Adatfeldolgozói Szerződés (DPA)

1. A felek és a szerződés tárgya

1.1. Jelen Adatfeldolgozói Szerződés (a továbbiakban: DPA) az Ügyfél mint adatkezelő és Tamás Máté egyéni vállalkozó (Fylio; székhely: 2100 Gödöllő, Kölcsey Ferenc utca 26.; nyilvántartási szám: 59014995; adószám: 49326745-1-51) mint adatfeldolgozó (a továbbiakban: Szolgáltató) között jön létre. Célja, hogy rögzítse a GDPR (2016/679/EU) 28. cikke szerinti feltételeket.

1.2. A DPA a Fylio Általános Szerződési Feltételeinek (ÁSZF) elválaszthatatlan része. Az Ügyfél a regisztrációkor, külön jelölőnégyzettel, az ÁSZF-fel együtt fogadja el, és a DPA az ÁSZF szerinti szerződés hatálya alatt hatályos. A DPA-ban használt, itt nem meghatározott fogalmak jelentése az ÁSZF és a GDPR szerinti.

1.3. Ha az Ügyfél maga is adatfeldolgozó (például egy ügynökség más vállalkozás nevében használja a Szolgáltatást), a Szolgáltató további adatfeldolgozónak minősül. Az Ügyfél ilyenkor szavatolja, hogy a DPA-t az adatkezelő utasításával összhangban köti meg.

1.4. A személyes adatok kezelésére vonatkozóan a DPA elsőbbséget élvez az ÁSZF-fel szemben.

2. Szerepek

2.1. A Szolgáltató adatfeldolgozó azon személyes adatok tekintetében, amelyeket a Látogatók az Ügyfél weboldalán a Widgeten keresztül megadnak, illetve amelyeket az Ügyfél a Szolgáltatásba feltölt (Ügyfél személyes adatai). Az adatfeldolgozás részletes leírását az 1. melléklet tartalmazza.

2.2. A Szolgáltató önálló adatkezelő

• (a) az Ügyfél és a csapattagok fiók-, kapcsolattartási és számlázási adatai tekintetében;
• (b) a saját weboldala (fylio.hu), a bemutató (demó) és a saját értékesítési tevékenysége során kezelt adatok tekintetében, az Adatvédelmi Tájékoztató szerint;
• (c) a 11. pont szerinti szolgáltatásfejlesztési és összesítő elemzési adatkezelés tekintetében, attól a ponttól kezdve, hogy a 11.3. pont szerinti álnevesítés vagy anonimizálás megtörtént.

3. Az adatkezelő (Ügyfél) kötelezettségei

3.1. Az Ügyfél felel azért, hogy az általa elrendelt adatkezelésnek, ideértve a Widget alkalmazását, a bekért adatokat, a foglalást és a külső rendszerekbe továbbítást, legyen jogalapja. Felel továbbá azért, hogy a Látogatókat a GDPR 13–14. cikke szerint tájékoztassa. A tájékoztatónak ki kell terjednie a 11. pont szerinti felhasználásra is, ehhez a 4. melléklet mintaszöveget ad.

3.2. Az Ügyfél a Szolgáltatót a DPA-val, az ÁSZF-fel és a Fiókban megadott beállításokkal (például bekért mezők, foglalási kérdések, megőrzés, integrációk, automatizációk) utasítja. Ezek együtt az Ügyfél dokumentált utasításának minősülnek. Az ezen túli egyedi utasítást írásban (e-mailben) kell megadni. Ha egy utasítás a Szolgáltató megítélése szerint jogszabályba ütközik, a Szolgáltató erről haladéktalanul tájékoztatja az Ügyfelet, és a végrehajtást felfüggesztheti.

