzett beállítások jelentik. Egyedi utasítást az ügyfél szöveges formában (e-mailben) adhat.

4.3. Ha a szolgáltató megítélése szerint egy utasítás sérti a DSGVO-t vagy más adatvédelmi előírást, erről az ügyfelet haladéktalanul tájékoztatja, és az utasítás végrehajtását a megerősítésig vagy módosításig felfüggesztheti (DSGVO 28. cikk (3) bekezdés, utolsó mondat).

5. A szolgáltató kötelezettségei

5.1. Titoktartás. A szolgáltató biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak, vagy jogszabályi titoktartási kötelezettség alatt állnak (DSGVO 28. cikk (3) bekezdés b) pont). A szolgáltató egyéni vállalkozó; ha a jövőben munkatársat vagy külső segítőt von be, őt is írásban titoktartásra kötelezi.

5.2. Biztonság. A szolgáltató megteszi a DSGVO 32. cikke szerinti megfelelő műszaki és szervezési intézkedéseket (I. melléklet). Ezeket a technikai fejlődésnek megfelelően továbbfejlesztheti, feltéve, hogy a védelem szintje nem csökken.

5.3. Segítség az érintetti jogoknál. A szolgáltató a kezelés jellegének megfelelően, lehetőség szerint műszaki és szervezési intézkedésekkel segíti az ügyfelet az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás – DSGVO 12–22. cikk) teljesítésében. Ha egy érintett közvetlenül a szolgáltatóhoz fordul, a szolgáltató a kérelmet haladéktalanul továbbítja az ügyfélnek, és azt önállóan nem teljesíti. A kezelőfelület révén az ügyfél a legtöbb műveletet (adatok megtekintése, exportja, törlése) maga is elvégezheti.

5.4. Segítség egyéb kötelezettségeknél. A szolgáltató a rendelkezésére álló információk alapján segíti az ügyfelet a DSGVO 32–36. cikkében foglalt kötelezettségek (biztonság, incidens-bejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében.

5.5. Adatvédelmi incidens. A szolgáltató az ügyfél adatait érintő adatvédelmi incidensről való tudomásszerzést követően indokolatlan késedelem nélkül [KITÖLTENDŐ: opcionálisan konkrét határidő, pl. legkésőbb 48 órán belül] értesíti az ügyfelet a kapcsolattartási e-mail-címén (DSGVO 33. cikk (2) bekezdés). Az értesítés – amennyiben már ismert – tartalmazza az incidens jellegét, az érintettek és az adatok kategóriáit és hozzávetőleges számát, a valószínű következményeket, valamint a megtett vagy tervezett intézkedéseket. A hiányzó információkat a szolgáltató utólag, fokozatosan adja meg. A hatóság és az érintettek értesítése az ügyfél (mint adatkezelő) feladata.

5.6. Nyilvántartás. A szolgáltató a DSGVO 30. cikk (2) bekezdése szerinti nyilvántartást vezeti az adatfeldolgozói tevékenységről.

5.7. Helyszín. Az adatkezelés az Európai Unió vagy az Európai Gazdasági Térség területén történik: [KITÖLTENDŐ: adatközpont országa / városa].

6. Az ügyfél kötelezettségei

6.1. Az ügyfél felel a kezelés jogszerűségéért, különösen a jogalapért, az érintettek tájékoztatásáért (pl. a weboldal adatvédelmi tájékoztatója) és az érintetti kérelmek megválaszolásáért.

6.2. Az ügyfél felel azért, hogy az általa telepített alkalmazások (pl. WordPress és bővítményei) biztonságosak és naprakészek legyenek, és hogy különleges adatkategóriák (DSGVO 9. cikk) kezelése esetén ehhez megfelelő intézkedéseket tegyen, illetve erről a szolgáltatót előzetesen tájékoztassa.

6.3. Az ügyfél haladéktalanul tájékoztatja a szolgáltatót, ha az adatkezelésben hibát vagy szabálytalanságot észlel.

7. Almegbízottak (további adatfeldolgozók)

7.1. Az ügyfél általános felhatalmazást ad a szolgáltatónak további adatfeldolgozók igénybevételére (DSGVO 28. cikk (2) bekezdés). A szerződéskötéskor igénybe vett almegbízottak:

7.2. Megjegyzés a Stripe-ról: a Stripe a fizetési szolgáltatások körében részben saját, önálló adatkezelőként jár el (pl. csalásmegelőzés, pénzforgalmi jogi kötelezettségek). Átláthatósági okból szerepel a táblázatban; az ügyfél tárhelyen tárolt adataihoz nem fér hozzá.

7.3. Az Enhance Control Panel szoftvert a szolgáltató saját szerverén üzemelteti. [ELLENŐRIZENDŐ: a szoftver gyártója (Enhance) licenc-, telemetria- vagy támogatási célból hozzáfér-e személyes adatokhoz; ha igen, almegbízottként fel kell venni.]

