Adatfeldolgozási szerződés (DPA)

1. Felek

Adatfeldolgozó: Evosolve Korlátolt Felelősségű Társaság (Evosolve Kft.), Auro AI néven („Adatfeldolgozó”, „mi”).

Adatkezelő: az Auro AI ügyfélfiókhoz regisztrált vállalkozás („Adatkezelő”, „Ügyfél”).

2. Tárgy, időtartam, jelleg, cél

Tárgy: személyes adatok kezelése az Adatkezelő megbízásából az Auro AI szoftverszolgáltatás (a „Szolgáltatás”) igénybevétele során.

Időtartam: a fiók létrehozásától a szerződés megszűnése után a 10. pont szerinti visszaadási és törlési kötelezettségek teljesítéséig.

Jelleg: automatizált, elektronikus feldolgozás a Hetzner Online GmbH németországi infrastruktúráján, valamint a III. mellékletben felsorolt további adatfeldolgozókkal.

Cél: az Auro AI funkcióinak (pénzügy és könyvelés-támogatás, CRM, HR, kommunikációs postaláda, mesterséges intelligenciával támogatott funkciók) biztosítása az Adatkezelő részére.

3. Érintettek és adatok köre

Érintettek: az Adatkezelő munkavállalói és megbízottai; az Adatkezelő ügyfelei és kapcsolattartói; beszállítói; az Adatkezelő weboldalán beágyazott Auro-widgetet használó látogatók; toborzási modul használata esetén álláskeresők.

Személyes adatok típusai:

• Azonosító és kapcsolati adatok: név, e-mail-cím, telefonszám, cím, belső azonosító.
• Munkaügyi, bérszámfejtési adatok (kizárólag a HR modul használata esetén): adóazonosító jel, TAJ-szám, bankszámlaszám, születési dátum, lakcím, családi adatok az adókedvezményekhez.
• Kommunikáció tartalma: csevegő- és e-mail-üzenetek, mellékletek, a postaládán átfutó üzenetek.
• Pénzügyi adatok: számlák, kifizetések, bankszámlakivonat-tételek.
• Használati adatok: naplózott műveletek, IP-cím, böngészőazonosító, időbélyegek.

Különleges adatot (GDPR 9. cikk) alapértelmezésben nem kezelünk. A betegszabadságot kizárólag időtartam és típusmegjelölés („betegszabadság”) formájában rögzítjük, diagnózis nélkül. Az Adatkezelő nem tölthet fel különleges vagy büntetőjogi adatot, kivéve, ha azt előzetesen írásban egyeztettük.

4. Az adatfeldolgozó kötelezettségei

1. Utasítás szerinti kezelés. Személyes adatot csak az Adatkezelő dokumentált utasítása alapján kezelünk. Utasításnak minősül: (a) ez a szerződés, (b) az Adatkezelő beállításai a vezérlőpulton, (c) a [email protected] címre küldött egyedi utasítás. Az adatokat nem kezeljük saját célra, nem adjuk el, és nem használjuk MI-modellek betanítására. Ha uniós vagy tagállami jog harmadik országba történő továbbításra kötelez, erről előzetesen értesítjük az Adatkezelőt, kivéve, ha a jog ezt tiltja. Ha úgy ítéljük, hogy valamely utasítás jogszabályba ütközik, haladéktalanul jelezzük.
2. Titoktartás. A személyes adatokhoz hozzáférő személyek titoktartásra köteleztek (szerződéses vagy jogszabályi titoktartás).
3. Biztonság (GDPR 32. cikk). A II. mellékletben leírt műszaki és szervezési intézkedéseket alkalmazzuk.
4. További adatfeldolgozók. A 6. pont szerint, ugyanazon adatvédelmi kötelezettségek mellett, és értük teljes felelősséggel tartozunk.
5. Segítségnyújtás. Az adatkezelési jelleget figyelembe véve segítjük az Adatkezelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) teljesítésében, valamint a GDPR 32–36. cikk szerinti kötelezettségeiben (biztonság, incidensbejelentés, hatásvizsgálat, előzetes konzultáció). Az Adatkezelő megkeresésére – a megkeresés teljességétől függően – általában 7 munkanapon belül válaszolunk. Ha egy érintett hozzánk fordul, a kérelmet az Adatkezelőhöz irányítjuk, és nem válaszolunk helyette érdemben.
6. Incidens. A 8. pont szerint.
7. Törlés, visszaadás. A 10. pont szerint.
8. Igazolás és audit. Rendelkezésre bocsátjuk a 28. cikk szerinti megfelelés igazolásához szükséges információkat, és lehetővé tesszük a 9. pont szerinti auditokat.

