Az Általános Szerződési Feltételek 1. számú melléklete · Hatályos: [DÁTUM] napjától

1. A megállapodás tárgya, a felek szerepe

A jelen adatfeldolgozási megállapodás (a továbbiakban: DPA) a Conto CRM szolgáltatásra kötött előfizetői szerződés (ÁSZF) elválaszthatatlan melléklete, és a GDPR 28. cikk (3) bekezdése szerinti szerződéses követelményeket rendezi. A Szolgáltatás igénybevétele során:

az Előfizető (Iroda) a saját ügyfeleiről a rendszerben kezelt személyes adatok adatkezelője,
a Szolgáltató ([PLATFORM CÉGNÉV], székhely: [SZÉKHELY], cégjegyzékszám: [CÉGJEGYZÉKSZÁM], adószám: [ADÓSZÁM], e-mail: [email protected]) e körben adatfeldolgozó.

Nem tartozik a jelen DPA hatálya alá az az adatkezelés, amelynek tekintetében a Szolgáltató önálló adatkezelő (az Előfizető fiók- és számlázási adatai, a weboldal látogatói) — erről az Adatkezelési tájékoztató rendelkezik.

2. Az adatfeldolgozás leírása (GDPR 28. cikk (3) bekezdés)

Elem	Tartalom
Tárgy	A Conto CRM felhőalapú (SaaS) ügyfél- és feladatkezelő rendszer üzemeltetése: az Előfizető által bevitt adatok tárolása, megjelenítése, feldolgozása és a rendszer funkcióinak biztosítása
Időtartam	Az előfizetői szerződés (ÁSZF) hatálya alatt, valamint a megszűnését követő, a 10. pont szerinti visszaszolgáltatási/törlési időszakban
Jelleg és cél	Tárolás, rendszerezés, lekérdezés, megjelenítés; AI-alapú adatkinyerés (számlakép, bankkivonat, NAV-levél feldolgozása) és AI-asszisztens az Előfizető kérdéseire; e-mailben beküldött bizonylatok fogadása (ügyfelenként egyedi beküldési címen) és feldolgozása; NAV Online Számla-adatok lekérdezése, importja és az eredeti számla-XML archiválása; könyvelés-előkészítés (kontírozási szabályok alkalmazása, banki párosítás, exportálás előtti ellenőrzés, könyvelőprogram-exportok előállítása és naplózása); a partnerek közösségi (EU-) adószámának ellenőrzése az Európai Bizottság VIES-rendszerében, időbélyeges naplóval; kalkulált ÁFA-egyenleg és adóbecslések számítása; határidő- és feladatkezelés; e-mail-értesítések küldése, ideértve az Előfizető beállításai szerint, az Előfizető nevében az ügyfeleinek küldött automatikus értesítéseket (pl. hiányzó számlaképek, hiányzó bankkivonatok listája, dokumentum-bekérések); az Előfizető ügyfeleinek bankszámla-nyilvántartása és a bankkivonatok hiánylistájának előállítása; az ügyfél által az ügyfélportálon feltöltött bankkivonatok fogadása és tárolása az Előfizető általi átnézésig, illetve az Előfizető döntése szerint; díjszámlázás-támogatás; ügyfélportál működtetése; adat-export
Az érintettek köre	Az Előfizető ügyfelei (egyéni vállalkozók, cégek kapcsolattartói, képviselői, munkavállalói), az ügyfélportál felhasználói, az Előfizető weboldali űrlapjáról érkező érdeklődők, valamint az Előfizető ügyfeleinek üzleti partnerei (szállítók, vevők és kapcsolattartóik), akiknek adatai a bizonylatokon, a NAV-számlaadatokban és a bizonylat-beküldési címre érkező e-mailekben szerepelnek
Az adatok kategóriái	Ügyfél-cégadatok (cégnév, adószám, cégjegyzékszám, cím, adózási mód, könyvelési díj); kapcsolattartói adatok (név, e-mail, telefon); számlák és bizonylatok (feltöltött kép/PDF és kinyert adataik); bankszámlaszámok (az Előfizető ügyfeleinek bankszámla-nyilvántartása) és bankkivonatok (az eredeti fájl, a kinyert fej- és tételadatok, az Előfizető által visszaküldött kivonatnál a visszaküldés oka); banki tranzakciós adatok; NAV Online Számla adatok; hatósági levelek és határidő-adataik; dokumentumok; üzenetváltás; feladatok, határidők; óranapló-bejegyzések; portál-fiókok (e-mail, jelszó-hash); érdeklődő-adatok; a bizonylat-beküldési címre érkező e-mailek (feladó neve, e-mail-címe, a levél tartalma és mellékletei); a NAV-ból lekért teljes számlaadatok és eredeti XML-állományok, adózói (cég-) adatok; kontírozási szabályok, kontír- és banki párosítási adatok, exportnapló; a partnerek és az ügyfél közösségi (EU-) adószáma, a VIES-ellenőrzések eredménye (érvényesség, a tagállam által közölt név és cím, lekérdezés-azonosító, időpont)
Különleges adatok	A Szolgáltatás rendeltetése szerint különleges adatkategóriák (GDPR 9. cikk) kezelésére nem irányul; de a bizonylatok, bankkivonatok tartalma miatt ilyen adat előfordulása nem zárható ki; az Előfizető a különleges adatok rögzítésének minimalizálására törekszik, és az ilyen adatok kezeléséhez szükséges jogalapról adatkezelőként gondoskodik

