CloudRaktár – Adatfeldolgozói megállapodás (DPA)
Az Általános Szerződési Feltételek 1. számú melléklete
Verzió: 1.0
Hatálybalépés: 2026-11-01
1. A megállapodás felei
Jelen adatfeldolgozói megállapodás létrejön az alábbi felek között:
Adatkezelő:
A CloudRaktár szolgáltatásra előfizető vállalkozás vagy szervezet (a továbbiakban: Adatkezelő), amelynek azonosító adatai az előfizetési szerződésben és a kapcsolódó nyilvántartásokban szerepelnek.
Adatfeldolgozó:
- Név: Kátai László Pál
- Székhely: 7768 Kistótfalu Kossuth Lajos utca 86
- Adószám: 59069232-1-22
- Nyilvántartási szám: 59069232-1-22
- Email: klp7311@gmail.com
- Szolgáltatás: CloudRaktár
- Weboldal: https://cloudraktar.hu
A továbbiakban együttesen: Felek.
2. A megállapodás célja és hatálya
2.1. Jelen megállapodás a GDPR 28. cikkével összhangban szabályozza a CloudRaktár szolgáltatás használata során az Adatkezelő nevében végzett személyesadat-feldolgozást.
2.2. Az Adatfeldolgozó online készlet- és raktárkezelő szoftvert biztosít az Adatkezelő részére, amelynek használata során személyes adatok tárolására, rendszerezésére, lekérdezésére, módosítására, továbbítására és törlésére kerülhet sor.
2.3. A jelen megállapodás kizárólag azokra az adatkezelési műveletekre terjed ki, amelyek során a CloudRaktár szolgáltatója az előfizető vállalkozás adatfeldolgozójaként jár el.
2.4. A szolgáltató saját adatkezelői tevékenységeit – például előfizetői kapcsolattartás, számlázás és saját jogszabályi kötelezettségek teljesítése – külön Adatvédelmi tájékoztató szabályozza.
3. Az adatfeldolgozás tárgya és időtartama
3.1. Az adatfeldolgozás tárgya a CloudRaktár szolgáltatásban az Adatkezelő által rögzített vagy integrációkon keresztül továbbított személyes adatok kezelése.
3.2. Az adatfeldolgozás időtartama az előfizetési szerződés fennállásához igazodik, ideértve a szerződés megszűnését követő, külön meghatározott adatexportálási és törlési időszakot.
3.3. Az adatfeldolgozási tevékenységek részletes meghatározását az 1. számú melléklet tartalmazza.
4. Az Adatkezelő kötelezettségei
4.1. Az Adatkezelő határozza meg a személyes adatok kezelésének célját és jogalapját.
4.2. Az Adatkezelő felel azért, hogy az általa feltöltött vagy integrációkon keresztül továbbított személyes adatok kezelése megfeleljen az alkalmazandó adatvédelmi jogszabályoknak.
4.3. Az Adatkezelő köteles különösen:
- az érintettek megfelelő tájékoztatásáról gondoskodni;
- az adatkezelés megfelelő jogalapját biztosítani;
- az adatok pontosságát és naprakészségét fenntartani;
- a felhasználói jogosultságokat megfelelően kezelni;
- a szolgáltatásban rögzített adatokra vonatkozó megőrzési időket meghatározni;
- az érintetti kérelmekről dönteni;
- az Adatfeldolgozónak jogszerű és dokumentált utasításokat adni.
4.4. Az Adatkezelő nem használhatja a szolgáltatást olyan adatkezelési célra, amely jogszabályba ütközik.
5. Az Adatfeldolgozó kötelezettségei
5.1. Az Adatfeldolgozó személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezelhet, beleértve a harmadik országba történő adattovábbítást is.
5.2. Dokumentált utasításnak minősülhet az előfizetési szerződés, a jelen megállapodás, az alkalmazásban végrehajtott, jogosult felhasználótól származó művelet, valamint az arra jogosult kapcsolattartó írásban adott utasítása.
5.3. Amennyiben valamely európai uniós vagy tagállami jogszabály az utasítástól eltérő adatkezelést ír elő, az Adatfeldolgozó erről az Adatkezelőt előzetesen tájékoztatja, kivéve ha ezt jogszabály fontos közérdekből tiltja.
5.4. Az Adatfeldolgozó haladéktalanul tájékoztatja az Adatkezelőt, ha megítélése szerint valamely utasítás sérti a GDPR rendelkezéseit vagy más alkalmazandó adatvédelmi szabályt.
