Adatfeldolgozási szerződés

Ez a dokumentum több nyelven jelenik meg. A nyelvi változatok közötti bármilyen eltérés esetén a lengyel változat az irányadó.

2.2 verzió · Utolsó frissítés: 2026. október 29.

Szerződés a személyes adatoknak az adatkezelő megbízásából történő feldolgozásáról az általános adatvédelmi rendelet (GDPR) Art. 28 alapján

a(z) formexposed Ügyfele mint adatkezelő (az „Ügyfél”) és a LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Lengyelország, NIP (lengyel adóazonosító szám) 7252266190, mint adatfeldolgozó („mi”) között.

Előzetes megjegyzések: miről szól ez a Szerződés

A(z) formexposed a weboldalak kapcsolatfelvételi űrlapjait a spam és a visszaélések elleni védelem szempontjából ellenőrzi, felügyeli, és jelenti a változásokat. Az ennek során keletkező adatok többségénél mi magunk vagyunk az adatkezelő: az ügyfélfiók, a számlázás, a Szolgáltatás biztonsága, a naplók és a fiók nélküli ellenőrzések tekintetében. Ezt az adatkezelést Adatvédelmi tájékoztatónk írja le; erre ez a Szerződés nem vonatkozik.

Egyes funkciók azonban harmadik személyek személyes adatait juttatják a Szolgáltatásba, és ezekről az adatokról az Ügyfél dönt: a weboldala látogatóitól érkező valódi megkeresések másolatai, a riasztásait fogadó személyek címei, egy tesztfiók bejelentkezési adatai, az általa feldolgozásra átadott kód. Ezeket az adatokat kizárólag az Ügyfél megbízásából dolgozzuk fel. Ez a Szerződés ezekre vonatkozik. Hogy ezek részletesen mely funkciók, azt a Szerződés végén található 1. melléklet tartalmazza.

A Szerződés az Art. 28(3) GDPR-t követi, és felépítésében és tartalmában az Európai Bizottságnak az adatkezelők és adatfeldolgozók közötti általános szerződési feltételeit ((EU) 2021/915 végrehajtási határozat) veszi mintául. Ezeket nem szó szerint veszi át, hanem a tényleges Szolgáltatást írja le. Ahol az Art. 28 GDPR szerinti kötelezettséget részletesebben szabályozzuk, a rendelet védelmi szintje nem csökkenhet.

§ 1 Tárgy, hatály és szerepek

(1) E Szerződés tárgya a személyes adatoknak általunk, az Ügyfél megbízásából, a Szolgáltatásnak Szolgáltatási feltételeink szerinti nyújtása során végzett feldolgozása. Az adatfeldolgozás tárgyát, jellegét és célját, a személyes adatok típusait és az érintettek kategóriáit funkciónként az 1. melléklet tartalmazza.

(2) E Szerződés nem terjed ki azokra az adatkezelésekre, amelyeknél mi magunk vagyunk az adatkezelő, különösen: az ügyfélfiók és egy munkaterület tagjai, a bejelentkezés és a fiókbiztonság, a számlázás, a támogatás, a naplók, e saját adataink biztonsági mentései, a fiók nélküli ingyenes ellenőrzés, a fiókban lévő azon domainek ellenőrzése, amelyekre az Ügyfél még nem igazolta a rendelkezést, a potenciálisügyfél-ellenőrzés, a tanulmány, a jelvény, valamint mindaz, amit a WordPress-bővítmény és a TYPO3-bővítmény továbbít: napi számadatok, a bővítményleltár, és egy csatlakoztatott WordPress-bővítmény esetében a blokkolt üzenetekben szereplő hivatkozások domainjei a rajvédelemhez (alapértelmezés szerint bekapcsolva). Ezen túlmenően ezek az adatok e bővítmények felépítéséből adódóan nem tartalmaznak tartalmat, neveket, címeket vagy a látogatók IP-címeit. Ezzel szemben a biztonsági mentések, amennyiben Ügyféladatokat tartalmaznak, valamint az Ügyféladatokhoz az üzemeltetés, a hibaelhárítás és a biztonság érdekében történő hozzáférés az Ügyfél megbízásából végzett adatfeldolgozás részét képezik; ezekre a § 7(3) és a § 15(5) alkalmazandó.

(3) Az 1. mellékletben szereplő adatok tekintetében az Ügyfél az Art. 4(7) GDPR szerinti adatkezelő. Ha az Ügyfél maga is adatfeldolgozóként jár el egy harmadik fél számára, például ügynökségként az ügyfelei számára, akkor ezen adatok tekintetében mi további adatfeldolgozók vagyunk. Az Ügyfél ilyenkor biztosítja, hogy e Szerződés összeegyeztethető legyen a saját szerződéséből eredő kötelezettségeivel, és a harmadik fél utasításait csak saját magán keresztül továbbítja nekünk.

(4) Megkötés: a Szerződés a regisztrációkor a Szolgáltatási feltételekkel együtt jön létre, minden Ügyféllel, akkor is, ha az 1. melléklet funkciói közül egyiket sem használja. A Szerződés elektronikus úton jön létre; ez megfelel az Art. 28(9) GDPR-nek. Ennek érdekében tároljuk a megjelenített változatot, annak ellenőrzőösszegét, valamint az elfogadás időpontját, IP-címét és böngészőazonosítóját.

§ 2 Fogalommeghatározások

Az olyan fogalmak, mint „személyes adat”, „adatkezelés”, „adatkezelő”, „adatfeldolgozó” és „adatvédelmi incidens”, az Art. 4 GDPR szerinti jelentéssel bírnak. Ezenkívül:

• Ügyféladatok: azok a személyes adatok, amelyeket az 1. melléklet szerint az Ügyfél megbízásából dolgozunk fel.
• További adatfeldolgozó: az általunk igénybe vett további adatfeldolgozó, amely ennek során Ügyféladatokat dolgoz fel (Art. 28(2) és (4) GDPR).
• Munkaterület: a Szolgáltatásnak az a része, amelyben az Ügyfél a domainjeit, beállításait és tagjait kezeli. Minden Ügyféladat egy munkaterülethez van rendelve.
• Szöveges forma: tartós adathordozón tett bármely olvasható nyilatkozat, különösen e-mail.
• Napok: naptári napok. Ha egy határidő utolsó napja szombatra, vasárnapra vagy lengyelországi munkaszüneti napra esik, a határidő a következő munkanapon jár le.

§ 3 Időtartam

(1) A Szerződés addig hatályos, amíg Ügyféladatokat dolgozunk fel. A regisztrációval kezdődik, és nem szűnik meg pusztán azáltal, hogy egy fizetős csomag véget ér: felmondás után a fiók ingyenes fiókként folytatódik, és vele adott esetben az Ügyféladatok is. Akkor szűnik meg, amikor a fiókot törölték, és már nem rendelkezünk az Ügyfél Ügyféladataival, kivéve a biztonsági mentésekben azok lejártáig (§ 15).

(2) Azok a kötelezettségek, amelyek jellegüknél fogva továbbra is hatással bírnak, a megszűnés után is fennmaradnak, különösen a titoktartás, a törlés, a bizonyítás és a felelősség.

(3) Kizárólag e Szerződés rendes felmondása kizárt, mert nélküle a fiók fennállása alatt semmilyen Ügyféladat nem lenne feldolgozható. Ha az Ügyfél meg kívánja szüntetni, törli a fiókját (§ 15(3)). A § 9(3) és a § 16 szerinti felmondási jogok, valamint a Szolgáltatási feltételek szerinti felmondási jogok nem érintettek.

§ 4 Utasítások

(1) Az Ügyféladatokat kizárólag az Ügyfél dokumentált utasításai alapján dolgozzuk fel, ideértve a személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítását is. Ez nem alkalmazandó, ha a ránk alkalmazandó uniós vagy tagállami jog írja elő számunkra az adatkezelést. Ebben az esetben e jogi előírásról az adatkezelést megelőzően értesítjük az Ügyfelet, kivéve, ha az adott jogszabály fontos közérdekből tiltja az ilyen értesítést (Art. 28(3), második mondat, a) pont, GDPR).