3. Az adatkezelő utasításai

A Szolgáltató a személyes adatokat kizárólag az Előfizető dokumentált utasításai alapján kezeli. Dokumentált utasításnak minősül: az ÁSZF és a jelen DPA, valamint a Szolgáltatás felületén elérhető funkciók Előfizető általi használata (a funkció elindítása az arra vonatkozó utasítás). A Szolgáltató haladéktalanul tájékoztatja az Előfizetőt, ha megítélése szerint valamely utasítás a GDPR-ba vagy más adatvédelmi jogszabályba ütközik. A Szolgáltató a kezelt adatokat saját céljára nem használja fel, harmadik félnek — a 6. pont szerinti al-adatfeldolgozókon kívül — nem adja át, kivéve ha erre jogszabály kötelezi; ez utóbbi esetben az adattovábbításról az Előfizetőt előzetesen értesíti, ha ezt jogszabály nem tiltja.

4. Titoktartás

A Szolgáltató a személyes adatokhoz hozzáférő minden munkavállalójával és közreműködőjével a hozzáférés megkezdése előtt írásbeli titoktartási kötelezettséget vállaltat, amely a jogviszony megszűnése után is fennáll. A hozzáférés a feladat ellátásához szükséges mértékre korlátozott, és naplózott.

5. Adatbiztonság (GDPR 32. cikk) — technikai és szervezési intézkedések

A Szolgáltató a ténylegesen alkalmazott alábbi intézkedéseket tartja fenn (részletesen: Adatkezelési tájékoztató 6. pont):

titkosított adatátvitel (HTTPS/TLS) minden felületen, automatikusan megújuló tanúsítványokkal;
adatbázis-szintű bérlő-szigetelés (Row Level Security): az egyes Előfizetők adatai az adatbázisban egymástól technikailag elzártak, az alkalmazás dedikált, korlátozott jogú adatbázis-szerepkörrel fut;
jelszavak visszafejthetetlen tárolása (bcrypt); kétlépcsős azonosítás (TOTP) — az adminisztrátoroknak kötelező; szerepkör-alapú jogosultságkezelés;
integrációs kulcsok AES-256 titkosítású tárolása; feltöltött fájlok vírus-ellenőrzése; letöltés kizárólag jogosultság-ellenőrzés után, rövid életű aláírt hivatkozásokkal;
kérésgyakoriság-korlátozás; tevékenység-naplózás (audit log) IP-címmel; kiszolgáló-szintű védelem (tűzfal, fail2ban, automatikus biztonsági frissítések);
napi automatikus mentés, titkosított, telephelyen kívüli (EU-s) másolattal és a visszaállíthatóság havi tesztelésével; automatikus üzemfelügyelet és hibaészlelés, a bizonylat-postafiók telítettségének napi figyelésével;
a bizonylat-beküldési címek kitalálhatatlan, az Előfizető által bármikor lecserélhető azonosítóval; az e-mailben beküldött mellékletek vírus-ellenőrzése; az ismeretlen címre érkező levél egyetlen Előfizetőhöz sem rendelődik;
az adatok elsődleges tárolása az EU-ban, magyarországi adatközpontban.