3.3. Az Ügyfél felel azért, hogy különleges kategóriájú adatot (GDPR 9. cikk) vagy TAJ-számot csak az ÁSZF 8.4. pontja szerinti, erre kialakított funkcióval kérjen be. Egészségügyi szolgáltató Ügyfélnél a Látogatók a Beszélgetésben önként is megadhatnak egészségügyi adatot. Erre tekintettel az Ügyfél felméri, szükséges-e adatvédelmi hatásvizsgálat (GDPR 35. cikk), és ebben a Szolgáltató a 8.3. pont szerint segítséget nyújt.

4. A Szolgáltató kötelezettségei

4.1. A Szolgáltató az Ügyfél személyes adatait kizárólag az Ügyfél dokumentált utasítása alapján és a Szolgáltatás nyújtásához szükséges mértékben kezeli. Ettől csak a 11. pont szerinti, az Ügyfél által engedélyezett álnevesítés és anonimizálás, illetve jogszabályi kötelezettség esetén tér el (GDPR 28. cikk (3) bek. a) pont). Jogszabályi kötelezettség esetén erről előzetesen tájékoztatja az Ügyfelet, ha a jogszabály ezt nem tiltja.

4.2. A Szolgáltató biztosítja, hogy az adatokhoz hozzáférő személyek (alkalmazottak, megbízottak) titoktartásra kötelezettek legyenek. Hozzáférést csak a feladatukhoz szükséges mértékben kapnak.

4.3. A Szolgáltató a 3. mellékletben felsorolt technikai és szervezési intézkedéseket alkalmazza (GDPR 32. cikk), és azokat a technika fejlődésével arányosan felülvizsgálja. Az intézkedések szintje ezzel nem csökkenhet.

4.4. A Szolgáltató az Ügyfél személyes adatait nem értékesíti, és nem használja reklámcélra vagy profilalkotásra.

4.5. Harmadik fél MI-szolgáltatók. A Szolgáltató kizárólag olyan feltételekkel veszi igénybe az MI-modell-szolgáltatókat (2. melléklet), amelyek kizárják, hogy azok az Ügyfél személyes adatait saját általános modelljeik betanítására használják (például üzleti API-feltételek, a betanítás kikapcsolva).

5. Alvállalkozók (további adatfeldolgozók)

5.1. Az Ügyfél általános felhatalmazást ad a Szolgáltatónak további adatfeldolgozók igénybevételére (GDPR 28. cikk (2) bek.). A DPA hatálybalépésekor igénybe vett további adatfeldolgozókat a 2. melléklet tartalmazza. A naprakész lista a https://fylio.hu/adatfeldolgozoi-szerzodes/ oldalon érhető el.

5.2. A Szolgáltató új további adatfeldolgozó igénybevételéről vagy cseréjéről legalább 15 nappal korábban értesíti az Ügyfelet e-mailben vagy a Fiókban. Az Ügyfél az értesítést követő 15 napon belül, észszerű adatvédelmi indokkal, írásban kifogást emelhet. Ha a felek nem találnak megoldást, az Ügyfél a Szolgáltatás érintett részére vonatkozó szerződést a változás hatálybalépéséig díjmentesen felmondhatja. Kifogás hiányában a változás elfogadottnak minősül. Sürgős (például biztonsági) csere esetén az értesítés utólag, haladéktalanul történik.

5.3. A Szolgáltató a további adatfeldolgozókkal a DPA-ban foglaltakkal lényegében azonos adatvédelmi kötelezettségeket tartalmazó szerződést köt. A további adatfeldolgozó teljesítéséért úgy felel, mintha maga járt volna el.

5.4. Az Ügyfél saját választása szerinti integrációk (például Google Naptár, Booked4us, saját foglalási vagy ügyviteli rendszer, webhook, n8n-munkafolyamat, az Ügyfél saját e-mail-domainje) nem a Szolgáltató további adatfeldolgozói. Ezekbe a Szolgáltató az Ügyfél utasítására továbbít adatot. Az ilyen szolgáltatókkal a jogviszony az Ügyfél és az adott szolgáltató között áll fenn.

