Adatfeldolgozási szerződés (GDPR 28. cikk)

1. Felek és a szerződés létrejötte

Ez a szerződés az ügyfél mint adatkezelő és a(z) MAD Consulting L.L.C-FZ (Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.) mint adatfeldolgozó között jön létre, és az ÁSZF része.

A munkaterület tulajdonosa az appban, a vállalkozás nevében fogadja el egy jelölőnégyzettel: megadja a vállalkozás nevét, és kijelenti, hogy jogosult a vállalkozás nevében eljárni. Az elfogadást a vállalkozás nevével, a szerződés verziójával, nyelvével és időpontjával naplózzuk (lásd az adatvédelmi tájékoztató 3. pontját). Aláírt példányt kérésre küldünk: hello@sayweek.com.

2. Tárgy és időtartam

Az adatfeldolgozó kizárólag a Sayweek szolgáltatás nyújtása céljából kezeli azokat a személyes adatokat, amelyeket az ügyfél és a felhasználói a Sayweekbe bevisznek vagy bekötött fiókjaikból elérhetővé tesznek. A szerződés az ÁSZF szerinti szerződés idejére szól, és az adatok törléséig (11. pont) hatályos.

3. Az adatkezelés jellege és célja

Tárolás, rendszerezés, olvasás, AI-jal történő szövegírás és -elemzés, ütemezés és közzététel a közösségi oldalakon az ügyfél jóváhagyása után, statisztika készítése, értesítések küldése, export és törlés – annak érdekében, hogy az ügyfél márkáinak posztjait megírjuk, jóváhagyásra előkészítsük, ütemezzük és mérjük.

4. A személyes adatok fajtái

• A felhasználók és csapattagok neve, e-mail-címe, szerepköre, bejelentkezési és tevékenységi adatai.
• Posztok, ötletek, hangjegyzetek szövege, képek, videók, történetek és a bennük szereplő személyekre vonatkozó adatok.
• A bekötött naptárakból, levelezésből (Gmail, Outlook), CRM-ekből, Notionből, Drive-ból, OneDrive-ból / SharePointból származó részletek, valamint a bekötött vagy kézzel hozzáadott (beillesztett, feltöltött, továbbított) megbeszélés-átiratok csak a memóriában feldolgozott, maszkolt részletei; az átiratból csak az ötleteket és a szavak hash-ét tároljuk (a tájékoztatóban leírt szűkítéssel).
• A Telegram- vagy WhatsApp-botnak küldött üzenetek, linkek és hangüzenetek leírt szövege, a chat azonosítója és megjelenített neve.
• A közösségi oldalakon a posztok alá írt hozzászólások (szerző neve, szöveg – legfeljebb 48 óráig), statisztikák.
• Az ügyfél ügyfeleinek a jóváhagyó linkeken megadott neve és megjegyzései.

5. Az érintettek köre

Az ügyfél felhasználói és csapattagjai; az ügyfél ügyfelei és kapcsolattartói; a tartalmakban, naptárakban, levelekben és CRM-bejegyzésekben említett személyek; azok, akik az ügyfél posztjaihoz hozzászólnak. Különleges adat kezelése nem cél; az ügyfél ilyet nem visz be szándékosan.

6. Az adatkezelő utasításai

Az adatfeldolgozó az adatokat csak az ügyfél dokumentált utasítása alapján kezeli – ide értve a harmadik országba történő továbbítást is –, kivéve, ha jogszabály másként kötelezi; ilyenkor erről előzetesen tájékoztatja az ügyfelet, hacsak a jogszabály ezt nem tiltja. Utasításnak minősül az ÁSZF, ez a szerződés, valamint az ügyfél minden beállítása és művelete az appban (pl. bekötés, jóváhagyás, törlés).

Ha az adatfeldolgozó szerint egy utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt, erről haladéktalanul tájékoztatja az ügyfelet. Az adatokat saját célra nem használja, és AI-modellt nem tanít velük.

7. Titoktartás

Az adatokhoz csak azok a személyek férnek hozzá, akiknek erre a szolgáltatás, a támogatás vagy a hibaelhárítás miatt szükségük van, és akik titoktartásra köteleződtek, vagy jogszabály alapján titoktartás terheli őket.

8. Az adatkezelés biztonsága (GDPR 32. cikk)

Az adatfeldolgozó a kockázatnak megfelelő technikai és szervezési intézkedéseket alkalmaz; ezeket az 1. melléklet sorolja fel, közérthető összefoglalójuk a Biztonság oldalon olvasható. Az intézkedéseket a technika fejlődésével frissíthetjük, de a védelem szintje nem csökkenhet.

9. További adatfeldolgozók

Az ügyfél általános felhatalmazást ad további adatfeldolgozók igénybevételére. A mindenkori listát – feladat, adatok, helyszín – a További adatfeldolgozók oldal tartalmazza, ez a szerződés része.

• Új vagy lecserélt adatfeldolgozóról legalább 30 nappal előre e-mailben értesítjük a munkaterület tulajdonosát.
• Az ügyfél ez alatt észszerű, adatvédelmi okból tiltakozhat. Ha nem találunk megoldást, az ügyfél a változás hatálybalépése előtt díjmentesen felmondhat, és az előre kifizetett, fel nem használt időszak díját visszatérítjük.
• Minden további adatfeldolgozóval írásban legalább az itt vállaltakkal egyenértékű adatvédelmi kötelezettségeket kötünk ki, és a teljesítésükért az ügyféllel szemben felelünk.