5. Az adatkezelő kötelezettségei

• Az Adatkezelő felel az adatkezelés jogalapjáért (GDPR 6. cikk), az érintetti hozzájárulások beszerzéséért, ahol azok szükségesek, és az érintettek 13–14. cikk szerinti tájékoztatásáért.
• Az Adatkezelő felel azért, hogy az utasításai jogszerűek.
• Az Adatkezelő megőrzi fiókjai hozzáférési adatait, és a rendelkezésre álló kétfaktoros azonosítást használja.
• Az Adatkezelő saját AI-kulcs használata esetén dönt arról, hogy az EU-n kívüli feldolgozást elfogadja-e (lásd 7. pont), és ennek jogi következményeit viseli.

6. További adatfeldolgozók

6.1. Az Adatkezelő általános írásbeli felhatalmazást ad további adatfeldolgozók igénybevételére. Az aktuális lista a auroai.eu/subprocessors.php oldalon található (és a III. melléklet összefoglalja).

6.2. Új vagy lecserélt további adatfeldolgozóról az Adatkezelőt a bevezetés előtt legalább 30 nappal e-mailben értesítjük. Az Adatkezelő ésszerű adatvédelmi okból ez alatt kifogást emelhet. Ha a kifogást nem tudjuk kezelni, az Adatkezelő jogosult az érintett szolgáltatást megszüntetni, és a megfizetett, de igénybe nem vett időszak díját időarányosan visszatérítjük.

6.3. A további adatfeldolgozóra ugyanazokat az adatvédelmi kötelezettségeket írjuk elő szerződésben, mint amelyek ránk e szerződés alapján vonatkoznak, és az ő teljesítéséért az Adatkezelő felé teljes felelősséggel tartozunk.

7. Adattovábbítás az EGT-n kívülre

7.1. Az elsődleges adatokat az Európai Unióban (Hetzner, Németország) tároljuk. Az AI-funkciók alapértelmezés szerint az EU-ban működő Mistral AI SAS (Franciaország) szolgáltatását használják, így alapértelmezésben nem történik adattovábbítás az EGT-n kívülre.

7.2. Kivétel: az Ügyfél saját AI-kulcsa. Ha az Adatkezelő saját AI-szolgáltatói kulcsot ad meg, és annak szolgáltatója az EGT-n kívül dolgoz fel adatot, a kulcsot a rendszer csak az Adatkezelő kifejezett, rögzített elfogadása után használja, annak a szolgáltatónak és végpontnak a megnevezésével. Az Adatkezelő az elfogadást bármikor visszavonhatja. Ilyenkor az Adatkezelő utasítása az, hogy az érintett adatot a választott szolgáltató dolgozza fel, és ez a szolgáltató a III. melléklet szerinti további adatfeldolgozó. A harmadik országba történő továbbítás alapja a szolgáltatónak az EU–USA Adatvédelmi Keretrendszer szerinti tanúsítása és/vagy a Bizottság általános szerződési feltételei (SCC, (EU) 2021/914).

7.3. Egyes más további adatfeldolgozók (pl. a hálózati szolgáltatás Cloudflare, vagy az Ügyfél által csatlakoztatott Google, Microsoft, Meta szolgáltatások) EGT-n kívüli anyavállalattal rendelkezhetnek; az alkalmazott garanciát a lista tartalmazza, és kérésre rendelkezésre bocsátjuk.

8. Adatvédelmi incidens

Az Adatkezelő adatait érintő adatvédelmi incidens tudomásra jutásától számított indokolatlan késedelem nélkül, legkésőbb 48 órán belül e-mailben értesítjük az Adatkezelő regisztrált e-mail-címén. Az értesítés tartalmazza: az incidens jellegét; az érintettek és adatok kategóriáját és hozzávetőleges számát, amennyire ismert; a valószínű következményeket; a megtett vagy tervezett intézkedéseket. Ha egyes információk még nem állnak rendelkezésre, azokat fokozatosan pótoljuk. Ezzel támogatjuk az Adatkezelőt a GDPR 33–34. cikk szerinti kötelezettségeiben (a NAIH-nak való bejelentés az Adatkezelő feladata, az incidens tudomásra jutásától számított 72 órán belül). Az üzemállapotról a státusz oldal ad tájékoztatást.

9. Auditok

Az Adatkezelő kérésére évente egy alkalommal rendelkezésre bocsátjuk a biztonsági intézkedéseink leírását és kitöltjük az írásbeli audit-kérdőívét. Helyszíni vagy ennél mélyebb audit 30 napos írásbeli előzetes értesítéssel, az Adatkezelő költségére, ésszerű titoktartási és ütemezési korlátok mellett kérhető; egy dokumentált adatvédelmi incidens utáni audit nem esik az éves korlát alá. A harmadik fél (pl. a Hetzner) infrastruktúrájára vonatkozó auditot az ő tanúsítványaik és jelentéseik útján teljesítjük, amennyiben ők közvetlen auditot nem engednek.