6. Nemzetközi adattovábbítás

6.1. Az Ügyfél személyes adatainak elsődleges tárolási helye az EU (Supabase, Frankfurt, AWS eu-central-1).

6.2. Az EGT-n kívüli (különösen USA) további adatfeldolgozóhoz történő továbbítás az EU–USA adatvédelmi keretrendszer (DPF) szerinti megfelelőségi határozat, illetve az Európai Bizottság által elfogadott általános szerződési feltételek (SCC, 2021/914/EU határozat) alapján, szükség esetén kiegészítő intézkedésekkel történik (GDPR V. fejezet).

7. Az érintetti jogok gyakorlásának támogatása

7.1. A Szolgáltató a Fiók funkcióival (beszélgetések és érdeklődők megtekintése, exportja, törlése) és szükség esetén egyedi közreműködéssel segíti az Ügyfelet az érintetti kérelmek (GDPR 15–22. cikk) teljesítésében.

7.2. Ha az érintett közvetlenül a Szolgáltatóhoz fordul az Ügyfél személyes adataival kapcsolatban, a Szolgáltató a kérelmet 5 munkanapon belül továbbítja az Ügyfélnek. Érdemben csak az Ügyfél utasítására válaszol, kivéve a 11. pont szerinti, saját adatkezelésével összefüggő kérelmeket.

8. Adatbiztonsági incidens, együttműködés

8.1. A Szolgáltató az Ügyfél személyes adatait érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesíti az Ügyfelet a Fiókban megadott e-mail-címen. Az értesítés tartalmazza a GDPR 33. cikk (3) bekezdése szerinti, akkor rendelkezésre álló információkat, a további információkat pedig a Szolgáltató folyamatosan pótolja.

8.2. A Szolgáltató megteszi a szükséges intézkedéseket az incidens elhárítására és a következmények enyhítésére, és segíti az Ügyfelet a NAIH és az érintettek értesítésében. Az értesítési kötelezettség teljesítése az Ügyfél feladata.

8.3. A Szolgáltató a rendelkezésére álló információk alapján segíti az Ügyfelet az adatvédelmi hatásvizsgálatban és az előzetes konzultációban (GDPR 35–36. cikk). Ehhez dokumentációt ad az adatfolyamokról, az alvállalkozókról és a biztonsági intézkedésekről.

9. Ellenőrzés

9.1. A Szolgáltató az Ügyfél kérésére rendelkezésre bocsátja a DPA-nak való megfelelés igazolásához szükséges információkat (például biztonsági intézkedések leírása, alvállalkozói tanúsítványok).

9.2. Ha ez nem elegendő, az Ügyfél, saját költségén, évente legfeljebb egyszer, 30 nappal előre jelezve, munkaidőben, a Szolgáltató üzleti titkait és más ügyfelek adatait védő titoktartás mellett helyszíni vagy távoli ellenőrzést végezhet, illetve független auditorral végeztethet. Hatósági vizsgálat vagy incidens esetén ennél gyakoribb ellenőrzés is kérhető.

10. Megőrzés, törlés, visszaadás

10.1. Megőrzési idők (eltérő Ügyfél-beállítás hiányában):

• Beszélgetések teljes tartalma: 6 hónap, majd végleges törlés;
• érdeklődői, visszahívási, várólista- és feliratkozási adatok: 6 hónap;
• foglalási adatok: a lefoglalt időpontot követő 12 hónap;
• érzékeny adatok tárolás nélküli továbbítással (TAJ, születési adatok, lakcím): a Szolgáltató nem tárolja, csak az Ügyfél rendszerébe való továbbításhoz szükséges ideig kezeli;
• technikai és hibanaplók: 30 nap;
• biztonsági mentések: a törölt adat a mentésekből legfeljebb 30 napon belül, a mentési ciklus lejártával törlődik.

