Adatfeldolgozási feltételek - GDPR 28. cikk

Dokumentum-verzió: 2.0 - Dátum: 2026-10-13

Felek:

• Adatkezelő: az előfizető szervezet (a továbbiakban: Adatkezelő)
• Adatfeldolgozó: ZeroTime Services Kft., székhely 1037 Budapest, Montevideo utca 9. (a továbbiakban: Adatfeldolgozó)

Miért van erre szükség, egy mondatban: az Adatfeldolgozó abban a percben adatfeldolgozóvá válik, hogy távolról belép egy hibát megnézni. Ez a dokumentum azt rögzíti, mit tehet és mit nem.

0. Az adatkezelés tárgya, időtartama, jellege, célja, az adatok köre

Figyelmeztetés a szabad mezőkről: a custom_fields tartalmát az Adatkezelő határozza meg. Ha abba GDPR 9. cikk szerinti különleges adat kerül, az az Adatkezelő döntése és felelőssége; a rendszer erre nincs felkészítve, és az Adatfeldolgozó ezt nem ajánlja.

És egy mért tény, amit az Adatkezelőnek ismernie kell (2026-09-04, valódi HTTP-úton igazolva): a szabad mezőknek (custom_fields, default_custom_fields) két, egymástól élesen eltérő állapotuk van, és a különbséget az Adatkezelő állítja be, nem a rendszer.

• Titkosnak jelölt mező (a mező definíciójában bekapcsolt jelölés): az érték az adatbázisban titkosítva tárolódik a (c) pont szerinti mezőszintű kulccsal, és az audit-naplóban sem jelenik meg (a napló a mező nevét mutatja, az érték helyén [redacted] áll).
• Minden más szabad mező (ez az alapértelmezés): az érték az adatbázisban titkosítatlanul tárolódik, és az audit-naplóban is megjelenik, az előtte-utána értékkel együtt.

A jelölés nem automatikus, és visszamenőleg nem hat. A jelölést csak a mező létrehozásakor lehet megadni, és csak szöveges mezőnél; egy meglévő mező utólag nem tehető titkossá. Aki nem kapcsolja be, annál az érték nyersen áll az adatbázisban is és a naplóban is, ezért minden mentés, adatbázis-kimentés és visszaállítás nyersen viszi. A mező NEVE semmit nem jelent: mérve, egy api_token nevű és egy shelf_code nevű mező pontosan ugyanúgy viselkedik, ha egyiken sincs bekapcsolva a jelölés.

Ezért: ha egy szabad mezőbe jelszó, hozzáférési kulcs vagy más titok kerül, arra titkosnak jelölt mezőt kell létrehozni; jelölés nélkül ezek a mezők nem alkalmasak titok tárolására.

(a) pont - Utasítás szerinti adatkezelés

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő írásbeli utasítása alapján kezeli, ideértve a harmadik országba történő továbbítást is. A szolgáltatás rendeltetésszerű használata (a felületen és az API-n keresztül végzett műveletek) dokumentált utasításnak minősül.

Ha az Adatfeldolgozót uniós vagy tagállami jog kötelezi adatkezelésre, erről az adatkezelés előtt tájékoztatja az Adatkezelőt, kivéve ha ezt a jog fontos közérdekből tiltja.

Az Adatfeldolgozó nem használja fel az adatokat saját célra, statisztikára, termékfejlesztésre, mesterséges intelligencia tanítására vagy bármely, az Adatkezelő utasításán kívüli célra.

(b) pont - Titoktartás

Az adatokhoz kizárólag olyan személyek férnek hozzá, akik titoktartási kötelezettséget vállaltak vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak, és akiknek a feladatuk ellátásához ez szükséges.

A támogatói hozzáférés nem rejtett: ha az Adatfeldolgozó munkatársa egy felhasználó nevében lép be (impersonation), azt a rendszer külön nyilvántartásba veszi, és a napló a ténylegesen eljáró személyt is rögzíti. Az Adatkezelő ezt visszakeresheti.