(2) Az Ügyfél utasításait kimerítően ez a Szerződés, a Szolgáltatási feltételek és az Ügyfél által a Szolgáltatásban megadott beállítások dokumentálják. Példák: a kézbesítés-ellenőrzés beállítása az űrlap-e-mailek másolatainak fogadására és kiértékelésére vonatkozó utasítás; egy riasztási célpont létrehozása az oda történő értesítésküldésre vonatkozó utasítás; egy tesztfiók tárolása az azzal a bejelentkezés mögötti ellenőrzéshez történő bejelentkezésre vonatkozó utasítás. A Szolgáltatás úgy épül fel, hogy csak azt teszi, amit ezek a beállítások előírnak.

(3) További utasításokat az Ügyfél szöveges formában a contact@lukaswojcik.com címre vagy a támogatási ablakon keresztül ad. Utasítás adására a munkaterület tulajdonosa és adminisztrátorai jogosultak; a Szolgáltatásban beállítások útján adott utasításokat az adja, akinek a szerepköre lehetővé teszi az adott beállítást. A szóbeli utasítást az Ügyfél indokolatlan késedelem nélkül szöveges formában megerősíti; addig a végrehajtással várhatunk, kivéve, ha az utasítás adatok törlésére vagy az adatkezelés korlátozására vonatkozik. A megállapodott szolgáltatási körön túlmenő utasítást a szolgáltatások módosítására irányuló kérésként kezeljük; azt elutasíthatjuk, vagy előre, szöveges formában közölt díjazáshoz köthetjük. Ezen az alapon nem utasítunk el olyan utasítást, amely a GDPR szerinti kötelezettséget, például törlést érint.

(4) Ha véleményünk szerint egy utasítás jogszabályba ütközik, haladéktalanul tájékoztatjuk az Ügyfelet (Art. 28(3), második albekezdés, GDPR). Végrehajtását felfüggeszthetjük, amíg az Ügyfél az utasítást meg nem erősíti vagy módosítja. Nyilvánvalóan jogellenes utasítást nem hajtunk végre. Nem vagyunk kötelesek minden utasítást átfogó jogi vizsgálatnak alávetni; jogszerűségéért az Ügyfél felel.

§ 5 Célhoz kötöttség, és amit nem teszünk az Ügyféladatokkal

(1) Az Ügyféladatokat kizárólag az 1. mellékletben meghatározott célokra, és csak az adott funkcióhoz szükséges mértékben dolgozzuk fel.

(2) Az Ügyféladatokat nem használjuk saját céljainkra. Különösen nem elemezzük őket reklámcélból, nem adjuk el őket, nem kapcsoljuk össze őket más ügyfelek adataival profilokká, és nem használjuk őket nyelvi modellek tanítására. Az egyes funkciókat segítő nyelvi modell saját szerverünkön fut; semmi nem kerül külső MI-szolgáltatáshoz.

(3) Az Ügyfél megengedi, hogy az Ügyféladatokból olyan összesített számadatokat állítsunk elő, amelyek már nem köthetők egyetlen személyhez, ügyfélhez vagy domainhez sem, például kézbesítésekről, hibákról vagy ellenőrzési eredményekről. Az összesítés e Szerződés szerinti adatfeldolgozás; az így kapott számadatok már nem személyes adatok és nem Ügyféladatok. Nem kíséreljük meg ezekből személyek újbóli azonosítását.

§ 6 Az Ügyfél kötelezettségei

(1) Az Ügyfél felel az általa ránk bízott adatkezelés jogszerűségéért. Ide tartozik, hogy rendelkezzen jogalappal, és hogy az érintetteket az Art. 13 és 14 GDPR szerint tájékoztassa.

(2) Ha az Ügyfél a kézbesítés-ellenőrzést használja, adatvédelmi tájékoztatójában tájékoztatja weboldala látogatóit arról, hogy az űrlap-e-mail másolatát megkapjuk. A Szolgáltatás ehhez szövegjavaslatot jelenít meg a domain oldalán; további szövegblokkok az Adatvédelmi tájékoztató szöveg az Ön weboldalára oldalon érhetők el. A javaslat nem helyettesíti az Ügyfél saját értékelését.

(3) A bejelentkezés mögötti ellenőrzéshez az Ügyfél külön tesztfiókot hoz létre, amely csak a megadott oldalak olvasásához szükséges jogosultságokkal rendelkezik, és nem jelenít meg ügyfelek, betegek, tagok vagy munkavállalók valódi adatait. Nem tárol valós személy bejelentkezési adatait, sem olyan bejelentkezési adatokat, amelyek használatára nem jogosult. A használati szabályokat az Elfogadható használat és visszaélések dokumentum is tartalmazza.

(4) Az Ügyfél – amennyiben ezt elkerülheti – nem dolgoztat fel a Szolgáltatáson keresztül személyes adatok különleges kategóriáit (Art. 9 GDPR) vagy büntetőjogi felelősség megállapítására vonatkozó adatokat (Art. 10 GDPR). A „Fix it for me” használatakor nem illeszt be valódi személyes adatokat tartalmazó kódot, és ügyfélportálokat csak olyan személyek számára hoz létre, akik megrendelték a jelentést.

(5) Ügyfélportálok: az előfizetőknek küldött havi jelentés tekintetében az Ügyfél, általában egy ügynökség, az adatkezelő. A Szolgáltatás minden előfizető megerősítését egy megerősítő hivatkozással kéri be (double opt-in), és minden e-mailben lehetőséget ad a leiratkozásra. Hogy a hozzájárulás kiterjed-e a jelentés tartalmára, azt az Ügyfél mérlegeli.

(6) Ha az Ügyfél hibát vagy szabálytalanságot észlel az adatfeldolgozásban, erről indokolatlan késedelem nélkül tájékoztat minket.

(7) Ha az Ügyfél beágyazza a jelvényt, ez nem az ő megbízásából végzett adatfeldolgozás; az ezzel járó adatkezelést Adatvédelmi tájékoztatónk írja le. Az Ügyfél ezt megemlíti saját adatvédelmi tájékoztatójában.

§ 7 Titoktartás

(1) Az Ügyféladatokhoz csak olyan személyeknek biztosítunk hozzáférést, akiknek arra feladataik ellátásához szükségük van, és akik titoktartást vállaltak, vagy megfelelő jogszabályi titoktartási kötelezettség alatt állnak (Art. 28(3), második mondat, b) pont, GDPR). A kötelezettségvállalás munkájuk befejezése után is fennmarad.

(2) Jelenleg a tulajdonos maga üzemelteti a Szolgáltatást. Ha további személyek csatlakoznak, első hozzáférésük előtt titoktartásra köteleztetnek, és oktatásban részesülnek a személyes adatok kezeléséről.

(3) Egy munkaterületbe csak annyiban tekintünk be, amennyiben ez az üzemeltetéshez, a hibaelhárításhoz, a támogatáshoz vagy a visszaélések megelőzéséhez szükséges. A „megtekintés ügyfélként” támogatási funkció egy órára korlátozott, letiltja a jelszó, a cím, a második tényező, az előfizetés, az export és a törlés módosítását, és naplózásra kerül; az Ügyfél a hozzáférést az adatexportjában látja.

§ 8 Az adatkezelés biztonsága

(1) Megtesszük az Art. 32 GDPR szerinti technikai és szervezési intézkedéseket, amelyek a kockázatnak megfelelő biztonsági szintet garantálnak. Ezeket a Technikai és szervezési intézkedések oldal írja le. Ez az oldal az ott az adott időpontban közzétett változatában e Szerződés részét képezi (2. melléklet). Az Ügyfél a Szerződés megkötése előtt megtekinthette a leírást. Hogy az intézkedések megfelelő biztonsági szintet nyújtanak-e az Ügyfél által ránk bízott adatkezeléshez, azt az Ügyfél saját felelősségére mérlegeli (Art. 28(1) GDPR), különösen mielőtt bekapcsol egy funkciót az 1. mellékletből.

(2) Az oldal csak ténylegesen megvalósított intézkedéseket ír le. A tervezett, de még meg nem valósított intézkedéseket ott kifejezetten „tervezett” jelöléssel látjuk el, és ezek megvalósításukig nem részei az általunk vállalt intézkedéseknek.