10.1a. Az Ügyfél írásbeli kérésére vagy a Fiók beállításaiban a fenti időknél rövidebb, indokolt esetben (például jogszabályi előírás miatt) hosszabb megőrzési idő is beállítható. A hosszabb megőrzés jogszerűségéért az Ügyfél felel.

10.2. A szerződés megszűnésekor az Ügyfél 30 napon belül kérheti az adatok exportját. Ezt követően, de a megszűnéstől számított legfeljebb 60 napon belül a Szolgáltató az Ügyfél személyes adatait és azok másolatait (ideértve a további adatfeldolgozóknál tárolt adatokat) törli. Kivételt képez, ha jogszabály a további tárolást előírja. A törlésről kérésre írásban nyilatkozik.

10.3. A 10.1–10.2. pont nem vonatkozik az Anonimizált adatra (amely nem személyes adat), és a 11.5. pont szerinti, korlátozott ideig megőrzött álnevesített értékelő adatkészletekre. Ez utóbbiak a 11.5. pont szerinti határidőben törlődnek.

11. Szolgáltatásfejlesztés és összesített elemzések (Data Flywheel)

11.1. Engedély és utasítás. Az Ügyfél a DPA elfogadásával kifejezetten engedélyezi és utasítja a Szolgáltatót, hogy az Ügyfél személyes adatait, különösen a Beszélgetéseket, a 11.3. pont szerinti eljárással álnevesítse, illetve anonimizálja. Az álnevesítés és az anonimizálás az Ügyfél megbízásából végzett adatfeldolgozási művelet.

11.2. Célok. A Szolgáltató az így előállított adatokat önálló adatkezelőként (GDPR 28. cikk (10) bek. szerinti tudomásulvétellel) az alábbi célokra kezeli:

• (a) Minőségértékelés és fejlesztés: a Szolgáltató belső tesztkészleteket (evaluációt) készít és futtat, a válaszokat emberi annotátorok és automatizált értékelők értékelik és címkézik. Célja az Asszisztens pontosságának, stílusának, biztonságának és a megbízhatósági kapuk működésének javítása, a promptok, a visszakeresés és a Szolgáltató saját modelljeinek vagy beállításainak fejlesztése.
• (b) Összesített témaelemzés: a Szolgáltató több ügyfélre kiterjedő, anonimizált elemzéseket készít a Látogatók által felvetett témákról, a felkapott és a kielégítetlen igényekről, a keresleti időszakokról és az iparági viszonyszámokról. Az eredményeket a Szolgáltatás részeként (például analitika, havi üzleti összefoglaló, iparági összehasonlítás) az Ügyfelek üzleti döntéseinek támogatására használja.

