(GDPR Article 28 Fully Compliant – Enterprise Version)
Hatályos: 2026. március 1.
Ez az Adatfeldolgozói Megállapodás („DPA”) a SmartCar Master Subscription Agreement („MSA”) elválaszthatatlan melléklete.
Jelen DPA az Európai Parlament és a Tanács (EU) 2016/679 rendeletének („GDPR”) 28. cikke alapján jön létre.
Az Előfizető: Adatkezelő
A Szolgáltató: Adatfeldolgozó
A Felek rögzítik, hogy az adatkezelés célját és eszközeit kizárólag az Adatkezelő határozza meg.
Az adatfeldolgozás tárgya a SmartCar rendszerben rögzített személyes adatok kezelése.
Az adatfeldolgozás az MSA hatályának időtartamáig tart, valamint a megszűnést követő 30 napos export időszak végéig.
Az adatfeldolgozás célja kizárólag:
felhőalapú adattárolás
adatmegjelenítés
strukturált feldolgozás
rendszeres mentés
jogosultság alapú hozzáférés biztosítása
Az adatfeldolgozás célja továbbá a SmartCar rendszerben elérhető AI alapú és automatizált funkciók működtetése, amennyiben az Előfizető ilyen funkciókat használ. Ilyen funkciók lehetnek különösen:
Az AI alapú adatfeldolgozás kizárólag az Előfizető utasítása, a rendszerben végzett felhasználói művelet vagy az Előfizető által engedélyezett funkció használata alapján történik. Az Adatfeldolgozó az ilyen adatokat saját önálló adatkezelési célra nem használja fel.
Az Adatfeldolgozó az adatokat saját üzleti célra nem használja.
az Adatkezelő ügyfelei
járműtulajdonosok
az Adatkezelő munkavállalói
név
telefonszám
e-mail cím
lakcím
járműazonosítók
javítási adatok
számlázási adatok
Az AI alapú és automatizált funkciók használata esetén kezelt adatok lehetnek továbbá:
Az Adatkezelő köteles:
megfelelő jogalapot biztosítani
érintetti tájékoztatást nyújtani
adatminimalizálás elvét betartani
jogellenes adatot nem rögzíteni
adatvédelmi hatásvizsgálatot lefolytatni, ha szükséges
Az Adatfeldolgozó nem vizsgálja a jogalap fennállását.
Az Adatfeldolgozó:
kizárólag dokumentált utasítás alapján jár el
biztosítja a titoktartást
megfelelő biztonsági intézkedéseket alkalmaz
nem használja az adatokat saját marketing célra
nem továbbít adatot engedély nélkül
Az Adatfeldolgozó az alábbi kontrollokat alkalmazza:
role-based access control
egyedi felhasználói azonosítás
jelszóhash-elés
adminisztrátori naplózás
TLS titkosított kommunikáció
tűzfalas védelem
szerveroldali hozzáférés korlátozás
rendszeres biztonsági mentés
mentések elkülönített tárolása
monitoring
redundáns infrastruktúra (amennyiben alkalmazandó)
Az Adatfeldolgozó jogosult infrastruktúra- és tárhelyszolgáltató igénybevételére.
Az alvállalkozó köteles:
GDPR-kompatibilis működésre
megfelelő biztonsági intézkedésekre
Az Adatfeldolgozó teljes felelősséggel tartozik az alvállalkozó tevékenységéért.
A SmartCar rendszer AI funkciói kétféle működési módban lehetnek elérhetők:
a) SmartCar által biztosított AI szolgáltatásként, amely esetben az AI funkciók a Szolgáltató által biztosított külső AI API-kapcsolaton keresztül működnek;
b) az Előfizető által megadott saját AI API-kulccsal, amely esetben az Előfizető saját OpenAI API-, Gemini API- vagy más támogatott AI szolgáltatói hozzáférést állít be a rendszerben.
Amennyiben az AI funkciók a SmartCar által biztosított AI szolgáltatáson keresztül működnek, a Szolgáltató jogosult külső AI, OCR, képfeldolgozási vagy kapcsolódó infrastruktúra-szolgáltatót al-adatfeldolgozóként igénybe venni.