7.4. Új almegbízott igénybevétele vagy csere előtt a szolgáltató az ügyfelet legalább [KITÖLTENDŐ: pl. 30 nappal] korábban szöveges formában értesíti. Az ügyfél fontos adatvédelmi okból kifogást emelhet. Ha a felek nem jutnak megegyezésre, az ügyfél a fő szerződést a változás hatálybalépésére rendkívüli felmondással megszüntetheti.

7.5. A szolgáltató az almegbízottakkal az e szerződésben foglaltakkal azonos adatvédelmi kötelezettségeket köt ki (DSGVO 28. cikk (4) bekezdés), és az almegbízott teljesítéséért az ügyféllel szemben felel.

7.6. Nem minősülnek almegbízásnak azok a kiegészítő szolgáltatások, amelyeket a szolgáltató harmadik személytől vesz igénybe, és amelyek során személyes adatokhoz nem férnek hozzá (pl. távközlési szolgáltatások mint puszta adatátvitel, szoftverlicenc tartalmi hozzáférés nélkül).

8. Harmadik országba történő továbbítás

8.1. Személyes adatok továbbítása az EU-n vagy az EGT-n kívüli harmadik országba vagy nemzetközi szervezet részére csak az ügyfél dokumentált utasítása alapján, és csak akkor megengedett, ha a DSGVO V. fejezetének feltételei teljesülnek (pl. megfelelőségi határozat, általános adatvédelmi kikötések). Megfelelő garancia nélküli továbbítás tilos.

8.2. Ha a szolgáltatás jellegéből következően maga az ügyfél kezdeményez továbbítást (pl. e-mailt küld harmadik országban lévő címzettnek), az nem minősül a szolgáltató általi továbbításnak.

9. Törlés és visszaadás a szerződés végén

9.1. A fő szerződés megszűnése után a szolgáltató – az ügyfél választása szerint – az adatokat törli vagy visszaadja, és a meglévő másolatokat törli, kivéve, ha uniós vagy tagállami jog az adatok tárolását írja elő (DSGVO 28. cikk (3) bekezdés g) pont).

9.2. A visszaadás elsősorban úgy történik, hogy az ügyfél a szerződés megszűnéséig a kezelőfelületen keresztül maga letölti adatait. A szerződés megszűnése után a tárhely és az e-mail-fiókok adatai [KITÖLTENDŐ: pl. 14] nap elteltével véglegesen törlődnek (ÁSZF 6.2. pont).

9.3. A biztonsági mentésekben tárolt adatok a mentések szokásos rotációja során, legkésőbb [KITÖLTENDŐ: megőrzési idő] elteltével törlődnek.

9.4. A szolgáltató az ügyfél kérésére a törlést szöveges formában igazolja.

10. Ellenőrzés

10.1. A szolgáltató az ügyfél rendelkezésére bocsát minden olyan információt, amely az e szerződésben és a DSGVO 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges, és lehetővé teszi, illetve elősegíti az ügyfél vagy az általa megbízott, titoktartásra kötelezett ellenőr által végzett ellenőrzéseket, beleértve a helyszíni vizsgálatot is (DSGVO 28. cikk (3) bekezdés h) pont).

10.2. Az ellenőrzést elsősorban írásbeli tájékoztatás, önbevallás vagy – ha rendelkezésre áll – tanúsítványok (pl. az adatközpont tanúsítványai) útján kell elvégezni. Helyszíni ellenőrzést az ügyfél ésszerű, legalább [KITÖLTENDŐ: pl. 14 napos] előzetes bejelentés után, munkaidőben, az üzemmenet és más ügyfelek adatainak védelme mellett végezhet. A más ügyfelek adatait veszélyeztető ellenőrzés nem követelhető. [ELLENŐRIZENDŐ: költségviselés]

11. Felelősség

11.1. A felek felelősségére a DSGVO 82. cikke, egyebekben a fő szerződés (ÁSZF 13. pont) irányadó.

12. Záró rendelkezések

12.1. Ellentmondás esetén adatvédelmi kérdésekben e szerződés rendelkezései elsőbbséget élveznek a fő szerződéssel szemben.

12.2. A szerződésre a fő szerződés szerinti jog irányadó. Ha egy rendelkezés érvénytelen, az a többit nem érinti.

12.3. A szerződés módosítása szöveges formában érvényes; a módosításra az ÁSZF 18. pontja megfelelően alkalmazandó.

I. melléklet – Műszaki és szervezési intézkedések (DSGVO 32. cikk)

Az alábbi lista a szolgáltató által alkalmazott intézkedéseket írja le általános szinten. A biztonság érdekében a konkrét beállításokat nem tesszük közzé.