(c) pont - Biztonság (32. cikk)

Az Adatfeldolgozó az alábbi, ténylegesen működő intézkedéseket alkalmazza (mérve 2026-10-13, a futó rendszeren is):

• titkosított kapcsolat (HTTPS);
• bérlőnkénti adatbázis-séma (séma-per-bérlő): minden bérlő adata külön adatbázis-sémában áll. Az alkalmazás minden kérésnél a bejelentkezett bérlő sémájára állítja a keresési útvonalat (search_path), és a közös (public) séma nincs rajta. Az elkülönítést az alkalmazás végzi, nem az adatbázis-jogosultság: minden bérlő ugyanazzal az adatbázis-szereppel kapcsolódik, tehát adatbázis-szerep szintjén a bérlők nincsenek elválasztva;
• szerepkör-alapú jogosultságkezelés, kétlépcsős azonosítás lehetősége;
• a titkos beállítások mezőszintű titkosítása; a naplóban az értékük helyén [redacted] áll. Ez a beállítás-tárolóra és a titkosnak jelölt szabad mezőkre vonatkozik, a jelöletlen szabad mezőkre nem (lásd a 0. pont figyelmeztetését);
• utólag nem módosítható napló: a bejegyzés módosítását az adatbázis elutasítja (a napló törlésére lásd a (g) pont 4. alpontját);
• feltöltött fájlok vírusellenőrzése;
• munkamenet-süti HttpOnly beállítással, 12 óra inaktivitás utáni lejárattal;
• napi adatbázis-mentés, 30 napos megőrzéssel (LEGAL_BACKUP_RETENTION_DAYS=30), és minden mentés után egy automatikus visszaállítási próba.

Amit itt nem állítunk, mert nem mértük: az adatbázis lemezszintű titkosítását és a mentések titkosítását az üzemeltetési környezet határozza meg. A jelen feltételek nem állítanak lemezszintű adatbázis-titkosítást és nem állítanak titkosított mentést; ha az Adatkezelőnek erre szüksége van, az Adatfeldolgozó külön nyilatkozik róla. (Ez a mondat szándékosan nem hivatkozik "üzemeltetési mellékletre": olyan dokumentum ma nem létezik, és egy nem létező mellékletre mutató hivatkozás rosszabb, mint egy őszinte mondat.)

(d) pont - Alfeldolgozók

Az Adatfeldolgozó további adatfeldolgozót az Adatkezelő általános felhatalmazása alapján vehet igénybe. A tervezett változásról (új alfeldolgozó vagy csere) legalább 30 nappal előre tájékoztatja az Adatkezelőt, aki ez alatt kifogást emelhet.

Az alfeldolgozóra az Adatfeldolgozó ugyanezeket a kötelezettségeket hárítja át, és az alfeldolgozó teljesítéséért úgy felel, mintha maga járt volna el.

Jelenlegi alfeldolgozók:

Az Adatfeldolgozó jelenleg NEM vesz igénybe alfeldolgozót. A tárhely-szolgáltató maga az Adatfeldolgozó: a rendszer az Adatfeldolgozó saját szerverein fut, és a mentéseket (az adatbázisét és a feltöltött fájlokét egyaránt) is az Adatfeldolgozó készíti, a saját eszközein. A szerverek fizikailag Magyarországon, a Dravanet szervertermében állnak, és az internet-hozzáférést is a Dravanet biztosítja. Ez elhelyezés és hálózati szolgáltatás: a Dravanet az adathoz nem fér hozzá, és az Adatfeldolgozó megbízásából nem kezeli, ezért nem alfeldolgozó.

Forrás: üzemeltetői közlés (2026-10-13), és mérés a futó rendszeren ugyanaznap: a levél a szerver saját levelezőjén megy ki, továbbító (relay) szolgáltató nélkül; a hibagyűjtő saját telepítés; a fájltár a helyi lemez; a számlázó-kapcsolat nincs bekötve.

(Környezeti változó: LEGAL_SUBPROCESSORS. Az e-mail-küldés módja és a fájltároló helye üzemeltetési beállítás (MAIL_MAILER, FILESYSTEM_DISK); ha bármelyik külső szolgáltatóra kerül, ez a tábla változik.)

