Adatfeldolgozási megállapodás.

01 · SZAKASZ

Jelen Adatfeldolgozási Megállapodás (a továbbiakban: DPA) az Általános Szerződési Feltételek (ÁSZF) elválaszthatatlan mellékletét képezi, és a GDPR (az (EU) 2016/679 rendelet) 28. cikk (3) bekezdése szerinti adatfeldolgozási szerződésnek minősül. Az ÁSZF elfogadásával a Felhasználó jelen DPA-t is elfogadja; külön aláírás nem szükséges.

• Adatkezelő: a Felhasználó — aki a VibeSite platformon létrehozott weboldalán, webshopjában, blogján, naptárfoglalójában vagy összekapcsolt e-mail-fiókjában harmadik személyek (pl. saját vevői, vendégei, levelezőpartnerei) személyes adatait kezeli.
• Adatfeldolgozó: GVNETWORK AC Kft. (székhely: 2337 Délegyháza, Csóka tanya 11.; cégjegyzékszám: 13-09-235245; adószám: 32607967-2-13) — VibeSite.

A Felhasználó saját (fiók-) adatainak kezelésére nem jelen DPA, hanem az Adatkezelési Tájékoztató irányadó, amelyben a Szolgáltató önálló adatkezelőként jár el.

02 · SZAKASZ

• Tárgya: a Felhasználó által a platformon üzemeltetett weboldal, webshop, blog, naptárfoglaló és AI e-mail-válaszoló működtetéséhez szükséges technikai adatfeldolgozás (tárolás, megjelenítés, továbbítás, válaszjavaslat-generálás).
• Időtartama: az előfizetői szerződés fennállásának időtartama.
• Jellege és célja: a szolgáltatás nyújtása a Felhasználó utasításai szerint; az Adatfeldolgozó az adatokat saját céljára nem használja fel.
• Érintettek kategóriái: a Felhasználó weboldalának látogatói, webshopjának vevői, foglalást leadó vendégei, levelezőpartnerei, hírlevél-feliratkozói.
• Adatok kategóriái: név, e-mail-cím, telefonszám, szállítási/számlázási adatok, foglalási adatok, üzenetek és levéltartalom, a Felhasználó által rögzített egyéb adatok. Különleges adatkategóriák (GDPR 9. cikk) kezelése a platformon nem megengedett.

03 · SZAKASZ

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli — ideértve a harmadik országba történő továbbítást is —, kivéve, ha az adatkezelést uniós vagy tagállami jog írja elő; ez utóbbi esetben az Adatfeldolgozó az Adatkezelőt az adatkezelést megelőzően értesíti, kivéve, ha az értesítést az adott jog fontos közérdekből tiltja.

Dokumentált utasításnak minősül: az ÁSZF, jelen DPA, valamint a Felhasználó által a platform felületén elvégzett beállítások és kezdeményezett műveletek.

Ha az Adatfeldolgozó megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt, erről az Adatkezelőt haladéktalanul tájékoztatja.

04 · SZAKASZ

Titoktartás: az Adatfeldolgozó biztosítja, hogy a személyes adatokhoz hozzáféréssel rendelkező személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak.

Biztonsági intézkedések: az Adatfeldolgozó a tudomány és technológia állása, a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a kockázatok figyelembevételével megfelelő technikai és szervezési intézkedéseket alkalmaz, így különösen:

• titkosítás az adatátvitel során (TLS 1.3, HSTS) és nyugalmi állapotban (AES-256);
• szerepkör-alapú, naplózott hozzáférés-kezelés (RBAC), a legkisebb jogosultság elve;
• redundáns biztonsági mentések, rendszeres helyreállítási tesztek;
• hálózati védelem (WAF, bot-szűrés), folyamatos monitorozás;
• incidenskezelési eljárásrend.