(3) Az intézkedéseket a technika fejlődéséhez és a Szolgáltatás fejlesztéséhez igazíthatjuk, amennyiben az általános védelmi szint nem csökken. Minden változtatást új verziószámmal és dátummal teszünk közzé az oldalon és A szerződési dokumentumok módosításai áttekintésben. Ha egy változtatás egy korábban leírt intézkedést pótlás nélkül megszüntet vagy gyengít, erről az Ügyfelet ezenfelül legalább 30 nappal előre szöveges formában értesítjük; az Ügyfél ekkor az új további adatfeldolgozó esetéhez hasonlóan kifogást emelhet (§ 9(3)). Ha egy intézkedést fenyegetés elhárítása érdekében rövid határidővel kell lecserélni, ez előzetes értesítés nélkül is megtörténhet, feltéve, hogy a védelmi szint emiatt nem csökken; az értesítés ilyenkor indokolatlan késedelem nélkül utólag történik.

§ 9 További adatfeldolgozók

(1) Az Ügyfél általános írásos felhatalmazást ad számunkra további adatfeldolgozók igénybevételére (Art. 28(2) GDPR). Az általunk jelenleg igénybe vett további adatfeldolgozókat székhelyükkel, a céllal, az adatokkal, az adatkezelés helyével és az esetleges harmadik országba történő továbbítás alapjával a További adatfeldolgozók oldal sorolja fel. Ez a lista az ott közzétett változatában e Szerződés részét képezi (3. melléklet). Az ott megnevezett további adatfeldolgozókra a felhatalmazás megadottnak minősül.

(2) Egy további adatfeldolgozó tervezett bevonásáról vagy cseréjéről legalább 30 nappal előre tájékoztatjuk az Ügyfelet a fióktulajdonos címére küldött e-mailben. Az értesítés megnevezi a további adatfeldolgozót, székhelyét, az érintett funkciót, az adatokat, az adatkezelés helyét és az esetleges továbbítás alapját. Ezzel egyidejűleg a bejelentett változás megjelenik a további adatfeldolgozók oldalán és a módosítások áttekintésében.

(3) Az Ügyfél e 30 napon belül szöveges formában kifogást emelhet, ha adatvédelemmel kapcsolatos objektív oka van; az okot a kifogásban megjelöli. Ekkor az Ügyféllel közösen megoldást keresünk, például úgy, hogy az érintett funkciót az Ügyfél számára az új további adatfeldolgozó nélkül működtetjük tovább, vagy kikapcsoljuk. Amíg megoldás nem születik, az új további adatfeldolgozót nem használjuk ennek az Ügyfélnek az Ügyféladataihoz; ha ez technikailag nem lehetséges, az érintett funkciót az Ügyfél számára felfüggesztjük. Ha nem születik megoldás, az Ügyfél a Szolgáltatásra vagy az érintett szolgáltatásra vonatkozó szerződést a változás időpontjára, és ha csak ezen időpont után közöljük vele, hogy megoldás nem lehetséges, az értesítéstől számított 14 napon belül azonnali hatállyal felmondhatja. Az előre kifizetett, emiatt már nem használható időszakra járó összeget időarányosan visszatérítjük. A Szolgáltatási feltételek szerinti rendes felmondási jogunk nem érintett.

(4) Minden további adatfeldolgozóra szerződésben ugyanazokat az adatvédelmi kötelezettségeket rójuk, amelyeket ez a Szerződés ránk ró, különösen a megfelelő technikai és szervezési intézkedések végrehajtására vonatkozó elegendő garanciákat (Art. 28(4), első mondat, GDPR). Minden további adatfeldolgozót gondosan választunk ki, és ellenőrizzük e garanciák meglétét a bevonás előtt, ismét akkor, ha feltételeit lényegesen módosítja, egyébként pedig intézkedéseink éves felülvizsgálatakor. Ha egy további adatfeldolgozó csak tanúsítvány, auditjelentés vagy közzétett feltételei formájában szolgáltat bizonyítékot, ellenőrzésünket erre a bizonyítékra alapozzuk, ha az naprakész és érdemi. Kérésre megküldjük az Ügyfélnek a további adatfeldolgozóval kötött szerződés vagy annak adatvédelmi feltételeinek másolatát; az üzleti titkokat és más bizalmas információkat, például az árakat, előtte kitakarhatjuk.

(5) Ha egy további adatfeldolgozó nem teljesíti adatvédelmi kötelezettségeit, az Ügyféllel szemben kötelezettségei teljesítéséért úgy felelünk, mint saját magatartásunkért (Art. 28(4), második mondat, GDPR). Az, hogy mi választjuk ki a további adatfeldolgozót, semmilyen felelősséget nem hárít át az Ügyfélre. Ha egy további adatfeldolgozó nem teljesíti szerződéses kötelezettségeit, és ez az Ügyfél Ügyféladatait érinti, indokolatlan késedelem nélkül tájékoztatjuk az Ügyfelet. Ha ténylegesen eltűntünk, jogilag megszűntünk vagy fizetésképtelenné váltunk anélkül, hogy jogutód venné át kötelezettségeinket, az Ügyfél követelhesse a további adatfeldolgozótól az Ügyféladatok törlését vagy visszaadását; ezt minden további adatfeldolgozóval megállapodjuk, amennyiben az lehetővé teszi (vö. a 2021/915 általános szerződési feltételek Clause 7.7(e) pontja).

(6) Nem további adatfeldolgozók azok a címzettek, amelyekhez csak azért kerülnek adatok, mert az Ügyfél maga állítja be őket célpontként a Szolgáltatásban: csevegőszolgáltatások (például Slack, Discord, Microsoft Teams, Google Chat) és webhook-címek a riasztásokhoz. A célpont beállítása az oda történő értesítésküldésre vonatkozó utasítás; az e szolgáltatókkal fennálló szerződéses kapcsolat és a harmadik országba történő továbbításhoz esetleg szükséges alap az Ügyfél felelőssége. Az e Szerződés szerinti saját kötelezettségeink az értesítés átadásának pillanatáig nem érintettek. A Telegram szintén az Ügyfél által választott célpont, de másként működik: az üzenetet saját robotunkon keresztül küldjük abba a csevegésbe, amelyet a címzett maga kapcsolt össze a robottal, és a Telegram az Európai Gazdasági Térségen kívül dolgozza fel. A Telegram választásával az Ügyfél kifejezetten utasít minket az értesítések oda történő továbbítására (Art. 28(3), második mondat, a) pont, GDPR); amennyiben a Telegramot e tekintetben további adatfeldolgozónknak kellene minősíteni, e célpont választása egyúttal az Art. 28(2) GDPR szerinti, erre a célra szóló egyedi felhatalmazásnak is minősül. Hogy ez a továbbítás a GDPR V. fejezete szerint milyen alapon történik, azt még nem tisztáztuk véglegesen; aki el szeretné kerülni a tisztázott alap nélküli továbbítást, más célpontot választ. Ugyanígy nem további adatfeldolgozók azok a szolgáltatók, amelyek csupán adatokat továbbítanak, például az internetszolgáltatónk.

(7) A szervereket, az adatbázist és a számítási kapacitást, a nyelvi modellhez szükségeset is, magunk üzemeltetjük Lengyelországban. Tárhely- vagy felhőszolgáltató nem vesz részt.

§ 10 Harmadik országokba történő továbbítás

(1) Azok a saját szervereink, amelyeken Ügyféladatokat dolgozunk fel, Lengyelországban találhatók; ahol egy további adatfeldolgozó dolgoz fel Ügyféladatokat, a helyszínt a 3. melléklet tartalmazza. Az Európai Gazdasági Térségen kívüli országba történő továbbításra csak akkor kerül sor, ha az Art. 44–49 GDPR feltételei teljesülnek, és csak az Ügyfél § 4 szerinti utasítására vagy egy § 9 szerint engedélyezett további adatfeldolgozó részére.

(2) Az egyes további adatfeldolgozókra vonatkozó alapot (megfelelőségi határozat, például tanúsított címzettek esetében az EU–USA adatvédelmi keretrendszerre vonatkozó határozat, vagy az Art. 46(2)(c) GDPR szerinti általános adatvédelmi kikötések) a további adatfeldolgozók listája tartalmazza. Ahol a lista egy címzettnél „ellenőrzés alatt” megjelölést tartalmaz, oda Ügyféladatokat nem küldünk, amíg az alapot nem dokumentáltuk. Ha az Európai Gazdasági Térségen kívül olyan további adatfeldolgozót veszünk igénybe, amelyre nem vonatkozik megfelelőségi határozat, vele az (EU) 2021/914 végrehajtási határozat szerinti általános szerződési feltételeket kötjük meg (3. modul: adatfeldolgozóról adatfeldolgozóra), előzetesen megvizsgáljuk, hogy a célország joga és gyakorlata lehetővé teszi-e azok betartását, megtesszük a szükséges kiegészítő intézkedéseket, és az eredményt rögzítjük. Kérésre az Ügyfél összefoglalót kap erről az értékelésről.