Feltételes alfeldolgozó, amit a rendszer el tud érni, de ma nincs bekapcsolva: egy külső levelező-szolgáltató (ha az e-mail-küldés oda kerül). A bekapcsolása új alfeldolgozó, és a fenti 30 napos előzetes tájékoztatás alá esik.

Ami NEM e feltételek alá tartozik, de ki kell mondani: a regisztrációs űrlapon be van kapcsolva a Cloudflare Turnstile robotszűrő, amely a regisztráló IP-címét és böngészőadatait kapja meg. Ez a regisztráló adata, nem az Adatkezelő nyilvántartásáé, tehát az Adatfeldolgozó saját (A) körös adatkezelése, és nem a jelen feltételek szerinti alfeldolgozás. A részleteket az Adatkezelési tájékoztató tartalmazza.

(e) pont - Az érintetti jogok támogatása

Az Adatfeldolgozó a technika állásának megfelelő intézkedésekkel segíti az Adatkezelőt abban, hogy teljesíteni tudja az érintettek kérelmeit (GDPR 15-22. cikk).

Konkrétan, a rendszerben elérhető eszközökkel: adatok kikeresése és megjelenítése, helyesbítés, törlés, valamint adatkiadás az Adatkezelő kérésére.

A törlés mai korlátja, amit az Adatkezelőnek ismernie kell: eszközmozgással érintett személy nem törölhető (a rendszer elutasítja; a támogatott út a "kilépett" állapot); anonimizálás nincs; egy átírt személyes adat korábbi értéke az audit-naplóban megmarad, a (g) pont 4. alpontja szerinti megőrzéssel. Ha egy érintett közvetlenül az Adatfeldolgozóhoz fordul, az nem jár el önállóan, hanem haladéktalanul továbbítja a megkeresést az Adatkezelőnek.

(f) pont - Segítségnyújtás a 32-36. cikk szerinti kötelezettségekhez, incidens

Az Adatfeldolgozó segíti az Adatkezelőt a biztonsági kötelezettségek, az incidensbejelentés, az érintettek tájékoztatása és az adatvédelmi hatásvizsgálat teljesítésében.

Incidens esetén az Adatfeldolgozó az észleléstől számított 24 órán belül értesíti az Adatkezelőt. Ez azért 24 óra, mert az Adatkezelőnek a hatóság felé 72 órája van (GDPR 33. cikk), és abból az Adatfeldolgozó nem vehet el.

Az értesítés tartalmazza: mi történt, mikor, mely adatkörök és hozzávetőlegesen hány érintett érintett, mit tett az Adatfeldolgozó, és mit javasol az Adatkezelőnek.

(g) pont - Törlés vagy visszaadás a szolgáltatás végén

A jogviszony megszűnésekor az Adatkezelő választása szerint az Adatfeldolgozó az adatokat visszaadja vagy törli, és a meglévő másolatokat törli, kivéve ha jogszabály a megőrzést előírja.

Amit itt őszintén ki kell mondani, mert a rendszer így működik:

