Adatfeldolgozói szerződés (minta)

A GDPR 28. cikke szerint · 2. változat, 2026. szeptember 25. · Vissza a jogi megfeleléshez

Adatkezelő: [vállalkozás neve, székhelye, cégjegyzékszáma, adószáma], képviseli: [név] („Adatkezelő”)
Adatfeldolgozó: Kiss Ákos Bence PFA, [székhely, cégjegyzékszám, CUI] („Adatfeldolgozó”)

1. Tárgy és időtartam

Az Adatfeldolgozó az Adatkezelő nevében és megbízásából kezel személyes adatokat, kizárólag a [dátum]-án kelt szolgáltatási szerződésben leírt szolgáltatás nyújtásához. Ez a szolgáltatás a mesterséges intelligenciával működő telefonos asszisztens. A szerződés addig hatályos, amíg a szolgáltatási szerződés, és amíg az Adatfeldolgozó bármilyen személyes adatot kezel az Adatkezelő nevében.

2. Az adatkezelés jellege és célja

Az Adatkezelő telefonszámára érkező hívások fogadása, és ha az Adatkezelő kéri, emlékeztető hívások indítása. A hívóknak válaszol az Adatkezelő által megadott információk alapján. Időpontot foglal, módosít és lemond az Adatkezelő naptárában. Visszahívási kérést rögzít, a hívásról összefoglalót küld az Adatkezelőnek, és átkapcsolja a hívást az Adatkezelő munkatársához. Az adatokat a beszédfelismerés, a nyelvi modell és a hangelőállítás automatizáltan dolgozza fel.

3. Érintettek és adatkategóriák

• Érintettek: az Adatkezelőt hívó vagy általa visszahívott személyek, valamint az Adatkezelő azon munkatársai, akiknek a hívást átkapcsolják.
• Adatok: a hívó neve, telefonszáma, e-mail címe (ha megadja), a hívás oka és tartalma, a foglalt időpont, és taxiszolgáltatásnál a felvételi cím. Ha az Adatkezelő a 3. mellékletben kéri: a hívás hangfelvétele és átirata.
• Különleges adatok: az asszisztens különleges adatot (például egészségügyi adatot) nem kér. Ha a hívó magától elmondja, azt csak a hívás céljára kezeljük, és a megőrzési idő végén töröljük. Biometrikus azonosítás nincs. Egészségügyi szolgáltatónál már a foglalás ténye és a hívás oka is egészségügyi adatnak minősülhet (GDPR 9. cikk). Ilyen Adatkezelőnél ezt a munka megkezdése előtt a hatásvizsgálati előszűrésben külön értékeljük; a jogalapot az Adatkezelő határozza meg.

4. Utasítások

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő írásos utasításai szerint kezeli, ideértve a harmadik országba történő továbbítást is. Utasításnak minősül ez a szerződés és a 3. mellékletben rögzített beállítás. Kivétel, ha uniós vagy román jog másként kötelezi. Ilyenkor erről az Adatkezelőt előre tájékoztatja, kivéve, ha a jog ezt tiltja. Ha az Adatfeldolgozó szerint egy utasítás jogszabályba ütközik, erről haladéktalanul értesíti az Adatkezelőt. (28. cikk (3) bekezdés a) pont és második albekezdés)

5. Titoktartás

Az Adatfeldolgozó oldalán az adatokhoz csak ő maga fér hozzá. Ha bárki más a nevében hozzáférne, csak írásos titoktartási kötelezettség vállalása után teheti. (28. cikk (3) b))

6. Biztonság

Az Adatfeldolgozó a 2. mellékletben leírt technikai és szervezési intézkedéseket alkalmazza. Ezeket a kockázatokhoz mérten rendszeresen felülvizsgálja. (28. cikk (3) c), 32. cikk)

7. További adatfeldolgozók

Az Adatkezelő általános engedélyt ad az 1. mellékletben felsorolt további adatfeldolgozók igénybevételére. Új adatfeldolgozó bevonásáról vagy csere tervéről az Adatfeldolgozó az alkalmazás előtt legalább 10 nappal írásban értesíti az Adatkezelőt. Az Adatkezelő ez alatt az idő alatt észszerű adatvédelmi okból tiltakozhat. Ha nem sikerül megegyezni, a szerződést díjfizetési kötelezettség nélkül felmondhatja. Az Adatfeldolgozó minden további adatfeldolgozóra írásban ugyanezeket az adatvédelmi kötelezettségeket rója. Ha egy további adatfeldolgozó nem teljesíti a kötelezettségeit, azért az Adatkezelő felé az Adatfeldolgozó teljes felelősséggel tartozik. (28. cikk (2), (3) d), (4))

