Adatfeldolgozási megállapodás

Jelen adatfeldolgozási megállapodás (a továbbiakban: Megállapodás) a GDPR 28. cikke szerint jön létre az Előfizető mint adatkezelő és a Cyber in Systems Korlátolt Felelősségű Társaság (Cyber in Systems Kft.) (4183 Kaba, Baross Gábor utca 46., cégjegyzékszám: 09-09-029715, adószám: 26328038-2-09) mint adatfeldolgozó (a továbbiakban: Adatfeldolgozó) között, az EHS Axis szolgáltatásra vonatkozó ÁSZF elválaszthatatlan részeként; a regisztrációval és az ÁSZF elfogadásával hatályba lép. Személyes adatok tekintetében a Megállapodás elsőbbséget élvez az ÁSZF-fel szemben. Hatályos: 2026-09-29.

1. Az adatfeldolgozás tárgya, jellege, célja, időtartama

• Tárgy és cél: az Előfizető által a Szolgáltatásba rögzített személyes adatok tárolása és feldolgozása a Szolgáltatás nyújtása (nyilvántartás, megjelenítés, értesítések, jelentések és exportok készítése, mentés, támogatás) érdekében.
• Jelleg: gyűjtés (az Előfizető rögzítése útján), tárolás, rendszerezés, lekérdezés, megjelenítés, továbbítás e-mail-értesítésben a Munkaterület felhasználóinak, mentés, törlés.
• Érintettek: az Előfizető munkavállalói, vezetői, alvállalkozói, látogatói, a Munkaterület felhasználói, valamint az eltérésekben, auditokban és fotókon szereplő személyek.
• Adatkategóriák: név, e-mail, telefonszám, beosztás, szervezeti egység, szerepkör, törzs- vagy azonosító szám, tevékenységnapló; eltérések, intézkedések, auditok és kockázatok szöveges adatai; képzési és eszközvizsgálati nyilvántartás, tanúsítványok; fényképek (amelyeken személyek is szerepelhetnek).
• Különleges adatok: kezelésük nem célja a Szolgáltatásnak. Ha az Előfizető ilyet rögzít (pl. munkabaleset kapcsán egészségügyi adatot), a GDPR 9. cikke szerinti jogalapért és a szükségesség mértékéért az Előfizető felel.
• Időtartam: a szerződés fennállása, majd az adatok 6. pont szerinti törléséig.

2. Az Előfizető (adatkezelő) kötelezettségei

Az Előfizető felel az adatkezelés jogszerűségéért, az érintettek tájékoztatásáért, a jogalap biztosításáért, valamint azért, hogy utasításai jogszerűek legyenek. Az Előfizető dokumentált utasításának minősül a Szolgáltatás funkcióinak használata, az ÁSZF és jelen Megállapodás.

3. Az Adatfeldolgozó kötelezettségei

Az Adatfeldolgozó (a) a személyes adatokat kizárólag az Előfizető dokumentált utasításai szerint kezeli – ideértve a harmadik országba történő továbbítást is –, és ha az utasítás véleménye szerint jogsértő, erről haladéktalanul tájékoztatja az Előfizetőt; (b) biztosítja, hogy az adatokhoz hozzáférő személyek titoktartásra kötelezettek; (c) megteszi a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket (2. melléklet); (d) a 4. pont szerint vesz igénybe további adatfeldolgozót; (e) megfelelő intézkedésekkel segíti az Előfizetőt az érintetti kérelmek teljesítésében – az érintettől közvetlenül hozzá érkező kérelmet indokolatlan késedelem nélkül továbbítja –, valamint a GDPR 32–36. cikke szerinti kötelezettségek (adatbiztonság, incidensbejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében; (f) a szerződés megszűnésekor a 6. pont szerint jár el; (g) az Előfizető rendelkezésére bocsát minden információt, amely a 28. cikkben foglalt kötelezettségek teljesítésének igazolásához szükséges, és lehetővé teszi az 5. pont szerinti ellenőrzést.