11.3. Garanciák. A Szolgáltató a 11.2. pont szerinti adatkezelés során az alábbi garanciákat alkalmazza:

• Automatikus azonosító-eltávolítás: a felhasználás előtt a rendszer eltávolítja vagy helyettesítő jelölésre cseréli a közvetlen azonosítókat: név, e-mail-cím, telefonszám, lakcím, TAJ-szám, születési dátum, bankkártya- és számlaszám, rendszám, egyéb azonosító számok, a Látogató IP-címe és munkamenet-azonosítója.
• Különleges adatok kizárása: a különleges kategóriájú adatot (GDPR 9. cikk, különösen egészségi állapotra vonatkozó adatot) tartalmazó Beszélgetés-részletek a 11.2. (a) pont szerinti emberi annotációból kimaradnak, vagy csak az ilyen adat eltávolítása után kerülnek felhasználásra. A 11.2. (b) pont szerinti elemzés csak összesített, anonimizált formában használhat fel egészségügyi témákat (például „hány érdeklődés szólt ortopédiai vizsgálatról”), egyedi esetre visszavezethető tartalom nélkül.
• Összesítési küszöb: a 11.2. (b) pont szerinti eredmény csak akkor jelenik meg, ha legalább 5 különböző Ügyfél és legalább 20 Beszélgetés adatán alapul. Az Ügyfél saját Fiókjában megjelenő, csak a saját adataiból készült elemzésekre ez a küszöb nem vonatkozik. Más Ügyfél neve, weboldala vagy egyedi adata soha nem jelenik meg.
• Hozzáférés-korlátozás: az álnevesített adatokhoz csak a Szolgáltató titoktartásra kötelezett munkatársai és annotátorai férnek hozzá, naplózott hozzáféréssel. Az annotációt a Szolgáltató saját munkatársai végzik, a Szolgáltató EU-ban tárolt rendszereiben. Külső annotációs szolgáltató bevonására csak az 5.2. pont szerinti értesítés után kerülhet sor.
• Külső MI-szolgáltatók: automatizált értékelésre a Szolgáltató csak a 2. mellékletben szereplő, betanítást kizáró feltételekkel igénybe vett szolgáltatót használhat.
• Célhoz kötöttség: az adatok nem kerülnek értékesítésre, harmadik félnek saját célú átadásra, és nem használhatók fel reklámra, profilalkotásra vagy az érintettekre vonatkozó egyedi döntésre.

11.4. Jogalap. A Szolgáltató a 11.2. pont szerinti adatkezelést a GDPR 6. cikk (1) bek. f) pontja szerinti jogos érdeke alapján végzi. A jogos érdek a Szolgáltatás minőségének, biztonságának és üzleti értékének fejlesztése az Ügyfelek javára. A Szolgáltató érdekmérlegelési tesztet készít és tart naprakészen, és azt az Ügyfél kérésére rendelkezésre bocsátja. A felek rögzítik, hogy a 11.3. pont szerinti garanciákra tekintettel a további felhasználás összeegyeztethető az eredeti céllal (GDPR 6. cikk (4) bek.). Különleges kategóriájú adat egyedi felhasználására a 11. pont nem ad felhatalmazást.

11.5. Megőrzés. Az álnevesített értékelő adatkészleteket a Szolgáltató legfeljebb 24 hónapig őrzi, ezt követően törli vagy anonimizálja. Az Anonimizált adat időkorlát nélkül megőrizhető.

11.6. Átláthatóság és tiltakozás. A Szolgáltató a 11. pont szerinti adatkezelést az Adatvédelmi Tájékoztatójában is ismerteti. Az Ügyfél a 4. melléklet szerinti mintaszöveggel tájékoztatja a Látogatókat. Az érintett a GDPR 21. cikke szerint tiltakozhat. A tiltakozást a Szolgáltató az érintett azonosíthatóságáig (vagyis az anonimizálás előtt) érvényesíti.

11.7. Kimaradás (opt-out). Az Ügyfél írásban ([email protected]) kérheti, hogy Beszélgetései a 11.2. (a) pont szerinti álnevesített felhasználásból kimaradjanak. A kérés a beérkezéstől számított 30 napon belül, a jövőre nézve lép hatályba. A már anonimizált, összesített adatokat nem érinti. A 11.2. (b) pont szerinti összesített elemzés a Szolgáltatás alapvető része, ebből a kimaradás a Partner csomagban egyedi megállapodással lehetséges.

12. Felelősség

12.1. A felek a DPA megsértéséért a GDPR 82. cikke és az ÁSZF 13. pontja szerint felelnek. A felelősségkorlátozás nem érinti az érintettekkel szemben jogszabály alapján fennálló felelősséget.

13. Hatály, módosítás

13.1. A DPA az ÁSZF szerinti szerződéssel együtt jön létre és szűnik meg. A 10. és a 11. pont a megszűnés után is hatályos marad, amíg az ott említett adatok kezelése tart.

