Utolsó frissítés: 2026.06.17.

Jelen Adatfeldolgozási Megállapodás (a továbbiakban: Megállapodás vagy DPA) az irat.ai szolgáltatásra vonatkozó Általános Szerződési Feltételek (a továbbiakban: ÁSZF) elválaszthatatlan részét képezi. A Megállapodás az Európai Parlament és a Tanács (EU) 2016/679 Rendeletének (a továbbiakban: GDPR) 28. cikke alapján jött létre az alábbi Felek között:

a Felhasználó (a továbbiakban mint Adatkezelő), és

az Entel Kft. (székhely: 1025 Budapest, Szépvölgyi út 32. 1. em 1., cégjegyzékszám: 01 09 065978, a továbbiakban mint Adatfeldolgozó vagy Szolgáltató).

Az Adatkezelő és az Adatfeldolgozó a továbbiakban együttesen: Felek.

A Felhasználó a Szolgáltatás igénybevételével elfogadja a jelen Adatfeldolgozási Megállapodás rendelkezéseit.

1. Fogalommeghatározások

A jelen Megállapodásban használt, eltérő rendelkezés hiányában nagybetűvel írt kifejezések az alábbi jelentéssel bírnak:

• “Alkalmazandó Adatvédelmi Jogszabályok”: minden hatályos adatvédelmi vagy adatvédelmi jogszabály vagy rendelet, beleértve, de nem kizárólagosan az európai adatvédelmi törvényeket.
• “Adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. A jelen DPA kontextusában a Felhasználó minősül Adatkezelőnek.
• “Felhasználói Személyes Adat”: minden olyan Személyes Adat, amelyet az Adatfeldolgozó az Adatkezelő nevében a Megállapodás alapján kezel.
• “Érintett”: azonosított vagy azonosítható természetes személy.
• “Érintetti Jogok”: minden, az Érintetteket az Alkalmazandó Adatvédelmi Jogszabályok alapján megillető jog, beleértve a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, korlátozáshoz, hordozhatósághoz, tiltakozáshoz való jogot.
• “GDPR”: Az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet).
• “Adatvédelmi Incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
• “Személyes Adat”: azonosított vagy azonosítható természetes személyre (“érintett”) vonatkozó bármely információ.
• “Kezelés” vagy “Adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.
• “Al-adatfeldolgozó”: bármely, az Adatfeldolgozó által megbízott személy vagy szervezet, aki a Felhasználói Személyes Adatokat az Adatkezelő nevében kezeli.
• “SCC” (Standard Contractual Clauses vagy Általános Szerződéses Feltételek): az Európai Bizottság 2021/914 végrehajtási határozatának mellékletét képező általános szerződéses feltételek a személyes adatoknak harmadik országokba történő továbbítására vonatkozóan.

2. A Megállapodás tárgya és az adatkezelés részletei

2.1. A Megállapodás tárgya

E Megállapodás tárgya azon személyes adatok Adatfeldolgozó általi kezelésére vonatkozó feltételek meghatározása, amelyeket az Adatkezelő a Szolgáltatásba feltölt és annak keretében kezel. Az Adatfeldolgozó ezen adatokat kizárólag az Adatkezelő nevében, és az ÁSZF-ben, valamint a jelen Megállapodásban rögzített utasításai szerint kezeli.

2.2. Az adatfeldolgozás részletei

Az adatkezelés tárgya: Az irat.ai átiratkészítő, dokumentumfeldolgozó és asszisztens szolgáltatás nyújtása az ÁSZF szerint.

Az adatkezelés időtartama: Az adatkezelés a Felek közötti Szerződés időtartama alatt történik. A Felhasználói személyes adatok az Adatkezelő általi törlésig, de legfeljebb a Szolgáltató Adatkezelési Tájékoztatójában rögzített 90 napos alapértelmezett megőrzési ideig kerülnek megőrzésre. A szerződéses jogviszony megszűnésekor az adatok további sorsáról a jelen Megállapodás 3.8 pontja rendelkezik.

