ADATFELDOLGOZÁSI MEGÁLLAPODÁS (DPA)

Hatálybalépés: 2026. június 2. Utolsó frissítés: 2026. július 7. Verzió: 1.1

Röviden: Ez az adatfeldolgozási megállapodás (DPA) azt írja le, hogyan kezeli a 1booq az adatkezelőként eljáró üzleti ügyfelek nevében a személyes adatokat, a GDPR-ral összhangban. A teljes megállapodás lent olvasható.

Jelen Adatfeldolgozási Megállapodás („DPA") a GDPR (EU 2016/679) 28. cikke szerint szabályozza, hogy az Üzemeltető a Szolgáltató nevében és utasítására milyen feltételekkel kezel személyes adatokat. A DPA a Szolgáltató és az Üzemeltető közötti ÁSZF elválaszthatatlan részét képezi, és annak 20. szakaszában foglalt adatfeldolgozási rendelkezéseket részletezi. Ütközés esetén a jelen DPA az adatfeldolgozás vonatkozásában az irányadó.

1. Felek és szerepkörök

• Adatkezelő (Controller): a Szolgáltató, aki a saját Ügyfeleinek személyes adatait a saját céljaira kezeli.
• Adatfeldolgozó (Processor): az Üzemeltető (WaveOne Technologies Kft.; az azonosító és kapcsolattartási adatokat lásd az Impresszumban), amely a Szolgáltató utasítására, a platform működtetése keretében kezeli ezeket az adatokat.

A felek rögzítik, hogy a regisztrált felhasználók saját fiókadatai tekintetében az Üzemeltető önálló adatkezelő (lásd az Adatvédelmi Tájékoztatót); a jelen DPA kizárólag azokra az adatokra vonatkozik, amelyeket az Üzemeltető a Szolgáltató adatfeldolgozójaként kezel.

2. A feldolgozás tárgya, időtartama, jellege és célja

• Tárgya: a Szolgáltató foglalási és ügyfélkezelési tevékenységéhez kapcsolódó személyes adatok feldolgozása a platformon keresztül.
• Időtartama: a Szolgáltató és az Üzemeltető közötti szerződés fennállásáig, illetve az Adatvédelmi Tájékoztató szerinti megőrzési időkig.
• Jellege és célja: a foglalási rendszer, naptár, üzenetküldés, értékelések, kredit-elszámolás és kapcsolódó funkciók biztosítása, tárolása és technikai üzemeltetése.

3. Az érintettek és a személyes adatok kategóriái

• Érintettek: a Szolgáltató Ügyfelei (foglalók), Munkatársai és egyéb kapcsolattartói.
• Adatkategóriák: név, e-mail-cím, telefonszám (ha megadták), foglalási adatok (időpont, státusz, a Szolgáltató által definiált űrlapmezők értékei), üzenetek, értékelések és jegyzetek. Különleges kategóriájú adat (GDPR 9. cikk) feldolgozása nem rendeltetésszerű (lásd ÁSZF 6.6.); ha a Szolgáltató ilyet visz be, azért önálló adatkezelőként ő felel.

4. Az adatkezelő utasításai

Az Üzemeltető a személyes adatokat kizárólag a Szolgáltató dokumentált utasítása alapján kezeli — ideértve a platform rendeltetésszerű használatát mint állandó utasítást —, kivéve, ha uniós vagy tagállami jog ettől eltérő kezelésre kötelezi; ez esetben az Üzemeltető a feldolgozás előtt erről tájékoztatja a Szolgáltatót, kivéve, ha a jog ezt fontos közérdekből tiltja.

5. Titoktartás

Az Üzemeltető biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak, vagy megfelelő jogszabályi titoktartás alá esnek, és kizárólag a feladatuk ellátásához szükséges mértékben (need-to-know, legkisebb jogosultság elve) férnek hozzá.