(3) Az Ügyfél által maga választott célpontokba történő továbbítások (§ 9(6)) esetében az alapért az Ügyfél felel.

§ 11 Segítségnyújtás az érintettek jogainak gyakorlásához

(1) Az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel, amennyire lehetséges, segítjük az Ügyfelet abban, hogy választ adjon az érintettek GDPR III. fejezete szerinti kérelmeire (Art. 28(3), második mondat, e) pont, GDPR).

(2) Ennek nagy részét az Ügyfél maga is elvégezheti a Szolgáltatásban: riasztási célpontok, tesztbejelentkezések és saját arculati elemei módosítása vagy törlése; űrlapútvonalak módosítása vagy kikapcsolása; ügyfélportálok visszavonása (előfizetőik a munkaterület törléséig tárolva maradnak); egy domain eltávolítása adataival együtt; adatexport letöltése. Ahol ez nem elegendő, szöveges formában benyújtott kérésre segítünk.

(3) Ha egy érintett Ügyféladatokra vonatkozó kérelemmel fordul hozzánk, azt érdemben nem mi magunk válaszoljuk meg, hanem indokolatlan késedelem nélkül, legkésőbb a beérkezéstől számított hét napon belül továbbítjuk az Ügyfélnek, amennyiben az Ügyfelet azonosítani tudjuk, és erről tájékoztatjuk a személyt. Ha az Ügyfelet nem tudjuk azonosítani, közöljük a személlyel, milyen információra van szükségünk a megtalálásához.

(4) Egy korlátot nyíltan közlünk: a kézbesítés-ellenőrzésből származó űrlap-e-mailek másolatait nem tároljuk az adatbázisban, és az e-mailt a sikeres feldolgozás után, illetve lekérési vagy törlési hiba esetén késleltetve töröljük a postafiókból. Egy adott látogató vonatkozásában ezért általában csak azt tudjuk mondani, hogy már nem rendelkezünk tartalommal.

(5) Ha tudomást szerzünk arról, hogy az Ügyféladatok pontatlanok vagy elavultak, indokolatlan késedelem nélkül tájékoztatjuk az Ügyfelet. Az Ügyfél ezeket ezután maga helyesbítheti, törölheti vagy korlátozhatja a Szolgáltatásban, vagy erre utasítást adhat nekünk.

§ 12 Segítségnyújtás a biztonság, a hatásvizsgálat és a konzultáció terén

(1) Az adatkezelés jellegének és a rendelkezésünkre álló információknak a figyelembevételével segítjük az Ügyfelet az Art. 32–36 GDPR szerinti kötelezettségei teljesítésében: az adatkezelés biztonsága, az adatvédelmi incidensek bejelentése és az érintettek tájékoztatása, az adatvédelmi hatásvizsgálat és a felügyeleti hatósággal folytatott előzetes konzultáció (Art. 28(3), második mondat, f) pont, GDPR).

(2) Ennek érdekében különösen az intézkedések leírását, a további adatfeldolgozók listáját, valamint kérésre további információkat bocsátunk rendelkezésre az adatáramlásokról és a megőrzési időkről. A Szolgáltatás kockázatairól készített saját értékelésünket az Adatvédelmi hatásvizsgálatban tesszük közzé; az Ügyfél felhasználhatja saját értékeléséhez.

(3) A §§ 11 és 12 szerinti olyan segítségnyújtásért, amelyet az Ügyfél a Szolgáltatás funkcióival vagy a közzétett dokumentumokkal maga nem tud elvégezni, amely naptári évenként négy óránál több ráfordítást igényel, és amely nem a mi részünkről e Szerződés vagy a GDPR megsértésére vezethető vissza, az ezen felüli időért előre, szöveges formában közölt óradíj szerinti díjazást számíthatunk fel. A kérelmek továbbítása és az adatvédelmi incidensek bejelentése mindig díjmentes. A jogszabály alapján kötelező segítségnyújtást nem tesszük függővé fizetéstől vagy díjazásról szóló megállapodástól.

§ 13 Adatvédelmi incidensek

(1) Ha az Ügyfél Ügyféladatait érintő adatvédelmi incidensről szerzünk tudomást, erről indokolatlan késedelem nélkül, lehetőség szerint 48 órán belül értesítjük az Ügyfelet a fióktulajdonos címére küldött e-mailben (Art. 33(2) GDPR). Ennek célja, hogy ne rövidüljön az a 72 órás határidő, amelyet az Ügyfélnek a felügyeleti hatósággal szemben be kell tartania. Akkor szerzünk tudomást egy incidensről, amint észszerű bizonyossággal megállapítottuk, hogy egy biztonsági esemény az Ügyfél Ügyféladatait érinti; minden gyanút indokolatlan késedelem nélkül kivizsgálunk. Ugyanez vonatkozik egy további adatfeldolgozónál bekövetkezett incidensre is, amint arról értesít minket.

(2) Az értesítés – amennyiben ismertek – tartalmazza az Art. 33(3) GDPR szerinti információkat: az incidens jellegét, ideértve bekövetkezésének időpontját vagy időszakát, lehetőség szerint az érintettek és az érintett adatrekordok kategóriáit és hozzávetőleges számát, a további tájékoztatást nyújtó kapcsolattartási pontot, a valószínű következményeket, valamint a megtett vagy tervezett intézkedéseket. Ami az első értesítés időpontjában még nem ismert, azt további indokolatlan késedelem nélkül pótoljuk.

(3) Haladéktalanul megtesszük az incidens orvoslásához és következményeinek enyhítéséhez szükséges intézkedéseket, és a további lépéseket egyeztetjük az Ügyféllel. Minden incidenst dokumentálunk a tényekkel, a hatásaival és a megtett orvosló intézkedésekkel együtt, és a dokumentációt kérésre az Ügyfél rendelkezésére bocsátjuk.

(4) A felügyeleti hatóság értesítését vagy az érintettek tájékoztatását az Ügyfél végzi. Mi ezt csak az ő utasítására tesszük.

(5) A harmadik felek által a Szolgáltatásban talált biztonsági rések bejelentéseit a Biztonság oldalon fogadjuk.

(6) Az e szakasz szerinti értesítés és együttműködésünk nem jelenti kötelezettségszegés vagy felelősség elismerését. Ha egy incidens olyan adatokat is érint, amelyek tekintetében mi magunk vagyunk az adatkezelő, ezekre vonatkozóan saját, Art. 33 és 34 GDPR szerinti kötelezettségeinket teljesítjük; ennek során az Ügyfél Ügyféladatait csak annyiban fedjük fel, amennyiben ez e célhoz szükséges.

§ 14 Igazolás és auditok

(1) Az Ügyfél rendelkezésére bocsátunk minden olyan információt, amely az Art. 28 GDPR szerinti kötelezettségek teljesítésének igazolásához szükséges, és lehetővé tesszük és elősegítjük az Ügyfél vagy az általa megbízott ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is (Art. 28(3), második mondat, h) pont, GDPR).

(2) A megfelelést elsősorban dokumentumokkal igazoljuk: az intézkedések leírásával, a további adatfeldolgozók listájával, az ügyfelek megbízásából végzett adatkezelésre kiterjedő Adatkezelési tevékenységek nyilvántartásával (Art. 30(2) GDPR), kérdőívekre adott írásos válaszokkal, valamint kérésre naplókból vagy a visszaállítási teszt eredményeiből készült kivonatokkal. A kérdőívekre a beérkezéstől számított 30 napon belül válaszolunk, a (4) bekezdés szerinti ok fennállása esetén pedig olyan gyorsan, ahogyan az adott ok megköveteli. Külső auditjelentések vagy tanúsítások jelenleg nem állnak rendelkezésre; ezt azért közöljük, hogy senki ne feltételezze az ellenkezőjét.

(3) Ha a dokumentumok nem elegendők, az Ügyfél auditot kérhet, helyszínit is. Rendes auditot az Ügyfél legalább 30 nappal előre, szöveges formában jelent be, megadva annak tárgyát, várható időtartamát és az ellenőrt; az audit Lengyelországban szokásos munkaidőben zajlik, és úgy ütemezzük, hogy az üzemeltetést ne zavarja szükségtelenül. Rendes helyszíni auditra naptári évenként legfeljebb egyszer kerül sor; a (4) bekezdés nem érintett.

