Adatfeldolgozási megállapodás

Létrejött a szervezet között, amely valamelyik termékünket a saját munkatársaira használja (az Ügyfél, adatkezelő), és a Human Hygiene Kft. között (székhely: 1163 Budapest, Datolya utca 40.; cégjegyzékszám: 01-09-464537, Fővárosi Törvényszék Cégbírósága; közösségi adószám: HU12087783), amely a mixtape.works-öt üzemelteti (mi, adatfeldolgozó). 1.0-s változat, hatályos 2026. szeptember 21-től. A Felhasználási feltételek része.

A Voksra és a Dayrule-ra vonatkozik: azokra a személyes adatokra, amelyeket az Ügyfél a munkatársairól ezekbe felvisz (Ügyféladatok). Azokra az adatokra, amelyeknek mi magunk vagyunk az adatkezelői — a mixtape fiókod és az oldalaink látogatói —, az adatkezelési tájékoztató vonatkozik. Adatvédelmi kérdésekben ez a megállapodás elsőbbséget élvez a Felhasználási feltételekkel szemben.

Az Ügyfél akkor fogadja el, amikor valaki a nevében munkahelyet (Voks) vagy cégfiókot (Dayrule) hoz létre; ezzel az illető kijelenti, hogy erre jogosult. Aláírt példányt a [email protected] címen lehet kérni.

1. Szerepek

1.1 Az Ügyféladatok tekintetében az Ügyfél az adatkezelő, mi pedig az adatfeldolgozó, az (EU) 2016/679 rendelet (GDPR) 28. cikke szerint. A GDPR-ban meghatározott fogalmak itt is ugyanazt jelentik.

1.2 Az Ügyfél dönti el, kit hív meg vagy vesz fel, mit rögzít, és ki milyen szerepkört kap, és ahol a termékben van ilyen, ő állítja be a megőrzési időt. Ő felel azért, hogy az adatkezelésnek jogalapja legyen — különleges adat rögzítésekor (a Dayrule-ban: gyermek fogyatékossága, betegszabadság) a 9. cikk szerinti feltétel is —, és hogy a munkatársait tájékoztassa.

2. Utasítások

2.1 Az Ügyféladatokat kizárólag az Ügyfél dokumentált utasításai alapján kezeljük: ez a megállapodás, a Felhasználási feltételek, az Ügyfél beállításai és a termék használata, valamint a [email protected] címre küldött írásbeli kérések. Ha uniós vagy tagállami jog mást ír elő, erről előzetesen tájékoztatjuk az Ügyfelet, kivéve, ha az a jog ezt tiltja.

2.2 Haladéktalanul jelezzük az Ügyfélnek, ha megítélésünk szerint egy utasítás adatvédelmi jogszabályba ütközik.

3. Titoktartás

Mindenki, akit az Ügyféladatok kezelésére feljogosítunk, szerződés vagy jogszabály alapján titoktartásra kötelezett. Az adatokhoz csak a mixtape.works szolgáltatást üzemeltető alapítói férnek hozzá.

4. Biztonság

4.1 A 2. mellékletben felsorolt technikai és szervezési intézkedéseket alkalmazzuk, amelyek a kockázattal arányos biztonsági szintet szolgálják (GDPR 32. cikk).

4.2 Ezeket módosíthatjuk, ha a biztonság szintje nem csökken.

5. További adatfeldolgozók

5.1 Az Ügyfél engedélyezi a 3. mellékletben felsorolt további adatfeldolgozók igénybevételét.

5.2 Új további adatfeldolgozó bevonása vagy csere előtt legalább 30 nappal értesítjük az Ügyfelet, ezen az oldalon és e-mailben arra a címre, amellyel a munkahelyet vagy cégfiókot létrehozták. Az Ügyfél ezen belül észszerű adatvédelmi indokkal tiltakozhat; ha a tiltakozást nem tudjuk rendezni, az Ügyfél kötbér nélkül abbahagyhatja a termék használatát.

5.3 Minden további adatfeldolgozóra szerződésben a jelen megállapodással lényegében azonos adatvédelmi kötelezettségeket rovunk, és teljesítésükért az Ügyféllel szemben felelünk.