10. Visszaadás, törlés

A szolgáltatási szerződés megszűnésekor az Adatkezelő 30 napon belül kérheti az adatai teljes, géppel olvasható (pl. CSV vagy JSON) formátumú kiadását. A 30 nap után – vagy az Adatkezelő kérésére korábban – az adatokat az aktív rendszereinkből töröljük, a biztonsági másolatokból azok rotációja során (legfeljebb 90 napon belül) törlődnek. Azokat az adatokat, amelyek megőrzését jogszabály előírja (különösen a számviteli bizonylatokat, 8 évig, Sztv. 169. §), korlátozott hozzáféréssel, kizárólag erre a célra őrizzük a megőrzési idő végéig.

11. Felelősség

A szerződésszegésért való felelősségre az ÁSZF 14. pontja irányadó. A GDPR 82. cikke szerinti, az érintettet megillető kártérítési jogot ez a szerződés nem korlátozza. A felek egymás között a GDPR 82. cikk (5) bekezdése szerint viselik a kárt.

12. Irányadó jog

E szerződésre a magyar jog és a GDPR az irányadó. A viták elbírálására az ÁSZF 19. pontja szerinti bíróságok illetékesek. A szerződés magyar nyelven kötelező erejű, az angol változat tájékoztató fordítás.

I. melléklet – A feldolgozás leírása

II. melléklet – Biztonsági intézkedések (GDPR 32. cikk)

Az alábbiak kizárólag azt írják le, amit ténylegesen alkalmazunk. Az intézkedéseket a kockázatokhoz igazodva fejlesztjük; ennek során a védelem szintjét nem csökkentjük.

• Átvitel titkosítása: a nyilvános végpontok HTTPS (TLS) kapcsolaton érhetők el; HSTS engedélyezett.
• Tárolt adatok védelme: a hozzáférési tokeneket és a harmadik fél szolgáltatásokhoz tárolt kulcsokat alkalmazásszinten titkosítjuk (AES-256-GCM); a bizalmas személyes adatok kiválasztott mezői (pl. a HR modul adóazonosító, TAJ-szám, bankszámlaszám adatai, a beszélgetések tartalma) titkosított oszlopokban is tárolódnak. A titkosító kulcs az adatbázison kívül, a szerver konfigurációjában található; a kulcscsere támogatott.
• Hozzáférés-szabályozás: szerepköralapú jogosultságkezelés az alkalmazásban; a tulajdonosi fiókokhoz kétfaktoros azonosítás (TOTP) és passkey elérhető; a munkamenet-süti védett (Secure, HttpOnly, SameSite); kérések gyakoriságkorlátozása; az ügyfélfiókok adatai logikailag elkülönítve, fiókazonosítóhoz kötve vannak kezelve.
• Hálózat: a Cloudflare DNS-/CDN- és DDoS-védelmi szolgáltatást nyújt a nyilvános felületek előtt.
• Naplózás: a biztonság szempontjából fontos műveletekről (belépés, jogosultság- és adatmódosítás, törlés) naplót vezetünk.
• Mentések: az adatbázisról naponta teljes logikai mentés készül, az ellenőrzés (gzip-integritás, teljesség) után a tárhelyen 14 napi és 8 heti példány marad meg, a nyilvános webkönyvtáron kívül, csak a tulajdonos számára olvasható jogosultsággal. Ezenkívül a napi mentésről naponta másolat készül egy másik szerverre (Hetzner Cloud, Nürnberg, Németország): a másolatot az a szerver húzza át egy csak olvasási jogú, korlátozott kulccsal, és 14 napig őrzi. A visszaállítást kipróbáltuk (2026. október 22.). A mentések tárolt állapotban nincsenek titkosítva; védelmük a hozzáférés-korlátozás.
• Adatmegőrzés és törlés: automatizált, naponta futó megőrzési rutinok törlik a lejárt adatokat; érintetti törlési kérelmekhez törlési eszköz áll rendelkezésre, amely a törlés tényét személyes adat nélküli nyomvonalon rögzíti.
• Személyzet: a személyes adatokhoz hozzáférő személyek titoktartásra köteleztek; a hozzáférés a feladatkörhöz kötött.
• Fejlesztési biztonság: az éles környezetbe kerülő változtatásokat automatizált ellenőrzések (statikus és konzisztencia-ellenőrzések) előzik meg.
• Alvállalkozók irányítása: nyilvános lista; az EGT-n kívüli feldolgozás csak a 7. pont szerint, megfelelő garanciával.
• Incidenskezelés: a 8. pont szerinti 48 órás értesítési vállalás; működési állapot a státusz oldalon.

III. melléklet – Alvállalkozók (összefoglaló)

A teljes, mindenkor érvényes lista: auroai.eu/subprocessors.php.

A NAV (Nemzeti Adó- és Vámhivatal) nem a mi alvállalkozónk: az Ügyfél jogszabályi adatszolgáltatási kötelezettsége keretében, az Ügyfél utasítására és nevében továbbítunk adatot a NAV rendszereibe.