(4) Sürgős ok esetén nincs rögzített várakozási idő. Adatvédelmi incidens esetén, e Szerződés vagy a GDPR megsértésére utaló konkrét jelek esetén, valamint ha egy felügyeleti hatóság auditot kér, sem a 30 napos bejelentési határidő, sem az évi egy auditra vonatkozó korlát nem alkalmazandó. Az audit ilyenkor olyan hamar történik, amint az ok megköveteli, és amint az szervezésileg lehetséges.

(5) Az Ügyfél olyan titoktartásra kötelezett ellenőrt bízhat meg, aki nem kínál a(z) formexposed szolgáltatáshoz hasonló szolgáltatást, és nem is dolgozik ilyen szolgáltatónak. Megkövetelhetjük az ellenőröktől, hogy más ügyfelek titkait, bejelentkezési adatokat vagy biztonsági adatokat ne vigyenek el és ne rögzítsenek. Az Ügyfél és ellenőre bizalmasan kezeli mindazt, amit egy audit során üzemeltetésünkről megtud, és azt csak e Szerződés és a GDPR betartásának ellenőrzésére használja; az illetékes felügyeleti hatóságnak, titoktartásra kötelezett tanácsadóknak, valamint a jogszabály által előírt mértékben felfedheti. Az ilyen megállapodások nem hiúsíthatják meg a jogszabályi ellenőrzési jogokat.

(6) Az audit költségeit mindegyik fél maga viseli. Ha egy Ügyfél auditjaira és kérdőíveire fordított teljes ráfordításunk naptári évenként meghaladja a nyolc órát, az ezen felüli időért előre, szöveges formában közölt óradíj szerinti díjazást számíthatunk fel, kivéve, ha az audit a mi részünkről történt jogsértést tár fel, vagy olyan, a (4) bekezdés szerinti okból történik, amelyért mi felelünk. Magát az auditot nem tesszük függővé fizetéstől.

(7) A felügyeleti hatóságok hatáskörei nem érintettek. A ránk vonatkozóan illetékes felügyeleti hatóság a Személyes Adatok Védelmi Hivatalának Elnöke (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Mindkét fél kérésre az illetékes felügyeleti hatóság rendelkezésére bocsátja az e szakasz szerinti információkat, ideértve az auditok eredményeit is.

§ 15 Törlés és visszaadás

(1) A Szerződés időtartama alatt az 1. mellékletben szereplő megőrzési idők alkalmazandók. Ezeket egy éjszakai futtatás érvényesíti, amely ugyanazon beállítások szerint töröl, amelyek a szövegekben is szerepelnek.

(2) Választás a visszaadás és a törlés között. Az adatfeldolgozás befejezése után az Ügyfél dönt arról, hogy az Ügyféladatokat visszaadjuk vagy töröljük (Art. 28(3), második mondat, g) pont, GDPR). A visszaadás az adatexport útján történik, amelyet az Ügyfél a beállításokban géppel olvasható fájlként maga tölthet le, vagy szöveges formában benyújtott kérésre általunk 30 napon belül, amely esetben kiterjed az exportban nem szereplő Ügyféladatokra is, amennyiben azok visszaadhatók ((4) bekezdés). A törlés egy domain eltávolításával történik, amely törli annak adatait, vagy a fiók törlésével, amelyet az Ügyfél maga indít el. Ha az Ügyfél a visszaadást és a törlést is kéri, előbb letölti az exportot, majd töröl.

(3) Ha az Ügyfél nem választ, és törli a fiókját, ez a törlés választásának minősül. A fiók törlésekor azok a munkaterületek, amelyeknek az Ügyfél az egyedüli tulajdonosa, az éles rendszerben azonnal törlődnek az összes Ügyféladattal együtt. Ha egy munkaterületnek további tagjai vannak, az a legrégebben hozzá tartozó tagra száll át – az adminisztrátorok az olvasók előtt –, és nem törlődik; ezzel ez a tag lesz az adott munkaterület tekintetében az Ügyfél. Aki ezt nem szeretné, a törlés előtt eltávolítja a többi tagot vagy a domaineket. Ha a fiókra vonatkozó szerződés más módon szűnik meg, például a Szolgáltatási feltételek szerinti felmondásunkkal, a felmondási értesítéssel együtt felhívjuk az Ügyfél figyelmét az exportra, amelyet a szerződés megszűnéséig letölthet. Legkésőbb a szerződés megszűnését követő 30 napon belül töröljük a fiókot az Ügyféladatokkal együtt; ez jelenleg kézzel történik.

(4) Előre közöljük, mi nem adható vissza: a bejelentkezés mögötti ellenőrzés bejelentkezési adatai nem részei az exportnak, mert a webszerver nem tudja visszafejteni őket (1. melléklet, 5. pont); a kézbesítés-ellenőrzésből származó másolatok a feldolgozás után már nem léteznek; a „Fix it for me” funkcióból származó kódot egyáltalán nem tároljuk.

(5) Biztonsági mentések. Az adatbázisról minden éjjel biztonsági mentés készül. Minden mentés 14 nap után törlődik. Az éles rendszerben törölt Ügyféladatok addig a régebbi mentésekben megmaradnak; egy mentésen belül az egyes rekordokat nem töröljük szelektíven, mert a mentésnek egy időpont változatlan képének kell lennie. Lejártukig a mentések ugyanúgy védettek, mint maga az adatbázis, és csak visszaállításra és a visszaállítás tesztelésére használjuk őket; nem keresünk bennük és nem elemezzük őket. Ha egy mentést vissza kell állítanunk, a dátuma után beérkezett törlési kérelmeket – amennyiben tudunk róluk – a Szolgáltatás újraindítása előtt ismét végrehajtjuk. Egy rekord így legkésőbb 14 nappal az éles rendszerben történt törlése után a mentésekből is eltűnik.

(6) Jelenleg nem áll fenn az Ügyféladatok megőrzésére vonatkozó kötelezettségünk. Ha az uniós vagy a lengyel jog alapján jogszabályi megőrzési kötelezettség keletkezik, az érintett adatokat törlés helyett korlátozzuk, csak erre a célra használjuk, és a kötelezettség megszűnésekor töröljük.

(7) Kérésre a törlést 30 napon belül szöveges formában megerősítjük, megadva, mi létezik még az (5) és (6) bekezdés szerint, és meddig.

§ 16 Jogsértések, felfüggesztés és felmondás

(1) Ha bármilyen okból nem tudunk eleget tenni egy e Szerződés szerinti kötelezettségnek, erről indokolatlan késedelem nélkül tájékoztatjuk az Ügyfelet.

(2) Ha megsértjük e Szerződést vagy a GDPR-t, az Ügyfél követelheti, hogy az érintett Ügyféladatok feldolgozását a jogsértés orvoslásáig függesszük fel. Ha a jogsértés tartós vagy súlyos, az Ügyfél a Szolgáltatásra vonatkozó szerződést rendkívüli felmondással megszüntetheti, különösen akkor, ha a jogsértést az arról szóló értesítéstől számított egy hónapon belül nem orvosoljuk, vagy nem teszünk eleget egy rá vonatkozó bírósági vagy felügyeleti hatósági határozatnak. A szerződés megszűnését követő időszakra előre megfizetett díjakat időarányosan visszatérítjük.

(3) Ha az Ügyfél ragaszkodik egy olyan utasításhoz, amelyet a § 4(4) szerint jogellenesnek tartunk, az érintett szolgáltatásra vonatkozó szerződést felmondhatjuk, feltéve, hogy erről előzetesen értesítettük az Ügyfelet, és az egy hónapon belül nem módosítja az utasítást.

(4) A felmondás után a § 15 alkalmazandó.

§ 17 Felelősség

(1) Az érintettet ért károkra az Art. 82 GDPR alkalmazandó. Ezt a felelősséget semmilyen szerződéses felelősségkorlátozás, így a Szolgáltatási feltételekben foglalt sem korlátozza.