6. Adattovábbítás az EGT-n kívülre

Ügyféladatot az Európai Gazdasági Térségen kívülre csak a 3. mellékletben szereplő további adatfeldolgozóknak továbbítunk, és csak megfelelőségi határozat (ideértve az EU–USA adatvédelmi keretet, ha az adatfeldolgozó abban tanúsított) vagy az Európai Bizottság általános adatvédelmi kikötései (GDPR 46. cikk) alapján.

7. Segítség az Ügyfélnek

7.1 Az érintettek jogai. Az adatkezelés jellegét figyelembe véve segítünk az Ügyfélnek megválaszolni a munkatársai joggyakorlási kérelmeit. A Voks ötletfalán a névtelen bejegyzések szándékosan nem kapcsolódnak senkihez: sem az Ügyfél, sem mi nem tudjuk őket megtalálni, kiadni vagy törölni egy megnevezett személy „számára”. Ami személyhez kapcsolódik — neve, címe, szerepköre, szavazatai és bejelentései —, az igen.

7.2 Egyéb kötelezettségek. Segítünk az Ügyfélnek a GDPR 32–36. cikke szerinti kötelezettségeiben (biztonság, adatvédelmi incidens bejelentése, hatásvizsgálat, előzetes konzultáció), az adatkezelés jellegét és a rendelkezésünkre álló információkat figyelembe véve.

8. Adatvédelmi incidensek

8.1 Az Ügyféladatokat érintő adatvédelmi incidensről indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesítjük az Ügyfelet attól számítva, hogy tudomást szereztünk róla.

8.2 Az értesítés — amennyire akkor ismert — leírja az incidens jellegét, az érintett személyek és rekordok kategóriáit és hozzávetőleges számát, a valószínű következményeket, valamint a megtett vagy tervezett intézkedéseket. Ami még nem ismert, azt amint lehet, pótoljuk.

9. Ha az Ügyfél abbahagyja

Ha az Ügyfél abbahagyja egy termék használatát, az abban lévő Ügyféladatait 30 napon belül töröljük, a biztonsági mentésekből pedig azok lejártával (legfeljebb 14 napig őrizzük őket), kivéve, ha uniós vagy tagállami jog a megőrzést írja elő. Törlés előtt, az Ügyfél kérésére, exportot adunk: a falakat CSV-ben (Voks), illetve a munkatársakat és a távolléteket CSV-ben (Dayrule).

10. Tájékoztatás és ellenőrzés

Rendelkezésre bocsátjuk a GDPR 28. cikkének való megfelelés igazolásához szükséges információkat, és lehetővé tesszük az Ügyfél vagy megbízott auditora által végzett ellenőrzéseket, ideértve a helyszíni vizsgálatot is, észszerű előzetes értesítés mellett, az Ügyfél költségére. Egy termék adatbázissémája és a 2. mellékletben ígérteket kikényszerítő automatikus tesztek kérésre elérhetők.

11. Felelősség

A felek jelen megállapodás szerinti felelősségére a Felhasználási feltételek korlátozásai irányadók, kivéve, ha azokat az adatvédelmi jog nem engedi. Semmi nem érinti az érintettek törvényes jogait és a felügyeleti hatóság hatásköreit.

12. Időtartam, irányadó jog és nyelv

Ez a megállapodás addig hatályos, ameddig Ügyféladatot kezelünk. A magyar jog irányadó rá, a vitákban a székhelyünk szerint illetékes magyar bíróság jogosult eljárni. Angol nyelven készült, és az angol változat az irányadó; a magyar szöveg fordítás.

1. melléklet — Az adatkezelés

Tárgy és időtartam. A termék nyújtása az Ügyfélnek, ameddig használja, és a 9. pont szerinti 30 nap.

Voks

Jellege és célja. Két fal az Ügyfél munkatársainak, egy irodai QR-kódon keresztül: egy ötletfal, ahol a problémák névtelenül, a javításukkal együtt kerülnek fel, és havi pontkeretből kapnak rangsort, és egy vezetői üzenőfal, ahol a vezetők saját nevük alatt írnak; valamint az Ügyfél munkahelyének működtetése — munkatársak meghívása, szerepkörök, moderálás —, amit az Ügyfél tulajdonosa a saját konzoljáról, mi pedig az Ügyfél kérésére végzünk.

Érintettek. Az Ügyfél munkavállalói és az általa meghívott egyéb munkatársak, ideértve a vezetőket és a moderátorokat, valamint az Ügyfél tulajdonosa.