6. Technikai és szervezési intézkedések (TOMs) — GDPR 32. cikk

Az Üzemeltető az alábbi intézkedéseket alkalmazza (a kockázattal arányosan):

• Titkosítás átvitel közben (TLS/HTTPS) minden hálózati forgalomra;
• Titkosítás nyugalmi állapotban az adatbázis- és tárolószolgáltató (Supabase) szintjén;
• Hozzáférés-ellenőrzés: szerepkör-alapú jogosultságok, a legkisebb jogosultság elve, adminisztratív műveletekhez kétfaktoros hitelesítés (2FA);
• Jelszókezelés: jelszó-hash (bcrypt), titkok elkülönített tárolása;
• Álnevesítés / anonimizálás: fiók törlésekor a személyes azonosítók eltávolítása (tombstone), naplók álnevesítése;
• Naplózás és auditálhatóság: biztonságilag releváns események naplózása;
• Visszaélés-megelőzés: sebességkorlátozás (rate limiting), bot- és csalásvédelmi mechanizmusok;
• Üzletmenet-folytonosság: rendszeres biztonsági mentések, helyreállíthatóság;
• Adatvédelem beépítetten és alapértelmezetten (privacy by design/by default).

A TOMs aktuális részletei kérésre rendelkezésre bocsáthatók, és a technológiai fejlődéssel összhangban frissülhetnek, a védelmi szint csökkentése nélkül.

7. Alfeldolgozók (sub-processors)

A Szolgáltató általános felhatalmazást ad az Üzemeltetőnek alfeldolgozók igénybevételére. Az Üzemeltető minden alfeldolgozóval a GDPR 28. cikke szerinti, a jelennel lényegében azonos adatvédelmi kötelezettségeket tartalmazó szerződést köt, és felelős marad az alfeldolgozók tevékenységéért. Új alfeldolgozó bevezetéséről vagy cseréjéről az Üzemeltető előzetesen tájékoztat, és a Szolgáltató kifogást emelhet.

Jelenlegi alfeldolgozók:

8. Nemzetközi adattovábbítás

EGT-n kívüli továbbítás esetén az Üzemeltető megfelelőségi határozatra, Általános Szerződési Záradékokra (SCC, 2021/914 EU határozat), illetve EU-USA Data Privacy Framework tanúsításra támaszkodik, szükség szerint kiegészítő technikai-szervezési intézkedésekkel.

9. Segítségnyújtás az adatkezelőnek

Az Üzemeltető a feldolgozás jellegét figyelembe véve, megfelelő intézkedésekkel segíti a Szolgáltatót:

• az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) teljesítésében;
• a 32–36. cikk szerinti biztonsági, incidens-bejelentési, hatásvizsgálati (DPIA) és előzetes konzultációs kötelezettségek teljesítésében.

Az érintetti jogok teljesítésének megkönnyítésére az Üzemeltető a Szolgáltatás felületén beépített önkiszolgáló eszközöket biztosít (pl. ügyfél- és vendégadatok törlése, adatexport), amelyekkel a Szolgáltató a hozzá beérkező érintetti kérelmeket közvetlenül teljesítheti.

10. Adatvédelmi incidens kezelése

Az Üzemeltető az általa kezelt adatokat érintő adatvédelmi incidensről indokolatlan késedelem nélkül, a tudomásszerzést követően a lehető leghamarabb (célállapot: 72 órán belül) tájékoztatja a Szolgáltatót, és átadja a bejelentéshez ésszerűen szükséges információkat.

11. Ellenőrzés (audit)

Az Üzemeltető a Szolgáltató rendelkezésére bocsátja a 28. cikk szerinti kötelezettségek igazolásához szükséges információkat, és ésszerű időközönként, előzetes egyeztetés alapján lehetővé teszi az auditot (ideértve a Szolgáltató által megbízott, titoktartásra kötelezett független auditort), az üzletmenet és más ügyfelek adatainak indokolt védelme mellett.

12. Az adatok visszaadása és törlése

A szerződés megszűnésekor az Üzemeltető a Szolgáltató választása szerint visszaadja vagy törli a feldolgozott személyes adatokat, kivéve, ha uniós/tagállami jog a tárolást előírja (pl. számviteli megőrzés). A megőrzési időkre lásd az Adatvédelmi Tájékoztatót és a belső retention mátrixot.

13. Felelősség és irányadó jog

A felelősségre és az irányadó jogra az ÁSZF rendelkezései alkalmazandók. A jelen DPA a magyar jog és a GDPR szerint értelmezendő.

14. Kapcsolat

Adatfeldolgozással kapcsolatos megkeresések: privacy@1booq.com (lásd még az Impresszumot és az Adatvédelmi Tájékoztatót).