(2) Ha valamelyik fél az Art. 82 GDPR alapján kártérítést fizetett egy érintettnek, a másik féltől visszakövetelheti a kárért való felelősségében a másik félre eső résznek megfelelő összeget (Art. 82(4) és (5) GDPR). Ezt a visszkereseti jogot sem korlátozzák a Szolgáltatási feltételek felelősségkorlátozásai.

(3) Az Ügyfél és köztünk e Szerződés alapján fennálló minden egyéb igényre, például egy fél saját kárának vagy költségeinek megtérítésére, a jogszabály által megengedett mértékben a Szolgáltatási feltételek felelősségi szabályai alkalmazandók. A további adatfeldolgozókért a § 9(5) szerint úgy felelünk, mint saját magatartásunkért. A felügyeleti hatóság által valamelyik félre saját jogsértése miatt kiszabott bírságot az adott fél maga viseli.

(4) Ha egy érintett vagy egy felügyeleti hatóság igényt érvényesít valamelyik féllel szemben, az a fél indokolatlan késedelem nélkül tájékoztatja a másikat, és mindketten együttműködnek az ügy tisztázásában. Egyik fél sem ismer el a másik hozzájárulása nélkül olyan igényt, amelyért a másiktól visszkeresetet kíván érvényesíteni; a hozzájárulás objektív ok nélkül nem tagadható meg.

§ 18 Kapcsolattartási pont és adatvédelmi tisztviselő

(1) Az Ügyfél az e Szerződést érintő adatvédelmi kérdéseit, utasításait és értesítéseit a contact@lukaswojcik.com címre vagy a támogatási ablakon és a Kapcsolat oldalon keresztül küldi. Az e Szerződés szerinti értesítéseinket a fióktulajdonos e-mail-címére küldjük; az Ügyfél gondoskodik annak naprakészségéről.

(2) Adatvédelmi tisztviselőt nem jelöltünk ki, mert értékelésünk szerint az Art. 37(1) GDPR feltételei nem teljesülnek. Ha ez megváltozik, a kijelölést ebben a Szerződésben közöljük.

§ 19 Záró rendelkezések

(1) Elsőbbség. Ha a Szolgáltatási feltételek vagy más megállapodás valamely rendelkezése ellentétes e Szerződéssel, az Ügyféladatok feldolgozását érintő minden kérdésben e Szerződés az irányadó; az Ügyfél saját általános szerződési feltételei nem alkalmazandók. E Szerződés egyedi esetben történő módosításához és kiegészítéséhez szöveges forma szükséges, és ezeknek kifejezetten hivatkozniuk kell rá; e Szerződés részévé válnak, és rendelkezéseik terjedelmében elsőbbséget élveznek vele szemben. Ha e Szerződés a GDPR kógens rendelkezéseibe ütközik, ezek a rendelkezések az irányadók.

(2) Módosítások. E Szerződést csak a következő objektív okok egyike miatt módosítjuk: a jogszabályok vagy azok bíróságok és hatóságok általi értelmezésének változása, ideértve az Európai Bizottság új általános szerződési feltételeit is; a Szolgáltatás, funkciói vagy technikai alapjai változása; egy harmadik félnél bekövetkezett, a Szolgáltatás nyújtásához szükséges változás; visszaélések vagy biztonsági kockázatok megelőzése; vagy hibák és kétértelműségek kijavítása. A módosításokat a módosított szöveg, az ok és a tervezett időpont megjelölésével legalább 30 nappal előre jelentjük be a fióktulajdonos címére küldött e-mailben és a módosítások áttekintésében. E határidő nélkül csak azt módosítjuk, ami kizárólag az Ügyfél javára szolgál, pusztán nyelvi jellegű vagy nyilvánvaló hibát javít, amit jogszabály, bíróság vagy hatóság rövidebb határidővel ír elő, valamint ami közvetlen biztonsági kockázat elhárításához szükséges; ezekben az esetekben is a lehető leghamarabb közöljük a módosítást és annak okát. A hallgatás nem minősül hozzájárulásnak. Ha egy módosításhoz az Ügyfél hozzájárulása szükséges, azt kifejezetten kérjük be; ennek hiányában a korábbi változat marad hatályban, és a jogszabályi és szerződéses felmondási jogok fennmaradnak. Az Ügyfél a bejelentett módosítás ellen annak hatálybalépéséig szöveges formában kifogást emelhet; ennek következményeire a Szolgáltatási feltételeknek a módosítással szembeni kifogásra vonatkozó rendelkezései az irányadók. A 2. és 3. melléklet módosításaira a § 8(3), illetve a § 9(2) és (3) az irányadó. Valamennyi változatot A szerződési dokumentumok módosításai áttekintés rögzíti.

(3) Alkalmazandó jog és joghatóság. A Szolgáltatási feltételek által meghatározott jog alkalmazandó; a GDPR kógens rendelkezései nem érintettek. A joghatóságot a Szolgáltatási feltételek szabályozzák.

(4) Nyelv. A Szerződés az Európai Unió valamennyi hivatalos nyelvén elérhető. Eltérés esetén a lengyel nyelvű változat az irányadó.

(5) Ha egy rendelkezés érvénytelen, a Szerződés többi része érvényes marad. Az érvénytelen rendelkezés helyébe a céljához legközelebb álló jogszabályi rendelkezés lép; kétség esetén olyan rendelkezés, amely megfelel az Art. 28(3) GDPR követelményeinek.

1. melléklet – Az Ügyfél megbízásából végzett adatfeldolgozás

Ez a melléklet funkciónként írja le az adatfeldolgozás tárgyát, jellegét és célját, a személyes adatok típusait, az érintettek kategóriáit és a törlést (Art. 28(3), első mondat, GDPR). Eltérő rendelkezés hiányában az adatfeldolgozás jellege: gyűjtés, tárolás, lekérdezés, összehangolás, továbbítás az Ügyfél által meghatározott célpontokba és törlés. Az adatfeldolgozás helye saját szervereink Lengyelországban; ahol további adatfeldolgozó vesz részt, azt feltüntetjük. A kapcsos zárójelben szereplő időtartamok olyan beállítások, amelyek szerint az éjszakai törlési futtatás ténylegesen működik. Az adatfeldolgozás időtartama e Szerződés időtartama (§ 3); ezen belül az egyes funkcióknál megadott törlési határidők alkalmazandók. Az adatfeldolgozás folyamatosan zajlik, amíg az Ügyfél a funkciót használja. A személyes adatok különleges kategóriái nem tárgyai az adatfeldolgozásnak; ha mégis bekerülnek a Szolgáltatásba űrlap-e-maileken keresztül, a § 6(4) alkalmazandó.

1. Kézbesítés-ellenőrzés

Cél: annak ellenőrzése, hogy az Ügyfél űrlapjáról érkező e-mailek megérkeznek-e, és hitelesek-e (SPF, DKIM, DMARC).

Működése: a funkció opcionális. Az Ügyfél egy ellenőrző postafiók címét titkos másolatként (Bcc) adja meg az űrlapjában. Ennek következtében minden űrlap-e-mail másolata hozzánk érkezik, nem csak tesztbeküldéseink másolatai, hanem a látogatóitól érkező valódi megkeresések másolatai is. Egy automatikus lekérés IMAP-on keresztül beolvassa a fejléceket és legfeljebb a szöveg első 8 KB-ját, hozzárendeli az e-mailt a domainhez és adott esetben egy tesztbeküldéshez, és ellenőrzi a hitelességi jellemzőket. Sikeres feldolgozás után az e-mail törlődik a postafiókból. Lekérési vagy törlési hiba esetén a következő sikeres futtatásig a postafiókban maradhat.

Adatok: az űrlap-e-mailek tartalma és fejlécei mindazzal, amit a látogatók megadnak, például név, e-mail-cím, telefonszám és üzenet, valamint a feladó és a címzett címe és az érintett levelezőszerverekre vonatkozó technikai információk.

Érintettek: az Ügyfél weboldalának látogatói, akik elküldik az űrlapot; az űrlap-e-mailek címzettjei az Ügyfélnél.

Tárolás és törlés: az adatbázisban csak az időpont, a domainhez való hozzárendelés, adott esetben a tesztbeküldés azonosítója és a hitelességi ellenőrzés eredményei tárolódnak. Az időpontot és a hozzárendelést 180 napig őrizzük meg; a hitelességi ellenőrzés legutóbbi eredménye a domainnél marad, amíg a következő e-mail fel nem váltja, vagy a domaint nem törlik. A hitelességi ellenőrzés eredménye tartalmazza a kézbesítő levelezőszerver IP-címét és a feladócím domainjét; egy riasztás csak akkor nevezi meg ezt a domaint, ha az nem a weboldalhoz tartozik. A látogatók által küldött tartalom és a teljes feladócímek nem tárolódnak az adatbázisban. Magát az e-mailt a sikeres feldolgozás után, illetve lekérési vagy törlési hiba esetén késleltetve töröljük a postafiókból.