Az ügyfél által saját maga bekötött szolgáltatások (pl. Google – a Meet és a Cégprofil is –, Microsoft 365, LinkedIn, Meta – a Threads is –, TikTok, Bluesky, Zoom, Fireflies.ai, Fathom, tl;dv, Telegram, Unsplash, Pexels, Zapier, Make, AI-asszisztensek) nem további adatfeldolgozók: az ügyfél a velük kötött saját szerződése alapján használja őket, az adatfeldolgozó csak az ügyfél utasítására cserél velük adatot.

10. Segítségnyújtás és incidensek

• Az adatfeldolgozó segíti az ügyfelet az érintetti kérések teljesítésében (hozzáférés, helyesbítés, törlés, export), elsősorban az app funkcióival; hozzá érkező érintetti kérést továbbít az ügyfélnek.
• Segít a GDPR 32–36. cikkében foglalt kötelezettségek teljesítésében (biztonság, incidensbejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció), a rendelkezésére álló információk alapján.
• Adatvédelmi incidensről indokolatlan késedelem nélkül, a tudomásszerzéstől számított legkésőbb 48 órán belül értesíti a munkaterület tulajdonosát: mi történt, mely adatokat és hány érintettet érinthet, milyen következményekkel jár, és mit tettünk vagy javaslunk. A még hiányzó információkat folyamatosan pótolja.

11. Az adatok törlése vagy visszaadása

A szerződés megszűnésekor az ügyfél előbb exportot kérhet (Beállítások → Adatok és adatvédelem → Export, JSON). Ezt követően az adatfeldolgozó az összes személyes adatot törli az adatbázisból, a mentésekből legkésőbb 30 napon belül, kivéve, ha jogszabály megőrzést ír elő. A kiállított számlákat nem adatfeldolgozóként, hanem saját jogi kötelezettségünk alapján őrizzük (lásd az Adattörlés oldalt).

12. Tájékoztatás és ellenőrzés

Az adatfeldolgozó rendelkezésre bocsátja a szerződés teljesítésének igazolásához szükséges információkat. Az ügyfél évente egyszer (incidens után vagy hatósági kérésre ezen felül is) írásban tájékoztatást kérhet a biztonsági intézkedésekről; helyszíni ellenőrzés – ügyfél által megbízott, titoktartásra kötelezett auditorral – legalább 30 nappal korábbi egyeztetéssel, munkaidőben, a többi ügyfél adatainak védelmével és az ügyfél költségén lehetséges.

13. Nemzetközi adattovábbítás

Az adatfeldolgozó az Egyesült Arab Emírségekben székel; az adatbázis az EU-ban (Frankfurt) van. Az EU-n / EGT-n kívüli továbbítás – az EAE-ba és az USA-beli további adatfeldolgozókhoz – az Európai Bizottság általános szerződési feltételei (SCC) vagy más, a GDPR V. fejezete szerinti garancia alapján történik; ezeket a felek jelen szerződés részének tekintik. [SCC-modul(ok) megjelölése (2. modul: adatkezelő → adatfeldolgozó; 3. modul: adatfeldolgozó → további adatfeldolgozó), a kitöltött mellékletek, az irányadó jog és a fórum, valamint a továbbítási hatásvizsgálat]

14. Felelősség és elsőbbség

A felek felelősségére az ÁSZF felelősségi szabályai irányadók, a GDPR 82. cikkét is figyelembe véve. Adatvédelmi kérdésben ez a szerződés elsőbbséget élvez az ÁSZF-fel szemben. [felelősségkorlátozás összhangja az ÁSZF-fel és a GDPR 82. cikkével]

15. Kapcsolat

MAD Consulting L.L.C-FZ, Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E. · hello@sayweek.com

1. melléklet – Technikai és szervezési intézkedések

• Titkosítás: minden kapcsolat HTTPS/TLS-en; a harmadik felek hozzáférési tokenjei, a kétlépcsős azonosítás titkos kulcsai és a webhookok címe AES-256-GCM-mel titkosítva tárolva; a jelszavak scrypt-hash-ként.
• Hozzáférés-szabályozás: munkaterületenként elkülönített adatok (minden lekérdezés a munkaterülethez kötött); szerepkörök (tulajdonos, szerkesztő) és választható kétlépcsős jóváhagyás; passkey és TOTP kétlépcsős azonosítás; az üzemeltetői funkciókhoz újbóli azonosítás.
• Naplózás: a munkaterület tevékenységnaplója (jóváhagyások, bekötések, törlések), hibanapló 30 napig, a feltételek elfogadásának naplója.
• Rendelkezésre állás és mentés: felügyelt adatbázis (Neon, EU) folyamatos mentéssel és időpontra visszaállítással; felügyelt üzemeltetés (Vercel, EU-régió).
• Adattakarékosság: a bekötések nagyrészt csak olvasnak; levelek szövegét, CRM-bejegyzéseket nem tárolunk; neveket, e-mail-címeket, összegeket az AI-hoz küldés előtt kitakarunk; mások hozzászólásait 48 óra után töröljük.
• Biztonságos fejlesztés: kódellenőrzés, automatikus tesztek, a függőségek rendszeres frissítése, biztonsági fejlécek (pl. X-Frame-Options, nosniff), a titkos kulcsok csak a szerverkörnyezetben.
• Szervezési intézkedések: titoktartási kötelezettség, a hozzáférés a szükséges minimumra korlátozva, incidenskezelési eljárás (48 órás értesítés), sebezhetőség-bejelentési szabályzat.
• [kiegészítés: auditok / tanúsítványok, penetrációs teszt, munkatársak képzése, eszközbiztonság]