Az ilyen al-adatfeldolgozó kizárólag az adott AI művelet végrehajtásához szükséges adatokat kezelheti. A Szolgáltató törekszik arra, hogy az AI szolgáltató felé csak az adott funkció működéséhez szükséges, adattakarékos adatkör kerüljön továbbításra.
A Szolgáltató nem használja fel az Előfizető által a rendszerben kezelt személyes adatokat saját AI modelljeinek önálló, üzleti célú betanítására.
Amennyiben az Előfizető saját OpenAI API-, Gemini API- vagy más támogatott AI API-kulcsot állít be a SmartCar rendszerben, a külső AI szolgáltatót az Előfizető választja ki.
Ebben az esetben a Szolgáltató az Előfizető utasítása alapján, technikai közvetítőként továbbítja az adott AI művelethez szükséges adatokat az Előfizető által megadott szolgáltatói hozzáférésen keresztül.
Saját API-kulcs használata esetén az Előfizető felelős különösen:
Gemini API vagy más külső AI szolgáltató saját API-kulccsal történő használata esetén az Előfizető köteles meggyőződni arról, hogy az általa használt szolgáltatói konstrukció alkalmas-e személyes, bizalmas vagy ügyféladatok feldolgozására.
Az Előfizető nem használhat olyan külső AI szolgáltatói konstrukciót vagy API hozzáférést, amelynek feltételei kizárják vagy korlátozzák személyes, bizalmas vagy üzleti adatok beküldését, amennyiben az adott AI művelet ilyen adatokat tartalmaz.
A Szolgáltató a saját API-kulcs használatához szükséges technikai beállításokat biztosítja. Az Előfizető által megadott API-kulcs bizalmas információnak minősül.
A Szolgáltató köteles az API-kulcsot technikailag védetten kezelni, azt harmadik személy részére nem adhatja át, és kizárólag az Előfizető által kezdeményezett vagy engedélyezett AI műveletek végrehajtásához használhatja.
Az Előfizető köteles gondoskodni arról, hogy saját API-kulcsához csak megfelelő jogosultsággal rendelkező személyek férjenek hozzá, és az API-kulcs kompromittálódása esetén haladéktalanul intézkedjen annak visszavonásáról vagy cseréjéről.
Amennyiben az AI szolgáltató vagy annak infrastruktúrája harmadik országban található, az adattovábbításra kizárólag a GDPR szerinti megfelelő garanciák mellett kerülhet sor.
SmartCar által biztosított AI szolgáltatás esetén az ilyen garanciák biztosítása a Szolgáltató feladata az al-adatfeldolgozói jogviszony keretei között.
Saját API-kulcs használata esetén az Előfizető felelős annak ellenőrzéséért, hogy az általa választott AI szolgáltatóval fennálló jogviszonyban a megfelelő adattovábbítási garanciák rendelkezésre állnak-e.
Jelen fejezet a SmartCar rendszer fejlesztése, karbantartása, hibakeresése és biztonsági ellenőrzése során alkalmazott, mesterséges intelligencián alapuló fejlesztői és diagnosztikai eszközökre vonatkozik.
Ezek közé tartozhatnak különösen az AI-alapú programozási asszisztensek, forráskódelemző rendszerek, automatizált hibakereső eszközök és adatbázis-diagnosztikai megoldások.
Jelen fejezet rendelkezései elkülönülnek a SmartCar alkalmazás felhasználói számára biztosított AI-funkciók szabályozásától.
Az AI-fejlesztőeszközök az Előfizető személyes adatainak feldolgozásában kizárólag a SmartCar szolgáltatásának biztosításához szükséges alábbi célokból vehetnek részt:
a) működési hibák feltárása és javítása;
b) adatbázis- és alkalmazásműködési problémák diagnosztikája;
c) informatikai biztonsági ellenőrzés;
d) az Előfizető által jelentett hibák kivizsgálása;
e) a Szolgáltatás működőképességének, integritásának és biztonságának fenntartásához szükséges karbantartás.
Az Előfizető személyes adatainak ezen céloktól eltérő felhasználása kizárólag megfelelő jogszerű felhatalmazással történhet.