Amit nem gyűjtünk. IP-címet, böngésző- vagy eszközazonosítót, helyadatot, kérésnaplót nem, és semmit, ami egy ötletfal-bejegyzést a szerzőjéhez kötne: a névtelen bejegyzés egy véletlen, eszközönkénti tokennel tárolódik, amely maga sem kapcsolódik senkihez.

Szabad szöveg. Egy bejegyzésbe bárki bármit írhat — a termék céljával ellentétben akár egészségi állapotra, meggyőződésre vagy más különleges adatra, illetve megnevezett személyekre vonatkozót is. Az Ügyfél tulajdonosa és moderátorai az ilyen bejegyzést elrejthetik; a tulajdonos törölheti is, mi pedig az Ügyfél kérésére töröljük.

Megőrzés. A bejegyzések automatikusan törlődnek, ha régebbiek az Ügyfél által beállított megőrzési időnél (eltérő beállítás hiányában 12 hónap), a szavazataikkal és bejelentéseikkel együtt.

Dayrule

Jellege és célja. Az Ügyfél szabadság-nyilvántartása: a munkatársak szabadságot kérnek, egy vezető vagy tulajdonos dönt, az egyenlegek pedig annak az országnak a szabadságszabályai és munkaszüneti napjai szerint számolódnak, ahol az illető dolgozik; havi export a bérszámfejtéshez.

Érintettek. Az Ügyfél munkavállalói és az általa felvett egyéb munkatársak, vezetőik, az Ügyfél tulajdonosai, és — ahol a járandóság ezen múlik — a munkavállalók gyermekei.

Amit nem gyűjtünk. IP-címet, eszközazonosítót, kérésnaplót és analitikát nem.

Megőrzés. A kilépő munkatársakat nem töröljük, hogy a korábbi egyenlegek és bérexportok továbbra is kijöjjenek. Egy személyt vagy az Ügyfél teljes fiókját az Ügyfél kérésére töröljük.

2. melléklet — Technikai és szervezési intézkedések

Minden termékben

• Titkosítás továbbítás közben. Minden forgalom HTTPS-en (TLS) zajlik.
• Belépés. A mixtape fiókon keresztül (OpenID Connect, PKCE-vel; a tokeneket kriptográfiailag ellenőrizzük). A termékek nem tárolnak jelszót. A munkatársak egyszer használható linkkel jönnek be.
• Adattakarékosság. IP-címet, eszközazonosítót vagy kérésnaplót nem tárolunk és nem olvasunk; automatikus tesztek megállítják a kiadást, ha a kód olvasná.
• Elszigetelés. Minden termék saját konténerben fut, csak olvasható fájlrendszerrel, többletjogosultság nélkül, minden Linux-képesség elvételével, memória- és folyamatkorláttal.
• Nincs harmadik féltől származó kód a böngészőben. Sem analitika, sem hirdetés, sem külső szkript.
• Biztonsági mentés. Minden éjjel konzisztens pillanatkép minden termék adatbázisáról, 14 napig őrizve, ugyanazon a szerveren.
• Hozzáférés. Csak a szolgáltatást üzemeltető alapítóké.
• Incidensek. Az alapítók kezelik; az incidensekről a 8. pont szerint értesítünk.

Voks

• Szerkezeti névtelenség. Az adatbázis nem tud ötletfal-bejegyzést személyhez kötve tárolni: két adatbázis-szintű megkötés névtelen tokent ír elő és tagot tilt, és ezt automatikus tesztek az élő sémán ellenőrzik.
• Moderálás. A tulajdonos és a moderátorok elrejthetnek egy bejegyzést, a helyén látható indokkal; törölni csak a tulajdonos, vagy kérésre mi tudunk.
• Megőrzés. Automatikusan érvényesítve, naponta többször.

Dayrule

• Cégenkénti elkülönítés. Minden lekérdezés egyetlen cégre szól, és egy munkamenet csak abban a cégben érvényes, ahol kiadták.
• Szerepkörök. A vezető csak a hozzá tartozókat látja; szerepkört és beállítást csak tulajdonos módosít.
• Linkek és munkamenetek. A belépési link egyszer működik, 14 nap után lejár, és csak arra a címre, amelyre készült. A linkeket és munkameneteket csak hash-ként tároljuk.

3. melléklet — További adatfeldolgozók

Kérdések a megállapodással kapcsolatban: [email protected].