Közreműködők: a levelezési szolgáltató (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) a postafiókhoz; a másolatok közvetlenül domainünk MX-rekordjain keresztül jutnak el hozzá, nem továbbítással, lásd További adatfeldolgozók.

Korlát: az egyezés csak azt erősíti meg, hogy a megfelelő másolat megérkezett az ellenőrző postafiókba, nem pedig azt, hogy a tényleges címzett megkapta, vagy hogy bekerült egy CRM-be. Ellenőrző postafiók nélkül a funkció nem érhető el. A másolatok nem tartalmazhatják a személyes adatok különleges kategóriáit (§ 6(4)).

2. Ügyfélportál és havi jelentés az előfizetőknek

Cél: egy weboldal űrlapjairól szóló havi jelentés küldése az Ügyfél megbízásából, jellemzően egy ügynökség részéről saját ügyfelei számára, valamint ezeket a jelentéseket tartalmazó portál biztosítása.

Adatok: e-mail-cím, nyelv, a feliratkozás időpontja és IP-címe, a megerősítés (double opt-in) és a leiratkozás időpontja; a jelentés tartalma (domain, ellenőrzési eredmények, számadatok).

Érintettek: az Ügyfél ügyfelei és kapcsolattartói, akik feliratkoznak a jelentésre.

Törlés: a meg nem erősített feliratkozások 30 nap után. Leiratkozás után a feliratkozásról, a megerősítésről és a leiratkozásról szóló nyilvántartást három évig megőrizzük, hogy az Ügyfél igazolni tudja a hozzájárulást. Legkésőbb a munkaterülettel együtt minden törlődik; egy portál visszavonása önmagában nem törli annak előfizetőit.

Közreműködők: a levelezési szolgáltató (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) a küldéshez.

3. Riasztások, jelentések és incidensek

Cél: riasztások, összefoglalók és jelentések kézbesítése az Ügyfél által beállított célpontokba, valamint az incidensek kezelése.

Adatok: e-mail-címek, webhookok és csevegőcsatornák címei, egy Telegram-csevegés azonosítója, miután a címzett összekapcsolta; az értesítések tartalma (domain, esemény, időpont, hivatkozás a Szolgáltatásba, ellenőrzési riasztásoknál a jelentés hivatkozása, amelyen keresztül az eredmények és a képernyőképek bejelentkezés nélkül elérhetők; a Telegram a jelentés hivatkozása helyett csak a fiókban lévő domainoldal hivatkozását kapja, amelyhez bejelentkezés szükséges); küldési napló; eszkalációs kézbesítési kísérletek incidensenként és célpontonként (szám, időpontok, eredmény, hiba); az incidenst nyugtázó személy neve vagy e-mail-címe, valamint a felelős személy a határidővel.

Érintettek: az Ügyfél munkavállalói és szolgáltatói, akik riasztásokat kapnak vagy incidenseket kezelnek.

Törlés: a célpontok addig, amíg az Ügyfél el nem távolítja őket vagy nem törli a domaint; a küldési napló 90 nap után; az összegyűjtött értesítések a küldés után 30 nappal; az incidensek a megoldatlanság idejére és a megoldás után 180 napig, eszkalációs kézbesítési kísérleteikkel együtt.

Közreműködők: a levelezési szolgáltató (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) az e-mailekhez; csevegőszolgáltatások és webhookok esetében az Ügyfél által választott szolgáltatók (§ 9(6)).

4. Az Ügyfél weboldalainak ellenőrzése: véletlenül látható személyek

Cél: az űrlapok és védelmük ellenőrzése és felügyelete az Ügyfél azon domainjein, amelyekre igazolta a rendelkezést. Amíg egy domainre nincs igazolás, csak passzívan ellenőrizzük, és ezen ellenőrzések tekintetében mi magunk vagyunk az adatkezelő; ezt az Adatvédelmi tájékoztató írja le.

Adatok: egy ellenőrzés beolvassa a domain nyilvános oldalait: az oldalak címét, az űrlapok felépítését (mezőnevek, típusok, címkék, kötelező és láthatósági attribútumok, értékek nélkül; az előre kitöltött rejtett mezők és a data-attribútumok elejét a szkenner csak az ellenőrzés során olvassa be, és nem tárolja), a beágyazott szkripteket, a védelmi intézkedéseket. Képernyőképeket készít a kezdőlap és az űrlapok látható területéről, aktív tesztbeküldéseknél a válaszoldalról is; ezeket nem takarjuk ki. Ezek és a beolvasott oldaltartalom tartalmazhatnak olyan személyes adatokat, amelyeket maga az Ügyfél tesz közzé, például kapcsolattartók nevét és elérhetőségeit, fényképeket vagy értékeléseket. Az űrlapok címzettcímeit csak domainként tároljuk. A Szolgáltatás minden ellenőrzésről véletlenszerű hivatkozás alatt jelentést készít, amelyen keresztül az eredmények és a képernyőképek az ellenőrzés törléséig bejelentkezés nélkül elérhetők; a hivatkozás a fiókban és a riasztásokban (3. pont) jelenik meg. Aki továbbadja a hivatkozást, a jelentést adja tovább.

Érintettek: azok a személyek, akiknek az adatai láthatók az Ügyfél weboldalán.

Törlés: az ellenőrzési eredményeket a képernyőképekkel együtt legfeljebb 13 hónapig őrizzük meg; a legutóbbi ellenőrzést mindaddig megtartjuk, amíg a domain a fiókban szerepel. A domain eltávolításakor töröljük a domain adatait, beleértve az ellenőrzéseket, megállapításokat és képernyőképeket.

Megjegyzés: saját szerverünkön működő nyelvi modell segít besorolni azokat az űrlapokat, amelyek rendeltetését a szabályok önmagukban nem ismerik fel. Az így besorolt űrlapokat soha nem küldjük be, és azok nem számítanak bele a pontszámba vagy a minősítésbe. Az aktív tesztbeküldések (ellenőrzésenként legfeljebb öt) kizárólag megjelölt tesztszövegeket tartalmaznak, személyes adatok nélkül.

5. Tesztfiók bejelentkezési adatai a bejelentkezés mögötti vizsgálathoz

Cél: űrlapok olvasása az Ügyfél által megadott, bejelentkezés mögötti legfeljebb öt oldalon. Kizárólag igazolt domainekhez, kizárólag a munkaterület tulajdonosai és adminisztrátorai által, kizárólag díjköteles csomagokban. A tesztfiókot csak a teljes ellenőrzés használja, a böngészős ellenőrzések nem (6. pont).

Adatok: a tesztfiók bejelentkezési címe, felhasználóneve és jelszava, a bejelentkezési mezőkre vonatkozó információk; mindaz, ami e fiókkal az olvasott oldalakon látható, amennyiben az űrlapok szerkezetét érinti.

Érintettek: az a személy, akinek a nevén a tesztfiók szerepel, ha azt személyhez rendelték; azok a személyek, akiknek adatai a tesztfiókban láthatók.

Védelem: a felhasználónevet és a jelszót a webszerveren a vizsgálati szerver nyilvános kulcsával titkosítjuk, és a domainhez kötjük. Kizárólag a vizsgálati szerver tudja visszafejteni őket a vizsgálat során; a webszerver, az adatbázis és a biztonsági mentések csak titkosított szöveget tartalmaznak. A bejelentkezési adatokat soha nem jelenítjük meg, nem naplózzuk, és az interfészen keresztül sem adjuk ki; a felhasználói felület csak a felhasználónév első karakterét és hosszát mutatja. Bejelentkezés mögött semmit nem küldünk be, nem végzünk aktív tesztet, és nem készítünk képernyőképet; a kijelentkezési, törlési vagy lemondási oldalakat nem látogatjuk meg.

Törlés: amíg az Ügyfél el nem távolítja a bejelentkezési adatokat vagy nem törli a domaint; az eltávolítás felülírja a titkosított szöveget, és törli a függőben lévő feladatokat. Az egyedi vizsgálati feladathoz csatolt másolatot a futás után töröljük, az esetleges maradványokat legkésőbb egy óra elteltével.