A Szolgáltató az intézkedéseket a technika állásának megfelelően időről időre felülvizsgálja; a védelmi szintet csökkentő módosítást nem vezet be.

6. Al-adatfeldolgozók

Az Előfizető általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére. A Szolgáltató az al-adatfeldolgozóval a jelen DPA-val legalább azonos szintű adatvédelmi kötelezettségeket tartalmazó szerződést köt, és teljes felelősséggel tartozik az al-adatfeldolgozó teljesítéséért.

Al-adatfeldolgozó	Tevékenység	Hely
Rackforest Zrt.	Szerver-infrastruktúra (alkalmazás, adatbázis, fájltár), e-mail-küldés, a bizonylat-beküldési postafiók (e-mail-fogadás)	Magyarország (budapesti adatközpont)
OpenAI (OpenAI Ireland Ltd / OpenAI, L.L.C.)	AI-funkciók: a feltöltött bizonylatok, bankkivonatok, NAV-levelek tartalmának kinyerése; az AI-asszisztens kérdéseinek megválaszolása. Az API-n küldött adatokat az OpenAI nem használja modelljei tanítására	(OpenAI Ireland Ltd.); a feldolgozás az EGT-n kívül, az USA-ban is történhet
Cloudflare, Inc.	A weboldal, az alkalmazás és az API hálózati forgalmának továbbítása és védelme (webes alkalmazás-tűzfal, DDoS-védelem, titkosított kapcsolat). A forgalom – benne a továbbított adatok – a Cloudflare hálózatán halad át; a Szolgáltató adatait a Cloudflare nem tárolja.	EU és a Cloudflare globális hálózata; az USA-ba is továbbítódhat – garancia: az EU–USA adatvédelmi keret (DPF) szerinti tanúsítás, ennek hiányában az (EU) 2021/914 határozat szerinti SCC
Cloudflare, Inc. (R2 tárhely)	Telephelyen kívüli biztonsági mentés (az adatbázis és a feltöltött fájlok napi másolata). A mentést a Szolgáltató a saját szerverén, feltöltés előtt titkosítja (a tartalmat és a fájlneveket is); a titkosító kulcs a Cloudflare-hez nem kerül, így a mentés tartalmához nem fér hozzá. A törölt adat a mentésből legkésőbb 30 napon belül kikopik.	EU (az Európai Unió joghatóságához kötött tároló)
Functional Software, Inc. (Sentry)	Alkalmazáshiba-figyelés: a szerveroldali programhibák technikai adatai (a hibaüzenet, a hiba helye a programkódban, a kérés módja és a lekérdezési paraméterek nélküli címe). A kérések tartalmát, a fejléceket és sütiket, az IP-címet, a felhasználók azonosítóit és a naplósorokat a Szolgáltató a küldés előtt kiszűri; ha egy hibaüzenet kivételesen mégis személyes adatot tartalmaz, az a hibajegy megőrzési idejének végén (legfeljebb 90 nap) törlődik. Az USA felé történő továbbítás garanciája a szolgáltató EU–USA adatvédelmi keret (DPF) szerinti tanúsítása, ennek hiányában vagy megszűnése esetén az általános szerződési feltételek (SCC).	EU (Frankfurt, Németország); a szolgáltató amerikai, az USA-ba is továbbítódhat

Új al-adatfeldolgozó bevonásáról vagy cseréjéről a Szolgáltató az Előfizetőt legalább 30 nappal előre, e-mailben értesíti. Az Előfizető az értesítés kézhezvételétől számított 15 napon belül, írásban, az adatvédelmi következményeket megjelölő indokkal kifogást emelhet. A Szolgáltató jóhiszeműen egyeztet, és megvizsgálja, hogy az al-adatfeldolgozó az adott Előfizető adatait nem érinti-e. Ha 30 napon belül nincs elfogadható megoldás, az Előfizető a szerződést a változás hatálybalépéséig felmondhatja, és a kifizetett, fel nem használt időszak díja időarányosan visszajár. Kifogás híjában a változás hatálybalép. Biztonsági vagy folytonossági okból szükséges azonnali csere esetén a Szolgáltató a lehető legőribb időn belül, utólag értesít