5.5. Az Adatfeldolgozó gondoskodik arról, hogy a személyes adatokhoz hozzáférésre jogosult személyek megfelelő titoktartási kötelezettség alatt álljanak.
5.6. Az Adatfeldolgozó a személyes adatokat nem használhatja saját marketingcélokra, és nem értékesítheti harmadik személy részére.
6. A személyes adatok elkülönítése
6.1. A CloudRaktár több előfizető vállalkozást kiszolgáló, multi-tenant rendszerként működik.
6.2. Az előfizetők adatainak logikai elkülönítése a rendszerben vállalkozáshoz kötött azonosítók és jogosultsági ellenőrzések alapján történik.
6.3. Az Adatfeldolgozó köteles olyan technikai és szervezési intézkedéseket alkalmazni, amelyek megakadályozzák, hogy valamely előfizető jogosulatlanul más előfizető személyes adataihoz hozzáférjen.
6.4. A szolgáltatói adminisztrátori jogosultságok nem jelenthetnek korlátozás nélküli, általános üzleti hozzáférést az előfizetők adataihoz.
6.5. Indokolt technikai hozzáférés – például hibakeresés, biztonsági incidens elhárítása vagy jogszerű utasítás végrehajtása – kizárólag megfelelő jogosultsági, titoktartási és naplózási intézkedésekkel történhet.
7. Adatbiztonsági intézkedések
7.1. Az Adatfeldolgozó a GDPR 32. cikkének megfelelően, a kockázatokkal arányos technikai és szervezési intézkedéseket alkalmaz.
7.2. Az intézkedések kiterjednek különösen:
- titkosított hálózati kommunikációra;
- felhasználói hitelesítésre és jogosultságkezelésre;
- a tenantok közötti adatszigetelésre;
- a rendszergazdai hozzáférések védelmére;
- rendszeres biztonsági frissítésekre;
- naplózásra és incidensészlelésre;
- megfelelő biztonsági mentési eljárásokra;
- az adatok helyreállíthatóságának ellenőrzésére;
- szükség szerinti sérülékenységvizsgálatokra.
7.3. A ténylegesen alkalmazott biztonsági intézkedések részletes leírását a 2. számú melléklet tartalmazza.
7.4. Az Adatfeldolgozó rendszeresen értékeli az intézkedések megfelelőségét, és szükség esetén módosítja azokat.
8. Al-adatfeldolgozók igénybevétele
8.1. Az Adatkezelő általános írásbeli felhatalmazást ad a jelen megállapodás 3. számú mellékletében felsorolt al-adatfeldolgozók igénybevételére.
8.2. Az Adatfeldolgozó köteles az Adatkezelőt az új al-adatfeldolgozó bevonásáról vagy meglévő al-adatfeldolgozó lecseréléséről előzetesen, legalább 30 nappal értesíteni.
8.3. Az Adatkezelő jogosult a tervezett változtatással szemben adatvédelmi szempontból indokolt kifogást emelni.
8.4. A Felek a kifogás feloldása érdekében egyeztetnek. Amennyiben a változtatás nem fogadható el, és megfelelő alternatíva nem biztosítható, az Adatkezelő az érintett szolgáltatási szerződést a módosítás hatálybalépése előtt megszüntetheti.
8.5. Az Adatfeldolgozó valamennyi al-adatfeldolgozóval olyan szerződést köt, amely az adott adatfeldolgozási tevékenység tekintetében legalább a jelen megállapodással egyenértékű adatvédelmi kötelezettségeket tartalmaz.
8.6. Az Adatfeldolgozó az al-adatfeldolgozók adatvédelmi kötelezettségeinek teljesítéséért a GDPR 28. cikke szerint felel.
9. Harmadik országba történő adattovábbítás
9.1. Az Európai Gazdasági Térségen kívülre történő személyesadat-továbbítás kizárólag a GDPR V. fejezetével összhangban történhet.
9.2. Amennyiben az adattovábbítás megfelelő védelmi szintet megállapító határozat alapján nem teljesíthető, az Adatfeldolgozó megfelelő más jogi garanciát alkalmaz, szükség esetén kiegészítő intézkedésekkel.
9.3. Az érintett országokat, szolgáltatókat és adattovábbítási garanciákat a ténylegesen alkalmazott al-adatfeldolgozók alapján dokumentálni kell.
9.4. Jelen DPA önmagában nem helyettesíti a harmadik országbeli adattovábbításhoz adott esetben szükséges külön garanciákat vagy szerződéses rendelkezéseket.
