Adatfeldolgozási megállapodás

1. Tárgy

Ez a megállapodás az ÁSZF része. Az ügyfél (adatkezelő) a Stafeta platformon személyes adatot dolgoz fel; a Stafeta (adatfeldolgozó) ezt az ügyfél utasítására teszi a GDPR 28. cikk (3) bekezdése szerint.

2. A feldolgozás leírása

• Időtartam: a szerződés ideje, plusz a 60 napos export-időszak.
• Jelleg és cél: a platform működtetése – tárolás, megjelenítés, keresés, MI-vázlatok és -javaslatok készítése, a jóváhagyott lépések végrehajtása a bekötött eszközökben, értesítések, biztonsági mentés.
• Adatfajták: azonosító és kapcsolati adatok, munkaköri adatok, kártyák és dokumentumok tartalma, e-mailek és üzenetek, meeting-átiratok, beosztás és távollét (a betegszabadság ténye is), költségigények és számlák, szerződések, GDPR-kérelmek, ügyfél- és beszállítói adatok, fájlok.
• Érintettek: az ügyfél munkatársai és jelöltjei, ügyfelei, beszállítói, partnerei, az űrlapok beküldői, a portálon meghívott vendégek.

3. Az adatfeldolgozó kötelezettségei

• Csak az ügyfél dokumentált utasítására dolgoz fel (az utasítás a platform használata és a beállítások); ha egy utasítás jogszabályba ütközik, jelzi.
• A hozzáféréssel rendelkező személyeket titoktartás köti.
• A 32. cikk szerinti intézkedéseket a melléklet rögzíti (kétlépcsős belépés, munkaterületenkénti elkülönítés, titkosítás, naplózás, EU-s tárhely).
• Segít az érintetti jogok teljesítésében: a kérést 5 munkanapon belül továbbítja az ügyfélnek, az exportot és törlést a platformból elvégzi.
• Segít a 32–36. cikk szerinti kötelezettségekben (hatásvizsgálat, incidens).
• A szerződés végén az ügyfél választása szerint visszaadja (export) és törli az adatot; a törlést a 60 napos export-időszak után végzi el.
• Rendelkezésre bocsátja a megfelelés igazolásához szükséges információt; évente egy írásos beszámoló, indokolt esetben helyszíni ellenőrzés az ügyfél költségén: ellenőrzés gyakorisága: évente egyszer.

4. Alvállalkozó adatfeldolgozók

Az ügyfél általános felhatalmazást ad az alvállalkozók listáján szereplő feldolgozók igénybevételére. Új alvállalkozóról e-mailben értesítünk az értesítési idő: 30 nappal előbb; az ügyfél indokolt kifogással élhet, és ha nem találunk megoldást, az időszak végéig lemondhat. Az alvállalkozóval ugyanilyen kötelezettségeket vállaltatunk.

5. Adatvédelmi incidens

Az incidensről az észleléstől számított 48 órán belül értesítjük az ügyfelet az ismert tényekkel (mi történt, kiket érint, mit tettünk), hogy az ügyfél a 72 órás határidőt tartani tudja. Az incidenst dokumentáljuk.

6. Továbbítás

Az adatbázis és a fájlok az EU-ban vannak. EU-n kívüli feldolgozás csak az alvállalkozók listáján megjelölt módon, DPF vagy SCC alapján történik (különösen az Anthropic a modell futtatására). Más országba nem továbbítunk.

7. Felelősség

A felelősségre az ÁSZF 11. pontja irányadó. A felek az érintettekkel szembeni felelőssége a GDPR 82. cikke szerint alakul.

Melléklet: technikai és szervezési intézkedések

• Belépés: jelszó + hitelesítő alkalmazás kódja mindenkinek; friss kód az érzékeny műveletekhez; helyreállító kódok; a belépések naplózva.
• Elkülönítés: minden adatbázistábla soronkénti hozzáférés-szabályozással (RLS) a munkaterület szerint; az MI-futtatás az ügyfél jogosultságával kérdez, soha nem lát másik céget.
• Titkosítás: TLS minden kapcsolaton; tárolás titkosítva a szolgáltatónál; az érzékeny mezők borítéktitkosítása bevezetés alatt.
• Az MI-ügynöknek nincs küldő, törlő, fizető eszköze; a bejövő tartalmat adatként kapja; prompt-injekciós szűrő és kanári.
• Naplózás: belépési események, jóváhagyások és döntések, vendégtevékenység, kioszk-események.
• Titkok csak szerveroldalon, 90 naponta cserélve; csomagok csak 7 napnál régebbi kiadásból; titokszivárgás-ellenőrzés minden commiton.
• Mentés az EU-ban; incidens-forgatókönyv a SECURITY.md-ben.