6. Űrlapfolyamatok és böngészős ellenőrzések

Cél: annak ismétlődő ellenőrzése, hogy a beállított űrlapok valódi böngészőben működnek-e a beküldés előtti pontig.

Adatok: űrlapcímek, szelektorok, megelőző kattintások és ellenőrzési lépések, böngészőválasztás, felelős személy és határidő; eredmények állapottal, műszaki hibakategóriákkal, megtisztított hibaüzenetekkel, időmérésekkel és az űrlap olyan képernyőképével, amelyen a beviteli mezők ki vannak takarva. Személyes vonatkozás főként a felelős személyen és azon tartalmon keresztül keletkezik, amelyet maga az Ügyfél ír a lépésekbe vagy címkékbe.

Érintettek: az Ügyfél azon munkavállalói, akikhez űrlapokat rendeltek.

Törlés: a konfigurációk a domain törléséig maradnak meg; az Ügyfél egyenként módosíthatja vagy kikapcsolhatja őket, de jelenleg egyenként nem távolíthatja el őket. Az eredményeket 13 hónap után töröljük.

Korlátozás: a böngészős ellenőrzések semmit nem küldenek be. A Szolgáltatásban elő van irányozva egy független második próba, de jelenleg nincs beállítva; enélkül nincs második helyszínről származó megerősítés. Ha harmadik félnél állítják be, a 9. § alkalmazandó.

7. „Fix it for me”

Cél: védelmi összetevő beillesztése az Ügyfél által bemásolt űrlapkódba.

Adatok: a beillesztett kód, ha személyes adatokat tartalmaz, például megjegyzésekben, mintaértékekben vagy a kódba írt címekben.

Érintettek: azok a személyek, akiknek adatai a kódban szerepelnek.

Adatkezelés és törlés: az összetevőt saját szerverünkön működő nyelvi modell illeszti be. A kódot csak a kérés időtartama alatt kezeljük, és nem tároljuk. A Szolgáltatás az Ügyfél rendszereihez tartozó bejelentkezési adatok nélkül működik, és semmit nem telepít a szervereire.

8. Saját arculat (white-label)

Cél: az Ügyfél márkájának megjelenítése a jelentéseken és az ügyfélportálon.

Adatok: cégnév, webhely, elérhetőségek és logó, adott esetben kapcsolattartó neve és elérhetőségei.

Érintettek: az Ügyfél kapcsolattartói.

Törlés: amíg az Ügyfél nem módosítja vagy törli az adatokat, legkésőbb a munkaterülettel együtt.

9. Kiegészítő, személyes vonatkozás nélküli számadatok

A WordPress-bővítmény opcionális űrlap- és mezőhiba-számadatai nem tartalmaznak beviteli adatot, mezőnevet vagy látogatói azonosítót, és 13 hónapig őrizzük meg őket. Az űrlapfolyamatok rögzítője a lépéseket legfeljebb 15 percig tartja az Ügyfél böngészőjében; a helyi napi számlálók legfeljebb 14 napig maradnak a webhelyén. A teljesség érdekében soroljuk fel őket; kialakításukból következően nem minősülnek Ügyféladatnak.

10. Űrlapvédelem (formconfirmed)

Ez a pont csak akkor alkalmazandó, ha az Ügyfél bekapcsolja az űrlapvédelmet (Szolgáltatási feltételek 5.7. pont).

Cél: az Ügyfél webhelyein található űrlapokon keresztül érkező beküldések értékelése az automatizált beküldések felismerése érdekében.

Működés: Védett űrlapot tartalmazó oldal megnyitásakor a látogató böngészőjében futó szkript aláírt feladatot kér le a szerverünkről, és megoldja azt (számítási bizonyíték). Beküldéskor az Ügyfél szervere az eredményt ellenőrző interfészünk elé terjeszti. Ellenőrizzük az ellenőrző token aláírását, korát, egyszeri felhasználását és domainjét, valamint további jelzéseket, például a kitöltési időt, egy láthatatlan csapdamezőt és az ugyanarról a csonkított címről érkező halmozott kéréseket. Ha az Ügyfél bekapcsolja a tartalomellenőrzést, egy nyelvi modell értékeli az üzenet szövegét, amelyet az Ügyfél szervere megküld. Válaszként pontszámot adunk vissza javasolt művelettel és indokokkal; arról, hogy mi történik a beküldéssel, az Ügyfél dönt. Nincsenek sütik, nincs tárolás a böngészőben, és nincs eszközujjlenyomat.

Adatok: a látogató IP-címe a feladat lekérésekor és az ellenőrzéskor, az oldal címe és domainje, időpontok és kitöltési idő, kitöltötték-e a csapdamezőt, böngészőazonosító a webszerver-naplóban; csak bekapcsolt tartalomellenőrzés esetén az üzenet szövege.

Érintettek: az Ügyfél webhelyeinek azon látogatói, akik védett űrlapot tartalmazó oldalt nyitnak meg, vagy ilyen űrlapot küldenek be.

Tárolás és törlés: az IP-címet csak csonkítva (IPv4 az utolsó bájt nélkül, IPv6 az első 48 bit) és naponta változó kulccsal képzett hash-értékként tároljuk, egy óráig; a felhasznált ellenőrző tokeneket legfeljebb tizenegy percig; az IP-cím és szöveg nélküli ellenőrzési eredményeket (művelet, pontszám, indokok, domain, a tartalomellenőrzés kategóriája) 30 napig; a személyes vonatkozás nélküli napi számadatokat 400 napig; a webszerver-naplót 14 napig. Az üzenet szövegét kizárólag a memóriában kezeljük, és sem nem tároljuk, sem nem naplózzuk, sem tanításra nem használjuk.

Hol: saját szervereinken Lengyelországban, a nyelvi modell saját hardveren; további adatfeldolgozókat nem veszünk igénybe.

2. melléklet – Technikai és szervezési intézkedések

Az intézkedéseket a Technikai és szervezési intézkedések oldal határozza meg. Az oldal a mindenkor közzétett változatában e Megállapodás részét képezi; a módosításokra a 8(3). § vonatkozik.

3. melléklet – További adatfeldolgozók

Az engedélyezett további adatfeldolgozókat a További adatfeldolgozók oldal sorolja fel. Az oldal a mindenkor közzétett változatában e Megállapodás részét képezi; a módosításokra a 9(2). és (3). § vonatkozik.

Indítás előtt nyitott kérdés: a tervezett levelezési szolgáltató: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Az e felhasználásra vonatkozó adatfeldolgozási szerződést, az adatkezelés tényleges helyszíneit és az adattovábbítás megfelelő jogalapját még dokumentálni kell. Ez a változat nem igazol sem megkötött megállapodást, sem a Data Privacy Framework szerinti tanúsítást.

Verzió

2.2 verzió, 2026. október 29., a 2.1 verzió helyébe lép. Változás: új 10. pont az 1. mellékletben a formconfirmed űrlapvédelemről; csak akkor alkalmazandó, ha az Ügyfél bekapcsolja. Más rendelkezés nem változik.

2.1 verzió, 2026. október 22., a 2.0 verzió helyébe lép. Változás: eltérés esetén mostantól a német helyett a lengyel változat az irányadó; a Megállapodás az Európai Unió valamennyi hivatalos nyelvén elérhető (nyelvi kikötés). Más rendelkezés nem változik.

2.0 verzió, 2026. október 11., a 2026. október 9-i változat helyébe lép. Változások: a GDPR 28(3). cikkét követő szerkezet a 2021/915 szerinti általános szerződési feltételekre való hivatkozással; az 1. melléklet minden funkcióra teljes körű, immár tartalmazza a bejelentkezés mögötti vizsgálat bejelentkezési adatait, az űrlapfolyamatokat és a kézbesítési ellenőrzés korlátait; a technikai és szervezési intézkedések, valamint a további adatfeldolgozók jegyzéke külön oldalakon szerepelnek, és 2. és 3. mellékletként a Megállapodás részét képezik; választás a visszaadás és a törlés között, lejáró biztonsági mentések és a törlési kérelmek ismételt végrehajtása, sürgős auditokhoz nincs rögzített várakozási idő, a további adatfeldolgozókért saját magatartásunkkal azonos felelősség.