8. Továbbítás az EU-n kívülre

Az 1. mellékletben megjelölt, az EGT-n kívüli (USA-beli) adatfeldolgozók felé az adatok az Európai Bizottság általános szerződési feltételei alapján kerülnek át (SCC, 2021/914/EU határozat), vagy ha a címzett tanúsított, az EU–USA adatvédelmi keretrendszer alapján. A hangplatformmal (Retell AI, Inc.) kötött adatfeldolgozási megállapodás az SCC 2. és 3. modulját tartalmazza. A felek viszonyában, mivel az Adatfeldolgozó maga is adatfeldolgozó, a 3. modul alkalmazandó. Az Adatfeldolgozó az USA-ba irányuló továbbításról továbbítási hatásvizsgálatot készít (SCC 14. pont), és kérésre átadja az Adatkezelőnek. (44–46. cikk)

9. Az érintettek jogai

Az Adatfeldolgozó segít az Adatkezelőnek teljesíteni az érintettek kérelmeit (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás). Kérésre egy adott hívás adatait legkésőbb 5 munkanapon belül kikeresi, átadja vagy törli. Ha kérelem közvetlenül hozzá érkezik, azt 2 munkanapon belül továbbítja az Adatkezelőnek, és a kérelmezőnek magától nem válaszol. (28. cikk (3) e), III. fejezet (12–23. cikk))

10. Adatvédelmi incidens

Ha az Adatfeldolgozó adatvédelmi incidensről szerez tudomást, arról az Adatkezelőt indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti. Közli, amit már tud: mi történt, mely adatokat és hány személyt érint, mi a valószínű következmény, és mit tett vagy javasol. A többi információt folyamatosan pótolja. Ezzel segíti az Adatkezelőt abban, hogy a 72 órás hatósági bejelentést és szükség esetén az érintettek értesítését teljesíteni tudja. (28. cikk (3) f), 33–34. cikk)

11. Egyéb segítség

Az Adatfeldolgozó a rendelkezésére álló információkkal segít az Adatkezelőnek a 32–36. cikk szerinti kötelezettségeiben. Ide tartozik az adatvédelmi hatásvizsgálat vagy annak előszűrése, és szükség esetén az előzetes konzultáció a hatósággal (36. cikk). (28. cikk (3) f))

12. Megőrzés, törlés, visszaadás

A hangfelvételeket és az átiratokat a 3. mellékletben megadott ideig őrizzük; ha az Adatkezelő mást nem kér, 30 napig. Utána a platform automatikusan törli őket. A szerződés megszűnésekor az Adatfeldolgozó az Adatkezelő választása szerint 30 napon belül visszaadja vagy törli az összes személyes adatot, és ezt írásban igazolja. Kivétel az, amit jogszabály megőrzésre kötelez. A számlázáshoz szükséges adatok erre nem vonatkoznak. (28. cikk (3) g))

13. Ellenőrzés

Az Adatfeldolgozó minden információt az Adatkezelő rendelkezésére bocsát, amely igazolja, hogy betartja ezt a szerződést: beállításokat, naplókat, és a további adatfeldolgozók tanúsítványait, ha elérhetők. Lehetővé teszi és segíti az Adatkezelő vagy megbízott ellenőre által végzett, előre egyeztetett ellenőrzést is. (28. cikk (3) h))

14. Nyilvántartás

Az Adatfeldolgozó nyilvántartást vezet az Adatkezelő nevében végzett adatkezelési tevékenységekről, és kérésre átadja azt az Adatkezelőnek vagy a hatóságnak. (30. cikk (2) és (4))

15. Felelősség, irányadó jog

A felek felelőssége a GDPR 82. cikke szerint alakul. A szerződésre a román jog és a GDPR az irányadó. A szerződés magyar nyelven készül; ha román nyelvű változat is készül, a két változat egyenrangú.

Kelt: [hely, dátum]
Adatkezelő: ______________________    Adatfeldolgozó: ______________________

1. melléklet: További adatfeldolgozók#

2. melléklet: Technikai és szervezési intézkedések#

• Az Adatfeldolgozó fiókjaihoz csak ő fér hozzá, egyedi, erős jelszóval, és ahol a szolgáltató lehetővé teszi, kétlépcsős azonosítással. Minden ügyfélnek külön asszisztense van, külön beállításokkal.
• Az adatforgalom titkosított (HTTPS/TLS). A felvételekhez lejáró, aláírt hivatkozásokat használunk. A rendszerüzenetek (webhook) aláírását ellenőrizzük.
• Adattakarékosság: az asszisztens csak a hívás céljához szükséges adatot kéri. Személyi számot, bankkártyaadatot és egészségügyi részleteket nem kér.
• Automatikus törlés a platformon a megőrzési idő végén. A megőrzési idő ügyfelenként 1 és 730 nap között állítható, a platform saját alapbeállítása, a korlátlan megőrzés helyett. Felvétel nélküli üzem is kérhető; ilyenkor a rögzítést kikapcsoljuk.
• Az asszisztens beállításainak minden változtatását dátummal nyilvántartjuk. Élesítés előtt tesztelünk.
• Incidenskezelési rend: ha incidens történik, a hozzáférést lezárjuk, a kulcsokat cseréljük, és 48 órán belül értesítünk.
• A platform tanúsítványai a saját megbízhatósági oldala szerint: SOC 2 Type II és ISO 27001:2022.

3. melléklet: Az Adatkezelő utasításai (beállítások)#