Elhatárolás: az Előfizető által a saját fiókjával bekötött szolgáltatók (Számlázz.hu vagy Billingo a saját számlázásához, Stripe vagy Barion a saját díjbeszedéséhez, a NAV Online Számla rendszer) nem a Szolgáltató al-adatfeldolgozói — velük az Előfizető áll közvetlen jogviszonyban; a Szolgáltató e kapcsolatokban kizárólag az adattovábbítás technikai lebonyolítója. A NAV önálló adatkezelő. Ugyanígy nem al-adatfeldolgozó az Európai Bizottság VIES-rendszere sem: az EU-adószám ellenőrzésekor a Szolgáltató a partner közösségi adószámát (és — ha ismert — az ügyfél saját közösségi adószámát mint lekérdezőt) a VIES nyilvános szolgáltatásának továbbítja; a VIES önálló adatkezelő.

7. Az érintetti jogok támogatása

A Szolgáltató — a kezelés jellegének figyelembevételével — beépített funkciókkal segíti az Előfizetőt az érintetti kérelmek (GDPR III. fejezet) megválaszolásában:

hozzáférés / adathordozhatóság: az ügyfélportál „Adataim” menüjében az érintett önkiszolgálóan letöltheti adatai másolatát; az Előfizető a felületről ügyfelenkénti, géppel olvasható exportot (CSV/XLSX/JSON) készíthet;
helyesbítés: az adatok a felületen közvetlenül javíthatók;
törlés: a beépített törlési funkció a számviteli megőrzési kötelezettség alá eső iratok megtartása mellett anonimizálja a személyes adatokat.

Ha az érintett a kérelmét közvetlenül a Szolgáltatóhoz nyújtja be, a Szolgáltató a kérelmet haladéktalanul továbbítja az Előfizetőnek, és azt önállóan nem válaszolja meg.

8. Adatvédelmi incidens

A Szolgáltató a tudomására jutott, az Előfizető adatait érintő adatvédelmi incidensről az Előfizetőt indokolatlan késedelem nélkül, de legkésőbb a tudomására jutástól számított 48 órán belül értesíti (GDPR 33. cikk (2)), megadva az incidens jellegét, az érintett adatkategóriákat és hozzávetőleges érintetti kört, a valószínűsíthető következményeket, valamint a megtett és tervezett intézkedéseket. A rendszer automatikus üzemfelügyelete és tevékenység-naplózása az incidensek felderítését és kivizsgálását támogatja. A hatósági bejelentésről (33. cikk (1)) és az érintettek tájékoztatásáról (34. cikk) — mint adatkezelő — az Előfizető dönt; a Szolgáltató ehhez minden szükséges információt megad

9. Együttműködés, hatásvizsgálat

A Szolgáltató — a kezelés jellegére és a rendelkezésére álló információkra figyelemmel — észszerű mértékben segíti az Előfizetőt a GDPR 32–36. cikk szerinti kötelezettségei (adatbiztonság, incidens-bejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében.

10. Az adatok visszaszolgáltatása és törlése a szerződés megszűnésekor

A szerződés megszűnését követően a fiók írás-zárolt állapotba kerül: az adatok megtekinthetők és géppel olvasható formátumban exportálhatók maradnak (önkiszolgáló visszaszolgáltatás).
Az Előfizető kérésére a Szolgáltató a fiókot és az adatokat a kérés beérkezésétől számított 30 napon belül véglegesen törli. A jogszabályban előírt iratmegőrzés teljesítése az Előfizető feladata, ezért az iratokat a törlés előtt exportálnia kell.
A törlés kiterjed a bizonylat-beküldési postafiókban az Előfizető ügyfeleihez rendelt, még meglévő levelekre és a NAV-ból archivált számla-XML-ekre is.
A biztonsági mentésekből a törölt adat a mentés-rotáció során, legkésőbb 30 napon belül automatikusan kikopik; a mentések e türelmi idő alatt kizárólag visszaállítási célra használhatók.
A szerződés megszűnését követő 90. napon a Szolgáltató az Előfizető fiókját és a hozzá tartozó személyes adatokat (ideértve a bizonylat-postafiókban lévő leveleket és az archivált NAV számla-XML-eket) véglegesen törli, ha az Előfizető ezt megelőzően más utasítást nem adott (pl. az adatok visszaadását kérte). A Szolgáltató a törlés előtt 30 és 7 nappal e-mailben értesít, és az Előfizető kérésére a törlést írásban igazolja. A biztonsági mentésekből a törölt adat legkésőbb 30 napon belül eltűnik.