4. További adatfeldolgozók

Az Előfizető általános felhatalmazást ad az alábbi további adatfeldolgozók igénybevételére (1. melléklet). Az Adatfeldolgozó a további adatfeldolgozóval a jelen Megállapodással egyenértékű adatvédelmi kötelezettségeket köt ki, és annak teljesítéséért felel. Új további adatfeldolgozó bevonásáról vagy cseréjéről legalább 30 nappal előre e-mailben értesíti az Előfizetőt, aki ezen belül indokolt adatvédelmi okból kifogást emelhet; ha a felek nem jutnak megoldásra, az Előfizető a változás hatálybalépéséig díjmentesen felmondhat, és a fel nem használt időszak díját időarányosan visszafizetjük.

5. Adatvédelmi incidens, ellenőrzés

Az Adatfeldolgozó az adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az Előfizetőt, és közli a GDPR 33. cikk (3) bekezdése szerinti, rendelkezésre álló információkat (az incidens jellege, az érintettek és adatok köre és hozzávetőleges száma, a valószínű következmények, a megtett és tervezett intézkedések, kapcsolattartó), majd azokat folyamatosan kiegészíti. Az Előfizető a megfelelést elsődlegesen az Adatfeldolgozó írásbeli tájékoztatása, dokumentációja és a tárhelyszolgáltató tanúsítványai alapján ellenőrzi; ezen túl évente legfeljebb egyszer – incidens után vagy hatósági kérésre emellett is –, legalább 30 nappal előre egyeztetett, a működést nem zavaró, titoktartási kötelezettséggel járó helyszíni vagy távoli auditot végezhet saját költségén.

6. A szerződés megszűnése

A szerződés megszűnése után a Munkaterület 90 napig csak olvasható módban elérhető és exportálható (az Előfizető választása szerint az adatok visszaadása). Ezt követően az Adatfeldolgozó a személyes adatokat törli, a mentésekből legkésőbb további 14 napon belül, kivéve ha uniós vagy tagállami jog a tárolást írja elő; az Előfizető kérésére a törlést írásban igazolja. Az Előfizető kérésére a törlés korábban is megtörténik.

7. Adattovábbítás, felelősség, egyéb

Az Ügyféladatokat az EGT-n belül tároljuk. Ha további adatfeldolgozó harmadik országból fér hozzá személyes adathoz, a továbbítás a GDPR V. fejezete szerinti garanciákkal (megfelelőségi határozat, EU–USA adatvédelmi keretrendszer, általános szerződési feltételek) történik. A felek felelősségére a GDPR 82. cikke és az ÁSZF felelősségi szabályai irányadók. A Megállapodás a szerződés megszűnéséig, illetve az adatok törléséig hatályos.

1. melléklet – További adatfeldolgozók

2. melléklet – Technikai és szervezési intézkedések (GDPR 32. cikk)

• Titkosítás: minden kapcsolat HTTPS/TLS-sel; jelszavak sózott, egyirányú hash-sel (bcrypt); munkamenet aláírt tokennel.
• Elkülönítés és hozzáférés: munkaterületenkénti logikai adat-elkülönítés minden lekérdezésben (automatizált teszttel ellenőrizve); szerepkör-alapú jogosultságok (tulajdonos, adminisztrátor, jóváhagyó, felelős, jelentő, megtekintő); feltöltött fájlok csak a Munkaterület tagjainak; üzemeltetői felület külön azonosítással.
• Rendelkezésre állás és helyreállítás: napi adatbázis- és fájlmentés, 14 napos megőrzés; folyamatfelügyelet és automatikus újraindítás; EU-s adatközpont.
• Fejlesztés és üzemeltetés: verziókövetés, automatizált regressziós és jogosultsági tesztek kiadás előtt; biztonsági frissítések; a hozzáférés a szükséges személyekre korlátozva, titoktartási kötelezettséggel.
• Naplózás és incidenskezelés: szerver- és alkalmazásnaplók 30 napig; incidenskezelési eljárás a 5. pont szerint.
• Visszaélések elleni védelem: robotok elleni ellenőrzés a nyilvános űrlapokon, e-mail-cím megerősítése a megrendeléshez.