13.2. A DPA módosítására az ÁSZF 15. pontja irányadó. A 2. melléklet módosítására az 5.2. pont vonatkozik.

13.3. A DPA-ra a magyar jog az irányadó. Jogvita esetén az ÁSZF 16.5. pontja alkalmazandó.

---

1. melléklet: Az adatfeldolgozás leírása

2. melléklet: Igénybe vett további adatfeldolgozók

A naprakész lista: https://fylio.hu/adatfeldolgozoi-szerzodes/. Módosítás: 5.2. pont.

3. melléklet: Technikai és szervezési intézkedések

Titkosítás és hálózat

• HTTPS/TLS minden adatforgalomban; titkosítás a tárolt adatokon (a Supabase és az AWS alapértelmezése).
• Cloudflare-alapú hálózatvédelem, a Widget és a nyilvános végpontok rátakorlátozása, botvédelem (Turnstile a regisztrációnál).

Hozzáférés-kezelés

• Sorszintű hozzáférés-szabályozás (RLS) az adatbázisban: az Ügyfelek kizárólag a saját adataikat érik el.
• Szerepkör-alapú jogosultságok a Fiókon belül (csapattagok).
• Adminisztrátori hozzáférés csak a Szolgáltató meghatározott munkatársainak, erős jelszóval és ahol a szolgáltató biztosítja, kétlépcsős azonosítással, naplózással.
• A titkos kulcsok (API-kulcsok) szerveroldalon, titkoskezelőben tárolódnak, a böngészőbe nem kerülnek.

Adattakarékosság és törlés

• Automatikus törlés a 10. pont szerinti megőrzési idők lejártakor.
• Érzékeny adatok bekérése tárolás nélküli továbbítással.
• A Beszélgetés-előzmény a Látogató böngészőjében legfeljebb 3 napig érhető el.

MI-specifikus intézkedések

• Megbízhatósági kapuk: a válasz csak a Tudásbázisra támaszkodhat; bizonytalanság esetén az Asszisztens nem válaszol, hanem visszahívást ajánl.
• Az MI-jelleg egyértelmű jelzése a Látogatónak.
• A prompt-injekció és a visszaélés elleni szűrés.
• Az MI-szolgáltatók API-feltételei kizárják a betanítást.

Működés és szervezés

• Biztonsági mentések, helyreállítási eljárás.
• Elkülönített fejlesztői, staging és éles környezet; éles adat csak indokolt esetben, naplózottan kerül a fejlesztői környezetbe.
• Incidenskezelési eljárás (8. pont), a hibák és sérülékenységek nyilvántartása, rendszeres biztonsági felülvizsgálat.
• Titoktartási kötelezettség a munkatársak és az annotátorok részére.

4. melléklet: Mintaszöveg az Ügyfél adatvédelmi tájékoztatójába

Chat-asszisztens a weboldalunkon. Weboldalunkon a Fylio (Tamás Máté e.v., 2100 Gödöllő, Kölcsey Ferenc u. 26.) által üzemeltetett mesterséges intelligencia alapú chat-asszisztens működik, amely a weboldalunkon és az általunk megadott információk alapján válaszol a kérdéseire, és segít időpontot foglalni vagy visszahívást kérni. A beszélgetés tartalmát és az Ön által megadott adatokat (például név, e-mail-cím, telefonszám) a Fylio adatfeldolgozóként, a megbízásunkból kezeli, az adatokat EU-s szerveren tárolja, és 6 hónap után törli.

A Fylio a beszélgetéseket a közvetlen azonosítók (név, elérhetőségek, azonosító számok) automatikus eltávolítása után a szolgáltatás minőségének javítására (a válaszok értékelésére) és anonim, összesített statisztikák készítésére is felhasználhatja, saját jogos érdeke alapján. Egészségügyi adatot egyedileg nem használ fel erre a célra. Ez ellen tiltakozhat a ‹saját adatvédelmi e-mail-címünk› vagy a [email protected] címen. Részletek: https://fylio.hu/adatvedelmi-iranyelvek/