05 · SZAKASZ

Az Adatkezelő általános írásbeli felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók igénybevételére. A mindenkori al-feldolgozók listáját az Adatkezelési Tájékoztató „Adatfeldolgozók és adattovábbítás" fejezete tartalmazza; a lista főbb elemei: Google LLC / Google Ireland Ltd. (infrastruktúra, AI), Cloudflare Inc. (CDN, biztonság), Stripe Payments Europe Ltd. (fizetés), Brevo — Sendinblue SAS (e-mail-küldés), KBOSS.hu Kft. (számlázás).

Változás: az al-feldolgozói kör tervezett változásáról az Adatfeldolgozó a Felhasználót e-mailben előzetesen tájékoztatja. A Felhasználó a változás ellen 15 napon belül kifogást emelhet; kifogás esetén — ha megoldás nem található — a Felhasználó a szerződést hátrányos jogkövetkezmény nélkül felmondhatja.

Az Adatfeldolgozó az al-feldolgozókkal szemben a jelen DPA-ban foglaltakkal legalább egyenértékű adatvédelmi kötelezettségeket érvényesít, és teljes felelősséggel tartozik az al-feldolgozók teljesítéséért.

06 · SZAKASZ

Egyes al-feldolgozók az Európai Gazdasági Térségen kívül (elsősorban az Amerikai Egyesült Államokban) is kezelhetnek adatokat. Az adattovábbítás jogalapja az EU–US Data Privacy Framework megfelelőségi határozat, ennek hiányában az Európai Bizottság által elfogadott általános szerződési feltételek (SCC), szükség szerint kiegészítő intézkedésekkel.

07 · SZAKASZ

Az Adatfeldolgozó — az adatkezelés jellegének figyelembevételével, megfelelő technikai és szervezési intézkedésekkel — segíti az Adatkezelőt:

• az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) gyakorlásával kapcsolatos kérelmek megválaszolásában; ha érintetti kérelem közvetlenül az Adatfeldolgozóhoz érkezik, azt haladéktalanul továbbítja az Adatkezelőnek;
• a GDPR 32–36. cikke szerinti kötelezettségek (adatbiztonság, incidensbejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében.

Incidens: az Adatfeldolgozó a tudomására jutott, a Felhasználó által kezelt adatokat érintő adatvédelmi incidensről az Adatkezelőt indokolatlan késedelem nélkül értesíti, megadva az incidens jellegét, az érintettek és adatok körét, a valószínűsíthető következményeket és a megtett intézkedéseket.

08 · SZAKASZ

A szerződés megszűnésekor: az Adatfeldolgozó — az Adatkezelő választása szerint — a személyes adatokat visszaadja (a platformról exportálható formában) vagy törli, és a meglévő másolatokat is törli, kivéve, ha uniós vagy tagállami jog az adatok tárolását előírja. Rendelkezés hiányában az adatok a fiók törlését követő 30 nap elteltével véglegesen törlésre kerülnek.

Ellenőrzés: az Adatfeldolgozó az Adatkezelő rendelkezésére bocsátja mindazon információkat, amelyek a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükségesek, továbbá lehetővé teszi és elősegíti az Adatkezelő vagy az általa megbízott ellenőr által végzett auditokat. Az audit a szolgáltatás működését aránytalanul nem zavarhatja, üzleti titkot nem sérthet, és — jogszabály eltérő rendelkezése hiányában — évente egyszer, előzetes, legalább 15 napos írásbeli értesítéssel gyakorolható; első lépésben az Adatfeldolgozó írásbeli tájékoztatással és dokumentációval teljesít.

09 · SZAKASZ

Felelősség: a felek felelősségére a GDPR 82. cikke irányadó. Az Adatfeldolgozó az adatkezelés Adatkezelő általi jogszerűségéért (jogalap, tájékoztatás, saját adatkezelési dokumentumok) nem felel; ezek biztosítása — ideértve a Felhasználó saját weboldalán közzéteendő adatkezelési tájékoztatót — az Adatkezelő kötelezettsége.

Irányadó jog: a magyar jog és a GDPR. Jelen DPA az ÁSZF részeként, azzal együtt módosul; eltérés esetén adatvédelmi kérdésekben a DPA rendelkezései irányadók.

Hatályos: 2026. július 7-től. Verzió: 1.0.