Adatfeldolgozói megállapodás

az Általános Szerződési Feltételek 1. számú melléklete · Verzió: 2026.10 · Hatályos: [2026. november 1.]-től (GDPR 28. cikk (3) bekezdés)

1. Felek

• Adatkezelő: az Előfizető (a Szalonlap szolgáltatást igénybe vevő vállalkozás), aki a bemutatkozó oldalán a vendégeitől foglalási kérést fogad.
• Adatfeldolgozó: [Szolgáltató neve], [székhely], [cégjegyzékszám] (a továbbiakban: Szolgáltató).

A megállapodás az ÁSZF elfogadásával, a regisztrációval jön létre, és az ÁSZF megszűnéséig hatályos.

2. Az adatfeldolgozás tárgya, jellege, célja

Tárgy	a Bérlői oldalon keresztül beérkező foglalási kérések és az azokhoz tartozó üzenetek tárolása, megjelenítése az Előfizetőnek, e-mail értesítések küldése
Jelleg	automatizált tárolás, továbbítás (e-mail), listázás, törlés – a Szolgáltatás működése szerint
Cél	az Előfizető időpont-egyeztetése a vendégeivel
Időtartam	az ÁSZF hatálya alatt; az egyes foglalási kérések az Előfizető által beállított ideig, legfeljebb 12 hónapig
Érintettek	az Előfizető vendégei (a Bérlői oldal látogatói, akik foglalási kérést küldenek)
Adatkategóriák	név, telefonszám, e-mail cím (opcionális), kért szolgáltatás, kért nap/napszak, megjegyzés, a hozzájárulás időpontja, IP-cím hash-e (visszaélés elleni védelem)
Különleges adat	nem kezelünk; az Előfizető köteles a foglalási megjegyzés mezőben egészségügyi adat (allergia, betegség) bekérésétől tartózkodni, illetve ha ilyet a vendég önként ír, azt saját felelősségére kezeli

3. Az adatkezelő (Előfizető) kötelezettségei

3.1. Az Előfizető felel azért, hogy a vendégadatok kezelésére megfelelő jogalappal rendelkezik (a foglalási űrlap a Szolgáltató által generált adatkezelési tájékoztatót és hozzájárulási jelölőnégyzetet tartalmazza, de a tájékoztatóban szereplő adatai helyességéért az Előfizető felel).

3.2. Az Előfizető a Szolgáltatónak csak a Szolgáltatás működéséhez szükséges utasítást adhat; a Szolgáltatás funkciói (beállítások, törlés, export) minősülnek dokumentált utasításnak.

4. Az adatfeldolgozó (Szolgáltató) kötelezettségei (GDPR 28. cikk (3) a)–h))

a) A személyes adatokat kizárólag az Előfizető dokumentált utasítása – a Szolgáltatás működése – szerint kezeli, saját célra nem használja fel, harmadik országba csak az 5. pont szerint továbbítja. Ha uniós vagy magyar jog kötelezi az adatkezelésre, erről az Előfizetőt előzetesen tájékoztatja, kivéve, ha a tájékoztatást a jog tiltja.

b) Biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak.

c) A GDPR 32. cikke szerinti biztonsági intézkedéseket alkalmazza: titkosított átvitel (TLS), titkosított tárolás nyugalmi állapotban, sorszintű hozzáférés-szabályozás (minden Előfizető csak a saját vendégadatait éri el), naplózott és minimális munkatársi hozzáférés, napi mentés EU-ban, kétfaktoros hitelesítés a rendszergazdai hozzáféréseken.

d) További adatfeldolgozót (al-adatfeldolgozó) csak az Előfizető általános, előzetes felhatalmazásával vesz igénybe; a jelenlegi listát a 6. pont tartalmazza. Változás esetén a Szolgáltató legalább 30 nappal korábban e-mailben értesít; az Előfizető kifogás esetén az ÁSZF-et felmondhatja. Az al-adatfeldolgozókkal a Szolgáltató ugyanilyen tartalmú adatvédelmi kötelezettségeket köt ki, és azok teljesítéséért az Előfizető felé felel.

e) Az adatkezelés jellegét figyelembe véve segíti az Előfizetőt az érintetti jogok (hozzáférés, törlés, hordozhatóság stb.) teljesítésében: a Szolgáltatás felületén a foglalási kérések kereshetők, törölhetők és exportálhatók; ha az érintett közvetlenül a Szolgáltatóhoz fordul, a Szolgáltató a kérelmet 3 munkanapon belül továbbítja az Előfizetőnek.

f) Segíti az Előfizetőt a GDPR 32–36. cikk szerinti kötelezettségek teljesítésében: adatvédelmi incidens esetén arról az Előfizetőt a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti, az incidens jellegének, az érintett adatok körének és a megtett intézkedéseknek a leírásával.

g) Az ÁSZF megszűnésekor az Előfizető választása szerint a vendégadatokat visszaadja (export) és/vagy törli; az export lehetőségét a megszűnés előtt biztosítja, a törlést a megszűnést követő 30 napon belül végrehajtja, kivéve, ha uniós vagy magyar jog a tárolást előírja.

h) Az Előfizető rendelkezésére bocsátja a jelen kötelezettségek teljesítésének igazolásához szükséges információkat (biztonsági intézkedések leírása, al-adatfeldolgozók listája), és lehetővé teszi az Előfizető vagy megbízott ellenőre által végzett auditot – évente legfeljebb egyszer, 30 napos előzetes értesítéssel, a Szolgáltató üzletmenetét nem zavaró módon, az Előfizető költségére. A Szolgáltató haladéktalanul tájékoztatja az Előfizetőt, ha megítélése szerint valamely utasítás a GDPR-ba ütközik.

5. Adattovábbítás harmadik országba

A vendégadatokat a Szolgáltató az EU-ban (Frankfurt) tárolja. Al-adatfeldolgozó harmadik országból kizárólag a GDPR V. fejezete szerinti garanciával (általános szerződési feltételek, illetve EU–US adatvédelmi keretrendszer) férhet hozzá.

6. Al-adatfeldolgozók

Al-adatfeldolgozó	Feladat	Hely
Supabase Inc.	adatbázis, tárhely	EU (Frankfurt)
Vercel Inc.	alkalmazás-kiszolgálás	EU régió + CDN
[Resend Inc.]	e-mail értesítés a foglalási kérésről az Előfizetőnek és a vendégnek	USA (SCC/DPF)

Aktuális lista: szalonlapom.hu/adatfeldolgozas#al-adatfeldolgozok.

7. Felelősség

A Szolgáltató az adatfeldolgozói kötelezettségei megszegéséért a GDPR 82. cikke szerint felel; az ÁSZF felelősségkorlátozása e körben is alkalmazandó, kivéve, ahol a jog ezt kizárja.

Kelt: [Budapest], [2026. október …]