1. A szervezet törlésének két útja van:
   • üres szervezet (nincs benne eszköz, jegyzőkönyv és feltöltött fájl): az adatbázis-sémája archívum és törlési tanúsítvány nélkül, azonnal törlődik, a benne lévő személyekkel és naplóval együtt;
   • minden más szervezet: a séma előbb titkosított hideg archívumba kerül, és a végleges eltávolításkor a rendszer törlési tanúsítványt állít ki (az archívum lenyomata, az archiválás és az eltávolítás igazolt időpontja). A rendszer megtagadja a végleges törlést, ha a hideg másolat eltűnése nincs igazolva. A hideg archívumot a bérlő törlésétől számítva a bérlő jegyzőkönyv-megőrzési idejéig, de legalább 1095 napig (3 év) őrizzük, utána az Adatfeldolgozó véglegesen eltávolítja.
2. A korábban készült mentésekből az adat nem tűnik el azonnal. A mentés naponta készül, és a napi takarítás a 30 napnál régebbi mentést törli (LEGAL_BACKUP_RETENTION_DAYS=30); egy törölt adat így legfeljebb 31-32 napig szerepelhet még a mentésekben.
3. Megőrzési idő alapján automatikusan törlődik: a hibajelentés (30 napos, platform-szintű megőrzéssel, a hibagyűjtő működése esetén); a be nem fejezett regisztráció (a megerősítő link lejárta után, óránként); a mentés (a 2. alpont szerint); az archiválás vagy visszaállítás közben keletkező titkosítatlan munkapéldány (legfeljebb 6 óra); és a lomtár, a bérlőnként beállítható idő (alapérték 30 nap) szerint, ha az Adatfeldolgozó a lomtár automatikus törlését bekapcsolta - amíg nincs bekapcsolva, a naponta futó folyamat csak megszámolja a lejárt fájlokat, és nem töröl. A jegyzőkönyvekre a beállítás létezik, a hozzá tartozó automatikus törlés viszont nem fut - ott a törlés az Adatkezelő vagy az Adatfeldolgozó tevőleges művelete. Az IP-naplókra szóló beállításnak ezen felül nincs is tárgya: a bérlői nyilvántartásban az IP-cím a naplóbejegyzés mezője (audit_logs.ip), tehát a 4. alpont szerinti megőrzést követi.
4. Az audit-napló ebből kimarad, és ezt külön kimondjuk: a megőrzése rögzítetten korlátlan és nem állítható. A kiszolgáló visszautasít minden napra szóló értéket, és ütemezett törlés nincs. Az Adatfeldolgozónál létezik egy kézzel futtatható naplóritkító parancs (tenancy:audit-prune), de az bérlőnként ezt a megőrzési beállítást olvassa, és mivel az rögzítetten korlátlan, egyetlen bejegyzést sem töröl: bérlőnként kiírja, hogy 0 sort törölt, és miért. Ütemezve nincs. Oka, hogy a napló a vagyonátadás bizonyítéka és a biztonsági események nyoma. A megőrzés nem végtelen: a bérlői jogviszony életéhez kötött, a séma törlésével a bérlői napló is megszűnik. Az adat az élő adatbázisból azonnal tűnik el, a mentésekből a 2. alpont szerinti mentési ciklus leteltével, a hideg archívumból (ha a szervezet archiválva lett) az 1. alpont szerinti végleges eltávolításkor.
5. Amit a bérlő törlése szándékosan nem visz el: a platform-szintű napló (platform_audit_events), ami az üzemeltetői műveleteket rögzíti (platform-jogosultság, szervezet létrehozása és törlése, tagszerep-váltás, kitiltás, adatkiadás, számla és mások, az érintett e-mail címével); a belépési események (auth_events: belépési kísérletek e-mail címmel, IP-címmel és böngésző-azonosítóval, az adatbázis által a módosítás ellen védve, 12 hónapos megőrzéssel); a fiókok (users); a belépés-a-bérlő-nevébe nyilvántartás és a törlési tanúsítványok. Ezek nem az Adatkezelő nyilvántartásai, hanem az Adatfeldolgozó saját, A) körös adatkezelései, jogos érdek alapján (GDPR 6. cikk (1) f)), ezért a (g) pont szerinti törlési kötelezettség nem terjed ki rájuk.

(h) pont - Ellenőrzés és audit

Az Adatfeldolgozó rendelkezésre bocsát minden információt, amely az e cikk szerinti kötelezettségek teljesítésének igazolásához szükséges, és lehetővé teszi és elősegíti az Adatkezelő vagy az általa megbízott ellenőr által végzett auditokat.

Gyakorlati keret: évente legfeljebb egy audit, előzetes egyeztetés után, munkaidőben, a többi ügyfél adatainak védelme mellett; incidens vagy hatósági eljárás esetén ez a korlát nem alkalmazandó. Az Adatfeldolgozó haladéktalanul jelzi, ha megítélése szerint egy utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezést.

Melléklet: a nyolc kötelező pont ellenőrzőlistája

A (d) pont teljesítve van: az Adatfeldolgozó ma nem vesz igénybe alfeldolgozót, a saját szerverein üzemel és maga ment.

Változásjegyzék