Az Adatfeldolgozó a fejlesztési feladatok ellátásához elsődlegesen szintetikus vagy megfelelően anonimizált tesztadatokat alkalmaz.
Éles személyes adatokhoz történő hozzáférés csak akkor engedélyezhető, ha a feladat más módon észszerűen nem végezhető el.
Az ilyen hozzáférés esetében biztosítani kell:
a) a szükséges adatkörre korlátozott hozzáférést;
b) a feladatnak megfelelő legkisebb jogosultsági szintet;
c) a hozzáférés időbeli korlátozását;
d) a hozzáférés és a releváns adatkezelési műveletek ellenőrizhetőségét;
e) a lehetőség szerinti maszkolást, anonimizálást vagy adatkörszűkítést;
f) a nem szükséges személyes adatok továbbításának megakadályozását.
Az AI-fejlesztőeszköz nem kaphat korlátlan vagy indokolatlanul széles körű hozzáférést a teljes éles adatállományhoz.
A személyes adatokat tartalmazó teljes adatbázis-mentések és tömeges adatexportok külső AI-fejlesztőeszköz részére történő átadása általános fejlesztési vagy hibakeresési célból nem engedélyezett.
Amennyiben az AI-fejlesztőeszköz működése során az Előfizető személyes adatai külső szolgáltatóhoz kerülnek, és az adott szolgáltató ezen adatokat a SmartCar megbízásából dolgozza fel, a szolgáltató további adatfeldolgozónak minősül.
Az ilyen szolgáltató kizárólag akkor vehető igénybe, ha:
a) bevonásához rendelkezésre áll a GDPR 28. cikk (2) bekezdése szerinti megfelelő adatkezelői felhatalmazás;
b) megfelelő, kötelező erejű adatfeldolgozási szerződés szabályozza a személyes adatok kezelését;
c) a szolgáltató megfelelő technikai és szervezési biztonsági intézkedéseket alkalmaz;
d) az adatkezelés célja, terjedelme, időtartama és a törlés feltételei meghatározottak;
e) az adattovábbítás megfelel a GDPR alkalmazandó előírásainak;
f) az Előfizető személyes adatainak önálló AI-modellbetanítási célú felhasználása nem engedélyezett.
A Szolgáltató köteles ellenőrizni, hogy az alkalmazott szolgáltatási konstrukció ténylegesen biztosítja-e a szükséges adatfeldolgozói garanciákat.
Az Adatkezelő az Adatfeldolgozói Megállapodásban, illetve annak külön mellékletében meghatározott további adatfeldolgozók igénybevételéhez adhat konkrét vagy általános írásbeli felhatalmazást.
Általános felhatalmazás esetén az Adatfeldolgozó köteles az érintett további adatfeldolgozók aktuális listáját hozzáférhetővé tenni az Adatkezelő számára.
A listának legalább a következőket kell tartalmaznia:
a további adatfeldolgozó azonosítására alkalmas adatokat;
az adatfeldolgozás célját;
az érintett adatok kategóriáit;
az adatfeldolgozás helyét;
a megfelelő adatvédelmi és adattovábbítási garanciákat.
Új további adatfeldolgozó bevonásáról vagy a meglévő szolgáltató cseréjéről az Adatfeldolgozó főszabály szerint legalább 30 nappal a tervezett változás előtt, igazolható elektronikus úton értesíti az Adatkezelőt.
Az Adatkezelő az értesítéstől számított 20 napon belül, indokolt adatvédelmi okból tiltakozhat a változás ellen.
Tiltakozás esetén a Felek egyeztetnek a megfelelő alternatív megoldásról. Amennyiben a kifogás nem rendezhető, a személyes adatok érintett további adatfeldolgozó részére történő továbbítása nem kezdhető meg az Adatkezelőre vonatkozóan megfelelő felhatalmazás nélkül.
A korábban engedélyezett további adatfeldolgozók bevonásáért az Adatfeldolgozó a GDPR 28. cikkének megfelelően felel.