1. Fizikai hozzáférés-védelem

• A szerverek professzionális adatközpontban működnek; a fizikai hozzáférés-védelmet (beléptetés, kamerás megfigyelés, tűz- és áramvédelem) az adatközpont-szolgáltató biztosítja. [KITÖLTENDŐ: adatközpont, tanúsítványok, pl. ISO/IEC 27001 – ELLENŐRIZENDŐ]
• A szolgáltató munkaállomásai jelszóval/biometrikus azonosítással védettek, a háttértárak titkosítottak. [ELLENŐRIZENDŐ]

2. Rendszer- és adathozzáférés-szabályozás

• A szerverek adminisztratív elérése kizárólag SSH-kulccsal történik; jelszavas SSH-bejelentkezés tiltva. [ELLENŐRIZENDŐ: minden érintett szerveren]
• Adminisztratív hozzáférése kizárólag a szolgáltatónak van (legkisebb jogosultság elve); az ügyfélfiókok egymástól elkülönített rendszerfelhasználók alatt futnak. [ELLENŐRIZENDŐ: az Enhance-ben alkalmazott elkülönítés módja]
• Az ügyfelek a kezelőfelülethez és az ügyfélportálhoz egyéni jelszóval férnek hozzá; kétlépcsős azonosítás [ELLENŐRIZENDŐ: elérhető-e az Enhance-ben és a Blestában].
• Az adminisztratív fiókokhoz erős, egyedi jelszavakat és – ahol lehetséges – kétlépcsős azonosítást használunk. [ELLENŐRIZENDŐ]

3. Hálózatvédelem

• Tűzfal: csak a szolgáltatáshoz szükséges portok nyitottak; az adatbázis-szerver kívülről nem érhető el.
• Automatizált támadásészlelés és -blokkolás (CrowdSec jellegű behatolás-megelőzés, a gyanús IP-címek tűzfalszintű kitiltásával). [ELLENŐRIZENDŐ: a hostio-t kiszolgáló szerveren aktív-e]
• Spam- és kártevőszűrés az e-mail-forgalomban. [ELLENŐRIZENDŐ]

4. Továbbítás-ellenőrzés (titkosítás átvitel közben)

• A weboldalak, a kezelőfelület és az ügyfélportál TLS-sel (HTTPS) érhetők el; tanúsítványok (pl. Let's Encrypt) automatikus megújítással.
• E-mail-elérés titkosított protokollokon (IMAPS/POP3S, SMTP STARTTLS/SMTPS); fájlátvitel SFTP-n. [ELLENŐRIZENDŐ: titkosítatlan FTP le van-e tiltva]
• Adminisztratív elérés kizárólag titkosított csatornán (SSH).

5. Tárolás közbeni titkosítás

• [ELLENŐRIZENDŐ: a szerverek és a mentések háttértára titkosított-e – csak akkor szerepeljen, ha igaz]

6. Rendelkezésre állás és helyreállíthatóság

• Rendszeres biztonsági mentések, a mentés elsődleges rendszertől elkülönített tárolása. [ELLENŐRIZENDŐ: gyakoriság, megőrzés, hely]
• A helyreállítás rendszeres próbája. [ELLENŐRIZENDŐ]
• Redundáns háttértár (RAID) és szünetmentes áramellátás az adatközpontban. [ELLENŐRIZENDŐ]
• Rendelkezésre állás figyelése (monitoring) és riasztás. [ELLENŐRIZENDŐ]

7. Integritás, frissítések

• Az operációs rendszer, a kezelőfelület és a szerverszoftverek rendszeres frissítése; kritikus biztonsági frissítések soron kívül. [ELLENŐRIZENDŐ: automatikus biztonsági frissítések be vannak-e kapcsolva]
• Támogatott (biztonsági frissítést kapó) operációsrendszer-verziók használata.

8. Naplózás

• Rendszer-, hozzáférési és biztonsági naplók vezetése (pl. bejelentkezések, webszerver- és levelezési naplók). Megőrzési idő: [KITÖLTENDŐ: pl. 7–30 nap].
• A naplókhoz csak a szolgáltató fér hozzá.

9. Szervezési intézkedések

• Az utasítások és az almegbízottak dokumentálása; a feldolgozási tevékenységek nyilvántartása.
• Adatvédelmi incidens kezelésére vonatkozó eljárás (észlelés, elszigetelés, értékelés, értesítés, dokumentálás).
• Célhoz kötöttség: az ügyfelek adatait a szolgáltató saját célra nem használja.
• Az adathordozók biztonságos törlése vagy megsemmisítése (adatközpontnál: [ELLENŐRIZENDŐ]).
• Az intézkedések rendszeres felülvizsgálata, legalább évente.

II. melléklet – Az adatkezelés részletei