Adatfeldolgozási megállapodás

1. Felek

Adatkezelő: a CarPulse-ra előfizető műhely, a regisztrációkor megadott adatokkal. Adatfeldolgozó: Blaze Data Solution Korlátolt Felelősségű Társaság (Blaze Data Solution Kft.), székhely: 7636 Pécs, Gadó utca 8. TT 7. ajtó, cégjegyzékszám: 02-09-088407 (Pécsi Törvényszék Cégbírósága), e-mail: support@blazedata.hu.

2. Az adatfeldolgozás tárgya és időtartama

Tárgy: a műhely ügyfeleinek és járműveinek adataival kapcsolatos munkaszervezési és ügyfélkommunikációs szolgáltatás. Időtartam: az előfizetés fennállása, valamint a megszűnést követő adattörlési vagy -visszaadási időszak.

3. Az adatfeldolgozás jellege és célja

Tárolás, rendszerezés, megjelenítés, továbbítás az ügyfél felé (követő link, értesítések), egyszeri kódok küldése jóváhagyáshoz, PDF-munkalap készítése.

4. Az érintettek kategóriái

A műhely ügyfelei (autótulajdonosok, üzembentartók, kapcsolattartók), valamint a műhely munkatársai.

5. A személyes adatok típusai

Név, telefonszám, e-mail-cím, rendszám és járműadatok, fotók és videók, hibaleírás, árajánlatok és jóváhagyások, rövidített IP-cím. Különleges adat kezelése nem cél; a műhely nem tölthet fel ilyet.

6. Az adatkezelő utasításai

Az adatfeldolgozó kizárólag az adatkezelő dokumentált utasításai — ide értve a szolgáltatás rendeltetésszerű használatát — alapján kezeli az adatokat, és haladéktalanul jelzi, ha egy utasítás jogszabályba ütközik.

7. Titoktartás

Az adatokhoz hozzáférő munkatársakat titoktartási kötelezettség terheli. A platform-adminisztrátori hozzáférés naplózott.

8. Biztonsági intézkedések

Az adatfeldolgozó a GDPR 32. cikke alapján a kockázatokkal arányos technikai és szervezési intézkedéseket alkalmaz, különösen:

Titkosítás: minden adatátvitel titkosított (HTTPS/TLS, HSTS). A jelszavakat erős, sózott lenyomatként (bcrypt, legalább 12-es költségtényező), a munkamenet-, követő link- és egyszeri kódokat csak lenyomatként tároljuk. Az adatbázis és a fájltároló a tárhelyszolgáltató titkosított infrastruktúráján, az EU-ban fut.

Hozzáférés-kezelés: szerepkör-alapú jogosultságok (tulajdonos, műhelyvezető, szerelő, ügyfél); a szerelő alapértelmezetten nem látja az ügyfél elérhetőségeit. Egy műhely soha nem láthatja egy másik műhely adatait (minden lekérdezés műhelyhez kötött, ezt automatikus tesztek is ellenőrzik). Felhasználónként legfeljebb egy webes és egy mobil munkamenet él; érzékeny műveletekhez megerősített e-mail-cím szükséges.

Fájlok: a fotók és dokumentumok privát tárolóban vannak, és csak rövid élettartamú (néhány perces), aláírt linken érhetők el.

Naplózás és sértetlenség: a jóváhagyások, szakaszváltások, aláírt jegyzőkönyvek, elküldött átvizsgálások és az auditnapló utólag nem módosíthatók (adatbázis-szintű védelem). A platform-adminisztrátori hozzáférés naplózott.

Visszaélések elleni védelem: kérésszám-korlátozás, nem felsoroló regisztráció és jelszó-visszaállítás, egyszeri kódok korlátozott próbálkozással, tartalombiztonsági szabályzat (CSP), elkülönített (sandbox) PDF-készítés.

Rendelkezésre állás: rendszeres adatbázis-mentés, egészségfigyelés és automatikus újraindítás.

Szervezési intézkedések: a hozzáférés a szükséges minimumra korlátozott, a hozzáférők titoktartásra kötelezettek; a fejlesztés során kódellenőrzést és rendszeres biztonsági felülvizsgálatot végzünk; az incidenskezelési eljárás szerint az adatkezelőt legkésőbb 48 órán belül értesítjük.

9. További adatfeldolgozók

Az adatkezelő általános felhatalmazást ad további adatfeldolgozók igénybevételére. Az aktuális lista: tárhely Railway Corporation (EU-régió, Hollandia), fájltárolás Railway (EU-régió, Hollandia), e-mail Resend, SMS SeeMe / Twilio, push Google Firebase, fizetés Stripe, RevenueCat. Változás előtt az adatfeldolgozó 30 nappal értesít, az adatkezelő tiltakozhat.

10. Közreműködés az érintetti jogok teljesítésében

Az adatfeldolgozó megfelelő funkciókkal (adatexport, törlés, helyesbítés) és kérésre egyedi közreműködéssel segíti az adatkezelőt az érintetti kérelmek teljesítésében és az adatvédelmi hatásvizsgálatban.

11. Adatvédelmi incidens bejelentése

Az adatfeldolgozó az incidensről való tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az adatkezelőt, a GDPR 33. cikk (3) bekezdése szerinti információkkal.

12. Az adatok törlése vagy visszaadása

A szerződés megszűnésekor az adatkezelő választása szerint az adatfeldolgozó az adatokat exportálható formában visszaadja vagy 30 napon belül törli, kivéve, ha jogszabály megőrzést ír elő. A változtathatatlan jóváhagyási napló személyes adatait anonimizálja.

13. Ellenőrzés

Az adatfeldolgozó rendelkezésre bocsátja a megfelelés igazolásához szükséges információkat, és lehetővé teszi az előre egyeztetett ellenőrzést.

14. Harmadik országba történő továbbítás

EGT-n kívüli továbbítás csak a GDPR V. fejezetének megfelelő garanciákkal (pl. általános szerződési feltételek) történhet.

15. Záró rendelkezések

A megállapodás az ÁSZF elválaszthatatlan része. Ellentmondás esetén az adatvédelmi kérdésekben jelen megállapodás az irányadó. Irányadó jog: magyar jog.