11. Ellenőrzés (audit)

A Szolgáltató az Előfizető rendelkezésére bocsátja a jelen DPA-ban vállalt kötelezettségek teljesítésének igazolásához szükséges információkat (a technikai és szervezési intézkedések leírását, al-adatfeldolgozói listát, releváns naplókivonatokat). A Szolgáltató az Előfizető kérésére rendelkezésre bocsátja a megfelelőség igazolásához szükséges információkat, és kitölti az Előfizető biztonsági kérdőívét. Ha ez nem elegendő, az Előfizető vagy az általa megbízott, titoktartásra kötelezett, a Szolgáltatóval nem versenyző auditor évente legfeljebb egyszer, legalább 30 nappal korábbi írásbeli értesítéssel, üzleti időben, legfeljebb 2 munkanapig ellenőrizhet. Az ellenőrzés nem terjedhet ki más Előfizetők adataira, a forráskódra vagy olyan biztonsági részletekre, amelyek a rendszer védelmét veszélyeztetnék. Bizonyított, a Szolgáltatónak felróható incidens után rendkívüli ellenőrzés kérhető. Az ellenőrzés költségét az Előfizető viseli, és a Szolgáltató 8 órát meghaladó dokumentált ésszerű munkaórai költségét megtéríti; bizonyított szerződésszegés esetén ezt a Szolgáltató viseli. Az al-adatfeldolgozók ellenőrzése az ő tanúsítványaik, jelentéseik útján történik

12. Harmadik országba történő adattovábbítás

Az adatok elsődleges tárolása az EU-ban (Magyarországon) történik. Harmadik országba irányuló továbbítás kizárólag az OpenAI al-adatfeldolgozó igénybevétele körében merülhet fel. Az OpenAI al-adatfeldolgozó (OpenAI Ireland Ltd., valamint az ő csoporttagjai) által végzett feldolgozás az USA-ba is irányulhat. A továbbítás garanciája az OpenAI adatfeldolgozási kiegészítésében foglalt, az Európai Bizottság (EU) 2021/914 végrehajtási határozata szerinti általános szerződési feltételek (Standard Contractual Clauses, SCC, 2. és 3. modul). Az OpenAI a használt API-adatokat a Szolgáltató információi szerint modelljei tanítására nem használja; az API-n küldött adatok ideiglenes megőrzésének idejét az OpenAI feltételei határozzák meg.

13. Felelősség, záró rendelkezések

A Szolgáltató felel az általa igénybe vett al-adatfeldolgozók teljesítéséért. A felelősség mértékére egyebekben az ÁSZF felelősségi szabályai irányadók. A felek az érintettekkel szemben a GDPR 82. cikke szerint felelnek; a jelen pont ezt nem korlátozza. Egymás között a jelen DPA megszegéséből eredő károkra az ÁSZF 13. pontja alkalmazandó azzal, hogy a felelősségi plafon ilyenkor a 12 havi díj háromszorosa, legalább 154 800 Ft. Az a fél, aki az érintettnek a másik fél felelősségi körébe tartozó kárt megtérítette, a GDPR 82. cikk (5) bekezdése szerint a másik féltől megtérítést kérhet. A Szolgáltató az al-adatfeldolgozók teljesítéséért a 6. pont szerint felel. A jelen DPA az ÁSZF elfogadásával, külön aláírás nélkül hatályba lép, és annak megszűnéséig — illetve a 10. pont szerinti időszak végéig — hatályos. A DPA és az ÁSZF eltérése esetén az adatvédelmi kérdésekben a DPA irányadó. A jelen DPA-ban nem szabályozott kérdésekben a GDPR, az Infotv. és a magyar jog rendelkezései alkalmazandók.

Adatfeldolgozási megállapodás (DPA)