Amennyiben az AI-fejlesztőeszköz szolgáltatója vagy annak további adatfeldolgozója az Európai Gazdasági Térségen kívül kezel személyes adatokat, az adattovábbítás kizárólag a GDPR V. fejezetében meghatározott követelmények teljesülése esetén engedélyezett.
A Szolgáltató köteles ellenőrizni az alkalmazandó megfelelőségi határozat, általános adatvédelmi kikötések vagy egyéb jogszerű adattovábbítási mechanizmus meglétét, és szükség esetén kiegészítő védelmi intézkedéseket alkalmazni.
Az AI-val támogatott fejlesztési és hibakeresési feladatok során létrehozott, személyes adatokat tartalmazó ideiglenes adatkivonatokat a feladat lezárását követően törölni kell, amennyiben további megőrzésükre nincs megfelelő jogszerű indok.
A külső AI-szolgáltató adatmegőrzési és törlési feltételeit a vele kötött adatfeldolgozási szerződésnek, illetve az alkalmazott szolgáltatás dokumentált feltételeinek megfelelően kell meghatározni és ellenőrizni.
Az Adatfeldolgozó köteles gondoskodni arról, hogy az ideiglenesen kezelt személyes adatok ne váljanak indokolatlanul tartós fejlesztési adatállománnyá.
Amennyiben az AI-fejlesztőeszköz használatával kapcsolatban személyes adat jogosulatlan hozzáférésének, nyilvánosságra kerülésének vagy jogellenes továbbításának gyanúja merül fel, az Adatfeldolgozó köteles haladéktalanul megkezdeni az esemény kivizsgálását.
Megállapított adatvédelmi incidens esetén az Adatfeldolgozó indokolatlan késedelem nélkül értesíti az érintett Adatkezelőt, és átadja a jogszabályi kötelezettségek teljesítéséhez rendelkezésre álló releváns információkat.
Az Adatfeldolgozó köteles együttműködni az Adatkezelővel az incidens hatásainak felmérésében és a szükséges intézkedések végrehajtásában.
Jelen fejezet nem biztosít általános felhatalmazást az Előfizető személyes adatainak önálló termékfejlesztési, marketing-, profilalkotási vagy AI-modellbetanítási célú felhasználására.
A külső AI-fejlesztőeszköz alkalmazása nem módosítja a Felek GDPR szerinti adatkezelői és adatfeldolgozói szerepköreit.
Amennyiben jelen fejezet és az Adatfeldolgozói Megállapodás más rendelkezései között eltérés áll fenn, az érintett adatkezelési tevékenységre a GDPR követelményeinek megfelelő, szigorúbb adatvédelmi előírást kell alkalmazni.
Személyes adat harmadik országba kizárólag:
megfelelőségi határozat, vagy
standard szerződéses klauzula alapján
továbbítható.
Az Adatfeldolgozó az incidens tudomására jutásától számított indokolatlan késedelem nélkül, de legkésőbb 72 órán belül értesíti az Adatkezelőt.
incidens jellege
érintett adatok köre
kockázatelemzés
megtett intézkedések
Az Adatfeldolgozó:
támogatja az adathozzáférési kérelmek teljesítését
technikailag biztosítja az adattörlést
lehetővé teszi az adatexportot
Az Adatfeldolgozó köteles együttműködni:
NAIH vizsgálat esetén
hatósági megkeresés esetén
Az MSA megszűnését követően:
30 nap export
ezt követően végleges törlés
mentések felülírása a ciklus szerint
Az Adatfeldolgozó felelőssége az MSA szerinti felelősségi plafonhoz kötött.
Az Adatkezelő köteles megtéríteni azokat a bírságokat, amelyek az ő jogellenes adatkezeléséből erednek.
Közös jogsértés esetén a felelősség a GDPR 82. cikk szerint oszlik meg.
Az Adatkezelő jogosult évente egyszer auditot kezdeményezni a DPA szerinti megfelelőség vizsgálatára az MSA auditklauzulájának megfelelően.
Jelen DPA az MSA megszűnésével automatikusan megszűnik.
A DPA-ra a magyar jog az irányadó.
Eltérés esetén az MSA rendelkezései irányadók, kivéve adatvédelmi kérdésekben.