Az adatkezelés jellege és célja: Az Adatkezelő által feltöltött hang- és szöveges állományok automatizált feldolgozása, beleértve az átírást, fordítást, összefoglalást és egyéb, a Szolgáltatás funkciói által lehetővé tett szöveggenerálási és -elemzési műveleteket az Adatkezelő törvényes feladatainak (pl. jegyzőkönyvezés) támogatása céljából. A Felhasználó által létrehozott alfelhasználói fiókok adminisztrációja, azonosítása és a Szolgáltatáshoz való hozzáférés biztosítása. A DIALOG modul keretében ezen túlmenően az Adatfeldolgozó a Végfelhasználók (a Felhasználó nyilvános felületét felkereső természetes személyek) által a chatbotnak megadott üzenetek automatizált feldolgozását és megválaszolását, a Felhasználó által feltöltött Tudásbázis és képzési adatok kezelését, valamint a beszélgetések elemzését (témakörök azonosítása, hangulatelemzés) és az ebből készülő összesített statisztikák Felhasználó részére történő rendelkezésre bocsátását végzi, a Felhasználó által nyújtott közérdekű tájékoztatás és feladatellátás támogatása céljából.

A személyes adatok típusa: A kezelt adatok köre az Adatkezelő által feltöltött tartalmaktól függ, és különösen az alábbiakra terjedhet ki: azonosító adatok (pl. név, beosztás), elérhetőségi adatok (pl. telefonszám, e-mail cím, alfelhasználói fiók név), különleges adatok (pl. hangfelvételben elhangzó politikai véleményre vonatkozó adat), hang (hangfelvételen), és bármely egyéb személyes adat, amely a feltöltött tartalmakban szerepel.

Az érintettek kategóriái: Önkormányzati képviselők, polgármester, hivatali munkatársak, nyilvános üléseken felszólaló állampolgárok, szakértők, és bármely természetes személy, akinek személyes adata a feltöltött tartalomban megjelenik. A Felhasználó munkavállalói vagy megbízottjai, akik számára a Felhasználó alfelhasználói hozzáférést hoz létre a Szolgáltatáshoz (a továbbiakban: Alfelhasználók); továbbá a DIALOG Végfelhasználói, azaz a Felhasználó honlapját vagy online felületét felkereső és a chatbottal interakcióba lépő természetes személyek.

3. Az Adatfeldolgozó jogai és kötelezettségei

3.1. Adatkezelési utasítások

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. A Szolgáltatás rendeltetésszerű használata dokumentált utasításnak minősül.

3.2. Titoktartás

Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak, vagy jogszabályon alapuló titoktartási kötelezettség alatt álljanak.

3.3. Az adatkezelés biztonsága

Az Adatfeldolgozó a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket hajt végre a kockázat mértékének megfelelő szintű adatbiztonság garantálása érdekében. Ezen intézkedések a következők:

• Fizikai hozzáférés-szabályozás: Intézkedések az illetéktelenek adatközponti létesítményekbe való bejutásának megakadályozására.
• Virtuális hozzáférés-szabályozás: Felhasználói azonosítási és hitelesítési eljárások, jelszóbiztonság, automatikus zárolás.
• Adathozzáférés-szabályozás: Annak biztosítása, hogy a jogosult személyek csak a jogosultságuknak megfelelő adatokhoz férjenek hozzá (pl. szerepkör-alapú hozzáférés, titkosítás).
• Adattovábbítás-szabályozás: Intézkedések az adatok védelmére elektronikus továbbítás vagy szállítás során (pl. titkosítás, naplózás).
• Bevitel-ellenőrzés: Annak nyomon követése, hogy a személyes adatokat ki és mikor vitte be, módosította vagy törölte a rendszerekből (naplózás).
• Rendelkezésre állás szabályozása: Az adatok véletlen megsemmisülés vagy elvesztés elleni védelme (pl. biztonsági mentések, vírus- és tűzfalvédelem, vészhelyreállítási terv).
• Elválasztás elve: Annak biztosítása, hogy a különböző célokból gyűjtött adatok elkülönítetten legyenek kezelve (pl. adatbázisok logikai szétválasztása, éles és tesztkörnyezetek szegregációja).