10. Az érintetti jogok gyakorlása
10.1. Az Adatkezelő felel az érintetti kérelmek jogszerű elbírálásáért.
10.2. Az Adatfeldolgozó a rendelkezésére álló információk és a technikai lehetőségek figyelembevételével segítséget nyújt az Adatkezelőnek az érintetti jogok teljesítésében.
10.3. Az Adatfeldolgozó megfelelő technikai lehetőségeket biztosít az adatok hozzáféréséhez, helyesbítéséhez, exportálásához és törléséhez a szerződésben meghatározott keretek között.
10.4. Amennyiben az Adatfeldolgozó közvetlenül kap olyan érintetti kérelmet, amely az Adatkezelő által feltöltött adatokra vonatkozik, a kérelmet indokolatlan késedelem nélkül továbbítja az Adatkezelő megfelelő kapcsolattartójának, amennyiben a címzett biztonságosan azonosítható.
10.5. Az Adatfeldolgozó az érintetti kérelem érdemi teljesítéséről az Adatkezelő utasítása szerint jár el, kivéve ha jogszabály másként rendelkezik.
11. Adatvédelmi incidensek
11.1. Az Adatfeldolgozó megfelelő eljárásokat alkalmaz a személyes adatokat érintő biztonsági események felismerésére, értékelésére és kezelésére.
11.2. Amennyiben az Adatfeldolgozó tudomására jut az Adatkezelő személyes adatait érintő adatvédelmi incidens, az Adatkezelőt indokolatlan késedelem nélkül tájékoztatja.
11.3. Javasolt szerződéses célérték: az első értesítés a tudomásszerzéstől számított legfeljebb 24 órán belül történjen, amennyiben ez megvalósítható. A határidő nem jogosít fel a tájékoztatás késleltetésére.
11.4. Az értesítés a rendelkezésre álló információk alapján tartalmazza:
- az incidens jellegét;
- az érintett adatkategóriákat;
- az érintettek becsült számát, ha ismert;
- a lehetséges következményeket;
- a megtett vagy tervezett intézkedéseket;
- a kapcsolattartó elérhetőségét.
11.5. A kezdetben még nem ismert információkat az Adatfeldolgozó később, indokolatlan késedelem nélkül pótolja.
11.6. Az Adatfeldolgozó segítséget nyújt az Adatkezelőnek az incidens kivizsgálásában, a kockázatértékelésben és a jogszabály által szükségessé tett hatósági vagy érintetti tájékoztatás előkészítésében.
11.7. Az illetékes felügyeleti hatóság felé történő bejelentés és az érintettek tájékoztatásának kötelezettsége főszabály szerint az Adatkezelőt terheli.
12. Adatvédelmi hatásvizsgálat és hatósági együttműködés
12.1. Az Adatfeldolgozó az adatfeldolgozás jellegére és a rendelkezésére álló információkra figyelemmel segítséget nyújt az Adatkezelőnek a GDPR 32–36. cikke szerinti kötelezettségek teljesítésében.
12.2. Az együttműködés különösen kiterjedhet:
- adatvédelmi hatásvizsgálathoz szükséges technikai információk biztosítására;
- a biztonsági intézkedések ismertetésére;
- adatvédelmi incidens kivizsgálására;
- szükség esetén előzetes hatósági konzultáció támogatására.
13. Ellenőrzés és audit
13.1. Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsátja azokat az információkat, amelyek a GDPR 28. cikke szerinti kötelezettségek teljesítésének igazolásához szükségesek.
13.2. Az Adatfeldolgozó lehetővé teszi az Adatkezelő vagy az általa megbízott, megfelelő titoktartási kötelezettség alatt álló auditor számára a jogszabály alapján szükséges ellenőrzések és auditok elvégzését, és azokhoz megfelelően hozzájárul.
13.3. Az audit módját és időpontját a Felek a biztonsági kockázatok és az ellenőrzés céljának figyelembevételével egyeztetik.
13.4. Az audit nem veszélyeztetheti más előfizetők adatainak biztonságát, nem eredményezhet jogosulatlan hozzáférést más ügyfelek adataihoz, és nem okozhat indokolatlan szolgáltatáskiesést.
13.5. A közös infrastruktúrát érintő ellenőrzések során megfelelő bizonyíték lehet műszaki dokumentáció, ellenőrzési jelentés vagy más, a tényleges megfelelést igazoló információ. Ez nem zárhatja ki az Adatkezelő GDPR által biztosított auditjogát.
14. A szerződés megszűnése és az adatok sorsa
14.1. A szolgáltatás megszűnésekor az Adatkezelő jogosult választani az általa kezelt személyes adatok visszaszolgáltatása és törlése között, a jogszabályban előírt megőrzési kötelezettségek figyelembevételével.