3.3.1 Technikai és szervezési intézkedések (NIS2 21(2)(a)–(j) ↔ GDPR 32. cikk)

Az Adatfeldolgozó a 3.3 pont szerinti intézkedéseket a NIS2 irányelv 21. cikk (2) bekezdésének a)–j) pontjaival és a GDPR 32. cikkével összhangban, az alábbiak szerint működteti:

• a) Kockázatelemzés és információbiztonsági szabályzatok: dokumentált információbiztonsági politika és rendszeres kockázatértékelés.
• b) Incidenskezelés: a 3.6 pont szerinti észlelési, kezelési és értesítési folyamat.
• c) Üzletmenet-folytonosság: biztonsági mentés, helyreállítás (DR) és válságkezelés.
• d) Ellátásilánc-biztonság: az al-adatfeldolgozók (felhő-infrastruktúra, LLM-API, e-mail) biztonsági kontrollja és a 3.5 pont szerinti kezelése.
• e) Biztonságos beszerzés, fejlesztés és üzemeltetés, sebezhetőségkezelés: biztonságos fejlesztési életciklus, a sebezhetőségek kezelése, valamint az MI-specifikus kockázatok (prompt injekció, adatszivárgás az LLM felé, hallucináció) kezelése.
• f) A biztonsági intézkedések hatékonyságának mérése: rendszeres tesztelés és felülvizsgálat.
• g) Kiberhigiénia és képzés: munkatársi biztonságtudatossági és MI-jártassági képzés.
• h) Kriptográfia és titkosítás: az átvitel (TLS) és a tárolás közbeni titkosítás.
• i) Hozzáférés-szabályozás, HR- és eszközkezelés: szerepkör-alapú hozzáférés és a 3.3 pont szerinti kontrollok.
• j) Többtényezős hitelesítés (MFA) és biztonságos kommunikáció.

3.4. Kiberbiztonsági megfelelés (NIS2)

Az Adatfeldolgozó kijelenti, hogy a 3.3 pontban említett biztonsági intézkedéseket úgy működteti, hogy az támogassa az Adatkezelő beszállítói láncra vonatkozó kiberbiztonsági kötelezettségeinek teljesítését.

3.5. További adatfeldolgozók igénybevétele

1. a) Az Adatkezelő a jelen Megállapodás elfogadásával általános felhatalmazást ad az Adatfeldolgozónak Al-adatfeldolgozók igénybevételére. Az Adatfeldolgozó az általa igénybe vett Al-adatfeldolgozók (így különösen a felhő-infrastruktúra, a mesterséges intelligencia alapú szövegfeldolgozó/LLM és az e-mail kézbesítő szolgáltatók) naprakész listáját – a beszállítói lánc átláthatósága érdekében – a weboldalán vagy a Szolgáltatás felületén folyamatosan elérhetővé teszi, illetve igény esetén rendelkezésre bocsátja.
2. b) Az Adatfeldolgozó vállalja, hogy az Al-adatfeldolgozók körének tervezett módosításáról (új al-adatfeldolgozó bevonása vagy csere) előzetesen, ésszerű időn belül tájékoztatja az Adatkezelőt. Az Adatkezelő a tájékoztatást követő 30 napon belül írásban, indoklással ellátva kifogást emelhet a változtatással szemben.
3. c) Amennyiben az Adatkezelő kifogást emel, a Felek jóhiszeműen együttműködnek a kifogás feloldása érdekében. Ha az Adatfeldolgozó a kifogás ellenére az új Al-adatfeldolgozó igénybevétele mellett dönt, erről tájékoztatja az Adatkezelőt, mely esetben Adatkezelő jogosult a Szerződést jogkövetkezmények nélkül azonnali hatállyal felmondani.
4. d) Az Adatfeldolgozó biztosítja, hogy az általa igénybe vett Al-adatfeldolgozókkal kötött szerződés a jelen Megállapodásban foglaltakkal legalább azonos szintű adatvédelmi kötelezettségeket rójon az Al-adatfeldolgozóra.

3.6. Biztonsági incidensek kezelése és értesítés

Az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzéstől számított 24 órán belül értesíti az Adatkezelőt minden olyan biztonsági incidensről, amely a Felhasználói Személyes Adatokat érinti (Adatvédelmi Incidens). Amennyiben az Adatkezelő a hálózati és információs rendszerek biztonságáról szóló jogszabályok (NIS2 irányelv, illetve a kiberbiztonságról szóló 2024. évi LXIX. törvény) hatálya alá tartozó szervezet, az Adatfeldolgozó ugyanezen határidőn belül értesíti az Adatkezelőt minden olyan jelentős biztonsági incidensről is, amely a Szolgáltatás rendelkezésre állását, sértetlenségét vagy bizalmasságát érdemben veszélyezteti, függetlenül attól, hogy az személyes adatot érint-e.