14.2. A szerződés megszűnése után az Adatfeldolgozó 30 napos átmeneti időszakot biztosít az adatok exportálására.
14.3. Az átmeneti időszak lejártát követően az Adatfeldolgozó az Adatkezelő választása és a szerződéses szabályok szerint törli vagy visszaszolgáltatja a személyes adatokat, és törli a meglévő másolatokat, kivéve ha jogszabály további tárolást ír elő.
14.4. A biztonsági mentésekből történő végleges törlés a dokumentált mentési és megőrzési ciklus szerint történik.
14.5. A mentésben ideiglenesen megmaradó személyes adatokhoz való hozzáférés továbbra is korlátozott, és azok nem használhatók új adatkezelési célra.
14.6. A törlés és visszaszolgáltatás pontos technikai szabályai:
- Exportálási időszak: 30 nap
- Éles adatok törlési határideje: [KITÖLTENDŐ]
- Biztonsági mentések megőrzési ideje: [KITÖLTENDŐ]
- Exportformátumok: ZIP-archívum JSONL- és CSV-adatállományokkal, valamint csatolt dokumentumokkal
15. Titoktartás
15.1. Az Adatfeldolgozó az Adatkezelő által kezelt személyes adatokat és bizalmas üzleti információkat nem hozhatja jogosulatlan harmadik személy tudomására.
15.2. A titoktartás az alkalmazottakra, megbízottakra és minden olyan személyre vonatkozik, aki az adatokhoz jogszerű hozzáféréssel rendelkezik.
15.3. A titoktartási kötelezettség a szerződés megszűnését követően is fennmarad, a jogszabályi és szerződéses feltételek szerint.
16. Felelősség
16.1. A Felek a GDPR-ban és az alkalmazandó jogszabályokban meghatározott felelősségi szabályok szerint felelnek saját kötelezettségeik teljesítéséért.
16.2. Az Adatkezelő felel az adatkezelési célok és jogalapok jogszerű meghatározásáért, valamint az általa adott utasítások jogszerűségéért.
16.3. Az Adatfeldolgozó felel a rá vonatkozó adatfeldolgozói kötelezettségek teljesítéséért, valamint a jogellenesen vagy az Adatkezelő jogszerű utasításaitól eltérően végzett adatfeldolgozásért, az alkalmazandó jog szerint.
16.4. A Felek közötti esetleges szerződéses felelősségkorlátozás nem érintheti az érintettek kötelező jogszabályi jogait és a hatóságok jogköreit.
17. A megállapodás módosítása
17.1. A jelen megállapodás módosítására az ÁSZF rendelkezéseivel és az alkalmazandó adatvédelmi jogszabályokkal összhangban kerülhet sor.
17.2. Az Adatfeldolgozó a lényeges módosításokról előzetesen értesíti az Adatkezelőt.
17.3. A módosítás nem csökkentheti a GDPR által kötelezően megkövetelt adatvédelmi garanciák szintjét.
18. Záró rendelkezések
18.1. Jelen megállapodás a CloudRaktár előfizetési szerződésének és ÁSZF-jének elválaszthatatlan részét képezi.
18.2. A megállapodás az előfizetési szerződéssel együtt, dokumentált elektronikus elfogadással is létrejöhet.
18.3. Ha az ÁSZF és a jelen DPA adatfeldolgozásra vonatkozó rendelkezései között eltérés van, az adatfeldolgozói tevékenységek tekintetében a DPA rendelkezései irányadók, a kötelező jogszabályi rendelkezések elsőbbségével.
18.4. A jelen megállapodásban nem szabályozott kérdésekben a GDPR és az alkalmazandó magyar jog irányadó.
1. melléklet – Az adatfeldolgozás részletes leírása
Adatfeldolgozás tárgya: A CloudRaktár előfizető vállalkozás által kezelt személyes adatok tárolása és feldolgozása a készlet-, raktár-, beszerzési és rendeléskezelési szolgáltatás biztosítása érdekében.
Időtartama: Az előfizetési szerződés fennállása és az annak megszűnését követő szerződéses exportálási és törlési időszak.
Az adatfeldolgozás jellege:
- személyes adatok fogadása, rögzítése és tárolása;
- adatok rendszerezése, keresése és megjelenítése;
- módosítás, exportálás és törlés;
- jogosultsághoz kötött hozzáférés biztosítása;
- mentés és szükség esetén helyreállítás;
- az Adatkezelő által engedélyezett külső integrációkon keresztüli adatátvitel.