Az értesítés – a tudomásszerzéskor rendelkezésre álló mértékben – tartalmazza az incidens jellegét, a gyanított vagy megállapított okot, az érintettség és a határon átnyúló hatás körét, a súlyosság és a várható következmények értékelését, a kompromittálódásra utaló jeleket, valamint a megtett és tervezett intézkedéseket; az Adatfeldolgozó az információkat azok rendelkezésre állásával folyamatosan kiegészíti. Az Adatfeldolgozó egységes kapcsolattartási pontot biztosít, és minden ésszerűen elvárható segítséget megad az incidens kivizsgálásához és orvoslásához, valamint ahhoz, hogy az Adatkezelő a rá vonatkozó jogszabályi bejelentési határidőket – így a felügyeleti hatóság felé irányadó határidőt, illetve az illetékes kibervédelmi szerv (NKI) felé a 24 órás előzetes jelzést – teljesíteni tudja.

3.7. Az érintetti jogok gyakorlásának és az Adatkezelő egyéb kötelezettségeinek támogatása

Az Adatfeldolgozó, figyelembe véve az adatkezelés jellegét, megfelelő technikai és szervezési intézkedésekkel, lehetőségeihez mérten segíti az Adatkezelőt az Érintetti Jogok érvényesítésében, valamint a GDPR 32–36. cikk szerinti kötelezettségek (adatbiztonság, incidensbejelentés, hatásvizsgálat) teljesítésében.

3.8. Adatok törlése vagy visszajuttatása 

A szerződéses jogviszony megszűnésekor az Adatfeldolgozó az Adatkezelő (Felhasználó) döntése szerint minden Felhasználói személyes adatot töröl vagy visszajuttat. Az adatok visszajuttatását az Adatfeldolgozó elsődlegesen az ÁSZF 3.6. pontjában részletezett önkiszolgáló funkcióval biztosítja, amely lehetővé teszi az Adatkezelő számára, hogy adatait letöltse. Az Adatkezelő felelőssége, hogy a szerződés megszűnése előtt igénye esetén ezen jogával éljen. Amennyiben az Adatkezelő a szerződés megszűnéséig nem él az adatok letöltésének lehetőségével és másképp nem rendelkezik, az Adatfeldolgozó az adatokat – a jogszabályi kötelező adatmegőrzési idők kivételével – véglegesen törli.

3.9. Ellenőrzés és audit

1. a) Az Adatfeldolgozó az Adatkezelő kérésére rendelkezésre bocsát minden olyan információt és dokumentációt (pl. harmadik fél által kiállított tanúsítványok, auditjelentések összefoglalói), amely a jelen Megállapodásban foglalt kötelezettségek teljesítésének igazolásához szükséges.
2. b) Amennyiben a rendelkezésre bocsátott információk nem elegendőek az Adatkezelő számára a megfelelőség igazolásához, az Adatkezelő jogosult – évente legfeljebb egy alkalommal – saját maga vagy megbízottja útján auditot végezni. Az Adatkezelő köteles az auditot legalább 30 nappal előre bejelenteni. Az auditot úgy kell lefolytatni, hogy az ne zavarja aránytalanul az Adatfeldolgozó rendes üzletmenetét.
3. c) Az audit költségei az Adatkezelőt terhelik, kivéve, ha az audit az Adatfeldolgozó részéről a jelen Megállapodás súlyos megszegését tárja fel.

3.10. Felelősség és kártalanítás

A Felek rögzítik, hogy a GDPR 82. cikke szerinti, az érintettekkel szembeni esetleges közös és egyetemes felelősségüket a jelen megállapodás nem korlátozza. A jelen pont a Felek egymás közötti felelősségmegosztását szabályozza. Az Adatfeldolgozó vállalja, hogy kártalanítja az Adatkezelőt minden olyan, harmadik fél (beleértve a felügyeleti hatóságot és az érintetteket) által érvényesített kár, bírság, költség és követelés tekintetében, amely bizonyíthatóan abból ered, hogy az Adatfeldolgozó megszegte a jelen Adatfeldolgozási Megállapodásban vagy a GDPR-ban meghatározott, kifejezetten az adatfeldolgozókra vonatkozó kötelezettségeit. Az Adatkezelő vállalja, hogy kártalanítja az Adatfeldolgozót minden olyan kár, bírság, költség és követelés tekintetében, amely bizonyíthatóan az Adatkezelő jogellenes utasításaiból, vagy abból ered, hogy az Adatkezelő a GDPR szerinti adatkezelői kötelezettségeit súlyosan megszegte. Adatfeldolgozó jelen pont szerinti kártalanítási kötelezettségének felső határa – a szándékos vagy súlyosan gondatlan károkozás esetét kivéve – a káresemény bekövetkezését megelőző 12 hónap során az Adatkezelő által a Szolgáltató részére kifizetett nettó szolgáltatási díjak összege.

4. Nemzetközi adattovábbítások

4.1. Felhatalmazás

Az Adatkezelő felhatalmazza az Adatfeldolgozót, hogy a Felhasználói Személyes Adatokat az Európai Gazdasági Térségen (EGT) kívülre is továbbítsa, feltéve, hogy az Adatfeldolgozó megfelelő adatvédelmi garanciákat alkalmaz.

4.2. Garanciák

Ilyen garanciának minősül az Európai Bizottság megfelelőségi határozata, vagy annak hiányában a Felek között létrejött, az Európai Bizottság által elfogadott Általános Szerződéses Feltételek (SCC) alkalmazása. A jelen DPA elfogadásával a Felek az SCC 2. modulját (adatkezelőtől adatfeldolgozónak) tekintik magukra nézve kötelezőnek minden olyan adattovábbítás esetén, amely más megfelelő garancia hatálya alá nem esik.

5. Különös rendelkezések

5.1. Nemzeti Adatvagyonról szóló törvény

A Felek rögzítik, hogy a jelen Megállapodás szerinti tevékenység a GDPR 28. cikke szerinti adatfeldolgozásnak minősül, és nem a nemzeti adatvagyon hasznosításának rendszeréről szóló törvény szerinti adathasznosítás.

5.2. Átláthatósági kötelezettségek az AI Rendelet szerint

A Felek tudomásul veszik, hogy a Szolgáltatás az Európai Parlament és a Tanács (EU) 2024/1689 rendelete a mesterséges intelligenciáról (AI Act) 50. cikke szerinti átláthatósági kötelezettségek hatálya alá esik. E kötelezettség teljesítése érdekében az Adatfeldolgozó (Szolgáltató) vállalja, hogy: i. A Szolgáltatás felhasználói felületén egyértelműen és állandó jelleggel jelzi, amikor a Felhasználó MI-rendszerrel lép interakcióba, vagy MI által generált tartalmat (pl. átirat, összefoglaló vázlat) lát. ii. A rendszer által generált kimeneteket az exportálás pontján gépi olvasható és emberi olvasható módon megjelöli, legkésőbb 2026. augusztus 2-től. Tekintettel arra, hogy a modellszolgáltatók a kimenetet folyamatos (streamelt) adatként továbbítják, amelyben a jelölés nem őrizhető meg, a Szolgáltató a jelölést az exportálási és másolási műveletek során biztosítja: a dokumentum- (különösen DOCX-) exportban a dokumentum metaadataiban (egyedi dokumentumtulajdonságok és beágyazott, strukturált eredetjelölés), valamint a vágólapra másoláskor a másolt tartalomhoz csatolt gépi és emberi olvasható jelöléssel. A jelölés azonosítja a tartalmat mint mesterségesen generáltat. A jelölés technikai megvalósítását (a jelölés helye és tartalma a DOCX-ben, illetve a vágólapon) a Szolgáltató belső műszaki specifikációja rögzíti. Az Adatkezelő (Felhasználó) felelőssége, hogy a Szolgáltatás segítségével készített dokumentumokban biztosítsa a szükséges emberi felügyeletet, és amennyiben azokat közzéteszi vagy harmadik félnek továbbítja, a címzetteket a vonatkozó jogszabályok szerint tájékoztassa a technológia használatáról. Az Adatfeldolgozó javasolja, hogy az Adatkezelő az exportált dokumentumokban szerepeltesse az ember által is olvasható következő tájékoztatást: “A dokumentum vázlatát az irat.ai mesterséges intelligencia hozta létre. A végleges változat emberi felülvizsgálat és szerkesztés eredménye.”

6. Záró rendelkezések

A jelen Megállapodás az ÁSZF hatálya alatt érvényes. A Megállapodásban nem szabályozott kérdésekben a GDPR és a vonatkozó magyar jogszabályok irányadók.

A Megállapodás a Felek közötti jogviszony megszűnésével hatályát veszti, a titoktartási és adattörlési kötelezettségek kivételével, amelyek a jogviszony megszűnését követően is fennmaradnak.