Az adatfeldolgozás célja: A megrendelt CloudRaktár szolgáltatás biztosítása az Adatkezelő üzleti tevékenységének támogatására.
Érintettek lehetséges kategóriái:
- az Adatkezelő munkavállalói és felhasználói;
- vevők és kapcsolattartóik;
- beszállítók természetes személy kapcsolattartói;
- szállításban, beszerzésben vagy raktári folyamatokban közreműködő természetes személyek;
- az Adatkezelő által jogszerűen nyilvántartott egyéb személyek.
A személyes adatok lehetséges kategóriái:
- név és kapcsolattartási adatok;
- céges beosztás és szervezeti kapcsolatok;
- rendelésazonosítók és rendelési adatok;
- szállítási és számlázási kapcsolattartási adatok;
- felhasználói jogosultságok és tevékenységnaplók;
- a rendszerbe feltöltött dokumentumokban található személyes adatok;
- integrációkon keresztül érkező személyes adatok.
Különleges adatok: A rendszer nem kifejezetten különleges személyesadat-kategóriák kezelésére készült. Ilyen adatok rendszeres feldolgozása kizárólag előzetesen egyeztetett, megfelelő garanciákkal rendelkező megoldásban történhet.
2. melléklet – Technikai és szervezési biztonsági intézkedések
A CloudRaktárban alkalmazott intézkedések részletes listáját az éles infrastruktúra kialakításakor kell véglegesíteni.
Tervezett intézkedések:
- TLS-titkosított kommunikáció.
- Tenantazonosítón alapuló logikai adatelkülönítés.
- Szerepkör- és jogosultságkezelés.
- Jelszavak biztonságos, egyirányú hash-eljárással történő tárolása.
- Korlátozott rendszergazdai hozzáférés.
- Biztonságosan tárolt API-kulcsok és hozzáférési tokenek.
- A fizetési kártyaadatok közvetlen tárolásának elkerülése.
- Automatikus adatbázis- és fájlmentés.
- Mentések hozzáférésvédelme.
- Helyreállítási eljárás és rendszeres visszaállítási ellenőrzés.
- Biztonsági események naplózása.
- Operációs rendszer és alkalmazásfüggőségek biztonsági frissítése.
- Az éles és fejlesztői rendszerek elkülönítése.
- Adatvédelmi incidenskezelési eljárás.
- A jogosult személyek titoktartási kötelezettsége.
- A jogosultságok rendszeres felülvizsgálata.
Az élesítéskor kitöltendő adatok:
- Szerver- és adatbázis-infrastruktúra: [KITÖLTENDŐ]
- Fájltárolás: Cégenként elkülönített privát fájltárolás
- Adatközpont országa: [KITÖLTENDŐ]
- Mentési gyakoriság: [KITÖLTENDŐ]
- Mentések megőrzési ideje: [KITÖLTENDŐ]
- Visszaállítási tesztek gyakorisága: [KITÖLTENDŐ]
- Naplómegőrzési idő: [KITÖLTENDŐ]
- Adminisztrátori hozzáférési kontrollok: [KITÖLTENDŐ]
- Biztonsági kapcsolattartó: klp7311@gmail.com
3. melléklet – Al-adatfeldolgozók nyilvántartása
A mellékletben kizárólag a ténylegesen alkalmazott, az előfizetők nevében végzett adatfeldolgozásban részt vevő szolgáltatókat kell felsorolni.
| Szolgáltató | Feladat | Adatkezelés helye | Garanciák |
|---|---|---|---|
| [A tényleges al-adatfeldolgozók adatai a platform.subprocessors konfigurációban töltendők ki.] | |||
A Laravel Forge, Stripe, SumUp és más integrációs szolgáltatók szerepét az általuk ténylegesen kezelt adatok és adatkezelési célok alapján kell megállapítani. Nem minden külső szolgáltató minősül automatikusan a CloudRaktár al-adatfeldolgozójának.
Az al-adatfeldolgozói lista változásairól az Adatkezelőt a jelen DPA 8. pontja szerint kell tájékoztatni.
A megállapodás elfogadása
Az Adatkezelő a CloudRaktár előfizetési szerződésének megkötésével és a szerződés részét képező jelen DPA megfelelően dokumentált elfogadásával tudomásul veszi a személyes adatok feldolgozásának itt meghatározott szabályait.
Adatkezelő: az előfizetési szerződésben és az elfogadási naplóban azonosított vállalkozás
Adatfeldolgozó: Kátai László Pál
DPA-verzió: 1.0
Elfogadás időpontja: az elektronikus elfogadási naplóban rögzített időpont